CN116755662B - 一种应用开发安全需求的生成方法及系统 - Google Patents

Abstract

本发明涉及一种应用开发安全需求的生成方法及系统。将用户提出的安全需求内容转化为形式化模型，减少主观因素的干扰，提高安全需求的准确性和一致性，并基于安全需求内容、安全需求的质量要求特性、国家法律法规及行业标准定义期望的安全性质和约束条件，强化了对安全需求的规范性要求，再利用模型检测系统对安全需求模型和期望的性质规约进行分析以验证安全需求模型是否满足性质规约，并根据验证报告对安全需求模型进行修正及对安全需求进行更新，最终迭代得到最终的安全需求文本，自动生成满足用户期望和相关标准的高质量应用开发安全需求，极大提高效率、效果和准确性。

Description

一种应用开发安全需求的生成方法及系统

技术领域

本发明属于应用开发技术领域，尤其涉及一种应用开发安全需求的生成方法及系统。

背景技术

在应用开发过程中，需要分析人员对用户的需求进行综合鉴别分析，以清除用户需求的模糊性、歧义性和不一致性等问题，从而找到应用要求中哪些要求是由于用户的片面性或短期行为所导致的不合理要求，哪些是用户尚未提出但具有真正价值的潜在需求。

而安全需求的生成确认是整个应用生命周期安全开发的起始点，这个阶段决定了整个应用系统的安全目标和实现方法。在安全需求生成确认阶段，在用户针对软件的安全性提出了一些特定需求后，需要对软件需求的安全程度进行识别和区分，并对各需求项的安全性进行描述，以便在软件需求中生成安全措施。

目前安全需求的生成也主要依赖人工，一般通过人工对用户需求进行分析及解释，并结合业务需求、法律法规和行业标准等进行安全性的分析和定义。然而，这种人工方式会存在以下问题和不足：1、人工分析容易受到个体主观认知和片面观点的影响，导致安全需求的缺失或不完整；2、人工分析容易导致安全需求的不一致性和模糊性，造成需求理解的困难和不确定性；3、若用户提出多个安全需求，如数千个安全需求项，人工分析需要耗费大量时间和人力资源，并且效率低下。

发明内容

本发明提供一种应用开发安全需求的生成方法及系统，旨在解决上述背景技术提到的问题。

本发明是这样实现的，提供一种应用开发安全需求的生成方法，步骤包括：

将用户提出的安全需求内容以安全需求文本的形式表示，从安全需求文本中提取安全需求元素，并将安全需求元素以规范的形式化模型的语言方式表示以得到安全需求模型；

基于用户提出的安全需求内容、安全需求的质量要求特性、国家法律法规及行业标准定义期望的安全性质和约束条件，并将期望的安全性质和约束条件转化为期望的性质规约，安全需求的质量要求特性包括但不限于清晰性、完整性、一致性和可行性，期望的安全性质和约束条件为期望目标应用系统满足的安全性质和约束条件；

将安全需求模型和期望的性质规约导入模型检测系统，以通过模型检测系统对安全需求模型和期望的性质规约进行分析以验证安全需求模型是否满足性质规约，并生成验证报告，验证报告包括验证结果和执行轨迹，执行轨迹用于描述在哪些条件下违反了性质规约，通过模型检测系统具体执行以下步骤：

在Promela模型中定义目标应用系统的进程、通信通道、状态和状态转换规则，并根据Promela模型的定义生成目标应用系统的状态空间和状态转换关系，

将期望的性质规约转化为线性时序逻辑公式的表示形式，其中，线性时序逻辑公式用于表示目标应用系统的行为和状态之间的关系，

从初始状态出发，通过广度优先搜索算法遍历搜索每个状态空间及执行每条状态转换路径，

在状态空间搜索的每个步骤中，根据线性时序逻辑公式的结构和语义规则判断搜索到的当前状态或状态转换是否满足线性时序逻辑公式的部分条件，

若搜索到的当前状态或状态转换不满足线性时序逻辑公式的部分条件，则得出不满足期望的性质规约的验证结果，并将与当前状态或状态转换关联的路径标记为反例路径，其中，与当前状态或状态转换关联的路径指当前状态或状态转换所在的路径，

搜索完成后，判断搜索完成的每个状态或状态转换是否满足线性时序逻辑公式的全部条件，若目标状态或状态转换不满足线性时序逻辑公式的全部条件，则得出不满足期望的性质规约的验证结果，并将与目标状态或状态转换关联的路径标记为反例路径，其中，与目标状态或状态转换关联的路径指目标状态或状态转换所在的路径，

根据验证结果和反例路径生成验证报告；

基于验证报告对安全需求模型进行修正及对安全需求进行更新，将修正后的安全需求模型和期望的性质规约重新导入模型检测系统生成验证报告；

通过多次迭代，以对安全需求模型进行不断修正及对安全需求文本进行不断更新，直至得出满足期望的性质规约的验证结果，终止迭代，并基于验证报告得到修正后的最终的安全需求模型及最终的安全需求文本。

更进一步的，所述从安全需求文本中提取安全需求元素的步骤包括：

对安全需求文本进行预处理以保留与安全需求相关的内容，预处理包括去除标点符号、停用词和数字；

利用分词工具将预处理后的安全需求文本切分成单词或短语以形成词汇单元；

对切分的词汇单元进行词性标注以标注每个词汇的词性，词性包括名词、动词和形容词；

从预定义的安全需求特点中提取相应的关键词或短语作为特征词汇并生成特征词汇表；

将特征词汇表与词汇单元进行匹配以提取出词汇单元中包含的特征词汇，并设为安全需求元素。

更进一步的，所述将安全需求元素以规范的形式化模型的语言方式表示以得到安全需求模型的步骤包括：

确定使用的形式化建模语言或工具；

根据安全需求元素的特点将安全需求元素转化为形式化模型中的相应概念和结构；

根据形式化建模语言或工具提供的语法和语义规则对安全需求元素之间的行为和状态转换关系进行表示；

根据安全需求元素及安全需求元素之间行为和状态转换关系的模型表示方式构建形式化模型。

更进一步的，所述基于用户提出的安全需求内容、安全需求的质量要求特性、国家法律法规及行业标准制定义期望的安全性质和约束条件，并将期望的安全性质和约束条件转化为期望的性质规约的步骤包括：

