CN103678101A - 高速列车网络控制系统的软件可靠性检测方法 - Google Patents

Abstract

本发明涉及一种检测高速列车网络控制系统的可靠性的方法，通过可靠性测试过程中获取的错误发生时间数据，根据Jelinski-Moranda模型的公式，使用极大似然估计方法获取模型参数，再代入模型公式获得系统的各个可靠性参数的结果来判断系统是否满足可靠性要求。本发明通过测试过程中获取的错误发生时间数据，使用可靠性增长模型推导的公式，可以定量评估软件可靠性的参数，同时可以预计还需要多少测试时间或发现多少问题才能使软件达到可靠性要求，为测试人员或管理人员控制测试进度，把握项目进度提供参考。而且本发明的检测系统与使用的程序设计语言无关。软件系统可靠性的检测与选用什么程序语言来编写软件之间没有直接联系。

Description

高速列车网络控制系统的软件可靠性检测方法

技术领域

本发明涉及软件的可靠性检测技术，特别涉及能够针对高速列车网络控制系统给出定量的可靠性指标来检测高速列车网络控制系统的可靠性的方法。 

背景技术

软件是当今世界发展最为迅速的产业，然而由此也带来了一个十分困难的问题——软件的质量与可靠性问题。软件规模的快速膨胀，使其质量难以保证。20世纪70年代引发的软件危机，促成了软件工程的诞生。 

高速列车网络控制系统是软件密集型系统，软件的质量和可靠性至关重要。随着计算机软硬件技术的飞速发展，为满足现代列车技术发展的需要，高速列车大量使用计算机系统，许多计算机系统对于保证列车运行的可靠性、安全性起着至关重要的作用。而作为其核心部分的计算机软件的质量也日益受到人们的关注。由于计算机软件缺陷导致的系统失效可能导致灾难性后果。 

软件产品的三个重要特性是质量、费用和进度。提出软件工程的目的就是要在一定的费用和进度限制下，开发出高质量的软件产品。对费用、进度的度量十分容易，但是对软件质量的度量却十分困难，但却非常重要。 

软件质量包括六个特性：功能性、可靠性、易用性、效率、维护性和可移植性。其中软件可靠性是最重要的特性，也是最易定量度量的特性。 

软件的可靠程度需用软件可靠性度量来表示，通过量化指标来考核软件可靠性水平，常用参数包括：可靠度、失效率和平均失效间隔时间等。各个参数定义如下： 

（1）可靠度 

软件可靠度R是指软件在规定的条件下，规定的时间段内完成预定的功能的概率。或者说是软件在预定时间内无失效发生的概率。 

设规定的时间段为t₀，软件发生失效的时间为ξ，则： 

可靠度         R(t₀)=p(ξ＞t₀) 

不可靠度       F(t₀)＝1-R(t₀)＝P(ξ≤t₀) 

失效密度函数   f(t)＝dF(t)/dt 

（2）失效率和失效强度 

失效率是指在t时刻尚未发生失效的情况下，在t时刻单位时间内发生失效的概率。 

$Z\left(t\right)=\underset{\mathrm{\&Delta;t}\&RightArrow;0}{\lim }\frac{P(t<\mathrm{\&xi;}<t+\mathrm{\&Delta;t}|\mathrm{\&xi;}>t)}{\mathrm{\&Delta;t}}=\frac{f\left(t\right)}{R\left(t\right)}$

失效强度：假设软件在t时刻发生的失效数为M（t），显然M（t）是一个随机数，且随时间t的变化而不同，即{M（t），t＞0}为一随机过程。设μ(t)为随机变量M（t）的均值，即有μ(t)=E[M（t）]，则λ(t)=dμ(t)/dt为t时刻的失效强度。 

失效率和失效强度是两个不同的概念，但密切相关。失效率（failure rate）有时也被翻译成故障率，其定义和硬件可靠性中失效率定义一致，是基于寿命的观点给出的，是一个条件概率密度。而失效强度是基于随机过程定义的，是失效数均值的变化率。硬件可靠性中失效率用λ表示，而在软件可靠性中，λ用来表示失效强度。为了区别，失效率用Z表示。有些文献中，也将失效率称为危险率（hazard rate）。 

