基于執行序列的嵌入式軟件時序異常檢測探究

何銀川 周翔 鄧任鋒

摘要：時序特性是嵌入式軟件的重要特性，實時嵌入式軟件運行的正確性不僅依賴于任務執行結果，更依賴于任務執行時間。執行任務往往具有多個時間約束，且相互之間可能存在制約關系，對時間約束進行驗證和確認是嵌入式軟件測試過程中一個非常重要問題，因而文章提出了一種基于執行片段的嵌入式軟件時序特性檢測方法，簡單地說，即通過執行片段對軟件的時序進彳亍特性檢測。

關鍵詞：執行片段；時序缺陷檢測；軟件測試；嵌入式軟件

時序特性是否滿足設計要求將對實時嵌入式軟件的正常運行有著至關重要的影響，因為時序異常極有可能會造成任務執行的失敗，甚至在很多時候還會造成系統的極大破壞，因此正確的嵌入式軟件時序的設計不僅是軟件開發的重中之重，更是軟件正常實現的關鍵。

1 研究背景

要想準確地掌握目標系統的時序特征、合理地對時序序列缺陷進行檢測都是要建立在精確、完整建模的基礎上。接口自動機（Interface Automata，IA）作為一種輕量級的形式模型，其主要是通過狀態機的相關接口去實現對構件間通信以及交互過程的描述，并且還可以進行對構件內部結構的隱藏，實現對外部環境有關行為特性的刻畫，同時在這個環境下，還可以自動地進行相容性檢測和精化檢驗，因而是一種可組合的、非常適合軟件系統建模的常用工具。

2 時序缺陷檢測關于相關性的分析

在對時序進行缺陷檢測的時候，需要借助清除、簡化、整合、自動化（Eliminate Simplify Integrate Automate，ESIA）模型和執行路徑在時間約束方面的相關性進行分析，因此需要對執行片段中預先提取的各類信息進行自動檢測，以排查軟件在執行過程中各種時序錯誤，并借此檢查軟件相關的異常處理機制是否符合設計需求。本文為了更好地對序列的執行過程進行描述，把其定義為一個行為執行序列。

在對執行片段進行提取的過程中也有一些注意事項，比如可能會有信息不存在的情況，這時只需要讓相應元素空缺即可，而又如某一項執行片段缺失時間信息，那么這時也就沒有與之相關聯的任何信息進行描述的必要[1]。此外，在基于執行片段的嵌入式軟件時序特性檢測（Trace-BasedTemporal Defect Detection，TBTDD）方法中，應當保證執行片段相關記錄的規范性和完整性，以幫助后續的解析和檢測任務的順利進行。并且對于軟件異常時序機制處理的檢測和驗證也是必不可少的，以此來避免非預期結果的出現。

出于這些因素考量，本文中又將時序片段分為正常和異常兩個部分，其具體定義如下。

2.1 正常時序片段

如果該執行片段僅包含正常的時序序列和與之對應的執行分支，則被叫作正常片段。

2.2 異常時序片段

如果該執行片段包含異常時序和與之相對應的異常處理分支，則被叫作異常片段。

但需要注意的是，在對執行片段的提取上應當盡可能地對各種正常或者異常的時序進行覆蓋，以達到對目標軟件的所有異常時序充分檢測的目的。

3 執行片段注意事項

3.1 對執行片段進行匹配

如果所執行片段中的序列信息能夠與ESIA模型中的執行路徑相符，則就稱該執行片段能夠被ESIA模型所接受。因此制定出相關的可接受準則是首要解決的事，并在此準則的基礎上提出一種基于廣度優先算法的候選狀態選取策略，然后再逐項地對執行片段上的各種信息進行匹配，通過這種方法找到所有能與ESIA模型相匹配的執行路徑，如果不能找到正確的匹配路徑則把不能匹配的片段進行濾除。由于ESIA模型中既有正常的時序信息也有異常的時序判斷，所以在對可接受準則的制定上應當以能夠適應這兩種匹配過程的準則為先導。以下是對相關可接受準則的一個定義。

（1）從j=1開始，即從λ1開始，選擇VP中某一個候選元素作為起始狀態，啟動Trace進行匹配。

（2）如果候選集合中存在著與λ1相一致的狀態遷移，則對該狀態移動以及相應的目標狀態進行記錄。通過這種方法，讓λ1對所有的候選狀態基于該過程進行匹配，并把匹配過后所得到的記錄狀態的集合對當前的狀態候選集合進行更新，到此λ1完成所有匹配過程。

