CN103677849B

CN103677849B - 一种嵌入式软件可信性保障方法

Info

Publication number: CN103677849B
Application number: CN201310738865.3A
Authority: CN
Inventors: 杨孟飞; 顾斌; 陈睿; 郭向英; 赵雷; 董晓刚; 綦艳霞; 王政; 陈尧; 乔磊; 沈沛; 郝伟
Original assignee: Beijing Institute of Control Engineering
Current assignee: Beijing Institute of Control Engineering
Priority date: 2013-12-26
Filing date: 2013-12-26
Publication date: 2015-04-15
Anticipated expiration: 2033-12-26
Also published as: CN103677849A

Abstract

本发明公开了一种嵌入式软件可信性保障方法，通过构建基于可信要素的五元组技术体系，实现在每一个研制阶段针对每一个可信要素利用理论方法、工具以及度量评估对嵌入式软件的可信性进行系统全面的保障。本发明以工程实践中提炼出的嵌入式软件可信要素为基础，将软件可信性保障按照可信要素分配到软件研制各阶段，使得可信性保障更具有针对性。使用不同粒度的、与研制阶段相关联的可信要素来指导可信性保障活动，保证了可实施性。本发明采用工具作为嵌入式软件可信性保障活动的最终手段，与目前大多数依赖过程管理体系保证软件质量的方法有明显不同，实现了软件可信性保障从依赖人到依赖工具的转变。

Description

一种嵌入式软件可信性保障方法

技术领域

本发明涉及一种软件可信性保障方法，尤其涉及一种适合于嵌入式软件的可信性保障方法，应用于嵌入式软件开发过程中。

背景技术

软件可信性是软件提供可信赖服务的能力或者是避免出现不可接受的频繁且严重的服务故障的能力，是软件系统的可用性、可靠性、安全性、完整性、可维护性等诸多属性在人们心目中的综合反映。可信性包括可靠性、安全性（safety,security），可用性以及其它一些属性。可信性是安全关键系统的最重要属性。不同类型软件重点关注的可信属性不同，如在航天领域，软件可信性主要是正确性、可靠性、安全性和可生存性。

嵌入式软件在航天、航空、船舶、汽车、智能电网等安全关键领域有着广泛的应用，近年来物联网、信息-物理融合系统等新兴概念和技术的兴起进一步推动了嵌入式系统及软件的发展。与此同时，如何保证嵌入式软件的可信性成为工业界和学术界最为迫切的需求和研究热点之一。

嵌入式软件具有接口多、结构复杂、实时、资源受限等特征，往往具有高可靠性、高安全性要求，与物理环境的交互带来很多不可信因素，软件行为具有不可控性和不确定性；尽管目前工业界采用了各种各样的方法用来保障嵌入式软件的可信性，取得了一些成效，但一些深层次问题还没有得到系统的解决，如动态时序、内存使用、数据使用、控制行为、协议正确性、故障处理、阶段间一致性等问题。

针对部分问题目前有一些局部的解决方法。如，对于动态时序问题，主要通过形式化建模和模型检验技术来保证系统设计的正确性；对于内存使用和数据使用等程序实现正确性问题，主要利用对软件源代码的静态分析和软件运行时的动态分析来发现缺陷。但是，软件可信性是一个内涵广泛的概念，并不存在一种单独的方法能够完全保证软件可信。近年来，模型驱动的开发方法在嵌入式软件领域得到了一些应用，在使用时首先对需求进行形式化建模、验证，然后通过代码生成器生成软件的源代码，在极大改善生产率的同时，也有效地提高了软件的可信性。这种方法在一定程度上解决了软件正确性问题，特别是避免了因传统工具或方法设计软件时存在的人为疏忽，并提高了嵌入式软件开发的效率，但它们对嵌入式软件中的几类关键可信问题缺乏针对性，没有给出系统的解决方法。

