石 柱 鄭 重

中國航天科技集團公司軟件評測中心，北京100048

?

軟件故障樹分析實例研究*

石 柱 鄭 重

中國航天科技集團公司軟件評測中心，北京100048

軟件故障樹分析(SFTA)是硬件或系統(tǒng)FTA的擴展，可應(yīng)用于安全性關(guān)鍵軟件的驗證和可靠性分析。本文首先闡述了SFTA的原理和應(yīng)用過程，然后介紹了結(jié)合某嵌入式軟件進行實際應(yīng)用的過程以及最小割集的生成，并在此基礎(chǔ)上提出了對該軟件的改進建議。

軟件可靠性；軟件可靠性分析；軟件故障樹分析

軟件故障樹分析(software fault tree analysis，SFTA)用于檢查和識別可引起危險的軟件失效及其原因，它采用自上而下演繹的方式找出可能導(dǎo)致頂端事件的狀態(tài)或關(guān)鍵路徑的最小組合。目前，SFTA方法已廣泛應(yīng)用于安全關(guān)鍵軟件的驗證和可靠性分析[1]。

在某些領(lǐng)域，隨著對軟件的可靠性和安全性要求日益提高，需要對相關(guān)軟件進行SFTA，但目前對軟件產(chǎn)品進行SFTA的工作很少，缺乏實踐經(jīng)驗，因此，本文在對SFTA原理和實施步驟研究的基礎(chǔ)上，針對某嵌入式軟件的特點，進行了初步應(yīng)用，取得了較好的效果，并成功改進了該軟件。

1 SFTA原理

SFTA通常是以不希望發(fā)生的、作為軟件失效判據(jù)的一個事件(頂事件)作為分析目標(biāo)，首先分析尋找所有能引起頂事件發(fā)生的直接原因，然后尋找引起上述每一個直接原因的所有直接原因，以此類推，一層一層的分析。如果上一級事件的發(fā)生可由任意一個直接原因?qū)е?，則用邏輯“或”把它們和上一級事件連接起來；如果上一級事件的發(fā)生是由2個或2個以上的直接原因共同導(dǎo)致，則用邏輯“和”把它們和上一級事件連接起來。通過這樣逐層向下推測所有可能的原因，直到無法再進一步分析的事件(底事件)為止。這樣，可以找出軟件可能發(fā)生的人為錯誤、內(nèi)在缺陷和環(huán)境影響等各種因素，以及頂事件所代表的軟件失效之間的邏輯關(guān)系，并且用邏輯門符號連成一棵倒立的樹狀圖形，即故障樹。

故障樹建成后，再定性分析各個底事件對頂事件發(fā)生影響的組合方式和傳播途徑，識別以頂事件為代表的各種可能的軟件失效模式，以及定量計算這些影響的輕重程度，計算出軟件失效概率和各個底事件的重要度次序。最后，根據(jù)分析結(jié)果，找出設(shè)計上的薄弱環(huán)節(jié)，并采取改進措施以提高產(chǎn)品的可靠性。

2 SFTA的步驟

SFTA的步驟與硬件和系統(tǒng)FTA步驟一致，主要分為以下6步：確定所分析的軟件、確定故障樹的頂事件、分析與頂事件有關(guān)的所有原因事件、建立故障樹、定性分析、可靠性評價和改進建議。下面對各步驟的主要工作進行說明：

1)確定所分析的軟件。確定系統(tǒng)所包括的內(nèi)容及其邊界范圍，熟悉軟件的整體情況，包括性能、運行情況、操作情況及各種重要參數(shù)等。同時，調(diào)查分析過去和現(xiàn)在發(fā)生的故障，及同類系統(tǒng)曾發(fā)生的所有事故；

2)確定故障樹的頂事件。根據(jù)項目需要和用戶需求，確定所要分析的對象事件，通常將易于發(fā)生且后果嚴重的事故作為頂事件；

3)分析與頂事件有關(guān)的所有原因事件；

4)建立故障樹。按建樹原則，從頂事件起，一層一層往下分析各自的直接原因事件，根據(jù)彼此間的邏輯關(guān)系，用邏輯門連接上下層事件，直到所要求的分析深度，形成一株倒置的邏輯樹形圖，即故障樹圖；

