課件02-軟件可靠性與安全性-分析方法

1、軟件可靠性與安全性第二部分軟件可靠性與安全性分析提要軟件可靠性與安全性分析技術(shù)基于分析結(jié)果的決策132可靠性與安全性分析目標(biāo) 找出任何實際的、潛在的可導(dǎo)致嚴重后果的危險人員受傷、疾病或死亡人員受傷、疾病或死亡系統(tǒng)、設(shè)備、資產(chǎn)的損壞或經(jīng)濟損失系統(tǒng)、設(shè)備、資產(chǎn)的損壞或經(jīng)濟損失對環(huán)境的破壞對環(huán)境的破壞危險的結(jié)構(gòu)危險原因原因原因控制控制控制控制控制控制驗證驗證驗證驗證驗證驗證可靠性與安全性分析技術(shù) 預(yù)先危險分析(PHA) 風(fēng)險分析(RA) 失效模式、影響分析(FMEA) 失效樹分析(FTA)PHA 系統(tǒng)安全危害分析的初步或初始工作 在設(shè)計之前, 對系統(tǒng)中存在的危險性類別、出現(xiàn)條件、導(dǎo)致事故的后果進行分

2、析 是基本的危險分析PHA 目的識別系統(tǒng)中的潛在危險識別系統(tǒng)中的潛在危險確定危險等級確定危險等級防止危險發(fā)展成事故防止危險發(fā)展成事故PHA PHA的特點是進一步進行危險分析的先導(dǎo)，是一種是進一步進行危險分析的先導(dǎo)，是一種宏觀概略定性分析方法宏觀概略定性分析方法簡單易行，經(jīng)濟有效簡單易行，經(jīng)濟有效為系統(tǒng)分析和設(shè)計提供指南為系統(tǒng)分析和設(shè)計提供指南識別可能的危險，用很少的費用、時間識別可能的危險，用很少的費用、時間就可以實現(xiàn)改進就可以實現(xiàn)改進PHA PHA的步驟 對系統(tǒng)進行充分了解對系統(tǒng)進行充分了解, 確定危險源確定危險源 分析系統(tǒng)可能出現(xiàn)的危險分析系統(tǒng)可能出現(xiàn)的危險, 確定危險類確定危險類型型 根

3、據(jù)危險源和危險類型根據(jù)危險源和危險類型, 制成預(yù)先危險制成預(yù)先危險性分析表性分析表 分析轉(zhuǎn)化條件分析轉(zhuǎn)化條件, 尋求對策和措施尋求對策和措施, 檢驗對檢驗對策和措施的有效性策和措施的有效性 進行危險性分級進行危險性分級, 排列出重點和輕、重、排列出重點和輕、重、緩、急次序緩、急次序 制定危險的預(yù)防性對策和措施制定危險的預(yù)防性對策和措施PHA PHA的結(jié)果一般采用表格的形式列出一般采用表格的形式列出格式和內(nèi)容可根據(jù)實際情況確定格式和內(nèi)容可根據(jù)實際情況確定危害危害原因原因主要后果主要后果危險等級危險等級危險可危險可能性能性風(fēng)險度風(fēng)險度控制措施控制措施PHA危險性的等級劃分級別說明I安全的安全的不會

4、造成人員傷亡及系統(tǒng)損壞不會造成人員傷亡及系統(tǒng)損壞II臨界的臨界的 處于事故的邊緣狀態(tài)，暫時還處于事故的邊緣狀態(tài)，暫時還不至于造成人員傷不至于造成人員傷III危險的危險的 會造成人員傷亡和系統(tǒng)損壞，會造成人員傷亡和系統(tǒng)損壞，要立即采取防范措施要立即采取防范措施IV 災(zāi)難性的災(zāi)難性的 造成人員重大傷亡及系統(tǒng)嚴重造成人員重大傷亡及系統(tǒng)嚴重破壞的災(zāi)難性事故，必須予以破壞的災(zāi)難性事故，必須予以果斷排除并進行重點防范果斷排除并進行重點防范PHA危險發(fā)生的可能性分級級別發(fā)生的可能性A經(jīng)常發(fā)生經(jīng)常發(fā)生B容易發(fā)生容易發(fā)生C偶爾發(fā)生偶爾發(fā)生D很少發(fā)生很少發(fā)生E不易發(fā)生不易發(fā)生F極難發(fā)生極難發(fā)生風(fēng)險分析 風(fēng)險可能會

