符合ISO统一标准的软件测试解决专项方案.docVIP

符合ISO26262标准软件测试处理方案

伴随汽车行业快速发展，汽车电子电器E/E系统在汽车中作用不停提升，ECU开发所占用时间和成本也越来越高。和此同时，越来越多电子控制系统（比如车身稳定控制系统ESP，防抱死制动系统ABS，自适应前照明系统AFS等）含有和安全相关功效，所以对ECU安全要求也越来越高。为了降低产品开发时间和成本，降低因为安全问题而造成维护甚至召回风险，越来越多整车厂和供给商开始重视汽车领域功效安全问题，ECU软件功效安全问题也成为汽车行业迫切需要处理问题，车辆功效安全标准ISO26262就在这么环境和需求下应运而生，并于11月正式公布第一版本，该标准是目前汽车业中最流行、最复杂、也是最关键一份标准。

???ISO26262目标是经过避免汽车E/E系统故障行为可能造成危害来提升E/E系统功效安全。ISO26262采取车辆安全完整性等级（ASIL）来判定系统功效安全程度，ASIL由ASILA（最低）、ASILB、ASILC及ASILD（最高）四个等级组成，ASIL等级越高表示系统功效安全评定越严格,对应表示系统正确实施安全功效，或说避免该功效犯错概率越高，即系统安全可靠性越高。

???ISO26262标准组成架构由十个规范和信息指导文件组成，其中ISO26262—4/5/6叙述是系统级/硬件级/软件级产品开发，使用嵌套V模型定义了每个开发阶段过程和对应工作产品。本处理方案关键说明了在软件级产品开发阶段怎样去了解ISO26262要求，而且指出了在实际软件开发过程中怎样结合ISO26262软件测试生命周期，经过包含软件测试工作实施和过程控制等方面来确保ECU软件质量满足ISO26262软件级功效安全对应等级要求。

基于V模式ISO26262软件测试生命周期

????图所表示，基于V模式ISO26262-6软件测试生命周期能够划分为五个阶段：

静态分析需求和功效需求：在软件级产品开发初始化阶段和软件安全需求规范制订阶段确定了部分基础嵌入式软件静态分析需求和功效需求，这部分内容是以后设计和测试基础；

架构验证：在软件架构设计阶段，我们能够使用人工分析方法来验证和测试软件架构层内容，不过有条件话最好使用适宜架构设计工具，在设计过程中同时进行架构验证；

静态测试：在软件单元设计和实现阶段同时进行静态测试，能够使用开发辅助工具来进行静态测试，这么无须因为静态测试活动而改变开发步骤。

动态测试：在软件单元测试阶段和软件集成和测试阶段，使用适宜动态测试工具进行动态单元和集成测试，

功效验证：在软件安全需求验证阶段，要依据ISO26262-6要求进行功效验证，包含进行ECU网络环境测试和实车测试，必需时候进行HIL测试。

????因为在静态分析需求中所需要满足方法基础上全部是属于静态测试范围，所以我们以ASILA为例，将软件测试内容分为静态测试、动态测试和功效验证三部分（注：架构验证临时未包含在内），见下表。

????表中所列举静态测试内容里面要求采取多个测试方法，比如‘低复杂度强制要求’通常需要经过满足一定度量指标来实现，度量指标包含圈复杂度、嵌套深度等等，而‘使用语言子集’在汽车行业通常选择MISRA-C，经过强制使用编码规范来排除未定义行为或实现定义行为等危险使用方法，除此之外静态测试还要求部分其它测试方法，比如假如要满足更高安全完整性等级话，静态测试内容还需要包含运行时错误检测等，通常需要使用可靠性测试性测试。

????ASILA所要求动态测试要求能够基于需求分析和设计测试用例，所以需要在开发过程中提供对需求管理支持，同时要求能够针对函数或模块提供覆盖度分析等。假如是更高等级ASIL话可能还需要进行不一样环境测试，比如模型在环测试（MIL）和软件在环测试（SIL），并在必需情况下进行MIL和SIL对比测试。

???软件安全需求测试环境需要依据ASIL等级来进行选择，而且最少要在一个以上不一样环境内实施测试。ASILA所要求ECU网络测试包含了网络中各ECU之间相互作用，目标是确保ECU之间没有引发功效故障相互干扰，而实车测试则是在真正ECU软件运行环境中进行测试方法，依据功效安全需求规范来进行，能够最直观地反应出ECU软件是否能够满足定义功效安全需求。当然在必需时候还需要进行硬件在环测试（HIL），经过仿真控制系统中传感器和实施器硬件(Hardware)电气特征，为嵌入式控制器构建起一个控制回路(Loop)，从而能够方便在其中模拟被控对象工作环境，对ECU算法进行功效验证和测试。

???针对前面划分ISO26262所关注静态测试、动态测试和功效验证要求，下面我们就来看一下处理方案中怎样来满足这些需求。

符合ISO26262标准静态测试

???在静态测试中，静态分析关键包含规