从用户提出的安全需求内容、国家法律法规及行业标准中识别出关键特性和约束，并基于识别出的关键特性和约束及安全需求的质量要求特性制定期望的安全性质和约束条件；

根据期望的安全性质和约束条件定义命题变量，命题变量用于描述目标应用系统状态和行为；

通过线性时序逻辑的运算符和逻辑连接词对命题变量进行形式化的规约表达以得到期望的性质规约；

将编写的性质规约转化为线性时序逻辑的形式化规约表达式，以确保性质规约准确而精确地描述期望的安全性质和约束条件。

更进一步的，所述基于验证报告对安全需求模型进行修正及对安全需求进行更新的步骤包括：

从验证报告上获取未被满足的期望的性质规约及与其对应的反例路径；

对与未被满足的期望的性质规约对应的反例路径上的关键因素进行分析，以确定引发问题的具体原因，反例路径上的关键因素包括反例路径上的状态属性、状态转换条件、环境因素、并发操作或交互动作以及约束条件；

根据问题的具体原因 ，对安全需求模型的组成部分进行修正，组成部分包括状态定义、状态转换规则、安全策略和相关约束条件；

将修正后的安全需求模型与现有的安全需求文本进行对比以确定安全需求模型中的变更部分，变更部分包括新增、修改或删除的安全性质和约束条件，并根据安全需求模型中的变更部分对安全需求文本进行更新以确保文本中反映了最新的安全性质和约束条件。

本发明还提供一种应用开发安全需求的生成系统，用于执行应用开发安全需求的生成方法，包括：

模型构建模块：用于将用户提出的安全需求内容以安全需求文本的形式表示，从安全需求文本中提取安全需求元素，并将安全需求元素以规范的形式化模型的语言方式表示以得到安全需求模型；

性质规约建立模块：用于基于用户提出的安全需求内容、安全需求的质量要求特性、国家法律法规及行业标准定义期望的安全性质和约束条件，并将期望的安全性质和约束条件转化为期望的性质规约，安全需求的质量要求特性包括但不限于清晰性、完整性、一致性和可行性，期望的安全性质和约束条件为期望目标应用系统满足的安全性质和约束条件；

验证模块：用于将安全需求模型和期望的性质规约导入模型检测系统，以通过模型检测系统对安全需求模型和期望的性质规约进行分析以验证安全需求模型是否满足性质规约，并生成验证报告，验证报告包括验证结果和执行轨迹，执行轨迹用于描述在哪些条件下违反了性质规约，通过模型检测系统具体执行以下步骤：

在Promela模型中定义目标应用系统的进程、通信通道、状态和状态转换规则，并根据Promela模型的定义生成目标应用系统的状态空间和状态转换关系，

将期望的性质规约转化为线性时序逻辑公式的表示形式，其中，线性时序逻辑公式用于表示目标应用系统的行为和状态之间的关系，

从初始状态出发，通过广度优先搜索算法遍历搜索每个状态空间及执行每条状态转换路径，

在状态空间搜索的每个步骤中，根据线性时序逻辑公式的结构和语义规则判断搜索到的当前状态或状态转换是否满足线性时序逻辑公式的部分条件，

若搜索到的当前状态或状态转换不满足线性时序逻辑公式的部分条件，则得出不满足期望的性质规约的验证结果，并将与当前状态或状态转换关联的路径标记为反例路径，其中，与当前状态或状态转换关联的路径指当前状态或状态转换所在的路径，

搜索完成后，判断搜索完成的每个状态或状态转换是否满足线性时序逻辑公式的全部条件，若目标状态或状态转换不满足线性时序逻辑公式的全部条件，则得出不满足期望的性质规约的验证结果，并将与目标状态或状态转换关联的路径标记为反例路径，其中，与目标状态或状态转换关联的路径指目标状态或状态转换所在的路径，

根据验证结果和反例路径生成验证报告；

修正模块：用于基于验证报告对安全需求模型进行修正及对安全需求进行更新，将修正后的安全需求模型和期望的性质规约重新导入模型检测系统生成验证报告；

迭代模块：用于通过多次迭代，以对安全需求模型进行不断修正及对安全需求文本进行不断更新，直至得出满足期望的性质规约的验证结果，终止迭代，并基于验证报告得到修正后的最终的安全需求模型及最终的安全需求文本。

本发明的有益效果在于，与现有技术相比，本发明的应用开发安全需求的生成方法及系统通过将用户提出的安全需求内容转化为规范的形式化模型，并基于用户提出的安全需求内容、安全需求的质量要求特性、国家法律法规及行业标准定义期望的安全性质和约束条件，然后利用模型检测系统对安全需求模型和期望的性质规约进行分析以验证安全需求模型是否满足性质规约，并根据验证报告对安全需求模型进行修正及对安全需求进行更新，最终得到修正后的最终的安全需求模型及最终的安全需求文本，能够自动化有效地生成满足用户期望和相关标准的高质量的应用开发安全需求，从而提高了应用开发过程中的安全保障水平和效率；

将用户提出的安全需求内容转化为规范的形式化模型，形式化模型的使用，能够减少主观因素的干扰，从而提高了安全需求的表达和理解的准确性和一致性，避免了因为语言歧义或不清晰而导致的安全需求误解或遗漏的风险；