发明内容

本发明的技术解决问题是：克服现有技术的不足，提供一种嵌入式软件可信性保障方法，通过构建基于可信要素的五元组技术体系，实现在每一个研制阶段针对每一个可信要素利用理论方法、工具以及度量评估对嵌入式软件的可信性进行系统全面的保障。

本发明的技术解决方案是：一种嵌入式软件可信性保障方法，包括如下步骤：

（1）确定嵌入式软件的可信要素，包括动态时序、内存使用、数据使用、计算误差、协议正确性、状态转换、故障处理、编译等价性、编码、各阶段一致性；

（2）在步骤（1）确定的嵌入式软件可信要素的基础上构建一个五元组技术体系模型{E,S,TM,T,M}，用该五元组技术体系模型表示嵌入式软件可信性保障方法；其中E是嵌入式软件可信要素的集合，E={动态时序、内存使用、数据使用、计算误差、协议正确性、状态转换、故障处理、编译等价性、编码、各阶段一致性}；S是嵌入式软件生命周期各个研制阶段的集合，S={需求分析阶段、软件设计阶段、软件编码阶段、软件测试阶段}；TM是可信性保障理论和方法的集合，根据可信要素选择与研制阶段相匹配的可信性保障理论和方法；T是可信性保障工具的集合，T是TM的工程化形态，即相关可信性保障理论和方法对应的自动化软件工具集合；M表示可信性度量和评估；

（3）基于步骤（2）构建的五元组技术体系模型，在每一个研制阶段，针对每一个可信要素利用理论方法、工具以及度量评估进行可信性保障活动，具体过程为：首先判断S中的各个阶段是否已完成，如果未完成，则对可信要素E分解到该阶段的每个子要素和元要素，判断T中是否存在对应的工具，如果存在，则使用工具进行可信性保障，否则采用对应的指南、规范保障该要素，直到S中的所有研制阶段都已完成；当完成S中的所有研制阶段后，对软件的可信性进行度量和评估，如果评估结果满足要求，则结束；否则，按照上述步骤实施二次保障；从而实现嵌入式软件可信性的系统全面的保障。

按照可信性保障的目标，所述的嵌入式软件可信性保障方法将可信性保障活动分配到各个研制阶段，每项可信性保障活动都以可信性保障工具为支持，按照研制阶段的顺序，在各项可信性保障活动中应用T中对应的工具，或按照相应的指南和规范开发嵌入式软件。

嵌入式软件可信要素集合E中的每一个要素根据嵌入式软件生命周期各个研制阶段的集合S中的各个研制阶段进一步划分为子要素和元要素；将E中的每一个要素分解到S中的各个研制阶段，形成子要素，子要素与各个阶段完成的工作密切相关；根据每个阶段研制活动的划分，子要素继续分解形成元要素；可信性保障活动贯穿S中的各个研制阶段，在每个阶段以实现子要素和元要素的保障为目标，最终实现对可信要素的保障，也就是对软件可信性的保障。

所述的嵌入式软件可信性保障方法中，为同一个可信要素在不同研制阶段分配了不同子要素和元要素，从而保证了可信性在阶段之间的协同和正确传递。

所述的嵌入式软件可信性保障方法在完成各阶段的可信性保障活动后，按照一定的可信性度量模型对软件的可信性给出量化评估。

本发明与现有技术相比具有如下有益效果：

（1）本发明以工程实践中提炼出的嵌入式软件可信要素为基础，使得可信性保障更具有针对性。使用不同粒度的、与研制阶段相关联的可信要素来指导可信性保障活动，保证了可实施性。

（2）本发明将软件可信性保障按照可信要素分配到软件研制各阶段，使得软件可信性保障更具系统性和全面性。

（3）本发明立足当前嵌入式软件主流的研制模式，可在不改变现有软件研制流程的条件下，对软件可信性进行系统保障。

（4）本发明与目前大多数依赖过程管理体系保证软件质量的方法有明显不同，采用工具（指南、规范）作为嵌入式软件可信性保障活动的最终手段，实现了软件可信性保障从依赖人到依赖工具的转变。

