安全关键软件开发与审定：DO-178C标准实践指南

本书作者是DO-178系列标准的直接制定者之一。书中详细介绍了如何基于最新版本的DO-178C标准进行高安全软件开发，既包括对标准的全面介绍，又包括依据该标准进行开发和审定的实用指南；既包含多年从事高安全软件研制、管理、审定工作的经验，又包含相关最新软件技术的深入讲解。主要内容有：在系统与安全性大视野中的软件；DO-178C标准的具体解释及如何有效使用；DO-178C相关的工具鉴定、基于模型的开发、面向对象技术、形式化方法；成功开发高安全软件及审定的实用建议；以及与高安全软件开发和验证相关的深入专题。

崔晓峰，北京大学计算机软件与理论专业博士，英国约克大学访问学者。现为研究员，长期从事大型关键软件研发与工程化管理工作。主要研究方向包括软件体系结构、软件需求工程、软件过程改进等。

第一部分 引言

第1章引言和概览 2
1．1安全关键软件的定义 2
1．2安全性问题的重要性 2
1．3本书目的和重要提示 4
1．4本书概览 5

第二部分 安全关键软件开发的语境

第2章 系统语境中的软件 8
2．1系统开发概览 8
2．2系统需求 10
2．2．1系统需求的重要性 10
2．2．2系统需求的类型 10
2．2．3良好需求的特性 10
2．2．4系统需求考虑 11
2．2．5需求假设 14
2．2．6分配到软硬件项 14
2．3系统需求确认与验证 14
2．3．1需求确认 14
2．3．2实现验证 15
2．3．3确认与验证建议 15
2．4系统工程师最佳实践 16
2．5软件与系统的关系 18

第3章 系统安全性评估语境中的软件 20
3．1航空器与系统安全性评估过程概览 20
3．1．1安全性工作计划 20
3．1．2功能危险评估 21
3．1．3系统功能危险评估 22
3．1．4初步航空器安全性评估 22
3．1．5初步系统安全性评估 22
3．1．6共同原因分析 23
3．1．7航空器安全性评估和系统安全性评估 23
3．2开发保证 24
3．2．1开发保证级别 25
3．3软件如何置入安全性过程 25
3．3．1软件的独特性 25
3．3．2软件开发保证 26
3．3．3其他视点 27
3．3．4在系统安全性过程关注软件的建议 28

第三部分 使用DO-178C开发安全关键软件

第4章 DO-178C及支持文件概览 31
4．1DO-178历史 31
4．2DO-178C和DO-278A核心文件 33
4．2．1DO-278A与DO-178C的不同 37
4．2．2DO-178C附件A目标表概览 38
4．3DO-330：软件工具鉴定考虑 41
4．4DO-178C技术补充 41
4．4．1DO-331：基于模型的开发补充 42
4．4．2DO-332：面向对象技术补充 42
4．4．3DO-333：形式化方法补充 42
4．5DO-248C：支持材料 43

第5章 软件策划 44
5．1引言 44
5．2一般策划建议 44
5．35个软件计划 46
5．3．1软件合格审定计划 46
5．3．2软件开发计划 48
5．3．3软件验证计划 49
5．3．4软件配置管理计划 51
5．3．5软件质量保证计划 53
5．43个开发标准 54
5．4．1软件需求标准 55
5．4．2软件设计标准 55
5．4．3软件编码标准 56
5．5工具鉴定计划 57
5．6其他计划 57
5．6．1项目管理计划 57
5．6．2需求管理计划 57
5．6．3测试计划 57

第6章 软件需求 58
6．1引言 58
6．2定义需求 58
6．3良好软件需求的重要性 59
6．3．1原因1：需求是软件开发的基础 59
6．3．2原因2：好的需求节省时间和金钱 60
6．3．3原因3：好的需求对安全性至关重要 60
6．3．4原因4：好的需求对满足客户需要是必需的 61
6．3．5原因5：好的需求对测试很重要 61
6．4软件需求工程师 61
6．5软件需求开发概览 62
6．6收集和分析软件需求的输入 63
6．6．1需求收集活动 64
6．6．2需求分析活动 64
6．7编写软件需求 65
6．7．1任务1：确定方法 65
6．7．2任务2：确定软件需求文档版式 66
6．7．3任务3：将软件需求划分为子系统和/或特征 66
6．7．4任务4：确定需求优先级 67
6．7．5一个简单迂回（不是一个任务）：要避免的斜坡 67
6．7．6任务5：编档需求 68
6．7．7任务6：提供系统需求的反馈 72
6．8验证（评审）需求 73
6．8．1同行评审推荐实践 74
6．9管理需求 76
6．9．1需求管理基础 76
6．9．2需求管理工具 77
6．10 需求原型 78
6．11 可追踪性 79
6．11．1可追踪性的重要性和好处 79
6．11．2双向可追踪性 79
6．11．3DO-178C和可追踪性 80
6．11．4可追踪性挑战 81