5)定性分析。定性分析是故障樹分析的核心內(nèi)容之一，其目的是分析該類事故的發(fā)生規(guī)律及特點，通過求取最小割集，找出控制故障的可行方案，并從故障樹結(jié)構(gòu)上、發(fā)生概率上分析各基本事件的重要程度，以便按輕重緩急分別采取對策。

以最小割集為例，求出最小割集不但可以識別導(dǎo)致頂事件發(fā)生的所有可能的故障模式，還可以通過比較每個最小割集所包含的底事件數(shù)目來確定最小割集和底事件的重要度。每個最小割集都是頂事件發(fā)生的一種可能，有幾個最小割集，頂事件的發(fā)生就有幾種可能，最小割集越多，系統(tǒng)越危險。假設(shè)每個底事件發(fā)生的概率都較小，且差別不大，在此假設(shè)條件下，包含底事件越少的最小割集越重要，且此割集中的底事件也較重要。在不同最小割集中重復(fù)出現(xiàn)次數(shù)越多的底事件越重要，這樣可以清晰地分析出軟件的薄弱環(huán)節(jié)。特別要注意“單點失效”，即單個底事件可導(dǎo)致頂事件發(fā)生，所以危害最大，必須重點分析；

6)可靠性評價和改進建議。根據(jù)分析的結(jié)果，評價該類事故的危險性，從而有針對性地采取措施，從定性和定量分析的結(jié)果中找出能夠降低頂事件發(fā)生概率的最佳方案。

3 SFTA應(yīng)用過程

下面以某星載嵌入式軟件為應(yīng)用對象，給出具體的應(yīng)用過程。

按照軟件開發(fā)方的意見，重點針對“軟件復(fù)位”故障進行故障原因分析，即聚焦能導(dǎo)致軟件復(fù)位的各種可能的故障原因，并給出軟件可靠性加強建議。

對于軟件復(fù)位的故障原因，主要從主動復(fù)位和被動復(fù)位2個方面進行故障原因分析(注：主動復(fù)位，是由于軟件預(yù)設(shè)的復(fù)位措施起作用而導(dǎo)致的軟件復(fù)位；軟件被動復(fù)位，是由于發(fā)生了程序無法捕獲到的異常而導(dǎo)致的復(fù)位)。下面以“計算精度下降，導(dǎo)致主動復(fù)位”為頂事件，介紹SFTA的過程。

經(jīng)分析，給出了計算精度下降故障樹總體圖，見圖1。

從計算精度下降故障樹總體圖中可以很容易看出該底事件共有9個，見表1。

圖1 計算精度下降故障樹總體圖

表1 計算精度下降故障樹底事件

從圖1可以看出，整個故障樹都由“或門”連接，因此，其最小割集都是由單個底事件組成，則造成該頂事件的最小割集為{X1},{X2},{X3},{X4},{X5},{X6},{X7},{X8},{X9}。

經(jīng)過與開發(fā)人員溝通，以及根據(jù)以往經(jīng)驗，給出各個底事件發(fā)生概率的數(shù)量級，由于該最小割集均是“單點失效”，因此頂事件發(fā)生的概率為各底事件概率之和：2.32×10-6。

盡管頂事件發(fā)生概率很小，但在后續(xù)工作中要對各個底事件進行嚴格分析，采取相應(yīng)措施以避免頂事件的發(fā)生。下1節(jié)將給出可靠性加強建議。

4 SFTA應(yīng)用結(jié)果分析

通過項目組成員的努力，已將所有該軟件復(fù)位情況進行了全面的SFTA，并匯總了各個故障樹的最小割集，找出了導(dǎo)致軟件復(fù)位的薄弱環(huán)節(jié)，并針對薄弱環(huán)節(jié)給出了該軟件的改進措施。

4.1 保護重要全局變量，避免被錯誤改寫

盡量避免在不同優(yōu)先級任務(wù)中共用全局變量，對于必須共用的情況，建議采取保護措施。

例如，在前臺程序和后臺程序中都對某一數(shù)組進行讀寫操作，而造成嚴重的故障影響，所以，建議在執(zhí)行后臺程序時，不執(zhí)行前臺程序(例如，可采用任務(wù)互斥信號量的方式實現(xiàn))，避免2個程序同時執(zhí)行。

