符合ISO26262標(biāo)準(zhǔn)的軟件測(cè)試解決處理方案

./符合ISO26262標(biāo)準(zhǔn)的軟件測(cè)試解決方案隨著汽車(chē)行業(yè)的迅速發(fā)展,汽車(chē)電子電器E/E系統(tǒng)在汽車(chē)中的作用不斷提高,ECU開(kāi)發(fā)所占用的時(shí)間和成本也越來(lái)越高。與此同時(shí),越來(lái)越多的電子控制系統(tǒng)〔例如車(chē)身穩(wěn)定控制系統(tǒng)ESP,防抱死制動(dòng)系統(tǒng)ABS,自適應(yīng)前照明系統(tǒng)AFS等具有與安全相關(guān)的功能,因此對(duì)ECU的安全要求也越來(lái)越高。為了減少產(chǎn)品的開(kāi)發(fā)時(shí)間和成本,降低由于安全問(wèn)題而導(dǎo)致的維護(hù)甚至召回的風(fēng)險(xiǎn),越來(lái)越多的整車(chē)廠和供應(yīng)商開(kāi)始重視汽車(chē)領(lǐng)域的功能安全問(wèn)題,ECU軟件功能安全的問(wèn)題也成為汽車(chē)行業(yè)迫切需要解決的問(wèn)題,車(chē)輛功能安全標(biāo)準(zhǔn)ISO26262就在這樣的環(huán)境和需求下應(yīng)運(yùn)而生,并于20XX11月正式發(fā)布第一版本,該標(biāo)準(zhǔn)是當(dāng)前汽車(chē)業(yè)中最流行、最復(fù)雜、也是最重要的一份標(biāo)準(zhǔn)。

ISO26262的目標(biāo)是通過(guò)避免汽車(chē)E/E系統(tǒng)故障行為可能導(dǎo)致的危害來(lái)提高E/E系統(tǒng)的功能安全。ISO26262采用車(chē)輛安全完整性等級(jí)〔ASIL來(lái)判斷系統(tǒng)的功能安全程度,ASIL由ASILA〔最低、ASILB、ASILC及ASILD〔最高四個(gè)等級(jí)組成,ASIL等級(jí)越高表示系統(tǒng)的功能安全評(píng)估越嚴(yán)格,相應(yīng)的表示系統(tǒng)正確執(zhí)行安全功能,或者說(shuō)的避免該功能出錯(cuò)的概率越高,即系統(tǒng)的安全可靠性越高。

ISO26262標(biāo)準(zhǔn)的組成架構(gòu)由十個(gè)規(guī)范和信息指導(dǎo)文件組成,其中ISO26262—4/5/6闡述的是系統(tǒng)級(jí)/硬件級(jí)/軟件級(jí)的產(chǎn)品開(kāi)發(fā),使用嵌套的V模型定義了每個(gè)開(kāi)發(fā)階段的過(guò)程以及相應(yīng)的工作產(chǎn)品。本解決方案主要闡明了在軟件級(jí)產(chǎn)品開(kāi)發(fā)階段如何去理解ISO26262的要求,并且指出了在實(shí)際的軟件開(kāi)發(fā)過(guò)程中如何結(jié)合ISO26262的軟件測(cè)試生命周期,通過(guò)包括軟件測(cè)試工作的執(zhí)行以及過(guò)程控制等方面來(lái)確保ECU軟件質(zhì)量滿足ISO26262軟件級(jí)功能安全相應(yīng)等級(jí)的要求?；赩模式的ISO26262軟件測(cè)試生命周期