第7章 软件设计 83
7．1软件设计概览 83
7．1．1软件体系结构 83
7．1．2软件低层需求 83
7．1．3设计打包 85
7．2设计方法 85
7．2．1基于结构的设计（传统） 85
7．2．2面向对象的设计 86
7．3良好设计的特性 86
7．4设计验证 89

第8章 软件实现：编码与集成 91
8．1引言 91
8．2编码 91
8．2．1DO-178C编码指南概览 91
8．2．2安全关键软件中使用的语言 92
8．2．3选择一种语言和编译器 94
8．2．4编程的一般建议 95
8．2．5代码相关的特别话题 102
8．3验证源代码 103
8．4开发集成 104
8．4．1构建过程 104
8．4．2加载过程 105
8．5验证开发集成 105

第9章 软件验证 106
9．1引言 106
9．2验证的重要性 106
9．3独立性与验证 107
9．4评审 108
9．4．1软件计划评审 108
9．4．2软件需求、设计和代码评审 108
9．4．3测试资料评审 108
9．4．4其他资料项评审 108
9．5分析 109
9．5．1最坏情况执行时间分析 109
9．5．2内存余量分析 110
9．5．3链接和内存映像分析 110
9．5．4加载分析 111
9．5．5中断分析 111
9．5．6数学分析 111
9．5．7错误和警告分析 112
9．5．8分区分析 112
9．6软件测试 112
9．6．1软件测试的目的 112
9．6．2DO-178C软件测试指南概览 114
9．6．3测试策略综述 115
9．6．4测试策划 119
9．6．5测试开发 120
9．6．6测试执行 122
9．6．7测试报告 124
9．6．8测试可追踪性 124
9．6．9回归测试 124
9．6．10易测试性 125
9．6．11验证过程中的自动化 125
9．7验证的验证 126
9．7．1测试规程评审 127
9．7．2测试结果的评审 127
9．7．3需求覆盖分析 127
9．7．4结构覆盖分析 128
9．8问题报告 134
9．9验证过程建议 136

第10章 软件配置管理 140
10．1引言 140
10．1．1什么是软件配置管理 140
10．1．2为何需要软件配置管理 140
10．1．3谁负责实现软件配置管理 141
10．1．4软件配置管理涉及什么 142
10．2SCM活动 142
10．2．1配置标识 142
10．2．2基线 143
10．2．3可追踪性 143
10．2．4问题报告 143
10．2．5变更控制和评审 146
10．2．6配置状态记录 147
10．2．7发布 147
10．2．8归档和提取 148
10．2．9资料控制类 148
10．2．10加载控制 149
10．2．11软件生命周期环境控制 150
10．3特别SCM技能 150
10．4SCM资料 151
10．4．1SCM计划 151
10．4．2问题报告 151
10．4．3软件生命周期环境配置索引 151
10．4．4软件配置索引 151
10．4．5SCM记录 152
10．5SCM陷阱 152
10．6变更影响分析 154

第11章 软件质量保证 157
11．1引言：软件质量和软件质量保证 157
11．1．1定义软件质量 157
11．1．2高质量软件的特性 157
11．1．3软件质量保证 158
11．1．4常见质量过程和产品问题的例子 159
11．2有效和效SQA的特征 159
11．2．1有效的SQA 159
11．2．2效的SQA 160
11．3SQA活动 161

第12章 合格审定联络 164
12．1什么是合格审定联络 164
12．2与合格审定机构的沟通 164
12．2．1与合格审定机构协调的最佳实践 165
12．3软件完成总结 167
12．4介入阶段审核 168
12．4．1SOI审核概览 168
12．4．2软件作业辅助概览 169
12．4．3使用软件作业辅助 171
12．4．4对审核者的一般建议 171
12．4．5对被审核者的一般建议 176
12．4．6SOI评审细节 177
12．5合格审定飞行测试之前的软件成熟度 184

