机载软件适航验证技术现状及展望研究

将 形 式 化 方 法 用 于 软 件 和 硬 件 设 计 ， 是
机载软件适航验证技术现 状及展 望研究
文 ◎ １ 卫 欣 蔡
摘 要 ：机 载 软 件 具有 实 时性 、 高可 靠 性 、嵌入 式的特点 。软件 的特殊性 ，给机 载 软件验 证 带来 了严 峻的挑 战。本 文首先研 究 了软 件 验 证 现 状 以及 软 件 测 试 、评 审 方 法 ， 最后 对 目前软件适航 验证 的前沿技 术进行 了 探 索。它对 于机载软 件适航 验证研 究具有 一 定 的借 鉴 意 义 。 关 键 词 ： 机 载 软 件 ； 适 航 验 证 ； 技 术现 状 ；发 展 方 向 ； Ｄ — ７Ｂ ０ １ ８ 波音７ ７ ７ 飞机成功地投入 民航运 营，标志 着 民机计算机软件设计时代 的到来 。 硬 件 可 以 而 且 通 常 做 彻 底 测 试 ， 甚 至 直 到 破坏 ，以保证不 存在设 计瑕疵 ，飞机 的静 力 实 验 、 疲 劳 实 验 、 甚 至 整 机 适 坠 性 实 验 都 可 以做 。软件不像 硬件设 备和部件 ，它 不会 破 坏 或 消 耗 ， 但 软 件 很 难 达 到 和 硬 件 相 同 的 安全等级 ，软件不 允许存 在误差 ，否则 后果 不堪设想 。 比如 ，美 国在 一次卫 星发射 实验 中 ， 由于 飞 行 计 划 程 序 里 漏 掉 了 一 个 连 字 符 而导致 了火箭 实验 的失败 。 由于 软件 的特 殊 性 ，特别 是机载软 件 的 日益复杂 ，给机 载软 件 验 证 带 来 了严 峻 挑 战 。 １ 软件验证简述 ． 验 证 ｖ ｒ ｆ ｃ ｔ Ｏｌ 仅 仅 是 测 试 ｔ ｓ 。 ｅ ｉ ｉ ａ ｉｉ 不 ｅ ｔ 软 件 验 证 过 程 典 型 地 兼 有 评 审 、 分 析 和 测 试 ，所 以测试 仅 仅 是验 证 的一 种 手段 ，软 件 验 证 过 程 通 过 评 审 、分 析 、 测 试 用 例 和 程 序的开 发、 以及测 试程序 的实施 等各种 方式 的 组 合 来 实 现 其 目标 。评 审 和 分 析 对 软 件 需 求 、软件 体系架 构和源代 码的准 确性 、完整 性 和 可 验 证 性 进 行 评 估 。 测 试 用 例 的 开 发 可 对 需 求 的 内部 一 致 性 和 完 整 性 进 行 进 一 步 的 评 估 。测 试 程 序 的 实 施 证 明 了对 需 求 的 符 合 性 ［］ １ 。目前机载软件验证 的主要依据 是Ｒ Ｃ ＴＡ Ｄ 一 ７ 机 载系统 和设备合格 审定 的软件考 Ｏ １ ８（ 虑 ） ， Ｄ 一 ８ 设 定 了软 件 开 发 和 验 证 的 原 Ｏ１ Ｂ ７ 则 ，是世界 民用航空领 域在适航 取证 过程 中 所广泛 采用 的适航标准 ，也是 中 国民用航空 局适航 司认可 的 民用航 空机载 设备和 系统软
臣冒 星 匪函
曼△ 曼
２ 剑 （ 中 国 民航 大 学 杨 １
测试 。
涵
天 津 ；２ 家 庄 铁 道 学 院 四方 学 院 ） 石
软 件 ， 一 般 根 据 任 务 组 在 飞控 系 统 中 所 具 有 的作 用 、重 要 程 度 和 其 本 身 的 变 化 率 。 分 成 各种 不 同速率 组任 务调度执行 。为 了满足不 同任 务 优 先 级 的 要 求 ， 还 要 进 行 中 断 管 理 。 因此 在机载 软件测试 中，不但 要对软 件语句 的执 行逻辑关 系进行 验证 ，还 要对该 过程的 执行时间和规 定时间进行 比较 。 （） 载软件属于安全关键软件 。其性能 ３机 的不可靠将 带来灾难 性的后 果 ，因此 对其可 靠 性、安全性 要求很 高 。为此 在机载 软件设 计 时采 用 一 些 提 高 可 靠 性 、 安 全 性 的 先 进 技 术 ，主要有容错 技术、Ｎ 版本技术、安全监控 和 安 全 隔 离 技术 等 。 ３ 软 件 适 证 技 术 展 望 ３ １ 式 化 方 法 ．形
件 的 适 航 审 查依 据
