故障插入测试技术研究

故障插入测试技术是开展功能安全评估的一种重要方法，通过模拟故障并观察安全相关系统的反应，可以分析安全机制实现的诊断覆盖率情况。本文通过对国内外已有的故障插入测试的方法和实现的平台等进行综合调研和比对，提出了在功能安全评估测试中开展故障插入测试的典型流程和技术手段。

故障插入测试是对安全相关系统诊断和故障反应的重要验证方法，在功能安全基础标准IEC61508（GB/T20438）中明确指出，对于声明的诊断覆盖率达到或超过90%的诊断技术，需要开展故障插入测试[1]。在对安全相关系统进行评估认证时，评估方需要根据IEC61508.2的附录A.1中罗列的故障给出故障插入的范围，对制造商按照IEC61508.2的附录A.2-A.14设计的诊断方法进行验证，以证明诊断方法的有效性。
为了在功能安全评估认证过程中正确合理的开展故障插入测试，本文对故障插入技术的方法和故障插入设备进行了研究，并对这些方法进行了比较，给出了适合于目前工业应用安全相关系统产品的方法和措施。
1、故障插入测试技术简介
故障插入是目前广泛应用于安全系统、容错系统进行可信性验证十分普遍的一种方法。在航空航天、武器装备的嵌入式系统中已经得到广泛的应用。随着功能安全技术发展，在如今的工业安全产品开发和研制过程之中也得到借鉴和推广。
目前，国内外普遍采用的故障插入方法主要可分为三类：仿真模拟方法、基于软件的故障插入、基于硬件的故障插入。
仿真模拟方法主要应用于产品的概念和设计阶段，在基于仿真的故障插入技术中，故障被插入到计算机系统的仿真模型，这项技术通常应用于开发周期的前期阶段，即计算机系统的物理原型建立之前的概念和设计阶段。通过进行仿真，及时发现系统弱点，纠正设计错误，降低设计成本[2]。这种仿真技术的主要优点是可观察性和可控制性。可观察性指故障对系统的影响是可以被观察和衡量的，可控制性指可以在指定时间和区域插入故障。在功能安全评估认证过程之中，可以利用失效分析等方法来代替这种仿真。下面详细介绍软件故障插入和硬件故障插入方式。
2、软件故障插入
软件故障插入的最终目的还是模拟硬件出现故障时系统的行为，对于如处理器之类的复杂IC，由于其内部资源如内存、寄存器难以通过外部的物理方法改变，而变相的设计一段故障程序或人为的写入故障数据，来对这些部分的诊断功能进行检测。如果插入目标是应用程序，那么故障插入可以在应用程序之中或在应用程序与操作系统之间；如果插入目标是操作系统或固件，那么必须嵌入到操作系统或固件之间（在操作系统或固件与硬件之间很难再有一个层次）。
软件故障插入的缺点是：
a)不能够插入到软件无法访问的区域；
b)可能会对原始软件的运行产生扰乱；
c)可能无法模拟一些短时间的潜在故障。
软件插入方法又可以分为：在编译时期的插入和在运行时期的插入。
在编译时期插入简单的说即是对软件的源代码进行修改，插入故障程序或直接修改数据，产生错误然后评估错误的影响。
在运行时期插入需要利用一些机制来触发故障的插入，一些通用的机制包括：
a)超时（Time-out）。即计时器在一个预定的时间内终止，触发插入。特殊情况下，超时时间会形成一个中断来调用故障插入。计时器可以是一个硬件或软件计时器。这个方法不要求对软件进行修改。但硬件计时器必须与系统的中断处理向量表相连接。
b)异常/陷阱（Exception/Trap），在这种情况下一个硬件异常或软件陷阱会将控制转移到故障插入。与超时不同，异常/陷阱能够在某件事或某个情况发生时插入故障[3]。
c)代码插入（Code insertion），在目标程序之中加入特殊指令，允许故障在特定指令执行之