软件检查检测-CMA/CNAS认证第三方检测机构|中析检测官网

软件检查检测是软件质量保障体系的核心环节，其本质是通过系统化的技术活动，对软件制品及过程进行审查与验证，以识别缺陷、评估质量并确认与规约的符合性。以下从检测项目、范围、标准及仪器四个维度进行详述。

1. 检测项目：方法及原理

软件检测项目可基于检测对象与执行主体，分为静态检测与动态检测两大类。

1.1 静态检测
在不执行程序代码的前提下，对软件需求、设计、源代码及相关文档进行分析。

代码审查与走查：基于同行评审会议，依据预定义的检查清单，系统性审查源代码，以发现逻辑错误、编码规范违反及潜在设计缺陷。其原理依赖于多人的经验与知识互补。
静态代码分析：借助工具对源代码进行词法、语法及语义分析。
- 编译时检查：编译器进行的基础语法、类型及接口一致性检查。
- 符号执行：工具以符号值代替具体输入，模拟程序执行路径，推导路径约束条件，用于发现空指针、除零、数组越界等缺陷。
- 抽象解释：在数学抽象域上对程序所有可能行为进行保守近似，用于证明程序在运行时不会出现特定类型的错误。
- 数据流与控制流分析：构建程序的控制流图与数据流关系，检测未初始化变量、死代码、冗余计算等问题。
模型检查：针对形式化规约或设计模型，通过状态空间搜索或逻辑推理，自动验证其是否满足时序逻辑属性，如活性、安全性。

1.2 动态检测
通过在实际或模拟环境中执行程序来验证其行为。

单元测试：针对软件最小可测试单元（如函数、类），编写驱动程序和桩模块，验证其接口与内部逻辑。常采用白盒测试方法设计用例。
集成测试：在单元测试基础上，将模块逐步组装，测试接口交互、数据传递及集成的功能。策略包括自顶向下、自底向上、持续集成等。
系统测试：在完整的集成系统上，验证其是否满足需求规格说明。主要包括：
- 功能测试：依据需求文档，验证每一项功能。
- 非功能测试：
  - 性能测试：评估系统在特定负载下的响应时间、吞吐量、资源利用率。包括负载测试、压力测试、稳定性测试。
  - 安全性测试：通过渗透测试、漏洞扫描、模糊测试等手段，识别认证、授权、加密、注入等方面的安全漏洞。
  - 兼容性测试：验证软件在不同硬件、操作系统、浏览器、网络环境下的适配性。
  - 可靠性测试：通过长时间、高负荷运行，评估系统平均无故障时间。
回归测试：在软件修改后，重新执行已有测试用例集，以确认修改未引入新的缺陷或导致原有功能回退。
灰盒与黑盒测试：灰盒测试结合代码结构（白盒）与功能规格（黑盒）设计用例；黑盒测试则完全基于输入输出关系，不关心内部实现，常用方法包括等价类划分、边界值分析、决策表、状态迁移等。

2. 检测范围：应用领域需求

不同应用领域的软件检测存在特异性需求。

嵌入式与物联网系统：强调实时性、可靠性及与硬件的协同。检测需覆盖时序约束（最坏执行时间分析）、内存泄漏、中断处理、低功耗性能及在极端环境下的鲁棒性。
Web与移动应用：侧重于多用户并发、响应式布局、跨平台/浏览器兼容、API接口安全（如OWASP Top 10风险）、客户端性能（首屏加载时间）及数据隐私合规。
人工智能与数据科学系统：焦点在于数据质量、算法公平性与可解释性、模型性能（精确率、召回率、漂移检测）及推理效率的测试。
安全关键系统（如航空航天、汽车、医疗）：遵循最严格的开发与检测标准。需进行形式化验证、高覆盖率（如MC/DC）的单元测试、故障树分析、软硬件集成测试及全系统V模型验证。
企业级信息系统（如ERP、CRM）：侧重于业务流程的正确性、数据一致性、大规模并发事务处理能力、与遗留系统的集成以及合规性审计。
游戏与多媒体软件：关注图形渲染性能、帧率稳定性、用户体验流畅度、物理引擎准确性及跨设备适配。

3. 检测标准：参考文献依据

软件检测实践广泛遵循行业共识及学术界与工业界的研究成果。
在质量模型与过程管理方面，可参考由国际标准化组织和国际电工委员会联合发布的关于软件产品质量与软件生命周期过程的系列指南，以及能力成熟度模型集成框架。关于软件测试的基础术语与过程，可遵循软件测试标准。在安全关键领域，汽车行业的道路车辆功能安全标准、航空航天领域的机载系统和设备认证考虑标准、医疗设备的软件生命周期过程标准，均对检测活动提出了强制性要求。
学术研究为检测技术提供了理论支撑。例如，在《软件测试基础》等著作中系统阐述了测试原理；模糊测试的奠基性工作由Barton Miller等人在上世纪九十年代提出；符号执行技术由James C. King于1976年首次描述，并在后续研究中被扩展和改进。

4. 检测仪器：主要设备及功能

软件检测仪器主要指各类自动化测试工具与平台。

静态分析工具：对源代码或字节码进行扫描，检测编码规范违反、安全漏洞及复杂缺陷。通常集成于集成开发环境或持续集成流水线，提供缺陷报告与趋势分析。
单元测试框架：为特定编程语言提供编写、组织、运行单元测试用例的基础设施，通常包含断言库、测试运行器及覆盖率统计工具。
自动化功能测试工具：
- 图形用户界面测试工具：通过录制/回放或脚本驱动，模拟用户对图形界面的操作，实现端到端的功能验证。
- API测试工具：用于发送HTTP/HTTPS等协议请求，验证Web服务、微服务接口的功能、性能及安全性，支持多种数据格式与认证机制。
性能测试工具：通过模拟海量虚拟用户并发请求，对系统施加负载，实时监控并收集服务器资源使用、事务响应时间等指标，生成性能分析报告。
安全测试工具：
- 动态应用安全测试工具：模拟外部攻击，在运行时扫描Web应用漏洞。
- 交互式应用安全测试工具：结合DAST与白盒测试技术，在测试执行过程中进行实时漏洞分析。
- 模糊测试工具：通过自动生成或变异大量畸形、非预期输入数据，探测程序的崩溃或异常行为。
测试管理平台：提供测试需求、用例、计划、执行结果、缺陷的集中化管理，支持团队协作、流程定制与质量度量。
持续集成/持续交付服务器：作为自动化检测流程的 orchestration 核心，自动触发代码检出、构建、各类自动化测试（单元、集成、静态分析等）及部署，是实现敏捷开发与DevOps实践的关键基础设施。