浅议基于IPO功能分解嵌入式软件故障树分层构建方法.docVIP

浅议基于IPO功能分解嵌入式软件故障树分层构建方法 　　摘要：针对嵌入式软件需求阶段的安全性分析方法中故障树分析缺少构建方法的问题，结合嵌入式系统的特点，提出了一种故障树分层构建方法。为构建各功能层内部的故障树，提出了基于IPO 的功能分解法，采用失效模式与影响分析方法对分解的各部分功能进行影响分析，以确定构建故障树的建树元素，并提出了功能层内部故障树构建的框架模型与各功能层故障树的层次关系，实现了部分故障树构建的自动化，提高了故障树构建的完整性、准确性与效率。在某型号发动机控制软件的安全性分析中，应用上述方法指导该嵌入式软件故障树的构建与分析，验证了该方法的可行性和有效性。 关键词：嵌入式软件 故障树 分层构建 由于嵌入式软件具有功能层次的特点，因此，采用分层构建的方法来逐层构建软件故障树。首先明确嵌入式系统及软件功能之间的层次关系，然后逐层分析构建，在功能层次内部，则依据基于IPO 功能分解的故障树构建框架模型来指导构建，最终构建出完整的软件故障树。 一、嵌入式软件的层次关系 嵌入式软件存在着软、硬件边界层、直接输出控制功能层、若干前序功能层及信号采集功能层等层次。嵌入式系统由软件输出来控制硬件执行机构，因此在嵌入式系统中存在着一个软、硬件边界层，由软件通过I/O接口向硬件输出控制数据。而软件的输出，是由软件中的输出控制功能来实现的，因此，存在着一个直接输出控制功能层，嵌入式软件是经过了一系列前序功能后才到达直接输出控制功能层的，因此，在嵌入式软件中还存在着若干的前序功能层，在数据流图中，每一个功能都是一个功能层，随着数据流逆流而上，最终到达信号采集功能层。 二、分层构建方法 2.1 软、硬件边界层 在嵌入式软件故障树分析中，纯软件的故障树分析以软件的输出失效为顶事件，因此首先需将故障树分析到软、硬件的边界层次，找出软件输出失效的中间事件，作为下一步构建纯软件故障树的依据。对软、硬件边界层的故障树构建主要依据顶事件所代表的系统失效机理。失效机理是指导致系统失效发生的直接软、硬件状态条件。故障树分析是一种由结果到原因的分析，因此失效机理直接影响着故障树构建的结果。 2.2 直接输出功能层 在构建完软、硬件边界的故障树后，选取其中的软件输出失效作为纯软件故障树分析的顶事件进行故障树构建。“软件输出”失效其实就是软件的直接“输出控制功能”失效，因此，进一步构建故障树时首先分析的是软件的直接输出功能层。 2.3 若干前序功能层 在嵌入式软件系统中，软件的输入通常需经过信号采集、故障诊断、信号处理、控制计算等多层功能传递之后，最终到达输出控制功能。在构建嵌入式软件故障树时需遵循这种功能层次关系。由软件的直接输出控制功能层往前逐层分析。功能间传递关系信息可由需求中的数据流图获得。 2.4 信号采集功能层 信号采集功能层是嵌入式系统中接受外界输入的功能层次，也是软件功能执行的起始层次，在沿着数据流图逆流而上逐层构建故障树时，最终将会到达信号采集功能层。在构建该层故障树时，除考虑软件处理错误的原因外，还应考虑输入数据本身的错误。 三、基于IPO功能分解的故障树构建框架模型 3.1 软件功能的IPO分解 软件系统大到整个系统，小到一个子函数，都可以看成是由IPO三个逻辑部分组成。其中“输入”负责接收外部的输入；“处理过程”负责对输入进行特定的算法处理；“输出”负责将结果传递给后序功能或者执行机构。 3.2 故障树构建框架模型 故障树的构建是一个由结果找原因的过程，导致该功能失效的原因即可能来自于“输入处理”，也可能来自于“过程处理”及“输出处理”，三者之间是“或”的逻辑关系。在功能内部，分解的I、P、O之间也存在着先后的层次关系，需要由“输出处理”往前分析到“输入处理”。构建功能内部故障树的中间事件包括输出处理失效、处理过程失效与若干输入数据的处理失效，它们之间是“或”的逻辑关系。功能层内部故障树的构建过程分为如下三个步骤： 1）对该功能进行IPO分解，在软件需求文档中找出三部分的描述。 2）对功能分解得出的I、P、O过程分别进行FMEA，将影响与顶事件失效一致的失效模式作为构建故障树的建树元素。 3）将FMEA表中选定为建树元素的失效模式，构建完成该功能内部的故障树。 3.3 组织各功能层的故障树 嵌入式软件故障树的构建过程是一个由软件的直接输出功能层逐层往前，直到软件输入信号采集功能层的过程，后序功能层的输入失效便是该功能的前序功能层的输出失效，即将后序功能层的输入失效作为前序功能层内部故障树分析的顶事件，如此便将层与层各自的故障树连接起来，最终形成一颗完整的软件故障树。 结束语 本文提出