第 09 章《软件可靠性基础知识》

在软考高级《系统架构设计师》考试中，官方教程第 9 章《软件可靠性基础知识》是全书考点极其集中、案例题与论文科目极高频的硬核章节。本章不仅在上午综合知识单选题中稳定贡献 6~8 分，更是下午案例分析大题（容错设计选型、N版本程序 vs 恢复块、双机热备/集群）以及论文科目（《论高可靠性软件系统的架构设计与实现》、《论软件容错技术的应用》）的核心采分阵地！

本文紧扣《系统架构设计师教程（第2版）》官方教材 PDF 第 9 章脉络，对 5 大核心板块 进行系统化、深度逻辑拆解，并在每个模块下配备全仿真真题/例题打靶与深度解析。

📌 章节知识全景导航

第 9 章 软件可靠性基础知识├── 9.1 软件可靠性基本概念（定义、与硬件可靠性4大区别、MTTF/MTTR/MTBF指标、广义与狭义测试）├── 9.2 软件可靠性建模（5大影响因素、3大建模假设、10类可靠性模型）├── 9.3 软件可靠性管理（全生命周期各阶段可靠性活动）├── 9.4 软件可靠性设计（核心：容错设计 NVP/RB/冗余、检错设计、降低复杂度、双机热备与集群）├── 9.5 软件可靠性测试（运行剖面 Operational Profile、测试用例设计、4类失效数据）└── 9.6 软件可靠性评价（模型选择依据、数据收集、图形与 EDA 分析法）

🎯 模块一：9.1 软件可靠性基本概念与定量度量

1. 核心考点精讲

• • 软件可靠性的定义（GB/T 11457 / IEEE）：
• • 软件可靠性是指软件产品在规定的条件和规定的时间区间内，完成规定功能的能力。
• • 规定的时间：指运行时间（或 CPU 执行时间），非仅指自然日历时间。
• • 规定的条件：指软件运行时的外部输入条件和软硬件环境。
• • 软件可靠性与硬件可靠性的 4 大关键区别（选择题高频）：
1. 1. 复杂性：软件内部逻辑高度复杂，失效主要源于设计与逻辑缺陷；硬件结构相对简单。
2. 2. 物理退化：软件不存在物理磨损与退化现象（正确的软件任何时刻均可靠）；硬件失效主要源于器件的物理老化。
3. 3. 唯一性：软件复制不改变软件本身，相同代码行为完全一致；而没有任何两个硬件元器件绝对相同。
4. 4. 版本更新较快：软件频繁因需求变更和修 Bug 而更新版本，评估难度更大。
• • 可靠性三大核心定量指标（计算与填空必考！）：
• • MTTF (Mean Time To Failure，平均失效前时间)：从开始运行到发生故障的持续运行时间期望值（即无故障运行时间）。
• • MTTR (Mean Time To Restoration，平均恢复前时间)：从出现故障到修复成功并重新投入使用的平均时间（反映系统的易恢复性）。
• • MTBF (Mean Time Between Failures，平均故障间隔时间)：两次相邻失效之间（包括故障修复时间）的平均时间。
• • 换算关系：MTBF = MTTF + MTTR
• • 系统可用性 (Availability)：可用性 A = MTTF / (MTTF + MTTR) * 100% = MTTF / MTBF * 100%

💡 考点例题打靶（单选题）

【单选题】某高可用金融交易系统累计运行监控数据表明，该系统平均连续无故障运行时间（MTTF）为 998 小时，发生故障后的平均修复与恢复时间（MTTR）为 2 小时。则该系统的平均故障间隔时间（MTBF）以及系统可用性（Availability）分别为（ ）？A. 1000 小时，99.8%B. 996 小时，99.8%C. 1000 小时，99.9%D. 998 小时，99.9%

