CN108122061A - 基于危险指标索引矩阵的航空装备软件重要度分级方法 - Google Patents

Abstract

本发明属于航空装备复杂软件工程的软件安全性工程领域，发明了一种基于危险指标索引矩阵的软件重要度等级划分方法。本发明结合国内航空工程特点，考虑实际工程应用的可操作性，提出了基于危险指标索引矩阵的航空装备软件重要度分级方法，此方法在分析系统危险时考虑两个因素，即系统危险的严重性等级以及系统危险的软件控制等级。危险的严重性从两个方面进行考虑，一是对系统安全(人员伤亡，设备损毁以及对环境的破坏等)的影响，另一是对任务功能(飞行任务和作战任务)的影响，从而为航空装备任务系统软件重要度分级提供依据。由于没有考虑危险发生的可能性这一在工程上难以计算或评估的因素，从而提高了工程应用的实际性和可操作性。

Description

基于危险指标索引矩阵的航空装备软件重要度分级方法

所属技术领域

本发明属于航空装备复杂软件工程的软件安全性工程领域，发明了一种基于危险指标索引矩阵的软件重要度等级划分方法。

背景技术

随着航空装备的快速换代升级，航空装备中机载软件发挥的作用越来越重要，其规模和重要性均呈急剧上升的趋势。新一代作战飞机机载软件规模将大幅度增加。例如：F-35机载软件开发规模超过800万行源代码，F-22机载软件开发规模超过200万行源代码，而早期的三代机机载软件开发规模仅为几十万行源代码。另一方面，在功能实现方面，新一代作战飞机软件所占的比例也是大幅提升的。例如：第二代作战飞机F-111航电系统只有20％的功能由软件实现，F-16航电系统则有40％的功能是软件实现的，而F-22航电系统则有80％的功能由软件实现。对于新一代作战飞机而言，由于战术指标的提升，相应的软件架构、接口关系、逻辑关系和算法复杂度大大提升，已经成为了典型的软件密集型系统，其可靠性和安全性问题也日益突出，缺陷数剧增。面对如此庞大且安全关键的软件系统，因不同的软件实现的功能，以及软件失效后对系统安全和功能影响程度的不同，在软件研制和管理工作中需对软件重要度等级进行划分，实行分级管理。

航空装备研制中一般将软件重要度定义为：软件失效后对系统安全和功能影响的程度。航空装备软件依据此要求分为“关键”、“重要”、“一般”三个等级：

a)关键软件：影响装备使用安全和危及人员安全，或影响关键任务完成的软件；

b)重要软件：不影响装备使用安全但影响任务完成的软件；

c)一般软件：不影响装备使用安全和任务完成的软件。

目前，国内已实施的软件重要度等级划分工作仍存在一些不足：软件重要度等级的划分往往依赖经验和直觉，主观性和随意性较强；缺乏直观、简洁、有效，操作性强的软件重要度分级实施方法；软件重要度分级考虑因素单一，只重视危险的后果影响，没有考虑软件对系统的控制程度等。

在国内外软件工程实践中，对系统中的软件进行重要度分级也是软件研制工作的起点和前提。在完成软件重要度分级后，在后续工作中可以针对不同级别的软件，对软件的开发、验证和验收等环节制定不同的控制要求和管理措施，以实现进度和资源的合理分配以及软件安全性的保障。国内外航空、航天、工业控制领域的软件标准中均较为详细的定义了软件重要度等级的划分方法，如：DO-178B、MIL-STD-882E、GJB/Z 102A等确定了在软件生存周期早期进行软件分级的指导原则。

DO-178B中首先从对航空器安全或任务的影响来定义系统失效状态并对其进行分类，软件等级的定义只基于在系统安全性评估过程中确定的软件对潜在失效状态的影响而确定，并不考虑软件在其中发挥的作用大小，即没有考虑软件对系统失效状态的贡献，只要软件有可能导致失效的发生，那么该软件等级就确定为该失效的状态类别。同时，DO-178B作为民航标准，其也不能完全适用于航空装备领域。MIL-STD-882E中对软件危险进行评估，评估方法中考虑了软件系统失效的严重性以及软件控制等级这两个因素，其中失效严重性方面考虑了人员伤亡，设备损毁以及对环境的破坏和经济损失等，但是从完成任务的角度，其并未考虑。也就是说采用MIL-STD-882E中的方法不足以对航空装备任务系统中的软件进行分级。国内航空、航天领域，也制定了相应的标准指南定义软件等级的划分，如GJB/Z102A。GJB/Z 102A在进行软件分级时，考虑了三个因素，危险严重性，危险可能性以及软件控制类别，先由危险严重性和危险可能性得出危险的风险指标，在通过矩阵分析法，由危险的风险指标和软件控制类别得出软件安全性等级。GJB/Z 102A在分析危险时考虑了危险发生的可能性这一指标，但是在实际工程应用中，由软件原因导致的危险发生的可能性很难计算或难以估计，令这一方法在实际应用推广中遇到问题。