基于用户提出的安全需求内容、安全需求的质量要求特性、国家法律法规及行业标准定义期望的安全性质和约束条件，能够强化对安全需求的规范性要求，从而减少不一致性和模糊性的问题，并保证了安全需求的完整性和合理性，避免了因为缺乏相关标准或指导而导致的安全需求不清晰、不完备或不合适等问题；

利用模型检测系统对安全需求模型和期望的性质规约进行分析以验证安全需求模型是否满足性质规约，并根据验证报告对安全需求模型进行修正及对安全需求进行更新，从而保证了安全需求的正确性和可行性，避免了因为逻辑错误或实现困难而导致的安全需求不符合预期或无法实现的问题，且采用模型检测技术，可以自动进行安全需求的分析和验证，极大提高生成过程的效率和效果。

通过多次迭代的验证反馈过程，以对安全需求模型进行不断修正及对安全需求文本进行不断更新，不仅能够根据验证结果得到正确及可行的安全需求，还保证了安全需求的动态性和适应性，避免了因为环境变化或用户反馈而导致的安全需求过时或不适用的问题。

附图说明

图1是本发明提供的应用开发安全需求的生成方法的流程示意图；

图2是本发明提供的应用开发安全需求的生成系统的系统框图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

实施例一

参考图1，实施例一提供一种应用开发安全需求的生成方法，包括步骤S101~S105：

S101，将用户提出的安全需求内容以安全需求文本的形式表示，从安全需求文本中提取安全需求元素，并将安全需求元素以规范的形式化模型的语言方式表示以得到安全需求模型。

具体的，所述从安全需求文本中提取安全需求元素的步骤包括：

对安全需求文本进行预处理以保留与安全需求相关的内容，预处理包括去除标点符号、停用词和数字等无关信息；

利用分词工具将预处理后的安全需求文本切分成单词或短语以形成词汇单元；

对切分的词汇单元进行词性标注以标注每个词汇的词性，词性包括名词、动词和形容词等；

从预定义的安全需求特点中提取相应的关键词或短语作为特征词汇并生成特征词汇表；

将特征词汇表与词汇单元进行匹配以提取出词汇单元中包含的特征词汇，并设为安全需求元素。

需要说明的是，首先对安全需求文本进行预处理，去除无关信息，如标点符号、停用词和数字等，这可以通过使用文本处理工具或编程语言中的字符串处理函数来实现，预处理后的文本应保留与安全需求相关的内容。

利用分词工具对预处理后的安全需求文本进行分词，将文本切分成词汇单元，如单词或短语，分词可以根据空格、标点符号或其他分隔符来进行，分词的目的是将文本切分成有意义的词汇单元，方便后续处理。

对切分的词汇单元进行词性标注，即为每个词汇标注其对应的词性。常见的词性包括名词、动词、形容词等。词性标注可以使用自然语言处理工具或库来实现，这些工具可以根据上下文和语法规则推断出词汇的词性。词性标注可以在一定程度上提供更精确的特征表示，帮助区分不同类型的词汇，例如名词、动词、形容词等，进而更准确地选择和提取与安全需求相关的特征词汇。

根据预定义的安全需求特点，选择与特点相关的关键词或短语作为特征词汇，特征词汇应涵盖安全需求的关键内容和要求，通过与预定义的安全需求特点进行匹配，将匹配成功的词汇提取出来，并构建特征词汇表。将特征词汇表与词汇单元进行匹配以提取出词汇单元中包含的特征词汇，并设为安全需求元素。

所述将安全需求元素以规范的形式化模型的语言方式表示以得到安全需求模型的步骤包括：

确定使用的形式化建模语言或工具，例如使用时序逻辑、Petri网、状态机等。

根据安全需求元素的特点将安全需求元素转化为形式化模型中的相应概念和结构，根据特定的建模语言或工具，将安全需求元素映射到对应的模型元素，例如将安全需求元素转化为状态、事件、转换等。

根据形式化建模语言或工具提供的语法和语义规则对安全需求元素之间的行为和状态转换关系进行表示，这可以包括使用时序逻辑公式来表示安全需求元素的前后关系、约束条件等。

根据安全需求元素及安全需求元素之间行为和状态转换关系的模型表示方式构建形式化模型，根据前面步骤中定义的模型元素和关系，使用建模语言或工具创建形式化模型，可能涉及定义状态、转换、约束条件等。

需要说明的是，安全需求模型是一种形式化的表示，用于描述系统或应用程序的安全性要求和约束条件。它通过使用适当的建模语言和技术，将安全需求从自然语言的描述转化为一种更精确、更结构化的形式。

构建安全需求模型的目的是为了提供一种可验证和可分析的表达方式，以确保系统满足安全方面的要求。它可以帮助开发团队和利益相关者更好地理解和共享对系统安全的期望，并提供一个准确的规范，以便进行验证、分析和设计。

安全需求模型通常由以下要素组成：

状态：描述系统可能的状态，包括系统的内部状态、环境条件和安全策略的状态；事件：表示系统中可能发生的事件或动作，如用户操作、数据传输、身份验证等；变量：用于表示系统状态和属性的变量，可以是系统的状态变量、输入变量或环境变量；约束条件：描述对系统行为和属性的限制和要求，例如访问控制规则、认证机制、数据完整性要求等；安全性质：表示系统在运行过程中应满足的安全性质和目标，如机密性、完整性、可用性等。

安全需求模型的具体形式和表示方式可以根据所选的建模语言和工具而有所不同。常见的建模语言包括时序逻辑（如LTL、CTL）、有限状态机（FSM）、Petri网等。使用这些语言，可以形式化地描述系统的状态转换、事件触发条件、约束关系和安全性质。