【答案与解析】

• • 正确答案：A
• • 详细解析：根据可靠性指标公式，MTBF = MTTF + MTTR = 998 + 2 = 1000 小时；可用性 A = MTTF / MTBF = 998 / 1000 = 99.8%。故选 A。

🎯 模块二：9.2 软件可靠性建模与分类

1. 核心考点精讲

• • 影响软件可靠性的 5 大技术因素：
• • 运行剖面（环境）：同一软件在不同运行剖面（使用方式/输入域）下，可靠性表现完全不同。
• • 软件规模：代码量越大，隐存缺陷通常越多。
• • 软件内部结构：结构越复杂，可靠性越低。
• • 开发方法与环境：结构化与规范化开发可显著减少缺陷数。
• • 可靠性投入：在前期设计、管理和测试上的资源投入。
• • 可靠性模型的 3 大通用假设（选择题考查）：
1. 1. 代表性假设：假设测试用例的选取能代表实际软件的运行剖面。
2. 2. 独立性假设：假设各软件失效独立发生，互不影响。
3. 3. 相同性假设：假设所有软件失效的严重后果（等级）相同，建模仅关注发生时刻。
• • 10 类常见可靠性模型：
• • 种子法模型：预先“播种”人工诱导缺陷，根据捕获的种子比例估算总残留缺陷数。
• • 失效率类模型：如 Jelinski-Moranda (J-M) 模型。
• • 程序结构分析模型：如 Littlewood 马尔可夫结构模型、Cheung 面向用户的马尔可夫模型。
• • 其他类型：曲线拟合类、可靠性增长模型（Duane/Weibull）、输入域分类模型（Nelson 模型）、非齐次泊松过程模型（NHPP）、马尔可夫过程模型、贝叶斯模型。

💡 考点例题打靶（单选题）

【单选题】在软件可靠性评估中，“种子法模型”是一种常用的残留缺陷估算手段。该模型的主要实现机制是（ ）？A. 在程序中有意插入已知的人工“种子”缺陷，根据测试出的原始缺陷与“种子”缺陷的比例来推算残留缺陷总数B. 利用贝叶斯网络结合专家经验推导软件失效概率C. 通过统计软件在单位时间内的语句覆盖率来估算可靠性D. 建立有限状态机马尔可夫链来模拟用户的输入路径

【答案与解析】

• • 正确答案：A
• • 详细解析：种子法模型利用捕获-再捕获抽样技术，通过在程序中预先“播种”一些设定的诱导错误，再根据测试中发现的原始错误与诱导错误的比例来估计程序中的残留错误数。故选 A。

🎯 模块三：9.4 软件可靠性设计技术（案例分析与论文绝对重头戏！）

1. 核心考点精讲（NVP vs RB vs 冗余）

保障软件可靠性最有效、最经济的手段是在设计阶段采取控制措施。教程重点总结了以下容错设计技术：

               ┌── N 版本程序设计 (NVP)：静态冗余，多数表决（比拼空间/并行）               │容错设计技术 ┼── 恢复块设计 (RB)：动态冗余，后备状态恢复（比拼时间/串行）               │               └── 冗余设计：不同路径、不同算法的备份模块

• • 1. N 版本程序设计 (N-Version Programming, NVP)：
• • 机制：静态冗余。由不同独立团队、用不同算法/编程语言开发 N 个（N >= 2）独立版本的软件模块，并行运行相同的输入，结果交由表决器（Voter）按照多数表决原则输出。
• • 核心前提：必须确保设计过程的完全独立性（独立需求理解、不同团队、不同工具、不同算法），防止软件设计错误的关联性。
• • 2. 恢复块设计 (Recovery Block, RB)：
• • 机制：动态冗余。包含一个主块（Primary Block）、若干个备用块（Alternate Blocks）以及一个验收测试（Acceptance Test）。
• • 过程：主块先执行，若通过验收测试，则直接输出；若未通过，则系统自动回滚/恢复状态（Rollback），切换到第一个备用块执行，直到通过验收测试或所有备用块耗尽。
• • 特点：串行执行，资源开销相对较低，但存在状态恢复的时间延迟。
• • 3. NVP 与 RB 核心对比表（案例题必考！）：

