Méthodes pour la validation de modèles formels pour la ... - ISAE

4.5 Critère de couverture de modèles AltaRica par des tests 129
Critère de couverture simple sur les transitions : Pour toute transition du modèle AltaRica de
la forme garde(s, f in ) |− e → s ′ , il existe au moins un scénario de test v = (e 1 , ..., e p−1 , e, e p+1 ...)
tel que le scénario (e 1 , ..., e p−1 ) conduise dans une configuration du modèle satisfaisant garde(s, f in ).
En d’autres termes, pour toutes les transitions du modèle, il existe au moins un test qui
permet son franchissement. Pratiquement la mise en œuvre d’un tel critère consiste, lorsque
« garde(s, f in ) » est sous Forme Normale Disjonctive, à utiliser le dépliage N°1 pour le critère de
couverture sur les décisions (section 4.5.1.2).
Ce critère, bien que facile à mettre en œuvre, est cependant trop simple pour éprouver de
manière suffisante le modèle. En effet, il suffira de satisfaire la garde d’une manière quelconque
pour satisfaire le critère. Par exemple, si la garde est « c 1 ∨ c 2 », franchir la transition avec le couple
(c 1 , c 2 )=(1, 0) suffira à satisfaire le critère. Nous n’aurons pas besoin de tester le franchissement
avec c 2 =1... Pour faire l’analogie avec les critères présentés en section 4.3.4, ce critère est le
pendant du critère de couverture d’instruction.
4.5.3.3 Critère de couverture des conjonctions élémentaires d’une transition
On rappelle dès ici qu’on appelle conjonction élémentaire une expression booléenne de la
forme c 1 ∧ c 2 ∧ ... ∧ c n , n ≥ 0 où chaque c i est une condition (expression booléenne ne pouvant
être décomposée sous forme de conjonction ou de disjonction).
Nous rappelons ici que la garde « garde(s, f in ) » est écrite sous Forme Normale Disjonctive
(FND), i.e. sous une forme similaire à C 1 ∨ C 2 ∨ ... ∨ C p où chaque C j est une conjonction
élémentaire. Pour définir le critère de couverture, nous utiliserons le dépliage N°3 de la FND pour
le critère de couverture sur les conditions et les décisions (section 4.5.1.2) et décomposerons donc
« garde(s, f in ) » en p cas différents : C i = vrai ∀i ∈ [1, p].
Critère de couverture des conjonctions élémentaires des transitions : pour toute transition du
modèle AltaRica de la forme garde(s, f in ) |− e → s ′ où garde(s, f in ) est de la forme C 1 ∨C 2 ∨...∨
C p , il existe pour chaque conjonction élémentaire C i un scénario v i = (e i1 , ..., e i(p−1) , e, e i(p+1) ...)
tel que le scénario (e i1 , ..., e i(p−1) ) conduise le modèle dans une configuration vérifiant C i =vrai.
4.5.3.4 Critère de couverture des conjonctions élémentaires indépendantes d’une transition
Si le critère précédent permet de s’assurer que lors des différents franchissements d’une
transition celle-ci est franchie en évaluant au moins une fois chaque conjonction élémentaire à
la valeur vrai, il n’assure pas encore que la transition est franchie grâce à chaque conjonction
élémentaire. Par exemple, pour la transition « c 1 ∨ c 2 |− e → », faire deux tests (c 1 , c 2 ) = (1,0) et
(c 1 , c 2 ) = (1,1) permet de satisfaire le critère précédent et l’influence de c 2 sur le franchissement de
la transition n’est pas incontestable... Pour cela nous définissons un nouveau critère de couverture
sur les transitions inspiré du critère MC/DC.
On suppose toujours ici que la garde de la transition est mise sous Forme Normale Disjonctive,
i.e. de la forme C 1 ∨ C 2 ∨ ... ∨ C p où C p est une conjonction élémentaire. Nous utilisons le
dépliage N°4 de la FND pour le critère de couverture MC/DC (section 4.5.1.2) qui décompose
« C 1 ∨ C 2 ∨ ... ∨ C p » en p cas : ∀i ∈ [1, p], C i =vrai and (C j ) j≠i = faux.
Critère de couverture des conjonctions élémentaires indépendantes des transitions : pour
toute transition du modèle AltaRica de la forme garde(s, f in ) |− e → s ′ où garde(s, f in ) est de
la forme C 1 ∨ C 2 ∨ ... ∨ C p , il existe pour chaque conjonction élémentaire C i un scénario v i =
(e i1 , ..., e i(p−1) , e, e i(p+1) ...) tel que le scénario (e i1 , ..., e i(p−1) ) conduise dans une configuration
du modèle satisfaisant C i = vrai et (C j ) j≠i = faux.