周 進，劉 杰，肖安洪，曾 輝，吳志強，陳 智，陽小華

（1.南華大學(xué) 計算機學(xué)院，湖南 衡陽 421001；2.中國核動力研究設(shè)計院 核反應(yīng)堆系統(tǒng)設(shè)計技術(shù)重點實驗室，成都 610041）

0 概述

隨著核電產(chǎn)業(yè)的不斷發(fā)展，核電廠的安全問題引起眾多業(yè)內(nèi)人士的關(guān)注。核電數(shù)字化儀控系統(tǒng)（Digital Instrument and Control System，DCS）用于監(jiān)測和控制核電廠熱能和電能生產(chǎn)，負責完成系統(tǒng)數(shù)據(jù)計算、處理等任務(wù)，是整個核電廠儀控系統(tǒng)的神經(jīng)中樞和控制中樞。如何確保DCS 系統(tǒng)運行時的安全性和可靠性是測試者必須考慮的問題［1-2］。

DCS 系統(tǒng)由一系列已開發(fā)好的基礎(chǔ)組件搭建而成，通過將基礎(chǔ)組件接收到的不同輸入信號與其內(nèi)部參數(shù)進行邏輯運算產(chǎn)生相應(yīng)的輸出信號，從而控制相關(guān)設(shè)備工作，保證反應(yīng)堆安全可靠運行。由于DCS 系統(tǒng)所含基礎(chǔ)組件數(shù)量龐大，在工作過程中不同組件參與其運行的參數(shù)以及它們之間相互作用往往不同。例如，閾值檢測組件THC 中所含參數(shù)包括輸入信號、輸出信號、組件設(shè)定參數(shù)、信號狀態(tài)等，其中每類參數(shù)對應(yīng)的取值與其他參數(shù)均能組成不同的組件工作模式，如報警產(chǎn)生、報警狀態(tài)、報警恢復(fù)等。參數(shù)之間的不同交互關(guān)系會產(chǎn)生不同的輸出信號。如何針對目標待測組件所具有的交互關(guān)系，設(shè)計出相應(yīng)的測試數(shù)據(jù)集是本文要解決的問題。

組合測試是通過參數(shù)組合的方式來檢測由各參數(shù)以及它們之間相互作用所引起軟件故障的一種測試方法［3］。在保證測試質(zhì)量的前提下，采用盡可能少的測試數(shù)據(jù)覆蓋盡可能多的影響參數(shù)。待測軟件模型生成測試數(shù)據(jù)是近年來組合測試的重點研究方向之一［4-5］。根據(jù)方法思想不同，組合測試主要分為數(shù)學(xué)方法［6-7］、啟發(fā)式搜索算法［8-10］、貪心算法［11-13］、隨機方法。相比其他方法，貪心算法的處理速度較快、適用范圍廣，故在工業(yè)界中應(yīng)用最廣泛［14］。貪心算法是通過從空矩陣開始，不斷擴展初始矩陣以得到目標覆蓋矩陣，按擴展方式不同可分為一維擴展和二維擴展。一維擴展的代表性工具為美國貝爾實驗室的COHEN 和DALAL等［15］開發(fā)的自動化高效測試生成器（Automation Efficient Test Generator，AETG），是一種基于啟發(fā)式的兩兩組合測試數(shù)據(jù)生成工具，每次生成的測試數(shù)據(jù)最多覆蓋當前未被覆蓋的組合測試數(shù)據(jù)，直至未覆蓋組合全部被覆蓋；二維擴展的代表性算法是LEI和TAI等［16］提出的逐參數(shù)擴展（In-Parameter-Order，IPO）方法，主要從重復(fù)水平擴展和垂直擴展步驟來實現(xiàn)待測軟件所有參數(shù)取值的兩兩組合覆蓋。