如圖所示,基于V模式的ISO26262-6軟件測(cè)試生命周期可以劃分為五個(gè)階段：靜態(tài)分析需求和功能需求：在軟件級(jí)產(chǎn)品開(kāi)發(fā)初始化階段和軟件安全需求規(guī)范制定階段確定了一些基本的嵌入式軟件靜態(tài)分析需求和功能需求,這部分內(nèi)容是以后設(shè)計(jì)和測(cè)試的基礎(chǔ)；架構(gòu)驗(yàn)證：在軟件架構(gòu)設(shè)計(jì)階段,我們可以使用人工分析的方式來(lái)驗(yàn)證和測(cè)試軟件架構(gòu)層的內(nèi)容,但是有條件的話最好使用合適的架構(gòu)設(shè)計(jì)工具,在設(shè)計(jì)的過(guò)程中同時(shí)進(jìn)行架構(gòu)驗(yàn)證；靜態(tài)測(cè)試：在軟件單元設(shè)計(jì)和實(shí)現(xiàn)階段同時(shí)進(jìn)行靜態(tài)測(cè)試,可以使用開(kāi)發(fā)輔助工具來(lái)進(jìn)行靜態(tài)測(cè)試,這樣不必因?yàn)殪o態(tài)測(cè)試的活動(dòng)而改變開(kāi)發(fā)流程。動(dòng)態(tài)測(cè)試：在軟件單元測(cè)試階段以及軟件集成和測(cè)試階段,使用合適的動(dòng)態(tài)測(cè)試工具進(jìn)行動(dòng)態(tài)單元和集成測(cè)試,功能驗(yàn)證：在軟件安全需求驗(yàn)證階段,要根據(jù)ISO26262-6的要求進(jìn)行功能驗(yàn)證,包括進(jìn)行ECU網(wǎng)絡(luò)環(huán)境測(cè)試和實(shí)車(chē)測(cè)試,必要的時(shí)候進(jìn)行HIL測(cè)試。

因?yàn)樵陟o態(tài)分析需求中所需要滿足的方法基本上都是屬于靜態(tài)測(cè)試的范疇的,因此我們以ASILA為例,將軟件測(cè)試內(nèi)容分為靜態(tài)測(cè)試、動(dòng)態(tài)測(cè)試和功能驗(yàn)證三部分〔注：架構(gòu)驗(yàn)證暫時(shí)未包含在內(nèi),見(jiàn)下表。

表中所列舉的靜態(tài)測(cè)試內(nèi)容里面要求采取多種的測(cè)試方法,例如‘低復(fù)雜度的強(qiáng)制要求’一般需要通過(guò)滿足一定的度量指標(biāo)來(lái)實(shí)現(xiàn),度量指標(biāo)包括圈復(fù)雜度、嵌套深度等等,而‘使用語(yǔ)言的子集’在汽車(chē)行業(yè)一般選擇MISRA-C,通過(guò)強(qiáng)制使用編碼規(guī)范來(lái)排除未定義行為或者實(shí)現(xiàn)定義行為等危險(xiǎn)用法,除此之外靜態(tài)測(cè)試還要求一些其他的測(cè)試方法,例如如果要滿足更高的安全完整性等級(jí)的話,靜態(tài)測(cè)試內(nèi)容還需要包括運(yùn)行時(shí)錯(cuò)誤檢測(cè)等,一般需要使用可靠性測(cè)試性的測(cè)試。

ASILA所要求的動(dòng)態(tài)測(cè)試要求能夠基于需求分析和設(shè)計(jì)測(cè)試用例,因此需要在開(kāi)發(fā)過(guò)程中提供對(duì)需求管理的支持,同時(shí)要求能夠針對(duì)函數(shù)或模塊提供覆蓋度分析等。如果是更高等級(jí)的ASIL的話可能還需要進(jìn)行不同環(huán)境的測(cè)試,例如模型在環(huán)測(cè)試〔MIL和軟件在環(huán)測(cè)試〔SIL,并在必要的情況下進(jìn)行MIL和SIL的對(duì)比測(cè)試。

軟件安全需求的測(cè)試環(huán)境需要根據(jù)ASIL等級(jí)來(lái)進(jìn)行選取,并且至少要在一個(gè)以上不同環(huán)境內(nèi)執(zhí)行測(cè)試。ASILA所要求的ECU網(wǎng)絡(luò)測(cè)試包括了網(wǎng)絡(luò)中各ECU之間的相互作用,目的是確保ECU之間沒(méi)有引起功能故障的相互干擾,而實(shí)車(chē)測(cè)試則是在真正的ECU軟件運(yùn)行環(huán)境中進(jìn)行測(cè)試的方式,根據(jù)功能安全需求規(guī)范來(lái)進(jìn)行,可以最直觀地反映出ECU軟件是否能夠滿足定義的功能安全需求。當(dāng)然在必要的時(shí)候還需要進(jìn)行硬件在環(huán)測(cè)試〔HIL,通過(guò)仿真控制系統(tǒng)中傳感器和執(zhí)行器的硬件<Hardware>電氣特性,為嵌入式控制器構(gòu)建起一個(gè)控制回路<Loop>,從而可以方便的在其中模擬被控對(duì)象的工作環(huán)境,對(duì)ECU的算法進(jìn)行功能驗(yàn)證和測(cè)試。

