核電廠軟件關(guān)鍵性分析方法

張敏 曲萃萃

摘要：關(guān)鍵性分析是核電廠軟件驗(yàn)證與確認(rèn)過程最初始的環(huán)節(jié)，也是其他V&V工作的基礎(chǔ)。該文針對核電廠安全相關(guān)級系統(tǒng)的軟件，結(jié)合IEEE Std 1012標(biāo)準(zhǔn)，建立了一種適用于軟件開發(fā)各個階段的關(guān)鍵性分析的具體執(zhí)行方法，最大限度地對核電廠安全相關(guān)級軟件關(guān)鍵性分析工作進(jìn)行了標(biāo)準(zhǔn)化，從而有效提高了軟件驗(yàn)證與確認(rèn)工作的效力。

關(guān)鍵詞：軟件完整性等級（SIL）;關(guān)鍵性分析（Criticality analysis）;軟件驗(yàn)證與確認(rèn)fV&V）;失效模式與影響分析（FMEA）

中圖分類號：TP311 文獻(xiàn)標(biāo)識碼：A

文章編號：1009-3044（2020）05-0100-02

開放科學(xué)（資源服務(wù)）標(biāo)識碼（OSID）：

1 軟件關(guān)鍵性分析中的基本定義

定義1：關(guān)鍵性：依據(jù)IEEE Std 1012標(biāo)準(zhǔn)的描述，關(guān)鍵性是指一個需求（或模塊、錯誤、故障、失效又或者其他方面）對系統(tǒng)的開發(fā)或運(yùn)行的影響程度。

定義2：軟件元素：軟件元素在文中是指代關(guān)鍵性分析中的各個獨(dú)立分析對象，其類型可以是需求、模塊、功能、子系統(tǒng)、或其他軟件劃分的依據(jù)。

IEEE Std 1012依據(jù)功能失效后果產(chǎn)生的影響，將軟件元素的關(guān)鍵性等級分成SIL1、SIL2、SIL3、SIL4四種等級，如表1所示。通過關(guān)鍵性分析這個過程，可以充分了解、識別目標(biāo)系統(tǒng)中存在的關(guān)鍵軟件元素。

2 軟件關(guān)鍵性分析方法

核電廠軟件驗(yàn)證與確認(rèn)活動依據(jù)IEEE Std 1012進(jìn)行，軟件開發(fā)過程的驗(yàn)證與確認(rèn)活動分為六個階段：概念階段V&V、需求階段V&V、設(shè)計階段v&v、實(shí)現(xiàn)階段v&v、測試階段V&V、安裝和檢驗(yàn)階段V&V。而關(guān)鍵性分析將貫穿于軟件開發(fā)過程的概念階段、需求階段、設(shè)計階段、實(shí)現(xiàn)階段的V&V活動，是一項(xiàng)迭代更新的V&V活動，通過各個階段的關(guān)鍵性分析，最終得到一個系統(tǒng)的全過程的關(guān)鍵性分析結(jié)論。

2.1 概念階段的關(guān)鍵性分析

如圖1所示，概念階段的關(guān)鍵性分析是在系統(tǒng)概念文檔評估通過的基礎(chǔ)上，依據(jù)系統(tǒng)的軟硬件功能劃分，識別出系統(tǒng)需求中依賴軟件實(shí)現(xiàn)的功能，并作為概念階段關(guān)鍵性分析的對象（也稱為軟件元素），之后對這部分軟件元素進(jìn)行FMEA分析。參照表1，依據(jù)功能失效后果產(chǎn)生的影響，在軟件元素已經(jīng)指定了軟件完整性等級的情況下，驗(yàn)證該指定的軟件完整性等級是否正確，如果不正確則需要進(jìn)行修正;在軟件元素未被指定軟件完整性等級的情況下，則為軟件元素定義一個新的軟件完整性等級，并依此確定目標(biāo)系統(tǒng)的軟件完整性等級，最后將概念階段各個軟件元素的軟件完整性等級記錄下來，形成關(guān)鍵性分析報告。

需要注意的是，概念階段關(guān)鍵性分析的對象始終是系統(tǒng)需求中的軟件相關(guān)項(xiàng)，非軟件相關(guān)項(xiàng)不在考慮范圍之內(nèi)，因此系統(tǒng)的軟硬件功能劃分工作至關(guān)重要。

2. 2需求階段的關(guān)鍵性分析

需求階段的關(guān)鍵性分析是在軟件需求文檔評估通過的基礎(chǔ)上，列出每一項(xiàng)軟件需求及其追蹤到的系統(tǒng)需求的軟件完整性等級，并根據(jù)對軟件需求的FMEA分析結(jié)果，檢查所有軟件需求的軟件完整性等級是否發(fā)生變化。軟件需求即是需求階段的軟件元素。當(dāng)發(fā)生軟件元素的SIL等級發(fā)生提升或下降時，修改并記錄各個軟件元素的新的SIL等級，同時驗(yàn)證沒有不一致或非預(yù)期的軟件完整性后果被引入，最后對概念階段生成的軟件關(guān)鍵性分析報告進(jìn)行更新。

