導航：安全管理網>> 安全論文>> 綜合安全論文>>正文

基于故障樹分析的軟件安全性測試研究

文檔作者：趙躍華朱媛媛文檔來源：江蘇大學計算機科學與通信工程學院		點擊數：	更新時間： 2021年07月12日
下載地址：點擊這里	文件大小： 339.87 KB 共4頁	文檔格式： PDF	下載點數： 1 點（VIP免費）

全屏查看

內容預覽 [文件共4頁]

本文件共4頁，如需編輯使用，請下載。

注：預覽效果可能會出現部分文字亂碼（如口口口）、內容顯示不全等問題，下載是正常的。

	文件大?。?39.87 KB 共4頁文件格式：PDF 下載點數：1 點（VIP會員免費）

下一篇：基于安全控制邊界單元的IP核測試封裝方法

上一篇：基于模糊測試的軟件安全漏洞發掘技術研究

文本預覽

僅提取頁面文字內容，供快速閱讀使用。

第30卷第6期
2013年6月
計算機應用研究
Application ReseaI℃h of Computers
V01．30 No．6
Jun．2013
基于故障樹分析的軟件安全性測試研究
趙躍華，朱媛媛
(江蘇大學計算機科學與通信工程學院，江蘇鎮江212013)
摘要：針對軟件安全性測試的本質特征在于快速降低由于軟件失效而導致系統事故的風險，結合基于Baye—
sian統計理論的測試方法，建立一套構建安全性測試剖面，并由此產生測試用例的測試方法。該方法運用故障樹
分析技術，對各模塊發生故障對系統安全性的影響進行分析，找出影響較大的關鍵性模塊，然后利用分析結果構
建安全性測試剖面。最后給出了測試停止的標準。通過對例子的分析可知，本方法在快速降低軟件事故風險方
面比現有軟件測試方法更有效。
關鍵詞：安全性；故障樹分析；安全度；安全性測試剖面
中圖分類號：TP311 文獻標志碼：A 文章編號：1001—3695(2013)06-1760—04
doi：10．3969作issn．1001—3695．2013．06．04l
Research on software saf．ety testing based on fault tree analysis
ZHA0 Yue-hua，ZHU Yuan-yuall
(蹴捌礦C如P刪Ⅳ&amp;amp;詁M&amp;amp;砒Mm∽婦加蟛M嘶，脅咿“如iⅢ渺，劬舭昭肋學“212013，蕊洳)
Abstract： Considering that the obiect of software蛆fety testing is to reduce the risk of accident resulted by sofhare failures
sharply，coIIlbining with the test method based on Bayesian statisticaJ theory，this paper presemed a software s出t)r testing Ineth—
od based on the safety testing pmnle．It used the techn010盯of fault tree aIlalysis to analyze the fault probability of all sections of
the software to find the kev sections that would be iIlfluence the s如tv．Based on that result，safety testing pr06le w鵲constnlc·
ted，as weU as described the testing cases generating rnethod in detail．Finally，it gave the software safety testing st叩ping mle．
Analvsis of the ex鋤ple indicates that the rnethod pm、，ided above is effective to reduce the sofhare accidem risk．
Key words：safbty；fault tree analysis；safety degree；safety testing profile
隨著計算機系統和計算機軟件發展的日新月異，計算機軟
件已經應用到很多重要的領域，如航空航天、國防、交通運輸、
核電能源和醫療衛生等系統中。一旦這些系統失效將會導致
生命財產的重大損失以及環境可能遭受嚴重的破壞，此類系統