將傳統(tǒng)基于貪心算法的組合測試數(shù)據(jù)生成方法應(yīng)用于實際系統(tǒng)測試，系統(tǒng)中存在的實際參數(shù)交互關(guān)系根據(jù)人為選定組合覆蓋標準來確定［17］。在眾多軟件系統(tǒng)中，不同參數(shù)間所存在的交互關(guān)系往往千差萬別，對其一概而論會帶來極大的測試成本。文獻［18］也證明了這一點。BACH 等［19］提出成功應(yīng)用組合測試方法的關(guān)鍵條件是能夠準確獲取待測軟件的交互關(guān)系。針對DCS 系統(tǒng)基于組件開發(fā)的特性，傳統(tǒng)組合測試方法很難尋找一個合適的正整數(shù)n來確定其所含的交互關(guān)系，若n值選取太大，則會導(dǎo)致測試數(shù)據(jù)過度冗余，增加測試成本；若n值選取太小，系統(tǒng)組件中某些關(guān)鍵參數(shù)間的交互關(guān)系將難以進行全面檢測，從而降低測試數(shù)據(jù)的錯誤檢測能力［20］。由于貪心算法的本質(zhì)缺陷，即易導(dǎo)致局部最優(yōu)解的大量產(chǎn)生，從而可能造成數(shù)據(jù)集規(guī)模較大、檢錯能力降低等一系列問題。

本文是基于高安全應(yīng)用開發(fā)環(huán)境（Safety-Critical Application Development Environment，SCADE）平臺上對核電DCS 系統(tǒng)進行研究，采用組件式軟件開發(fā)方法開發(fā)軟件系統(tǒng)。根據(jù)儀控系統(tǒng)自身需求及其特點，在原有IPO 算法基礎(chǔ)上提出一種具有可變力度機制的IPO_VD 算法。該算法綜合考慮目標待測系統(tǒng)存在的實際交互關(guān)系，并在水平擴展過程中對參數(shù)取值選擇策略進行改進，從而應(yīng)用在核電DCS 系統(tǒng)堆芯測量時有效減小測試數(shù)據(jù)規(guī)模，同時實現(xiàn)對組件間實際交互關(guān)系的全覆蓋。

1 問題定義

本文所述的組件是DCS 系統(tǒng)中實現(xiàn)數(shù)據(jù)和信號處理的算法單元，只能通過組件接口與外界交互。其接口的具體組成可被視為一個三元組<輸入信號，輸出信號，組件參數(shù)>。

1）輸入信號：由一個n元向量（x1，x2，…，xn）來表示，每個分量xi可視為一個二元組，“value”代表輸入信號的具體取值，其來源情況分為外部傳感器數(shù)據(jù)輸入和系統(tǒng)內(nèi)部組件間信號傳遞，“state”代表“value”的狀態(tài)，有真、假兩種狀態(tài)。

2）輸出信號：由一個m元向量（y1，y2，…，ym）來表示，每個分量yi和輸入分量也通過一個二元組表示。

3）組件參數(shù)：是一個k元向量（p1，p2，…，pk），代表組件所含內(nèi)部參數(shù)集合，此參數(shù)集內(nèi)所含參數(shù)值通過對輸入信號進行相應(yīng)邏輯運算，決定組件的工作模式。

DCS 系統(tǒng)測試需保證在正?；虍惓２僮飨缕涔δ苁欠裾Ｇ曳€(wěn)定。針對各基礎(chǔ)組件所含參數(shù)各異、交互力度不一致等情況，通過分析單一輸入信號只得到復(fù)雜多樣的測試數(shù)據(jù)，不能體現(xiàn)系統(tǒng)組件間的交互性，導(dǎo)致測試數(shù)據(jù)的檢錯能力低，無法檢測由兩個及兩個以上參數(shù)相互作用產(chǎn)生的故障。對所有基礎(chǔ)組件進行籠統(tǒng)固定維度組合測試忽略其實際存在的相互作用，導(dǎo)致測試效率低。DCS 系統(tǒng)測試的難點是對不同待測組件所包含不同相互作用的具體分析，以及針對各待測組件的實際情況，在保證測試覆蓋度的情況下采用較少的測試數(shù)據(jù)對該組件進行較全面測試。

假設(shè)某待測組件c的k個參數(shù)間具有m條交互關(guān)系：r1，r2，…，rm，每條交互關(guān)系中所包含的參數(shù)具有若干個取值。由于待測組件具有不同交互關(guān)系的不同取值會產(chǎn)生N種不同工作情景，設(shè)計出相應(yīng)的測試數(shù)據(jù)集對其進行覆蓋，即：

