基于scade余度管理软件开发方法探究

《基于scade余度管理软件开发方法探究》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、基于SCADE余度管理软件开发方法探究　　摘要：为提高机载计算机的可靠性和容错能力，普遍采用余度技术。但目前余度管理软件开发过程中通常采用手写代码，容易引入错误，软件可靠性和开发效率较低，验证工作在软件开发的后期且工作量大，导致软件开发周期较长，成本高等一系列问题。对基于图形化编程工具SCADE的建模开发方法和自动代码生成技术进行研究，自动生成高可靠嵌入式实时代码，运用SCADE自身的Check、Simulation、ModelTestCoverage功能，免去代码的低层测试单元，应用于某余度管理软件仿真平台的开发项目

2、中，大大节约了成本，保证了余度管理软件的可靠性和容错能力。关键词：余度设计；余度管理；SCADE；余度管理软件；仿真平台中图分类号：TP301文献标识码：A文章编号：1672-7800（2012）010-0014-03作者简介：金平（1976-），男，上海飞机设计研究院工程师，研究方向为飞控系统电子与软件技术和适航符合性。0引言9余度设计与余度管理是提高飞行控制系统容错能力、可靠性和安全性的手段。机载计算机为提高可靠性和容错能力，普遍采用余度技术，通过为系统增加多重资源和采用余度管理技术，实现对多重资源的合理管理，从而

3、提高产品和系统的可靠性。目前，余度管理软件普遍采用手工编码，比较依赖编码者的项目经验和软件编码者的编码质量，容易引入语法错误和逻辑错误，可靠性和效率较低，且在软件开发的早期很难及时找出软件中潜在的BUG，导致调试工作繁琐复杂、开发周期长，且单元测试及代码覆盖率分析一般需要借助复杂的专业工具软件，增加了软件开发的成本，且验证工作在软件开发的后期进行，工作量大、难度高，而且无法对验证工作进行定量评价，软件投入市场使用的周期长、成本高。图形化编程工具SCADE建立在严格的数学模型基础之上的数据流图（BlockDiagrams

4、）和安全状态机（SafeStateMachines）两套图形化建模机制，具有严格的数学语义，其中数据流图适用于连续系统的建模，安全状态机适用于离散系统建模，两套机制融合在一起，能够满足不同类型的系统尤其是混合系统的开发。SCADE提供的形式验证弥补了测试中存在的不能保证系统安全性的局限，SCADE代码生成器KCG通过了DO-178B国际标准A级质量认证，保证了代码的正确性和可靠性。9基于此，本文对SCADE图形化开发方法和自动代码生成技术进行研究，以离散量信号表决为例，实现余度管理软件开发方法的研究，在软件开发的早期应

5、用SCADE的Check功能进行语法和语义错误的检查，应用SCADE的Simulation功能对模型进行模拟仿真，检验逻辑的正确性，SCADE的ModelTestCoverage进行覆盖率分析，KCG代码生成器生成高质量的嵌入式产品代码，免去底层的代码测试，在某机载余度管理软件开发项目中应用，缩短了开发周期，大大节省了项目开发成本。1SCADE简介9SCADE（Safety-CriticalApplicationDevelopmentEnviroment），即高安全性应用程序开发环境，是实时嵌入式系统和电子系统的开发工

6、具和方法学，是基于模型的开发工具，运用CorrectbyConstruction的概念，从需求分析到代码生成覆盖嵌入式软件开发的整个流程。图形化编程工具SCADE建立在严格的数学模型基础之上，具有严格的数学语义，SCADE提供了建立在严格的数学模型基础之上的数据流图（BlockDiagrams）和安全状态机（SafeStateMachines）两套无歧义的明确的图形化建模机制，其中数据流图适用于连续系统的建模，安全状态机适用于离散系统建模，两套机制融合在一起，能够满足不同类型的系统尤其是混合系统的开发。同时，对模型进行

7、静态检查，保证了完整性和一致性，模拟仿真、模型覆盖率分析保证了需求的正确性，SCADE提供的形式验证弥补了测试中存在的不能保证系统安全性的局限，SCADE代码生成器KCG通过了DO-178B国际标准A级质量认证，保证了代码的正确性，可以生成70%～90%的代码，免去底层代码测试单元，减少了工作量，可减少50%以上的费用，缩短投放市场的时间，提高系统安全性，既能保证需求的正确性，又保证了需求到实现的一致性，普遍适合于各个领域的嵌入式软件开发，尤其是在航空、航天、国防等安全性要求极高的领域，已应用于A380等欧洲航空项目。

8、2需求分析本文以三余度离散量信号的监控/表决为例，对基于SCADE的余度管理软件的开发方法进行研究。离散量监控按“多数正确态”的原则，分辨出信号的正确与错误，从而定位出故障离散量的通道。离散量的监控可以和离散量的表决结合起来，以达到既可发现故障，又可隔离故障的目的。信号的表决是指：采用指定的表决原则（或算法），从多个同名的可用余度