CN105608247B - 面向ima资源安全性分析的aadl到ecpn模型转换方法 - Google Patents

Abstract

本发明是一种面向IMA资源安全性分析的AADL到ECPN模型转换方法，用于航空电子系统建模与分析。本方法将IMA系统映射的AADL模型作为源模型，基于CPN，扩展定义了变迁点火的时间函数和颜色集，修改了变迁点火规则；将处理器、虚拟处理器和分区映射为库所，将通信和分区调度映射为变迁，将分区通信数据、起始时间和调用次数映射为库所中的托肯，将分区的执行时间映射为时间函数，将分区的调用周期映射为弧函数，将IMA系统运行时对资源的约束映射为守卫函数；本发明在模型转换过程中不丢失任何关键资源建模元素，可准确描述IMA系统的时间资源和物理资源，帮助分析系统的资源配置问题。

Description

面向IMA资源安全性分析的AADL到ECPN模型转换方法

技术领域

本发明涉及一种系统资源配置中的安全性分析方法，具体涉及一种面向综合模块化航空电子(IMA)系统资源安全性分析的架构分析和设计语言(AADL)到扩展着色petri网(ECPN)的模型转换技术，属于航空电子系统建模与分析领域。

背景技术

随着计算机和软件技术的发展，综合模块化航空电子IMA被广泛应用于航空电子系统。相比于传统的航空电子所包括的传感器设备、计算资源和通信网络，IMA提供了一个可共享并且灵活的硬件和软件资源通用平台[参考文件1：Watkins C B,WalterR.Transitioning from federated avionics architectures to integrated modularavionics[C]//Digital Avionics Systems Conference,2007.DASC'07.IEEE/AIAA26th.IEEE,2007:2.A.1-1-2.A.1-10.]。由于架构固有的强健的分区机制，IMA平台上可以驻留不同安全等级的航空电子应用。ARINC 653标准(航空电子应用标准软件接口)提出的时间和空间分区是IMA系统的核心概念[参考文件2：Airlines Electronic EngineeringCommittee.Avionics Application Software Standard Interface[M].AeronauticalRadio,1997.]。时间分区保证了通信网络和处理时间片等共享资源可以完全被一个分区占用而不被其他分区干扰，也保证了应用的实时性要求。空间分区保证了应用在共享资源时仅使用预先分配的物理资源。由于这种分区机制，时间资源和物理资源的分配都很重要。只有当每个应用程序分配足够的时间资源和物理资源时，应用才能正确运行并且满足实时要求。因此，在设计阶段对IMA系统资源的建模与分析是不可缺少的步骤。

综合模块化航空电子设备架构是由两个主要标准定义的。ARINC 653标准用于民用领域而ASAAC标准用于军事领域。本发明介绍的IMA体系结构基于ARINC 653标准[参考文件3：Prisaznuk P J.ARINC 653role in integrated modular avionics(IMA)[C]//Digital Avionics Systems Conference,2008.DASC 2008.IEEE/AIAA 27th.IEEE,2008:1.E.5-1-1.E.5-10.]，如图1所示，IMA体系结构分为三层：应用层(Application layer)、操作系统层(Operating layer)和硬件支持层(Hardware support layer)，层与层之间由定义的API(应用程序接口)连接，不同的应用驻留在不同分区。应用层与操作系统层之间为标准接口APEX，操作系统层与硬件支持层之间为CO-EX接口。应用软件和操作系统、操作系统和硬件分区之间相互隔离，资源不能共享。分区是调度和资源分配的基本单位。

分区是ARINC653标准的核心概念，它包括时间和空间分区。一个分区里的所有的进程能够访问分配给该分区的资源，而不同分区的应用分布在不同的时间和空间域中。应用通过时间分区和空间分区来使用共享资源有利于保护自身不受其他应用干扰。利用这种鲁棒性的分区机制，不同关键等级的应用能够在不影响系统可靠性和安全性的条件下成功集成到同一个处理平台上。但时间资源和物理资源的分配是否充足直接影响应用程序的正确执行，然而资源的分配是一个复杂且容易出错的过程，通常系统设计者可以利用建模和分析方法完成该过程。