針對(duì)前面劃分的ISO26262所關(guān)注的靜態(tài)測(cè)試、動(dòng)態(tài)測(cè)試和功能驗(yàn)證的要求,下面我們就來(lái)看一下解決方案中如何來(lái)滿足這些需求。符合ISO26262標(biāo)準(zhǔn)的靜態(tài)測(cè)試在靜態(tài)測(cè)試中,靜態(tài)分析主要包括規(guī)則檢測(cè)和質(zhì)量度量；可靠性測(cè)試主要進(jìn)行運(yùn)行時(shí)錯(cuò)誤的檢測(cè)。

上面提到ASILA中針對(duì)編碼準(zhǔn)則的需求以及其他ASIL等級(jí)所強(qiáng)烈推薦的例如使用風(fēng)格指南等需求都是不需要運(yùn)行源程序來(lái)檢測(cè),因此都屬于靜態(tài)分析的范疇,雖然這些需求也可以通過(guò)人工檢查的方式實(shí)現(xiàn),但一個(gè)好的靜態(tài)分析工具幾乎可以自動(dòng)化地執(zhí)行表1中所有的要求,通過(guò)靜態(tài)分析工具來(lái)幫助我們檢查和滿足這些規(guī)定可以明顯地幫助組織更有效率地實(shí)現(xiàn)ISO26262靜態(tài)分析的相關(guān)需求。針對(duì)靜態(tài)分析的需求,我們提供DAC這樣一個(gè)工具,它的主要功能包括：可以自動(dòng)化地地執(zhí)行C代碼及匯編代碼的靜態(tài)分析,支持包括MISRA-C1998和2004的規(guī)則檢測(cè)；提供項(xiàng)目、文件和函數(shù)質(zhì)量度量；提供方便快捷的代碼結(jié)構(gòu)生成,高亮顯示代碼結(jié)構(gòu)并生成報(bào)告文檔等。

在靜態(tài)測(cè)試中,除了規(guī)則檢測(cè)和質(zhì)量度量以外,還有一類(lèi)錯(cuò)誤我們稱之為運(yùn)行時(shí)錯(cuò)誤,例如數(shù)組越界、標(biāo)量溢出等。運(yùn)行時(shí)錯(cuò)誤顧名思義是程序運(yùn)行的時(shí)候才會(huì)出現(xiàn)的錯(cuò)誤,針對(duì)這樣的錯(cuò)誤,使用傳統(tǒng)的測(cè)試方式只有在動(dòng)態(tài)地運(yùn)行測(cè)試用例的時(shí)候才有可能發(fā)現(xiàn),但是現(xiàn)在的測(cè)試工具可以使用先進(jìn)的代碼分析技術(shù),不需要真正去執(zhí)行源代碼,而是使用數(shù)學(xué)方法分析源代碼,發(fā)現(xiàn)代碼中在運(yùn)行的時(shí)候可能會(huì)出現(xiàn)錯(cuò)誤的地方,從而實(shí)現(xiàn)通過(guò)靜態(tài)測(cè)試的方式來(lái)達(dá)到一定的動(dòng)態(tài)測(cè)試的效果。因?yàn)檫\(yùn)行時(shí)錯(cuò)誤會(huì)直接影響的程序執(zhí)行的可靠性,所以針對(duì)這類(lèi)錯(cuò)誤的測(cè)試我們也可以稱之為可靠性測(cè)試。