稱為安全關鍵系統?。安全關鍵系統對軟件的可靠性和安全
性有很高的要求，因此，對于軟件系統的可靠性和安全性測評
就勢在必行。
為了更好地對安全關鍵軟件進行測評，P鋤as、Howden等
人心，31提出了基于經典統計假設理論的測試方法，為安全關鍵
軟件的可靠性測評奠定了取樣理論基礎；Littlewood、Miller等
人【4’5o則從另一方面提出了基于Bayesian統計理論的測試方
法。利用這些方法對可靠性進行測評，其評估結果具有很高的
可信度。因此，可靠性測評已經有一套完善的理論。相對而
言，安全性測評就遠不如可靠性的。在工程實踐中，人們也往
往把軟件安全性測試作為可靠性測試來實施，或者著重于測試
一些例外情況∞1，而忽略軟件安全性本身的性質。
軟件安全性與軟件可靠性一樣，是與軟件失效密切相關
的。軟件安全性的概念最早是由美國加州的Leveson【71教授提
出的。MIL—STD一882c《系統安全性大綱》中對安全性的定義
是，安全性是指避免危險條件發生，保證己方人員、設施、財產、
環境等免于遭受災難性事故或重大損失的能力。通過以上定
義可以發現，軟件安全性更加關注那些引起災難性事故發生的
失效，是為了避免災難性事故的發生。因此，軟件安全性測試
的目標就是通過測試發現軟件中存在的缺陷，并進行修正，以
快速降低由于軟件失效而導致系統事故的風險。所以，如果能
夠分析出系統的危險所在，并加強對這些部分的測試，既可以
最大程度地保持系統的安全性又可以整體提高測試的效率。
本文正是基于這樣的思想，提出利用故障樹分析技術對各
模塊發生故障對系統安全性的影響進行分析，找出安全關鍵模
塊，然后對其依據安全度設計測試用例進行安全性測試。
1 基于Bavesian統計理論的軟件測試
基于Bayesian統計理論的軟件測試方法舊1是一種軟件驗
證測試的方法，它也是統計測試的一種。在測試之前根據給定
軟件的可靠性和安全性指標，計算出所需的測試用例數，然后
基于軟件運行剖面進行抽樣，獲得所需的測試用例進行測試，
并且在測試過程中無失效發生。
1．1 基于Bay∞ian統計理論的軟件測試方法
在軟件的驗收測試中，規定測試不應該發現失效(否則拒
絕該軟件)。所以，在執行測試之前就要確定無失效測試用例
數。統計取樣測試方法，都是假定軟件的操作失效概率為p，
且每次操作都滿足貝努利(Bemoulli)實驗的統計獨立性，認為
在凡次測試中，出現R次軟件失效的概率為二項分布，即
P(R=rIp)=c：P7(1一p)? (1)
由于軟件失效數遵從式(1)所示的貝努利分布，則其失效
收稿日期：2012一10—10；修回日期：2012-1l一24
作者簡介：趙躍華(1958一)，男，江蘇蘇州人，教授，博士，主要研究方向為信息安全(zhaoyh@ujs．edu．cn)；朱媛媛(1989一)，女，江西贛州人，碩
士研究生，主要研究方向為信息安全．
萬方數據
第6期趙躍華，等：基于故障樹分析的軟件安全性測試研究·176l·
概率的概率密度函數的先驗分布應為Beta分布，即，(p)2初”1(1一p)¨1 (2)
若測試用了n個測試用例，其中發生r個失效。那么失效
概率密度函數的后驗分布為以plⅥ，n，6)2瓦鬲音耐”’1(1一p)¨?。1(3)
對于無先驗知識的情況，有口：6=1，則有瓜Plr'n，1，1)2幣i亍耐7(1一p)?(4)
對于給定的安全性指標(p0，C)，當一次測試中不存在測
試失效時的測試用例數J7、r為滿足式(5)中n的最小整數： 滅p≤p。)。墻。葫—蒜(1一p)“dp≥c (5)
由式(5)得
。-『端一1]
為了達到給定的安全性指標(p。，c)，需要無失效地測試
Ⅳ個測試用例；如果在測試過程中出現失效，則需要排除錯誤，
并重新選取測試用例進行測試。
1．2基于Bayesian統計理論的軟件測試方法的不足
對于給定的一組安全性測試指標(p0，C)，利用式(5)計算
所需的無失效測試用例數，如表1所示。安全關鍵軟件的安全
性要求都是很高的，一般失效率在10～一10一。要達到這個
失效率所需的測試用例數將非常大，這給工程實踐帶來很大的
負擔。為了解決這個問題，針對軟件安全性測試的本質特征在
于降低由于軟件失效而導致系統事故的風險，可以采用故障樹
分析技術找出系統中安全性影響較大的模塊，針對這些模塊進
行測試，以提高測試針對性和測試效率。
表l無失效測試用例數
2安全性測試的故障樹模型分析
故障樹分析法主要用于分析大型復雜系統的可靠性及安
全性，它被公認為是目前對復雜系統可靠性、安全性進行定性
分析的一種有效方法。
2．1建模思想
在建立故障樹模型之前，要對規格需求說明書進行詳細的