5、發(fā)生也可能不會發(fā)生的事件，該可能會發(fā)生也可能不會發(fā)生的事件，該事件的發(fā)生會帶來損失事件的發(fā)生會帶來損失 風(fēng)險特性不確定性：可能發(fā)生也可能不發(fā)生，用不確定性：可能發(fā)生也可能不發(fā)生，用發(fā)生概率描述發(fā)生概率描述損失：如果風(fēng)險變成了現(xiàn)實就會產(chǎn)生惡損失：如果風(fēng)險變成了現(xiàn)實就會產(chǎn)生惡性后果或損失，用損失大小表示性后果或損失，用損失大小表示風(fēng)險管理風(fēng)險管理風(fēng)險分析風(fēng)險控制風(fēng)險識別風(fēng)險評估風(fēng)險計劃風(fēng)險跟蹤風(fēng)險應(yīng)對風(fēng)險識別 將不確定性的事件轉(zhuǎn)變?yōu)轱L(fēng)險陳述的一系列必要任務(wù) 目標(biāo)提出已察覺的風(fēng)險提出已察覺的風(fēng)險識別潛在的風(fēng)險識別潛在的風(fēng)險揭示風(fēng)險來源揭示風(fēng)險來源文檔方式記錄所有風(fēng)險及其屬性文檔方式記錄所有風(fēng)險及其屬

6、性與那些能應(yīng)對風(fēng)險的人交流風(fēng)險與那些能應(yīng)對風(fēng)險的人交流風(fēng)險風(fēng)險識別過程識別風(fēng)險項目資源項目要求風(fēng)險管理計劃風(fēng)險陳述風(fēng)險場景不確定性事件領(lǐng)域知識疑慮問題風(fēng)險核對清單風(fēng)險識別方法風(fēng)險管理表單風(fēng)險數(shù)據(jù)庫風(fēng)險識別活動 系統(tǒng)地識別風(fēng)險 定義風(fēng)險屬性 將已知的風(fēng)險編寫為文檔 交流已知風(fēng)險 確定風(fēng)險清單風(fēng)險評估 將風(fēng)險陳述轉(zhuǎn)變?yōu)榘磧?yōu)先順序排列的風(fēng)險列表的一系列必要任務(wù) 目標(biāo)用有成本效益的方式評估風(fēng)險用有成本效益的方式評估風(fēng)險提煉風(fēng)險場景提煉風(fēng)險場景確定風(fēng)險影響確定風(fēng)險影響確定行動時間框架確定行動時間框架確定最嚴重的風(fēng)險確定最嚴重的風(fēng)險風(fēng)險評估過程風(fēng)險評估項目資源項目要求風(fēng)險管理計劃風(fēng)險列表風(fēng)險陳述風(fēng)險場景評

7、估準(zhǔn)則評估技巧評估工具風(fēng)險數(shù)據(jù)庫風(fēng)險評估活動 將相似和關(guān)聯(lián)的風(fēng)險歸為一組 確定風(fēng)險的驅(qū)動因素 確定風(fēng)險來源 使用風(fēng)險分析技巧和工具, 預(yù)測風(fēng)險影響 根據(jù)標(biāo)準(zhǔn)評估風(fēng)險 按與其他風(fēng)險的關(guān)系排序風(fēng)險風(fēng)險評估技術(shù) 風(fēng)險影響(RE)RE發(fā)生概率發(fā)生概率 損失大小損失大小 風(fēng)險評估技術(shù)計算風(fēng)險因子計算風(fēng)險因子PERT估計估計專家判斷專家判斷期望貨幣值期望貨幣值仿真仿真風(fēng)險等級風(fēng)險等級描述A不可接受B不期望, 僅當(dāng)降低風(fēng)險不現(xiàn)實時接受C在項目安全評審委員會認可時, 可接受D在正式項目評審認可時, 可接受E在任何條件下都可接受發(fā)生概率發(fā)生頻度運行生存期發(fā)生頻繁10000 10-6; 可能頻繁感受到很可能100