某些情况下，软件失效率和失效强度相等，可以相互通用。{M（t），t＞0}为一泊松过程时，条件失效率函数Z(Δt|t_i)和失效强度函数λ(Δt+t_i)是相同的；如果在稳定使用软件、且不对软件作任何修改的条件下，软件的失效强度应为一个常值，且：λ=Z=常值，这时{M（t），t＞0}为一齐次泊松过程。本发明中，失效率和失效强度不作区别。 

（3）平均失效前时间MTTF/平均失效间隔时间MTBF 

MTTF是指当前时间到下一次失效时间的均值。MTBF是指两次相邻失效时间间隔的均值。在硬件可靠性中，MTTF用于不可修复产品，MTBF用于可修复产品；对于软件不能简单地用同样概念区分，因为软件中不存在不可修复的失效。软件中二者差异在于研究的事件对象是TTF还是TBF。TTF是指从当前时间开始运行软件到出现下次失效的时间，而TBF是指上次失效到下一次失效的时间间隔，该时间间隔严格的说出了包括重新启动系统直到下一次发生失效的时间外，还应包括重新启动系统之前的诸如失效处理等工作时间。但这一部分时间在整个程序运行时间中一般占相当小的比例，如果不考虑这一部分的工作时间的话，TTF和TBF是完全一致的。本发明中不区分两个概念，可以相互通用。 

现有技术中，高速列车网络控制系统明确要求的系统可靠性参数及计算方法有以下几个： 

1.失效率λ（故障率） 

通过故障发生的次数x与所考虑相同单元的数量n和对应观测时间的关系，计算与时间相关的故障率： 

${\mathrm{\&lambda;}}_s=\frac{x}{n*t}$

即对某一系统进行测试时，可选取n个该系统同时进行测试，记录n个系统总的测试时间t与故障发生次数x，代入上述公式。 

通过故障发生的次数x与所考虑相同单元的数量n和对应观测里程的关系，计算与里程相关的故障率： 

${\mathrm{\&lambda;}}_s=\frac{x}{n*s}$

2.MTBF/MDBF（平均故障里程） 

假定一种故障情况是对时间的常量，则利用下面公式计算MTBF： 

$\mathrm{MTBF}=\frac{1}{{\mathrm{\&lambda;}}_s}$

同理求得MDBF：    $\mathrm{MDBF}=\frac{1}{{\mathrm{\&lambda;}}_s}$

通过平均速度V_D，可以将时间相关可靠性参数和里程相关可靠性参数相互转换。 

V_D＝s/t 

其中S为平均运行里程，t为平均运行时间。 

MDBF＝MTBF×V_D

${\mathrm{\&lambda;}}_s=\frac{{\mathrm{\&lambda;}}_t}{V_D}$

要求的可靠性指标为： 

对于1类故障，MDBF=400.000km；对于2类故障，MDBF=100.000km。 

发明内容

如果使用上述公式的检测方法由于需要完成可靠性完全测试，耗费大量的时间与人力物力，为了解决现有技术中的不足，本方法提供一种新的面向高速列车网络控制系统进行可靠性检测的方法，通过可靠性测试过程中获取的错误发生时间数据，根据Jelinski-Moranda模型的公式，使用极大似然估计方法获取模型参数，再代入模型公式获得系统的各个可靠性参数的结果来判断系统是否满足可靠性要求。 

为了实现上述目的，本发明采用Jelinski-Moranda模型的原因是由于该模型假设条件与 原有要求的假设条件一致，都是假设故障是对时间的常量。此方法可以在某些条件下代替原有公式检测方法，节约大量的时间与人力物力，提高效率。关于Jelinski-Moranda模型的详细介绍，可参考《Handbook of Software Reliability Engineering》第三章或其它相关文献；关于极大似然估计方法的详细介绍，可参考清华大学出版社出版的《概率论与数理统计》第7章或其它关于概率统计的教材。 

