安全苛求联锁软件的可靠性分析

集：则Ｒ表示为： ， Ｃ Ｎ Ｉ Ｏ Ｃ Ｖ ＤＴ ＮＣ ＝（ 。（刀（（ （ （） Ｎ Ｉ Ｏ （） ３ ）」 （ ｌ Ｏ ＤＴ Ｎ Ｃ Ｉ ２ Ｏ Ｉ ３＊ Ｃ０ ） Ｖ ｏ） ＥＯ Ｇ ） （， Ｍ （） Ａ （Ｅ Ｏ Ｇ Ｃ（）Ａ Ｌ Ｎ （Ｆ） Ｖ（ （ Ｖ ｏ） （ Ｌ Ｎ ２ Ｂ ｆ ， Ｍ ｏ ２ ） Ｂ 了 Ｆ Ｖ Ｅ Ｏ Ｇ ２ ） （ Ｖ ２ ）） （ ＥＯ Ｇ ， ） Ｂ Ｌ Ｎ （Ｆ ）ｖ（ ｆ ） ， ） ０ ， Ｃ Ｃ（ ）ｎ （ Ｌ Ｎ 认 ｏ Ｂ Ｆ） Ｅ Ｏ Ｇ ２）） Ｖ Ｌ Ｎ （ Ｆ）） （ Ｂ ｆ ，
足够的 数据， 事故 这样会导 于测试开销过大和累积时间 致由 过
长影响评价的准确性和及时性。 本文通过对安全苛求软件的特 征的分析， 提出了一种基于混沌理论的安全苛求软件安全性的
分析Βιβλιοθήκη Baidu法 ｎ
天、 交通、 医疗、 核能等领域的一些应用中， 软件的故障有可能 导致极其灾难性的后果， 软件的安全性理所当然地被视作第一 性能。 这类软件因其对安全性的极度关注而被称为安全苛求软 件， 对软件安全性的研究顺理成章地集中于这类软件。但目 前 关于软件安全性的分析和评价的理论还不够完善。 ０ ８ 年代初，
析外均侧重软件开发前期的工具。 而当前软件的质量保证的最 有效的方法还是后期测试， 那么针对此阶段分析和评估软件安 全性的方法的研究就十分必要。 概率统计的方法以往在测试阶
基金项 目 ： 教育部博士学科点专项科研基金（ ２００４０１ 编号： ３２７２） ０
１ 安全苛求软件 由 【得到安全苛求软 严格定义。 文献 １ ］ 件的 定义１ 安全苛求软件是一个四 元组Ｓ＜ ，，，＞其中： ＝ＯＦＣＲ ， ０为安全苛求软件的功能集， 定义谓词Ｃ（） ， ：为直接地支配 ｘｘ 和 控制着某硬件组件的 条件的 功能； （ ：为直 Ｃ ｘ ｘ 接地支配和控 ） 制着硬件组件的状态的功能；， ） 为监测某硬件组件的条 Ｍ（ ： ｘｘ 件的功能； 劝：为监测某硬件组件的状态的功能。则０ 从（ ｘ ＝ ｛Ｃ（） ｏＶ ｏＶ Ｚ ） Ｏ ， Ｖ ） ， ） （ ） Ｉ ｏ Ｃ（ Ｍ （ Ｍ ｏ ． Ｆ 为安全苛求软件的故障集， 它有两个子集Ｆ 和Ｆ， ， Ｚ 子集 Ｆ为软件自 身缺陷引起的故障， 还可进一步划分， 即：
书・ 博士论坛・ 伶 Ａ ；孚ｗ－ －－ －， 素 － ｗ － －－ Ｗ
ｌ任 梦 喇 Ｌ 创 Ｌ 侧 ｅ ａ 絮
安全苛求软件的安全性混沌分析
杨晋辉 哪 萌
（ 济大学 机科学 程系 上海 ２ ０ ） 同 计算 与工 ， ０９ ０２
Ｅ ｍ ｉｌ ｅｇ ｍ ｉｏｇ． ｕ ｎ ｉｄ． － ａ ： ｎ＠ ａ．ｎｊ ｃ ｌｉ ｍ ｌ ｔ ｅ
程度的信息。
