軟件安全性分析中故障樹(shù)方法的應(yīng)用

1、.軟件安全性分析中故障樹(shù)方法的應(yīng)用摘要：故障樹(shù)分析法（FTA）是硬件可靠性、安全性分析的傳統(tǒng)技術(shù)工具20世紀(jì)80年代，軟件的可靠性和安全性開(kāi)始成為科技界關(guān)注的課題，為了適應(yīng)軟件安全性分析的需要，故障樹(shù) .關(guān)鍵詞：分析類(lèi)別：專(zhuān)題技術(shù)來(lái)源：牛檔搜索（Niudown.COM）本文系牛檔搜索（Niudown.COM）根據(jù)用戶(hù)的指令自動(dòng)搜索的結(jié)果，文中內(nèi)涉及到的資料均來(lái)自互聯(lián)網(wǎng)，用于學(xué)習(xí)交流經(jīng)驗(yàn)，作品其著作權(quán)歸原作者所有。不代表牛檔搜索（Niudown.COM）贊成本文的內(nèi)容或立場(chǎng)，牛檔搜索（Niudown.COM）不對(duì)其付相應(yīng)的法律責(zé)任！;軟件安全性分析中故障樹(shù)方法的應(yīng)用 故障樹(shù)分析法（FTA）是硬件

2、可靠性、安全性分析的傳統(tǒng)技術(shù)工具20世紀(jì)80年代，軟件的可靠性和安全性 開(kāi)始成為科技界關(guān)注的課題，為了適應(yīng)軟件安全性分析的需要，故障樹(shù)分析法被移植到軟件這個(gè)新領(lǐng)域.。經(jīng)過(guò)20年不斷的應(yīng)用和創(chuàng)新，現(xiàn)在軟件故障樹(shù)分析已經(jīng)成為軟件安全性分析的重要手段并簡(jiǎn)稱(chēng)為SFTA軟件故障樹(shù) 分析極具應(yīng)用潛力，在軟件開(kāi)發(fā)的早期，可以用故障樹(shù)分析來(lái)確定軟件的安全要求，進(jìn)入概要設(shè)計(jì)、詳細(xì)設(shè)計(jì)設(shè)計(jì)和實(shí)現(xiàn)階段，可以對(duì)故障樹(shù)加以擴(kuò)充，繼續(xù)進(jìn)行更深入的分析故障樹(shù)分析法對(duì)于硬一軟件復(fù)合系統(tǒng)的安全性分析尤為有效，分析人員可用它分析程序產(chǎn)生安全事故的各種原因，分析系統(tǒng)任何部分發(fā)生的失效，分析硬件、軟件和操作員的失誤，并可以識(shí)別潛在的

3、、復(fù)雜的失效模式。SFTA涉及的內(nèi)容十分豐富，受篇幅限制，本篇文章介紹的是SFTA的基本框架和方法。  1  故障樹(shù)的邏輯關(guān)系 a.  邏輯"或門(mén)"設(shè)x1, x2 表示兩個(gè)不同的事件，如果兩個(gè)事件中至少有一個(gè)事件發(fā)生便能導(dǎo)致另一個(gè)事件x3發(fā)生，則稱(chēng)這種關(guān)系為邏輯"或門(mén)"關(guān)系，相應(yīng)的布爾代數(shù)式為 ( 1 ) 其邏輯圖見(jiàn)圖1 b.邏輯"與門(mén)"事件x1和x2必須同時(shí)發(fā)生，x3才能發(fā)生，這種關(guān)系稱(chēng)為邏輯"與門(mén)"關(guān)系，相應(yīng)的布爾代數(shù)式為  (2)  其邏輯圖見(jiàn)圖2&

