嵌入式軟件安全設計理念
在設計初期排查各種可能的風(fēng)險,投入較低并可獲得高回報。最終的產(chǎn)品質(zhì)量也可以得到很好的控制。下面借鑒安全管理學(xué)思想,列舉一些生活實(shí)例說(shuō)明嵌入式軟件設計的安全理念。
1 圍墻問(wèn)題
學(xué)校修筑圍墻,有一個(gè)問(wèn)題――到底需要的高度是多少?過(guò)低,很容易翻越圍墻進(jìn)出,起不到圍墻的屏障作用;過(guò)高,翻越的人滑落容易傷亡,這也不是修筑圍墻的初衷。程序設計中的程序運行異常好比非法進(jìn)出校園。一方面需要防止程序異常,這就類(lèi)似修了圍墻。但另一方面也需要注意圍墻高度:圍墻過(guò)高,輕易不出問(wèn)題,但一出就是大問(wèn)題。比如數據通信傳輸程序,加入CRC冗余校驗。如果數據傳輸出現校驗錯誤,CRC冗余校驗可能恢復錯誤的數據。但是如果在設計測試初期就使用CRC校驗,并且程序中沒(méi)有警告信息,就有可能將錯誤延續到產(chǎn)品發(fā)布階段。產(chǎn)品到現場(chǎng)出問(wèn)題那就嚴重了。還有一個(gè)例子,看門(mén)狗程序是為了程序異常時(shí)自動(dòng)重啟恢復系統。如果在程序測試期間就使用看門(mén)狗,同樣會(huì )屏蔽測試期間的程序跑飛、死機等問(wèn)題,是不利于發(fā)現程序缺陷的。
2 修褲腳問(wèn)題
給孩子買(mǎi)了條褲子,試穿后發(fā)現褲子長(cháng)了些,于是很精確地測量出需要截去10 cm。問(wèn)題出現了,媽媽動(dòng)手改好了之后,奶奶也給改短了10 cm,接下來(lái)的情景可想而知。這就是溝通問(wèn)題,某成員在對某對象實(shí)施某行為的時(shí)候沒(méi)有留下任何標記,使得其他成員未得到準確信息,帶來(lái)下一步行為的失誤。
程序設計中同樣也有類(lèi)似問(wèn)題。比如某進(jìn)程對一個(gè)臨界資源進(jìn)行訪(fǎng)問(wèn),并且沒(méi)有任何標記,如果另一進(jìn)程也訪(fǎng)問(wèn)該資源就會(huì )造成資源訪(fǎng)問(wèn)的沖突。通過(guò)信號量互斥保護就可以解決這一問(wèn)題。另一個(gè)例子是在內存申請和釋放方面。比如函數funA()調用funB(),在funA()或funB()中動(dòng)態(tài)申請一段內存空間,并且將指向該內存的指針傳給另一函數,在funA()或funB()中都可以釋放內存。但是一定注意,需要溝通在哪個(gè)函數里進(jìn)行,尤其當這兩個(gè)函數分別由兩個(gè)人完成的時(shí)候。不能出現兩個(gè)函數都釋放該內存或都不釋放該內存的情況。
3 優(yōu)勢和不足
兩個(gè)游人出行,一個(gè)帶傘,另一個(gè)不帶傘。那天下了大雨,結果回來(lái)時(shí)帶傘的人被淋得全身濕透,而不帶傘的反而未被淋濕。原因何在?因為帶傘的人認為自己帶了傘不用躲雨,不知不覺(jué)就濕透了;不帶傘的知道在雨中幾秒鐘就能全身濕透,所以一直注意在亭子下躲雨。
程序設計中何嘗不是如此?對認為不容易出問(wèn)題的代碼設計投入不足,測試工作少,對易出問(wèn)題的代碼投入大量精力,嚴加測試,最后的結果反而是容易出問(wèn)題的代碼質(zhì)量更高。這就是設計人員常常遇到的情況――能想到的錯誤都解決了,想不到的錯誤都出現了。另外一個(gè)例子是:對于RS232串口通信,考慮到通信傳輸距離、外界干擾等問(wèn)題,采用了數據校驗和錯誤重發(fā)機制;對于I2C、SPI總線(xiàn)往往是短距離、同一電路板的芯片訪(fǎng)問(wèn),都沒(méi)有任何數據校驗措施。結果有可能是RS232串口數據總是正確的,I2C、SPI總線(xiàn)的數據受不合理的布線(xiàn)及電磁干擾影響反而出現錯誤。因此對于嵌入式系統,需要根據實(shí)際的現場(chǎng)情況定制程序設計,而不是因為大多數人都這么做,或以前都這么做。
4 警告和避錯
電線(xiàn)桿上有特別亮麗的幾個(gè)字,某行人好奇,爬上電線(xiàn)桿一看,四個(gè)大字:“油漆未干”??梢?jiàn)這個(gè)告示性文字反而害苦了這位行人。如果換一種方式,將電線(xiàn)桿周?chē)菀妆蝗私佑|到的地方圍上一圈,就能很好地避免路人接觸。當然這里還需要考慮成本和效用的平衡。
嵌入式系統往往不需要人員值守就能正常工作,因此依靠警告、報錯不能解決所有問(wèn)題。你可以想象在駕駛飛機時(shí),導航屏幕出現類(lèi)似Windows系統的“內存空間不足,請關(guān)閉部分程序”警告的情形是多么可笑。在設計這一類(lèi)程序的時(shí)候,應該考慮程序如何能自動(dòng)解決一些異常情況,即使有些情況下必須進(jìn)行人機交互,也應該考慮這時(shí)程序是否可以自動(dòng)采取一些保護措施。比如數據讀取異常報錯,可以考慮用一個(gè)默認的數據;通信連接不上報錯則需要檢測通信是否恢復正常。
以上從幾個(gè)生活實(shí)例用類(lèi)比的方式說(shuō)明了嵌入式軟件設計需要注意的一些問(wèn)題,當然僅僅注意這幾點(diǎn)對保證嵌入式軟件的質(zhì)量是遠遠不夠的。文章的目的是通過(guò)幾個(gè)易懂的實(shí)例強調設計安全意識以及軟件產(chǎn)品質(zhì)量意識的重要性。
評論