DO-178C和FACE（未來(lái)機(jī)載能力環(huán)境）方法形成了一個(gè)自然的結(jié)合，使開(kāi)發(fā)人員能夠結(jié)合軍事和商業(yè)領(lǐng)域的機(jī)載軟件生產(chǎn)的最佳實(shí)踐。通過(guò)根據(jù) DO-178C 及其補(bǔ)充文件中提供的指南開(kāi)發(fā)和驗(yàn)證軟件組件，F(xiàn)ACE 組件提供商可以實(shí)現(xiàn)其 FACE 可移植性目標(biāo)，同時(shí)實(shí)現(xiàn)高 DAL ［設(shè)計(jì)保證級(jí)別］ 可靠性和安全性。

FACE ［未來(lái)機(jī)載能力環(huán)境］ 方法是一種政府-行業(yè)軟件標(biāo)準(zhǔn)和商業(yè)戰(zhàn)略，用于獲取負(fù)擔(dān)得起的軟件系統(tǒng)，旨在促進(jìn)全球國(guó)防計(jì)劃中便攜式功能的創(chuàng)新和快速集成，從而降低系統(tǒng)生命周期成本。但是，F(xiàn)ACE技術(shù)標(biāo)準(zhǔn)并未直接解決質(zhì)量或適用性問(wèn)題。特別是，盡管FACE技術(shù)標(biāo)準(zhǔn)定義了與保證相關(guān)的語(yǔ)言子集（“安全功能集”），但軟件組件遵守這些子集之一并不一定意味著達(dá)到了相關(guān)的保證水平。在軍事背景下證明這種保證涉及遵循MIL-HDBK-516C（適航認(rèn)證標(biāo)準(zhǔn)）或MIL-STD-882E（安全實(shí)踐）等標(biāo)準(zhǔn)的指導(dǎo)。

就這些標(biāo)準(zhǔn)而言，它們并不完全關(guān)注軟件問(wèn)題，也沒(méi)有解決現(xiàn)代技術(shù)（如基于模型的工程、面向?qū)ο?a target="_blank">編程和形式化方法）提供的挑戰(zhàn)（或機(jī)遇）。FACE組件開(kāi)發(fā)人員可以利用的一種方法可以幫助實(shí)現(xiàn)相關(guān)的保證水平，方法是遵循RTCA DO-178C標(biāo)準(zhǔn)（及其補(bǔ)充）中針對(duì)商用機(jī)載系統(tǒng)所體現(xiàn)的原則。這些標(biāo)準(zhǔn)以軟件為重點(diǎn)，涵蓋現(xiàn)代技術(shù)，識(shí)別潛在問(wèn)題及其解決方案。即使沒(méi)有進(jìn)行DO-178C的正式認(rèn)證，這些標(biāo)準(zhǔn)也可以幫助開(kāi)發(fā)人員滿(mǎn)足最苛刻的可靠性和安全性保證要求，同時(shí)通過(guò)重復(fù)使用FACE應(yīng)用程序組件實(shí)現(xiàn)成本節(jié)約。當(dāng)使用編程語(yǔ)言技術(shù)（如 Ada 和 SPARK）時(shí)，這些優(yōu)勢(shì)會(huì)得到放大，這些技術(shù)最能支持高保證系統(tǒng)的開(kāi)發(fā)和驗(yàn)證。

人臉技術(shù)標(biāo)準(zhǔn)

FACE技術(shù)標(biāo)準(zhǔn)是在The Open Group FACE聯(lián)盟的支持下制定的開(kāi)放標(biāo)準(zhǔn)，當(dāng)前版本是3.0版;幾個(gè)早期版本（2.0、2.1、2.1.1）也在使用中，并且受支持。FACE 技術(shù)標(biāo)準(zhǔn)定義了一個(gè)由五個(gè)段（圖 1）和數(shù)據(jù)架構(gòu)組成的參考架構(gòu)：