本发明面向高速列车网络控制系统的软件可靠性检测方法，其步骤包括： 

1）读取列车网络控制系统中的失效数据，所述失效数据包括：当前第几个失效、失效相对时间和用户自定义失效严重级别，并以TXT文本形式保存至本地； 

2）对所述失效数据在设定条件下建立可靠性参数的Jelinski-Moranda模型； 

3）根据所述模型中任意时刻上单个失效率密度函数和单个失效不可靠度得到该网络控制系统中失效强度函数和失效均值函数； 

4）根据极大似然估计法对所述函数中的参数进行估计； 

5）将估计值返回所述模型中计算公式，得到可靠性判断参数，检测当前结果是否满足设定的可靠性条件。 

所述建立Jelinski-Moranda模型的设定条件为： 

2-1）对于软件中未知常数错误总数N且测试环境与预期的使用环境相同时，该模型构成条件满足：所有失效发生的可能性相同、用户自定义失效的严重性级别相同且相互独立和/或程序的失效率在每个失效间隔时间内是常数； 

2-2）若满足步骤2-1）中的设定条件，所述模型构成满足：测试中检测到错误被纠正时排错时间忽略不计且不引入新的错误和/或所述失效率数值正比于程序中残留错误数。 

所述Jelinski-Moranda模型中每个失效时间内失效率为：Z(t)=Ф(N-i+1)，其中Ф是单个失效的失效率，t是第i-1次失效至第i次失效的时间间隔。 

根据所述每个失效时间内失效率Z(t)得到：单个失效的不可靠度F_a(t)＝1-exp(-Фt)、单个失效率密度函数f_a(t)=Фexp(-Фt)、单个失效率Z_a(t)=Ф。 

所述极大似然估计法中基于失效间隔时间x＝(x₁,x₂,……x_n)的给定子样本，建立总错误数N和单个失效率Ф的似然函数。 

所述估计值返回所述模型计算公式中可靠性判断参数包括： 

可靠度R(t)=exp[-Ф(N-i+1)t]；失效率Z(t)=Ф(N-i+1)和平均失效间隔时间 

其中，t为第i-1次失效至第i次失效之间任一时刻，N为错误总数，i为0到N之间的任意整数，表示当前发现的第几个失效数据。 

更进一步，对所述模型计算公式中失效率Z(t)和R(t)设为已知量，得到检测软件可靠性需要的测试时间t和发现的失效数据i。 

更进一步，所述检测当前结果是否满足可靠性条件的参数为：一类故障，MDBF=400.000km；二类故障，MDBF=100.000km。 

更进一步，所述失效数据的时间单位取分、秒、小时； 

更进一步，所述失效数据中故障类型分为软件故障和硬件故障。 

本发明的技术效果如下： 

本发明通过测试过程中获取的错误发生时间数据，使用可靠性增长模型推导的公式，可以定量评估软件可靠性的参数。 

可以预计还需要多少测试时间或发现多少问题才能使软件达到可靠性要求，为测试人员或管理人员控制测试进度，把握项目进度提供参考。 

可以图形化展示软件可靠性随时间变化的曲线。 

本发明所述检测系统与使用的程序设计语言无关。软件系统可靠性的检测与选用什么程序语言来编写软件之间没有直接联系。同时，也与具体用到的软件开发方法无关。 

附图说明

图1是本发明高速列车网络控制系统的软件可靠性检测方法流程图。 

图2是本发明中一实施例操作步骤流程图。 

图3是本发明一实施例中明软件可靠性检测方法中软件可靠性变化趋势的错误—时间曲线关系图。 

具体实施方式

发明原理 

如图1所示高速列车网络控制系统的软件可靠性检测方法流程图，包括如下步骤： 

读取失效数据文本文件，将失效数据导入到系统中，为模型分析提供数据。本方法中，失效数据文件以txt文本形式保存在硬盘中，本方法提供文本读取程序来读取文件。失效数据内容包括失效为当前第几个失效，失效相对时间以及失效的严重级别。其中前两项数据内 容为软件可靠性工程中定义的必要输入数据，第三项为本发明中根据需求自己定义的数据内容，失效级别定义方法如下： 

1类故障：由严重的技术问题引起，列车在到达目的站前必须停车，或出于同样的原因不能按计划发车，需要备用列车或拖车。如不能牵引、压缩空气供应完全故障或空气制动完全故障等； 