发明内容：

本发明的目的：本发明结合国内航空装备工程特点，考虑实际工程应用的可操作性，提出了基于危险指标索引矩阵的航空装备软件重要度分级方法，此方法在分析系统危险时考虑两个因素，即系统危险的严重性以及系统危险的软件控制等级。系统危险的严重性从两个方面进行考虑，一是对系统安全(人员伤亡，设备损毁以及对环境的破坏等)的影响，另一是对任务功能(飞行任务和作战任务)的影响，从而为航空装备任务系统软件重要度分级提供依据。由于没有考虑危险发生的可能性这一在工程上难以计算或评估的因素，从而提高了工程应用的实际性和可操作性。

本发明的技术方案：

本发明提出的基于危险指标索引矩阵的航空装备软件重要度分级方法，包括以下步骤：

1)识别航空装备中的软件并确定其分级时机；

2)识别影响航空装备中软件重要度等级的因素，包括系统危险的严重性等级和系统危险的软件控制等级；

3)对软件系统进行失效分析，识别与软件相关的系统危险，并分析系统危险的影响情况，确定系统危险的严重性等级；

4)以软件在系统危险控制中发挥作用的大小来评估系统危险的软件控制等级；

5)根据步骤三及步骤四确定的系统危险的严重性等级以及系统危险的软件控制等级，采用危险指标索引矩阵方法确定软件危险指标索引值；

6)根据步骤五确定的软件危险指标索引值，并依据软件重要度等级划分表确定软件的重要度等级。

本发明的有益效果：

a)建立了以危险指标索引矩阵为基础的软件重要度等级划分方法，提高了分级的有效性和准确性，避免了分级的主观性和随意性，方法直观、意义明确，便于工程人员的理解和实际操作；

b)从安全与任务两个角度分析系统危险的严重性等级，提供了航空装备任务系统软件的分级依据，并以软件在危险产生过程中所发挥的控制作用大小作为评估因素，具有良好的工程实践意义；

c)建立了标准的，可操作的软件重要度分级流程，使软件分级工作更加规范、完整、可操作。

软件重要度等级的确定是软件研制工作的起点，确定了后续软件安全性工程实施的要求以及软件工程化管理的范围，为保障航空装备软件研制进度、质量以及安全性提供了有力支持。

说明附图

图1为本发明流程图。

具体实施方式

以下结合附图和实施例对本发明进行详细说明，应当理解，此处所描述的实施例仅用于说明和解释本发明，并不用于限定本发明。

本发明提供的基于危险指标索引矩阵的航空装备软件重要度分级方法的具体原理为：

步骤一、确定软件重要度分级时机。

在航空装备系统分析和设计阶段，系统安全性分析过程中，当一个系统被确定包含软件时，就应当对此系统中使用的软件进行分析，以确定软件失效是否会影响系统的安全以及任务的完成，并对软件进行分级。该项工作应在软件需求分析开始前完成，并为软件需求分析提供相应的软件安全性要求。

步骤二、确定软件重要度分级影响因素。

从软件重要度的定义可以看出，航空装备软件重要度分级主要考虑系统安全性和功能完成两方面的影响。所以应对系统危险进行分析，同时分析软件在其中发挥的作用，来确定其对系统安全性和功能的影响。

在硬件相关系统危险分析中考虑的因素为危险的严重性和危险发生的可能性，但是这两个因素并不一定都完全适用于软件相关的系统危险，如危险发生的可能性或者危险发生的概率。这是因为软件是逻辑的产物，其故障发生的概率不像硬件那样可以通过历史数据或者分析的方法来获得。软件的失效是由软件设计产生的，也是逻辑设计的缺陷。所以分析软件失效应从分析软件在完成功能逻辑设计时到底发挥了怎样的作用入手。对于软件相关原因导致的危险来说，危险发生的概率这样一个因素在本项目中被软件控制等级所代替。

