Méthodes pour la validation de modèles formels pour la ... - ISAE

4.7 Retours sur l’approche de validation unitaire proposée 135
Remarque : Au sujet de la non activation souhaitée de certains drapeaux, nous faisons en particulier
référence aux assertions et à leurs clauses « else ». En effet, les chemins
conduisant à passer dans le « else » sont moins explicite que les chemins activés
par les autres cas de l’assertion. Ainsi et pour garder la maîtrise de l’assertion, il
est parfois préféré par l’analyste de rendre non évaluable cette clause i.e. de ne
volontairement pas permettre que cette branche de l’instruction soit évaluée.
Par exemple, au lieu de « OUT = case{c 1 = true : v 1 , else v 2 } » on écrira « OUT
= case{c 1 = true : v 1 , c 1 = false : v 2 , else v x } » où v x ∈ dom(OUT ). Dans ce
deuxième cas, la clause « else » ne sera jamais évaluée.
Modèle Drapeaux Description N° Test Commentaires
AltaRica
... ... ... ... ...
Tableau 4.2 – Table de traçabilité entre le drapeau activé et le test qui l’active
La table présentée sera ainsi complétée tout au long des différentes simulations. À la suite de
chacun des tests, l’analyste en charge de la simulation vérifiera la valeur de chacun des drapeaux
implémentés et complétera si besoin cette table de traçabilité. À tout moment et en particulier
lorsque tous les tests auront été simulés, il sera aisé de rendre compte, de manière quasi instantanée,
des drapeaux ayant été activés et ceux ne l’ayant pas été. Pour ces derniers, on pourra au
choix :
– simuler davantage de tests provenant d’une source annexe (jugements experts, scénarios
issus du retour d’expérience...) ;
– générer un scénario activant un drapeau particulier (à partir de l’outil de génération de
séquences lié au langage AltaRica) ;
– justifier que ce drapeau n’est pas couvert par la phase de test.
4.7.2 Retours sur l’implémentation proposée
L’implémentation des critères de couverture sur un modèle AltaRica, proposée en section 4.6,
est fondée sur l’insertion de drapeaux directement au sein du modèle AltaRica (i.e. du code
AltaRica). L’approche est donc « intrusive » et son influence sur le modèle est multiple :
– ajout de nouvelles transitions ;
– ajout de variables d’état supplémentaires ;
– ajout de transitions supplémentaires.
Bien qu’en théorie et en se rappelant le principe de ces drapeaux, la dynamique implémentée
du composant ne soit pas modifiée (les changements de valeur des variables d’état déjà implémentées
restent inchangés ; les assertions restent inchangées), le risque lié à l’introduction de ces
drapeaux ne peut être totalement considéré comme nul.
Sans proposer pour autant une « validation de la validation » (ce qui nous entraînerait facilement
dans une boucle pouvant potentiellement ne pas avoir de fin), nous recommandons la
plus grande prudence lors de l’implémentation de ces drapeaux. Pour aller plus loin et lors de
futurs travaux, on envisagera une implémentation automatisé de ces drapeaux selon le critère de
la section 4.5 choisi. Brièvement, la première étape consistera à la mise de l’expression booléenne
sous Forme Normale Disjonctive (section 4.5.1). Une fois cette écriture obtenue, le dépliage de