2类故障：列车不可能再按目的地时间表继续运行且类车过早的不能正常运营，需要考虑动车组的受限运行，但不需要拖动车辆。如牵引性能降到50%、火警系统完全故障、一个转向架的车轮防滑装置故障等； 

3类故障：车辆在最小受限限度下运营，但最高运营速度至少高于100km/h。如供热、通风和空调部分故障； 

4类故障：车辆在不降低最高运营速度的条件下运营。该类故障在预定运营结束后即可修正，对预定运营没有实质性影响。 

根据Jelinski-Moranda模型，建立失效率、可靠度、平均失效间隔时间等可靠性参数的计算公式。 

此模型假设条件如下： 

1）观测开始后软件中的错误总数为N，是一个未知常数； 

2）所有失效发生的可能性相同，相互独立，且失效的严重性级别相同； 

3）测试中检测到的错误立刻被纠正，排错时间忽略不计，且不引入新的错误； 

4）程序的失效率在每个失效间隔时间内是常数，其数值正比于程序中残留的错误数，在第i个测试区间内，失效率为：Z(X_i)＝Ф(N-i+1)，其中Ф是一比例常数，为单个失效的失效率，X_i为第i-1次失效至第i次失效的时间间隔，是一个随机变量； 

5）软件的测试环境与预期的使用环境相同。 

在本发明中由于并不能确认软件是否满足如上条件，所以先假设软件满足以上所有条件，然后进行推导计算，将模型计算结果与测试获取的真实结果比较，如果比较结果接近则可认为软件基本满足假设条件，可以使用本方法的检测结果。 

设t为第i-1次失效至第i次失效之间的任一时刻，由失效率： 

$Z\left(t\right)=\frac{f\left(t\right)}{R\left(t\right)}=\frac{F^{\&prime;}\left(t\right)}{R\left(t\right)}=\frac{-R^{\&prime;}\left(t\right)}{R\left(t\right)}=\mathrm{\&Phi;}(N-i+1)$

其中，f(t)为失效密度函数，R(t)为可靠度。 

${\&Integral;}_0^{t}Z\left(x\right)\mathrm{dx}={\&Integral;}_0^t\frac{-R^{\&prime;}\left(x\right)}{R\left(x\right)}\mathrm{dx}={\&Integral;}_0^t-d\left[\ln R\left(x\right)\right]=-\ln R\left(t\right)$

其中，t为第i-1次失效至第i次失效之间的任一时刻， 

通过对z（x）积分推导出其与可靠度R（t）的关系式，从而获取下面可靠度的公式。N为假设第一条中提到的错误总数，i为0到N之间的任意整数，表示当前发现的第几个失效。 

可得 

$R\left(t\right)=\exp [-{\&Integral;}_0^{t}Z\left(x\right)\mathrm{dx}]=\exp [-\mathrm{\&Phi;}(N-i+1)t]$

F(t)＝1-exp[-Ф(N-i-1)t] 

f(t)＝Ф(N-i+1)exp [-Ф(N-i-1)t] 

$\mathrm{MTTF}={\&Integral;}_0^{\&Proportional;}R\left(t\right)\mathrm{dt}=-\frac{1}{\mathrm{\&Phi;}(N-i+1)}\exp [-\mathrm{\&Phi;}(N-i+1)t]{|}_0^{\&Proportional;}=\frac{1}{\mathrm{\&Phi;}(N-i+1)}$

由上面推导可知失效率为常数时，失效时间服从指数分布，MTTB（或MTBF）与失效率为倒数关系，此种假设与项目中指标假设是一致的。 

对此模型，单个失效的不可靠度F_a(t)＝1-exp (-Фt)、失效率密度函数f_a(t)＝Фexp(-Фt)、失效率Z_a(t)＝Ф对所有失效都相同。由单独的失效率密度可以得到累积失效强度： 

λ(t)＝Nf_a(t)＝NФexp(-Фt)

同理可得累积失效数的均值函数： 

μ(t)＝NF_a(t)＝N[1-exp(-Фt)] 