4、#160;    c.  邏輯否定 邏輯否定表示同原命題相反，用x1 表示事件發(fā)生，則其相反命題"事件不發(fā)生"用x1 表示，在分析邏輯否定關(guān)系時(shí)經(jīng)常用到德莫根定理 (3)  (4)進(jìn)行故障樹(shù)分析需要繪制故障樹(shù)圖故障樹(shù)圖類(lèi)似于一棵倒立的樹(shù)樹(shù)的根部位于圖的上方，代表需要分析的危險(xiǎn)事件（或關(guān)鍵性失效）事件，從頂向下再層層衍生出許多分支，形成了若干的分支點(diǎn)，這些分支點(diǎn)代表了危險(xiǎn)事件形成過(guò)程中的中間事件，分支的終點(diǎn)，類(lèi)似于樹(shù)葉，代表了可能導(dǎo)致危險(xiǎn)事件發(fā)生的基本事件為適應(yīng)繪制故障樹(shù)圖的需要，在故障樹(shù)分析法發(fā)展過(guò)程中，形成了一套可靠性工程

5、界公認(rèn)的圖形符號(hào)標(biāo)志軟件的故障樹(shù)分析法的思路與硬件故障樹(shù)分析法基本相同，因此這套源于硬件故障分析的圖形符號(hào)，也為軟件分析所采用感興趣的讀者可從各種硬件FTA的資料中找到，本文不再贅述。 2 危險(xiǎn)分析 危險(xiǎn)分析是進(jìn)行系統(tǒng)安全分析必須采取的第一個(gè)步驟，也是故障樹(shù)賴(lài)以建立的必要前提危險(xiǎn)分析的目的是確定系統(tǒng)可能出現(xiàn)的各種不安全狀態(tài)（或關(guān)鍵性失效狀態(tài)），從安全的角度確定哪些失效是可以容許的，確定哪些失效是不可容許的，確定在危及安全的失效發(fā)生或可能發(fā)生時(shí)，怎樣使系統(tǒng)處于失效一安全狀態(tài)的措施通常系統(tǒng)可能由于以下的原因而進(jìn)入不安全狀態(tài)：（l）硬件部件失效；（2）系統(tǒng)部件接口出現(xiàn)的問(wèn)題；（3）操作中的

6、人為錯(cuò)誤；（4）環(huán)境應(yīng)力；（5）軟件控制錯(cuò)誤使系統(tǒng)處于不安全狀態(tài)的軟件控制錯(cuò)誤有以下五種類(lèi)型：（1）不能執(zhí)行某一要求的功能，這個(gè)功能很可能從來(lái)沒(méi)有執(zhí)行過(guò)或者是在要求執(zhí)行時(shí)沒(méi)有反應(yīng)；（2）執(zhí)行了一種非要求的功能，即產(chǎn)生了一個(gè)錯(cuò)誤的回答或者回答的時(shí)機(jī)和環(huán)境不恰當(dāng)，例如偶然地、過(guò)早地或過(guò)遲地啟動(dòng)了傳動(dòng)機(jī)構(gòu)，或者未能在要求的時(shí)間停止某項(xiàng)操作（3）順序問(wèn)題上的錯(cuò)誤；（4）不能識(shí)別某些需要采取改正措施的危險(xiǎn)條件；（5）對(duì)于某些危險(xiǎn)條件產(chǎn)生了錯(cuò)誤反應(yīng)在對(duì)系統(tǒng)的軟件進(jìn)行危險(xiǎn)分析時(shí)，不僅應(yīng)該考慮軟件的控制錯(cuò)誤，而且必須研究軟件和系統(tǒng)其他單元的接口有些軟件的控制動(dòng)作只有在系統(tǒng)的其他元件失效時(shí)或者在異常的環(huán)境中才會(huì)