4.2 調(diào)整任務(wù)劃分，簡化時序關(guān)系

調(diào)整前后臺任務(wù)劃分，盡可能將一些時間特性要求不嚴格、非周期性的任務(wù)從前臺移到后臺，降低各任務(wù)之間的時序復(fù)雜性，從而簡化軟件運行時的復(fù)雜性。

4.3 改進軟件主動復(fù)位措施

1)建議將該軟件可靠性措施前移，盡量少采用復(fù)位手段。2)建議對程序中已經(jīng)采取的主動復(fù)位措施進行充分論證、測試，分析已有的主動復(fù)位措施之間的相關(guān)性在當(dāng)前條件下(尤其軟件加強可靠性措施后)是否合適，以及是否會帶來副作用，對這些主動復(fù)位措施進行系統(tǒng)考慮后，做適當(dāng)調(diào)整。

例如，由于計算精度下降而主動復(fù)位的措施在衛(wèi)星大部分運行時間內(nèi)是有效的，但如果衛(wèi)星處于以下情況時，該復(fù)位措施可能有副作用或局限性：衛(wèi)星由于姿態(tài)調(diào)整而進行變軌；衛(wèi)星處于發(fā)射階段時，加速度較大。以上情況軟件計算正常，但衛(wèi)星的位置和速度均變化較大，有可能引起該軟件復(fù)位。

此外，對軟件采取可靠性加強措施后，也要相應(yīng)修改某些主動復(fù)位措施。

4.4 避免累積誤差

隨機誤差避免很難，但是通過設(shè)計可以避免累積誤差。分析結(jié)果顯示，誤差修正的精度是影響系統(tǒng)時間參數(shù)的重要因素，不能排除其影響，應(yīng)該結(jié)合軟件測試和試驗來驗證。

4.5 驗證64位運算函數(shù)

在某模塊的計算中用到大量64位運算函數(shù)，而該模塊在該軟件中1s執(zhí)行1次，任務(wù)級別較低。在其他高優(yōu)先級任務(wù)中的部分函數(shù)也調(diào)用了這些64位運算函數(shù)，在運行過程中有可能發(fā)生低優(yōu)先級任務(wù)被高優(yōu)先級任務(wù)打斷而重入，從而導(dǎo)致這些函數(shù)執(zhí)行的不正確，造成計算出現(xiàn)錯誤結(jié)果。

建議檢查源碼或匯編代碼是否可重入、是否符合可靠性編程準(zhǔn)則(例如，是否遵守延遲跳轉(zhuǎn)指令使用的相關(guān)規(guī)定)，或用軟件測試的方法驗證是否可重入，用函數(shù)可重入規(guī)則來改寫。

4.6 防范重要數(shù)據(jù)被單粒子打翻

在硬件器件方面，建議采用抗單粒子翻轉(zhuǎn)的宇航級器件，如果因此帶來難以承受的性能損失，建議進一步更換高性能、抗輻照嵌入式處理器，建議在工藝上也采取相應(yīng)的加固措施。

如果受客觀條件等因素限制，不能采取充分的硬件措施，則建議加強軟件抗單粒子翻轉(zhuǎn)設(shè)計，例如：針對軟件數(shù)據(jù)區(qū)被單粒子打翻的情況，建議對任務(wù)和執(zhí)行流程影響大，且持續(xù)時間長的重要數(shù)據(jù)，采取相應(yīng)的軟件可靠性設(shè)計措施，例如：“寫時三備份，讀時3取2”、“加大碼距”、“引入第3種狀態(tài)處理”、“周期性刷新”和“通行證技術(shù)”等，以提高軟件的抗單粒子翻轉(zhuǎn)能力。

4.7 防范程序區(qū)被單粒子打翻

針對軟件程序區(qū)被單粒子打翻的情況，建議在該軟件的后臺定期檢查RAM和ROM中的程序是否一致，若不一致，進行3取2，再將正確的程序裝載到RAM區(qū)運行。另一方面，建議參考N版本這一軟件可靠性設(shè)計思路(注：可以僅運行一個軟件程序版本)，加強軟件抗單粒子翻轉(zhuǎn)設(shè)計。