由以上公式可知，如果我们能知道N和Ф的值，就可以得到我们关心的可靠性参数值。而实际中我们无法得到总错误数N和比例常数Ф的真实值，因此需要选用一定的方法得到它们的估计值。本发明中选用极大似然估计法来获得估计值。 

极大似然估计法的步骤如下： 

1)写出似然函数。设密度函数为f(x；θ)，且x＝(x₁，x₂，......x_n)是一个给定的子样本，则似然函数为： 

$L(\mathrm{\&theta;};x)=\underset{i=1}{\overset{n}{\mathrm{\&Pi;}}}f(x_i;\mathrm{\&theta;})$

2)对似然函数取对数后求导，得到似然方程： 

$\frac{\&PartialD;\ln L(\mathrm{\&theta;};x)}{\&PartialD;\mathrm{\&theta;}}=0$

在此模型中如果测试得到失效间隔时间为x₁，X₂，......x_n，则N和Ф的似然函数为： 

$L(N,\mathrm{\&Phi;})=\underset{i=1}{\overset{n}{\mathrm{\&Pi;}}}\mathrm{\&Phi;}(N-i+1)\exp [-\mathrm{\&Phi;}(N-i+1)x_i]$

求解 

$\frac{\&PartialD;\ln L(N,\mathrm{\&Phi;})}{\&PartialD;N}=0$ $\frac{\&PartialD;\ln L(N,\mathrm{\&Phi;})}{\&PartialD;\mathrm{\&Phi;}}=0$

得 

$\widehat{\mathrm{\&Phi;}}=\frac{n}{\hat{N}\left({\mathrm{\&Sigma;}}_{i=1}^n{x}_i\right)-{\mathrm{\&Sigma;}}_{i=1}^n(i-1)x_i}$

$\underset{i=1}{\overset{n}{\mathrm{\&Sigma;}}}\frac{1}{\hat{N}-(i-1)}=\frac{n}{\hat{N}(1/{\mathrm{\&Sigma;}}_{i=1}^n{x}_i)\left({\mathrm{\&Sigma;}}_{i=1}^n(i-1)x_i\right)}$

当    

时似然方程无合理解，    

时有唯一合理解。 

将得到的估计值代入Z(t)、R(t)、MTTF等参数的计算公式，即可求得这些参数的估计值。 

如果当前计算结果没有达到要求的指标，（如前文提到一类故障要求MDBF为400.000）当前结果不能满足可靠性要求，本发明可以对还需多少测试时间或发现多少问题才能达到要求可靠性水平等进行预测，并图形化展示可靠性随测试时间的变化趋势。即在前面公式中将失效率、可靠性指标作为已知量代入公式，反过来计算公式中的i和t。 

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。此处所描述的具体实施例仅用以解释本发明，并不用于限定本发明，所用实例可使用C#、JAVA、C++等开发的程序进行模拟。 

如图2所示是本发明高速列车网络控制系统的软件可靠性检测方法操作步骤流程图下面举例具体说明本系统技术方案。下表所示为某系统测试结果，共记录测试得到的8个故障的 信息。第一列表示故障间隔时间，即本故障发生时距上一故障发生的时间，时间单位可以根据实际情况取分、秒、小时等；第二列表示故障类型，“0”表示故障为软件故障，“1”表示故障为硬件故障，由于本系统专门进行软件系统的可靠性检测，因此无特殊情况，第二列数据应全部为“0”；第三列表示故障的严重级别，具体分级根据需求划定。 

表1 

列1	列2	列3
			1.00000	0	1
1.50000	0	2
			2.00000	0	3
2.50000	0	1
			2.50000	0	1
3.00000	0	1
			4.00000	0	2
6.00000	0	1

将上表1测试数据作为输入，根据本发明中提到的方法，首先通过极大似然估计法估算出比例常数Ф和总失效数N，如下表2模型分析结果所示，Ф的值0.0898，N的值为9，再将Ф和N的值代入Jelinski-Moranda模型所推导出的公式中，即可得到各个可靠性指标参数值。具体结果可见下表2。 

表2 

可靠性参数	计算结果
		比例常数	0.08098
初始失效强度函数	0.72986
		当前失效强度函数	0.11801
当前平均故障间隔时间	12.19185
		当前平均故障间隔里程	2438.36980
总失效数	9
		剩余失效数	1