需要注意的是，需求階段關(guān)鍵性分析的對象始終是軟件需求項(xiàng)，而確定軟件需求項(xiàng)的軟件完整性等級的基礎(chǔ)是追蹤到系統(tǒng)需求中的軟件相關(guān)項(xiàng)，因此可追蹤性分析的工作至關(guān)重要?？勺粉櫺苑治鲈谠O(shè)計階段、實(shí)現(xiàn)階段的關(guān)鍵性分析活動中的作用也同樣重要。

2.3 設(shè)計階段的關(guān)鍵性分析

設(shè)計階段的關(guān)鍵性分析是在軟件設(shè)計文檔評估通過的基礎(chǔ)上，依據(jù)軟件概要設(shè)計追蹤到系統(tǒng)需求、以及軟件詳細(xì)設(shè)計追蹤到概要設(shè)計的追蹤分析結(jié)果，列出每一項(xiàng)軟件概要設(shè)計及其對應(yīng)的軟件需求的軟件完整性等級，以及每一項(xiàng)軟件詳細(xì)設(shè)計及其對應(yīng)的概要設(shè)計的軟件完整性等級，并根據(jù)對軟件概要設(shè)計、詳細(xì)設(shè)計分析的結(jié)果，檢查所有軟件元素的軟件完整性等級是否有變化。軟件概要設(shè)計和軟件詳細(xì)設(shè)計是設(shè)計階段的軟件元素。當(dāng)發(fā)生軟件元素的SIL等級發(fā)生提升或下降時，修改并記錄各個軟件元素的新的SIL等級，同時驗(yàn)證沒有不一致或非預(yù)期的軟件完整性后果被引入，最后對需求階段生成的軟件關(guān)鍵性分析報告進(jìn)行更新。

2.4 實(shí)現(xiàn)階段的關(guān)鍵性分析

實(shí)現(xiàn)階段的關(guān)鍵性分析是在軟件源代碼評估通過的基礎(chǔ)上，依據(jù)軟件源代碼到詳細(xì)設(shè)計的追蹤分析結(jié)果，列出每一個軟件函數(shù)及其對應(yīng)的軟件詳細(xì)設(shè)計的軟件完整性等級，并根據(jù)對軟件源代碼分析的結(jié)果，檢查所有軟件函數(shù)的軟件完整性等級是否有變化。軟件函數(shù)是實(shí)現(xiàn)階段的軟件元素。當(dāng)軟件元素的SIL等級發(fā)生提升或下降時，修改并記錄各個軟件元素的新的SIL等級，同時驗(yàn)證沒有不一致或非預(yù)期的軟件完整性后果被引入，最后對設(shè)計階段生成的軟件關(guān)鍵性分析報告進(jìn)行更新。

3 關(guān)鍵性分析原則

原則1：在指定或驗(yàn)證軟件完整性級別的過程中，須檢查軟件元素是否對其他軟件元素有影響，當(dāng)一個低級別SIL等級的軟件元素影響到比它高級別SIL等級的軟件元素時，則該低級別SIL等級軟件元素的軟件完整性等級須得到提升，與它能夠影響到的最高級別的軟件元素的SIL等級保持一致。且目標(biāo)系統(tǒng)的軟件完整性等級應(yīng)該與系統(tǒng)內(nèi)任何獨(dú)立軟件元素的最高軟件完整性級別一致。此原則適用于所有概念階段、需求階段、設(shè)計階段、實(shí)現(xiàn)階段的關(guān)鍵性分析。

原則2：在驗(yàn)證軟件完整性等級的過程中，如出現(xiàn)一條軟件需求可以追蹤到多條系統(tǒng)需求時，則需要列出每一條系統(tǒng)需求的SIL等級后，依據(jù)軟件完整性等級取最高化的原則，該軟件需求項(xiàng)的SIL等級將與其所對應(yīng)的系統(tǒng)需求中軟件完整性等級最高的一項(xiàng)系統(tǒng)需求的SIL等級保持一致。此原則可以推廣應(yīng)用到設(shè)計階段、實(shí)現(xiàn)階段的關(guān)鍵性分析。

4 結(jié)論

軟件關(guān)鍵性分析在核電廠軟件與確認(rèn)活動中的作用至關(guān)重要，是其他V&V活動的基礎(chǔ)，本文所述的軟件關(guān)鍵性分析的具體執(zhí)行方法目前已在核電廠安全級相關(guān)軟件項(xiàng)目中得到應(yīng)用實(shí)施，并取得了良好的效果。本方法同樣適用于非安全級軟件的關(guān)鍵性分析。

參考文獻(xiàn)：

[1] IEEE Standard for Software Verification and Validation[Sl.IEEE Std 1012-2004.

【通聯(lián)編輯：梁書】

收稿日期：2019 -10 -19

作者簡介：張敏（1985-），通信作者，女，內(nèi)蒙古通遼人，工程師，碩士，從事軟件驗(yàn)證與確認(rèn)研究。