嵌入式技術是計算機發(fā)展的趨勢之一，被廣泛應用于工業(yè)和軍事領域。SCADE（高安全性的應用程序開發(fā)環(huán)境）為嵌入式軟件提供了一套基于模型的開發(fā)方式。從嵌入式軟件的特點入手，對基于模型的嵌入式系統(tǒng)軟件開發(fā)技術進行了深入剖析，并給出了一個基于SCADE的開發(fā)實例。

1引言

隨著嵌入式應用技術的發(fā)展，嵌入式系統(tǒng)被廣泛應用于人們生活的各個方面。大量功能強大而價格便宜的通用嵌入式硬件隨之出現(xiàn)在市場上。而如何能夠在通用硬件平臺上，高效的開發(fā)出滿足安全性與可靠性需要的專用嵌入式軟件成為了制約嵌入式技術應用的瓶頸。在計算機領域，如何為軟件的工業(yè)化大生產(chǎn)創(chuàng)造必要的技術條件和設計模式一直是軟件工程研究的首要問題。無論是軟件工程領域出現(xiàn)過的計算機輔助軟件工程的熱潮，還是，基于面向對象技術和組件技術的“裝配重用”軟件思路，都有一些根本性的問題沒有得到解決，因此大規(guī)模的“裝配”軟件生產(chǎn)還處在一個理想階段。

隨著研究的深入，用模型化。組件化的方法定義并開發(fā)軟件及其系統(tǒng)的思想引起了人們的興趣，也提供了一種新的軟件工業(yè)化大生產(chǎn)的可能性。在這方面，嵌入式軟件由于其本身的特殊性走在了通用軟件（PC機用軟件）的前面。

2 SCADE軟件開發(fā)環(huán)境簡介

SCADE（Safety-Critical Application Develop-ment Environment）高安全性的應用程序開發(fā)環(huán)境，是法國Esterel Technologies公司研制的一個用于開發(fā)達到歐洲航空業(yè)DO一178B標準的嵌入式軟件的完整工具包。它針對嵌入式軟件的特點，運用了正確構建（Correct by Construction）的概念，提出了一種基于模型的圖形化開發(fā)方式，覆蓋了從需求分析到代碼實現(xiàn)的整個軟件開發(fā)流程。

SCADE開發(fā)環(huán)境提供的一系列開發(fā)工具，實現(xiàn)了直觀的圖形化需求建模功能，基于模型的仿真驗證和軟件測試功能，以及基于模型的標準C代碼和開發(fā)文檔的自動生成功能。其嚴謹?shù)慕＠碚摵徒?jīng)過高安全性驗證的代碼生成器KCG，保證了軟件需求和代碼產(chǎn)品的高度同步。

SCADE開發(fā)環(huán)境的出現(xiàn)，使軟件設計工作可以集中在需求建模的層面，為基于模型的軟件開發(fā)方法提供了載體。

3基于SCADE的嵌入式軟件開發(fā)理論基礎

根據(jù)嵌入式系統(tǒng)的特點，SCADE提出了反應式系統(tǒng)。確定性。同步假設。并發(fā)性四個關鍵概念，從嵌入式系統(tǒng)的本質特征出發(fā)，極大的簡化了系統(tǒng)設計的考慮，為基于模型的開發(fā)方式提供了理論基礎。

3.1反應式系統(tǒng)

反應式（Reactive system）系統(tǒng)是指在運行過程中，不停的和外部環(huán)境交換信息，以外部環(huán)境的輸入信息為主導，進行特定的計算和輸出的嵌人式系統(tǒng)。

反應式系統(tǒng)的工作方式是一個“輸入一計算一輸出”的連續(xù)循環(huán)過程。反應式系統(tǒng)一般還兼具實時性和周期性，廣泛應用于工業(yè)領域的嵌入式系統(tǒng)大都屬于這種系統(tǒng)。反應式系統(tǒng)的工作方式如圖1所示。

反應式系統(tǒng)的概念，把嵌入式系統(tǒng)簡化為一個能不斷接收輸入，并計算輸出的黑盒，為嵌人式系統(tǒng)的需求建模提供了基本模型。

3.2確定性

一個系統(tǒng)，如果使用相同的一組輸入序列，在相同的時間調度下，其反應情況相同，始終產(chǎn)生相同的一組輸出，那么它就是確定的。確定性提高了系統(tǒng)的安全性，是大多數(shù)嵌入式軟件的重要需求，在航空航天等高科技領域，這也是一個必要條件。‘確定性的要求降低了系統(tǒng)設計的復雜度，簡化了系統(tǒng)建模和仿真驗證的考慮。SCADE開發(fā)環(huán)境提供的各種機制確保了系統(tǒng)的確定性，開發(fā)者不能引入不確定性。

3.3同步假設

同步假設（synchrony hypothesis）是假設反應式系統(tǒng)的處理速度無限快，即系統(tǒng)在一個可以忽略不計的瞬間響應輸入，并產(chǎn)生輸出。這樣，任何兩次響應之間都不會重疊，每一次輸出都會在下一次輸人前完成。