通过安全需求模型，开发团队可以更准确地分析和验证系统的安全性，发现潜在的安全风险和漏洞，并采取相应的措施进行改进和增强。此外，安全需求模型还可以为系统的设计和开发提供指导，确保系统在实现过程中满足安全方面的要求。

S102，基于用户提出的安全需求内容、安全需求的质量要求特性、国家法律法规及行业标准定义期望的安全性质和约束条件，并将期望的安全性质和约束条件转化为期望的性质规约，安全需求的质量要求特性包括但不限于清晰性、完整性、一致性和可行性，期望的安全性质和约束条件为期望目标应用系统满足的安全性质和约束条件。

需要说明的是， 安全需求中的访问控制规则应满足特定的安全策略，如数据加密应符合加密算法的安全性质等。安全性质是关于应用系统行为或状态的描述，用于表达应用系统的安全性质和期望的安全行为，例如，机密性、完整性、可用性、认证性、授权性、非否认性等都可以是安全性质，安全性质通常被形式化为逻辑表达式，以便进行验证和分析。

安全约束是关于应用系统设计和实施的限制条件，用于确保应用系统的安全性，它们规定了应用系统中的一些规则、规范或要求，以确保应用系统在设计和运行中满足特定的安全要求，例如，数据访问控制策略、身份验证规则、加密算法和密钥管理要求等都可以是安全约束。

在安全需求中，质量要求特性是用来评估和衡量安全需求的属性和特征。其中，清晰性、完整性、一致性和可行性对安全需求的质量起着重要的作用，通过考虑这些特性，可以很好的提高安全需求的质量和可理解性，从而更好地满足系统的安全性需求。

清晰性指的是安全需求的表达是否清晰明确，能够被准确理解和解释，清晰性要求安全需求文本具有明确的词汇和句法结构，避免歧义和模糊性，确保需求的意图和含义被准确传达。

完整性表示安全需求是否涵盖了所有必要的方面和内容，一个完整的安全需求应该包含对系统所有重要方面的要求，确保不会遗漏关键信息或功能需求，以便全面满足安全性要求。

一致性要求安全需求之间不能存在矛盾或冲突，安全需求应该在整个需求集合中保持一致，避免出现互相矛盾的要求，以确保整体的可理解性和可实施性。

可行性指安全需求是否可行、可实现，安全需求应该是基于现有技术和资源的可行性考虑，不应过于理想化或不切实际。可行性要求确保安全需求可以在实际的应用环境中被满足和实现。

具体的，所述基于用户提出的安全需求内容、安全需求的质量要求特性、国家法律法规及行业标准制定义期望的安全性质和约束条件，并将期望的安全性质和约束条件转化为期望的性质规约的步骤包括：

从用户提出的安全需求内容、国家法律法规及行业标准中识别出关键特性和约束，并基于识别出的关键特性和约束及安全需求的质量要求特性制定期望的安全性质和约束条件；

根据期望的安全性质和约束条件定义命题变量，命题变量用于描述目标应用系统状态和行为；

通过线性时序逻辑的运算符和逻辑连接词对命题变量进行形式化的规约表达以得到期望的性质规约；

将编写的性质规约转化为线性时序逻辑的形式化规约表达式，以确保性质规约准确而精确地描述期望的安全性质和约束条件。

需要说明的是，从用户提出的安全需求内容、国家法律法规及行业标准中识别出关键特性和约束，并基于识别出的关键特性和约束及安全需求的质量要求特性制定期望的安全性质和约束条件，以确保安全需求既能满足用户需求、国家法律法规及行业标准，又能满足安全需求的质量要求，从而能够生成高质量的安全需求。

命题变量用于描述系统的状态和行为，例如，可以使用命题变量"p"来表示目标应用系统的某个属性或状态。在线性时序逻辑中，可以使用一组运算符和逻辑连接词来描述性质规约，常见的运算符包括：

X：表示下一状态，例如，"X p"表示下一状态中"p"成立；

G：表示全局，例如，"G p"表示在全局范围内"p"始终成立；

F：表示未来，例如，"F p"表示在未来的某个时间点"p"成立；

U：表示直到，例如，"p U q"表示在某个时间点之前的所有时间点中，"p"一直成立直到"q"成立；

R：表示直到释放，例如，"p R q"表示在某个时间点之前的所有时间点中，"p"一直成立直到"q"成立，并且在"q"成立后"p"不再成立；

可以使用逻辑连接词，如逻辑与（∧）、逻辑或（∨）、蕴含（→）、取反（¬）等，将命题变量和线性时序逻辑运算符组合起来。

根据定义的命题变量和线性时序逻辑运算符，将性质规约转化为形式化的规约表达式，这个表达式使用线性时序逻辑的语法和约定来描述期望的安全性质和约束条件，例如，可以编写一个规约表达式如下：G(p→Fq)，表示在全局范围内，若"p"成立，则在未来的某个时间点"q"成立。

S103，将安全需求模型和期望的性质规约导入模型检测系统，以通过模型检测系统对安全需求模型和期望的性质规约进行分析以验证安全需求模型是否满足性质规约，并生成验证报告，验证报告包括验证结果和执行轨迹，执行轨迹用于描述在哪些条件下违反了性质规约，通过模型检测系统具体执行以下步骤：

在Promela模型中定义目标应用系统的进程、通信通道、状态和状态转换规则，并根据Promela模型的定义生成目标应用系统的状态空间和状态转换关系，

将期望的性质规约转化为线性时序逻辑公式的表示形式，其中，线性时序逻辑公式用于表示目标应用系统的行为和状态之间的关系，

从初始状态出发，通过广度优先搜索算法遍历搜索每个状态空间及执行每条状态转换路径，

在状态空间搜索的每个步骤中，根据线性时序逻辑公式的结构和语义规则判断搜索到的当前状态或状态转换是否满足线性时序逻辑公式的部分条件，

若搜索到的当前状态或状态转换不满足线性时序逻辑公式的部分条件，则得出不满足期望的性质规约的验证结果，并将与当前状态或状态转换关联的路径标记为反例路径，其中，与当前状态或状态转换关联的路径指当前状态或状态转换所在的路径，

