[发明专利]一种嵌入式软件安全性分析充分性检查方法

权利要求书

1.一种嵌入式软件安全性分析充分性检查方法，其特征是，检查方法为如下三个主要工作步骤：

步骤一：在机载嵌入式系统软件研制过程中依次开展功能危险分析、初步危险分析和失效模式及其影响分析，分别得到功能危险清单、系统危险清单和软件失效模式数据；

步骤二：进行上述各项分析技术的独立充分性检查，检查策略如下：

1)功能危险分析技术独立充分性检查策略：

●检查危险识别的充分性，即功能危险分析是否围绕机载嵌入式系统软件所有功能，考虑机载嵌入式系统软件功能正常和降级环境中单个或多重失效的情形，功能危险分析确定并描述与功能相关的失效模式，进行系统危险识别；

●检查每一个系统危险都与系统软件相关的系统功能建立映射关系，即每个系统危险所关联的系统功能必须是由软件功能独立实现或参与实现的；

●检查每个系统危险都已经开展危险影响分析，并明确危险影响等级，即围绕每个系统危险都描述其所可能导致的安全事故及事故后果危害程度；

●检查每个系统危险都有对应的飞行阶段，即明确每个系统危险是在不同飞行阶段下所导致的；

●检查每个系统危险都有相应的控制措施，并落实为软件安全性需求；

2)初步危险分析技术独立充分性检查策略：

●检查危险识别的充分性，即是否围绕系统所有的危险源，即系统运行状态、外部交联设备、输入输出接口、人员操作、环境因素，以及依据通用或自身历史系统危险数据进行系统危险识别；

●检查每一个系统危险都与系统软件相关的系统功能建立映射关系。即每个系统危险所关联的系统功能必须是由软件功能独立实现或参与实现的；

●检查每个系统危险都已经开展危险影响分析，并明确危险影响等级，即围绕每个系统危险都描述其所可能导致的安全事故及事故后果危害程度；

●检查每个系统危险都已经开展危险原因分析，即明确每个系统危险所有可能的发生原因，包括软硬件交互约束、软件需求问题及人为因素；

●检查每个系统危险都有相应的控制措施，并落实为软件安全性需求；

3)失效模式及其影响分析技术独立充分性检查策略：

●检查系统危险与系统软件功能的关联性，即与系统危险相关的安全关键软件功能均已被标识；

●检查失效模式识别的充分性，即是否围绕系统所有软件功能、外部输入输出接口、功能之间的静态或动态逻辑关系因素进行失效模式识别；

●检查每个失效模式都已经开展影响分析，并明确失效影响等级，即围绕每个失效模式分析其对同级软件功能、上级软件功能直至系统所产生的影响效果；

●检查每个失效模式都已经开展原因分析，即明确每个软件失效模式所有可能的发生原因，包括系统软件功能间接口、功能执行逻辑，功能间的静态和动态逻辑关系；

●检查每个系统软件失效模式都有相应的控制措施；

●检查所有安全关键功能的失效模式的控制措施都被准确无误地转化为对应的软件安全性需求，并落实于软件需求规格说明文档；

步骤三：进行各项分析技术之间的交叉充分性检查，检查策略如下：

1）功能危险分析和初步危险分析之间的交叉充分性检查：

●检查功能危险分析中的系统危险清单与初步危险分析中的系统危险清单的一致性；

●检查功能危险分析中的每个系统危险是否都经过了初步危险分析；

●检查初步危险分析中的每个系统危险是否都经过了功能危险分析。

2）功能危险分析和失效模式及其影响分析之间的交叉充分性检查：

●检查功能危险分析中的系统危险与系统软件失效模式中的失效影响的一致性，即每个系统软件失效模式对系统的失效影响，是否对应功能危险分析中的一个或多个系统危险；

●检查功能危险分析中的每项系统危险都有失效模式及其影响分析中的系统软件功能相对应，即每个功能危险分析的系统危险都能与一个或多个系统软件功能相关联；

●检查功能危险分析中每项系统危险的控制措施都有失效模式及其影响分析中的系统软件功能相对应，即每项控制措施都能落实到系统软件功能上；

●检查功能危险分析中的每个系统危险都有对应的软件失效模式分析结果，即每项功能危险分析的系统危险都进行过失效模式及其影响分析，包括对应的失效模式和原因；

●检查软件失效模式中的失效系统影响都有对应的功能危险分析结果，即每项失效的系统影响都进行过功能危险分析；

3）初步危险分析和失效模式及其影响分析之间的交叉充分性检查：

●检查初步危险分析中的系统危险与失效模式及其影响失效模式中的失效影响一致性，即每个失效模式对系统的失效影响，均为初步危险分析中的一个系统危险；

●检查初步危险分析中的每项系统危险都有失效模式及其影响分析中的系统软件功能相对应，即每个初步危险分析的系统危险都能与一个或多个系统软件功能相关联；

●初步危险分析中每项系统危险的控制措施都有失效模式及其影响分析中的系统软件功能相对应，即每项控制措施都能落实到系统软件功能上；

●初步危险分析中的每个系统危险都有对应的软件失效模式分析结果，即每项初步危险分析的系统危险都进行过失效模式及其影响分析，包括对应的失效模式和原因；

●检查软件失效模式中的失效系统影响都有对应的初步危险分析结果，即每项失效的系统影响都进行初步危险分析。