２ ２ １ 件 评 审 ．．软 据有 关资料 统计 ，软件 中的大部分 缺 陷 是 在 编 码 之 前 造 成 的 ， 因 为 软 件 设 计 人 员 设 计不 当而引入 软件的缺 陷 占整 个软件 开发阶 段引入缺 陷的５ ％ ５ ０ ￣６ ％，而 软件评 审技 术可
的稳 定 性 大 打 折 扣 。
２３ １ 载 软 件 测 试 目标 ．． 机 总 之 ，航 空 电 子 和 软 件 开 发 技 术 的 发 展 ２ 软件验证现状 ． ２ １ 件 验 证 标 准Ｄ 一 ７ Ｂ ．软 ｏ １８ 机 载 软 件 的 测 试 有 两 个 互 补 的 目标 一 推 动着 合 格 审 定 过 程 的 更 改 ，Ｄ 一 ７ Ｂ 少 旧 Ｏ １８ 缺 Ｄ 一 ７ Ｂ 准 不 仅 严 格 规 定 了 软 件 开 发 是 证 明软 件 满 足 其 需 求 ； 二 是 以高 置 信 度 证 软 件 工 具 的 合 格 审 定 ， 而 且 先 进 的 技 术 和 新 Ｏ１８标 的流 程 ，而 且 还 规 定 了 每 个 流 程 都 必 须 经 过 明 由 系 统 安 全 性 评 估 过 程 确 定 的 可 能 导 致 不 航空 电子 软件 的发 展 ，也 需要有 新的合格 审 １。 定 标准 。 严格验 证 ，光 有开发 过程 的验 证还不 够，为 可 接 受 的 失 效 状 态 的那 些 错 误 已被 消 除 ［］ ４ 结 论 ． 了保 证 验 证 工 作 的 质 量 ， 它 还 明 确 规 定 验 证 ２３ ２ 载 软 件 测 试 的特 点 ． ．机 （ ） 载 软 件 多 为 嵌 入 式 软 件 ， 嵌 入 式 １机 机载软 件具有 实时性 、高可靠 性 、嵌入 工作本身 也要进行验 证，如图ｌ 所示 。由此可 见 ， 软 件 验 证 在 整 个 开 发 过 程 中 的极 端 重 要 软 件 具 有 两 个 显 著特 点 ： 一 是 软 件 和 硬 件 结 式的特 点，这些特 点决定 了机载 软件适航验 性。 合 紧 密 ， 软 件 脱 离特 定 系 统 往 往 无 法 运 行 ， 证 技术 必 须 具 有 极 强 的 先进 性 ２ ２Ｊ 验 证 活 动 ．５件 （ 软 件 失 效 与 硬 件 故 障 有 时 难 以 区 分 ， 甚 至 参考文献 ： 软 件 验 证 过 程 典 型 地 兼 有 评 审 、 分 析 和 相 互 干 扰 。 二 是 开 发 环 境 和 运 行 环 境 不 同 。 ［］ ＴＡ ． Ｄ １８ ． Ｗ ｉｇ ｏ ， ９２ １Ｒ Ｃ ０ Ｂ ７ ａ ｈ ｎ ｔ ｎ １ ９ ｓ 因而 ，嵌入 式软件还 必须进 行 目标 环境 的测 试。 ［］ ２ 刘皓 、李长命 ， Ⅸ 软件 测试 简述与展 嵌入式 软件 的这 两个特 性给软 件测试 提 望》 ［］ 学术交流，２ ０ Ｊ． ０８ 出 了 新 的挑 战 ， 一 些 新 的 问 题 必 须 重 视 。 比 ［］ ３ 刘利枚 、汪文 勇、唐科 ， 《 嵌入 式软 如 ， 宿 主 环 境 和 目标 环 境 测 试 的 分 配 、 软 一 件 测试方 法与技术 》 【】 计算机 与现代化 ， Ｊ． ０ ５ 硬 件 错 误 的 界 定 、硬 件 特 性 对 软 件 测 试 的 影 ２ ０ 响 、测 试 所 需 的 硬 件 信 号 驱动 及 响应 等 等 。 【】 ４ 李幸超 ， 《 实用软 件测 试》 【 ］ 北 ￣． 【 （） 载 软 件 实 时 性 强 。机 载 软 件 多 是 实 京 ： 电子 工 业 出版 社 ， ２ ０ ２机 ０６ 时 软 件 。 不 但 要 求 软 件 执 行 实 时 性 强 ，而 且 ［】 ５ 石柱 、刘华 、郭 晓慧， 《 软件Βιβλιοθήκη Baidu 审类 图１ ：软 件 验 证 在 开 发 过程 中 的流 程 要 求 多 个 任 务 能 协 调 执 行 。 例 如 其 中 的 飞 控 型及 其 实施 要 求 … ． 天控 制 ，２ ０ 航 ０７
２３ 载 软 件 测 试 ．机