２ 基于人性化可靠性概念的安全性分析 ． ２ 相当一部分安全苛求软件具有以下特征： 文献３ 一 ［提出了 个人性化的可 概念。 ｌ 靠性 人类科技持 续高 （） １其使用剖面相对比较固定。安全苛求软件主要对系统 速发展， 有可靠性评估的 旧 方法在精确程度和效率方面受到质 的硬件进行监测和控制， 系统一旦初始化完毕开始运行， 用户 疑， 量化和重新解释可靠性势在必行。 重新解释是因为逻辑的 与系统的人机交互往往是一个常规的稳定的周期性操作序列， 方法判断一个现实存在的软件过于抽象， 不是一个有效率的 方
铁路联锁软件是典型的安全苛求 软件， 安全性的混沌分析将有助于实 效的 施高 铁路联锁软件的 现场测试。
关键词 安全苛求软件 安全性分析 混沌 计算机联锁 软件可靠性
文章编号 １ ２８３－２０）１００－３ 文献标识码 Ａ ０ －３１（ ５２－０１０ ０ ０
中图分类号 Ｔ３１ Ｐ１
Ｃ ａｔ Ｓｆ ｙ ａ ｓ ｏ ｔｅ ｅ － ｒｉ Ｓｆ ｒ ｌ ｉ ｆｒ ＳｆｙＣ ｉｃｌ ｔａｅ ｈｏ ｃ ｅ Ａ ｙ ｓ ｈ ａ ｔ ｉ ａｔ ｎ ｔａ ｏ ｗ
摘 要 对软件安全性的 研究大多 概率的或随 基于 机过程的软件可靠 性理论， 但是首先安全性并不等同于可靠 再则 性， 可靠性概念在２ 世纪随科技的发 １ 展也在演化。 在研究 安全苛求 软件及其失效的特征的基拙上， 使用混沌的方法 研究 其
安全性具有合理性。采用嵌入空间的技术可从时间 序列中重构出 具有系 统特征的相平面和吸引子， 由此可以预测危险。
靠度可以由 一组外部测试数据得出， 例如故障时间， 不必去了 解系统的结构； 而安全度不然， 在定义３ 安全度是由两个条 中 件概率推演出的， 第二 其中 个条件概率必须了 解系统的 具体结 构。对每一种结构， 都要根据其具体失效机制推导安全度的解 析公式。 没有可靠度使用方便。 我们希望安全性也可以由一组 外部测试数据由统一的模型得出其度量值， 但随机的方法无能 为力。 此外， 随机的方法得出的安全度未给出发生危害的严重
自 从美 国发布的军标 Ｍ Ｌ Ｓ Ｄ ８２ “ Ｉ－Ｔ － ８Ｂ 系统安全性大纲” 中提
出“ 软件安全性的问题” 以后， 科学家们才开始研究分析和评估 软件安全性的方法。 前已有的用于安全性分析的理论有故障 目
树分析、 失效模式影响及危害分析、 软件潜藏分析法、 事件树分
析、 风险分析、 危险分析、 危险性及可操作性研究等， 除风险分
杨晋辉（ ７－ ， 同济大学博士 １ ３）男， ９ 研究生， 研究方向为容错技术， 软件安全性和软件测试。哪萌（ ４－ ， 同济大学教授， １ ０ ）男， ９ 博士生导 作者简 介 ： 师， 研究方向为容错技术， 软件可靠性和软件测试。
计算机工程与应用 ２０． １ ０５ １ ２
常； 代表发生不正常但没有危险； 代表不正常且存在危险 。 ： Ｃ ３
状况。