• • 4. 检错设计技术：
• • 适用于无须在线容错但要求高可靠的场合。包含 检测对象、检测延时、实现方式、处理方式 4 要素。
• • 缺点：不能自动解决故障，需人工干预或停止运行报警。
• • 5. 降低复杂度设计：
• • 软件复杂性（圈复杂度 CCN、扇入扇出度）是产生缺陷的根源。降低复杂度可大幅提升可靠性。
• • 常用辅助分析工具：故障树分析 (FTA)（自顶向下寻求故障原因）与 失效模式与效应分析 (FMEA)（自底向上分析后果）。

💡 考点例题打靶（下午案例分析大题）

【案例大题】某高高铁列车自动控制系统（ATC）对安全性和可靠性要求极高。架构师李工和王工针对安全控制模块的容错架构设计提出了两种不同的方案：

• • 李工方案：采用 N 版本程序设计（NVP） 架构，安排 3 个独立的研发小组采用不同的编程语言和算法开发 3 个版本的控制模块，运行时由硬件表决器对 3 个模块的输出结果进行多数表决。
• • 王工方案：采用 恢复块（RB） 架构，设计 1 个主控制模块和 2 个备用控制模块，并编写严格的验收测试程序，主模块未通过测试时恢复状态并切换至备用模块。

【问题 1】（6 分）请从冗余类型、结果判断机制、执行方式 3 个维度，对比说明 NVP（N版本程序设计）与 RB（恢复块设计）的区别。

【问题 2】（9 分）对于该高铁列车自动控制系统，项目组最终采纳了李工的 NVP 方案。请结合实时性与安全性的要求，说明采纳 NVP 方案的合理性，并指出实施 NVP 时为保证“设计独立性”应采取哪些关键措施？

【参考答案与采分点】：

• • 问题 1 解答：
1. 1. 冗余类型：NVP 属于静态冗余；RB 属于动态冗余。（2分）
2. 2. 结果判断机制：NVP 采用多数表决器判断输出；RB 采用验收测试程序判断。（2分）
3. 3. 执行方式：NVP 采用多模块并行执行；RB 采用主备模块串行执行。（2分）
• • 问题 2 解答：
• • 采纳理由：高铁控制系统对实时性要求极高。NVP 采用多模块并行执行与表决，不存在 RB 方案中状态回滚和切换备用块带来的时间延时，能够保障极其严格的实时响应；同时多数表决机制能够在线消除单模块逻辑故障。（4分）
• • 独立性保障措施：① 确保软件需求说明书的精确性与完全性；② 研发团队相互隔离、不交流；③ 使用不同的算法、不同的编程语言、不同的编译工具和测试环境；④ 选用不同教育与技术背景的开发人员。（5分）

🎯 模块四：9.4.4 系统配置技术（双机热备与服务器集群）

1. 核心考点精讲

• • 双机热备技术：
• • 通过两台服务器配合硬件/软件实现高可用。
• • 主备模式 (Active-Standby)：主机工作，备机实时同步状态；主机故障时备机接管。
• • 双活/互备模式 (Active-Active)：两台服务器同时承担不同业务，互为备份，资源利用率高。
• • 服务器集群技术 (Cluster)：
• • 由多台独立服务器组成统一的服务整体。各节点通过内部网络保持心跳通信。
• • 当某节点故障时，集群自动将其上的应用服务迁移并由其他节点接管，实现透明的故障恢复与负载均衡。