期 望能够像其 它工程 学科一样 ，使用 适当 的 数 学 分 析 以提 高 设计 的可 靠 性 和 鲁 棒 性 。 形 式 化 方 法 的 一 个 研 究 内 容 是 形 式 规 约 ， 即 用 具 有 精 确 语 义 的 形 式 语 言 书 写 的 程 序 功 能描 述 ， 是验 证 程 序是 否 正 确 的依 据 ； 另 一个 研 究 内容 是 形 式验 证 （ ｏ ｍ １ Ｆ ｒ ａ Ｖ ｒ ｆ ｃ ｔ ｏ ） 即验 证 已有 的程 序 是 否 满 足 ｅ ｉ ｉａ ｉ ｎ ， 其 规 约 的 要 求 ，它 是 形 式 化 方 法 所 要 解 决 的 核 心 问题 。 而 如何基 于形式 化方法 开发适用 的软件 测 试 模 型 则 是 未 来研 究 的热 点 问题 。 ３ ２ 航 验 证 标 准 的 发 展 ．适 现 在 的Ｄ 一 ８ 是 面 向 目标 的 相 对 稳 定 Ｏ１ Ｂ ７ 版 本 ，现 已使用 了１ 年 ， 由于 以下 原 因 ， ７ 尚需对 Ｄ 一 ７ Ｂ Ｏ １ ８ 做进一步修 订 ： （ ）其 目标 １ 是 “相 对 稳 定 ” 的 ， 它 不 是 “ 恒 稳 定 ” 永 的 。 （ ）Ｄ －１８ 对 “ 向 目标 ” 的 原 则 还 ２ Ｏ ７Ｂ 面 贯 彻得不 够彻 底 。Ｄ 一 ７ Ｂ Ｏ １ ８ 中所 定义 的６ 个 ６ 目标中 ，有 少量 的 目标其 实不是真 正的 “目 标 ” ， 而 是 “技 术 ” 。 最 明 显 的 例 子 就 是 “ 验证 的验证 ”的 目标中关于Ｍ ／ Ｃ Ｃ Ｄ 覆盖 、判 定覆盖 、语 句覆盖 等。这 些 “ 技术 ” 以 “目 标 ” 的形 式 出现 在 标 准 里 ， 使 得 Ｄ 一 ７ Ｂ 准 Ｏ １８ 标
以发现其中７ ％ ５ 左右 的设计缺 陷。软件评审作 为 软 件 管 理 的 一 项 重 要 活 动 ， 是 软 件 质 量 保 证 的重要一环 。 目前 ，我 国软 件工程化 程度 不 高 ， 软 件 评 审 随 意 性 较 大 ， 相 关 标 准 缺 乏 规范，评审过程基本上停留在管理层面 。 软 件 评 审 通 常 包 括 ： 管 理 评 审 、技 术 评 审 、审查、走查 和审核等５ 种类 型 ［］ ５ 。机载 软 件 评 审 的 依 据 有 Ｄ 一 ７ Ｂ Ａ Ａ Ｅ Ｓ 的相 Ｏ １８ ，Ｎ Ｓ 和 Ａ Ａ 关 标 准 ， 中 国 民 用 航 空 规 章 和 其 它 的 咨 询 材 料等。 ２ ２ ２ 件 测 试 ．．软 目前 ， 与 测 试 相 关 的 三 个 重 要 观 点 是 ： （） １测试是为 了证 明程 序有错，而不是证 明程 序 无 错 误 ； （） ２ 一个 好 的测 试 用 例 是 在 于 它 能 够 发 现 至 今 未 发 现 的 错 误 ； （ ） 个 成 功 的 ３一 测 试 是 发现 了 至今 未 发 现 的 错 误 的 测试 ［］ ２。 软 件 测 试 的 方 法 主 要 有 ： 黑 盒 测 试 、 白 盒 测 试 、 灰 盒 测试 等 ［］ ４。 黑盒 测试 ，又称功 能测试 。在测试 时 ， 完全 不考虑程 序 内部 结构与 内部特性 ，测试 者 在 程 序 接 口 进 行 测 试 。黑 盒 测 试 的 主 要 方 法 有 ： 等 价 类 划 分 、边 界 值 分 析 、 因 果 图 、 错 误 推 测 等 ， 主要 适 用 于 软 件 确 认 测试 。 白盒测试 ，也称结 构测试 。它按照 程序 内部 的结构 测试程序 ，来检验 程序 中的每条 通 路 是 否 都 能 按 预 定 要 求 正 确 工 作 。 白盒 测 试 的 主 要 方 法 有 ：逻 辑 驱 动 、 基 路 测 试 等 ， 这一阶段测试以软件开发人员为主 。 白盒和 黑盒测试 ，两类方 法各有侧 重 ， 在 测 试 的 实 践 中 都 实 用 ，但 又 各 有 优 长 ， 只 有将 二者有 机结合 ，即进行 所谓 的 “ 灰盒测 试 ” ，才 能弥补二者 的不足 ，使测试 方法 更 加完善 。