結(jié)構(gòu)覆蓋標(biāo)準(zhǔn)

　　在驗(yàn)證任何系統(tǒng)時(shí)，其中一個(gè)最艱難的步驟是決定何時(shí)停止測(cè)試。該決定需要考慮系統(tǒng)可靠性要求，并最終取決于IEC 62304以及監(jiān)管機(jī)構(gòu)對(duì)于醫(yī)療設(shè)備的安全規(guī)章。

　　覆蓋標(biāo)準(zhǔn)可以幫助衡量動(dòng)態(tài)測(cè)試已經(jīng)實(shí)現(xiàn)的成果，也可以用于測(cè)量剩余需要完成的測(cè)試工作。這些標(biāo)準(zhǔn)包括：

　　? 語(yǔ)句覆蓋：最基礎(chǔ)的標(biāo)準(zhǔn)，由被測(cè)試系統(tǒng)的語(yǔ)句部分組成。

　　? 分支/判定覆蓋：覆蓋的控制流分支部分。平均而言，每一個(gè)語(yǔ)句和程序呼叫被執(zhí)行的次數(shù)是單獨(dú)語(yǔ)句覆蓋的兩倍。

　　? LCSAJ覆蓋：路徑相關(guān)的標(biāo)準(zhǔn)，LCSAJ(線性代碼順序和跳轉(zhuǎn))覆蓋比分支/判定覆蓋要求更高，并且在應(yīng)用的大多數(shù)關(guān)鍵領(lǐng)域都可使用。市場(chǎng)上較復(fù)雜的工具會(huì)包含此功能。

　　? 修正條件/判定覆蓋：在一個(gè)程序中每一種輸入輸出至少要出現(xiàn)一次，在程序中的每一個(gè)條件必須產(chǎn)生所有可能的輸出結(jié)果至少一次，并且每一個(gè)判定中的每一個(gè)條件必須能夠獨(dú)立影響一個(gè)判定的輸出，則完全的MC/DC覆蓋已經(jīng)達(dá)到。

　　軟件分析工具的選擇

　　所有軟件工具提供商都非常希望售出自己的產(chǎn)品，因此極少有廠商會(huì)主動(dòng)介紹他們的工具無(wú)法實(shí)現(xiàn)的功能。下面是評(píng)估軟件分析工具時(shí)的一些注意要點(diǎn)：

　　錯(cuò)誤報(bào)告

　　? 該工具是否會(huì)產(chǎn)生很多假陽(yáng)性報(bào)告?也就是說(shuō)，它是否會(huì)報(bào)告其實(shí)并不存在的故障?

　　? 該工具是否會(huì)產(chǎn)生假陰性報(bào)告?也就是說(shuō)，它沒(méi)有及時(shí)報(bào)告其實(shí)存在的故障?

　　項(xiàng)目兼容性

　　? 該工具在生成有益的信息時(shí)是否需要很長(zhǎng)時(shí)間?工具運(yùn)行所需要的時(shí)間通常并不是問(wèn)題，但仍是一個(gè)考慮因素，因?yàn)槿绻臅r(shí)過(guò)長(zhǎng)，則會(huì)成為項(xiàng)目實(shí)施的障礙。

　　? 該工具是否支持項(xiàng)目的語(yǔ)言?很多編譯器執(zhí)行自己的語(yǔ)言版本，并在該版本下分析代碼。因此，確保分析工具支持項(xiàng)目所用的語(yǔ)言就非常重要。

　　? 該工具是否可以立即整合至開(kāi)發(fā)進(jìn)程?如果需要不相稱的努力來(lái)將工具集成到項(xiàng)目，則其作用不大。

　　功能和局限性

　　? 該工具是否可在整個(gè)系統(tǒng)工作?這是一個(gè)非常重要的問(wèn)題，因?yàn)閮H當(dāng)對(duì)整個(gè)系統(tǒng)進(jìn)行分析時(shí)，有些故障才能被檢測(cè)到。

　　? 該工具是否可以適應(yīng)跨程序循環(huán)?即使是在單一隊(duì)列，如果僅當(dāng)另一程序被分析時(shí)，某個(gè)程序才能被完全分析，跨程序循環(huán)也極為重要。

