6、驗(yàn)證

　　測(cè)試不足以證明可靠性；需要其他方法來(lái)補(bǔ)充：形式化設(shè)計(jì)、統(tǒng)計(jì)分析和回顧性設(shè)計(jì)驗(yàn)證等。

　　測(cè)試的設(shè)計(jì)是通過(guò)引發(fā)錯(cuò)誤和故障來(lái)間接地找出設(shè)計(jì)或?qū)嵤┲械娜毕荨y(cè)試的首要作用是對(duì)發(fā)現(xiàn)和孤立Bohrbug，即一種即便在調(diào)試程序應(yīng)用時(shí)仍保持不變的連續(xù)重現(xiàn)的漏洞。但是測(cè)試在面對(duì)Heisenbug時(shí)作用較小，因?yàn)橥蝗毕菰诿看伟l(fā)生時(shí)表現(xiàn)為不同的錯(cuò)誤。

　　
圖2 一臺(tái)醫(yī)療監(jiān)測(cè)設(shè)備系統(tǒng)級(jí)故障樹(shù)細(xì)節(jié)

　　在圖2所示的醫(yī)療監(jiān)測(cè)設(shè)備系統(tǒng)級(jí)故障樹(shù)中，使用的貝葉斯網(wǎng)絡(luò)，可以天衣無(wú)縫地地融入采用貝葉斯技術(shù)的安全案例之中。

　　要證明我們的系統(tǒng)滿(mǎn)足其安全要求，我們必須采用包括測(cè)試在內(nèi)的多種手段：

　　靜態(tài)分析-——受到包括FDA在內(nèi)的多家機(jī)構(gòu)的推薦，靜態(tài)分析對(duì)于定位可疑代碼十分有價(jià)值。它包含針對(duì)編碼標(biāo)準(zhǔn)的語(yǔ)法檢查、故障概率估計(jì)、針對(duì)代碼指令的正確驗(yàn)證，以及符號(hào)執(zhí)行（靜態(tài)/動(dòng)態(tài)混合）。

　　實(shí)地使用和曾用數(shù)據(jù)——對(duì)建立可靠性指標(biāo)至關(guān)重要，使用時(shí)間和該段時(shí)間內(nèi)的故障情況的搜集應(yīng)該貫穿整個(gè)產(chǎn)品生命周期：樣本越多，我們對(duì)提出的指標(biāo)也就越有信心。

　　故障輸入——故意輸入故障既可以檢驗(yàn)用來(lái)處理錯(cuò)誤檢測(cè)的代碼，還可以幫助預(yù)估剩余故障的數(shù)目。和隨機(jī)測(cè)試分析一樣，故障輸入的結(jié)果需要細(xì)致的統(tǒng)計(jì)分析。

　　形式化和半形式化的設(shè)計(jì)驗(yàn)證——傳統(tǒng)上是在執(zhí)行前完成，設(shè)計(jì)驗(yàn)證也可回顧性執(zhí)行。

　　7、COTS和SOUP

　　無(wú)論是COTS，甚或是SOUP，只要這個(gè)部件有足夠證據(jù)來(lái)支持系統(tǒng)的整體安全案例，就可以采用。

　　建立一個(gè)安全軟件系統(tǒng)的最佳途徑通常不是完全自力更生，因?yàn)檫@樣所承擔(dān)的風(fēng)險(xiǎn)要比建立一個(gè)采用選定COTS（commercial off-the-shelf，商業(yè)成品）零部件的系統(tǒng)要大。建立操作系統(tǒng)、通信棧和數(shù)據(jù)庫(kù)需要專(zhuān)門(mén)的知識(shí)，而相應(yīng)的COTS也許會(huì)有上千萬(wàn)小時(shí)的使用歷史優(yōu)勢(shì)。

　　雖然如此，對(duì)醫(yī)療設(shè)備開(kāi)發(fā)者來(lái)說(shuō)，COTS軟件通常是SOUP（software of uncertain provenance，不確定出處軟件），因而應(yīng)該謹(jǐn)慎對(duì)待。IEC 61508和IEC 62304都假定SOUP會(huì)被用到。關(guān)鍵在于要有充足的可靠證據(jù)來(lái)量化SOUP對(duì)系統(tǒng)安全指標(biāo)的影響。