第四部分 工具鉴定和DO-178C补充

第13章 DO-330和软件工具鉴定 186
13．1引言 186
13．2确定工具鉴定需要和级别（DO-178C的12．2节） 187
13．3鉴定一个工具（DO-330概览） 190
13．3．1DO-330的需要 190
13．3．2DO-330工具鉴定过程 190
13．4工具鉴定特别话题 197
13．4．1FAA规定8110．49 197
13．4．2工具确定性 197
13．4．3额外的工具鉴定考虑 198
13．4．4工具鉴定陷阱 199
13．4．5DO-330和DO-178C补充 200
13．4．6DO-330用于其他领域 200

第14章 DO-331和基于模型的开发与验证 201
14．1引言 201
14．2基于模型开发的潜在好处 202
14．3基于模型开发的潜在风险 204
14．4DO-331概览 206
14．5合格审定机构对DO-331的认识 210

第15章 DO-332和面向对象技术及相关技术 211
15．1面向对象技术介绍 211
15．2OOT在航空中的使用 211
15．3航空手册中的OOT 212
15．4FAA资助的OOT和结构覆盖研究 212
15．5DO-332概览 213
15．5．1策划 213
15．5．2开发 213
15．5．3验证 213
15．5．4脆弱性 214
15．5．5类型安全 214
15．5．6相关技术 214
15．5．7常见问题 214
15．6OOT建议 215
15．7结论 215

第16章 DO-333和形式化方法 216
16．1形式化方法介绍 216
16．2什么是形式化方法 217
16．3形式化方法的潜在好处 218
16．4形式化方法的挑战 219
16．5DO-333概览 220
16．5．1DO-333的目的 220
16．5．2DO-333与DO-178C的比较 220
16．6其他资源 222

第五部分 特别专题

第17章 未覆盖代码（关、效和非激活代码） 224
17．1引言 224
17．2关和效代码 224
17．2．1避免关和效代码的晚发现 225
17．2．2评价关或效代码 225
17．3非激活代码 227
17．3．1策划 229
17．3．2开发 229
17．3．3验证 230

第18章 现场可加载软件 231
18．1引言 231
18．2什么是现场可加载软件 231
18．3现场可加载软件的好处 231
18．4现场可加载软件的挑战 232
18．5开发和加载现场可加载软件 232
18．5．1开发系统成为现场可加载的 232
18．5．2开发现场可加载软件 233
18．5．3加载现场可加载软件 233
18．5．4修改现场可加载软件 234
18．6总结 234

第19章 用户可修改软件 235
19．1引言 235
19．2什么是用户可修改软件 235
19．3UMS例子 236
19．4为UMS设计系统 236
19．5修改和维护UMS 238

第20章 实时操作系统 240
20．1引言 240
20．2什么是RTOS 240
20．3为什么使用RTOS 241
20．4RTOS内核及其支持软件 241
20．4．1RTOS内核 242
20．4．2应用编程接口 242
20．4．3主板支持包 243
20．4．4设备驱动 243
20．4．5支持库 244
20．5安全关键系统中使用的RTOS的特性 244
20．5．1确定性 244
20．5．2可靠的性能 244
20．5．3硬件兼容 244
20．5．4环境兼容 244
20．5．5容错 244
20．5．6健康监控 245
20．5．7可审定 245
20．5．8可维护 245
20．5．9可复用 246
20．6安全关键系统中使用的RTOS的特征 246
20．6．1多任务 246
20．6．2有保证和确定性的可调度性 246
20．6．3确定性的任务间通信 248
20．6．4可靠的内存管理 248
20．6．5中断处理 248
20．6．6钩子函数 249
20．6．7健壮性检查 249
20．6．8文件系统 249
20．6．9健壮分区 249
20．7需考虑的RTOS问题 250
20．7．1要考虑的技术问题 250
20．7．2要考虑的合格审定问题 252
20．8其他的RTOS相关话题 254
20．8．1ARINC 653概览 254
20．8．2工具支持 256
20．8．3开源RTOS 256
20．8．4多核处理器、虚拟化和虚拟机管理器 257
20．8．5保密性 257
20．8．6RTOS选择问题 257