7、使系統(tǒng)出現(xiàn)不安全狀態(tài)在對(duì)系統(tǒng)的軟件進(jìn)行危險(xiǎn)分析時(shí)，還必須把操作者的因素考慮在內(nèi)要仔細(xì)地考慮控制系統(tǒng)中的人機(jī)接口給操作者提供系統(tǒng)當(dāng)前狀況的信息是保證系統(tǒng)安全運(yùn)行的一個(gè)必要措施例如飛行著陸軟件的安全性能，必須達(dá)到飛行員要求的標(biāo)準(zhǔn)，否則飛行員寧可人工操作，而不愿冒險(xiǎn)去使用自動(dòng)著陸系統(tǒng)然而在飛行高度過(guò)低時(shí)，人工操作同樣是危險(xiǎn)的。因此軟件系統(tǒng)不僅應(yīng)使飛機(jī)能安全飛行和安全著陸，而且應(yīng)按飛行員希望的方式飛行和著陸，才能使他們對(duì)飛控軟件的安全性具有信心。使操作者保持信心的一個(gè)重要方法是不斷地提供有關(guān)數(shù)據(jù)，操作者能主動(dòng)的監(jiān)視系統(tǒng)運(yùn)行的動(dòng)態(tài)過(guò)程。當(dāng)系統(tǒng)正趨向發(fā)生錯(cuò)誤時(shí)，系統(tǒng)及軟件的信息尤其重要。只有在正確、及時(shí)獲

8、得和分析這些信息之后，操作者才能對(duì)系統(tǒng)進(jìn)行有效的監(jiān)控和干預(yù)，才能采取正確的避錯(cuò)和失效安全措施。3、構(gòu)造故障樹(shù) 軟件故障樹(shù)的建造步驟與硬件故障樹(shù)基本相同而且軟件故障樹(shù)所用的標(biāo)志符，除某些特殊情況下新增加的符號(hào)外，也與硬件故障樹(shù)相同軟件故障樹(shù)分析的這些特點(diǎn)，使得硬件故障樹(shù)與軟件故障樹(shù)可以在接口處平穩(wěn)的相互聯(lián)接，從而實(shí)現(xiàn)從硬軟件復(fù)合系統(tǒng)的故障樹(shù)分析向安全關(guān)鍵部位的軟件故障樹(shù)分析過(guò)渡。軟件故障樹(shù)分析可以在軟件開(kāi)發(fā)期的各個(gè)不同的階段中使用。在開(kāi)發(fā) 早期的高層次的故障樹(shù)中，既包括硬 件，也包括軟件圖3是以火輪”系統(tǒng)空間飛行器自轉(zhuǎn)速度過(guò)快為頂端事件，然后展開(kāi)的高層次的故障樹(shù)例圖，火輪系統(tǒng)的細(xì)節(jié)在節(jié)4中另有介

9、紹。 在圖3 中我們看到有兩處出現(xiàn)了與軟件有關(guān)的事件，這兩個(gè)事件都可隨著軟件設(shè)計(jì)的深入，進(jìn)一步加以展開(kāi)，直至最底層軟件故障樹(shù)分析的最低層次取決于分析的要求，原則上可以深入到程序的編碼或語(yǔ)句。在進(jìn)行最低層次的編碼語(yǔ)句故障樹(shù)分析時(shí)，應(yīng)以代碼的輸出為出發(fā)點(diǎn)，然后反向追溯，分析程序的控制流程是通過(guò)什么途徑轉(zhuǎn)移到被分析的部位，分析它怎樣給各個(gè)輸出變量賦值圖4 顯示了怎樣用反向追溯法，分析IFTHENELSE語(yǔ)句。  進(jìn)行軟件故障樹(shù)分析時(shí)，首先假定某個(gè)不希望事件在執(zhí)行這個(gè)語(yǔ)句時(shí)發(fā)生，然后通過(guò)構(gòu)造故障樹(shù)來(lái)描述這個(gè)事件發(fā)生的過(guò)程圖5 是以語(yǔ)句 “ IF A>B THEN 

10、X:= F(X)  ELSE X:= 10  ”  為對(duì)象，當(dāng)事件“X100”發(fā)生時(shí)所構(gòu)造的故障樹(shù)圖。  在圖5右部的子樹(shù)代表一個(gè)不可能出現(xiàn)的事件，可以從故障樹(shù)圖中刪除，此后可以繼續(xù)針對(duì)事件“a > b”和事件“X:= f（x）產(chǎn)生，X> 100”展開(kāi)，最終可以找出與圖5 頂端事件有關(guān)的全部基本事件對(duì)于下列主要由賦值語(yǔ)句組成的程序段  P:a := ran (0);  G:  b := 0.01;  IF  a < b  THEN FIRE;應(yīng)以調(diào)用FIRE為需要分析的事件，分