给定预测目标值，同样根据模型公式可以得到相关指标数据，具体结果见下表3预测结果。 

表3 

如图3所示，带*号的曲线为真实测试数据拟合的曲线，不带*号的曲线为模型预测的曲线。曲线横坐标为检测出的失效个数，纵坐标为总的测试时间。第i个失效与第i+1个失效之间的时间差可以认为是在检测到第i个失效后系统当前的平均故障时间。如果两条曲线比较接近，说明模型模拟的效果较好，可以认为被测系统符合模型假设，可以使用模型的检测结果。 

Claims (10)

1.一种高速列车网络控制系统的软件可靠性检测方法，其步骤包括：

1）读取列车网络控制系统中的失效数据，所述失效数据包括：当前第几个失效、失效相对时间和用户自定义失效严重级别，并以TXT文本形式保存至本地；

2）对所述失效数据在设定条件下建立可靠性参数的Jelinski-Moranda模型；

3）根据所述模型中任意时刻上单个失效率密度函数和单个失效不可靠度得到该网络控制系统中失效强度函数和失效均值函数；

4）根据极大似然估计法对所述函数中的参数进行估计；

5）将估计值返回所述模型中计算公式，得到可靠性判断参数，检测当前结果是否满足设定的可靠性条件。

2.如权利要求1所述的高速列车网络控制系统的软件可靠性检测方法，其特征在于，所述建立Jelinski-Moranda模型的设定条件为：

2-1）对于软件中未知常数错误总数N 且测试环境与预期的使用环境相同时，该模型构成条件满足：所有失效发生的可能性相同、用户自定义失效的严重性级别相同且相互独立和/或程序的失效率在每个失效间隔时间内是常数；

2-2）若满足步骤2-1）中的设定条件，所述模型构成满足：测试中检测到错误被纠正时排错时间忽略不计且不引入新的错误和/或所述失效率数值正比于程序中残留错误数。

3.如权利要求1所述的高速列车网络控制系统的软件可靠性检测方法，其特征在于，所述Jelinski-Moranda模型中每个失效时间内失效率为：Z(t)=Ф(N-i+1)，其中Ф是单个失效的失效率，t是第i-1次失效至第i次失效的时间间隔。

4.如权利要求3所述的高速列车网络控制系统的软件可靠性检测方法，其特征在于，根据所述每个失效时间内失效率Z(t)得到：单个失效的不可靠度F_a(t)＝1-exp(-Фt)、单个失效率密度函数f_a(t)=Фexp(-Фt)、单个失效率Z_a(t)=Ф。

5.如权利要求1所述的高速列车网络控制系统的软件可靠性检测方法，其特征在于，所述极大似然估计法中基于失效间隔时间x＝(x₁,x₂,……x_n)的给定子样本，建立总错误数N和单个失效率Ф的似然函数。

6.如权利要求1所述的高速列车网络控制系统的软件可靠性检测方法，其特征在于，所述估计值返回所述模型计算公式中可靠性判断参数包括：

可靠度R(t)=exp[-Ф(N-i+1)t；失效率Z(t)=Ф(N-i+1)和平均失效间隔时间

其中，t为第i-1次失效至第i次失效之间任一时刻，N为错误总数，i为0到N之间的任意整数，表示当前发现的第几个失效数据。

7.如权利要求6所述的高速列车网络控制系统的软件可靠性检测方法，其特征在于，对所述模型计算公式中失效率Z(t)和R(t)设为已知量，得到检测软件可靠性需要的测试时间t和发现的失效数据i。

8.如权利要求1所述的高速列车网络控制系统的软件可靠性检测方法，其特征在于，所述检测当前结果是否满足可靠性条件的参数为：一类故障，MDBF=400.000km；二类故障，MDBF=100.000km。

9.如权利要求1所述的高速列车网络控制系统的软件可靠性检测方法，其特征在于，所述失效数据的时间单位取分、秒、小时。

10.如权利要求1所述的高速列车网络控制系统的软件可靠性检测方法，其特征在于，所述失效数据中故障类型分为软件故障和硬件故障。

Images