DO-178C和FACE（未來機(jī)載能力環(huán)境）方法形成了一個自然的結(jié)合，使開發(fā)人員能夠結(jié)合軍事和商業(yè)領(lǐng)域的機(jī)載軟件生產(chǎn)的最佳實(shí)踐。通過根據(jù) DO-178C 及其補(bǔ)充文件中提供的指南開發(fā)和驗證軟件組件，F(xiàn)ACE 組件提供商可以實(shí)現(xiàn)其 FACE 可移植性目標(biāo)，同時實(shí)現(xiàn)高 DAL ［設(shè)計保證級別］ 可靠性和安全性。

FACE ［未來機(jī)載能力環(huán)境］ 方法是一種政府-行業(yè)軟件標(biāo)準(zhǔn)和商業(yè)戰(zhàn)略，用于獲取負(fù)擔(dān)得起的軟件系統(tǒng)，旨在促進(jìn)全球國防計劃中便攜式功能的創(chuàng)新和快速集成，從而降低系統(tǒng)生命周期成本。但是，F(xiàn)ACE技術(shù)標(biāo)準(zhǔn)并未直接解決質(zhì)量或適用性問題。特別是，盡管FACE技術(shù)標(biāo)準(zhǔn)定義了與保證相關(guān)的語言子集（“安全功能集”），但軟件組件遵守這些子集之一并不一定意味著達(dá)到了相關(guān)的保證水平。在軍事背景下證明這種保證涉及遵循MIL-HDBK-516C（適航認(rèn)證標(biāo)準(zhǔn)）或MIL-STD-882E（安全實(shí)踐）等標(biāo)準(zhǔn)的指導(dǎo)。

就這些標(biāo)準(zhǔn)而言，它們并不完全關(guān)注軟件問題，也沒有解決現(xiàn)代技術(shù)（如基于模型的工程、面向?qū)ο?a target="_blank">編程和形式化方法）提供的挑戰(zhàn)（或機(jī)遇）。FACE組件開發(fā)人員可以利用的一種方法可以幫助實(shí)現(xiàn)相關(guān)的保證水平，方法是遵循RTCA DO-178C標(biāo)準(zhǔn)（及其補(bǔ)充）中針對商用機(jī)載系統(tǒng)所體現(xiàn)的原則。這些標(biāo)準(zhǔn)以軟件為重點(diǎn)，涵蓋現(xiàn)代技術(shù)，識別潛在問題及其解決方案。即使沒有進(jìn)行DO-178C的正式認(rèn)證，這些標(biāo)準(zhǔn)也可以幫助開發(fā)人員滿足最苛刻的可靠性和安全性保證要求，同時通過重復(fù)使用FACE應(yīng)用程序組件實(shí)現(xiàn)成本節(jié)約。當(dāng)使用編程語言技術(shù)（如 Ada 和 SPARK）時，這些優(yōu)勢會得到放大，這些技術(shù)最能支持高保證系統(tǒng)的開發(fā)和驗證。

人臉技術(shù)標(biāo)準(zhǔn)

FACE技術(shù)標(biāo)準(zhǔn)是在The Open Group FACE聯(lián)盟的支持下制定的開放標(biāo)準(zhǔn)，當(dāng)前版本是3.0版;幾個早期版本（2.0、2.1、2.1.1）也在使用中，并且受支持。FACE 技術(shù)標(biāo)準(zhǔn)定義了一個由五個段（圖 1）和數(shù)據(jù)架構(gòu)組成的參考架構(gòu)：

操作系統(tǒng)段 （OSS） 為其他段提供軟件基礎(chǔ)，包括分區(qū)、進(jìn)程/線程管理和內(nèi)存管理等服務(wù)。

輸入/輸出服務(wù)段 （IOSS） 定義從 PSSS 到平臺 IO 設(shè)備的接口。

特定于平臺的服務(wù)段（PSSS）定義了從PCS到IOSS的接口，例如圖形支持。

傳輸服務(wù)段 （TSS） 定義 FACE 組件之間的通信接口。

便攜式組件段 （PCS） 提供應(yīng)用程序功能，并通過僅使用其他段中定義的接口來實(shí)現(xiàn)可移植性。

圖1|FACE技術(shù)標(biāo)準(zhǔn)定義了一個由五個段和一個數(shù)據(jù)架構(gòu)組成的參考架構(gòu)。

FACE 參考架構(gòu)的基礎(chǔ)是 OSS，它通過 ARINC 653 和 POSIX API ［應(yīng)用程序編程

接口］ 公開標(biāo)準(zhǔn)接口。編程語言的運(yùn)行時庫通常也是 OSS 的一部分，盡管它們不是通過 API 調(diào)用（可能無法在不同的編譯器實(shí)現(xiàn)中移植）而是通過源語言語法調(diào)用的。