8、 10-6; 可能經(jīng)常發(fā)生不經(jīng)常1 10-6; 可能發(fā)生數(shù)次較少0.01 10-6; 有時可能會發(fā)生很少0.0001 10-6; 不大可能, 例外情況下有可能發(fā)生極少0.000001 10-6; 極其不可能發(fā)生事故嚴重等級類別定義災(zāi)難造成較大經(jīng)濟損失, 破壞數(shù)據(jù)完整性危險造成較小經(jīng)濟損失重大造成銀行工作量增加較小讓客戶感到使用不便可忽略無影響風(fēng)險分級表災(zāi)難(16)危險(8)重大(4)較小(2)可忽略(1)頻繁(32)A(512)A(256)B(64)B(64)B(32)很可能(16)A(256)A(128)B(64)B(32)C(16)不經(jīng)常(8)A(128)B(64)B(32)C(16)D(

9、8)較少(4)B(64)B(32)C(16)D(8)E(4)很少(2)B(32)C(16)D(8)E(4)E(2)極少(1)C(16)D(8)E(4)E(2)E(1)風(fēng)險分級對照表實例1 02 131425 36374840 01 02131425363740 00 010213 1425364S1S2S3S4A1A1G1G2A2A2G1G2W1W2W3S: 危害的程度A: 持續(xù)的時間G: 危險可預(yù)防W: 發(fā)生的概率DINIEC風(fēng)險分析舉例(ATM) ATM功能特征查詢余額查詢余額查詢明細查詢明細取款取款存款存款行內(nèi)轉(zhuǎn)帳行內(nèi)轉(zhuǎn)帳銀聯(lián)轉(zhuǎn)賬銀聯(lián)轉(zhuǎn)賬修改密碼修改密碼風(fēng)險分析舉例(ATM)序號失效發(fā)生

10、概率1余額顯示錯誤余額顯示錯誤頻繁頻繁2余額計算錯誤余額計算錯誤頻繁頻繁3交易明細清單顯示錯誤交易明細清單顯示錯誤很少很少4實際取款與輸入金額不一致實際取款與輸入金額不一致頻繁頻繁5實際存款與存入金額不一致實際存款與存入金額不一致頻繁頻繁6操作日志記錄錯誤操作日志記錄錯誤頻繁頻繁7轉(zhuǎn)帳過程異常中止轉(zhuǎn)帳過程異常中止較少較少8無法正確識別銀行卡無法正確識別銀行卡很可能很可能9修改密碼，新密碼無法預(yù)期修改密碼，新密碼無法預(yù)期很少很少10失效后，自動重啟不成功失效后，自動重啟不成功極少極少11異常吞卡異常吞卡頻繁頻繁風(fēng)險分析舉例(ATM)序號失效發(fā)生概率失效影響1余額顯示錯誤余額顯示錯誤頻繁頻繁重大重

11、大2余額計算錯誤余額計算錯誤頻繁頻繁災(zāi)難災(zāi)難3交易明細清單顯示錯誤交易明細清單顯示錯誤很少很少較小較小4實際取款與輸入金額不一致實際取款與輸入金額不一致頻繁頻繁危險危險5實際存款與存入金額不一致實際存款與存入金額不一致頻繁頻繁危險危險6操作日志記錄錯誤操作日志記錄錯誤頻繁頻繁災(zāi)難災(zāi)難7轉(zhuǎn)帳過程異常中止轉(zhuǎn)帳過程異常中止較少較少較小較小8無法正確識別銀行卡無法正確識別銀行卡很可能很可能較小較小9修改密碼，新密碼無法預(yù)期修改密碼，新密碼無法預(yù)期很少很少重大重大10失效后，自動重啟不成功失效后，自動重啟不成功極少極少重大重大11異常吞卡異常吞卡頻繁頻繁較小較小風(fēng)險分析舉例(ATM)序號失效發(fā)生概率失效