第21章 软件分区 258
21．1引言 258
21．1．1分区：保护的一个子集 258
21．1．2DO-178C和分区 258
21．1．3健壮分区 259
21．2共享内存（空间分区） 260
21．3共享中央处理器（时间分区） 261
21．4共享输入/输出 262
21．5一些与分区相关的挑战 262
21．5．1直接内存访问 262
21．5．2高速缓存 263
21．5．3中断 263
21．5．4分区之间通信 263
21．6分区的建议 264

第22章 配置数据 268
22．1引言 268
22．2术语和例子 268
22．3DO-178C关于参数数据的指南总结 269
22．4建议 270

第23章 航空数据 274
23．1引言 274
23．2DO-200A：航空数据处理标准 274
23．3FAA咨询通告AC 20-153A 277
23．4用于处理航空数据的工具 278
23．5与航空数据相关的其他工业文件 278
23．5．1DO-201A：航空信息标准 279
23．5．2DO-236B：航空系统性能最低标准：区域导航要求的导航性能 279
23．5．3DO-272C：机场地图信息的用户需求 279
23．5．4DO-276A：地形和障碍数据的用户需求 279
23．5．5DO-291B：地形、障碍和机场地图数据互换标准 279
23．5．6ARINC 424：导航系统数据库标准 279
23．5．7ARINC 816-1：机场地图数据库的嵌入式互换格式 280

第24章 软件复用 281
24．1引言 281
24．2设计可复用构件 282
24．3复用先前开发的软件 285
24．3．1为在民用航空产品中使用而评价PDS 285
24．3．2复用未使用DO-178[ ]开发的PDS 289
24．3．3COTS软件的额外考虑 290
24．4产品服役历史 292
24．4．1产品服役历史的定义 292
24．4．2使用产品服役历史寻求置信度的困难 292
24．4．3使用产品服役历史声明置信度时考虑的因素 292

第25章 逆向工程 294
25．1引言 294
25．2什么是逆向工程 294
25．3逆向工程的例子 295
25．4逆向工程时要考虑的问题 295
25．5逆向工程的建议 296

第26章 外包和离岸外包软件生命周期活动 301
26．1引言 301
26．2外包的原因 302
26．3外包的挑战和风险 302
26．4克服挑战和风险的建议 305
26．5总结 311

附录A 转换准则举例 312
附录B 实时操作系统关注点 318
附录C 为安全关键系统选择实时操作系统时考虑的问题 321
附录D 软件服役历史问题 324
缩略语 327
参考文献 332

《安全关键软件开发与审定：DO-178C标准实践指南》：
6.1 引言
软件需求是DO—178C符合性和安全关键软件开发的基础。一个项目的成功和失败依赖于需求的质量。正如NancyLeveson写到的：
“涉及软件的绝大多数事故可以追溯到需求缺陷。更具体而言，所规约的和实现的软件行为的不完整性——就是说，关于被控系统的运行或者对计算机要求的运行的不完整或错误假设，以及未处理的被控系统状态和环境条件。尽管编码错误经常引起最多注意，但是它们对可靠性和其他质量的影响比对安全性的影响更大些。”
需求引导项目。作者经历或见证过的最混乱的项目是从糟糕的需求开始，并从那里开始失败。反之，作者见到的最好的项目是那些努力将需求做正确的项目。第2章中在讨论系统需求时，详细阐述了有效需求的一些基本要点。因此，如果你最近没阅读或复习过2.2节，建议这佯做一下。本章建立在2.2节概念的基础上，这里的重点是软件需求而不是系统需求。
本章讨论的许多问题也适用于系统需求，可以算是对第2章材料的补充。系统需求与软件需求之间的界限经常十分模糊。一般而言，软件需求是对经过确认的系统需求的精化，被软件设计者用来设计和实现软件。同时，软件需求标识出软件做什么，而不是系统做什么。在编写软件需求时，可能发现系统需求中的错误、不足、遗漏，这些应该编档在问题报告中，并由系统组解决。
本章说明良好需求的重要性，以及如何编写、验证和管理需求。此外，本章在最后讨沦原型和可追踪性这两个与需求开发紧密相关的话题。
6.2 定义需求
美国电气和电子工程师协会（IEEE）定义“需求”如下：
1）用户需要用于解决一个问题或达到一个目标的一个条件或能力。
2）一个系统或系统部件为了满足一个合同、标准、规格说明，或其他正式施加的文件，必须达到或具有的一个条件或能力。
……