為滿足組件功能覆蓋的充分性與有效性，矩陣T需滿足對任意m個交互關(guān)系r1，r2，…，rm均能實現(xiàn)符合其各自的組合覆蓋標準。

2 變力度組合測試模型

在DCS 系統(tǒng)中，假設(shè)其待測組件共有n個相關(guān)參數(shù)p1，p2，…，pn參與運行，這些參數(shù)共同構(gòu)成一個有限集合P=｛p1，p2，…，pn｝；對于每個參數(shù)Pi，令Vi為Pi的一系列合理取值集合（0

定義1（測試數(shù)據(jù)）一個n元組test=（x1，x2，…，xn），其中（x1∈V1，x2∈V2，…，xn∈Vn），稱為待測組件的一條測試數(shù)據(jù)。由多個這樣的n元組構(gòu)成的集合為待測組件的一個測試數(shù)據(jù)集。

定義2（組合覆蓋矩陣）假設(shè)A=（xij）m×n為m×n的矩陣，其中第i行表示每條測試數(shù)據(jù)，第j列表示待測組件的參數(shù)Pj（j=1，2，…，n）。若矩陣A中任意兩列參數(shù)Pi，Pj全部取值的兩兩組合至少一次出現(xiàn)在第i行和第j列形成的測試數(shù)據(jù)中，則稱A是二維組合覆蓋矩陣；同理，如果任意選擇N個參數(shù)（1≤N≤n），若矩陣A中任意N列，即參數(shù)P1，P2，…，PN均滿足集合V1，V2，…，VN中元素所形成的N元組合均在矩陣A中至少出現(xiàn)一次，則稱A為N維組合覆蓋矩陣。

根據(jù)參數(shù)覆蓋程度不同，組合測試可分為單參數(shù)覆蓋標準、二維組合覆蓋標準、n維組合覆蓋標準、可變強度覆蓋標準。其中不同的組合覆蓋標準所對應(yīng)的檢錯能力有很大的不同，據(jù)美國國家標準和技術(shù)協(xié)會的一項研究表明［21］，單參數(shù)覆蓋標準能檢出42%的缺陷，二維組合覆蓋標準可檢測出70%的缺陷，覆蓋強度達到六維則能檢測出所有缺陷。

定義3（參數(shù)交互關(guān)系）假設(shè)組件參數(shù)集合P中存在一組具有相互作用的參數(shù)，將這些參數(shù)納入到一個子集r中，其中r?P，子集r中所包含的參數(shù)間將存在一個交互力度均為|r|的相互作用。類似地，將系統(tǒng)中所存在所有參數(shù)的交互作用提取出來形成集合R=｛r1，r2，…，rk｝，集合R為待測系統(tǒng)的參數(shù)交互關(guān)系集合。

定義4給定一個N維組合覆蓋矩陣A，對于定義3 中所述的參數(shù)交互關(guān)系集合R=｛r1，r2，…，rk｝，其中ri（i=1，2，…，k）含有的|ri|元取值組合所構(gòu)成的集合CombSeti=｛（xi1，xi2，…，xin）|xi，1∈Vi1，xi2∈Vi2，…，xin∈Vin｝，均能被這些取值所對應(yīng)的參數(shù)列構(gòu)成m×|ri|的子矩陣Ai覆蓋，則稱A為變力度組合覆蓋矩陣。

定義5對某含n個參數(shù)的待測組件，每個參數(shù)Pi的水平數(shù)為k［i］，i=1，2，…，n，其中某m個參數(shù)Pi1，Pi2，…，Pim（0

3 基于IPO 策略的測試數(shù)據(jù)生成

3.1 IPO 策略

IPO 策略最初由北卡羅來納大學(xué)的LEI 和TAI提出［13］，是一種基于參數(shù)順序漸進擴充的成對組合測試數(shù)據(jù)生成方法。IPO 算法是以待測軟件的參數(shù)為對象，以參數(shù)水平數(shù)為依據(jù)進行遞減排序，針對前兩個參數(shù)及其取值構(gòu)造初始覆蓋矩陣，進而向這個測試集逐個添加未覆蓋的參數(shù)，每加入一個參數(shù)Pi，同時構(gòu)造一個未覆蓋集合UnderCover，此集合包含當前參數(shù)與已有覆蓋矩陣中所有其他參數(shù)的二維取值組合。通過不斷重復(fù)水平擴展和垂直擴展直至擴展完未覆蓋集合中所有組合。