搜索完成后，判断搜索完成的每个状态或状态转换是否满足线性时序逻辑公式的全部条件，若目标状态或状态转换不满足线性时序逻辑公式的全部条件，则得出不满足期望的性质规约的验证结果，并将与目标状态或状态转换关联的路径标记为反例路径，其中，与目标状态或状态转换关联的路径指目标状态或状态转换所在的路径，

根据验证结果和反例路径生成验证报告。

需要说明的是，该步骤通过模型检测系统对安全需求模型和期望的性质规约进行验证分析，能够自动化地验证安全需求模型是否满足性质规约，识别不符合规约的情况，并生成详细的验证报告，验证报告对于安全需求的修正和更新提供了依据，最终得到修正后的安全需求模型和最终的安全需求文本，这种自动化的验证方法可以提高效率和准确性，并降低验证过程中的人为误差。

通过广度优先搜索算法遍历搜索每个状态空间及执行每条状态转换路径，能够对安全需求模型进行全面的覆盖，以验证所有状态和转换的满足性质规约情况，这种全面性的验证方法可以发现系统中潜在的安全问题和违反性质规约的情况，并提供详细的执行轨迹描述，有助于开发人员全面了解系统行为。

线性时序逻辑公式作为一种形式化的表示方式，具备严格的语义和逻辑规则，能够有效地表达安全性质和约束条件，提供了强大的表达能力和形式化分析的基础，将期望的性质规约转化为线性时序逻辑公式的表示形式，能够准确地描述目标应用系统的行为和状态之间的关系。

根据验证结果和反例路径生成验证报告，能够清晰地展示安全需求模型是否满足性质规约以及具体违反性质规约的路径，验证报告的生成基于严格的逻辑分析，可以提供准确的验证结果和具体的违反情况，有助于开发人员识别和修复安全问题。

S104，基于验证报告对安全需求模型进行修正及对安全需求进行更新，将修正后的安全需求模型和期望的性质规约重新导入模型检测系统生成验证报告。

具体的，所述基于验证报告对安全需求模型进行修正及对安全需求进行更新的步骤包括：

从验证报告上获取未被满足的期望的性质规约及与其对应的反例路径；

对与未被满足的期望的性质规约对应的反例路径上的关键因素进行分析，以确定引发问题的具体原因，反例路径上的关键因素包括反例路径上的状态属性、状态转换条件、环境因素、并发操作或交互动作以及约束条件；

根据问题的具体原因 ，对安全需求模型的组成部分进行修正，组成部分包括状态定义、状态转换规则、安全策略和相关约束条件；

将修正后的安全需求模型与现有的安全需求文本进行对比以确定安全需求模型中的变更部分，变更部分包括新增、修改或删除的安全性质和约束条件，并根据安全需求模型中的变更部分对安全需求文本进行更新以确保文本中反映了最新的安全性质和约束条件。

需要说明的是，对与未被满足的期望的性质规约对应的反例路径上的关键因素进行分析，包括但不限于分析状态属性：分析并判断反例路径上的状态属性是否存在状态属性与期望的安全性质和约束条件不一致的情况，状态属性例如为安全策略的状态、权限访问控制、数据保护等；分析状态转换条件：分析并判断反例路径上是否存在状态转换条件不满足期望的安全性质和约束条件的情况，状态转换条件包括事件触发条件、安全策略的约束条件等；分析环境因素：分析并判断反例路径上是否存在外部因素导致安全性质不满足的情况，外部因素例如为外部输入、系统状态、交互对象等；分析并发和交互：若目标应用系统具有并发行为或与其他系统进行交互，分析并判断反例路径中是否存在并发冲突、通信问题或协议违规等导致安全性质不满足的情况；分析约束条件：分析并判断反例路径上是否存在约束条件不满足的情况，约束条件例如为数据访问控制、安全性级别要求等。

安全需求模型的组成部分包括但不限于状态定义，定义了目标应用系统可能的状态，通常通过变量或属性来表示目标应用系统的状态，状态定义可以包括目标应用系统的内部状态、外部环境状态、用户权限状态等，根据具体需求而定；状态转换规则，定义了目标应用系统在不同状态之间的转换条件和动作，这些规则描述了目标应用系统的行为和状态转移，可以基于事件触发、条件判断等来定义状态之间的转换；安全策略，包括访问控制策略、身份验证策略、数据保护策略等，用于确保系统满足安全性要求，安全策略规定了对目标应用系统资源和功能的访问权限、保护机制以及安全性级别等；相关约束条件，包括法律法规、行业标准、业务规定等对目标应用系统安全性的约束条件，这些约束条件定义了目标应用系统在特定上下文中需要遵守的安全要求。

S105，通过多次迭代，以对安全需求模型进行不断修正及对安全需求文本进行不断更新，直至得出满足期望的性质规约的验证结果，终止迭代，并基于验证报告得到修正后的最终的安全需求模型及最终的安全需求文本。

本发明的应用开发安全需求的生成方法通过将用户提出的安全需求内容转化为规范的形式化模型，并基于用户提出的安全需求内容、安全需求的质量要求特性、国家法律法规及行业标准定义期望的安全性质和约束条件，然后利用模型检测系统对安全需求模型和期望的性质规约进行分析以验证安全需求模型是否满足性质规约，并根据验证报告对安全需求模型进行修正及对安全需求进行更新，最终得到修正后的最终的安全需求模型及最终的安全需求文本，能够自动化有效地生成满足用户期望和相关标准的高质量的应用开发安全需求，从而提高了应用开发过程中的安全保障水平和效率；