分析，通過功能危險性分析技術(FHA)找出系統中所有可能出
現的各種不安全狀態(或者關鍵失效狀態)，列出軟件關鍵安全
故障事件表。然后對表中每一個故障事件建立一棵故障樹。
在故障樹建立的過程中。本文以FHA找出的故障事件作
為頂事件，通過分析尋找出導致頂事件故障發生的所有可能的
直接原因，這些原因又被稱之為中間事件。頂事件與中間事件
之間用“與”門或者“或”門等進行連接。接著分析尋找每一個
中間事件發生的所有可能原因，以此類推，直至追蹤到最后一
級基本事件，也即底事件。軟件故障樹分析的最底層取決于分
析的要求，原則上可以深入到程序的編碼或語句。為了與軟件
統計測試進行結合，本文采用各功能模塊失效作為底事件進行
故障樹建模。
2．2模型建立
假設軟件系統由若干相互獨立的功能模塊組成，各軟件功
能模塊的事件狀態為兩態：工作或失效。如存在軟件系統S=
{礬1，m2，m3，m4，m5，m6，m7}。
假設以某一個系統危險失效作為頂事件，通過層層分析可
以得到軟件系統故障樹模型如圖l所示，其中，G。表示中間
事件。
圖1軟件系統故障樹模型
為了對故障樹進行安全性分析，找出各功能模塊失效對頂
事件的影響，需要求出故障樹的最小割集。目前對故障樹最小
割集進行求解的方法主要有上行法、下行法和計算機算法。利
用下行法求解最小割集的過程如圖2所示。根據AB+A=A
原則，可以得出最小割集有K={m。}，K={m，，m，}，K：
{％，m：}，蜀={m：，m，，m。}，恐={∞，m：}，共五個。其中，墨
為一階割集，恐、憨、K為二階割集，毛為三階割集。
一m4
r∈—’G。
、G
／G一叭，<=
、＼▲G——+{腳：，G，)——+{講，拼，掰。}
、＼▲{G。m：)
，，，{m7，m：)
、(m．，m，)
圖2下行法求解最小割集
2．3故障樹模型分析
首先分析最小割集中各功能模塊失效對頂事件的影響，也
即模塊的安全度。
由于模塊m。獨立構成一個最小割集，其模塊失效將會直
接導致系統故障，因此，屬于安全關鍵模塊，其安全度最高。
從故障樹中可以看出，越低階的故障事件與頂事件的聯系
越直接，影響越大；同一個故障事件出現在不同的割集中，說明
那個事件可以通過不同的途徑導致頂事件發生，它對頂事件的
影響也比較大。表2就是通過這種定性分析得出各功能模塊安
全度次序的。在所有的系統故障樹最小割集中，假設割集的個
數是七，割集E，中含有mr個事件，則基本事件的安全度可以用公式：^(i)2?；南來計算，其中m，(置∈Er)表示
對置∈E，的割集進行計算，不屬于的割集不加入計算。
表2功能模塊安全度次序表
模塊在i簍搿在言簍挈在意妻中鬻
m2 2 1 2
m3 2 3
md l 1
ms l 5
m6 l 5
m1 l 4
萬方數據
·1762· 計算機應用研究第30卷
于是，對圖2求出的五個最小割集，可計算各模塊失效
(基本事件)的安全度： ‘cm·，=÷主志=÷c÷，=擊
^，，(“、：)1耋2寺互可1 南2÷1，(寺1 +寺1 +寺1、)2吉4
． ，^(m，)=÷(÷+÷)=÷
“m。)=÷(1)=÷，^(m，)=÷(÷)=古
‘(m。)=÷(÷)=古，^(m，)=÷(÷)=擊
對計算結果進行排序得：
‘(m2)>^(m3)=^(m4)>，I(m1)=，k(m7)>^(m5)=^(m6)
(6)
式(6)與表2安全度次序比較可以發現，除了模塊m。，其
他結果都是一致的。這是由于，模塊m。單獨構成一個最小割
集，它的安全度最高，所以不能用這種方法直接計算。因此，需
要對計算的結果進行調整，使它滿足安全度定性分析。
在一棵故障樹中，將最大的安全度值賦予一階割集的模
塊，并把一階割集的安全度值賦給具有最大安全度值的模塊。
這樣做雖然會與分析的結果有所不同，但是整體上還是符合
的。在這個例子中^(m4)=告、^(m：)=÷。
通過以上方法，能夠確定系統中的安全重要模塊以及它們
對系統安全性的影響程度(安全度)，從而可以利用這些安全
性定性分析的結果來構造安全性測試剖面。進行安全性測試。
3軟件安全性測試
軟件安全性測試的目的是將引起軟件危險事故的失效降
低到足夠水平。因此，不僅要考慮軟件失效的頻率，還要考慮
它們對安全性的影響。在安全性測試時，應該把測試資源應用
于那些對安全性影響較大的功能模塊的運行、操作上，只有這
樣，所發現的缺陷對降低風險事故的貢獻才大，才能提高測試
的效率。利用故障樹分析方法找出了系統中的安全重要模塊，
并且給出了各模塊的安全度。接著，利用這些模塊來構建軟件
安全性測試剖面進行測試。
在故障樹中，底事件代表對應模塊的失效，由于軟件開發