11、析之后得出的邏輯關(guān)系見(jiàn)圖6在函數(shù)調(diào)用中發(fā)生的錯(cuò)誤，可能源于參數(shù)不當(dāng)或程序的錯(cuò)誤，其故障樹(shù)示于圖7。對(duì)干WHILE循環(huán)語(yǔ)句，其故障樹(shù)圖示于圖8  為了說(shuō)明WHILE語(yǔ)句故障樹(shù)圖的實(shí)際應(yīng)用，我們用一個(gè)簡(jiǎn)單的程序段作為分析案例，這個(gè)程序段是  WHlLE  b > x  do  BEGIN b:= b 1；Z:= Z 10；END； 選擇Z 100作為需要分析的事件，其故障樹(shù)圖見(jiàn)圖9。圖9中左邊的子樹(shù)表示 WHILE 語(yǔ)句沒(méi)有執(zhí)行，這種狀況意味著z一開(kāi)始就大于100而且 b小于或等于x。圖9 右邊的子樹(shù)是反映 Z在循環(huán)體中數(shù)值的變化令

12、n表示執(zhí)行中的循環(huán)次數(shù)，Z n表示 Z在n次循環(huán)中的數(shù)值，Z n > l00是在循環(huán)中需要分析的事件。在研究了上述程序段后，可以得出   Z n  =  Z 0 10 n(5)   由于在n次循環(huán)以后  b n = b 0 n, 在停止循環(huán)時(shí)  b n = x ,  所以 b 0x = n(6)  從式（5）和式（6）得出100 Z n Z 0 + 10 (b 0 x)  (7)  4、故障樹(shù)分析實(shí)例 Lereson和Harvey應(yīng)用故障樹(shù)分析了火輪

13、系統(tǒng)火輪系統(tǒng)是一個(gè)由宇宙飛船發(fā)射的空間飛行器，它帶有一個(gè)金屬絲網(wǎng)架，網(wǎng)架終端有一個(gè)電場(chǎng)傳感小球火輪系統(tǒng)的飛行控制程序由1250行Intel 8080匯編語(yǔ)言的語(yǔ)句構(gòu)成，通過(guò)微機(jī)控制該小球?qū)Φ卮磐衔仓械碾妶?chǎng)進(jìn)行抽樣檢測(cè)，然后由微機(jī)將抽樣值變換為遙測(cè)信息發(fā)出飛行器上的其他設(shè)備也由這個(gè)程序控制出于費(fèi)用方面的考慮，飛行器不能接收衛(wèi)星地面站的指令，一切決策必須由飛行器的微機(jī)作出。 金屬絲網(wǎng)架是依靠空間飛行器旋轉(zhuǎn)賦予傳感小球的離心力而放置的，當(dāng)網(wǎng)架的長(zhǎng)度 增加時(shí)，飛行器的轉(zhuǎn)速減慢，所以微機(jī)還控制了一個(gè)小推進(jìn)器，推進(jìn)器噴口的位置與飛行器殼體相切，打開(kāi)氣體控制閥可以增加飛行器的自旋速度飛行器的自旋速度必須處在

