●第一部分引言
第1章引言和概覽2
1.1安全關鍵軟件的定義2
1.2安全性問題的重要性2
1.3本書目的和重要提示4
1.4本書概覽6
第二部分安全關鍵軟件開發的語境
第2章繫統語境中的軟件8
2.1繫統開發概覽8
2.2繫統需求10
2.2.1繫統需求的重要性10
2.2.2繫統需求的類型10
2.2.3良好的需求的特性10
2.2.4繫統需求考慮11
2.2.5需求假設14
2.2.6分配到軟/硬件項14
2.3繫統需求確認與驗證15
2.3.1需求確認15
2.3.2實現驗證15
2.3.3確認與驗證建議15
2.4繫統工程師很好實踐17
2.5軟件與繫統的關繫19
第3章繫統安全性評估語境中的軟件20
3.1航空器與繫統安全性評估過程概覽20
3.1.1安全性工作計劃21
3.1.2功能危險評估21
3.1.3繫統功能危險評估22
3.1.4初步航空器安全性評估22
3.1.5初步繫統安全性評估22
3.1.6共因分析23
3.1.7航空器安全性評估和繫統安全性評估24
3.2開發保證24
3.2.1開發保證等級25
3.3軟件如何置於安全性過程26
3.3.1軟件的獨特性26
3.3.2軟件開發保證26
3.3.3其他觀點28
3.3.4在繫統安全性過程關注軟件的建議28
第三部分使用DO-178C開發安全關鍵軟件
第4章DO-178C及支持文件概覽32
4.1DO-178歷史32
4.2DO-178C和DO-278A核心文件34
4.2.1DO-278A與DO-178C的不同39
4.2.2DO-178C附件A的目標表概覽39
4.3DO-330：軟件工具鋻定考慮43
4.4DO-178C技術補充43
4.4.1DO-331：基於模型的開發補充43
4.4.2DO-332：面向對像技術補充44
4.4.3DO-333：形式化方法補充44
4.5DO-248C：支持材料44
第5章軟件策劃46
5.1引言46
5.2一般策劃建議46
5.35個軟件計劃49
5.3.1軟件合格審定計劃49
5.3.2軟件開發計劃50
5.3.3軟件驗證計劃52
5.3.4軟件配置管理計劃54
5.3.5軟件質量保證計劃56
5.43個開發標準57
5.4.1軟件需求標準58
5.4.2軟件設計標準58
5.4.3軟件編碼標準59
5.5工具鋻定計劃60
5.6其他計劃60
5.6.1項目管理計劃60
5.6.2需求管理計劃60
5.6.3測試計劃60
第6章軟件需求61
6.1引言61
6.2定義需求61
6.3良好的需求的重要性62
6.3.1原因1：需求是軟件開發的基礎62
6.3.2原因2：好的需求時間和金錢63
6.3.3原因3：好的需求對安全性至關重要64
6.3.4原因4：好的需求對滿足客戶需要是必需的64
6.3.5原因5：好的需求對測試很重要64
6.4軟件需求工程師65
6.5軟件需求開發概覽66
6.6收集和分析軟件需求的輸入67
6.6.1需求收集活動67
6.6.2需求分析活動68
6.7編寫軟件需求69
6.7.1任務1：確定方法69
6.7.2任務2：確定軟件需求文檔格式70
6.7.3任務3：將軟件功能劃分為子繫統和/或特征70
6.7.4任務4：確定需求優先級71
6.7.5避免滑下的斜坡71
6.7.6任務5：編檔需求72
6.7.7任務6：提供繫統需求的反饋77
6.8驗證（評審）需求77
6.8.1同行評審推薦實踐78
6.9管理需求81
6.9.1需求管理基礎81
6.9.2需求管理工具81
6.10需求原型83
6.11可追蹤性83
6.11.1可追蹤性的重要性和好處84
6.11.2雙向可追蹤性84
6.11.3DO-178C和可追蹤性85
6.11.4可追蹤性挑戰86
第7章軟件設計88
7.1軟件設計概覽88
7.1.1軟件體繫結構88
7.1.2軟件低層需求89
7.1.3設計打包90
7.2設計方法90
7.2.1基於結構的設計（傳統）90
7.2.2面向對像的設計91
7.3良好設計的特性92
7.4設計驗證95
第8章軟件實現：編碼與集成97
8.1引言97
8.2編碼97
8.2.1DO-178C編碼指南概覽97
8.2.2安全關鍵軟件中使用的語言98
8.2.3選擇一種語言和編譯器100
8.2.4編程的一般建議102
8.2.5代碼相關的特別話題109
8.3驗證源代碼110
8.4開發集成111
8.4.1構建過程111
8.4.2加載過程112
8.5驗證開發集成112
第9章軟件驗證113
9.1引言113
9.2驗證的重要性113
9.3獨立性與驗證114
9.4評審115
9.4.1軟件計劃評審115
9.4.2軟件需求、設計和代碼評審115
9.4.3測試資料評審115
9.4.4其他資料項評審116
9.5分析116
9.5.1最壞情況執行時間分析117
9.5.2內存餘量分析117
9.5.3鏈接和內存映像分析118
9.5.4加載分析118
9.5.5中斷分析118
9.5.6數學分析119
9.5.7錯誤和警告分析119
9.5.8分區分析119
9.6軟件測試119
