第9章--软件质量和保证体系(9.3).pptVIP

9.3 软件可靠性分析 按照ISO/IEC 9126-1991的解释，软件可靠性是与在规定的一段时间和条件下，软件维持其性能水平的能力有关的一组属性。 一般说来，软件可靠性分析要用到概率统计方法，通过不断测试取得有关测试数据，然后根据测试结果构造可靠性模型，以分析实际达到的可靠性。基于这一点，软件可靠性可定义为软件在给定的时间间隔及规定的使用环境条件下，按分析和设计规定的要求成功地运行程序的概率。 9.3.1 软件可靠性三要素 失效：是指最后执行结果与有关规格不相符或用户在软件系统边界觉察到不期望的软件出错行为。 时间：平均失效等待时间（Mean Time To Failure，MTTF）、平均失效间隔时间（Mean Time Between Failure，MTBF）和平均修复时间（Mean Time To Repair，MTTR），且MTBF=MTTF+MTTR。 一旦确定时间基准，失效可以用三种方式表示：累积失效函数（the Cumulative Failure Function，CFF）、失效率函数（the Failure Rate Function，FRF）和平均失效等待时间函数（the Mean Time To Failure Function，MTTFF）。失效率函数是累积失效函数对时间求导的结果。累积失效函数表示与时间点相关的平均累积失效。如果失效率函数可视为常数，则平均失效等待时间MTTF是失效率的倒数。 环境：软件运行时所需要的支持系统及有关的因素。软件可靠性、硬件可靠性和操作可靠性三者综合起来反映整个计算机系统的可靠性。规定软件的使用环境可用来判定系统失效是否由于软件失效引起。 9.3.2 软件可靠性模型 软件可靠性同硬件可靠性一样，都可看成是随机过程，用概率分布来描述。但软件可靠性与硬件可靠性的分析却不完全相同。一方面，软件不会老化，其可靠性不随时间增加而减少；另一方面，软件失效常常是由于软件分析或设计引起。这样使软件可靠性分析变得非常复杂。 Jelinski-Moranda模型 Jelinski和Moranda于1972年开发的可靠性分析模型是最早建立且仍被人们使用的模型之一，简称J-M模型。 应用：1972年Jelinski和Moranda分析了美国海军舰队计算中心的数据，对程序固有错误数的估计为31.2，而程序在使用和再测试中发现的错误数共有34个，如果排错很彻底，可认为这就是固有错误总数，这样，估计值略低于实际值。 模型的基本假设 ①错误检测率与当前软件错误数成比例； ②在错误发生间隔期间错误检测率为常数； ③出现错误即刻修正，不使新的错误引入软件； ④软件运行方式与可靠性预测方式相同； ⑤每个错误出现机会相等，且所有错误的严重程度相同； ⑥错误被查出时，失效是独立的。 J-M模型计算 例子 Shooman模型（1972） Shooman模型总的思想为：失效率与软件中残留错误数成比例，且失效之间的失效率为常数，而在消除错误时，失效率也以相同比率下降。 模型的基本假设 ①失效率与软件潜在的错误数成比例； ②所有失效发生的概率相同，且彼此独立； ③所有错误的严重程度相同； ④软件运行方式与可靠性预测方式相同； ⑤引起失效的错误被及时修正，在修正过程中不会引入新的错误。 数据 所需的数据为失效间隔时间xi或失效时刻ti，其中xi=ti-ti-1。 假设：ET——测试之前程序中故障总数； IT——程序长度（机器指令总数）； τ——测试（包括调试）时间； Er（τ）——在τ时刻潜在的错误数； Ed（τ）——在0到τ期间发现的错误数； Ec（τ）——在0到τ期间改正的错误数。 估计值 ET和k 的计算 Gilb植错模型 这种模型的中心思想，是通过估计软件中残留错误的数量来确定软件的可靠性。 基本假设是：设计测试用例发现植入错误和原有错误的能力相同。 具体的作法是：在测试之前先由非测试人员在软件中植入一批人为的错误，在测试过程中分别统计出由测试小组发现的原有错误数和植入错误数，然后据此估算出软件中原有的错误数。 计算 假设： N表示软件中原有残留的错误数； S表示植入软件中的错误数； n表示测试中发现的原有错误数； s表示测试中发现的植入错误数。 则： N=(n/s)*S Hyman分别测试模型 对于Gilb植错模型而言存在两方面的问题：①如何做到设计测试用例使发现植入错误和原有错误的能力相同？②需要植入多少错误才算合适？ Hyman建议由两名测试员同时相互独立地测试同一软件的两个副本。 计算 假定： B0表示软件中原有的残留错误数；