Méthodes pour la validation de modèles formels pour la ... - ISAE

156 Conclusion
Cette représentation est nommée « spécification » et est un support facilitant la compréhension
des informations qui seront codées. Cette spécification pourra également être un
efficace support de discussion lors de revues du modèle par quiconque ne connaît pas le
langage AltaRica.
Concernant l’application pratique de la méthodologie proposée, des bibliothèques ont été
construites en langage AltaRica et permettent la modélisation des propagations de défaillance au
sein de et entre les différents sous-systèmes d’un turbomoteur d’hélicoptère. Cinq bibliothèques de
noeuds AltaRica ont été construites et permettent de modéliser la majeure partie d’un turbomoteur
d’hélicoptère (circuit carburant, circuit de transmission mécanique, circuit de lubrification, circuit
d’air principal et système de surveillance moteur). Trois évènements redoutés (sur les seize que
comporte une analyse actuelle de sécurité) ont été évalués sur ces modèles AltaRica et les résultats
obtenus comparés avec ceux des analyses de sécurité actuelles (de type arbre de défaillance). À
périmètre modèle - arbres équivalent, les résultats qualitatifs (coupes minimales) et quantitatifs
(probabilités d’occurrence d’un évènement redouté) ont été retrouvés.
Synthèse sur l’activité de validation de modèles
Si la comparaison entre les résultats fournis par le modèle AltaRica et ceux issus des analyses
de sécurité actuelle est sans aucun doute pertinente pour s’assurer qu’il est possible de retrouver
les résultats des arbres de défaillance grâce aux modèles AltaRica, elle ne suffit pas pour s’assurer
que l’implémentation du modèle soit valide. Il faut en effet s’assurer que le comportement interne
du modèle décrive correctement le système que le modèle est censé décrire. Dans cette optique,
nous avons proposé un processus de validation de modèles AltaRica fondé sur la simulation d’un
jeu de tests et sur l’observation des parties du modèle éprouvées par ce jeu de tests. Des critères
de couverture, inspirés du génie logiciel, ont été définis et une implémentation de ces critères est
proposé de façon à observer leur satisfaction directement sur le modèle AltaRica considéré.
En pratique, l’accent est mis sur la validation d’un composant AltaRica unitaire. La philosophie
est de modifier le code AltaRica du composant à valider en y insérant des variables d’état
booléennes supplémentaires appelées « drapeaux » et représentant pour chacune d’entre elle une
portion du code AltaRica implémentant le comportement du composant. Ces variables d’état sont
initialisées à la valeur fausse et deviendront vraies au fur à mesure que les scénarios de test simulés
éprouveront des portions du modèle. En visionnant, à la fin de la simulation, la valeur des
drapeaux, nous serons en mesure de connaître les parties éprouvées du modèle et celles ne l’étant
pas.
Discussion / perspectives
La démarche décrite dans ce mémoire permet ainsi à la fois de couvrir la mise en place
d’un processus rigoureux de modélisation en langage AltaRica et d’assister les activités de test sur
le modèle pour évaluer l’efficacité de celles-ci. Les perspectives de ces travaux sont nombreuses.
Certaines sont décrites ci-dessous.
1. La première perspective et selon nous une des plus importantes concerne l’outillage du
processus de validation proposé au chapitre 4. En effet et aujourd’hui, le processus décrit
est réalisé de manière manuelle. Une utilisation de l’approche à l’échelle industrielle est ainsi
à l’heure actuelle hors de propos. Différents outils supportant l’approche peuvent et selon
nous doivent être mis en place.