飞行器机载系统的运行软件的调试方法和实施该方法的设备技术方案

本发明专利技术涉及一种机载系统的运行软件的程序的调试方法，其特征在于包括以下步骤：ａ）通过沿着执行路径布置标记来为程序设立标记（３１），以将所述执行路径分割成相邻的函数区间；ｂ）正常执行（３２）程序；ｃ）通过标记状态矢量捕获（３３）程序执行状态；ｄ）当一个错误被检测出时：根据标记状态矢量搜索（３６）有缺陷的函数区间，在该有缺陷的函数区间中反向执行（４１）程序；确定并改正（４２）错误。

【技术实现步骤摘要】
【国外来华专利技术】飞行器机载系统的运行软件的调试方法和实施该方法的设备
本专利技术属于当系统的运行取决于在一个计算器中逻辑指令序列的执行时，这些系统的运行的安全的领域。尤其是，本专利技术旨在一种应当执行逻辑指令序列的系统，尤其是具有高安全要求的系统，例如专门装载在飞行器上的电子系统，的运行软件的调试方法。本方法使得开发人员能够搜索并改正机载系统运行软件的逻辑指令序列中的错误。本专利技术非排它地在航空领域以及尤其是在专用于机载系统运行软件测试执行领域中具有特别的优势。
技术介绍
出于安全的考虑，用来安装在飞行器上的系统需要接受运行是否良好的检验，在检验中系统必需符合一些认证的要求。这在安装有类似系统的飞行器被授权进行飞行并甚至是投入商业服务之前进行。安装前，这些系统要经受一些测试以检验是否符合认证权威机构制定的完整性和安全性要求。这些机载系统可以尤其是一些特殊的计算机，用来实现一些对飞行器很重要的功能，例如，领航功能。这些系统在下文中被称作计算机。在现有系统的架构中，最常见的是每个计算机都可以用于同样性质的一种或多种应用，例如控制飞行的应用。每个计算机都包括一个硬件部分和一个软件部分。硬件部分包括至少一个中央处理单元(CPU)和至少一个输入/输出单元，计算机通过这个单元与一个计算机网络和一些外围设备等等连接。通常在航空领域中使用的机载系统的一个主要特征是，不论其硬件还是软件的结构，都尽量避免引入执行上述系统的功能所需之外的任何装置。因此，与普及的应用中通常碰到的系统相反的是，在航空领域，计算机不具备复杂的操作系统。另外，软件使用的语言与中央处理单元能理解的语言尽量接近，唯一可得到的输入/输出是系统运行所必需的，如来自飞行器传感器或其他部件的信息，或发送到驱动器或其他部件的信息。这种架构的优势在于这种系统的运行非常便于控制。它并不依赖一个复杂的操作系统，复杂的操作系统的多方面的运行都要根据不可控制的参数并且否则这些系统往往成为和应用软件同样的安全示范。这种系统简单不易受攻击，因为它只包括一些执行该系统的功能严格所必需的装置。相对地，这种系统的运行也非常难以进行观察。例如，这个系统不包括通常的人/机接口例如键盘和屏幕用来检验是否正确执行指令序列以及对执行进行调整，这就使得在软件的开发、检验和评定中难以进行一些必不可少的检验。计算机的软件包括一个专用于所考虑的应用并保证计算机运行的软件，软件指令要与确定系统的运行的算法相符。在系统和飞行器使用前，为了认证系统，要有一个对计算机进行生效确认的阶段。众所周知，生效确认阶段主要在于，在计算机操作过程的每个步骤，检验计算机是否符合设立的技术规范，使得上述计算机满足系统期待的运行。尤其对软件而言，要通过一系列的步骤来实现符合技术规范，从软件的最简单组件的检验到包括所有组件的整个完整软件安装在目标计算机中。在第一个步骤，对可被测试的最简单的软件部件进行所谓的单元测试。在这些测试过程中，检验所述软件部件的逻辑指令即代码单独地是否都与设计要求相符。在第二个步骤，即综合步骤，将已经分别接受检验的不同软件部件集合，形成软件部件相互作用的一个整体。对这些不同的软件部件进行整体性测试以确定这些软件部件尤其在上述部件的功能接口处是相容的。在第三个步骤，软件部件整体安装在专门的计算机中。从而，进行一些生效确认实验以显示由集成在计算机中软件部件整体组成的软件是否符合设备技术规范，即软件能完成预期的功能，以及运行可靠安全。为了保证软件的安全和满足认证的要求，在这个生效确认阶段，这个系统进行的整个测试同样必需能够以足够的概率得出软件与其所处的系统规定的安全要求相符。在生效确认阶段对软件进行的不同测试可以保证软件不会出现任何一种功能不良(会对计算机的运行良好产生影响，从而影响飞行器及其安全)或者一旦出现功能不良软件能够及时控制。然而，在生效确认阶段，尤其是当检验到异常进行研究时，不仅需要保证安装软件的计算机的输入和输出参数与期待相符，而且要保证软件内部的一些性能良好。在这种情况下，鉴于所安装应用的专用计算机的特殊结构，不使用特殊设备和方法时通常很难观察软件的运行。已知的第一种方法在于使用仿真器在所测试的安装有软件的计算机和一个平台之间建立一个文件分配系统。通过仿真器，一个设备能够在连接的平台上模拟计算机处理器的一个计算单元的逻辑运行。在使用仿真器的这样一个运行模式中，计算机的处理器可以用一个检测器代替，这个检测器保证与带有处理器的仿真功能的相连接平台接口。这样，就可以通过连接平台的自身功能，在除处理器部分外的计算机上，执行要测试的软件，观测软件的运行或一些内部运行不良，例如，输入/输出部件的输入的刺激所引起的不良，还能观测上述的输入/输出部件的输出。这个方法存在一些不足。事实上，要测试的计算机的任何类型都需要一个特别的测试台或者测试台的至少一个专门配置。测试台是一个尤其包括一些与要测试的计算机相互连接的装置和一些模拟计算机处理器的装置以及执行测试程序的装置的组合。既然每个处理器都需要一个特殊的仿真器，不论是仿真软件还是代替处理器的相应的检测器，那么需要增加符合计算机的性质的仿真器。另外，一般根据仿真器进行研究的可能性比较受限。再加上必需使用与所检验的处理器的特殊机器语言意味着程序员必须是一个机器语言程序设计专家。另外，仿真器成本昂贵，一般只会小批量生产。这类产品的生命周期也很短暂(6个月至2年)，而为了延长飞机程序的周期(20年，甚至更久)，在操作条件下需要对运作和检查装置进行维护(根据条例，工业反应性)。这表现为越来越难解决的废旧处理问题。因此这种仿真器的解决方案并不具有很好的实用性，因为，除了在检查研究方面的表现欠佳，它的使用和维护成本还很高。成本还可能增加的原因在于一般地出于安全设计理念，要使用处理器的不同模型以确保运行冗余，这就要求同样多的仿真器。第二种排除仿真器问题的方法在于，在执行要测试的程序前，在主平台上模拟计算机的运行。在这种情况下，为了读取测试的矢量或为了记录测试的结果，要测试的软件应当访问主平台的文件。因为要测试的软件自身并不包括类似的访问主平台的文件系统的功能，所以需要改进要测试的软件，增加这些访问功能。为了转移这些信息，人们一般使用由模拟测试环境发出的调用系统的指令。调用系统的指令可以是，例如打开文件，写入文件或者甚至是读取文件。调用系统指令通过主平台操作系统捕获，并将其转换为主平台的系统调用。这个第二种方法也同样存在一些不足。事实上，文件种类过多导致访问功能性的运作十分依赖主平台及其操作系统。然而，主平台不仅在空间上(世界各地分布的操作设备的情况)而且在时间上(主平台替换)的变化性是很大的，这就给这种方法的实际操作带来困难。这些困难更加严重，还因为访问文件系统的类似功能性的运作，同样需要能够改进操作系统功能的专家的技能，因此一些进行实验的专家并不具备。因此，这种方法成本过高，很难实施。另外这种方法对要测试的软件具有损害性，而且为了进行这些测试而修改软件会出现软件本身运行中断的风险。在计算器软件生效确认和检验阶段，测试的执行可揭示体现为运行软件的运行中止或者体现为一个或多个测试情况下产生出错误结果这一事实的错误。程序员这时应该在指令代码行中搜索出异常或错误，以期改正。本文档来自技高网...