針對(duì)可靠性測(cè)試的需求,我們提供澳大利亞的一個(gè)運(yùn)行時(shí)錯(cuò)誤監(jiān)測(cè)工具Goanna。其模型檢測(cè)技術(shù)可以對(duì)所有函數(shù)提供高效的路徑覆蓋,檢查超過(guò)90種運(yùn)行時(shí)錯(cuò)誤,包括空指針引用、危險(xiǎn)的指針運(yùn)算、未初始化/未使用變量、冗余/不需要的代碼、除零、內(nèi)存泄露、緩沖區(qū)溢出、釋放后使用、不一致的釋放、濫用的虛擬成員調(diào)用、算術(shù)錯(cuò)誤、32/64位兼容性等。符合ISO26262標(biāo)準(zhǔn)的軟件代碼SIL測(cè)試在準(zhǔn)備和設(shè)計(jì)階段,大部分都是屬于靜態(tài)測(cè)試的工作,它在確認(rèn)設(shè)計(jì)或?qū)崿F(xiàn)的不足時(shí)非常高效,但它不能證明功能正確。而依ISO26262-6標(biāo)準(zhǔn)開(kāi)發(fā)的軟件根據(jù)需達(dá)到的車(chē)輛安全完整性等級(jí)〔ASIL不同,還需要經(jīng)過(guò)各種動(dòng)態(tài)測(cè)試,動(dòng)態(tài)測(cè)試可以驗(yàn)證軟件功能,因此是對(duì)靜態(tài)測(cè)試的有效補(bǔ)充。

以前的動(dòng)態(tài)測(cè)試大部分是通過(guò)人工的方式實(shí)現(xiàn),但是由于動(dòng)態(tài)測(cè)試巨大的工作量,以及測(cè)試用例難以重用,測(cè)試覆蓋率無(wú)法計(jì)算的困難,因此在測(cè)試解決方案中還是需要選擇合適的動(dòng)態(tài)測(cè)試工具來(lái)執(zhí)行軟件單元測(cè)試。又因?yàn)镮SO26262對(duì)需求和測(cè)試有可追溯性的要求,所以最好測(cè)試工具可以和相關(guān)需求管理工具集成,例如能夠從需求管理工具中將需求導(dǎo)入,再將測(cè)試用例和需求鏈接起來(lái),并且實(shí)現(xiàn)數(shù)據(jù)的雙向同步。

針對(duì)軟件代碼SIL測(cè)試,我們提供德國(guó)的代碼級(jí)動(dòng)態(tài)測(cè)試工具Tessy。它的基本功能包括：全自動(dòng)地測(cè)試執(zhí)行和評(píng)估；多種方式確定測(cè)試用例；基于需求的測(cè)試跟蹤；不需要用戶介入的回歸測(cè)試；代碼覆蓋率；自動(dòng)生成測(cè)試報(bào)告等。

在Tessy中,測(cè)試用例的設(shè)計(jì)不僅可以基于需求覆蓋來(lái)進(jìn)行,包括進(jìn)行需求管理、需求跟蹤、需求覆蓋度統(tǒng)計(jì)等,也可以基于代碼覆蓋進(jìn)行測(cè)試用例設(shè)計(jì),并且非常方便地達(dá)到MC/DC覆蓋的等級(jí)。符合ISO26262標(biāo)準(zhǔn)的MIL測(cè)試在汽車(chē)領(lǐng)域的嵌入式控制系統(tǒng)開(kāi)發(fā)中,基于模型的開(kāi)發(fā)<Model-BasedDevelopment>的設(shè)計(jì)方法以其直觀、快速、高效等優(yōu)勢(shì)已經(jīng)得到廣泛的應(yīng)用。但是由于系統(tǒng)的復(fù)雜性,建立起來(lái)的仿真模型也越來(lái)越復(fù)雜,根據(jù)自動(dòng)生成代碼的測(cè)試結(jié)果再來(lái)改進(jìn)模型的測(cè)試方式也變得越來(lái)越困難,并且根據(jù)ISO26262標(biāo)準(zhǔn)ASILC和D的要求,必須對(duì)模型和對(duì)應(yīng)的代碼分別進(jìn)行單元測(cè)試并且比較結(jié)果,因此,如果是使用模型自動(dòng)生成代碼的設(shè)計(jì)方式的話,我們需要在建立了仿真模型之后就對(duì)模型進(jìn)行測(cè)試,在確保模型功能正確的基礎(chǔ)之上來(lái)自動(dòng)生成代碼再進(jìn)行代碼測(cè)試。