由于符合 FACE 標(biāo)準(zhǔn)的組件可以部署在具有不同安全和/或安保要求的上下文中，因此 FACE 技術(shù)標(biāo)準(zhǔn)為 OSS 接口定義了幾個配置文件：

通用 – 對于不需要高級別保證的組件：不保證實(shí)時確定性，可選時間分區(qū)，需要空間分區(qū)。

安全 – 對于需要安全保證的組件：實(shí)時確定性，需要時間/空間分區(qū)。子配置文件安全基礎(chǔ)和安全擴(kuò)展反映了允許的 API。

安全性 – 對于需要安全和安保保證的組件：實(shí)時確定性，需要時間/空間分區(qū)。

FACE組件可以通過語言語法實(shí)現(xiàn)運(yùn)行時功能，而不是在ARINC 653或POSIX API上顯式調(diào)用，因此FACE技術(shù)標(biāo)準(zhǔn)定義了類似于OSS配置文件的語言限制（“功能集”）。為 C、C++、Ada 和 Java 定義了通用、安全擴(kuò)展、安全基礎(chǔ)和安全功能集。（FACE技術(shù)標(biāo)準(zhǔn)版3.0定義了Ada 95的安全和安保功能集;版本 3.1 為 Ada 2012 添加了這些集。

應(yīng)用 DO-178C 原則

雖然DO-178C及其補(bǔ)充品是為應(yīng)用于商業(yè)機(jī)載系統(tǒng)而開發(fā)的，但這些標(biāo)準(zhǔn)不一定是特定于軍用或商業(yè)航空的，并且可以用于其他安全關(guān)鍵領(lǐng)域。該指南基本上涉及三個主要目標(biāo)：

可靠性 – 系統(tǒng)執(zhí)行其應(yīng)執(zhí)行的操作（無故障）

安全 – 系統(tǒng)不做它不應(yīng)該做的事情（沒有危險）

良好的軟件工程實(shí)踐 – 配置管理、質(zhì)量保證等

該標(biāo)準(zhǔn)沒有規(guī)定具體的開發(fā)流程、危害評估方法或編程語言/工具，而是定義了目標(biāo)，當(dāng)滿意時，可以確信軟件滿足這些目標(biāo)。事實(shí)上，大多數(shù)目標(biāo)都與驗證過程有關(guān)：人工審查、自動分析和基于需求的測試，以適當(dāng)?shù)男判谋砻髅總€生命周期過程的輸出相對于其輸入是正確的。置信度（以及實(shí)現(xiàn)置信度所需的努力）取決于軟件的設(shè)計保證級別 （DAL）。

軟件組件的正式 DO-178C 認(rèn)證可能很昂貴，尤其是在更高的 DAL 上。然而，在需要這種認(rèn)證的商業(yè)航空領(lǐng)域之外，DO-178C可以更普遍地被視為生產(chǎn)安全關(guān)鍵系統(tǒng)的“最佳實(shí)踐”規(guī)范。從這個角度來看，該指南與FACE技術(shù)標(biāo)準(zhǔn)的要求是正交的，并且是一致的。通過采用和/或調(diào)整基于軟件DAL的DO-178C指南，F(xiàn)ACE應(yīng)用程序開發(fā)人員 - 更具體地說，便攜式組件部門的軟件開發(fā)人員 - 可以在不進(jìn)行正式認(rèn)證的情況下獲得DO-178C提供的大部分好處。

圖2|DO-178C及其補(bǔ)充劑是為機(jī)載系統(tǒng)和其他安全關(guān)鍵領(lǐng)域而開發(fā)的。

編程語言技術(shù)