【技术保护点】
一种机载系统的运行软件的调试方法，其特征在于包括以下步骤：ａ）通过沿着执行路径布置标记来为程序设立标记（３１），以将所述执行路径分割成相邻的函数区间；ｂ）正常执行（３２）程序；ｃ）通过标记状态矢量捕获（３３）程序执行状态；ｄ）当一个错误被检测出时：根据标记状态矢量搜索（３６）有缺陷的函数区间，在该有缺陷的函数区间中反向执行（４１）程序；确定并改正（４２）错误。

【技术特征摘要】
【国外来华专利技术】FR 2007-9-14 07576081.一种机载系统的运行软件的调试方法，其特征在于，它包括以下步骤：a)通过沿着执行路径布置标记来为程序设立标记(31)，以将所述执行路径分割成相邻的函数区间；b)正常执行(32)程序；c)通过标记状态矢量捕获(33)程序执行状态；d)当一个错误被检测出时：根据标记状态矢量搜索(36)有缺陷的函数区间；在该有缺陷的函数区间中反向执行(41)程序；确定并改正(42)错误，其中，当越过标记的函数已被无错误执行时标记状态矢量被激活；在相反情况下，标记状态矢量保持未激活；搜索有缺陷的函数区间包括搜索所述执行路径中的未激活的第一个标记；以及状态矢量已被激活的最后的函数允许恢复错误所处的函数。2.根据权利要求1所述的方法，其特征在于，当在处理器例外之后检测到程序中止时，错误被检测出。3.根据权利要求1或2所述的方法，其特征在于，它包括对错误所在的函数区间的细化操作。4.根据权利要求3所述的方法，其特征在于，函数区间的细化操作包括确定输入和输出补充标记和/或中间标记。5.根据权利要求1或2所述的...

【专利技术属性】
技术研发人员：F兰蒂姆比沃罗罗纳，F富尼耶，P勒墨尔，V布雷容，
申请(专利权)人：空中客车运营简易股份公司，
类型：发明
国别省市：FR[法国]