　　這些證據(jù)將包括在實(shí)地使用數(shù)據(jù)、故障歷史記錄和其他歷史數(shù)據(jù)。我們應(yīng)該要求獲得源代碼和測(cè)試計(jì)劃，這樣可以利用靜態(tài)代碼分析工具來(lái)檢驗(yàn)軟件。供應(yīng)商還應(yīng)該提供用來(lái)構(gòu)建軟件的詳細(xì)流程，或者是外部審核員的聲明，肯定這些流程適用于IEC 62304設(shè)備。

　　8、經(jīng)認(rèn)證的零部件及其供應(yīng)商

　　具備安全認(rèn)證的零部件，比如通過(guò)IEC 61508認(rèn)證的操作系統(tǒng)，可以加速開(kāi)發(fā)和驗(yàn)證，有助于加快審準(zhǔn)步伐。

　　如果使用COTS，采用獲得相關(guān)批準(zhǔn)的零部件很有幫助。諸如FDA、MHAR、加拿大衛(wèi)生部以及其他國(guó)家的同等部門(mén)的組織所審批的不是這些零部件，而且面向市場(chǎng)的整個(gè)系統(tǒng)或設(shè)備；即便如此，獲得類(lèi)似IEC 61508或IEC 62304認(rèn)證的零部件可以簡(jiǎn)化審批流程，縮短上市時(shí)間。

　　要獲得認(rèn)證，a）這些零部件必須在一個(gè)流程和質(zhì)量管理都到位的環(huán)境中進(jìn)行開(kāi)發(fā)，b）它們必須經(jīng)過(guò)合理的測(cè)試和驗(yàn)證，c） COTS軟件供應(yīng)商必須提供所有必要的文檔，來(lái)支持最終設(shè)備獲得批準(zhǔn)。

　　9、審核員

　　審核員是我們的朋友，要盡早與他們合作。

　　在安全軟件開(kāi)發(fā)的世界中，認(rèn)證審核員是我們的朋友。他們知道我們要如何建立獲得認(rèn)證的流程，也能幫助我們構(gòu)建安全案例。越早讓審核員參與項(xiàng)目幫助我們，日后需要修改的地方就越少，開(kāi)發(fā)周期的效率也越高。

　　在把證據(jù)加入安全案例之前，同審核員探索所提出的安全案例論點(diǎn)架構(gòu)尤為有用。如果用類(lèi)似GSN或BBN這樣的形式化構(gòu)架來(lái)表達(dá)論點(diǎn)，清晰地將論點(diǎn)架構(gòu)從證據(jù)中分離出來(lái)，那么我們就可以問(wèn)審核員：“若我們給出該論點(diǎn)的證據(jù)，你能滿(mǎn)意嗎？”這可以減少審核過(guò)程中的意外。

　　10、產(chǎn)品發(fā)布不是終點(diǎn)

　　我們對(duì)安全系統(tǒng)所肩負(fù)的責(zé)任不會(huì)因產(chǎn)品發(fā)布而終結(jié)；它將一直持續(xù)到最后一個(gè)設(shè)備和最后一個(gè)系統(tǒng)的功成身退。

　　以下數(shù)字雖然有點(diǎn)陳舊，但是有說(shuō)服力：軟件的更新會(huì)影響其完整性：FDA在1992-1998年間的一項(xiàng)研究表明，在3140個(gè)召回器件中，有242個(gè)（7.7%）是由于軟件故障。其中192個(gè)（幾乎占80%）的故障是由軟件維護(hù)中引入的缺陷引起。

　　換句話(huà)說(shuō)，這些缺陷是在設(shè)備進(jìn)入市場(chǎng)之后引入的。因此，我們用以確保軟件達(dá)到其安全要求的流程必須包括軟件的整個(gè)生命周期，包括修復(fù)和更新。