2004年11月自动化工程师协会(SAE)发布了架构分析和设计语言(AADL)。AADL建模能够很好的描述和分析软硬件架构以及实时系统的组件关联。此外，抽象的软件，硬件和系统组件，以及支持属性的扩展，有利于建模和分析复杂的嵌入式实时系统。AADL标准包含文本AADL、图形AADL、XML交换格式以及附件库。在AADL模型中，建模元素和其之间的关系如图2所示[参考文件4：Feiler P H,Gluch D P,Hudak J J.The architecture analysis&design language(AADL):An introduction[R].Carnegie-Mellon Univ Pittsburgh PASoftware Engineering Inst,2006.]。AADL的组件包括三类：应用软件、硬件和系统组件。软件组件描述了可执行的二进制代码和数据，包括进程、线程、线程组、数据和子程序，硬件组件则描述了计算资源和软件与硬件的绑定关系。处理器、存储器、总线和设备组成了执行平台组件。软件、硬件和其他组件通过系统组件，集成在一起构成一个系统架构。

AADL支持在不同的层次中进行系统建模。首先对系统的各个模块及其交互进行总体的建模，然后逐步优化每个模块中的建模元素。具体AADL建模过程如下:

(1)根据需求分析，选择合适的组件类型和一些组件元素(即特征、流和属性)。

(2)为每个组件创建组件实现，然后将所需的元素(例如子组件、连接方式、流和属性)添加到组件实现，对其进行组件类型的优化处理。

(3)建立系统组件类型和实现来表示系统的边界。将所有的组件实现及其联系添加到系统实现。

AADL是目前使用最广泛的方法来设计和开发嵌入式实时系统。AADL模型能够描述系统架构，同时基于AADL模型各种非功能性属性可以进行验证，有助于在系统设计阶段快速发现各种问题，减少系统开发和维护成本。AADL更适合应用于强实时性需求和高可靠性，有资源约束(如尺寸、重量和功率)的嵌入式系统，例如航空航天、医疗设备、工业控制过程领域。AADL自身有许多附件，也支持对系统属性集的扩展，方便对系统的精确建模。值得注意的是，在ARINC653附件中已经完全定义了IMA架构到AADL模型的映射规则。使用这些建模规则，IMA系统的AADL模型可以很容易地建立，该模型很好地描述了时间资源和物理资源的分配。AADL主要用于调度性分析、可靠性分析和自动代码生成。

在AADL附件中，ARINC 653附件被用于对系统架构的建模，该模型符合ARINC 653或类似的分区架构的标准，因此，可以采用ARINC653附件对IMA架构进行建模。用AADL组件表示IMA系统的主要方法如表1所示。

表1 ARINC653附件映射关系

在ARINC 653附件中，AADL进程组件代表IMA系统的分区，AADL线程组件表示分区中运行的任务。AADL进程组件以及AADL线程组件分别对应绑定到虚拟处理器和虚拟内存单元，这表明分区在时间和空间域上相互隔离，虚拟处理器定义调度策略、安全等级、健康状态监控器和相应的分区的错误处理，虚拟内存单元对每个分区分配专用的内存区域，使得每个分区之间是空间隔离的。分区内通信和分区间通信都可以通过端口组件、数据组件以及连接组件建模。图形的AADL模型直观地显示了IMA系统的分区架构，而文本的AADL模型不仅用文本语言描述系统架构，同时详细地定义了系统的属性值。所以，IMA系统的资源分配可以很容易地通过AADL建模。然而ARINC 653附件通过自然语言只描述了从ARINC653类型的系统到AADL模型的映射关系，这对开发人员很容易引起误解和歧义，就系统的动态行为和交互而言，使用AADL模型来分析有时会受到限制。

在AADL模型中，系统的行为以及交互的描述隐含在属性中，很难进行动态的分析。目前，模型转换的方法已经被广泛的使用来分析系统的动态特性。在模型转换过程中，源模型中的隐含信息将会被显示在目标模型中，并且目标模型一般都是成熟的形式化模型。现有的研究都是将AADL模型转化为资源分配、可调度性、可靠性以及其他方面的数学模型，而对于分区架构，利用ARINC 653附件，AADL模型可以对分区架构精确的建模，然而对于分区架构系统的资源分配主要是关于可调度性分析，缺乏时间资源和空间资源的综合分析。

Petri网(PN)[参考文件5：Peterson J L.Petri net theory and the modelingof systems[J].1981.]由C.A.Petri在1962年提出，有着严谨的数学定义和直观的图形化描述，并且可以精确地对异步计算和并行计算系统的行为建模。近十年来，petri网的抽象能力以及描述能力不断被加强，包括时间petri网、着色petri网以及分层petri网在内的一些被优化的petri网逐渐可以满足各种各样的建模需求。