操作系統(tǒng)段 （OSS） 為其他段提供軟件基礎(chǔ)，包括分區(qū)、進(jìn)程/線(xiàn)程管理和內(nèi)存管理等服務(wù)。

輸入/輸出服務(wù)段 （IOSS） 定義從 PSSS 到平臺(tái) IO 設(shè)備的接口。

特定于平臺(tái)的服務(wù)段（PSSS）定義了從PCS到IOSS的接口，例如圖形支持。

傳輸服務(wù)段 （TSS） 定義 FACE 組件之間的通信接口。

便攜式組件段 （PCS） 提供應(yīng)用程序功能，并通過(guò)僅使用其他段中定義的接口來(lái)實(shí)現(xiàn)可移植性。

圖1|FACE技術(shù)標(biāo)準(zhǔn)定義了一個(gè)由五個(gè)段和一個(gè)數(shù)據(jù)架構(gòu)組成的參考架構(gòu)。

FACE 參考架構(gòu)的基礎(chǔ)是 OSS，它通過(guò) ARINC 653 和 POSIX API ［應(yīng)用程序編程

接口］ 公開(kāi)標(biāo)準(zhǔn)接口。編程語(yǔ)言的運(yùn)行時(shí)庫(kù)通常也是 OSS 的一部分，盡管它們不是通過(guò) API 調(diào)用（可能無(wú)法在不同的編譯器實(shí)現(xiàn)中移植）而是通過(guò)源語(yǔ)言語(yǔ)法調(diào)用的。

由于符合 FACE 標(biāo)準(zhǔn)的組件可以部署在具有不同安全和/或安保要求的上下文中，因此 FACE 技術(shù)標(biāo)準(zhǔn)為 OSS 接口定義了幾個(gè)配置文件：

通用 – 對(duì)于不需要高級(jí)別保證的組件：不保證實(shí)時(shí)確定性，可選時(shí)間分區(qū)，需要空間分區(qū)。

安全 – 對(duì)于需要安全保證的組件：實(shí)時(shí)確定性，需要時(shí)間/空間分區(qū)。子配置文件安全基礎(chǔ)和安全擴(kuò)展反映了允許的 API。

安全性 – 對(duì)于需要安全和安保保證的組件：實(shí)時(shí)確定性，需要時(shí)間/空間分區(qū)。

FACE組件可以通過(guò)語(yǔ)言語(yǔ)法實(shí)現(xiàn)運(yùn)行時(shí)功能，而不是在ARINC 653或POSIX API上顯式調(diào)用，因此FACE技術(shù)標(biāo)準(zhǔn)定義了類(lèi)似于OSS配置文件的語(yǔ)言限制（“功能集”）。為 C、C++、Ada 和 Java 定義了通用、安全擴(kuò)展、安全基礎(chǔ)和安全功能集。（FACE技術(shù)標(biāo)準(zhǔn)版3.0定義了Ada 95的安全和安保功能集;版本 3.1 為 Ada 2012 添加了這些集。

應(yīng)用 DO-178C 原則

雖然DO-178C及其補(bǔ)充品是為應(yīng)用于商業(yè)機(jī)載系統(tǒng)而開(kāi)發(fā)的，但這些標(biāo)準(zhǔn)不一定是特定于軍用或商業(yè)航空的，并且可以用于其他安全關(guān)鍵領(lǐng)域。該指南基本上涉及三個(gè)主要目標(biāo)：

可靠性 – 系統(tǒng)執(zhí)行其應(yīng)執(zhí)行的操作（無(wú)故障）

安全 – 系統(tǒng)不做它不應(yīng)該做的事情（沒(méi)有危險(xiǎn)）

良好的軟件工程實(shí)踐 – 配置管理、質(zhì)量保證等

該標(biāo)準(zhǔn)沒(méi)有規(guī)定具體的開(kāi)發(fā)流程、危害評(píng)估方法或編程語(yǔ)言/工具，而是定義了目標(biāo)，當(dāng)滿(mǎn)意時(shí)，可以確信軟件滿(mǎn)足這些目標(biāo)。事實(shí)上，大多數(shù)目標(biāo)都與驗(yàn)證過(guò)程有關(guān)：人工審查、自動(dòng)分析和基于需求的測(cè)試，以適當(dāng)?shù)男判谋砻髅總€(gè)生命周期過(guò)程的輸出相對(duì)于其輸入是正確的。置信度（以及實(shí)現(xiàn)置信度所需的努力）取決于軟件的設(shè)計(jì)保證級(jí)別 （DAL）。