3.2 IPO 算法影響因子分析及改進

將IPO 算法應(yīng)用在DCS 系統(tǒng)的測試過程中，DCS 系統(tǒng)所特有的一些因素會對IPO 算法產(chǎn)生影響。例如，針對不同的基礎(chǔ)組件進行測試時，不同組件所含的參數(shù)交互關(guān)系各不相同，籠統(tǒng)地對其進行固定維度組合測試是不可行的。由于貪心算法不會從整體上考慮各參數(shù)取值情況，僅在當前狀態(tài)下做出最好選擇，易存在陷入局部最優(yōu)的問題。

針對上述問題，本文在原有IPO 算法的基礎(chǔ)上，提出一個具有可變力度機制的IPO_VD算法以應(yīng)用于DCS系統(tǒng)測試領(lǐng)域。IPO_VD 算法的核心思想是先通過解析系統(tǒng)組件開發(fā)文檔來獲取待測組件的相關(guān)信息，并按組件所含參數(shù)的實際交互關(guān)系生成不同覆蓋力度的初始組合覆蓋矩陣，進而利用“臨時數(shù)組”記錄算法水平擴展過程出現(xiàn)的局部最優(yōu)解，并在垂直擴展時從未覆蓋組合集合中取值來替換。最終垂直擴展綜合考慮已有覆蓋數(shù)組和未覆蓋集合里的元素，得到最終測試數(shù)據(jù)集。IPO_VD 算法流程如圖1 所示。

圖1 IPO_VD 算法流程Fig.1 Procedure of IPO_VD algorithm

3.2.1 初始組合覆蓋矩陣生成

原IPO 算法在構(gòu)造初始組合覆蓋矩陣時，采用隨機方法任意選擇兩個待擴展參數(shù)生成初始組合覆蓋矩陣，并未考慮其間的相互作用以及后續(xù)擴展過程的復(fù)雜性，導(dǎo)致測試數(shù)據(jù)集檢錯能力降低和算法性能較差。本文通過解析DCS 系統(tǒng)組件開發(fā)文檔的方式獲取組件的參數(shù)交互關(guān)系集R。由于集合R中所含交互關(guān)系各異，因此需對其所含具體參數(shù)進行分析，選擇一個合適的交互關(guān)系子集rk構(gòu)造初始覆蓋表。針對其生成一個為|CombSetk|×n的初始組合覆蓋矩陣。選擇合適的交互關(guān)系子集對于提高傳統(tǒng)組合測試效能具有重要意義，在R中確定一個合適的交互關(guān)系子集rk，本文提出以下兩種策略：

1）選取一個包含參數(shù)個數(shù)及其取值數(shù)量最多的子集ri。通過擴大初始測試數(shù)據(jù)矩陣規(guī)模以及降低一定的算法時間性能，以減少水平擴展和垂直擴展步驟的復(fù)雜度，但此策略忽視了與其他待擴展交互關(guān)系子集所含參數(shù)間存在的相互作用，會出現(xiàn)較為嚴重的組合冗余現(xiàn)象，從而導(dǎo)致最終的測試數(shù)據(jù)集檢錯能力降低。

2）選取所含交集參數(shù)最多的一個子集rj。該策略的出發(fā)點是防止測試數(shù)據(jù)集產(chǎn)出冗余測試數(shù)據(jù)，通過優(yōu)先處理與其他交互關(guān)系子集參數(shù)間存在相互作用最多的子集，在滿足交互關(guān)系覆蓋率的同時達到控制測試數(shù)據(jù)的規(guī)模。針對核電DCS 系統(tǒng)測試中對組合覆蓋率的嚴格要求，本文將采用該策略生成初始組合覆蓋矩陣。