9.6.1軟件測試的目的120
9.6.2DO-178C軟件測試指南概覽121
9.6.3測試策略綜述123
9.6.4測試策劃126
9.6.5測試開發128
9.6.6測試執行130
9.6.7測試報告132
9.6.8測試可追蹤性132
9.6.9回歸測試132
9.6.10易測試性133
9.6.11驗證過程中的自動化133
9.7驗證的驗證134
9.7.1測試規程評審135
9.7.2測試結果的評審135
9.7.3需求覆蓋分析136
9.7.4結構覆蓋分析136
9.8問題報告142
9.9驗證過程建議145
第10章軟件配置管理148
10.1引言148
10.1.1什麼是軟件配置管理148
10.1.2為什麼需要軟件配置管理148
10.1.3誰負責實現軟件配置管理149
10.1.4軟件配置管理涉及什麼150
10.2軟件配置管理活動150
10.2.1配置標識150
10.2.2基線151
10.2.3可追蹤性151
10.2.4問題報告151
10.2.5變更控制和評審154
10.2.6配置狀態記錄155
10.2.7發布156
10.2.8歸檔和提取156
10.2.9資料控制類別157
10.2.10加載控制158
10.2.11軟件生命周期環境控制159
10.3特別的軟件配置管理技能159
10.4軟件配置管理資料160
10.4.1軟件配置管理計劃160
10.4.2問題報告160
10.4.3軟件生命周期環境配置索引160
10.4.4軟件配置索引160
10.4.5軟件配置管理記錄161
10.5軟件配置管理陷阱161
10.6變更影響分析163
第11章軟件質量保證166
11.1引言：軟件質量和軟件質量保證166
11.1.1定義軟件質量166
11.1.2高質量軟件的特性166
11.1.3軟件質量保證167
11.1.4常見質量過程和產品問題的例子168
11.2有效和無效的軟件質量保證的特征169
11.2.1有效的軟件質量保證169
11.2.2無效的軟件質量保證170
11.3軟件質量保證活動170
第12章合格審定聯絡174
12.1什麼是合格審定聯絡174
12.2與合格審定機構的溝通174
12.2.1與合格審定機構協調的很好實踐175
12.3軟件完成總結177
12.4介入階段審核178
12.4.1介入階段審核概覽178
12.4.2軟件作業輔助概覽179
12.4.3使用軟件作業輔助181
12.4.4對審核者的一般建議181
12.4.5對被審核者的一般建議186
12.4.6介入階段審核細節188
12.5合格審定飛行試驗之前的軟件成熟度195
第四部分工具鋻定和DO-178C補充
第13章DO-330和軟件工具鋻定198
13.1引言198
13.2確定工具鋻定需要和等級（DO-178C的12.2節）199
13.3鋻定一個工具（DO-330概覽）202
13.3.1DO-330的需要202
13.3.2DO-330工具鋻定過程203
13.4工具鋻定特別話題210
13.4.1FAA規定8110.49210
13.4.2工具確定性211
13.4.3額外的工具鋻定考慮211
13.4.4工具鋻定陷阱212
13.4.5DO-330和DO-178C補充214
13.4.6DO-330用於其他領域214
第14章DO-331和基於模型的開發與驗證215
14.1引言215
14.2基於模型開發的潛在好處216
14.3基於模型開發的潛在風險218
14.4DO-331概覽221
14.5合格審定機構對DO-331的認識225
第15章DO-332和面向對像技術及相關技術226
15.1面向對像技術介紹226
15.2OOT在航空中的使用226
15.3航空手冊中的OOT227
15.4FAA資助的OOT和結構覆蓋研究227
15.5DO-332概覽228
15.5.1策劃228
15.5.2開發228
15.5.3驗證228
15.5.4脆弱性229
15.5.5類型安全229
15.5.6相關技術230
15.5.7常見問題230
15.6OOT建議230
15.7結論230
第16章DO-333和形式化方法231
16.1形式化方法介紹231
16.2什麼是形式化方法232
16.3形式化方法的潛在好處233
16.4形式化方法的挑戰234
16.5DO-333概覽235
16.5.1DO-333的目的235
16.5.2DO-333與DO-178C的比較236
16.6其他資源238
第五部分特別專題
第17章未覆蓋代碼（無關代碼、死代碼和非激活代碼）240
17.1引言240
17.2無關代碼和死代碼240
17.2.1避免無關代碼和死代碼的晚發現241
17.2.2評價無關代碼或死代碼242
17.3非激活代碼243
17.3.1策劃245
17.3.2開發245
17.3.3驗證246
第18章外場可加載軟件247
18.1引言247
18.2什麼是外場可加載軟件247
18.3外場可加載軟件的好處247
18.4外場可加載軟件的挑戰248