針對(duì)MIL測(cè)試,我們提供德國(guó)的分時(shí)段測(cè)試工具TPT,實(shí)現(xiàn)對(duì)控制系統(tǒng)以及閉環(huán)控制系統(tǒng)模型的MIL測(cè)試。TPT軟件由于首創(chuàng)地使用分時(shí)段測(cè)試〔TimePartitionTesting,使得控制系統(tǒng)的軟件測(cè)試技術(shù)得以極大提升；同時(shí)由于TPT軟件支持眾多業(yè)內(nèi)主流的工具平臺(tái)和測(cè)試環(huán)境,能夠更好地利用客戶已有的投資,實(shí)現(xiàn)各種異構(gòu)環(huán)境下的自動(dòng)化測(cè)試；針對(duì)MATLAB/Simulink/Stateflow以及TargetLink,TPT專門(mén)設(shè)計(jì)了完美的接口構(gòu)建功能模型,然后在TPT中創(chuàng)建測(cè)試用例模型,通過(guò)TPT的MATLAB接口保證測(cè)試的高效率執(zhí)行。提供了全方位的支持進(jìn)行模型測(cè)試。同時(shí),在TPT中可以滿足ISO26262基于功能設(shè)計(jì)測(cè)試用例的需求,包括分析建立場(chǎng)景、定義測(cè)試用例組件、確定場(chǎng)景組合、生成測(cè)試用例等。符合ISO26262標(biāo)準(zhǔn)的網(wǎng)絡(luò)測(cè)試和HIL測(cè)試不論是AUTOSAR還是OSEK,都把網(wǎng)絡(luò)作為整個(gè)軟件結(jié)構(gòu)的基礎(chǔ),因此對(duì)網(wǎng)絡(luò)的驗(yàn)證放在功能驗(yàn)證之前進(jìn)行,ISO26262也在最低功能安全等級(jí)ASILA里面就提出了網(wǎng)絡(luò)環(huán)境測(cè)試的需求。

網(wǎng)絡(luò)測(cè)試是功能測(cè)試的基礎(chǔ),在上面有應(yīng)用層的時(shí)候,在做應(yīng)用層驗(yàn)證之前,先進(jìn)行網(wǎng)絡(luò)驗(yàn)證。

現(xiàn)在網(wǎng)絡(luò)已經(jīng)越來(lái)越復(fù)雜,CAN、LIN,一般都有三四十個(gè)節(jié)點(diǎn),汽車(chē)?yán)锩嬗泻芏嗫偩€的環(huán)境,最底下是物理層〔CAN-驅(qū)動(dòng),在CAN的物理層之上有很多應(yīng)用層的協(xié)議棧,利用Vector的HIL測(cè)試系統(tǒng)——VT,再基于Vector另一個(gè)工具CANoe的優(yōu)勢(shì)可以很好的進(jìn)行協(xié)議棧的仿真,實(shí)現(xiàn)網(wǎng)絡(luò)測(cè)試的需求。