将用户提出的安全需求内容转化为规范的形式化模型，形式化模型的使用，能够减少主观因素的干扰，从而提高了安全需求的表达和理解的准确性和一致性，避免了因为语言歧义或不清晰而导致的安全需求误解或遗漏的风险；

基于用户提出的安全需求内容、安全需求的质量要求特性、国家法律法规及行业标准定义期望的安全性质和约束条件，能够强化对安全需求的规范性要求，从而减少不一致性和模糊性的问题，并保证了安全需求的完整性和合理性，避免了因为缺乏相关标准或指导而导致的安全需求不清晰、不完备或不合适等问题；

利用模型检测系统对安全需求模型和期望的性质规约进行分析以验证安全需求模型是否满足性质规约，并根据验证报告对安全需求模型进行修正及对安全需求进行更新，从而保证了安全需求的正确性和可行性，避免了因为逻辑错误或实现困难而导致的安全需求不符合预期或无法实现的问题，且采用模型检测技术，可以自动进行安全需求的分析和验证，极大提高生成过程的效率和效果。

通过多次迭代的验证反馈过程，以对安全需求模型进行不断修正及对安全需求文本进行不断更新，不仅能够根据验证结果得到正确及可行的安全需求，还保证了安全需求的动态性和适应性，避免了因为环境变化或用户反馈而导致的安全需求过时或不适用的问题。

实施例二

参考图2，实施例二提供一种应用开发安全需求的生成系统，包括：

模型构建模块：用于将用户提出的安全需求内容以安全需求文本的形式表示，从安全需求文本中提取安全需求元素，并将安全需求元素以规范的形式化模型的语言方式表示以得到安全需求模型。

模型构建模块还用于：

对安全需求文本进行预处理以保留与安全需求相关的内容，预处理包括去除标点符号、停用词和数字等无关信息；

利用分词工具将预处理后的安全需求文本切分成单词或短语以形成词汇单元；

对切分的词汇单元进行词性标注以标注每个词汇的词性，词性包括名词、动词和形容词等；

从预定义的安全需求特点中提取相应的关键词或短语作为特征词汇并生成特征词汇表。

将特征词汇表与词汇单元进行匹配以提取出词汇单元中包含的特征词汇，并设为安全需求元素。

模型构建模块还用于：

确定使用的形式化建模语言或工具；

根据安全需求元素的特点将安全需求元素转化为形式化模型中的相应概念和结构；

根据形式化建模语言或工具提供的语法和语义规则对安全需求元素之间的行为和状态转换关系进行表示；

根据安全需求元素及安全需求元素之间行为和状态转换关系的模型表示方式构建形式化模型。

性质规约建立模块：用于基于用户提出的安全需求内容、安全需求的质量要求特性、国家法律法规及行业标准定义期望的安全性质和约束条件，并将期望的安全性质和约束条件转化为期望的性质规约，安全需求的质量要求特性包括但不限于清晰性、完整性、一致性和可行性，期望的安全性质和约束条件为期望目标应用系统满足的安全性质和约束条件。

性质规约建立模块还用于：

从用户提出的安全需求内容、国家法律法规及行业标准中识别出关键特性和约束，并基于识别出的关键特性和约束及安全需求的质量要求特性制定期望的安全性质和约束条件；

根据期望的安全性质和约束条件定义命题变量，命题变量用于描述目标应用系统状态和行为；

通过线性时序逻辑的运算符和逻辑连接词对命题变量进行形式化的规约表达以得到期望的性质规约；

将编写的性质规约转化为线性时序逻辑的形式化规约表达式，以确保性质规约准确而精确地描述期望的安全性质和约束条件。

验证模块：用于将安全需求模型和期望的性质规约导入模型检测系统，以通过模型检测系统对安全需求模型和期望的性质规约进行分析以验证安全需求模型是否满足性质规约，并生成验证报告，验证报告包括验证结果和执行轨迹，执行轨迹用于描述在哪些条件下违反了性质规约，通过模型检测系统具体执行以下步骤：

在Promela模型中定义目标应用系统的进程、通信通道、状态和状态转换规则，并根据Promela模型的定义生成目标应用系统的状态空间和状态转换关系，

将期望的性质规约转化为线性时序逻辑公式的表示形式，其中，线性时序逻辑公式用于表示目标应用系统的行为和状态之间的关系，

从初始状态出发，通过广度优先搜索算法遍历搜索每个状态空间及执行每条状态转换路径，

在状态空间搜索的每个步骤中，根据线性时序逻辑公式的结构和语义规则判断搜索到的当前状态或状态转换是否满足线性时序逻辑公式的部分条件，

若搜索到的当前状态或状态转换不满足线性时序逻辑公式的部分条件，则得出不满足期望的性质规约的验证结果，并将与当前状态或状态转换关联的路径标记为反例路径，其中，与当前状态或状态转换关联的路径指当前状态或状态转换所在的路径，

搜索完成后，判断搜索完成的每个状态或状态转换是否满足线性时序逻辑公式的全部条件，若目标状态或状态转换不满足线性时序逻辑公式的全部条件，则得出不满足期望的性质规约的验证结果，并将与目标状态或状态转换关联的路径标记为反例路径，其中，与目标状态或状态转换关联的路径指目标状态或状态转换所在的路径，

根据验证结果和反例路径生成验证报告。

修正模块：用于基于验证报告对安全需求模型进行修正及对安全需求进行更新，将修正后的安全需求模型和期望的性质规约重新导入模型检测系统生成验证报告。

修正模块还用于：

从验证报告上获取未被满足的期望的性质规约及与其对应的反例路径；

对与未被满足的期望的性质规约对应的反例路径上的关键因素进行分析，以确定引发问题的具体原因，反例路径上的关键因素包括反例路径上的状态属性、状态转换条件、环境因素、并发操作或交互动作以及约束条件；