着色petri网(CPN)是一种高级的petri网，它将传统petri网以及扩展之后的函数化编程语言standML进行了结合，下面介绍基本的着色petri网及其行为。

定义1：着色petri网表示为一个9元组CPN＝(Σ,P,T,A,N,C,G,E,I)；

·Σ是一个有限类型集，也叫做颜色集。

·P＝{p₁,p₂,p₃,...,p_n}表示有限库所集，n＞0。

·T＝{t₁,t₂,...,t_m}表示有限变迁集，m＞0。

·N表示节点函数，将A定义为(P×T)∪(T×P)的子集。

·C表示颜色函数，是P到Σ的映射。

·G是守卫函数，为布尔类型。

·E是弧函数。

·I表示初始化函数。

定义2：在标记M下，一个变迁t能被触发的条件为：

当变迁t对应的所有输入库所中，绑定资源的大小(E(p,t)<binding>)小于或者等于标记M下所有输入库所的资源M(p)。在标记M₁下，变迁t点火后，标记M₁将转变成标记M₂。

CPN模型提供了图形化的符号，作为系统建模的规范。CPN模型中的元素包括库所、变迁、有向弧、令牌、托肯(token)等等，这些元素也用相应的图形表示，例如库所用圆形节点，变迁用方形节点。着色petri网有明确定义的语法，CPN的动态特性可以通过仿真或者其它的形式化方法进行分析，着色petri网建模语言广泛用于通信协议、数据流以及分布式嵌入系统的建模中。

发明内容

本发明的目的是为了解决单纯使用AADL模型分析综合化航空电子系统资源配置中存在的局限性，针对ARINC 653附件通过自然语言只描述了从ARINC 653类型的系统到AADL模型的映射关系，对开发人员很容易引起误解和歧义，使用AADL模型来分析有时会受到限制的问题，提供了一种面向IMA资源安全性分析的AADL到ECPN模型转换方法。

本发明面向IMA资源安全性分析的AADL到ECPN模型转换方法，将IMA系统映射的AADL模型作为源模型，转换为ECPN(扩展有色petri网)模型；实现步骤如下：

步骤一：在着色petri网的基础上，建立扩展有色petri网ECPN；

ECPN中，定义颜色集Σ＝{＜p,ch,s,i,x＞,＜i,x＞；p,ch,s∈enumeration,i∈int,x∈time}；

其中，p为进程组件，对应为分区p；ch为端口之间的连接，对应为通道ch；s为传输数据的大小，i表示第i次分区的调用，x为时间戳；p,ch和s的数据类型均为枚举类型，i的数据类型为整数，x的数据类型为时间；＜p,ch,s,i,x＞和＜i,x＞为构成的两类颜色集合；