12、影響優(yōu)先級1余額顯示錯誤余額顯示錯誤頻繁頻繁(32)重大重大(4)A(128)2余額計算錯誤余額計算錯誤頻繁頻繁(32)災(zāi)難災(zāi)難(16) A(512)3交易明細清單顯示錯誤交易明細清單顯示錯誤很少很少(2)較小較小(2)E(4)4實際取款與輸入金額不一致實際取款與輸入金額不一致頻繁頻繁(32)危險危險(8)A(256)5實際存款與存入金額不一致實際存款與存入金額不一致頻繁頻繁(32)危險危險(8)A(256)6操作日志記錄錯誤操作日志記錄錯誤頻繁頻繁(32)災(zāi)難災(zāi)難(16) A(512)7轉(zhuǎn)帳過程異常中止轉(zhuǎn)帳過程異常中止較少較少(4)較小較小(2)D(8)8無法正確識別銀行卡無法正確識別銀行卡

13、很可能很可能(16)較小較小(2)B(32)9修改密碼，新密碼無法預(yù)期修改密碼，新密碼無法預(yù)期很少很少(2)重大重大(4)D(8)10失效后，自動重啟不成功失效后，自動重啟不成功極少極少(1)重大重大(4)E(4)11異常吞卡異常吞卡頻繁頻繁(32)較小較小(2)B(64)風(fēng)險分析舉例(ATM)序號失效發(fā)生概率失效影響優(yōu)先級1余額計算錯誤余額計算錯誤頻繁頻繁(32)災(zāi)難災(zāi)難(16) A(512)2操作日志記錄錯誤操作日志記錄錯誤頻繁頻繁(32)災(zāi)難災(zāi)難(16) A(512)3實際取款與輸入金額不一致實際取款與輸入金額不一致頻繁頻繁(32)危險危險(8)A(256)4實際存款與存入金額不一致實際

14、存款與存入金額不一致頻繁頻繁(32)危險危險(8)A(256)5余額顯示錯誤余額顯示錯誤頻繁頻繁(32)重大重大(4)A(128)6異常吞卡異常吞卡頻繁頻繁(32)較小較小(2)B(64)7無法正確識別銀行卡無法正確識別銀行卡很可能很可能(16)較小較小(2)B(32)8轉(zhuǎn)帳過程異常中止轉(zhuǎn)帳過程異常中止較少較少(4)較小較小(2)D(8)9修改密碼，新密碼無法預(yù)期修改密碼，新密碼無法預(yù)期很少很少(2)重大重大(4)D(8)10失效后，自動重啟不成功失效后，自動重啟不成功極少極少(1)重大重大(4)E(4)11交易明細清單顯示錯誤交易明細清單顯示錯誤很少很少(2)較小較小(2)E(4)FMEA

15、失效模式和影響分析(FMEA, Failure Mode and Effect Analysis)是一種用來確定潛在失效模式及其原因的方法 FMEA是自底向上的分析, 是“事前預(yù)防”, 不是“事后追悔” FMECA(失效模式影響及危害性分析, Failure Mode Effects and Criticality Analysis) FMEDA(失效模式影響和診斷分析, Failure Modes Effects and Diagnostic Analysis)FMEA目標(biāo) 確定在設(shè)計或者運行過程中需要特別關(guān)注哪些部件和采取哪些必要的措施 評定部件的關(guān)鍵性等級 確定某些部件的單點失效可能危害