根据问题的具体原因 ，对安全需求模型的组成部分进行修正，组成部分包括状态定义、状态转换规则、安全策略和相关约束条件；

将修正后的安全需求模型与现有的安全需求文本进行对比以确定安全需求模型中的变更部分，变更部分包括新增、修改或删除的安全性质和约束条件，并根据安全需求模型中的变更部分对安全需求文本进行更新以确保文本中反映了最新的安全性质和约束条件。

迭代模块：用于通过多次迭代，以对安全需求模型进行不断修正及对安全需求文本进行不断更新，直至得出满足期望的性质规约的验证结果，终止迭代，并基于验证报告得到修正后的最终的安全需求模型及最终的安全需求文本。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims (4)

1.一种应用开发安全需求的生成方法，其特征在于，步骤包括：

将用户提出的安全需求内容以安全需求文本的形式表示，从安全需求文本中提取安全需求元素，并将安全需求元素以规范的形式化模型的语言方式表示以得到安全需求模型；

基于用户提出的安全需求内容、安全需求的质量要求特性、国家法律法规及行业标准定义期望的安全性质和约束条件，并将期望的安全性质和约束条件转化为期望的性质规约，安全需求的质量要求特性包括但不限于清晰性、完整性、一致性和可行性，期望的安全性质和约束条件为期望目标应用系统满足的安全性质和约束条件；

将安全需求模型和期望的性质规约导入模型检测系统，以通过模型检测系统对安全需求模型和期望的性质规约进行分析以验证安全需求模型是否满足性质规约，并生成验证报告，验证报告包括验证结果和执行轨迹，执行轨迹用于描述在哪些条件下违反了性质规约，通过模型检测系统具体执行以下步骤：

在Promela模型中定义目标应用系统的进程、通信通道、状态和状态转换规则，并根据Promela模型的定义生成目标应用系统的状态空间和状态转换关系，

将期望的性质规约转化为线性时序逻辑公式的表示形式，其中，线性时序逻辑公式用于表示目标应用系统的行为和状态之间的关系，

从初始状态出发，通过广度优先搜索算法遍历搜索每个状态空间及执行每条状态转换路径，

在状态空间搜索的每个步骤中，根据线性时序逻辑公式的结构和语义规则判断搜索到的当前状态或状态转换是否满足线性时序逻辑公式的部分条件，

若搜索到的当前状态或状态转换不满足线性时序逻辑公式的部分条件，则得出不满足期望的性质规约的验证结果，并将与当前状态或状态转换关联的路径标记为反例路径，其中，与当前状态或状态转换关联的路径指当前状态或状态转换所在的路径，

搜索完成后，判断搜索完成的每个状态或状态转换是否满足线性时序逻辑公式的全部条件，若目标状态或状态转换不满足线性时序逻辑公式的全部条件，则得出不满足期望的性质规约的验证结果，并将与目标状态或状态转换关联的路径标记为反例路径，其中，与目标状态或状态转换关联的路径指目标状态或状态转换所在的路径，

根据验证结果和反例路径生成验证报告；

基于验证报告对安全需求模型进行修正及对安全需求进行更新，将修正后的安全需求模型和期望的性质规约重新导入模型检测系统生成验证报告；

通过多次迭代，以对安全需求模型进行不断修正及对安全需求文本进行不断更新，直至得出满足期望的性质规约的验证结果，终止迭代，并基于验证报告得到修正后的最终的安全需求模型及最终的安全需求文本；

其中，所述基于用户提出的安全需求内容、安全需求的质量要求特性、国家法律法规及行业标准制定义期望的安全性质和约束条件，并将期望的安全性质和约束条件转化为期望的性质规约的步骤包括：

从用户提出的安全需求内容、国家法律法规及行业标准中识别出关键特性和约束，并基于识别出的关键特性和约束及安全需求的质量要求特性制定期望的安全性质和约束条件，

根据期望的安全性质和约束条件定义命题变量，命题变量用于描述目标应用系统状态和行为，

通过线性时序逻辑的运算符和逻辑连接词对命题变量进行形式化的规约表达以得到期望的性质规约，

将编写的性质规约转化为线性时序逻辑的形式化规约表达式，以确保性质规约准确而精确地描述期望的安全性质和约束条件；

所述基于验证报告对安全需求模型进行修正及对安全需求进行更新的步骤包括：

从验证报告上获取未被满足的期望的性质规约及与其对应的反例路径，

对与未被满足的期望的性质规约对应的反例路径上的关键因素进行分析，以确定引发问题的具体原因，反例路径上的关键因素包括反例路径上的状态属性、状态转换条件、环境因素、并发操作或交互动作以及约束条件，

根据问题的具体原因 ，对安全需求模型的组成部分进行修正，组成部分包括状态定义、状态转换规则、安全策略和相关约束条件，

将修正后的安全需求模型与现有的安全需求文本进行对比以确定安全需求模型中的变更部分，变更部分包括新增、修改或删除的安全性质和约束条件，并根据安全需求模型中的变更部分对安全需求文本进行更新以确保文本中反映了最新的安全性质和约束条件；

安全需求模型由以下要素组成：

状态：描述系统状态，包括系统的内部状态、环境条件和安全策略的状态，事件：表示系统中发生的事件或动作，包括用户操作、数据传输、身份验证，变量：用于表示系统状态和属性的变量，包括系统的状态变量、输入变量或环境变量，约束条件：描述对系统行为和属性的限制和要求，包括访问控制规则、认证机制、数据完整性要求，安全性质：表示系统在运行过程中应满足的安全性质和目标，包括机密性、完整性、可用性。