4.8 加強軟件可靠性測試

建議軟件開發(fā)方進一步開展軟件可靠性測試，通過軟件可靠性測試，監(jiān)控一些重要數(shù)據(jù)信息(例如，互斥信號量置位前發(fā)生中斷、堆棧使用情況等)，復(fù)現(xiàn)故障，驗證這些故障模式發(fā)生后所產(chǎn)生的影響(例如，數(shù)組出錯到發(fā)生復(fù)位的過程中，是由于發(fā)生死循環(huán)導(dǎo)致的復(fù)位，還是由于計算精度下降觸發(fā)主動復(fù)位措施而導(dǎo)致的復(fù)位)，評估這些故障發(fā)生的概率，并采取相應(yīng)的軟件可靠性加強措施。

4.9 加強目標(biāo)碼測試

在SFTA階段，已經(jīng)對CCS生成的匯編代碼是否符合可靠性編程準(zhǔn)則進行了普查分析，無不符合項，但是最終生成的目標(biāo)碼與匯編代碼不一定完全對等，所以建議進行目標(biāo)碼測試。

5 結(jié)論

對SFTA原理和實施過程開展了研究，并在某星載嵌入式實時軟件上進行了實踐應(yīng)用，提出了相應(yīng)的預(yù)防和改進措施，為軟件的可靠性安全性設(shè)計提供了依據(jù)。

事實證明，SFTA方法對于軟件可靠性的提高具有較高的應(yīng)用價值，如果將軟件失效模式和影響分析(software failure modes and effects analysis，SFMEA)結(jié)合SFTA方法同時使用，將會得到更加系統(tǒng)和全面的結(jié)果。

[1] 黃錫滋.軟件可靠性、安全性與質(zhì)量保證[M].北京:電子工業(yè)出版社，2002.(HUANG Xizi. Assurance of Software Reliability, Safety and Quality[M].Beijing: Electronic Industry Press,2002.)

[2] NASA- GB- 8719.13.NASA Software Safety Guidebook[S].NASA，2004.

[3] 朱明讓，何國偉，廖炯生.“三F”技術(shù)培訓(xùn)教材[M].北京:航天工業(yè)總公司，1995.(ZHU Mingrang,HE Guowei,LIAO Jiongsheng. Technically Training Material For“3F” [M].Beijing: Aerospace Industry Corporation,1995.)[4] 石柱.航天軟件安全性分析實踐[J].數(shù)字軍工，2007，(4)：40- 43.(SHI Zhu.The Practice on Aerospace Software Safety Analysis [J].Digital Military Industry,2007，(4) ：40- 43.)

[5] 石柱，馬寬，鄭重.軟件FMEA實例研究[J].航天控制，2010，28(2)：75- 78.(SHI Zhu,MA Kuan,ZHENG Zhong.A Case Study On Software FMEA[J]. Aerospace Control, 2010，28(2)：75- 78.)

[6] CHA S- D,LEE J. Fault Tree Construction of Hybrid System Requirements Using Qualitative Formal Method [J].Reliability Engineering and System Safety,2005,87:121- 131.

[7] Musa J D,Iannino A,Okumoto K. Software Reliability: Measurement, Prediction, Application [M].New York:McGraW- Hill,1987.

[8] Dutuit Y,Rauzy A.Approximate Estimation System Reliability via Fault Tree[J]. Reliability Engineering and System Safety,2005,87:163- 172.

[9] Li Guoqi, Lu Minyan, Liu Bin.SFTA Based Safety Analysis for Bridge Pattern[C]//2009 8th International Confrerence on Reliability,Maintainability and Safety,2009:522- 525.

[10] Towhidnejad M.Validation of Object Oriented Software Design With Fault Tree Analysis[C]// Proc.of 28th Annual NASA Goddard,USA,2003:209- 215.

[11] Vesely W E. Fault Tree Handbook [M].Washington,US:Government Pringing Office,1981.

[12] Huang H Z, Tong X, Zuo M J. Posbist Fault Tree Analysis of Coherent Systems[J]. Reliability Engineering and System Safety,2004,84(2):141- 148.

[13] 許榮，車建國，楊作賓，左曉勇.故障樹分析法及其在系統(tǒng)可靠性分析中的應(yīng)用[J].指揮控制與仿真，2010，32(1):112- 115.(XU Rong,CHE Jianguo,YANG Zuobin,ZUO Xiaoyong. The Fault Tree Analysis and Its Application in the System Reliability Analysis[J].Command Control & Simulation，2010，32(1):112- 115.)