ECPN中，定义时间函数FT，FT(t)表示变迁t点火所需的时间。

步骤二：修改变迁点火规则；

ECPN中一个变迁使能的条件在满足CPN的点火要求基础上，还要满足下面的要求：

(1)时间戳要满足条件：绑定的托肯的时间戳值必须小于或者等于当前的模型时钟；

(2)守卫函数返回值为真；

步骤三：将处理器、虚拟处理器和分区映射为库所；

步骤四：将通信和分区调度映射为变迁；

变迁表示分区的状态转换和分区间的通信。分区间通信由一个或多个变迁表示，不同的变迁表明不同的端口连接。

步骤五：将分区通信数据、起始时间和调用次数映射为库所中的托肯；

分区间通信数据定义为带有时间戳的有色托肯。

颜色集Σ＝{＜p,ch,s,i,x＞}中，分区p在第i次调用后产生的数据通过通道ch来传输，传输的数据量为s，时间戳x记录数据产生和到达的时间。

颜色集Σ＝{＜i,x＞}记录起始时间以及调用次数，时间戳x的初始值为起始时间，变量i表示分区的调用次数。

步骤六：将分区的执行时间映射为时间函数；

时间函数FT(t)加入到变迁t中，表示变迁t点火需要的时间，没有时间函数FT(t)的变迁t为瞬时变迁。

步骤七：将分区的调用周期映射为弧函数；

空闲时间由弧函数E来描述，总时间由执行时间以及空闲时间组成，分区调用时间T通过T＝FT(t)+E求得。

步骤八：将IMA系统运行时对资源的约束映射为守卫函数；

将资源约束作为一个守卫函数添加到用来表示通信的变迁t中，在该通信中，传输的数据量s应小于等于信息量最大值，守卫函数表示为s≤MaxMessageSize。

相对于现有技术，本发明的优点和积极效果在于：

(1)本发明方法将AADL模型转换为形式化模型，AADL模型中的关键资源配置信息可以完整的继承在ECPN模型中，ECPN具有图形和文本模型，语义更加直观和精确，扩展后得到的ECPN模型，可以准确的描述IMA系统的时间资源和物理资源，以及分区机制带来的新特性。

(2)本发明方法利用形式化的ECPN模型可以用来分析综合化航空电子系统资源配置在运行时，组件的动态交互行为；例如针对一种资源配置下分区调度以及通信行为的正确性验证。

(3)与普通的形式化建模相比，本发明方法是基于AADL模型的模型转换，建模过程较为容易；利用AADL语言对IMA建模，图形化的模型很好的描述了IMA系统的架构，以及软件资源和硬件资源的绑定关系，文本模型则更加具体的描述了系统时间资源和物理资源配置的大小，AADL模型可以直观和精确地对IMA系统资源进行建模。

(4)本发明方法灵活性强，根据不同的分析需求，可以在模型转换过程中，加入IMA系统特性的资源安全性约束条件，实现形式化的ECPN模型对IMA系统资源的建模，帮助分析IMA系统的资源配置问题；

(5)本发明方法通过对有色petri网的扩展，增强其描述能力，将IMA系统的资源配置信息加入到模型中，同时ECPN与现有CPN仿真器兼容，因此可以直接利用成熟的CPN工具进行仿真分析，免去复杂的数学推导。

附图说明

图1是现有基于ARINC 653标准的IMA体系结构示意图；

图2是现有AADL建模元素及其关系示意图；

图3是本发明进行模型转换方法的流程示意图；

图4a是本发明实例中的AADL图形描述示意图；

图4b是本发明实例中的AADL文本描述的部分代码示意图；

图5是IMA分区架构的ECPN模型示意图。

具体实施方式

下面将结合实施例对本发明作进一步的详细说明。

本发明提供的面向IMA资源安全性分析的AADL到ECPN模型转换方法，首先扩展着色petri网，将时间的概念以及其它特殊属性，例如时间资源、物理资源、系统行为约束等加入模型中，扩展之后的模型称为ECPN。然后将AADL作为源模型，ECPN作为目标模型，针对这样一个特定的源模型和目标模型，提出完整的模型转换规则，在转换过程中，时间资源、物力资源、分区特性等能被ECPN精确描述，关键的建模元素不会丢失。通过本发明模型转换方法，将AADL模型转换为形式化的ECPN模型，这个抽象和数学ECPN模型可以通过仿真或特定的分析方法来分析资源配置存在的安全性问题，确保IMA系统中给每个分区分配的时间资源和物理资源满足系统运行时的需求。

如图3所示，本发明提供的面向IMA资源安全性分析的AADL到ECPN模型转换方法，包括步骤一至步骤八。

步骤一：建立扩展有色petri网(ECPN)；

根据ARINC653附件以及AADL，在ECPN模型可表示为：ECPN＝(Σ,P,T,A,N,C,G,E,I)；与CPN中定义一样，Σ为颜色集，P为有限库所集，T为有限变迁集，A为有限边集，N为节点函数，C为颜色函数，G为守卫函数，E为弧函数，I为初始化函数。