16、、損壞系統(tǒng)或者使系統(tǒng)功能下降FMEA工作表序號序號部件部件功能功能失效失效模式模式失效失效原因原因系統(tǒng)所系統(tǒng)所受影響受影響失效率失效率OSDRPNFMEA一般工作流程定義系統(tǒng)及分析范圍構(gòu)建結(jié)構(gòu)圖, 將軟件分解為邏輯部件評估每個部件對系統(tǒng)的影響確定每個部件的潛在失效模式, 將失效模式填入失效模式列表評估每種失效模式的失效影響確定每種失效模式所有可能的原因, 識別單點失效分配失效率、發(fā)生頻度、嚴重性、可檢測性的量值, 計算風(fēng)險優(yōu)先數(shù)識別將開展、已開展、已實現(xiàn)的糾正活動FMEA分系統(tǒng)1分系統(tǒng)2分系統(tǒng)3子系統(tǒng)1a子系統(tǒng)1b子系統(tǒng)1c軟件配置項1c1軟件配置項1c2軟件配置項1c3部件 1c.3.1部件

17、1c.3.2部件1c.3.3單元1c.3.3.a單元1c.3.3.b單元1c.3.3.c總系統(tǒng)總系統(tǒng)FMEA 確定潛在失效模式頭腦風(fēng)暴頭腦風(fēng)暴SFRACAS根本原因分析根本原因分析缺陷分類缺陷分類市場調(diào)查市場調(diào)查技術(shù)支持維護信息技術(shù)支持維護信息客戶反饋客戶反饋安全保密脆弱性及威脅模式安全保密脆弱性及威脅模式對上一級別失效模式的分析對上一級別失效模式的分析FMEA發(fā)生頻度評估失效失效發(fā)生發(fā)生可能性可能性描述描述失效失效可能性可能性(每單元每單元)發(fā)生發(fā)生(O)頻度頻度非常高，幾乎不可避免1/2101/109高，反復(fù)失效1/10081/5007中等，偶爾失效1/100061/50005低，相當(dāng)少的

18、失效1/10,00041/50,0003很少，不太可能失效1/100,0002 1/500,0001FMEA嚴重性評估失效影響失效影響失效影響嚴重性失效影響嚴重性嚴重等級嚴重等級(S)危險，w/o 告警潛在的失效模式影響安全系統(tǒng)運行，且/或違背安全規(guī)范，且不提供任何告警信息10危險, w/ 告警潛在的失效模式影響安全系統(tǒng)運行，且/或違背安全規(guī)范，但提供告警信息9非常高系統(tǒng)不能運行，導(dǎo)致了主要功能喪失8高系統(tǒng)可以運行，但是造成了性能降級(用戶不滿意)7中等系統(tǒng)可以運行，但是造成了輔助/方便性功能的喪失6低系統(tǒng)可以運行，但是造成了輔助/方便性功能的降級5非常低對大部分用戶來講，是顯而易見的缺陷4少

19、對平均水平的用戶來講，是顯而易見的缺陷3非常少僅對具有鑒別力的用戶來講，是顯而易見的缺陷2沒有無影響1FMEA可檢測性評估檢測檢測能力能力通過通過設(shè)計控制設(shè)計控制裝置裝置發(fā)現(xiàn)發(fā)現(xiàn)的可能性的可能性可檢測性可檢測性(D)完全不確定控制裝置僅有1msDEFFTA叫醒太遲鬧鐘失敗鬧鐘失敗電話失效電話失效“生物鐘生物鐘”失靈失靈與門FTA發(fā)聲器失效發(fā)聲器失效按鈕失效按鈕失效鬧鐘失敗電子部件失效電子部件失效SW失效失效電源失效電源失效按鈕讀取失效按鈕讀取失效發(fā)聲器未設(shè)置發(fā)聲器未設(shè)置FTA起搏太慢時間基線故障獨特起搏率停工故障看門狗失效晶體失效軟件失效CPU硬件失效錯誤指令速率體內(nèi)數(shù)據(jù)損壞速率指令損壞CRC