軟件組件的正式 DO-178C 認(rèn)證可能很昂貴，尤其是在更高的 DAL 上。然而，在需要這種認(rèn)證的商業(yè)航空領(lǐng)域之外，DO-178C可以更普遍地被視為生產(chǎn)安全關(guān)鍵系統(tǒng)的“最佳實(shí)踐”規(guī)范。從這個(gè)角度來(lái)看，該指南與FACE技術(shù)標(biāo)準(zhǔn)的要求是正交的，并且是一致的。通過(guò)采用和/或調(diào)整基于軟件DAL的DO-178C指南，F(xiàn)ACE應(yīng)用程序開(kāi)發(fā)人員 - 更具體地說(shuō)，便攜式組件部門(mén)的軟件開(kāi)發(fā)人員 - 可以在不進(jìn)行正式認(rèn)證的情況下獲得DO-178C提供的大部分好處。

圖2|DO-178C及其補(bǔ)充劑是為機(jī)載系統(tǒng)和其他安全關(guān)鍵領(lǐng)域而開(kāi)發(fā)的。

編程語(yǔ)言技術(shù)

DO-178C 的“軟件生命周期環(huán)境規(guī)劃”部分抓住了錯(cuò)誤預(yù)防的本質(zhì)：

。..選擇限制引入錯(cuò)誤機(jī)會(huì)的需求開(kāi)發(fā)和設(shè)計(jì)方法、工具和編程語(yǔ)言，以及確保檢測(cè)到引入錯(cuò)誤的驗(yàn)證方法。

由于早期錯(cuò)誤檢測(cè)是降低開(kāi)發(fā)和驗(yàn)證成本的關(guān)鍵，因此 FACE 應(yīng)用程序開(kāi)發(fā)人員需要仔細(xì)考慮使用哪種語(yǔ)言和工具。在具有 FACE 技術(shù)標(biāo)準(zhǔn)中定義的功能集的語(yǔ)言中，Ada 在編譯時(shí)和運(yùn)行時(shí)都強(qiáng)制執(zhí)行最廣泛的檢查。Ada的形式可分析的SPARK子集更進(jìn)一步，靜態(tài)檢測(cè)大量錯(cuò)誤（包括不正確的信息流和緩沖區(qū)溢出），而不會(huì)產(chǎn)生大量的“誤報(bào)”。

語(yǔ)言和 API 限制

DO-178C 制導(dǎo)對(duì) FACE 組件開(kāi)發(fā)的適用性在 FACE 功能集中得到了證明。盡管通用集可能適用于低 DAL 的軟件，但 DAL C 到 A 的組件可能需要限制為簡(jiǎn)單的語(yǔ)言子集（安全擴(kuò)展、安全基礎(chǔ)或安全），以確保確定性執(zhí)行和簡(jiǎn)單的運(yùn)行時(shí)支持。確定性和簡(jiǎn)單性的要求既適用于應(yīng)用程序代碼本身，也適用于與應(yīng)用程序隱式鏈接的任何運(yùn)行時(shí)庫(kù)（由 RTOS 或編譯器供應(yīng)商提供）。

例如，F(xiàn)ACE 技術(shù)標(biāo)準(zhǔn)版 3.0 中 Ada 95 的安全擴(kuò)展功能集禁止異步控制轉(zhuǎn)移、動(dòng)態(tài)存儲(chǔ)釋放和許多預(yù)定義的標(biāo)準(zhǔn)庫(kù);它還將并發(fā)（任務(wù)）支持限制為 Ravenscar 配置文件中定義的構(gòu)造。安全基礎(chǔ)和安全功能集進(jìn)一步限制了運(yùn)行時(shí)功能，將異常支持限制為“最后機(jī)會(huì)”處理程序，并禁止動(dòng)態(tài)分配。遵守功能集限制（或?yàn)椴僮飨到y(tǒng)段配置文件定義的 POSIX 和 ARINC 653 API）有助于簡(jiǎn)化安全關(guān)鍵型軟件的驗(yàn)證，同時(shí)滿(mǎn)足 FACE 要求。

