ГОСТР 53195.5—2010
В.2.10 Использование заслуживающих доверия,’проверенных программных модулей и их компонентов
П р и м е ч а н и я
1 На этот метод/средсгводана ссылка в ГОСТ Р 53195.4 (таблица А.4).
2 Некоторые математические методы, обеспечивающие последующие численные оценки, приведены в
приложении Г. Аналогичные средства и статистический подход изложены также в Б.5.4.
Цель: исключение вариантов проектирования компонентов программных модулей и АС. предусматриваю
щих необходимость их интенсивных повторных проверок или перепроектирования для каждого нового приме
нения: использование преимуществ проектов, которые не были формально или строго проверены, но для кото
рых имеются продолжительные эксплуатационные предыстории.
Описание: применение таких модулей и компонентов гарантирует, что программные модули и компоненты
достаточно свободны от систематических ошибок проектирования и/или эксплуатационных отказов. Использо
вание заслуживающих доверия программных модулей и компонентов (то есть проверенных в эксплуатации)
может быть достаточным в качестве единственной меры, гарантирующей достижение необходимого уровня
полноты безопасности, лишь в редких случаях. Для сложных компонентов со многими возможными функциями
(например, операционной системы) важно установить, какая из функций реально достаточно проверена при ее
использовании. Например, в тех случаях, когда используется процедура самотестирования для обнаружения
сбоев АС и когда в период эксплуатации никаких отказов АС не случилось, процедуру самотестирования на обна
ружение сбоев нельзя рассматривать как проверенную на практике.
Компонент или программный модуль может быть в достаточной мере заслуживающим доверия, если он
уже проверен для требуемого уровня полноты безопасности или если он соответствует следующим критериям:
- спецификация не изменялась:
- системы использовались в различных применениях:
- имеется по меньшей мере один год предыстории работы:
- время эксплуатации соответствует уровню полноты безопасности или соответствующему числу запросов;
демонстрируются не связанные с безопасностью частоты отказов, меньшие чем:
- 10"2отказов на запрос (в год) с уверенностью 95 % при требуемом числе эксплуатационных прогонов
(в год) 30;
- 10~5отказов на запрос (в год) с уверенностью 99.9 % при требуемом числе эксплуатационных прогонов
(в год) 690 000:
- весь опыт эксплуатации должен быть соотнесен с известным профилем запросов функций программного
модуля для гарантирования того, что увеличивающийся опыт эксплуатации действительно приводит к увеличению
сведений о поведении программного модуля, связанного с соответствующим профилем запроса;
- отказы, не связанные с безопасностью.
П р и м е ч а н и е — Отказ, который может быть некритичным для безопасности водном контексте, может
оказаться критичным для безопасности в другом контексте, и наоборот.
Чтобы обеспечить достоверность того, что компонент или программный модуль соответствует критерию,
должно быть задокументировано следующее:
- точная идентификация каждой системы и ее компонентов, включая номера версий (как для ПО. так и
для АС);
- идентификация пользователей и время применения;
- время эксплуатации:
- процедура вьбора систем, применяемых пользователями, и случаев применения.
- процедуры обнаружения и регистрации отказов и устранения сбоев.
Более подробное описание данного метода’средства приведено в [148, 150. 153].
В.ЗСтруктурное проектирование
В.3.1 Обнаружение идиагностика сбоев
П р и м е ч а н и е — На этот метод!средство дана ссылка в ГОСТ Р 53195.4 (таблица А.2).
Цель: обнаружение сбоев в системе, которые могут привести к отказам, и тем самым обеспечение основы
для мер по минимизации последовательностей ошибок.
Описание: обнаружение сбоев представляет собой действие по проверке системы на наличие ошибочных
состояний (обусловленных сбоями в проверяемой системе или подсистеме), предпринимаемое для предотвра
щения появления неверных результатов. Система, действующая в сочетании с параллельными компонентами,
останавливающая управление при обнаружении некорректности ее собственных результатов, называется само-
проверяемой.
Обнаружение сбоев основывается на принципах избыточности (в основном при обнаружении сбоев АС —
см. ГОСТ Р 53195.3, приложение А) и разнообразия (программные сбои). Для определения корректности
результатов требуется некоторый вид голосования. Могут быть применены определенные специальные методы,
к которым относятся: программирование утверждений, метод программирования N-версий и так называемая
49