算法1初始變力度組合覆蓋矩陣構(gòu)造算法

輸入交互關(guān)系R，參數(shù)集P及其取值集合｛Vi1，Vi2，…，Vin｝

輸出變力度組合測試數(shù)據(jù)集TC

3.2.2 水平擴展與垂直擴展

在水平擴展時，原IPO 算法根據(jù)貪心算法選取當前狀態(tài)下UnderCover 集合里出現(xiàn)次數(shù)最多的一個t元組來確定當前待擴展參數(shù)的取值，將待擴展參數(shù)Pi的k［i］個取值依次擴展到已有矩陣中，若此時UnderCover 集合不為空，則將其所含剩余取值通過新增行向當前矩陣進行垂直擴展；反之，繼續(xù)通過貪心算法進行賦值，直至完成水平擴展。

1）水平擴展

依次為待擴展參數(shù)列中的每個待賦值項按矩陣行順序計算其參數(shù)值對應(yīng)的重復(fù)組合數(shù)量ReComb。選擇最小ReComb 值進行取值并填充，若發(fā)生取值相等則通過“臨時數(shù)組”的方式來記錄當前擴展行中重復(fù)組合數(shù)量，將擴展后存在的局部最優(yōu)解進行重置。不斷進行水平擴展直至所有待擴展參數(shù)均已被添加入矩陣，然后進行垂直擴展。

2）垂直擴展

針對水平擴展后得到的不完整矩陣，尋找UnderCover 中是否存在相應(yīng)配對確定已有矩陣中的未賦值項。若不存在，則新增一行選擇其中出現(xiàn)次數(shù)最多的參數(shù)作為覆蓋數(shù)組中新的一行中首個待擴展參數(shù)，進而逐一考慮當前待擴展參數(shù)與其余參數(shù)的組合情況，選擇能覆蓋UnderCover 中最多組合的參數(shù)，得到最終測試數(shù)據(jù)集TC。

算法2水平擴展算法

輸入初始變力度覆蓋矩陣TC，Temp

輸出水平擴展完的臨時數(shù)據(jù)集TC_temp

算法3垂直擴展算法

輸入水平擴展后的覆蓋矩陣TC、UnderCover

輸出變力度組合測試數(shù)據(jù)集TC

4 實驗

4.1 堆芯測量系統(tǒng)

反應(yīng)堆堆芯測量系統(tǒng)是核電DCS 系統(tǒng)中重要的安全子系統(tǒng)，其主要功能是通過對反應(yīng)堆堆芯的實時工況參數(shù)進行監(jiān)測，防止堆內(nèi)溫度熱分布不均衡而發(fā)生安全事故。堆芯溫度測量系統(tǒng)共分為4 個區(qū)域，由外圍的3 個區(qū)域P1、P2、P3 和中心區(qū)域C 共同組成。每個區(qū)域均設(shè)置不同數(shù)量的傳感器。其中P1區(qū)域設(shè)置了5 個溫度傳感器，P2 區(qū)域設(shè)置7 個溫度傳感器，P3 區(qū)域設(shè)置6 個溫度傳感器，中心區(qū)域C 設(shè)置4 個溫度傳感器。具體結(jié)構(gòu)如圖2 所示。

圖2 堆芯測量區(qū)域Fig.2 Core measurement area

當某個區(qū)域內(nèi)傳感器的最大和最小溫差大于閾值時，將產(chǎn)生該區(qū)域的報警信號。該區(qū)域報警功能的實現(xiàn)過程實質(zhì)上是溫度測量信號到報警信號的信號轉(zhuǎn)換。信號處理過程如圖3 所示。

圖3 信號處理過程Fig.3 Signal processing

1）輸入信號去噪過程：溫度采樣信號采用FI1一階低通濾波組件進行去噪處理，防止噪聲數(shù)據(jù)對其他組件模塊的正常運行造成干擾。

2）溫度值求差過程：通過分析去噪模塊傳來的溫度數(shù)值信號，利用MAX、MIN 組件求出溫度最大、最小值，再通過SUM組件得到溫度最大和最小值之間的差值。

3）閾值檢測過程：通過比較溫差模塊傳來的溫差信號值與報警信號閾值，當溫差超過監(jiān)測閾值時產(chǎn)生報警信號。

通過分析和研究區(qū)域C 的工作流程、功能模塊組成結(jié)構(gòu)、組件接口協(xié)議、內(nèi)部參數(shù)配置等信息，從測試數(shù)據(jù)規(guī)模和安全性角度考慮，該區(qū)域模塊的參數(shù)信息如表1～表3 所示。

