基于DO-178B的民用飛機(jī)空氣管理系統(tǒng)綜合控制器機(jī)載軟件設(shè)計階段評審綜述

1、    基于do178b的民用飛機(jī)空氣管理系統(tǒng)綜合控制器機(jī)載軟件設(shè)計階段評審綜述    奚海燕+韓興光+薛戰(zhàn)東【摘 要】本文首先介紹民用飛機(jī)機(jī)載軟件的適航認(rèn)證標(biāo)準(zhǔn)do-178b；其次介紹了一套空氣管理系統(tǒng)及其控制器機(jī)載軟件，并以這套機(jī)載軟件研制過程中的設(shè)計階段數(shù)據(jù)為例，描述了軟件設(shè)計數(shù)據(jù)的評審過程，總結(jié)了評審的重點及難點；最后對目前軟件適航評審技術(shù)進(jìn)行了總結(jié)及展望?！娟P(guān)鍵詞】適航認(rèn)證標(biāo)準(zhǔn)；空氣管理系統(tǒng)；機(jī)載軟件；do-178b；設(shè)計階段評審1 適航認(rèn)證標(biāo)準(zhǔn)do-178b飛機(jī)和汽車都是重要的交通工具，但從它們的安全性要求來說，有著很大的不同。汽車發(fā)生碰撞和

2、故障時，人存活的概率比較大；一旦飛機(jī)發(fā)生碰撞和故障，存活的概率則幾乎為零。因此，飛機(jī)研制過程中對安全性的要求比汽車高很多。我們可以簡單地把飛機(jī)分成兩類：軍用飛機(jī)和民用飛機(jī)。每個國家對軍用飛機(jī)的研制都有自己的標(biāo)準(zhǔn)和質(zhì)量監(jiān)督體系；但對于民用飛機(jī)來說，由于一個國家研制的飛機(jī)會飛到其他國家去，這就要求有一個能夠被國際普遍認(rèn)可的標(biāo)準(zhǔn)和質(zhì)量體系來保證飛機(jī)的安全。具體來說，飛機(jī)通常需要通過4個認(rèn)證以后才可真正投入運營：也即定型認(rèn)證（type certificate）、生產(chǎn)認(rèn)證（production certificate）、適航認(rèn)證（airworthiness certificate）和運營認(rèn)證（opera

3、tional certificate）。而do-178b標(biāo)準(zhǔn)則是對機(jī)載軟件進(jìn)行適航認(rèn)證時適用的標(biāo)準(zhǔn)，是整個民航標(biāo)準(zhǔn)體系中比較重要的一個標(biāo)準(zhǔn)。do-178b首先依據(jù)軟件失效條件確定了軟件設(shè)計保證等級，而失效條件是按照對飛機(jī)、機(jī)組和乘客的影響來分類的，按嚴(yán)重程度可分為如下5級，軟件級別和do-178b附表a中目標(biāo)的對應(yīng)關(guān)系如表1所示。同時，do-178b定義了如圖1所示的軟件研制過程：do-178b中第11章節(jié)規(guī)定了以上研制過程對應(yīng)的生命周期數(shù)據(jù)。2 空氣管理系統(tǒng)及其控制器機(jī)載軟件描述本文論述的一套民用飛機(jī)空氣管理系統(tǒng)系統(tǒng)主要由空調(diào)系統(tǒng)、氣源系統(tǒng)、機(jī)翼防冰系統(tǒng)組成。系統(tǒng)主要采用發(fā)動機(jī)供氣（地面采用

4、 apu或氣源車供氣），經(jīng)氣源系統(tǒng)調(diào)節(jié)，將滿足溫度、壓力要求的空氣提供給空調(diào)系統(tǒng)的左右制冷組件中或機(jī)翼防冰系統(tǒng)；空調(diào)系統(tǒng)對座艙內(nèi)的空氣流量、溫度及壓力進(jìn)行調(diào)節(jié)，為乘員提供安全、舒適的壓力環(huán)境；同時機(jī)翼防冰系統(tǒng)利用氣源引來的熱空氣為飛機(jī)機(jī)翼進(jìn)行加熱防冰。通常來說，為了實現(xiàn)會對空氣管理各子系統(tǒng)功能進(jìn)行集成控制，并考慮冗余備份，系統(tǒng)會設(shè)置兩個控制器?？刂破骷軜?gòu)如圖2所示，有如下特點：a）每個控制器有兩個控制通道，即通道a和通道b；b）控制通道間相互隔離并安裝相同的軟件；c）安全通道與通道a/b獨立非相似；d）控制器的各通道獨立供電；e）兩個控制器通過針腳編程進(jìn)行區(qū)分。3 控制器機(jī)載軟件設(shè)計階段評審過

5、程3.1 軟件設(shè)計階段評審依據(jù)機(jī)載軟件設(shè)計階段評審的目的通過檢查生命周期數(shù)據(jù)評估其對計劃和標(biāo)準(zhǔn)的符合性；評估計劃文件更改；評估生命周期數(shù)據(jù)對do-178b附表a表a-2、a-3、a-4、a-5、a-8、a-9、a-10中目標(biāo)的符合性。3.2 軟件設(shè)計階段評審對象控制器機(jī)載軟件在其研發(fā)過程的設(shè)計階段相繼產(chǎn)生一系列生命周期數(shù)據(jù)，主要包括軟件的高級別需求、低級別需求、軟件源代碼以及他們之間的追溯矩陣，軟件需求確認(rèn)記錄、軟件構(gòu)型記錄、軟件評審記錄、軟件問題報告記錄以及前期評審遺留的開口項等。系統(tǒng)供應(yīng)商需將這些數(shù)據(jù)提交給主機(jī)廠做評審。軟件的設(shè)計階段的審查數(shù)據(jù)項與do-178b的對應(yīng)關(guān)系如表2所示。3.3