DO-178C 的“軟件生命周期環(huán)境規(guī)劃”部分抓住了錯誤預(yù)防的本質(zhì)：

。..選擇限制引入錯誤機(jī)會的需求開發(fā)和設(shè)計方法、工具和編程語言，以及確保檢測到引入錯誤的驗證方法。

由于早期錯誤檢測是降低開發(fā)和驗證成本的關(guān)鍵，因此 FACE 應(yīng)用程序開發(fā)人員需要仔細(xì)考慮使用哪種語言和工具。在具有 FACE 技術(shù)標(biāo)準(zhǔn)中定義的功能集的語言中，Ada 在編譯時和運(yùn)行時都強(qiáng)制執(zhí)行最廣泛的檢查。Ada的形式可分析的SPARK子集更進(jìn)一步，靜態(tài)檢測大量錯誤（包括不正確的信息流和緩沖區(qū)溢出），而不會產(chǎn)生大量的“誤報”。

語言和 API 限制

DO-178C 制導(dǎo)對 FACE 組件開發(fā)的適用性在 FACE 功能集中得到了證明。盡管通用集可能適用于低 DAL 的軟件，但 DAL C 到 A 的組件可能需要限制為簡單的語言子集（安全擴(kuò)展、安全基礎(chǔ)或安全），以確保確定性執(zhí)行和簡單的運(yùn)行時支持。確定性和簡單性的要求既適用于應(yīng)用程序代碼本身，也適用于與應(yīng)用程序隱式鏈接的任何運(yùn)行時庫（由 RTOS 或編譯器供應(yīng)商提供）。

例如，F(xiàn)ACE 技術(shù)標(biāo)準(zhǔn)版 3.0 中 Ada 95 的安全擴(kuò)展功能集禁止異步控制轉(zhuǎn)移、動態(tài)存儲釋放和許多預(yù)定義的標(biāo)準(zhǔn)庫;它還將并發(fā)（任務(wù)）支持限制為 Ravenscar 配置文件中定義的構(gòu)造。安全基礎(chǔ)和安全功能集進(jìn)一步限制了運(yùn)行時功能，將異常支持限制為“最后機(jī)會”處理程序，并禁止動態(tài)分配。遵守功能集限制（或為操作系統(tǒng)段配置文件定義的 POSIX 和 ARINC 653 API）有助于簡化安全關(guān)鍵型軟件的驗證，同時滿足 FACE 要求。

合格、值得信賴的工具

使用軟件工具自動化、減少或消除活動可以降低成本并防止錯誤，但前提是該工具值得信賴。在DO-178C的說法中，該工具必須在適當(dāng)?shù)募墑e進(jìn)行鑒定。DO-178C 根據(jù)工具異常的影響和軟件組件的 DAL 定義了五個工具資格級別，TQL-5（最低）到 TQL-1（最高）。無論 DAL 如何，影響僅限于無法檢測到錯誤的工具都需要根據(jù) TQL-5 的要求進(jìn)行限定。在另一個極端，輸出是 DAL A 機(jī)載軟件一部分的工具必須在 TQL-1 上合格。（由于工具中的異?？赡軙?dǎo)致可執(zhí)行文件中的錯誤代碼，因此在沒有此類異常的情況下需要很高的置信度。各種 TQL 的具體要求在補(bǔ)充 DO-178C 的 DO-330 工具資格考慮標(biāo)準(zhǔn)中定義。

符合相關(guān) TQL 的工具可以信任用于 FACE 組件開發(fā)或驗證;資格證明可以證明依賴該工具是合理的，而無需手動驗證工具的輸出。例如，DO-178C 的目標(biāo)之一是“源代碼符合標(biāo)準(zhǔn)”，對于安全關(guān)鍵型 FACE 組件，相關(guān)標(biāo)準(zhǔn)將是相關(guān)的功能集定義（安全擴(kuò)展、安全基礎(chǔ)、安保），可能通過項目特定的限制進(jìn)行增強(qiáng)。檢查源代碼是否保留在生成的子集中的合格靜態(tài)分析工具可以減少驗證工作。

源代碼的準(zhǔn)確性和一致性

DO-178C 中的關(guān)鍵驗證目標(biāo)之一涉及源代碼的審查和分析：

準(zhǔn)確性和一致性。目的是確定源代碼的正確性和一致性，包括堆棧使用情況、內(nèi)存使用情況、定點(diǎn)算術(shù)溢出和解析、資源爭用和限制、最壞情況執(zhí)行時間、異常處理、未初始化變量的使用、緩存管理、未使用的變量以及由于任務(wù)或中斷沖突而導(dǎo)致的數(shù)據(jù)損壞。編譯器（包括其選項）、鏈接器（包括其選項）和某些硬件功能可能會對最壞情況的執(zhí)行計時產(chǎn)生影響，應(yīng)評估這種影響。