ECPN模型中的扩展可以如下表述：

定义颜色集Σ＝{＜p,ch,s,i,x＞,＜i,x＞；p,ch,s∈enumeration,i∈int,x∈time},这里各元素含义为：

p:进程组件，对应为分区p；

ch:端口之间的连接，对应为通道ch；

s:传输数据的大小；

i:第i次分区的调用；i的数据类型为整数；

x:时间戳；x的数据类型为时间；

由上述的各个元素，分别构成了两类颜色集合＜p,ch,s,i,x＞和＜i,x＞。上面描述中p,ch,s为枚举类型。

定义时间函数FT，FT(t)表示变迁t点火所需的时间。

步骤二：修改变迁点火规则；

加入时间概念以及守卫函数后，在ECPN模型中一个变迁使能的条件不但要求满足基本的CPN点火要求，还要满足下面的要求：

·时间戳要满足条件，绑定的token的时间戳值必须小于或者等于当前的模型时钟。

·守卫函数返回值为真，G(t)＜b＞＝true。b表示变迁t绑定的资源，G(t)<b>表示资源的约束条件。

步骤三：将处理器、虚拟处理器和分区，映射为库所。

每个分区有两个不同的状态：运行和空闲状态。每个分区都被绑定到一个虚拟处理器，该处理器负责激活相应的分区。当一个分区被激活，它将独占该虚拟处理器资源。

步骤四：将通信和分区调度，映射为变迁。

变迁可以表示分区的状态转换和分区间的通信。值得注意的是，分区间通信由一个或多个变迁表示，这些变迁表明不同的端口连接，例如通道。

步骤五：将分区通信数据、起始时间和调用次数，映射为库所中的托肯。

分区间通信数据定义为带有时间戳的有色托肯，在颜色集Σ＝{＜p,ch,s,i,x＞}中，分区p在第i次调用后产生的数据通过通道ch来传输，s表示传输的数据量大小，时间戳x记录产生和数据到达的时间。

起始时间以及调用次数用颜色集Σ＝{＜i,x＞}描述，时间戳x初始值为起始时间，同时变量i表示分区的调用次数。

步骤六：将分区的执行时间映射为时间函数。

时间函数FT(t)加入到变迁t中，用来表示分区调度。变迁t的点火时间FT(t)为分区处理所需的时间，此外，没有时间函数FT(t)的变迁t称为瞬时变迁。

步骤七：将分区的调用周期映射为弧函数。

空闲时间可以由弧函数E来描述，总时间由执行时间以及空闲时间组成，分区调用时间T可通过T＝FT(t)+E间接求得。

步骤八：将IMA系统运行时对资源的约束映射为守卫函数。

资源约束作为一个守卫函数添加到用来表示通信的变迁t中，在此通信中，传输的数据量应小于等于信息量最大值MaxMessageSize，守卫函数表示为s≤MaxMessageSize。

通过步骤八，将IMA系统分区之间的交互行为对资源的约束条件加入到ECPN模型中，然后通过仿真工具来分析和验证IMA系统资源配置的正确性。对于IMA系统资源安全性分析，针对IMA系统不同的行为模式，可以加入不同的安全性约束条件到ECPN模型中，然后通过仿真工具来分析和验证系统资源配置的正确性。

通过上面步骤，将AADL模型转换为ECPN模型，所得到的ECPN模型，可以准确的描述IMA系统的时间资源和物理资源，以及分区机制带来的新特性。

下面结合一个基于IMA系统的实例来更好的说明本发明的技术方案，本实例为一个简单的分区间通信。每个分区由时间片轮转的调度策略机制进行调度，同时数据将通过相应的通道发送到目的分区。此处重点基于该实例说明模型的转换。该实例中，资源分配信息直接由它的AADL模型表示。

利用AADL和ARINC 653附件对该IMA系统建模。系统的架构和组件之间的逻辑连接可以通过AADL图形模型直观的表示，如图4a所示。时间资源和物理资源通过AADL文本模型进行描述，如图4b所示。

根据描述有资源分配的AADL模型和提出的模型转换规则，可以将其转换为ECPN。从图4a的AADL图形模型中可以得到，相互通信的两个分区Partition1和Partition2位于两个通道中，它们分别绑定到不同的存储单元(memory)和虚拟处理器(CPU的Part1和Part2)上。基于步骤三和步骤四，可以将一些基本的AADL组件转换为ECPN元素，如表2所示。将处理器组件以及虚拟处理器组件定义为带有颜色托肯的库所，将分区组件定义为库所，这里要注意，根据一个分区的两种状态要将其转换为两个库所，最后，将通信行为和分区调度定义为非瞬时库所以及瞬时库所。

表2 AADL组件到ECPN元素的映射表

从AADL中可以得到一些特性，特性的关键参数如表3所示，利用转换规则可以将这些参数添加到ECPN中。就分区1的参数来说，带有颜色集(0,0)的托肯表示在0时刻的第一次调用。将时间函数FT(1)＝[2,4]添加到非瞬时变迁中，用来表示执行时间，根据时间函数，将弧函数置为E＝10-FT(1)，守卫函数置为s≤9。分区2的转换同理可得，最终得到的AADL到ECPN的转换如图5所示。