合格、值得信賴(lài)的工具

使用軟件工具自動(dòng)化、減少或消除活動(dòng)可以降低成本并防止錯(cuò)誤，但前提是該工具值得信賴(lài)。在DO-178C的說(shuō)法中，該工具必須在適當(dāng)?shù)募?jí)別進(jìn)行鑒定。DO-178C 根據(jù)工具異常的影響和軟件組件的 DAL 定義了五個(gè)工具資格級(jí)別，TQL-5（最低）到 TQL-1（最高）。無(wú)論 DAL 如何，影響僅限于無(wú)法檢測(cè)到錯(cuò)誤的工具都需要根據(jù) TQL-5 的要求進(jìn)行限定。在另一個(gè)極端，輸出是 DAL A 機(jī)載軟件一部分的工具必須在 TQL-1 上合格。（由于工具中的異?？赡軙?huì)導(dǎo)致可執(zhí)行文件中的錯(cuò)誤代碼，因此在沒(méi)有此類(lèi)異常的情況下需要很高的置信度。各種 TQL 的具體要求在補(bǔ)充 DO-178C 的 DO-330 工具資格考慮標(biāo)準(zhǔn)中定義。

符合相關(guān) TQL 的工具可以信任用于 FACE 組件開(kāi)發(fā)或驗(yàn)證;資格證明可以證明依賴(lài)該工具是合理的，而無(wú)需手動(dòng)驗(yàn)證工具的輸出。例如，DO-178C 的目標(biāo)之一是“源代碼符合標(biāo)準(zhǔn)”，對(duì)于安全關(guān)鍵型 FACE 組件，相關(guān)標(biāo)準(zhǔn)將是相關(guān)的功能集定義（安全擴(kuò)展、安全基礎(chǔ)、安保），可能通過(guò)項(xiàng)目特定的限制進(jìn)行增強(qiáng)。檢查源代碼是否保留在生成的子集中的合格靜態(tài)分析工具可以減少驗(yàn)證工作。

源代碼的準(zhǔn)確性和一致性

DO-178C 中的關(guān)鍵驗(yàn)證目標(biāo)之一涉及源代碼的審查和分析：

準(zhǔn)確性和一致性。目的是確定源代碼的正確性和一致性，包括堆棧使用情況、內(nèi)存使用情況、定點(diǎn)算術(shù)溢出和解析、資源爭(zhēng)用和限制、最壞情況執(zhí)行時(shí)間、異常處理、未初始化變量的使用、緩存管理、未使用的變量以及由于任務(wù)或中斷沖突而導(dǎo)致的數(shù)據(jù)損壞。編譯器（包括其選項(xiàng)）、鏈接器（包括其選項(xiàng)）和某些硬件功能可能會(huì)對(duì)最壞情況的執(zhí)行計(jì)時(shí)產(chǎn)生影響，應(yīng)評(píng)估這種影響。

FACE組件開(kāi)發(fā)人員需要警惕這些問(wèn)題，并認(rèn)識(shí)到選擇合適的編程語(yǔ)言和工具的重要性。例如，在運(yùn)行時(shí)在 Ada 中檢測(cè)到整數(shù)和定點(diǎn)溢出，并且使用 Ravenscar 配置文件進(jìn)行并發(fā)（所有 Ada 功能集都允許這樣做，并且受可在 DO-178C DAL A 認(rèn)證的運(yùn)行時(shí)庫(kù)支持）可以幫助防止數(shù)據(jù)損壞。SPARK 靜態(tài)分析工具可以檢測(cè)未初始化變量的使用、未使用變量的出現(xiàn)、整數(shù)和定點(diǎn)溢出的可能性以及許多其他錯(cuò)誤。

