États et transitions : prévoir et expliquer une séquence

Un état regroupe une situation qui dure assez pour influencer les réponses futures. FERMEE, OUVERTURE, OUVERTE, FERMETURE et DEFAUT sont utiles parce qu'une même demande n'a pas le même effet dans chacun. Une variable comme le temps écoulé affine l'état sans nécessairement créer un nouvel état pour chaque valeur. Un événement, par exemple fin_ouverture, décrit ce qui est observé à un instant de traitement.

Une garde est une condition booléenne supplémentaire, telle que obstacle faux, qui autorise une transition. La décision produit une sortie symbolique : OUVRIR, FERMER ou ARRET. Ici, cette sortie est celle de l’état cible ; aucune action de transition distincte n’est représentée. Nommer ces catégories évite de dessiner un état appelé capteur_obstacle ou une transition appelée moteur. Le modèle ne décrit pas la physique de la porte, seulement les observations abstraites que le scénario lui remet.

Le mot obstacle désigne ici une entrée booléenne persistante entre deux observations, pas forcément un événement instantané. La condition obstacle vrai est une garde ; fin_fermeture est un événement du vocabulaire. Une même donnée peut participer à une garde sans devenir un état : seul ce que le modèle choisit de mémoriser fait partie de son état.

ARRET est une sortie, tandis que DEFAUT est un état mémorisé qui produit ARRET et attend un acquittement admissible. OUVERTE produit aussi ARRET mais réagit autrement à temporisation. Deux situations qui produisent la même sortie peuvent donc nécessiter deux états différents parce que leurs réponses futures diffèrent.

Une table de transitions donne, pour chaque état et observation retenue, l'état suivant, la sortie et la raison. Elle rend visibles les cas absents que le diagramme peut dissimuler. Dans FERMETURE, obstacle provoque OUVERTURE et OUVRIR ; fin_fermeture provoque FERMEE et ARRET ; un délai dépassé provoque DEFAUT et ARRET. Si obstacle et fin de course arrivent ensemble dans le domaine de l'exercice, une priorité explicite doit produire une seule décision.

La table est ordonnée : obstacle en FERMETURE d’abord, défaut de durée dans les états de mouvement ensuite, puis transitions nominales. Plusieurs gardes brutes peuvent être vraies ; une seule règle est retenue. Si aucune règle ne convient, l’état se maintient avec sa sortie définie : OUVRIR en OUVERTURE, FERMER en FERMETURE, ARRET ailleurs. Il ne faut donc pas confondre absence de changement d’état et absence de sortie.

Chaque flèche est reliée à une règle identifiée. La table donne le détail que le dessin simplifié ne peut pas contenir confortablement : état source, événement, obstacle, garde de temps, cible et sortie. Les lignes de maintien rendent le domaine complet. Les règles nominales n’effacent jamais une décision prioritaire déjà prise.

Le retour DEFAUT→FERMEE par acquittement est une remise à zéro conventionnelle du banc virtuel. Aucun capteur n’en prouve la position physique. Dans une réalisation, une reprise demanderait d’autres informations ; le modèle n’en invente pas. L’inversion par obstacle n’est définie qu’en FERMETURE, pas dans tous les états.

Une temporisation compare un temps écoulé depuis une origine définie à un seuil. L'origine peut être l'entrée dans OUVERTURE ou FERMETURE ; elle doit être réinitialisée à chaque nouvelle entrée. Le cours choisit un défaut seulement lorsque elapsed_s > 4,0. Ainsi 4,0 s reste dans le domaine nominal, tandis que toute valeur strictement supérieure bascule vers DEFAUT. Cette convention de bord doit apparaître dans les exigences et les tests.

Un temps logique de simulation n'est pas l'horloge d'un automate réel. Il n'inclut ni période de scrutation, ni latence de capteur, ni gigue, ni dérive. Les tests utilisent 3,999 s, 4,000 s et 4,001 s pour détecter une erreur de comparateur. Un délai n'est pas un sommeil bloquant dans la fonction de transition : l'observation porte le temps écoulé, ce qui permet au modèle de traiter un obstacle sans attendre la fin d'une pause.

Le maintien ouvert utilise une autre horloge : trois secondes depuis l’entrée dans OUVERTE et une garde inclusive elapsed>=3. Un événement temporisation à 2,999 s ne suffit pas ; à 3 s sans obstacle, R6 autorise FERMETURE. Si obstacle reste vrai, OUVERTE et ARRET sont conservés. Le scénario fournit l’événement, la garde en contrôle la validité temporelle.

Quatre secondes est le seuil interne strict, tandis que 4,5 s est l’exigence fictive de détection depuis l’entrée dans un mouvement non interrompu. Si deux observations consécutives sont séparées d’au plus 0,25 s, le premier constat après 4 s se situe dans ]4 ; 4,25] s. Le retard après franchissement est donc au plus 0,25 s ; cette borne dépend du banc et ne décrit pas un automate réel.