[14] Yang Hong,Wang Hou- xiang,Han Ruo- fei,Li Juan.Application of Fault Tree in Software Safety Analysis[C]//International Forum on Computer Science- Technology and Applications. ChongQing,2009:207- 208.

[15] Joanne Bechta Dugan, Ganesh J Pai, Hong Xu. Combining Software Quality Analysis with Dynamic Event/Fault Trees for High Assurance Systems Engineering[C]//10th IEEE High Assurance Systems Engineering Symposium .USA,2007:245- 255.

《航天控制》選題大綱

1總體與系統(tǒng)技術(shù)

1.1 航天器動力學(xué)模型技術(shù)

1.2 航天器控制系統(tǒng)方案設(shè)計

1.3 系統(tǒng)集成與一體化設(shè)計技術(shù)

2制導(dǎo)、導(dǎo)航和控制技術(shù)

2.1 先進的信息與控制理論及應(yīng)用

2.2 全程復(fù)合制導(dǎo)技術(shù)(星光、衛(wèi)星導(dǎo)航系統(tǒng))

2.3 精確末制導(dǎo)技術(shù)

2.4 航天器自主導(dǎo)航和組合導(dǎo)航技術(shù)

2.5 新型運載火箭控制系統(tǒng)研究

2.6 系統(tǒng)精度與毀傷效果的評估和分析

2.7 衛(wèi)星姿態(tài)軌道控制技術(shù)研究

2.8 航天器交會對接、返回與救生技術(shù)

2.9 深空探測與著陸技術(shù)

2.10衛(wèi)星編隊飛行與星座控制技術(shù)

2.11攔截器制導(dǎo)與控制技術(shù)

2.12機器人動力學(xué)與控制

2.13控制系統(tǒng)“標(biāo)準(zhǔn)化、通用化、組合化”技術(shù)

2.14航天器測控通信技術(shù)

2.15伺服控制設(shè)計

3計算機技術(shù)與仿真技術(shù)

3.1 嵌入式計算機系統(tǒng)設(shè)計技術(shù)

3.2 軟件工程與評測技術(shù)

3.3 CAX設(shè)計

3.4 人工智能與專家系統(tǒng)技術(shù)

3.5 系統(tǒng)仿真技術(shù)

3.6 半實物仿真與設(shè)計、試驗技術(shù)

4測試、發(fā)射和控制技術(shù)

4.1 測試發(fā)射控制一體化技術(shù)

4.2 快速機動測控技術(shù)

4.3 航天器地面測試自動化

4.4 C4ISR技術(shù)

4.5 水平瞄準(zhǔn)、快速定位定向技術(shù)

4.6 系統(tǒng)信息流控制技術(shù)

5可靠性、安全性和維修性

5.1 可靠性、安全性、維修性和保障性設(shè)計、分析和試驗技術(shù)

5.2 軟件可靠性及優(yōu)化技術(shù)

5.3 冗余設(shè)計技術(shù)

5.4 故障診斷技術(shù)

6光機電一體化技術(shù)

6.1 片上系統(tǒng)(SOC)技術(shù)

6.2 航天器姿態(tài)敏感器

6.3 目標(biāo)探測器

6.4 慣性測量裝置

6.5 光學(xué)陀螺

6.6 推進器技術(shù)

6.7 飛行控制執(zhí)行機構(gòu)

6.8 電磁兼容設(shè)計與試驗技術(shù)

6.9 表面裝貼技術(shù)

6.10減振技術(shù)研究

6.11多功能結(jié)構(gòu)設(shè)計與標(biāo)準(zhǔn)化技術(shù)

征稿簡則

1.文稿應(yīng)具備創(chuàng)新性和科學(xué)性，務(wù)求主題突出、論據(jù)充分、文字精練、數(shù)據(jù)可靠，有較高的理論水平和實用價值。

2.稿件的篇幅(含摘要、圖、表、參考文獻等)6000字以內(nèi)，撰寫論文所涉及的基金資助項目、獲獎?wù)n題內(nèi)容請予注明。

3.文章中必須有中英文的題名、作者姓名、單位(對外名稱)、郵編、摘要、主題詞，還應(yīng)有中圖分類號和參考文獻。其中中文題名不超過20個字，英文題名不超過12個實詞。主題詞3條～8條，注意使用規(guī)范詞。