附图说明

图1为本发明方法流程图；

图2为基于可信要素的五元组技术体系模型。

具体实施方式

本发明提供一种面向可信要素的嵌入式软件可信性保障方法，包括如下步骤：

所述五元组中，

1）E是嵌入式软件可信要素的集合，如表1所示。

可信要素E覆盖了影响嵌入式软件可信性的各个方面。通过面向可信要素的保障，能够有效地改善嵌入式软件的可信性。可信要素以及其具体的保障要求如表1所示。

表1 嵌入式软件的可信要素

可信要素	内容
		⑴动态时序	保证满足时间约束和时序约束
⑵内存使用	保证在有限内存上完成任务、并且正确地使用内存
		⑶数据使用	保证数据完整、有效
⑷计算误差	保证计算精度符合系统要求
		⑸协议正确性	保证通讯正确、可靠，具有一定容错能力
⑹状态转换	保证状态切换设计合理，切换条件正确
		⑺故障处理	能够对系统中的不确定因素进行预测和处理
⑻编译等价性	保证目标码与源代码等价
		⑼编码	保证编码规范、正确
⑽各阶段一致性	保证需求、设计、实现三者一致。

可信要素E包含了保障嵌入式软件可信性所需解决的关键问题。本质上是将嵌入式软件的可信性分解到若干个具体的方面，每个方面就代表一个可信要素。根据嵌入式软件应用的具体领域，E的内涵不同。同时，E是可扩展的，即嵌入式软件可信要素集合会随着可信性保障要求的变化而扩充。

2）S是嵌入式软件生命周期各个研制阶段的集合，一般包含需求分析阶段、软件设计阶段、软件编码阶段、软件测试阶段。

可信要素集合E包含三种粒度的要素，分别是要素、子要素和元要素。其中，要素是嵌入式软件的顶层可信需求，即可信要素集合中的每一个元素。保障这些顶层需求需要在软件生命周期的各个阶段预测、避免、消除导致软件不可信的因素，因此需要将要素分解到S中的各个阶段，称为子要素。子要素与各个阶段完成的工作密切相关，要素的分解保证了要素保障活动的可实施；根据每个阶段研制活动的划分，子要素可能继续分解形成元要素。这一分解过程是对可信性保障目标的具体化，可信性保障活动贯穿S中的各个阶段，在每个阶段以实现子要素和元要素的保障为目标，最终实现对可信要素的保障，也就是对软件可信性的保障。

3）TM是保障E中可信要素的相关理论和方法的集合，是可信性保障活动的理论基础。

根据可信要素划分后形成的各个子要素和元要素，选择与研制阶段相匹配的可信性保障理论和方法，形成集合TM。TM与E不是一一对应的，一个可信要素可能对应TM中的多个理论和方法，也可能某个可信要素的解决还没有适用的理论和方法。因此，TM是随着理论研究和技术进步不断扩展的。

4）T是可信性保障工具（指南、规范）的集合。

T是TM的工程化形态，就是相关可信性保障理论和方法对应的自动化软件工具集合。通过将这些工具应用到嵌入式软件可信性保障的实践中，实现对可信要素的保障，减少对人的依赖。其中，由于技术水平的限制，有些可信性保障理论和方法还无法形成自动化的工具，因此，需制定相应的可信性保障指南和规范辅助人去实施这些理论和方法。

5）M表示软件可信性度量和评估，是对软件的可信性进行量化度量的一项活动。当在S的各个阶段都已经完成了针对各项要素（子要素、元要素）的可信性保障活动后，要根据面向可信要素的可信性度量模型对软件可信性进行评估。

上述五元组，也可以使用表格的形式来表示，具体如表2所示。

面向可信要素的嵌入式软件可信性保障方法，首先根据嵌入式软件特征和具体应用领域的软件可信需求，提炼出可信要素；再根据嵌入式软件生命周期的研制阶段，将可信要素进一步细化到阶段，即一个可信要素e可划分为{<s₁,e₁>,<s₁,e₂>,<s₂,e₃>,<s₄,e₄>，……}，其中s表示阶段，e_i表示对应的子要素或元要素。