La fonction de transition reçoit l'état courant et une observation, puis retourne un nouvel état, une sortie et une raison. Elle ne lit pas directement une horloge ou un capteur, ce qui rend son comportement reproductible. Les validations de domaine refusent état inconnu, temps négatif et événement hors vocabulaire. Les priorités apparaissent dans l'ordre des branches et sont commentées par leurs exigences, plutôt que cachées dans des effets de bord.

La trace minimale contient état source, événement, obstacle, temps, état cible, sortie et raison. Elle sert à expliquer un test qui échoue et à comparer une séquence attendue à l'exécution. Elle ne doit pas contenir de donnée personnelle ou de signal réel. Une fonction pure ne garantit pas la correction du modèle, mais elle sépare clairement la logique à tester des couches d'entrée-sortie qui resteraient à concevoir et certifier.

Le programme fourni est un prolongement facultatif. Ses constantes et règles sont dérivées de la table canonique ; leur égalité est testée pour éviter deux spécifications divergentes. Les tests issus de la table prouvent une concordance, pas la vérité de la table. Des oracles écrits séparément restent nécessaires pour les priorités, les frontières et le cycle.

Une durée doit être un nombre fini : un booléen, un texte, NaN ou un infini est refusé avant le calcul. step vérifie une observation isolée. run_sequence vérifie en plus que les horodatages sont strictement croissants et calcule le temps depuis l’entrée dans l’état. Après une inversion, conserver l’ancienne origine déclencherait un défaut artificiel.

Un chemin nominal parcourt FERMEE, OUVERTURE, OUVERTE, FERMETURE puis FERMEE. Il vérifie la cohérence d'une séquence, mais ne couvre ni obstacle, ni délai, ni acquittement. La couverture utile combine transitions exercées, valeurs frontières, événements simultanés et états invalides. Chaque oracle indique état, sortie et raison attendus ; une simple absence d'exception ne suffit pas.

Les propriétés traversent plusieurs cas : obstacle vrai ne doit jamais produire FERMER et une sortie OUVRIR correspond ici à la cible OUVERTURE. Le défaut de durée est conditionnel : au-delà de quatre secondes, R2 ou R3 gagne sauf si R1 inverse d’abord une fermeture avec obstacle. Enchaîner des obstacles peut empêcher la terminaison d’un cycle. La couverture du domaine choisi ne prouve ni une fin de cycle universelle ni la sécurité d’un produit.

Le plan de tests distingue deux familles. Les oracles manuels viennent des exigences : à exactement 4 s, une fin de mouvement est acceptée ; à 4,001 s elle est dominée par le défaut, sauf inversion R1. L’énumération vérifie ensuite le comportement sur toutes les valeurs du petit domaine testé, qui n’est pas l’ensemble infini des temps réels.

Un test utile doit détecter une faute plausible. Remplacer > par >= doit échouer sur la borne 4 s ; supprimer la garde de maintien doit échouer à 2,999 s ; déplacer R1 après R3 doit échouer sur leur conflit. Une couverture de lignes ou des résultats attendus recopiés depuis le code ne fournissent pas à eux seuls ces garanties.

Une durée totale de cycle agrège ouverture, maintien ouvert, fermeture et temps de traitement. Les six durées synthétiques proches de dix secondes permettent de calculer dispersion et moyenne, mais une seule valeur globale ne localise pas un retard. La chronologie détaillée doit conserver les instants d'entrée et de sortie de chaque état. La moyenne peut satisfaire l'exigence tandis qu'un cycle individuel la dépasse ; les deux critères répondent à des questions différentes.

Le diagnostic compare d'abord les phases, puis les transitions et enfin la source du temps. Un retard constant dans toutes les phases peut venir de l'horloge ou de l'échantillonnage ; un retard seulement en FERMETURE peut venir de sa condition de fin ; une dispersion associée aux obstacles est un comportement de scénario, pas du bruit à supprimer. Le cours conserve donc une table d'événements et réserve des cycles à la validation de toute correction.

Les quatre instants d’un cycle nominal résument la demande, la fin d’ouverture, la fin du maintien ouvert et la fin de fermeture. Leurs trois différences donnent les durées de phase ; le premier et le dernier donnent le cycle entier. Ces événements résumés ne constituent pas une trace de toutes les observations de scrutation.

Pour les six répétitions indépendantes supposées, l’écart-type d’échantillon emploie n−1=5 et la Type A sur la moyenne vaut s/√6. Elle ne contient ni étalonnage, ni résolution, ni latence. Le relevé de défaut et les tests d’obstacle sont d’autres jeux : leurs résultats ne peuvent pas être déduits des seules six durées de cycle.