FACE組件開發(fā)人員需要警惕這些問題，并認(rèn)識到選擇合適的編程語言和工具的重要性。例如，在運(yùn)行時在 Ada 中檢測到整數(shù)和定點(diǎn)溢出，并且使用 Ravenscar 配置文件進(jìn)行并發(fā)（所有 Ada 功能集都允許這樣做，并且受可在 DO-178C DAL A 認(rèn)證的運(yùn)行時庫支持）可以幫助防止數(shù)據(jù)損壞。SPARK 靜態(tài)分析工具可以檢測未初始化變量的使用、未使用變量的出現(xiàn)、整數(shù)和定點(diǎn)溢出的可能性以及許多其他錯誤。

使用以前開發(fā)的軟件

FACE方法基于重用;在需要高保證的情況下，問題是當(dāng)軟件組件在不同于最初認(rèn)證的環(huán)境中使用時，如何獲得足夠的置信度。

一個問題是確定組件的 DAL（因此，對于 FACE 組件，要使用的 OSS 配置文件/語言功能集）以及隨之而來的生命周期要求。為了獲得最大的可重用性，應(yīng)在設(shè)想其使用的最高 DAL 下開發(fā)和驗證組件。

另一個實(shí)質(zhì)性問題是如何獲得信心，即在一個系統(tǒng)中已被證明滿足相關(guān)生命周期目標(biāo)的組件將滿足另一個系統(tǒng)中的相關(guān)目標(biāo)。DO-178C 為幾種情況提供了具體指導(dǎo)：當(dāng)重用涉及軟件修改、飛機(jī)安裝更改、應(yīng)用程序或開發(fā)環(huán)境更改或升級到開發(fā)基線時。其中每個項目的基礎(chǔ)活動都是全面的影響分析，以在整個軟件生命周期中識別組件在新上下文中重新部署的影響（包括對已知問題的分析）。例如，將相同的源代碼移植到新處理器將需要重新驗證最壞情況的執(zhí)行時間假設(shè)、足夠的堆棧空間預(yù)留和類似的屬性。通過使用合格的工具可以減輕這種重新驗證。

專業(yè)技術(shù)

現(xiàn)代軟件技術(shù)（如基于模型的工程、面向?qū)ο蠛托问交椒ǎ闄C(jī)載軟件的開發(fā)人員帶來了許多好處，但它們也可能導(dǎo)致復(fù)雜性。例如，動態(tài)綁定簡化了某些設(shè)計模式，但也使演示正確的數(shù)據(jù)依賴關(guān)系變得更加困難。DO-178C的技術(shù)補(bǔ)充直接解決了這些問題，并展示了如何解決潛在的問題。

FACE方法側(cè)重于離散可重用軟件組件的軟件可移植性，將可靠性和安全性要求委托給其他標(biāo)準(zhǔn)。DO-178C專注于系統(tǒng)或子系統(tǒng)級別的軟件可靠性和安全性，將可移植性（使用先前開發(fā)的軟件）視為相關(guān)問題的“附加考慮因素”，而不是要求。這兩種方法是相輔相成的，是一致的。通過根據(jù) DO-178C 及其補(bǔ)充文件中提供的指南開發(fā)和驗證軟件組件，F(xiàn)ACE 組件提供商可以滿足 FACE 可移植性目標(biāo)，同時實(shí)現(xiàn)高 DAL 可靠性和安全性。

DO-178C指南的一個關(guān)鍵要素是及早發(fā)現(xiàn)錯誤。面向軟件工程的語言（如 Ada 和 SPARK）由合格的工具和可認(rèn)證的運(yùn)行時庫（如 AdaCore 提供的庫）提供支持，可以簡化安全認(rèn)證，同時實(shí)現(xiàn) FACE 組件重用。DO-178C和FACE方法形成了一個自然的結(jié)合，允許開發(fā)人員結(jié)合商業(yè)和軍事領(lǐng)域的機(jī)載軟件生產(chǎn)的最佳實(shí)踐。

審核編輯：郭婷