4.摘要采用報道性文摘，應(yīng)擁有與論文同等量的主要信息，著重反映新內(nèi)容。中英文摘要均須包括目的、方法、結(jié)果、結(jié)論等四要素，中文摘要以300字左右為宜。英文摘要應(yīng)按照英文文法書寫，在確保內(nèi)容完整性的前提下不必采用句子到句子的翻譯模式。

5.計量單位應(yīng)使用國家最新頒布的國家標(biāo)準(zhǔn)和規(guī)定，并且一律用符號表示。

6.稿件中的插圖、表格要少而精。構(gòu)圖要合理，應(yīng)附有圖表序號及中文的圖題、表題及圖表注釋。

7.參考文獻采用中英雙語著錄，應(yīng)著錄最必要、最新的文獻，且應(yīng)是國內(nèi)外公開發(fā)表的書刊文章，編號以出現(xiàn)的先后為序，各類文獻的著錄格式為：

(1)專著：著者.書名[M].版本(第1版不用著錄).出版地：出版者，出版年.

(2)期刊：作者．題名[J]．刊名，年，卷(期)：起止頁碼.

(3)論文集：作者.題名[C]//編者.文集名.出版地：出版者，出版年：起止頁碼.

(4)學(xué)位論文：作者.題名[D].保存者，年份.

(5)會議論文：作者.題名[C].會議名稱，會址，會議年份.

(6)技術(shù)標(biāo)準(zhǔn)：責(zé)任者.標(biāo)準(zhǔn)代號 標(biāo)準(zhǔn)名稱[S].出版地：出版者，出版年：引文頁碼.

(7)專利文獻：專利申請者.專利題名：專利國別，專利號[P].公開日期.

(8)報紙：作者.題名[N].報紙名，年-月-日(版次).

(9)外文文獻請注意作者的名字均為姓在前名在后，名要縮寫。

例：Zhou K M, Doyle J C, Glover K. Robust and Optimal Control[M]. Upper Saddle River, New Jersey: Prentice- Hall, 1996.

8.來稿須經(jīng)過保密審查，勿投寄涉密稿件。稿件請注明作者真實姓名(發(fā)表時可按作者意愿署名)、工作單位、詳細通訊地址、郵政編碼、電話、作者簡介及第一作者照片，文稿一經(jīng)刊載即酌致稿酬，并贈送期刊2份。未被錄用的稿件恕不退稿。

9.請勿一稿多投，凡在6個月內(nèi)未見編輯部稿件處理的通知，請與編輯部聯(lián)系。已在公開刊物發(fā)表的論文和報告，本刊不再刊登。

10.投稿方式：網(wǎng)上投稿，網(wǎng)址為http://htkz.cn；請同時郵寄保密審查結(jié)論至編輯部。來稿須保證內(nèi)容真實、未侵犯他人知識產(chǎn)權(quán)、無涉密內(nèi)容，作者署名無爭議，未一稿多投。稿件請用WORD格式。

ACaseStudyonSoftwareFaultTreeAnalysis

SHI Zhu ZHENG Zhong
Software Evaluation and Testing Center of CASC，Beijing 100048，China

Thesoftwarefaulttreeanalysis(SFTA)isanextensionofhardwareorsystemFTA.Itcanbeusedforsafety-criticalsoftwareverificationandreliabilityanalysis.Firstly,theprincipleandapplicationprocessofSFTAaredescribedandtheapplicationprocessofSFTAforanembeddedsoftwareispresentedinthispaper,andthentheminimalcutsetsarebuiltandtheimprovementfortheembeddedsoftwarearesuggested.

Softwarereliability;Softwarereliabilityanalysis;Softwarefaulttreeanalysis

*國防科技工業(yè)局民用航天科研預(yù)先研究項目資助課題(B2120080307)

2012- 11- 20

石柱(1963-)，男，湖北崇陽人，研究員，博士生導(dǎo)師，主要研究方向為軟件工程、軟件可靠性、軟件安全性和軟件過程改進；鄭重(1984-)，男，河南信陽人，工程師，主要研究方向為軟件可靠性度量和軟件可靠性測試。

TP311.5

： A

1006- 3242(2014)06- 0067- 04