相對于通用軟件的設計，時間是嵌入式系統(tǒng)設計必須考慮的一個因素，而嵌入式軟件的運行時間又是與硬件環(huán)境息息相關的。為了簡化系統(tǒng)設計，SCADE提出了同步假設概念，把物理時間從系統(tǒng)設計中剝離出來。一方面確保了系統(tǒng)的實時性，另一方面也體現(xiàn)了設計的平臺無關性。

同時，為了考慮系統(tǒng)的運算時間問題，SCADE通過基本指令步長將實際的物理時間離散成指令周期時間，從而產(chǎn)生了邏輯時間。這樣，就可以使用邏輯時間來代替物理時間，給出運算時間的參考值。

3.4并發(fā)性

并發(fā)性概念認為系統(tǒng)所有輸入都是并發(fā)的，系統(tǒng)運算模塊按照數(shù)據(jù)流動執(zhí)行，而且根據(jù)同步假設，所有模塊的運行都是在可以忽略不計的時間內完成的。其中，沒有輸入輸出關系的模塊都是并發(fā)執(zhí)行的，有輸入輸出關系的模塊是按照輸入輸出關系順序執(zhí)行的。

并發(fā)性概念進一步簡化了系統(tǒng)設計的復雜度，也為系統(tǒng)仿真提供了一種簡化的“運行”方式。

4基于SCADE的嵌入式軟件開發(fā)關鍵技術

4.1建模機制

基于模型的開發(fā)流程，其基礎就是模型描述問題，也就是尋找一種合適的形式來描述系統(tǒng)。

根據(jù)嵌入式軟件的特點，可以把其劃分為接口和功能模塊兩部分，功能模塊部分由連續(xù)控制部分與狀態(tài)邏輯部分組成，其輸人輸出端分別為傳感器和執(zhí)行器。嵌入式軟件的一般結構如圖2所示。

針對這種劃分，SCADE提供了兩套圖形化的建模機制：數(shù)據(jù)流圖和有限狀態(tài)機。對應嵌入式軟件結構的劃分，數(shù)據(jù)流圖模型可以用來表示連續(xù)控制部分，主要包括傳感器采樣。信號處理。復雜的數(shù)學邏輯計算。實現(xiàn)各種算法等功能；有限狀態(tài)機模型可以用來表示狀態(tài)邏輯部分，主要包括各種系統(tǒng)狀態(tài)的遷移和工作模式的變化等功能。

這是一種已被證實為有效并廣泛使用的嵌入式軟件建模方式之一，能夠簡單有效的描述嵌入式系統(tǒng)。

4.2需求建模

一個復雜的嵌入式系統(tǒng)的需求建模過程，是一項系統(tǒng)的設計工作，一般有自頂向下和自底向上兩種設計方式：

自頂向下的設計方式是一種從抽象到具體的過程。它首先需要根據(jù)系統(tǒng)的接口需求，建立系統(tǒng)的黑盒模型；然后根據(jù)系統(tǒng)的功能需求，對系統(tǒng)進行模塊劃分，并層層細化，直至最低層的功能單元；最后是功能單元的實現(xiàn)工作。

自底向上的設計方式是一種從具體到抽象的過程。它根據(jù)系統(tǒng)的功能需求，首先實現(xiàn)的是底層的各個功能模塊，然后根據(jù)各模塊之間的接口定義，層層組合，最后形成整個系統(tǒng)模型。

這兩種設計方式在實際使用中各有優(yōu)劣，可以根據(jù)具體需要組合使用。

同時，SCADE的建模方式也可以被認為是一種基于組件的開發(fā)方式。一個功能獨立，接口明確構功能算法模型就類似于一個封裝好的組件，可以直接通過接口調用。而SCADE軟件開發(fā)環(huán)境的高安全性限制和平臺無關性，保證了模型的通用性和重用價值。這樣，基于成熟算法模型的封裝與重用，可以使軟件開發(fā)變成模型組件的“裝配”，極大的提高軟件生產(chǎn)效率，也減少了引人錯誤的可能。

4.3模型驗證手段

基于嚴密的建模理論，SCADE提供了一系列基于模型的驗證手段，使模型檢查。系統(tǒng)調試和仿真驗證工作都可以在模型層面上完成。其中主要有以下幾項：

（1）靜態(tài)檢查，檢查模型設計是否有靜態(tài)語意。語法錯誤；（2）模擬仿真，根據(jù)算法設計測試用例，通過仿真器模擬接口輸入輸出，直接“執(zhí)行”模型來實現(xiàn)仿真的功能；（3）形式驗證，根據(jù)需求設計的安全特性，通過嘗試在邏輯上尋找反例來檢查模型的安全性；（4）系統(tǒng)原型仿真，通過與其他設計工具的橋接，可以實現(xiàn)系統(tǒng)與模擬外部環(huán)境模型的連接運行，方便測試和需求驗證。