2.根据权利要求1所述的应用开发安全需求的生成方法，其特征在于，所述从安全需求文本中提取安全需求元素的步骤包括：

对安全需求文本进行预处理以保留与安全需求相关的内容，预处理包括去除标点符号、停用词和数字；

利用分词工具将预处理后的安全需求文本切分成单词或短语以形成词汇单元；

对切分的词汇单元进行词性标注以标注每个词汇的词性，词性包括名词、动词和形容词；

从预定义的安全需求特点中提取相应的关键词或短语作为特征词汇并生成特征词汇表；

将特征词汇表与词汇单元进行匹配以提取出词汇单元中包含的特征词汇，并设为安全需求元素。

3.根据权利要求1所述的应用开发安全需求的生成方法，其特征在于，所述将安全需求元素以规范的形式化模型的语言方式表示以得到安全需求模型的步骤包括：

确定使用的形式化建模语言或工具；

根据安全需求元素的特点将安全需求元素转化为形式化模型中的相应概念和结构；

根据形式化建模语言或工具提供的语法和语义规则对安全需求元素之间的行为和状态转换关系进行表示；

根据安全需求元素及安全需求元素之间行为和状态转换关系的模型表示方式构建形式化模型。

4.一种应用开发安全需求的生成系统，其特征在于，包括：

模型构建模块：用于将用户提出的安全需求内容以安全需求文本的形式表示，从安全需求文本中提取安全需求元素，并将安全需求元素以规范的形式化模型的语言方式表示以得到安全需求模型；

性质规约建立模块：用于基于用户提出的安全需求内容、安全需求的质量要求特性、国家法律法规及行业标准定义期望的安全性质和约束条件，并将期望的安全性质和约束条件转化为期望的性质规约，安全需求的质量要求特性包括但不限于清晰性、完整性、一致性和可行性，期望的安全性质和约束条件为期望目标应用系统满足的安全性质和约束条件；

验证模块：用于将安全需求模型和期望的性质规约导入模型检测系统，以通过模型检测系统对安全需求模型和期望的性质规约进行分析以验证安全需求模型是否满足性质规约，并生成验证报告，验证报告包括验证结果和执行轨迹，执行轨迹用于描述在哪些条件下违反了性质规约，通过模型检测系统具体执行以下步骤：

在Promela模型中定义目标应用系统的进程、通信通道、状态和状态转换规则，并根据Promela模型的定义生成目标应用系统的状态空间和状态转换关系，

将期望的性质规约转化为线性时序逻辑公式的表示形式，其中，线性时序逻辑公式用于表示目标应用系统的行为和状态之间的关系，

从初始状态出发，通过广度优先搜索算法遍历搜索每个状态空间及执行每条状态转换路径，

在状态空间搜索的每个步骤中，根据线性时序逻辑公式的结构和语义规则判断搜索到的当前状态或状态转换是否满足线性时序逻辑公式的部分条件，

若搜索到的当前状态或状态转换不满足线性时序逻辑公式的部分条件，则得出不满足期望的性质规约的验证结果，并将与当前状态或状态转换关联的路径标记为反例路径，其中，与当前状态或状态转换关联的路径指当前状态或状态转换所在的路径，

搜索完成后，判断搜索完成的每个状态或状态转换是否满足线性时序逻辑公式的全部条件，若目标状态或状态转换不满足线性时序逻辑公式的全部条件，则得出不满足期望的性质规约的验证结果，并将与目标状态或状态转换关联的路径标记为反例路径，其中，与目标状态或状态转换关联的路径指目标状态或状态转换所在的路径，

根据验证结果和反例路径生成验证报告；

修正模块：用于基于验证报告对安全需求模型进行修正及对安全需求进行更新，将修正后的安全需求模型和期望的性质规约重新导入模型检测系统生成验证报告；

迭代模块：用于通过多次迭代，以对安全需求模型进行不断修正及对安全需求文本进行不断更新，直至得出满足期望的性质规约的验证结果，终止迭代，并基于验证报告得到修正后的最终的安全需求模型及最终的安全需求文本；

其中，所述性质规约建立模块还用于：

从用户提出的安全需求内容、国家法律法规及行业标准中识别出关键特性和约束，并基于识别出的关键特性和约束及安全需求的质量要求特性制定期望的安全性质和约束条件，

根据期望的安全性质和约束条件定义命题变量，命题变量用于描述目标应用系统状态和行为，

通过线性时序逻辑的运算符和逻辑连接词对命题变量进行形式化的规约表达以得到期望的性质规约，

将编写的性质规约转化为线性时序逻辑的形式化规约表达式，以确保性质规约准确而精确地描述期望的安全性质和约束条件；

所述修正模块还用于：

从验证报告上获取未被满足的期望的性质规约及与其对应的反例路径，

对与未被满足的期望的性质规约对应的反例路径上的关键因素进行分析，以确定引发问题的具体原因，反例路径上的关键因素包括反例路径上的状态属性、状态转换条件、环境因素、并发操作或交互动作以及约束条件，

根据问题的具体原因 ，对安全需求模型的组成部分进行修正，组成部分包括状态定义、状态转换规则、安全策略和相关约束条件，

将修正后的安全需求模型与现有的安全需求文本进行对比以确定安全需求模型中的变更部分，变更部分包括新增、修改或删除的安全性质和约束条件，并根据安全需求模型中的变更部分对安全需求文本进行更新以确保文本中反映了最新的安全性质和约束条件；

安全需求模型由以下要素组成：

状态：描述系统状态，包括系统的内部状态、环境条件和安全策略的状态，事件：表示系统中发生的事件或动作，包括用户操作、数据传输、身份验证，变量：用于表示系统状态和属性的变量，包括系统的状态变量、输入变量或环境变量，约束条件：描述对系统行为和属性的限制和要求，包括访问控制规则、认证机制、数据完整性要求，安全性质：表示系统在运行过程中应满足的安全性质和目标，包括机密性、完整性、可用性。