的高內聚和低耦合性，軟件各個模塊的功能趨于單～，因此，軟
件的一個模塊失效也即對應這一個功能失效。因此可以利用
模塊的功能失效以及失效的影響程度(安全度)來建立重要功
能集合P，，P，={一IⅨ=(盟，厶(i))，i=1，2，?，nf。其中：
曩表示第i個重要功能元素；P皿表示第i個功能失效；^(i)
表示第i個失效對應的安全度；n表示所有安全相關性功能失
效的個數，即故障分析得出的基本事件的個數。第2章中的例
子得出的重要功能集合為
P，={(朋l，O．1)，(腿，0．2)，(颶，o．2)，(嘲，0．27)，(颶，
O．065)，(砜，0．065)，(P馬，0．1)}
3．1 安全性測試功能剖面的生成
重要功能集合就是可能的功能失效以及功能失效對系統
安全性影響的一個集合，其中所描述的功能是軟件系統功能的
一部分，也是統計測試功能剖面的一部分。因此，需要利用重
要功能集合對統計測試的功能剖面進行調整。
假設用統計測試運行剖面生成方法生成了軟件系統的所
有功能剖面和運行剖面。安全性測試中只對重要功能集合中
的功能進行測試，將它們從原功能剖面中抽取出來，并調整每
個功能的概率值，從而可生成安全性測試的功能剖面。
安全性測試功能剖面：{即。l即。=(‘，P^)，i=1，2，?，
礦}。其中：FP。是第i個功能剖面元素；E是第i個重要功能；
P。是第i個重要功能發生的概率；礦是當前系統模式下重要
功能的個數。具體做法如圖3所示。
糊薔早嘌留黑黑黑啜翠黑零
重黧能胛再睜回愿恩呷掣需熙粵熙露鼎需
圖3安全性測試功能剖面生成
假設已知軟件統計測試的功能剖面、功能及對應的概率如
圖3第一行數據所示。通過故障樹分析得出的重要功能集合
對應統計測試功能剖面的功能3、2、6等七個功能。安全性測
試功能剖面中重要功能的概率計算過程如下：
a)計算P。=^(i)×n，這是一個中間量，例子中的尸，。=
厶(1)×pl=0．009，Pn=0．012，Pn=0．016，尸凡=0．03，P巧=
0．0013，P颶=0．0039，P仃=O．01，Σ尸k=0．0822。
b)計算重要功能發生概率靠=參，Pn=轟=裟=
0．11，％=0．15，％=0．2，％=o．35，％=0．02，氏=0．05，％=
0．12，Σ靠=1。
將重要性功能從統計測試功能剖面中抽取出來時，使用重
要性抽樣原理一1。抽取出來的功能概率和為Pc=p3+p：+
p6+p4+JP9+P。+p。o=0．52，而原功能剖面的概率總和為1，則
測試的加速因子^(菇)=Pc<1。在抽樣測試的過程中，不僅
提高了對安全重要功能的測試，而且對每個重要功能的測試力
度還根據它的重要性進行了調整。
3．2安全性測試剖面的生成
軟件安全性測試功能剖面中的每個功能的完成，是通過輸
入一系列輸入變量值來實現的。規定這些輸入變量具體取值
區問，在取值區間內把它們看做是獨立的。運行剖面需要分別
描述各功能輸入變量的取值區間，即區間的上下限，和各輸入
變量在其取值區間內的概率分布。該概率分布是條件概率分
布，是指在功能被選中的條件下，該功能各輸入變量取值的概
率分布。根據輸入變量和它的概率分布來構造運行剖面。對
于每一個功能需要構造運行剖面，之后對不同功能下的相同的
運行剖面需要進行合并，構成最終的軟件的安全性測試剖面。
安全性測試剖面就是一組運行及它們的概率組合。
安全性測試剖面：DP={opi opi=(opertion。，p。)，i=1，
2，?，n}，其中對任意的i√有叩erationi noperationi=g，i≠J，
三pi=1。operationi表示運行，p；表示對應運行的發生概率。安
全性測試剖面生成的具體做法如圖4所示。這組運行的概率
和。蚤見=1。
麗
耥．藏褫~|麗l麗藏糯亍麗
圖4安全性測試剖面生成
n、礦≥ 。；一遂 積夏嬰 瓣嘉盟 麗藤一 掣避
萬方數據
第6期趙躍華，等：基于故障樹分析的軟件安全性測試研究·1763·
3．3安全性測試用例的生成
軟件安全性統計測試用例的產生包括兩方面：a)依據安
全性測試剖面選擇相應的運行；b)產生觸發軟件運行的相應
的輸入變量的具體取值。
抽取運行的過程如下：將安全性測試剖面中所有運行qP。
，
發生的概率n求前j項和Js，，si=Σn，形成一個數列{s，}，其中
j=1，2，?，n，凡為安全性測試剖面中運行總數，規定&amp;amp;=O，并有
．sl=p。，S。=1．0，S，一sH=B。任給一個隨機數叼∈(0，1．0)，
觀察叼落在哪個區問，若田滿足Jsf．1

網友評論 more

綜合安全論文最新內容

04-10