Автоматическая верификация бортового кода пропускает скрытые отказы и закладки в прошивку Разработка софта для "бездушных систем" и комплексов РЭР/РТР сейчас плотно завязана на языковые модели со статическими анализаторами кода. Нейросеть пишет контур донаведения или фильтр навигации, а следом сама же генерирует под него проверочные тесты и формальные контракты. Сборочный контур горит зелёным. Вычитывать глазами десятки тысяч строк некому, так что прошивку сразу заливают на борт. На практике такое тестирование быстро превращается в самообман. Машина пишет тесты под уже готовый код и повторяет в них собственные слепые зоны, а математические решатели при проверке часто оперируют идеальными числами вместо реальной арифметики процессора. Возьмём модуль машинного зрения или навигационный фильтр. На синтетике всё сходится. Зато в полёте под спуфингом скачок метки времени даёт нулевой шаг интегрирования. При делении на ноль выскакивает NaN. Тут не спасают даже жёсткие упоры по углам крена и тангажа в базовом автопилоте. По стандарту плавающей точки любое сравнение с NaN возвращает ложь, поэтому проверка вида «если больше максимума - обрезать» молча пропускает мусор дальше. За один такт ошибка заражает ПИД-регулятор с микшером двигателей. Моторы выключаются в воздухе, хотя основной поток на микроконтроллере продолжает крутиться и исправно сбрасывать сторожевой таймер. В закрытых радиолиниях и навигации счёт идёт ещё тоньше. Внутри самих верификаторов кода хватает уязвимостей, через которые в сторонние библиотеки протаскивают математически «доказанные» закладки. Если в функции обмена ключами умножение на кривой из-за такой закладки возвращает нули, наземная станция с бортовым модемом выработают одинаковый нулевой ключ сессии. На стенде связь отработает штатно: пакеты ходят, индикатор шифрования горит, автотесты проходят. Только на боевом вылете станция радиоразведки противника прочитает этот поток как открытый или подсунет команду на отключение двигателей. Похожая картина в фильтре комплексирования ИНС с ГНСС. Достаточно оставить в матрице ковариации сильную перекрёстную связь между горизонтальной скоростью и оценкой углов. Тогда при плавном уводе скорости спуфером фильтр примет ложное ускорение за проекцию силы тяжести и сам завалит борту расчётный горизонт. Вычитать глазами весь чужой код и проходы компилятора физически невозможно. Защищает здесь только инженерная гигиена на границах модулей. Перед подачей команд в микшер приводов обязательна явная проверка чисел на конечность, а контроль ориентации должен страховаться простым резервным контуром по сырым гироскопам без сложной математики. Сами же радиомодули и фильтры проверяют на записях реального полигонного эфира с битыми пакетами и сбоями синхронизации, причём тестовые векторы всегда пишет отдельный инженер, не видевший исходников. 🟢Подписаться на канал 🟢Подписаться в MAX
Открыть в TelegramПросмотры1 229−62%к среднему
Пересылки23
Реакции8
Комментарии0