6、 軟件設(shè)計階段評審過程主機(jī)廠的評審工作由評審委員會發(fā)起，評審人員主要涉及項目經(jīng)理、系統(tǒng)工程師、軟硬件工程師以及質(zhì)量和適航負(fù)責(zé)人等。評審?fù)ǔＭㄟ^抽樣的方法展開，評審過程大約需要2-3天時間，評審的主要活動包括：a）評審軟件高級別需求以及衍生的高級別需求對系統(tǒng)需求的追溯性，評估其對對do-178b附表a中a-3表的符合性；b）評審軟件低級別需求對do-178b附表a表a-4的符合性；c）評審軟件架構(gòu)，包括軟件分區(qū)、內(nèi)存管理、供電管理、中斷和保護(hù)機(jī)制、數(shù)據(jù)流、接口、兼容性以及通訊機(jī)制等，并評估其對do-178b附表a中a-4表的符合性；d）評審軟件代碼對do-178b附表a中a-5表的符合性；e）評

7、估軟件的設(shè)計階段生命周期數(shù)據(jù)對do-178b第6章和第11章適用章節(jié)的符合性；f）評估軟件構(gòu)型管理過程和問題報告對do-178b附表a中a-8表的符合性；g）評估軟件質(zhì)量保證過程對do-178b附表a中a-9表的符合性；h）評估軟件開發(fā)的進(jìn)度安排、資源配置、項目狀態(tài)和項目風(fēng)險；3.4 軟件設(shè)計階段評審輸出軟件設(shè)計階段評審結(jié)束后的輸出包括：a）主機(jī)廠評審軟件計劃階段評審遺留行動項關(guān)閉情況；b）主機(jī)廠評審供應(yīng)商提交軟件設(shè)計過程的生命周期數(shù)據(jù)并形成評審記錄；c）基于整個評審活動的情況，完成控制器機(jī)載軟件設(shè)計階段評審總結(jié)報告。評審報告內(nèi)容包括評審目的，材料和活動，并闡述對do-178b的符合性，列出評

8、審活動中所有行動項目及完成期限，給出評審的結(jié)論。4 控制器機(jī)載軟件設(shè)計階段審查難點和重點4.1 軟件需求抽樣軟件涉及到氣源系統(tǒng)、機(jī)翼防冰系統(tǒng)、空調(diào)系統(tǒng)等多個子系統(tǒng)的控制功能，需求抽樣應(yīng)依據(jù)各子系統(tǒng)主要功能、接口以及安全性展開，因而需要熟悉系統(tǒng)功能，才能提煉出用于抽樣的核心需求。 4.2 軟件分區(qū)設(shè)計軟件分區(qū)設(shè)計通常包括時間分區(qū)和空間分區(qū)，在空間分區(qū)的設(shè)計上，需要重點審查其數(shù)據(jù)流的保護(hù)方法，不同等級軟件間的數(shù)據(jù)隔離；在時間分區(qū)的設(shè)計上，需要重點審查再超限，時序沖突，時間間隔測量故障，中斷抑制等方面的實時處理機(jī)制。4.3 工具的使用為了減少勞動量，降低開發(fā)成本，同時減少人為引入的錯誤，越來越多的工

9、具被引入到軟件設(shè)計過程中。而工具的研制相對于軟件設(shè)計過程是獨立的，同時工具的錯誤可能通過其重復(fù)使用而放大。軟件設(shè)計過程中使用已鑒定的工具需關(guān)注其工具鑒定計劃和工具鑒定數(shù)據(jù)。5 總結(jié)及展望do-178b是面向過程的，同時也是面向目標(biāo)的，它的穩(wěn)定性使這項標(biāo)準(zhǔn)至今已使用了25年。但是，歷史的車輪在飛轉(zhuǎn)，軟件的技術(shù)在發(fā)展，由于以下兩個方面的原因，do-178b還需要繼續(xù)修訂：a）目標(biāo)僅僅是“相對穩(wěn)定”的，它不可能是“永恒穩(wěn)定”的。軟件開發(fā)的新技術(shù)層出不窮，有些技術(shù)的出現(xiàn)使得實現(xiàn)這些目標(biāo)變得更加容易，這保證了目標(biāo)的“相對穩(wěn)定”；而有些技術(shù)的出現(xiàn)則使得某些目標(biāo)不再適用，這使得目標(biāo)不可能“永恒穩(wěn)定”，比如面

10、向?qū)ο蟮募夹g(shù)和基于模型的開發(fā)和驗證，而do-178b缺乏這些新方法相應(yīng)的評審的標(biāo)準(zhǔn)。b）do-178b對“面向目標(biāo)”的原則還貫徹得不夠徹底。do-178b中所定義的66個目標(biāo)中，有少量的目標(biāo)并不是真正的“目標(biāo)”，而是“技術(shù)”，比如目標(biāo)中關(guān)于mc/dc覆蓋、判斷覆蓋、語句覆蓋等。這些“技術(shù)”以“目標(biāo)”的形式出現(xiàn)在標(biāo)準(zhǔn)里，降低了do-178b標(biāo)準(zhǔn)的穩(wěn)定性。為了彌補(bǔ)這些缺陷，在保持現(xiàn)有的“面向目標(biāo)”原則不變和核心內(nèi)容基本保持穩(wěn)定，只有少量改動的原則下，聯(lián)合工作組籌備制訂了的do-178c及其補(bǔ)充 。do-178c及其補(bǔ)充文檔重點增加了面向?qū)ο蟮募夹g(shù)、基于模型的開發(fā)和形式化方法的評審標(biāo)準(zhǔn)，并替換或增訂了do-178b中不再