14、 一定的速度區(qū)間之中，才能圓滿(mǎn)的完成預(yù)定的任務(wù)在網(wǎng)架放置時(shí)，很可能因?yàn)轱w行器的速度過(guò)快，產(chǎn)生的離心力過(guò)大而發(fā)生失效實(shí)驗(yàn)數(shù)據(jù)表明，當(dāng)飛行器的離心力超過(guò)重力25倍時(shí)，網(wǎng)架將纏繞在飛行器上所以這個(gè)系統(tǒng)的關(guān)鍵失效事件是金屬網(wǎng)架損壞圖10是以“飛行器自旋過(guò)快”作為頂端事件構(gòu)造的故障樹(shù)圖，圖11是以“PERIOD 太大”為頂事件構(gòu)成的故障樹(shù)圖圖中的PERIOD， LENTH， MONITORSPIN， GASON，GASOFF等是程序中的函數(shù)，其余的標(biāo)示符是程序的變量名。用故障樹(shù)分析之后發(fā)現(xiàn)，在火輪運(yùn)行過(guò)程中，如果在64毫秒的時(shí)間區(qū)間內(nèi)，發(fā)生兩個(gè)太陽(yáng)脈沖造成的中斷事件，就足以使微機(jī)控 制失效，從而導(dǎo)致金屬

15、絲網(wǎng)架損壞這個(gè)發(fā)現(xiàn)為改進(jìn)空間飛行器的設(shè)計(jì)提供了重要的依據(jù)在此之前，由獨(dú)立的測(cè)試組已經(jīng)對(duì)程序進(jìn)行過(guò)非常嚴(yán)格的測(cè)試，但是未能發(fā)現(xiàn)這個(gè)潛在的重大問(wèn)題。 5 軟件故障樹(shù)的定量分析 和硬件故障樹(shù)分析法相似，軟件故障樹(shù)一旦建成，就可按照故障樹(shù)的邏輯關(guān)系，將頂端事件與各個(gè)基本事件的關(guān)系用一個(gè)布爾代數(shù)式來(lái)表示這個(gè)布爾代數(shù)式又稱(chēng)為頂端事件的結(jié)構(gòu)函數(shù)按照布爾代數(shù)運(yùn)算法則對(duì)結(jié)構(gòu)函數(shù)進(jìn)行簡(jiǎn)化，可得出結(jié)構(gòu)函數(shù)的積之和 型這種結(jié)構(gòu)函數(shù)的每一個(gè)積之和項(xiàng)，代表了頂端事件發(fā)生的充分和必要條件如果每 一個(gè)基本事件發(fā)生的概率是已知的，頂端事件發(fā)生的概率就可以計(jì)算出來(lái)除此之外，還可以對(duì)故障樹(shù)進(jìn)行靈敏度分析，找出對(duì)頂端事件影

16、響最大、最靈敏的基本事件在進(jìn)行故 障樹(shù)的分析和計(jì)算的過(guò)程中，必須對(duì)軟件故障樹(shù)的各個(gè)基本事件是否滿(mǎn)足統(tǒng)計(jì)獨(dú)立的假定進(jìn)行論證只有在進(jìn)行近似分析時(shí)，才能直接采用相互獨(dú)立的假設(shè)這種作法得出的 結(jié)果，雖然不夠準(zhǔn)確，但是在比較各種備用方案的優(yōu)劣時(shí)，仍可發(fā)揮重要作用。SFTA使用的數(shù)學(xué)工具及具體計(jì)算方法，受限于篇幅，本文從略。需要提請(qǐng)讀者注意的是，軟件故障樹(shù)分析法的定量分析能力并不是它最重要的用途軟件故障樹(shù)分析最重要的意義在于，根據(jù)分析的結(jié)果可以找出關(guān)鍵性的安全事故發(fā)生的原因，可以用于指導(dǎo)軟件的安全性設(shè)計(jì)和測(cè)試、確定軟件測(cè)試的重點(diǎn)和內(nèi)容，使系統(tǒng)的安全得到更充分的保證例如軟件故障樹(shù)分 折提供的信息，可以用來(lái)判斷哪些模塊是安全關(guān)鍵單元并且確定是否需要進(jìn)一步采取容錯(cuò)措施，軟件故障樹(shù)分析中揭示的系統(tǒng)失效的條件，可以用來(lái)識(shí)別系統(tǒng)的不安全狀態(tài)，決定在什么情況下應(yīng)該必須采取失效_安全措施在本文的結(jié)尾，還想再次對(duì)愛(ài)好FTA方法的讀者指出，