嵌入式軟件安全設(shè)計(jì)理念

1 圍墻問題
學(xué)校修筑圍墻，有一個(gè)問題――到底需要的高度是多少?過低，很容易翻越圍墻進(jìn)出，起不到圍墻的屏障作用；過高，翻越的人滑落容易傷亡，這也不是修筑圍墻的初衷。程序設(shè)計(jì)中的程序運(yùn)行異常好比非法進(jìn)出校園。一方面需要防止程序異常，這就類似修了圍墻。但另一方面也需要注意圍墻高度：圍墻過高，輕易不出問題，但一出就是大問題。比如數(shù)據(jù)通信傳輸程序，加入CRC冗余校驗(yàn)。如果數(shù)據(jù)傳輸出現(xiàn)校驗(yàn)錯(cuò)誤，CRC冗余校驗(yàn)可能恢復(fù)錯(cuò)誤的數(shù)據(jù)。但是如果在設(shè)計(jì)測(cè)試初期就使用CRC校驗(yàn)，并且程序中沒有警告信息，就有可能將錯(cuò)誤延續(xù)到產(chǎn)品發(fā)布階段。產(chǎn)品到現(xiàn)場(chǎng)出問題那就嚴(yán)重了。還有一個(gè)例子，看門狗程序是為了程序異常時(shí)自動(dòng)重啟恢復(fù)系統(tǒng)。如果在程序測(cè)試期間就使用看門狗，同樣會(huì)屏蔽測(cè)試期間的程序跑飛、死機(jī)等問題，是不利于發(fā)現(xiàn)程序缺陷的。

2 修褲腳問題
給孩子買了條褲子，試穿后發(fā)現(xiàn)褲子長(zhǎng)了些，于是很精確地測(cè)量出需要截去10 cm。問題出現(xiàn)了，媽媽動(dòng)手改好了之后，奶奶也給改短了10 cm，接下來的情景可想而知。這就是溝通問題，某成員在對(duì)某對(duì)象實(shí)施某行為的時(shí)候沒有留下任何標(biāo)記，使得其他成員未得到準(zhǔn)確信息，帶來下一步行為的失誤。
程序設(shè)計(jì)中同樣也有類似問題。比如某進(jìn)程對(duì)一個(gè)臨界資源進(jìn)行訪問，并且沒有任何標(biāo)記，如果另一進(jìn)程也訪問該資源就會(huì)造成資源訪問的沖突。通過信號(hào)量互斥保護(hù)就可以解決這一問題。另一個(gè)例子是在內(nèi)存申請(qǐng)和釋放方面。比如函數(shù)funA()調(diào)用funB()，在funA()或funB()中動(dòng)態(tài)申請(qǐng)一段內(nèi)存空間，并且將指向該內(nèi)存的指針傳給另一函數(shù)，在funA()或funB()中都可以釋放內(nèi)存。但是一定注意，需要溝通在哪個(gè)函數(shù)里進(jìn)行，尤其當(dāng)這兩個(gè)函數(shù)分別由兩個(gè)人完成的時(shí)候。不能出現(xiàn)兩個(gè)函數(shù)都釋放該內(nèi)存或都不釋放該內(nèi)存的情況。

3 優(yōu)勢(shì)和不足
兩個(gè)游人出行，一個(gè)帶傘，另一個(gè)不帶傘。那天下了大雨，結(jié)果回來時(shí)帶傘的人被淋得全身濕透，而不帶傘的反而未被淋濕。原因何在?因?yàn)閹愕娜苏J(rèn)為自己帶了傘不用躲雨，不知不覺就濕透了；不帶傘的知道在雨中幾秒鐘就能全身濕透，所以一直注意在亭子下躲雨。
程序設(shè)計(jì)中何嘗不是如此?對(duì)認(rèn)為不容易出問題的代碼設(shè)計(jì)投入不足，測(cè)試工作少，對(duì)易出問題的代碼投入大量精力，嚴(yán)加測(cè)試，最后的結(jié)果反而是容易出問題的代碼質(zhì)量更高。這就是設(shè)計(jì)人員常常遇到的情況――能想到的錯(cuò)誤都解決了，想不到的錯(cuò)誤都出現(xiàn)了。另外一個(gè)例子是：對(duì)于RS232串口通信，考慮到通信傳輸距離、外界干擾等問題，采用了數(shù)據(jù)校驗(yàn)和錯(cuò)誤重發(fā)機(jī)制；對(duì)于I2C、SPI總線往往是短距離、同一電路板的芯片訪問，都沒有任何數(shù)據(jù)校驗(yàn)措施。結(jié)果有可能是RS232串口數(shù)據(jù)總是正確的，I2C、SPI總線的數(shù)據(jù)受不合理的布線及電磁干擾影響反而出現(xiàn)錯(cuò)誤。因此對(duì)于嵌入式系統(tǒng)，需要根據(jù)實(shí)際的現(xiàn)場(chǎng)情況定制程序設(shè)計(jì)，而不是因?yàn)榇蠖鄶?shù)人都這么做，或以前都這么做。

4 警告和避錯(cuò)
電線桿上有特別亮麗的幾個(gè)字，某行人好奇，爬上電線桿一看，四個(gè)大字：“油漆未干”?？梢娺@個(gè)告示性文字反而害苦了這位行人。如果換一種方式，將電線桿周圍容易被人接觸到的地方圍上一圈，就能很好地避免路人接觸。當(dāng)然這里還需要考慮成本和效用的平衡。
嵌入式系統(tǒng)往往不需要人員值守就能正常工作，因此依靠警告、報(bào)錯(cuò)不能解決所有問題。你可以想象在駕駛飛機(jī)時(shí)，導(dǎo)航屏幕出現(xiàn)類似Windows系統(tǒng)的“內(nèi)存空間不足，請(qǐng)關(guān)閉部分程序”警告的情形是多么可笑。在設(shè)計(jì)這一類程序的時(shí)候，應(yīng)該考慮程序如何能自動(dòng)解決一些異常情況，即使有些情況下必須進(jìn)行人機(jī)交互，也應(yīng)該考慮這時(shí)程序是否可以自動(dòng)采取一些保護(hù)措施。比如數(shù)據(jù)讀取異常報(bào)錯(cuò)，可以考慮用一個(gè)默認(rèn)的數(shù)據(jù)；通信連接不上報(bào)錯(cuò)則需要檢測(cè)通信是否恢復(fù)正常。
以上從幾個(gè)生活實(shí)例用類比的方式說明了嵌入式軟件設(shè)計(jì)需要注意的一些問題，當(dāng)然僅僅注意這幾點(diǎn)對(duì)保證嵌入式軟件的質(zhì)量是遠(yuǎn)遠(yuǎn)不夠的。文章的目的是通過幾個(gè)易懂的實(shí)例強(qiáng)調(diào)設(shè)計(jì)安全意識(shí)以及軟件產(chǎn)品質(zhì)量意識(shí)的重要性。