對于一個系統(tǒng)模型的驗證工作，一般是按照自底向上的順序進行的。首先要對底層功能模塊進行驗證，由于其結構和接口最為簡單，所以最易于調試。在所有組成模塊都經(jīng)過充分驗證的基礎上，可以繼續(xù)進行上一層模型的驗證工作，并一步步的遞推至最頂層的系統(tǒng)模型。

4.4代碼自動生成

SCADE基于嚴格的數(shù)學理論和一套形式化方法，能夠確保其代碼和模型的完全一致，并滿足一系列的安全性特征，是完全面向工程的產(chǎn)品代碼。

SCADE的代碼生成過程提供了多種設置以滿足各種需求，需要根據(jù)實際使用需要進行配置，一般情況下其產(chǎn)品可以直接嵌人到產(chǎn)品中去而不需要做任何修改。

5開發(fā)實例

依據(jù)上述開發(fā)技術，實例構建某型號制導炸彈飛控軟件的制導控制模塊，來實踐基于模型的嵌人式軟件開發(fā)流程。

5.1開發(fā)流程

基于SCADE的嵌入式軟件開發(fā)流程，主要工作集中在建模層面，其流程如圖3所示。

5.2需求分析軟件需求規(guī)格描述如下：

（1）需要實現(xiàn)的功能：此模塊為計算功能模塊，主要根據(jù)慣性系下比例導引指令。彈目相對位置和彈體姿態(tài)計算彈體需要實現(xiàn)的過載指令。

（2）輸入：慣性系下比例導引指令。彈目相對位置。炸彈姿態(tài)。

（3）輸出：彈體導引指令。

5.3需求建模

需求建模可以分為概要設計階段和詳細設計階段。概要設計階段的主要工作是建立系統(tǒng)模型和模塊分層細化；詳細設計階段的主要工作是完成具體模塊設計。

在這個例子中，根據(jù)算法所要實現(xiàn)的功能首先定義了整個系統(tǒng)的輸入輸出變量，然后建立系統(tǒng)的黑盒模型，如圖4所示。

下面根據(jù)模塊功能，對系統(tǒng)模型進行了進一步劃分，主要分為以下幾個模塊：

（1）飛行狀態(tài)條件計算模塊Condition.其輸人為彈體姿態(tài)和彈目相對位置信息，以及兩個常數(shù)參數(shù)，輸出為三個飛行狀態(tài)變化的條件。

（2）飛行狀態(tài)判斷模塊Fly-State.其輸人為三個狀態(tài)變化條件變量，輸出為三種狀態(tài)標志。

（3）導引指令坐標系轉換模塊Transition.其輸入為彈體姿態(tài)和慣性系下比例導引指令，輸出為彈體系下比例導引指令。

（4）過載計算模塊Acceleration.其輸入為三個飛行狀態(tài)標志，彈體速度。攻角信息，彈體系下的比例導引指令，以及一個常數(shù)參數(shù)，輸出為彈體過載指令。

（5）過載限幅模塊Alimit.其輸入為彈體過載指令，輸出為限幅后的彈體過載指令。

其中Condition.Acceleration.Transition和Alimit是功能計算模塊，用數(shù)據(jù)流圖建模；Fly-State是狀態(tài)計算模塊，用有限狀態(tài)機建模。系統(tǒng)模型圖如圖5所示。

圖6為飛行狀態(tài)計算模塊Fly-State的模型，其中共包含3個狀態(tài)，分別為初始狀態(tài)（Istate），轉彎狀態(tài)（Tstate）和俯沖狀態(tài)（Astate）。根據(jù)三個輸入的布爾量條件可以進行狀態(tài)變化。其中的狀態(tài)變化都是單向不可反復的，變化方向和線條箭頭方向一致。

5.4模型驗證和算法調試

完成模型設計后，需要使用SCADE提供的一系列檢查驗證手段來確保模型的正確性和安全性。對于發(fā)現(xiàn)的問題，可以在直觀的圖形化模型上進行模型修改和參數(shù)調試。

使用模擬仿真工具，可以通過設計各種測試用例來模擬可能出現(xiàn)的實際情況，對模型進行仿真調試。可以從控制算法角度和軟件工程角度對模型進行優(yōu)化，以達到滿足設計需求的目的。

5.5代碼集成

在代碼集成階段，根據(jù)實際需要，按照效率優(yōu)先原則進行了配置并自動生成了標準C代碼。然后對使用了SCADE自動生成代碼的軟件進行仿真，其仿真結果與模型仿真的結果一致，滿足設計需求。

6結束語

SCADE軟件開發(fā)環(huán)境的出現(xiàn)，提供了一種基于模型的高安全性嵌入式軟件解決方案，使嵌入式軟件的開發(fā)效率大大提高。同時由于使用了基于模型的設計流程和高度自動化的開發(fā)進程，研制工作的重心集中在建模層面，把軟件設計人員從繁復的編碼和驗證工作中解放出來，能夠把大量的精力投入到算法設計和建模工作中，這對于嵌入式軟件的工程開發(fā)有著重要的意義。