20、硬件失效與與或或或FTA的量化應(yīng)用 確定頂事件(故障) 分解出導(dǎo)致頂事件發(fā)生的故障列表 考慮故障之間的關(guān)系, 順序/并行/組合 利用布爾代數(shù)量化帶有事件概率的故障樹數(shù) 確定頂事件的概率確定FTA中事件風(fēng)險等級 OR門連接的每個事件, 其風(fēng)險等級與它緊接著的上一級事件風(fēng)險等級相同 AND門連接的每個事件:與監(jiān)控功能與監(jiān)控功能(監(jiān)控其它功能監(jiān)控其它功能)相關(guān)連的事相關(guān)連的事件件, 風(fēng)險等級與緊接著的上一級事件的風(fēng)險等級與緊接著的上一級事件的風(fēng)險等級相同風(fēng)險等級相同與被其它功能監(jiān)控的功能相關(guān)連的事件與被其它功能監(jiān)控的功能相關(guān)連的事件, 風(fēng)險等級比緊接著的上一級事件的風(fēng)險風(fēng)險等級比緊接著的上一級事件的

21、風(fēng)險等級低一個級別等級低一個級別與監(jiān)控功能無關(guān)聯(lián)的事件與監(jiān)控功能無關(guān)聯(lián)的事件, 風(fēng)險等級與風(fēng)險等級與緊接著的上一級事件的風(fēng)險等級相同緊接著的上一級事件的風(fēng)險等級相同F(xiàn)TA FTA實例提要軟件可靠性與安全性分析技術(shù)基于分析結(jié)果的決策132基于失效分析結(jié)果的決策 軟件分級管理 需求決策及管理 軟件設(shè)計與實現(xiàn)決策 軟件驗證與確認決策 軟件配置管理決策 軟件文檔決策軟件分級管理軟件分級管理是風(fēng)險控制的手段, 應(yīng)依據(jù)軟件重要度等級對軟件的開發(fā)實施分級別管理在系統(tǒng)設(shè)計方案確定后, 應(yīng)根據(jù)軟件失效后對系統(tǒng)安全和功能的影響程度, 確定軟件重要度等級, 并文檔化軟件的等級應(yīng)與軟件失效的最嚴重等級匹配軟件重要度等

22、級應(yīng)得到審批軟件等級劃分舉例等級說明A 可能引起或?qū)е孪到y(tǒng)功能失效進而引起航空器災(zāi)可能引起或?qū)е孪到y(tǒng)功能失效進而引起航空器災(zāi)難性失效狀態(tài)的異常狀態(tài)的難性失效狀態(tài)的異常狀態(tài)的軟件。軟件。B 可能引起或?qū)е孪到y(tǒng)功能失效進而引起航空器?？赡芤鸹?qū)е孪到y(tǒng)功能失效進而引起航空器危險的險的/嚴重的失效狀態(tài)的異常狀態(tài)的嚴重的失效狀態(tài)的異常狀態(tài)的軟件。軟件。C 可能引起或?qū)е孪到y(tǒng)功能失效進而引起航空器較可能引起或?qū)е孪到y(tǒng)功能失效進而引起航空器較重失效狀態(tài)的異常狀態(tài)的重失效狀態(tài)的異常狀態(tài)的軟件。軟件。D可能引起或?qū)е孪到y(tǒng)功能失效進而引起航空器較可能引起或?qū)е孪到y(tǒng)功能失效進而引起航空器較輕失效狀態(tài)的異常狀態(tài)的輕失效狀態(tài)的異常狀態(tài)的軟件。軟件。E 可能引起或?qū)е孪到y(tǒng)功能失效的異常狀態(tài)的軟件可能引起或?qū)е孪到y(tǒng)功能失效的異常狀態(tài)的軟件。它它不會影響航空器的工作性能或駕駛員工作量不會影響航空器的工作性能或駕駛員工作量。軟件等級劃分舉例軟件安全完整性等級 描述 4非常高非常高 3高高 2中等中等 1低低 0非安全性非安全性需求決策及管理識別并標(biāo)識需求的屬性(關(guān)鍵/重要/一般), 在需求管理、可靠性工程中,