美國新思科技公司 （Synopsys, Nasdaq: SNPS）是全球領(lǐng)先的軟件質(zhì)量與安全的解決方案供應(yīng)商。新思科技指出在新車添置新連網(wǎng)功能的時候，必須更加重視軟件測試與質(zhì)量保證
新思科技軟件質(zhì)量與安全部門亞太區(qū)董事總經(jīng)理陳玉貞指出，軟件對汽車業(yè)已不是新鮮事。早在四十多年前，汽車就有了低層次的軟件命令，近年來才有了飛躍式的發(fā)展。面向消費者的數(shù)字化新功能的需求急劇上升，但這對OEM供應(yīng)商以及OEM來說則是一種挑戰(zhàn)。
提升汽車軟件質(zhì)量與安全的意識
汽車軟件不再局限使用于汽車內(nèi)部的少數(shù)零部件，而是變得復(fù)雜和相互連接。面向消費者的功能不斷推陳出新，促使了非結(jié)構(gòu)化的軟件的增加，如果任其發(fā)展，就會導(dǎo)致組裝汽車面臨不可預(yù)見的安全漏洞，甚至給用戶帶來人身安全威脅。
汽車變得相互連接，一致性的系統(tǒng)以及抵御惡性攻擊的軟件安全防護成為迫切需要。因此，司機希望在享受汽車多種新功能的同時，也能確保安全性達到同等水平。
目前，僅普通汽車就包含多達70個電子計算單元（ECU）。此外，還有超過1億行代碼，這幾乎是Microsoft Office 2013代碼的兩倍之多。更高端的車型還擁有更高的計算能力。
在中國，車聯(lián)網(wǎng)發(fā)展?jié)摿薮蟆o人駕駛、半自動駕駛以及智慧汽車將成為市場的主流。預(yù)計到2030年，汽車聯(lián)網(wǎng)率將接近100%。
從軟件開發(fā)之初就加強安全以有效保護連網(wǎng)功能
每一個連網(wǎng)功能都有可能成為惡意攻擊的對象，這些功能包括遠程無鑰匙進入系統(tǒng)、遠程啟動功能和GPS應(yīng)用等。
手提電腦、智能手機或者企業(yè)網(wǎng)絡(luò)都面臨著安全漏洞威脅，汽車亦然。但是，汽車遭遇惡意攻擊的后果會更加嚴重，不僅威脅到駕駛員、乘客以及其他行人的安全，還會增加盜竊的風險，并且有可能對制造商的聲譽造成損害。
安全系統(tǒng)應(yīng)該在最開始設(shè)計開發(fā)階段就納入軟件，而不是在事后增加安全功能。制造商應(yīng)該部署一套解決方案，在整個軟件開發(fā)生命周期（SDLC）檢測和修復(fù)缺陷，從而消除風險，防患于未然。
采用先進軟件測試工具確保連網(wǎng)汽車軟件整個SDLC的安全
幸運的是，有許多工具可用來滿足汽車行業(yè)的軟件測試需求。
- 靜態(tài)代碼分析：靜態(tài)分析可識別邏輯不一致和開發(fā)人員可能未正確實現(xiàn)某一功能的跡象。當能獲得源代碼時，靜態(tài)分析可在產(chǎn)品尚在開發(fā)過程中識別特定類型的錯誤和缺陷，以最大限度地減少漏洞的可能性。
- 畸形輸入測試（模糊測試）：模糊測試是一種動態(tài)測試，用于尋找影響安全和可靠性的各種問題。為驗證產(chǎn)品在無效或意外輸入條件下的表現(xiàn)是否正常，模糊測試工具通過外部接口提供精心設(shè)計的輸入。這些無效的輸入可在產(chǎn)品上市前觸發(fā)未知的漏洞。
- 軟件組成分析：軟件組成分析（SCA）可生成針對特定產(chǎn)品的準確物料清單，驗證許可義務(wù)是否得到履行、所有相應(yīng)組件是否完成測試以及安全漏洞（和將來進行更新的需要）在產(chǎn)品發(fā)布后是否得到跟蹤。此跟蹤功能會突出顯示現(xiàn)有的和新的漏洞，并允許開發(fā)人員有效利用其資源。
然而，應(yīng)用安全測試只是一個起點，并不是終點。軟件安全計劃（SSI）是軟件開發(fā)商用來降低風險、構(gòu)建安全軟件的一種途徑。同時也有一些工具可以幫助汽車制造商評估其SSI的有效性。軟件安全構(gòu)建成熟度模型BSIMM就是這樣一款工具之一。BSIMM8是BSIMM的第八個版本，提供行業(yè)數(shù)據(jù)給用戶作為參考，以評估和調(diào)整自己的SSI計劃。
汽車制造商應(yīng)該建立一個與人身安全風險管理一致的軟件安全風險管理流程。新思科技采取一種整體的方法來設(shè)計、構(gòu)建和維護安全軟件，我們將這一概念稱為“內(nèi)置完整性”（Building Security In）。我們提供了一套全面的軟件安全性和質(zhì)量解決方案組合，并以專業(yè)服務(wù)的方式來交付，這些服務(wù)包括：
- 架構(gòu)與設(shè)計/威脅建模：發(fā)現(xiàn)缺失的/弱化的安全控件，了解設(shè)計最佳實踐，解決安全性和質(zhì)量方面的缺陷。
- CI/CD：在正確的時間、正確的層次，采用正確的工具和流程，把安全性和質(zhì)量分析固化到您的開發(fā)流程中。
- 云計算：為部署到云端的應(yīng)用開發(fā)提供可持續(xù)的軟件完整性計劃。
- IoT/ 嵌入式設(shè)備：通過分析訪問向量（包括通信、客戶端和服務(wù)器）來發(fā)現(xiàn)軟件缺陷。
新思科技軟件質(zhì)量與安全平臺助力制造商符合ISO 26262安全標準
ISO 26262安全標準旨在通過可行的要求和流程來避免系統(tǒng)故障和硬件隨機故障的風險。目前，包括中國在內(nèi)的許多全球市場都在廣泛采用ISO 26262安全標準。
新思科技軟件質(zhì)量與安全平臺可以幫助企業(yè)遵守ISO 26262安全標準規(guī)定的編碼規(guī)則、體系結(jié)構(gòu)設(shè)計和單元測試需求，以確保其生產(chǎn)的汽車的功能安全性并更好地管理更加復(fù)雜的代碼。
通過業(yè)界領(lǐng)先的工具和解決方案，新思科技可以幫助汽車行業(yè)交付持續(xù)的軟件安全計劃，從而提供持續(xù)的安全風險識別并緩解風險，同時也能符合國際標準。