18.5開發和加載外場可加載軟件248
18.5.1開發支持外場加載的繫統248
18.5.2開發外場可加載軟件249
18.5.3加載外場可加載軟件249
18.5.4修改外場可加載軟件250
18.6總結250
第19章用戶可修改軟件251
19.1引言251
19.2什麼是用戶可修改軟件251
19.3UMS例子252
19.4為UMS設計繫統252
19.5修改和維護UMS254
第20章實時操作繫統256
20.1引言256
20.2什麼是RTOS256
20.3為什麼使用RTOS257
20.4RTOS內核及其支持軟件258
20.4.1RTOS內核258
20.4.2應用編程接口258
20.4.3主板支持包259
20.4.4設備驅動260
20.4.5支持庫260
20.5安全關鍵繫統中使用的RTOS的特性260
20.5.1確定性260
20.5.2可靠的性能260
20.5.3硬件兼容261
20.5.4環境兼容261
20.5.5容錯261
20.5.6健康監控261
20.5.7可審定262
20.5.8可維護262
20.5.9可復用262
20.6安全關鍵繫統中使用的RTOS的功能262
20.6.1多任務262
20.6.2有保證和確定性的可調度性263
20.6.3確定性的任務間通信264
20.6.4可靠的內存管理265
20.6.5中斷處理265
20.6.6鉤子函數265
20.6.7健壯性檢查266
20.6.8文件繫統266
20.6.9健壯分區266
20.7需考慮的RTOS問題266
20.7.1要考慮的技術問題267
20.7.2要考慮的合格審定問題269
20.8RTOS相關的其他話題271
20.8.1ARINC653概覽271
20.8.2工具支持273
20.8.3開源RTOS274
20.8.4多核處理器、虛擬化和虛擬機管理器274
20.8.5保密性275
20.8.6RTOS選擇問題275
第21章軟件分區276
21.1引言276
21.1.1分區：保護的一個子集276
21.1.2DO-178C和分區277
21.1.3健壯分區277
21.2共享內存（空間分區）279
21.3共享中央處理器（時間分區）279
21.4共享輸入/輸出280
21.5一些與分區相關的挑戰281
21.5.1直接內存訪問281
21.5.2高速緩存281
21.5.3中斷282
21.5.4分區間通信282
21.6分區的建議282
第22章配置數據287
22.1引言287
22.2術語和例子287
22.3DO-178C關於參數數據項的指南總結289
22.4建議289
第23章航空數據293
23.1引言293
23.2DO-200A：航空數據處理標準293
23.3FAA咨詢通告AC20-153A296
23.4用於處理航空數據的工具297
23.5與航空數據相關的其他工業文件298
23.5.1DO-201A：航空信息標準298
23.5.2DO-236B：航空繫統性能大力度優惠標準：區域導航要求的導航性能298
23.5.3DO-272C：機場地圖信息的用戶需求298
23.5.4DO-276A：地形和障礙數據的用戶需求298
23.5.5DO-291B：地形、障礙和機場地圖數據互換標準298
23.5.6ARINC424：導航繫統數據庫標準299
23.5.7ARINC816-1：機場地圖數據庫的嵌入式互換格式299
第24章軟件復用300
24.1引言300
24.2設計可復用構件301
24.3復用先前開發的軟件304
24.3.1為在民用航空產品中使用而評價PDS305
24.3.2復用未使用DO-178［］開發的PDS308
24.3.3COTS軟件的額外考慮310
24.4產品服役歷史311
24.4.1產品服役歷史的定義311
24.4.2使用產品服役歷史尋求置信度的困難311
24.4.3使用產品服役歷史聲明置信度時考慮的因素312
第25章逆向工程313
25.1引言313
25.2什麼是逆向工程313
25.3逆向工程的例子314
25.4逆向工程要考慮的問題314
25.5逆向工程的建議315
第26章外包和離岸外包軟件生命周期活動321
26.1引言321
26.2外包的原因322
26.3外包的挑戰和風險322
26.4克服挑戰和風險的建議325
26.5總結331
附錄A活動轉換準則舉例332
附錄B實時操作繫統關注點338
附錄C為安全關鍵繫統選擇實時操作繫統時考慮的問題341
附錄D軟件服役歷史問題344
縮略語348
參考文獻353
推薦讀物365

本書以民用航空機載軟件適航標準制定者的視角，詳細介紹了如何基於目前近期新版的DO-178C標準進行安全關鍵軟件的開發與管理，給出了如何獲得成功審定的實用指南。主要內容包括：在繫統與安全大視野中的軟件，DO-178C標準的深入解讀和推薦實踐，4個標準技術補充（軟件工具鋻定、基於模型的開發、面向對像技術和形式化方法）的講解說明，以及10個相關特別專題（未覆蓋代碼、外場可加載軟件、用戶可修改軟件和實時操作繫統等）的指導建議。