表1 FI1 組件參數(shù)信息Table 1 FI1 component parameters information

表2 SUM 組件參數(shù)信息Table 2 SUM component parameters information

表3 THC 組件參數(shù)信息Table 3 THC component parameters information

4.2 實驗結(jié)果與分析

4.2.1 測試數(shù)據(jù)規(guī)模與覆蓋率比較

本文從生成測試數(shù)據(jù)規(guī)模、交互關(guān)系覆蓋率、檢錯能力對上述3 個模塊進行不同維數(shù)組合測試，以驗證IPO_VD 算法在DCS 系統(tǒng)堆芯測量模塊測試數(shù)據(jù)生成方面的充分性、有效性和實用性。選取堆芯測量模塊作為實驗對象，通過靜態(tài)分析獲取其相關(guān)待測組件所包含的組件參數(shù)集、取值集合、參數(shù)交互關(guān)系集合等信息?；诒疚姆椒ㄉ沙跏甲兞Χ雀采w矩陣，根據(jù)改進IPO 策略，通過不斷進行水平擴展得到最終的測試數(shù)據(jù)集。測試數(shù)據(jù)規(guī)模比較如表4所示，各算法覆蓋率比較如表5 所示。

表4 測試數(shù)據(jù)規(guī)模比較Table 4 Comparison of test data scale

表5 不同算法覆蓋率比較Table 5 Comparison of coverage rate between different algorithms

從表4 和表5 可以看出，在滿足待測組件測試覆蓋準則的前提下，具有可變力度機制的IPO_VD 算法可以保證交互關(guān)系所含任意n個參數(shù)取值間的所有組合都能被覆蓋，并且與固定力度下的相應(yīng)維度組合測試相比，有效減小了數(shù)據(jù)集的規(guī)模。

4.2.2 測試數(shù)據(jù)檢錯能力比較

針對待測組件的參數(shù)交互關(guān)系和目前已知組件的故障類型，本文將組件故障類型分為兩類，反應(yīng)堆堆芯測量系統(tǒng)可能存在的故障及其故障描述如表6所示。

表6 組件故障類型Table 6 Component failure type

按照表6 故障定義可知，符合單參數(shù)覆蓋標準的測試數(shù)據(jù)僅能發(fā)現(xiàn)單體故障類別的故障，利用更高維度的覆蓋標準才能發(fā)現(xiàn)產(chǎn)生原因更復(fù)雜的交互故障。如表6 中I/O 信號狀態(tài)不一致的故障需利用能同時覆蓋輸入信號狀態(tài)和輸出信號狀態(tài)的測試數(shù)據(jù)才能檢出。對交互關(guān)系中所含參數(shù)組合的覆蓋能力是決定測試數(shù)據(jù)檢錯能力的主要原因。為了證明變力度組合測試算法在檢錯能力上的優(yōu)勢，本文通過將測試數(shù)據(jù)作為輸入以此檢測THC 組件的實際檢出故障數(shù)量。上述4 種算法的故障檢測能力對比如圖4 所示。

圖4 不同算法故障檢測能力比較Fig.4 Comparison of fault detection capabilities between different algorithms

5 結(jié)束語

本文通過對DCS 系統(tǒng)組件進行分析，對原有IPO 策略中目標待測組件間實際交互關(guān)系和水平擴展過程中的參數(shù)取值選擇策略進行改進，提出具有可變力度機制的IPO_VD 算法。實驗結(jié)果表明，IPO_VD 算法在保證參數(shù)組合覆蓋率的同時，其產(chǎn)生的測試數(shù)據(jù)集檢錯能力與測試數(shù)據(jù)規(guī)模優(yōu)于固定力度下的IPO 算法。后續(xù)將對IPO_VD 算法的復(fù)雜度進行簡化，提高算法在測試交互關(guān)系復(fù)雜組件情況下測試數(shù)據(jù)的生成效率。