💡 考点例题打靶（单选题）

【单选题】在系统高可用配置中，双机热备技术常用于保证核心数据库服务的连续性。关于“主备模式（Active-Standby）”与“双活模式（Active-Active）”的说法，正确的是（ ）？A. 主备模式下两台服务器同时处理不同的业务请求，资源利用率最高B. 双活模式下主机故障时备机无法接管业务C. 主备模式在正常运行时备机处于处于闲置或仅同步状态，主机故障时备机自动接管D. 双活模式不需要任何数据同步机制即可保证数据一致性

【答案与解析】

• • 正确答案：C
• • 详细解析：主备模式（Active-Standby）下，正常时只有主机处理业务，备机处于监听与状态同步状态（闲置），主机故障时备机才自动接管；而双活模式（Active-Active）下两台服务器同时承担业务并互为备份。故选 C。

🎯 模块五：9.5 & 9.6 软件可靠性测试与评价

1. 核心考点精讲

• • 软件运行剖面 (Operational Profile, OP)：
• • 对系统实际使用条件与输入概率分布的定义。
• • 同一软件在不同运行剖面下的可靠性表现大相径庭。通常采用马尔可夫链 (Markov Chain) 进行输入域与使用行为建模。
• • 特例处理：对于飞机起降、核反应堆应急等低频但极关键的操作，不能仅按使用概率分配测试资源，必须单独定义专用的运行剖面进行强化测试。
• • 4 类可靠性失效数据（选择题考查）：
1. 1. 失效时间数据：记录发生一次失效所累积经历的时间。
2. 2. 失效间隔时间数据：记录本次失效与上一次失效间的间隔时间。
3. 3. 分组时间内的失效数：记录某个时间区间内发生的失效次数。
4. 4. 分组时间的累积失效数：记录到某个区间为止的累积失效数。
• • 可靠性评价辅助手段：
• • 图形分析法（累积失效数图、失效间隔图）。
• • EDA (试探性数据分析技术)：通过数字化分析揭示短期内失效数急剧上升、循环相关等异常。

💡 考点例题打靶（单选题）

【单选题】在软件可靠性测试中，开发团队需要首先定义“运行剖面（Operational Profile）”。关于运行剖面的说法，错误的是（ ）？A. 运行剖面是对软件实际使用环境与输入概率分布的定量描述B. 针对相同软件，在不同的运行剖面下测试得出的可靠性评估结果可能大不相同C. 运行剖面的测试用例分配完全依赖于操作发生的概率，出现频率极低的功能无须测试D. 对于航空起降等关键高危操作，即便其使用时间占比很小，也应单独构造专用运行剖面测试

【答案与解析】

• • 正确答案：C
• • 详细解析：虽然运行剖面主要按使用概率分配测试用例，但对于边界、跃迁情况和高危关键功能（如飞机的起飞与降落），绝对不能仅看低发生概率而忽略，必须构造专用的运行剖面补充测试。故选 C。

🧠 全章核心速记口诀卡片

1. 软硬件可靠性区别：   软件无物理磨损，失效全因逻辑错；   硬件老化易磨损，概率建模显效果！2. 3 大可靠性指标：   MTTF 是无故障运行，MTTR 是故障恢复时间；   MTBF 是故障间隔，MTBF = MTTF + MTTR！3. 容错 2 大阵营对比（重中之重）：   • NVP（N版本程序）：静态冗余，多数表决，并行快无延时！   • RB（恢复块）：动态冗余，验收测试，串行恢复有延时！4. 运行剖面原则：   概率分布做镜像，高危关键单独加！

💡 下期预告与互动：下一期我们将进入上篇的收官大章 第 10 章《软件架构的演化和维护》，带大家硬核拆解 软件架构演化时期/方式、面向对象的 4 种演化（对象/消息/复合片段/约束）、18 种演化原则及架构可维护性 6 大度量指标（CCN/FFC/CBO等）！你在刷第 9 章真题时最容易在哪个考点（NVP vs RB、可靠性公式计算）踩雷？ 欢迎在评论区交流分享！如果本文对你的备考有帮助，别忘了 点赞、在看、分享 支持一下，我们下一期见！🚀