面向可信要素的嵌入式软件可信性保障方法，对于同一个可信要素在不同阶段分配的子要素，保证了可信性在阶段之间的协同和正确传递。

面向可信要素的嵌入式软件可信性保障方法，按照可信性保障的目标，将可信性保障活动分配到各个研制阶段，每项可信性保障活动都以可信性保障工具（指南、规范）为支持。按照研制阶段的顺序，在各项可信性保障活动中应用T中对应的工具，或按照相应的指南和规范开发嵌入式软件。

面向可信要素的嵌入式软件可信性保障方法，在完成各阶段的可信性保障活动后，按照一定的可信性度量模型对软件的可信性给出量化评估。

下面结合实例来进一步说明本发明的技术方案。

以嵌入式控制软件的典型研制过程为例，其研制阶段集合S={需求分析阶段，软件设计阶段,软件编码阶段,软件测试阶段}。

然后对E中的各可信要素按照S中的阶段进行进一步提炼。

以动态时序为例进行说明：

需求阶段可进一步提炼出以下子要素和元要素：

（1）子要素1：中断的使用

具体分解为以下元要素：a）中断分配；b）中断嵌套关系；c）中断开关方式；d）中断的事件特性；e）未使用中断的处理方式。

（2）子要素2：功能需求的实时性

具体分解为元要素：a）识别每项功能的执行时间和顺序；b）分析系统中的关键任务、事件、过程和数据是否会因中断或中断嵌套不能执行；c）分析中断丢失及其影响域。

（3）子要素3：通讯过程的实时性

具体分解为元要素：a)数据采集过程：数据采集的时刻、采集顺序。b)要明确信号的建立时间和保持时间；c)指令输出过程；d)总线通讯过程。

（4）子要素4：余量和裕度

元要素：识别每个时间参数的设计指标和允许容差。

设计阶段的子要素和元要素如下所述：

（1）子要素1：并发体系结构设计

元要素：a）确定体系结构：前后台系统或实时操作系统任务调度；b）任务或中断的抢占关系设计；c）任务或中断的同步方式。

（2）子要素2：软件功能分配和时间时序设计

元要素：a）分配功能到各个并发任务或中断；b）根据需求阶段识别的要求对各个功能的时间进行分配；c）设计合理的功能时序关系。

（3）子要素3：中断设计

元要素：a）中断数量；b）中断发生的频率；c）中断优先级设置；d）中断处理时间；e）中断之间的共享资源；f）中断开关时机。

软件实现阶段的子要素和元要素如下：

（1）子要素1：静态分析

元要素：a）安全编码规则检查；b）WCET分析；c）数据竞争分析。

（2）子要素2：编译优化的影响

元要素：a）编译工具；b）编译优化选项。

软件测试阶段的子要素和元要素如下：

（1）子要素1：中断时序测试

元要素：a）中断嵌套的用例设计；b）中断丢失的用例设计；c）共享内存完整性破坏的用例设计。

（2）子要素2：通讯时序测试

元要素：a）信息采集时序测试；b）控制命令发送时序测试；c）采用异步串口的单机通讯时序测试；d）采用总线的单机通讯时序测试；e)中断处理时序测试；f）与其他分系统时序测试。

根据上述可信要素的划分，通过研究得到相应的可信保障理论和方法，并在此基础上利用工具（指南、规范）在实际工程中实施动态时序的可信性保障。例如，对于需求阶段的子要素1，可采用的理论方法为基于时间自动机的时序建模方法，通过形式化建模有效地刻画出该子要素，可用时序建模工具和时间自动机验证工具进行具体的建模和验证工作。对于软件设计阶段的子要素3，可通过制定指南进行保障，如《航天嵌入式软件中断设计指南》和《操作系统资源共享指南》等。

