Méthodes pour la validation de modèles formels pour la ... - ISAE

128 Chapitre 4. Processus pour la validation de modèle AltaRica
4.5.3 Critères de couverture des transitions d’un modèle AltaRica
4.5.3.1 Introduction et idée directrice
Pour rappel, un automate de mode se présente sous la forme d’un 9-uplet (D, dom, S, F in ,
F out , Σ, δ, σ, I) avec notamment δ : dom(S) × dom(F in ) → dom(S) la fonction de transition
qui fournit les prochaines valeurs des variables d’état en fonction de leurs valeurs courantes, des
valeurs des variables de flux d’entrée et de l’occurrence de l’évènement induisant le changement
d’état. Pour plus de détail concernant un tel automate de mode, on pourra se référer à la section
2.3. En termes pratiques, tester une transition reviendra à tester qu’un modèle AltaRica admet
un certain comportement présent dans la spécification de référence. On pourra également tester
que le modèle AltaRica n’admet pas de comportements non spécifiés.
En langage AltaRica, nous avons vu en section 2.2.4 qu’une telle transition s’écrivait : garde(
s, f in ) |− e → s ′ avec garde(s, f in ) une condition booléenne sur les évaluations courantes s des
variables d’état et f in des variables de flux d’entrée du nœud AltaRica, e un évènement et s ′ la
nouvelle évaluation des variables d’état du nœud. La sémantique d’une telle écriture est similaire
à une écriture de la forme « if - then - else » :
If garde(s, f in ) and e then s ′
On remarque alors que plutôt qu’une forme en « if - then - else », une transition Alta-
Rica s’écrit sous une forme en « if - then ». Pour tester le franchissement d’une transition, nous
souhaitons tester les conditions permettant d’évaluer à vrai l’expression « garde(s, f in ) and e »
(nous ignorons ainsi les conditions conduisant à une garde non satisfaite). Ainsi pour tester le
franchissement d’une transition, il nous faut :
– positionner le modèle AltaRica dans une configuration vérifiant l’expression garde(s, f in ) ;
– simuler l’évènement e de la transition.
Au delà de tester le simple franchissement d’une transition, nous souhaitons également
vouloir tester les différentes façons de rendre vraie l’expression « garde(s, f in ) ». Pour cela, nous
proposons d’écrire cette expression sous forme normale disjonctive (section 4.5.1.1) et d’appliquer
les dépliages proposés section 4.5.1.2. Nous définissons ainsi dans la suite différents critères de
couverture sur les transitions d’un modèle AltaRica. Ces critères nous permettrons de décomposer
le domaine d’activation de la garde de la transition (i.e. le domaine de valeur où l’expression
garde(s, f in ) est évaluée à la valeur vrai) en sous-domaines, fonctions du critère de couverture
souhaité.
Remarque : Pour tester qu’un scénario ne peut se réaliser sur le modèle, la tâche revient à l’heure
actuelle à l’analyste. Ainsi, dans une certaine configuration du modèle AltaRica, un
évènement ne devra pas pouvoir être exécuté sur le modèle AltaRica.
Dans la suite et pour la définition des critères de couverture, nous supposerons que « garde
(s, f in ) » est écrit sous Forme Normale Disjonctive.
4.5.3.2 Critère de couverture simple d’une transition
Franchir au moins une fois l’ensemble des transitions du modèle AltaRica semble être l’exigence
minimum que l’on peut espérer de la phase de test du modèle. Dans l’optique de s’assurer
que l’ensemble de tests répond à cet objectif, nous définissons un premier critère de couverture
pour les transitions d’un modèle AltaRica.