境界値テストが検出を保証する誤りのモデル

$m \ge 1$ とし、整数 $b_1 \lt b_2 \lt \cdots \lt b_m$ と、出力 $y_0, y_1, \ldots, y_m \in Y$ で $y_{j-1} \ne y_j$（$j = 1, \ldots, m$）を満たすものをとる。$b_0 = -\infty$、$b_{m+1} = +\infty$ として、仕様の関数 $g : \mathbb{Z} \to Y$ を

で定める。関数 $p : \mathbb{Z} \to Y$ について、$p(x - 1) \ne p(x)$ となる整数 $x$ を $p$ の切り替わり点という。テスト集合を $T = \{b_j - 1,\ b_j \mid j = 1, \ldots, m\}$ とする。

1. $p : \mathbb{Z} \to Y$ の切り替わり点が $m$ 個以下で、すべての $x \in T$ について $p(x) = g(x)$ ならば、$p = g$ である。
2. 整数 $c_1, \ldots, c_m$ と出力 $z_0, \ldots, z_m$ による「$x \lt c_1$ なら $z_0$、そうでなく $x \lt c_2$ なら $z_1$、……、どれでもなければ $z_m$」という形の実装は、$c_j$ と $z_j$ が何であっても切り替わり点が $m$ 個以下である。したがって、境界の値のずれ（$c_j \ne b_j$）、不等号の等号の有無の誤り（$x \lt b_j$ を $x \le b_j$ と書く。これは $c_j = b_j + 1$ にあたる）、出力の取り違え（$z_j \ne y_j$）は、いくつ重なっていても、$T$ によってすべて検出される。
3. 切り替わり点が $m + 1$ 個以上ある実装には、$T$ に合格して $g$ と異なるものがある。