表3 AADL模型的关键参数

图5中ECPN有7个库所、6个变迁，模型可分为两部分，上部分或者下部分描述的是每个分区的时间资源，右边部分描述了分区间通信行为。物理资源以及系统行为约束作为守卫函数添加到变迁中，这个ECPN描述了AADL模型中描述的时间资源和物理资源，例如portsize。值得注意的是，表示CPU的库所加入ECPN中用来检验分区的可调度性。利用这个ECPN，可以对系统的动态行为进行仿真分析，验证资源分配的正确性。

本发明提出的基于IMA系统的AADL模型到ECPN模型的转换方法，尤其是，对于IMA系统的资源特性，在模型转换后可以很好地由ECPN描述，这对于后续的分析是非常重要的。AADL模型中，利用AADL建模元素和ARINC653附件很好的描述了IMA系统的分区架构和资源分配，有利于系统设计者验证系统模型。ECPN是一个抽象和形式化的可执行模型，通过仿真或者其它形式化方法可以对系统进行分析验证。结合上述两种建模语言的优点，通过提出的模型转换方法得到的ECPN，不仅能够用来很好的描述资源分配，也能够用作后续进一步的分析，ECPN与CPN仿真器兼容，因此可以利用现有的CPN工具进行仿真分析，在对IMA系统资源的建模与分析都取得了很好的效果。

Claims (2)

1.一种面向IMA资源安全性分析的AADL到ECPN模型转换方法，将综合模块化航空电子IMA系统映射的架构分析和设计语言AADL模型作为源模型，转换为扩展有色petri网ECPN模型；其特征在于，所述的转换方法包括以下步骤：

步骤一：基于有色petri网，建立扩展有色petri网ECPN；

ECPN中，定义颜色集Σ＝{＜p,ch,s,i,x＞,＜i,x＞；p,ch,s∈enumeration,i∈int,x∈time}；

其中，p为进程组件，对应为分区p；ch为端口之间的连接；s为数据传输的大小，i表示第i次分区的调用，x为时间戳；p,ch和s的数据类型均为枚举类型，i的数据类型为整数，x的数据类型为时间；＜p,ch,s,i,x＞和＜i,x＞分构成的两类颜色集合；

ECPN中，定义时间函数FT，FT(t)表示变迁t点火所需的时间；

步骤二：修改变迁点火规则；

ECPN中一个变迁使能的条件在满足CPN的点火要求的基础上，还要满足下面的要求：

(1)时间戳要满足条件：绑定的token的时间戳值必须小于或者等于当前的模型时钟；

(2)守卫函数返回值为真；

步骤三：将处理器、虚拟处理器和分区映射为库所；

步骤四：将通信和分区调度映射为变迁；

变迁表示分区的状态转换和分区间的通信；分区间的通信由一个或多个变迁表示，不同的变迁表明不同的端口连接；

步骤五：将分区通信数据、起始时间和调用次数映射为库所中的token；

分区间通信数据定义为带有时间戳的有色token；

颜色集Σ＝{＜p,ch,s,i,x＞}中，分区p在第i次调用后产生的数据通过通道ch来传输，传输的数据量为s，时间戳x记录数据产生和到达的时间；

颜色集Σ＝{＜i,x＞}记录起始时间以及调用次数，时间戳x的初始值为起始时间，变量i表示分区的调用次数；

步骤六：将分区的执行时间映射为时间函数FT(t)；

没有时间函数FT(t)的变迁t为瞬时变迁；

步骤七：将分区的调用周期映射为弧函数；

空闲时间由弧函数E来描述，总时间由执行时间以及空闲时间组成，分区调用时间T通过T＝FT(t)+E求得；

步骤八：将IMA系统运行时对资源的约束映射为守卫函数；

将资源约束作为一个守卫函数添加到用来表示通信的变迁t中，在该通信中，传输的数据量s应小于等于信息量最大值。

2.根据权利要求1所述的面向IMA资源安全性分析的AADL到ECPN模型转换方法，其特征在于，所述的步骤八中，将IMA系统分区之间的交互行为对资源的约束条件加入到ECPN模型中，然后通过仿真工具来分析和验证IMA系统资源配置的正确性；对于IMA系统资源安全性分析，针对IMA系统不同的行为模式，加入不同的安全性约束条件到ECPN模型中，然后通过仿真工具来分析和验证系统资源配置的正确性。