度量和评估。由于当前的可靠性模型都有各自 的局限性， 这些
局限性必然传递到由可靠度推演出的安全度而使其不可信。 可
Ｒ为以上集合（ 元素） 之间的关系， 谓词Ｃ Ｎ Ｉ Ｏ （） Ｏ ＤＴ Ｎｘ表 Ｉ
示 软件的 状态为ｘ谓词ＢＬＮ （， 表 。 ＥＯ Ｇ ） 示故障ｙ ｙ ｚ 包含于 故障
Ａ ｓ ａｔ ｅ ａ ｈ ｓ ｅ ａ ａ ａｓ ｓ ｏ ｓ ｔａ ｒｉ ｉ ， ｈ ｓ ｅ ｓ ｄ ｄ ａ ｍ ｌｅ ｂｔ ｃ： ｓ ｒ ｏ ａ ｔ ｒ ｌ ｙ ｂ ｅ ｎ ｆ ｒ ｅａ ｌ ｗ ｉ ｈ ｂ ｎ ｉ ｂ ｒ Ｒ ｅ ｃ ｎ ｆｙ ｅ ｗ ａ ｄ ｏｗ ｅ ｌｂｉ ｈ ｙ ｔ ｃ ａ ｅ ｔ ｅ ｙ ｃ ｐ ｔｙ ｕ ｏ ｅｌ ｐ ｂｂｉ ａｄ ｄｍ ｏｅ ｍ ｔ ｄ． ｔ ｔ ｎｔ ａ ｔ ｒｉ ｉｙ ｔ ｃｎｅｔ ｒｉ ｉ ｅ ｎｅｓ ｒ ａｉｙ ｒ ｏ ｐ ｃｓ ｅ ｏｓ ｕ ｓｅ ｉ ｏ ｅｕｌ ｅａ ｌ ａｄ ｏｃｐ ｏ ｅａ ｌ ｉ ｌ ｅｄ ｏ ｌ ｎ ａ ｔ ｎ ｒ ｓ ｈ Ｂ ａ ｙ ｓ ｑ ｏ ｂｉ ｎ ｈ ｆ ｌ ｔ ｅ ｆ ｂｉ ｔ ｆ ｌ ｔ ｓ ｙ ｔ ｂ ｉｐ ｖｄ ｍ ｅ ｗｔ ｔ ｓｅｃ ａｄ ｈｏ ｇ ｄｍ ｎｓ ｔ ２＇ ｎ ｒＯ ｔ ｂｓ ｏ ｃｒｕ ｏ ｍ ｒ ｅ ｔ ｅｔ ｈ ｅ ｉ ｅ ｔ ｎｌ ｙ ａｄ ｉ ｈ １ ｃ ｔ ． ｈ ａｓ ａ ｆ ｅ ｏ ｏ ｉ ｈ ｃｎ ｎ ｅ ｏ ｅ ｃ ｎ ｅ ｅ ｕ ｎ ｅ ｉ ｆ ｅ ｌ ｙ ｉ ｅｉ ｔｎ ｔ ｆ ｔｅ ｏ Ｓ Ｓ ｉ ｆｌｅ， ｅ ｏｃ ｒ ｃｅ ｃｎ ａｐｅ． ｓ ｄｉ ａ ｅ ｉ ｏ ｎ ｓｇ ｉ ｏ ｈ ｅ ｕ ｓ Ｃ ａｄ ａｕ ｓ ｈ ｃａ ｉ ａｐ ａ ｓ ｂ ｐｌｄ ｙ ｙ ｇ ｉ ｓ ｅ ｆ ｖ ｔａｏ ｎ ａ ｒ ｆ ｎ ｔ ｉｒ ｔ ｈ ｔ ｐ ｏ ｈ ａ ｅ ｉ Ｂ ｔ ｎ ｔ ｅ ｓ ｅ ｓ ｕ ｍ ｒ ｈｚ ｄｗ ｃ ｅ ｐ ｙ ｔ ｈｏ ｇ ｏ ｅ ｂｄｉ ｓ ｃ ｔ ｒ ｏｓ ｃ ｔ ｐａ ｓａｅ ｔ ａｒ ｔ ｔ ｔ ｅｌ ａ ｒ， ａ ｍ ｌ ｔ ｅ ｎｌ ｙ ｍ ｅｄ ｇ ｅ ｅ ｎ ｒ ｔ ｈｓ ｐｃ ａｄ ｔａ ｏ ｈ ｒ ａ ａ ｅ ｎ ｏ ｈ ｃ ｏ ｆ ｅ ｎ ｐ ｏ ｔ ｈ ａ ｃ ｕ ｅ ｅ ｎ ｈ ｔｃ ｒ ｅ ｓ ｅ ａ ｖ ｔ ｃａｔ ｐ ｐｒｅ ａｄ ｎ ｃｎ ｅａ ｈｚ ｄ ｈ ｒｌ ｙ ｐｔ ｉｅｏｋ ｇ ｔ ｉ ａ ｄ ｔ ｉ ｌ ｈ ｈｏｃ ｅｉ ｎ ｔ ｗ ａ ｆ ｃｓ ａ ｒＴｅ ｗ ｃ ｕ ｒ ｒｃｉ ｓ ｅ ｓ ｋ ｏ ｙ ｃ ｅ ｉ ｒ ｔ ｓ ｈ ｅ ｏ ｔ ａ ． ａ ａ ｏ ｅ ｎ ｌ ｎ ｙ ｍ ｏ ｅ ｒ ｉ ｍ ｔ ｓ ｉ ｆ ａ ｎ ｐ ｓ ｅ －ｒｉ ｌ ｔ ａｄ ｃａ ｉ ｓｅ ａａ ｓ ｉ ｕｅ ｌ ｈｌｕ ｆ ｉｐ ｍ ｎｎ ｍ ｒ ｅｉｅｔ ｔ ｓｏ ａ ｔ ｃｔａ ｓ ｅ ｎ ｔ ｈｏｃ ｔ ｎｌ ｉ ｓ ｆ ａｄ ｐ ｌ ｍ ｌ ｅｔｇ ｅ ｃ ｎ ｏ ｈ ｐｔ ｆｙ ｉ ｃ ｙ ｍ ｈ ｓ ｅ ｔ ａ ｙ ｙ ｓ ｓｕ ｎ ｅ ｆ ｏ ｆ ｒ ｅ ｉ ｏ ｆ ｉ ｎ ｅ