（3）根據執行片段的順序，使Trace重復進行步驟（2）。如果Trace中的所有過程均能夠被正確匹配，則表示能夠找到一組與之相符的ESIA執行路徑，反之，則不行。但值得注意的是，往往在匹配的過程中不是只有一個候選狀態能與執行片段相匹配，換句話說就是有多個狀態遷徙能夠與執行片段相匹配，因此與之相符的ESIA執行路徑可能不只一條[2]。

但面對ESIA的執行路徑存在多條的時候，則要根據具體的問題具體進行分析，一般從執行路徑與時間約束之間的關系著手。如果不同的匹配路徑其時間關系不同，則不能輕易地判斷該執行路徑是符合時序的相應設計要求的。針對以上情況，還需要通過對匹配路徑的有關時間約束和時序序列進行缺陷檢測來增強準確判斷的籌碼，如果檢測的結果是執行片段中的相關時間信息不能滿足匹配路徑對于時序的要求，則判定該軟件的時序存在缺陷或異常，不過具體存在何種問題則還需要進一步的進行驗證和分析。

此外，如果沒有一條與該執行片段相符合的執行路徑，則過濾該執行片段，也不再對其進行其他的相關障礙檢測，在這種情況下有兩種可能性，一種就是ESIA模型描述的場景不全面，另一種就是軟件存在著功能性障礙，具體是哪一種情況，還需要對相應執行片段及其功能設計進一步的進行審查，但不能篤定地說軟件一定存在著時序缺陷。

3.2 對時序進行缺陷分析

對嵌入式軟件進行故障檢測、定位、隔離、重構以及修復是故障管理的5個主要方面。如果目標軟件存在著較多的時序缺陷或者故障的時候，其檢測、定位也將更加復雜，并且常常由于故障之間的某種關系或者作用，使得許多故障在檢測的過程中極有可能被掩蓋，因而本文主要針對的是目標軟件中某一個單一的時序序列，通過檢測、識別、定位等步驟對其故障進行排查。所以，首先要對軟件在執行過程中有可能會出現的類似于時序異常、功能性障礙等情況進行分析和判斷，根據分析結果確定相關的時序缺陷類型[3]，并以此為基礎有針對性的制定出檢測過程中的特性檢測準則，從而達到對異常時序檢測、識別有效性和可靠性的目的。此外，如果目標軟件程序在ESIA模型之上不存在與之相匹配的執行路徑，則該軟件在程序的實現上可以判斷為有功能性缺陷，甚至在運行的過程中極有可能有以下時序異常的發生。

（1）違反特定的時間約束，即對于時間變量的取值不符合特定的時間約束，或者是在對其狀態匹配的過程中未能找到與之相對應的時間約束。

（2）違反相關的時間約束，簡單地說就是在時間變量的取值上不滿足時間約束之間的關系。

（3）違反計時起點設置要求，即對某些時間變量進行計時起點設計的過程中不滿足有關設計要求。

（4）錯誤的異常時序處理，也就是說對于異常時序的相關處理機制不符合設計要求。

3.3 對時序進行缺陷檢測

通常通過執行片段中的時間信息與檢測過程中所制定的相關標準之間的關系來判斷所設計的軟件時序是否滿足設計要求。因此，在TBTDD方法中，首先需要分析和掌握時序的缺陷類型，并根據該類型制定滿足時序特征的相關準則，再由此把ESIA模型中對于時間需求的描述當作檢測的一個度量，然后檢測正在執行中的有關片段的時間信息和異常處理機制，并且對異常時序機制的檢測還可以保證軟件運行的可靠性和健壯性。此外，這種方法還可以通過ESIA的有關執行路徑對有缺陷的時序進行定位，對違反相關或者特定時間約束的、不符合設計特定時序異常處理機制要求的、計時起點設置錯誤的等缺陷情況，都能夠非常有效和充分地進行檢查和測試。

[參考文獻]

[1]汪普慶.計算機軟件安全及其防范探討[J].數字技術與應用，2016（1）：219.

[2]王磊.計算機軟件安全問題及防御對策研究[J].工業c，2016（3）：229.

[3]吳巍.計算機網絡安全問題及有效防范措施研究[J].計算機光盤軟件與應用，2015（2）：164-165.