因此，根据航空装备软件特点和工程可操作性，选取软件相关的系统危险的严重性等级和系统危险的软件控制等级两个因素作为软件重要度分级的影响因素。

软件相关的系统危险的严重性，其表征跟软件相关的系统/子系统危险所可能造成的人员伤亡、设备损毁、作战任务失败或降级的程度。常采用伤亡的人员、财产损失数目、完成任务的效果情况进行度量。

系统危险的软件控制等级。在实现系统功能控制过程中，不同软件对危险产生的贡献有大小之分，有些软件失效了直接导致危险发生，有的软件则用于控制、缓解或检测危险，有些软件则完全和危险的产生及监控或者检测不相关。这种软件对于其所在系统/子系统危险的控制程度即是软件控制等级，可表征软件对于系统/子系统危险发生的影响情况。

步骤三、识别并评估软件相关的系统危险及其严重性。

系统危险的严重性等级和描述如表1所示，共分为灾难的、严重的、轻度的和轻微的四个等级，影响等级逐级下降，灾难的后果表示最严重的影响后果，轻微的表示危险造成的影响很小，可以忽略。

表1系统危险严重性等级描述

从安全和任务两个角度来综合评估软件相关的系统/子系统功能发生危险所可能带来的影响后果。对每一分级，均从安全和任务两个角度进行影响程度描述，系统危险的影响后果只要满足其中一种，系统危险严重性就可以确定为对应级别。

应采用FHA(功能危险分析)或SFMEA(软件失效模式及影响分析)技术进行系统和软件失效分析，识别与软件相关的系统危险，并分析系统危险的影响情况，对比表1中最严重的影响描述即可得到软件相关的系统危险严重性等级。

注：在系统分析与设计阶段确定软件等级，此时，软件还处于方案阶段，相关的功能、性能、接口等需求还不成熟。因此，通过FHA识别软件相关的系统功能失效模式(系统危险)及其影响，然后根据SFMEA分析系统失效模式可能的软件失效原因，分析出软件对于系统安全和任务的影响情况。

在软件相关系统危险严重性评估时，应考虑系统软件结构的影响，如采用分区隔离的结构等。

步骤四、评估系统危险的软件控制等级。

将系统危险的软件控制等级分为五级：A级(自主控制)、B级(允许干预)、C级(提供关键信息)、D级(参与实现)、E级(与关键无关)，软件控制级别逐级下降，详细内容见表2所示。

以软件在系统危险控制中发挥作用的大小来评估系统危险的软件控制等级。根据软件所在的系统设计方案，从软件对系统/子系统功能和危险的控制与监控程度、余度备份措施设置等方面来描述软件的控制能力。同一个危险可能会对应多个软件控制等级，应取最高的软件控制等级作为该危险的软件控制等级。

对软件相关的系统危险严重性和软件控制等级的评估往往发生在系统到软件功能分配完成后及软件开发过程之前，可供参考的软件数据主要包括系统和软件初期设计方案等文档，以及来自相似系统的历史经验数据和事故分析数据。

表2系统危险的软件控制等级描述

步骤五、确定软件危险指标索引值。

在航空装备系统设计初期，软件重要度等级的划分在本发明中主要从软件相关的系统危险严重性和系统危险的软件控制等级这两个因素去考虑，由型号特点以及工程经验对这两个因素进行综合权衡与评价。采用软件危险指标索引矩阵方法对上述两个因素进行双因素综合评价，且每个因素的评价原则如下：

a)对于因素“软件控制等级”，控制程度越高，表明其失效后越容易导致危险，所以控制程度越高越不能容忍，危险指标越高；

b)对于因素“危险严重性”，危险造成的后果越严重越不能容忍，不能被接受，危险指标越大；

c)“危险严重性”因素对于软件等级确定的影响要大于“软件控制等级”。

基于以上原则以及系统工程经验，采用表3所示的软件危险指标索引矩阵对“软件控制等级”和“危险严重性”这两个因素进行综合评价。对于每一个危险都对应一个指标索引值，危险指标索引值越小，表明该危险可能造成的后果越严重，应加以控制。与硬件系统不同的是，较低的软件危险指标索引值并不意味着该软件的设计情况是不如人意的。反之，其意味着需要更多的资源来分析和测试该软件以及该软件与系统的交互情况。

