Руководство по гарантии конструирования бортовой электронной аппаратуры КТ-254 (1015618), страница 20
Текст из файла (страница 20)
Данныеоценки безопасности должны основываться на оценке трактов функционального отказааппаратуры и анализе общего режима, специально относящихся к аспектам архитектурногоослабления конструкции аппаратуры.Данные архитектурного ослабления должны включать:1. Определение трактов функционального отказа аппаратуры уровней А и В, которыедолжны быть защищены с помощью архитектурных средств.2. Описание архитектурного подхода и обоснование покрытия, обеспечиваемого даннымподходом.3.
Целесообразность границ общего режима и аспектов конструирования общего режима,применимых к аппаратуре.4. Определение неослабленных или неадекватно ослабленных трактов функциональногоотказа уровней А и В, которые должны быть адресованы к другими методам гарантииконструирования .5. Требования к функциональной работе и необходимые проектные параметры механизмовархитектурного ослабления.6. Механизмы ослабления, используемые для выполнения требований безопасности,которые включают ПО, такие как обособление ПО, контроль безопасности и несхожее ПО. Этимеханизмы и требования к безопасности ПО должны быть предоставлены для системногопроцесса и для процесса разработки ПО.7.
Традиционные данные об интенсивности отказов и данные времени воздействияскрытого отказа для любой аппаратуры, которая выполняет прикладное архитектурноеослабление.8. Данные трассирования, связанные с требованиями безопасности, применяемыми кданным оценки безопасности и применяемыми данными верификации проекта.3.2. Опыт эксплуатации изделияВ подразделе 11.3 дано основное руководство по оценке данных опыта эксплуатациисистемы для применения в бортовой аппаратуре. Для функций уровней А и В, которыеиспользуют ранее разработанную аппаратуру как часть конструкции, необходима дополнительнаягарантия конструирования.
Эта гарантия может быть обеспечена следующим образом.3.2.1. Метод опыта эксплуатации изделияПосле завершения оценки по подразделу 11.3 тракты функционального отказа, которыереализуются рассматриваемой аппаратурой, должны быть проанализированы относительнолюбого применимого опыта эксплуатации. Заявитель или разработчик должны определить данныеопыта эксплуатации и установить, что эти данные демонстрируют, что повторно используемаяфункциональность аппаратуры имела удовлетворительный опыт во время предыдущегоиспользования аппаратуры.3.2.2. Разрешение вопросов опыта эксплуатации изделияКогда анализ данных опыта эксплуатации изделия завершен, тракты функциональногоотказа функций аппаратуры уровней А и В, которые определены, как неосуществленные,неадекватно осуществленные или для которых нет опыта обслуживания при эксплуатации,должны быть рассмотрены, используя другой метод гарантии конструирования или с помощью67определения дополнительной верификации, которая может быть применена для проверкифункций.3.2.3.
Данные опыта эксплуатации изделияДанные опыта эксплуатации изделия, применяемые для защиты трактов функциональногоотказа уровней А и В аппаратуры должны включать:1. Данные оценки опыта эксплуатации изделия из подраздела 11.3.2.2. Определение трактов функционального отказа, для которых гарантия конструированиядостигнута с помощью опыта эксплуатации и подтверждением обоснованности данных опытаэксплуатации.3. Определение трактов функционального отказа, для которых данные опыта эксплуатацииявляются неудовлетворительными, и определение условий испытаний, процедур испытаний,анализов и результатов, используемых для полноты гарантии конструирования трактовфункционального отказа.4.
Определение трактов функционального отказа и условий эксплуатации, непродемонстрированных опытом эксплуатации, которые потребуют дополнительногоархитектурного ослабления или перспективного метода верификации.5. Данные трассировки из подраздела 10.4.1, показывающие точную взаимосвязь данныхопыта эксплуатации и верификации, которые обеспечивают покрытие гарантии конструированиякаждого тракта функционального отказа.3.3. Перспективные методы верификацииДополнительное подтверждение гарантии конструирования может быть достигнуто иочевидность этого доказана такими методами проверки, как Элементный анализ, Формальныеметоды, Специальный анализ безопасности для верификации или другими предлагаемымизаявителем и принятыми сертифицирующим органом методами.Перспективные методы верификации гарантии конструирования используют и расширяютметод FFPA, представленной в разделе 2 выше.
Метод FFPA применяется на уровнеоборудования, на уровне схемы, на уровне компонента для определения реализации в аппаратуретрактов функционального отказа уровней А и В. Данные анализа FFPА затем используются дляопределения предлагаемых средств гарантии конструирования , применяемых к схемамаппаратуры, компонентам и элементам, содержащимся в этих трактов функционального отказауровней А и В.Эти три метода кратко изложены ниже и описаны в следующих разделах1. Элементный анализ. Элементный анализ обеспечивает измерение полноты проверкиаппаратуры с перспективой снизу вверх.