对每个阶段的要素划分都识别出相应的理论方法和工具（指南、规范），形成如表2所示的技术体系。

表2 动态时序正确性保障技术体系

在嵌入式软件开发过程中，按照表2的技术体系在软件研制的各个阶段应用相关的工具、指南和规范（这一过程可通过一个集成化的平台实现，该平台集成各个可信性保障工具以及指南和规范），对嵌入式软件的可信性进行全面的保障，同时实现软件可信性保障从依赖人到依赖工具的转变。

最后，利用可信性度量模型对各可信要素的保障进行量化评估。可信性度量模型可设计为打分表，依靠领域专家的经验进行评估。若可信性度量结果不满足要求，则需要对相关要素进行二次保障，直到形成满足要求的可信软件。

以上所述，仅为本发明的较佳实例而已，并非用于限定本发明的保护范围。

本发明未详细描述内容为本领域技术人员公知技术。

Claims

1.一种嵌入式软件可信性保障方法，其特征在于包括如下步骤：

(1)确定嵌入式软件的可信要素，包括动态时序、内存使用、数据使用、计算误差、协议正确性、状态转换、故障处理、编译等价性、编码、各阶段一致性；

(2)在步骤(1)确定的嵌入式软件可信要素的基础上构建一个五元组技术体系模型{E,S,TM,T,M}，用该五元组技术体系模型表示嵌入式软件可信性保障方法；其中E是嵌入式软件可信要素的集合，E＝{动态时序、内存使用、数据使用、计算误差、协议正确性、状态转换、故障处理、编译等价性、编码、各阶段一致性}；S是嵌入式软件生命周期各个研制阶段的集合，S＝{需求分析阶段、软件设计阶段、软件编码阶段、软件测试阶段}；TM是可信性保障理论和方法的集合，根据可信要素选择与研制阶段相匹配的可信性保障理论和方法；T是可信性保障工具的集合，T是TM的工程化形态，即相关可信性保障理论和方法对应的自动化软件工具集合；M表示可信性度量和评估；

(3)基于步骤(2)构建的五元组技术体系模型，在每一个研制阶段，针对每一个可信要素利用理论方法、工具以及度量评估进行可信性保障活动，具体过程为：首先判断S中的各个阶段是否已完成，如果未完成，则对可信要素E分解到该阶段的每个子要素和元要素，判断T中是否存在对应的工具，如果存在，则使用工具进行可信性保障，否则采用对应的指南、规范保障该要素，直到S中的所有研制阶段都已完成；当完成S中的所有研制阶段后，对软件的可信性进行度量和评估，如果评估结果满足要求，则结束；否则，按照上述步骤实施二次保障；从而实现嵌入式软件可信性的系统全面的保障；

嵌入式软件可信要素集合E中的每一个要素根据嵌入式软件生命周期各个研制阶段的集合S中的各个研制阶段进一步划分为子要素和元要素；将E中的每一个要素分解到S中的各个研制阶段，形成子要素，子要素与各个阶段完成的工作密切相关；根据每个阶段研制活动的划分，子要素继续分解形成元要素；可信性保障活动贯穿S中的各个研制阶段，在每个阶段以实现子要素和元要素的保障为目标，最终实现对可信要素的保障，也就是对软件可信性的保障；

2.根据权利要求1所述的一种嵌入式软件可信性保障方法，其特征在于：按照可信性保障的目标，所述的嵌入式软件可信性保障方法将可信性保障活动分配到各个研制阶段，每项可信性保障活动都以可信性保障工具为支持，按照研制阶段的顺序，在各项可信性保障活动中应用T中对应的工具，或按照相应的指南和规范开发嵌入式软件。

3.根据权利要求1所述的一种嵌入式软件可信性保障方法，其特征在于：所述的嵌入式软件可信性保障方法中，为同一个可信要素在不同研制阶段分配了不同子要素和元要素，从而保证了可信性在阶段之间的协同和正确传递。