假如将硬件之间的相互通信和控制视作安全苛求软件的输出， 仅将用户与系统的人机交互作为输人， 则系统的输人基本可以 视作一个准周期的序列。 兼之安全苛求软件往往由训练有素的 操作人员操作使用， 系统设计为加强安全性往往使得用户的操 作是严格受限的， 所以一般不会有人为的异常的输入。由这两 点使得许多安全苛求软件的使用剖面相对比较固定。 （） ２危险的发生往往出现在使用剖面发生变化的时候。系
Ｋ ｙ ｏｄ： ｅ －ｒｉ ｌ ｗｒ， ｆｙ ｌ ｉ ｃａｓ ｏ ｐｔ ｉｅｏｋ ｇｓ ｔａ ｒｉ ｉｙ ｅｗ ｒｓ ｓ ｔ ｃｔａ ｓｔａ ｓｅ ａａ ｓ ， ， ｕ ｒ ｒｃｉ ， ｒ ｅａ ｌ ａｙ ｉ ｆ ｃ ｏ ｅ ａ ｔ ｎ ｙ ｓ ｈｏ ｃｍ ｅ ｎ ｌ ｎ ｏｗ ｅ ｂｉ ｆ ｔ ｆ ｌ ｔ
ｓ ｗ ｒ ｔ ｔｇ ｏ ａ ｅｉ ． ｔ ｆ ｅ ｎ ｓ
Ｙ ｎ Ｊ ｈｉ ｉ ｎ ａｇ ｕ ｉ Ｌ Ｍｅｇ ｎ ｏ ｐｔ Ｓｉ ｅ Ｅ ｉ ｅｎ， ｉ ｖ ｓｙＳａ ｈｉ ０２ （ｅａｍ ｎ ｏ Ｃｍ ｕ ｒ ｅｃ ａｄ ｇ ｅｒｇＴｎｊＵ ｉ ｒｔ， ｇａ ２０９） Ｄｐｒ ｅｔ ｔ ｆ ｅ ｃ ｎ ｎ ｎ ｎ ｉ ｏｇ ｎ ｅ ｉ ｈｎ ０
ｔ 安 度Ｓｔ 指系 在 个时间区 ［ｔ 正 运 条 的 全 （是 统 整 ） 间ｔｌ 常 行的 ｏ内 ，
件概率与系统在时刻ｔ 处于失效安全状态的条件概率的乘积。
随机的方法定义下安全性的度量和评估依赖于可靠性的
Ｆ（ ２人员错误地决策导致故障 Ｕ人员错误地 导致故 ＝ ｝【 操作 障｝ ． ｕ． ． Ｃ 为安全苛求软件的 状态集，＊ ２３ 其中。代表正 Ｃ Ｉ ，） ， Ｃ。 Ｃ ，
由于计算机系统越来越深人地介人到人类生活的方方面
面， 而这些系统中 许多生命枚关的功能（ｔ ｆ ｃｏｓ ｖａ ｕ ｔｎ） ｉｌ ｉ 是由软 ｎ 件来实现的。 此， 因 软件的 安全性就变得十分重要， 关于软件安
全性的评价是否可信变得非常令人关注。尤其在诸如航空、 航
段的研究方法中占统治地位， 然而安全苛求软件发生事故是小 样本事件， 要得到较高的可信度必须做大量的测试工作或累积
Ｆ 软 有完成任务的 ｝ 【 抓 件没 故障 Ｕ软件实施的 顺序不正确 的 ） ｛ 错误地完成了 故障 Ｕ软件 任务的 ｝ ． 故障 ｕ． ．
子集Ｆ为人因故障， ２ 是软件运行中人的决策和操作引起 的故障， 也可进一步划分， 即：
安全性的定量测度为安全度， 其定义如下： 定义３安全度： 设在时刻ｔ 。 系统正常运行， 则系统在时刻