　　? 該工具的局限性有哪些?所有的工具都有局限性，包括所能分析的代碼數(shù)量，所能處理的模塊深度，所允許的嵌套深度以及表格規(guī)格。這些局限性及其對(duì)項(xiàng)目的影響也需要被注意且考慮在內(nèi)。

　　總結(jié)

　　鑒于復(fù)雜的軟件系統(tǒng)是很多醫(yī)療設(shè)備的核心，這些設(shè)備的成功與否與制造商展示軟件系統(tǒng)是否符合可靠性要求的能力有越來(lái)越密切的聯(lián)系。如FDA、 MDD和MHRA等的監(jiān)管機(jī)構(gòu)負(fù)責(zé)審批整個(gè)設(shè)備，而不是其中的一部分，證明設(shè)備軟件(軟件安全例證)可靠對(duì)于整個(gè)設(shè)備的審批就非常重要。因此，密切關(guān)注設(shè)計(jì)和開(kāi)發(fā)實(shí)踐，仔細(xì)選擇驗(yàn)證方法以及實(shí)施工具，對(duì)于任何使用軟件系統(tǒng)的醫(yī)療設(shè)備項(xiàng)目的成功都極為重要。

　　操作系統(tǒng)

　　不管驗(yàn)證工具多么優(yōu)秀，歸根結(jié)底它也是設(shè)備，它的軟件也需要通過(guò)審批。對(duì)任何使用軟件的系統(tǒng)而言，芯片以上的任何元件都需要依賴于操作系統(tǒng)(OS)。這意味著包含軟件的醫(yī)療設(shè)備的可靠性取決于其OS，而該OS必須有能力支持對(duì)于設(shè)備安全性提出的要求。在為安全系統(tǒng)選擇OS時(shí)需要注意以下幾個(gè)關(guān)鍵要求。

　　實(shí)時(shí)擔(dān)保

　　只有實(shí)時(shí)操作系統(tǒng)(RTOS)可以確?？煽啃运蟮募皶r(shí)反饋，而可靠性對(duì)任何安全軟件系統(tǒng)來(lái)說(shuō)都是最基本的。

　　架構(gòu)

　　實(shí)時(shí)執(zhí)行或者宏內(nèi)核操作系統(tǒng)的失效通常要求設(shè)備進(jìn)行重啟，這就使得系統(tǒng)可用性大打折扣。在微內(nèi)核實(shí)時(shí)操作系統(tǒng)中，應(yīng)用程序、設(shè)備驅(qū)動(dòng)程序、文件系統(tǒng)和網(wǎng)絡(luò)協(xié)議棧都運(yùn)行在內(nèi)核外部的獨(dú)立地址空間，因此它們不僅與內(nèi)核隔離，而且彼此之間也互不影響。一個(gè)組件出現(xiàn)故障不會(huì)導(dǎo)致整個(gè)系統(tǒng)癱瘓。

　　內(nèi)存保護(hù)

　　OS架構(gòu)需要將其內(nèi)存里的應(yīng)用和關(guān)鍵進(jìn)程分開(kāi)，防止單個(gè)故障蔓延至整個(gè)系統(tǒng)。

　　優(yōu)先級(jí)繼承

　　為防止優(yōu)先級(jí)反轉(zhuǎn)，RTOS需要支持將被阻止的高優(yōu)先級(jí)任務(wù)的優(yōu)先級(jí)分配給阻止任務(wù)的低優(yōu)先級(jí)線程，直至完成被阻止的任務(wù)。

　　分區(qū)

　　為了確?？捎眯裕琑TOS需要支持固定分區(qū)或者更受青睞的自適應(yīng)分區(qū)。后者強(qiáng)制執(zhí)行資源預(yù)算，但采用一種動(dòng)態(tài)調(diào)度算法將一個(gè)分區(qū)內(nèi)閑置的 CPU 周期重新分配到另一個(gè)需要更多處理時(shí)間的分區(qū)內(nèi)。

　　高可用性

　　一個(gè)自啟動(dòng)的監(jiān)視程序需要監(jiān)控、停止以及在保證安全性的前提下來(lái)重啟進(jìn)程，而不需要系統(tǒng)的復(fù)位。如果重啟并不安全，則監(jiān)視程序需要將系統(tǒng)設(shè)置在設(shè)計(jì)安全狀態(tài)。