Méthodes pour la validation de modèles formels pour la ... - ISAE

4.5 Critère de couverture de modèles AltaRica par des tests 125
de flux d’entrée. En termes pratiques, couvrir les assertions nous permettra de valider les différentes
évaluations des variables de flux de sortie dans chacune des configurations de l’automate de mode
(définition 2.2).
En langage AltaRica, la fonction d’assertion s’écrit à l’aide de fonctions « if - then - else »
imbriquées. On trouvera souvent les assertions écrites sous formes de « case ». Le tableau ci-dessous
présente la correspondance entre les deux écritures. Les p i sont des expressions booléennes sur les
variables d’états et les variables de flux d’entrées. On les appellera « prédicats » dans la suite. Les
ω i sont les valeurs prises par la variable de flux de sortie considérée (ω i ∈ dom(F out )).
case { p 1 : ω 1 ,
p 2 : ω 2 ,
...
p n−1 : ω n−1
else ω n } ;
if p 1 then ω 1
else if p 2 then ω 2
...
if p n−1 then ω n−1
else ω n
end if
...
end if
end if
Toute assertion peut donc s’écrire sous une forme « if - then - else » classique. Les critères
définis en section 4.3.4 peuvent donc être adaptés à ces assertions.
4.5.2.2 Critère de couverture simple des prédicats d’une assertion
Ce critère se veut permettre une prise en compte des différentes branches de l’assertion, i.e.
passer au moins une fois par chaque « cas » de l’assertion. Puisque les prédicats p i sont sous Forme
Normale Disjonctive, l’opération consiste à utiliser le dépliage N°1 pour le critère de couverture
sur les décisions (section 4.5.1.2).
Critère de couverture simple des prédicats d’une assertion : pour chaque prédicat p i d’une
assertion, il existe au moins deux tests conduisant le modèle dans deux configurations satisfaisant
respectivement p i = vrai et p i = faux. En d’autres termes, il faut que :
– pour chaque prédicat p i il existe au moins un test amenant le modèle dans une configuration
vérifiant « p i = vrai ∧ p j = faux » ∀j < i ;
– il existe au moins un test amenant le modèle dans une configuration vérifiant ∀i, p i = faux.
Ainsi le premier point permet de s’assurer que tous les n − 1 premiers cas de l’assertion sont
testés par au moins un test. Le second point assure que le jeu de tests éprouve le « else ». Ce
critère est le pendant du critère de couverture des décisions défini en section 4.3.4.
4.5.2.3 Critère de couverture des conditions / décisions des prédicats
En supplément du critère précédent, ce critère vise à assurer que toutes les conditions d’un
prédicat p i sont évaluées au moins une fois à vrai et à faux. Ce critère est le pendant du critère
de couverture des conditions / décisions défini en section 4.3.4.
Nous rappelons ici que chaque prédicat p i de l’assertion peut être mis sous Forme Normale
Disjonctive, i.e. sous la forme C i1 ∨ C i2 ∨ ... ∨ C ip où C ij est une conjonction élémentaire. Nous
utilisons ici le dépliage N°3 pour le critère de couverture sur les conditions et les décisions défini
en section 4.5.1.2.