HIL測(cè)試一般可以分為兩種情況,一是基于真實(shí)負(fù)載的測(cè)試,另一種是在極端情況下或者說(shuō)在自動(dòng)化環(huán)境下更常用的是實(shí)用方針負(fù)載進(jìn)行測(cè)試。不論是真實(shí)負(fù)載還是仿真負(fù)載,最重要的一點(diǎn)就是構(gòu)建自動(dòng)化的仿真環(huán)境出來(lái),Vector的VT系統(tǒng)能夠提供模塊化的測(cè)試接口設(shè)備,為供電環(huán)境、總線接口、傳感器激勵(lì)和仿真負(fù)載等提供相應(yīng)的模塊來(lái)搭建測(cè)試環(huán)境。CANoe基于它先天的網(wǎng)路仿真的測(cè)試功能,再加上VT系統(tǒng)可以幫助我們簡(jiǎn)化測(cè)試平臺(tái)的搭建以及測(cè)試執(zhí)行的過(guò)程,并將測(cè)試能力擴(kuò)展到HIL和功能測(cè)試。符合ISO26262標(biāo)準(zhǔn)的實(shí)車(chē)測(cè)試不論是代碼測(cè)試、模型測(cè)試還是網(wǎng)絡(luò)測(cè)試或者HIL測(cè)試,基本都是偏研發(fā)的測(cè)試,除此之外在研發(fā)后期還需要實(shí)車(chē)測(cè)試。傳統(tǒng)實(shí)車(chē)測(cè)試需要專門(mén)駕駛員和一些測(cè)試人員到現(xiàn)場(chǎng)進(jìn)行測(cè)試并采集數(shù)據(jù),而現(xiàn)在比較流行的遠(yuǎn)程測(cè)試則是通過(guò)在車(chē)上加裝一些遠(yuǎn)程監(jiān)控設(shè)備,將測(cè)試系統(tǒng)在測(cè)試過(guò)程中產(chǎn)生的數(shù)據(jù)通過(guò)遠(yuǎn)程傳輸?shù)姆绞桨l(fā)送到數(shù)據(jù)后臺(tái),并且在測(cè)試過(guò)程中不僅可以記錄測(cè)試數(shù)據(jù),還能根據(jù)測(cè)試的要求遠(yuǎn)程下載測(cè)試任務(wù),例如更新需要采集的數(shù)據(jù)等,我們提供的德國(guó)CarMediaLab公司的產(chǎn)品Flea就可以實(shí)現(xiàn)這種功能。車(chē)輛實(shí)時(shí)采集的數(shù)據(jù)主要是總線信息,需要在分析過(guò)程中和工況結(jié)合起來(lái),而在進(jìn)行離線分析時(shí)還可以與TPT結(jié)合起來(lái)。北匯信息能夠提供的服務(wù)和技術(shù)支持上海北匯信息科技有限公司在汽車(chē)行業(yè)具有豐富的嵌入式軟件開(kāi)發(fā)和測(cè)試的經(jīng)驗(yàn),對(duì)于ISO26262標(biāo)準(zhǔn)中過(guò)程控制和測(cè)試相關(guān)內(nèi)容有深刻理解和實(shí)踐經(jīng)驗(yàn)。北匯信息可以為客戶提供ISO26262標(biāo)準(zhǔn)的培訓(xùn),幫助客戶理解標(biāo)準(zhǔn)；并且與合作伙伴一起,提供ISO26262標(biāo)準(zhǔn)的實(shí)施咨詢服務(wù),真正在客戶具體的項(xiàng)目中幫助客戶全流程滿足ISO26262標(biāo)準(zhǔn)；在軟件測(cè)試方面,提供了完整的軟件測(cè)試工具鏈,并提供相應(yīng)的技術(shù)支持和服務(wù)。以滿足ISO26262軟件級(jí)測(cè)試需求為例,北匯信息可以根據(jù)客戶嵌入式軟件開(kāi)發(fā)和測(cè)試的業(yè)務(wù)現(xiàn)狀以及客戶現(xiàn)有或者將要有的嵌入式軟件測(cè)試工具,針對(duì)汽車(chē)行業(yè)道路車(chē)輛功能安全標(biāo)準(zhǔn)ISO26262軟件級(jí)測(cè)試的要求構(gòu)建嵌入式軟件測(cè)試解決方案。針對(duì)ISO26262的嵌入式軟件測(cè)試解決方案的本質(zhì)是從嵌入式軟件功能安全的角度來(lái)支持公司嵌入式軟件開(kāi)發(fā)項(xiàng)目的開(kāi)展,不僅要分析ISO26262對(duì)于嵌入式軟件測(cè)試的需求,針對(duì)需求搭建相應(yīng)的軟件測(cè)試工具鏈,實(shí)現(xiàn)對(duì)于測(cè)試需求的滿足和覆蓋,同時(shí)必須制定相關(guān)軟件測(cè)試的流程和測(cè)試模板,從而保證各階段測(cè)試的有序進(jìn)行以及能夠產(chǎn)生相應(yīng)的工作產(chǎn)品。

主要分為以下五部分的內(nèi)容：

1、現(xiàn)狀/需求調(diào)研：通過(guò)前期現(xiàn)狀調(diào)研,了解客戶當(dāng)前嵌入式軟件測(cè)試狀況和需求,對(duì)當(dāng)前工程過(guò)程和ISO26262軟件級(jí)開(kāi)發(fā)測(cè)試要求