Каждый функциональный элемент в трактефункционального отказа определяется и верифицируется, используя контрольные примеры,которые соответствуют целям верификации подраздела 6.1. Анализ может также определитьпроблемные области, которые необходимо рассмотреть другими соответствующими средствами.2. Специальный анализ безопасности. Стратегия фокусируется на выявлении и исправленииошибок конструирования, которые могут неблагоприятно повлиять на выходные данныеаппаратуры с точки зрения безопасности системы. Аналитически определяются чувствительные кбезопасности части входного пространства и выходного пространства аппаратуры.Чувствительные части входного пространства аппаратуры моделируются, а выходноепространство наблюдается не только с точки зрения верификации требований чувствительных побезопасности функций, но также аномалий поведения.
Методы наблюдения выходногопространства определяются заранее с помощью анализа, который выполняется, используятрадиционные методы анализа безопасности.3. Формальные методы. В формальных методах применяются методы формальной логики идискретной математики для спецификации, конструирования и проверки компьютерных систем.Эти методы могут использоваться в различных процессах жизненного цикла конструированияаппаратуры для доказательства обоснованности применения.68Заявителем могут быть предложены другие перспективные методы верификации, отличныеот тех, которые описаны в данном разделе.3.3.1. Элементный анализЭлементный анализ может использоваться для демонстрации того, что трактыфункционального отказа верифицированы с помощью соответствующих контрольных примеров.Элементный анализ обеспечивает достоверность и очевидность того, что ошибки конструированияустранены путем разделения сложной реализации тракта функционального отказа на элементы натом уровне, на котором они были созданы разработчиком.
Данный метод анализа обеспечиваетизмерение процесса верификации с целью определения полноты и содержания верификации инаиболее подходит для применения тогда, когда технический проект очевиден и находится подуправлением конфигурацией. Это может относиться к схемам ASIC и PLD, в которых функциирассматриваются на том же самом уровне гарантии конструирования, или там где функцииразличных уровней гарантии конструирования изолированы или сегментированы. Каждыйфункциональный элемент прикладных схем или компонентов определяется и проверяется направильность предназначенной функции, используя процедуры верификации, которыеобеспечивают выполнение целей верификации подраздела 6.1. Элементный анализ обычноприменяется ко всему компоненту или устройству независимо от количества проверенных трактовфункионального отказа, которые в нем реализованы, но может быть также применен к частикомпонента или устройства, если обеспечено обоснование изоляции, независимости илиразделения различных трактов функионального отказа.Примечание: Когда элементный анализ выполняется на функции, применяемой вустройстве PLD, необходимо рассмотреть программируемое содержание и применениехарактеристик PLD, а непрограммируемые компоненты могут рассматриваться, используяотдельный метод, например, предшествующий опыт эксплуатации.В анализе определяются области интереса, к которым необходимо обратиться с помощьюсоответствующих средств.
Процесс верификации без подобного анализа может привести кнеадекватному контролю схем. Исторически подобные неадекватности происходили из-занедостатков в процедурах испытаний на основе требований, неточных или неполных требований каппаратуре, неиспользуемых схем, инициализации схем или библиотечных функций. Данныйанализ обеспечивает верификацию элементов в представляющих интерес трактахфункционального отказа и определяет полноту верификации каждого элемента.
Определение того,что верификация для элементов не полная, указывает на необходимость дополнительныхверификации проверки или соответствующих мероприятий.Заявитель должен определить уровни в иерархии проекта, на которых определеныэлементы и как они должны быть проанализированы для полноты верификации.3.3.1.1. Метод элементного анализаМетод элементного анализа начинается с определения набора критериев, которые должныиспользоваться при анализе, с учетом уровня гарантии конструирования аппаратуры, технологийаппаратуры и доступности деталей реализованной аппаратуры.Критерии должны включать:1. Выявление и определение элементов на соответствующем уровне конструкцииаппаратуры.2.
Верификационное покрытие для каждого элемента, который необходимо проверить.Эти критерии затем применяются в анализе верификационных мероприятий дляопределения,смогут ли критерии полноты верификации быть достигнуты при запланированнойверификации. Если критерии не будут достигнуты, тогда каждый проверяемый элемент долженбыть испытан соответствующим набором стимулов и должен вызвать соответствующиенаблюдаемые отклики на контролируемые в процессе испытания сигналы.Примечание: Поскольку данный процесс проверяет испытания по самой аппаратуре, онможет выявить недостатки в испытательных процедурах.
![](https://s.studizba.com/z.php?f=/templates/si/i/noavatar.png&w=100&h=100&t=1"){kind=avatar}