使用以前開(kāi)發(fā)的軟件

FACE方法基于重用;在需要高保證的情況下，問(wèn)題是當(dāng)軟件組件在不同于最初認(rèn)證的環(huán)境中使用時(shí)，如何獲得足夠的置信度。

一個(gè)問(wèn)題是確定組件的 DAL（因此，對(duì)于 FACE 組件，要使用的 OSS 配置文件/語(yǔ)言功能集）以及隨之而來(lái)的生命周期要求。為了獲得最大的可重用性，應(yīng)在設(shè)想其使用的最高 DAL 下開(kāi)發(fā)和驗(yàn)證組件。

另一個(gè)實(shí)質(zhì)性問(wèn)題是如何獲得信心，即在一個(gè)系統(tǒng)中已被證明滿(mǎn)足相關(guān)生命周期目標(biāo)的組件將滿(mǎn)足另一個(gè)系統(tǒng)中的相關(guān)目標(biāo)。DO-178C 為幾種情況提供了具體指導(dǎo)：當(dāng)重用涉及軟件修改、飛機(jī)安裝更改、應(yīng)用程序或開(kāi)發(fā)環(huán)境更改或升級(jí)到開(kāi)發(fā)基線(xiàn)時(shí)。其中每個(gè)項(xiàng)目的基礎(chǔ)活動(dòng)都是全面的影響分析，以在整個(gè)軟件生命周期中識(shí)別組件在新上下文中重新部署的影響（包括對(duì)已知問(wèn)題的分析）。例如，將相同的源代碼移植到新處理器將需要重新驗(yàn)證最壞情況的執(zhí)行時(shí)間假設(shè)、足夠的堆棧空間預(yù)留和類(lèi)似的屬性。通過(guò)使用合格的工具可以減輕這種重新驗(yàn)證。

專(zhuān)業(yè)技術(shù)

現(xiàn)代軟件技術(shù)（如基于模型的工程、面向?qū)ο蠛托问交椒ǎ闄C(jī)載軟件的開(kāi)發(fā)人員帶來(lái)了許多好處，但它們也可能導(dǎo)致復(fù)雜性。例如，動(dòng)態(tài)綁定簡(jiǎn)化了某些設(shè)計(jì)模式，但也使演示正確的數(shù)據(jù)依賴(lài)關(guān)系變得更加困難。DO-178C的技術(shù)補(bǔ)充直接解決了這些問(wèn)題，并展示了如何解決潛在的問(wèn)題。

FACE方法側(cè)重于離散可重用軟件組件的軟件可移植性，將可靠性和安全性要求委托給其他標(biāo)準(zhǔn)。DO-178C專(zhuān)注于系統(tǒng)或子系統(tǒng)級(jí)別的軟件可靠性和安全性，將可移植性（使用先前開(kāi)發(fā)的軟件）視為相關(guān)問(wèn)題的“附加考慮因素”，而不是要求。這兩種方法是相輔相成的，是一致的。通過(guò)根據(jù) DO-178C 及其補(bǔ)充文件中提供的指南開(kāi)發(fā)和驗(yàn)證軟件組件，F(xiàn)ACE 組件提供商可以滿(mǎn)足 FACE 可移植性目標(biāo)，同時(shí)實(shí)現(xiàn)高 DAL 可靠性和安全性。

DO-178C指南的一個(gè)關(guān)鍵要素是及早發(fā)現(xiàn)錯(cuò)誤。面向軟件工程的語(yǔ)言（如 Ada 和 SPARK）由合格的工具和可認(rèn)證的運(yùn)行時(shí)庫(kù)（如 AdaCore 提供的庫(kù)）提供支持，可以簡(jiǎn)化安全認(rèn)證，同時(shí)實(shí)現(xiàn) FACE 組件重用。DO-178C和FACE方法形成了一個(gè)自然的結(jié)合，允許開(kāi)發(fā)人員結(jié)合商業(yè)和軍事領(lǐng)域的機(jī)載軟件生產(chǎn)的最佳實(shí)踐。

審核編輯：郭婷