20、混合关键系统的智能认证与非侵入式系统级容错

混合关键系统的智能认证与非侵入式系统级容错

混合关键系统的智能认证

函数关键度规则

在SPARK中，函数是纯函数，不会更新全局数据，且只有输入参数。这意味着函数的关键度仅受其调用环境的限制。对于函数F的调用，若将返回结果赋值给关键度为RC的变量R，则需满足条件：RC ≤ FC，即函数的关键度至少要和用于捕获返回值的最关键状态项的关键度相同。

局部变量关键度

局部变量用于推导一个或多个自有变量，否则该局部变量无效。局部变量继承其用于推导的最关键自有变量的关键度。对于局部变量L，若用于推导自有变量G1, G2, …, Gn，则LC = max{∀i ∈ 1..n · GiC}。

示例分析

以之前的例子来说，Increment必须标注为至少SIL4关键度，因为它导出了关键度为SIL4的全局状态State。而Inc不导出全局变量，所以条件1未对其关键度设定下限，任何子程序都可调用Inc。但当Increment以SIL4的实际参数调用Inc时，若Inc标注的关键度低于SIL4，就违反了条件3，因此Inc只能合法地标注为SIL4。不过，仍可从较低SIL级别的子程序以较低SIL级别的参数调用Inc。函数Read的关键度没有下限，且上限无法单独推导得出。

SPARK语言扩展

SPARK语言的唯一扩展是允许开发者为特定子程序标注关键度。示例代码如下：

package Counter
--# own State (Integrity => SIL4);
--# initializes State;
is