表3软件危险指标索引矩阵

步骤六、确定软件重要度等级。

确定每一个系统危险的危险指标索引值后，根据航空装备实际情况(研制周期、经费和质量要求等)对索引值进行分段，取危险指标索引最小值为整个软件重要度等级的划分依据。并对每一级别制定适宜的软件控制要求。下表4给出建议的航空装备软件重要度等级划分区间。同一型号的装备软件应采用统一的软件危险指标索引矩阵和软件重要度等级划分区间表，建议由型号总师单位制定发布。

表4建议的航空装备软件重要度等级划分区间

危险指标索引值	软件等级
		1-3	关键软件
4-7	重要软件
		8-20	一般软件

实施例：下面通过对航空装备中某飞管电源控制盒软件进行重要度分级分析来对本发明提供的基于危险指标索引矩阵的航空装备软件重要度分级方法进行举例说明。

飞管电源控制盒用于控制向飞机管理计算机进行供电，其控制功能由驻留在控制盒内的控制软件实现。经系统FHA分析后得到与软件相关的系统初步危险清单，并分析其对系统安全与任务完成的影响，对比表1得到危险严重性等级如表5所示。

表5软件相关的系统初步危险清单及严重性等级

针对每一条系统危险，分析软件在危险产生或控制过程中的具体作用，对比表2得到每一条危险的软件控制等级如表6所示。

表6危险的软件控制等级

由危险的严重性等级以及软件控制等级对比表3的危险指标索引矩阵得到飞管电源控制盒软件的危险指标索引值如表7所示。

表7软件危险指标索引值列表

由表7得到飞管电源控制盒软件危险指标索引值最小的危险为“SSPC控制失效”，且危险指标索引值为1。对比表4得到飞管电源控制盒软件重要度等级评估结果为“关键软件”，为后续软件开发过程及测试提供分级管理的依据。

最后应说明的是：以上实施例仅用于说明本发明而非限制本发明所描述的技术方案；因此，尽管本说明书对本发明已进行了详细的说明，但是，本领域的普通技术人员应该理解，仍然可以对本发明进行修改或等同替换；而一切不脱离本发明的精神和范围的技术方案及其改进，其均应涵盖在本发明的权利要求范围当中。

Claims (6)

1.基于危险指标索引矩阵的航空装备软件重要度分级方法，其特征是，包括以下步骤：

1)识别航空装备中的软件并确定其分级时机；

2)识别影响航空装备中软件重要度等级的因素，包括系统危险的严重性等级和系统危险的软件控制等级；

3)对软件系统进行失效分析，识别与软件相关的系统危险，并分析系统危险的影响情况，确定系统危险的严重性等级；

4)以软件在系统危险控制中发挥作用的大小来评估系统危险的软件控制等级；

5)根据步骤三及步骤四确定的系统危险的严重性等级以及系统危险的软件控制等级，采用危险指标索引矩阵方法确定软件危险指标索引值；

6)根据步骤五确定的软件危险指标索引值，并依据软件重要度等级划分表确定软件的重要度等级。

2.如权利要求所述的1基于危险指标索引矩阵的航空装备软件重要度分级方法，其特征是，所述的分级时机的确定方法为：在航空装备系统分析和设计阶段，系统安全性分析过程中，当一个系统被确定包含软件时，就应当对此系统中使用的软件进行分析，以确定软件失效是否会影响系统的安全以及任务的完成，并对软件进行分级；该项工作应在软件需求分析开始前完成。

3.如权利要求所述的1基于危险指标索引矩阵的航空装备软件重要度分级方法，其特征是，所述的系统危险的严重性等级包括：

表1系统危险严重性等级描述

4.如权利要求所述的1基于危险指标索引矩阵的航空装备软件重要度分级方法，其特征是，所述的系统危险的软件控制等级包括：

表2系统危险的软件控制等级描述

5.如权利要求所述的1基于危险指标索引矩阵的航空装备软件重要度分级方法，其特征是，所述的软件危险指标索引矩阵包括：

表3软件危险指标索引矩阵

6.如权利要求所述的1基于危险指标索引矩阵的航空装备软件重要度分级方法，其特征是，所述的航空装备软件重要度等级划分区间包括：

表4航空装备软件重要度等级划分区间