基于规范变异的BGP-4健壮性测试研究摘要：提出了一种系统实现协议健壮性测试的新方法。该方法通过深入分析BGP的路由信息处理过程，提出场景模型来描述决策过程和更新过程的应用环境和控制参数，基于该模型通过定义场景单元、表达式、谓语、接口、行为和功能重新表述了RI－Pro过程，并提出了适用于BGP的RI－Pro的变异操作集合，通过规范变异方法构建了用于构造健壮性测试案例的关系集合。实验表明，使用该方法生成案例数目相对单纯依靠协议文本生成的反向测试案例在数量上提高24%，其检错能力是正向测试集的2.3倍。关键词：健壮性测试;边界网关协议;场景模型;规范变异中图分类号：TP393文献标志码：A文章编号：1001－3695(2007)07－0234－04健壮性是描述一个系统或组件在高强度输入环境下或者在无效数据输入时，其各项功能能够保持正确运行的程度[1]。Internet协议的健壮性原则[2]要求协议实现要宽容地接收外部信息，同时对自身发出信息要谨慎和严格。目前，BGP－4(BorderGatewayProtocol4)[3]已成为Internet域间路由的事实标准，是Internet体系结构中的核心控制组件。复杂、开放式的Internet环境对BGP的健壮性提出了巨大挑战，协议实体的任何实现缺陷[4]以及错误使用[5]都将直接影响到Internet的连通性、可靠性和安全性[6,7]。在BGP应用到Internet之前，除了进行一致性和互操作测试以外，必须对BGP实现进行健壮性测试。??RI－Pro是路由协议的核心，其主要功能是路由信息的计算和路由表的更新，以及新路由信息的生成和传播。RI－Pro是协议测试的主要内容，文献[8]定义了RIPTS(RoutingInformationProcessingTestScript)来替代传统的TTCN(TreeandTabularCombinedNotation)用于RI－Pro的测试描述。而文献[9]提出了生成RI－Pro反向测试案例的指导性范围，给出了健壮性测试框架。??本文提出了一种实用的健壮性测试案例的生成方法。该方法首先使用RI－Pro场景模型对RI－Pro的外部行为进行描述，通过定义变异操作（MutationOperators,MO）集合对基于场景模型描述的协议规范变异，构建出冲突关系集合。最后利用冲突关系集合中的矛盾关系重新构造出用于RI－Pro健壮性测试的应用场景。1RI－Pro分析与场景模型1．1RI－Pro分析??Internet标准化组织（InternetEngineeringTaskForce,IETF）制定了BGP的标准[3]。在该标准中，RI－Pro的功能是根据接收到的Update消息中的路由项进行新路由的计算、决策和发布。图1为BGP路由更新的处理过程。??当协议实现时，由于协议实现者只需保证实现与标准保持外部可观察的一致性，协议实现者往往依据自身对协议的理解和实际需要，对处理过程进行修改。例如Cisco就对RI－Pro规定的最佳路由选择进行了较大修改。??RI－Pro的实现与标准规定可以差别很大。尽管RI－Pro具有千差万别的内部实现，但是它们依然可以非常好地实现在Internet上的协作。这是由于它们的外部行为与协议标准是一致的。笔者要依据外部行为建立RI－Pro的新模型，使得新模型保持原协议标准规定的必须统一遵守的交互规则和外部表现形式，同时丢弃一些对于测试没有价值的内部细节描述。1．2RI－Pro建模??所有的会话、输入、输出和控制信息构成了该更新过程的应用环境。所谓RI－Pro的场景模型，是指刻画路由更新处理和决策过程应用环境的模型。该模型重新对RI－Pro进行描述，不再研究RI－Pro的内部过程和实现方法，只研究在控制参数设定的应用环境下，在特殊选定的激励下，RI－Pro的行为表现和结果输出。图2为BGP的RI－Pro的场景模型。??该场景模型对协议规定的RI－Pro进行了较大改造，对外部不可见的所有内部计算和决策都不予考虑，但是对协议规定的外部输入、输出和外部动作不仅予以全部保留，并且重新归类。该模型中关系集合的提出，赋予了该模型以灵魂，使得该模型不是对RI－Pro外部行为的简单重复描述，更不是把RI－Pro的处理过程退化为只能从外部观察的黑盒；该模型是从外部所有可利用资源的关系上重新审视路由处理过程。该模型是研究RI－Pro的所有可控资源的关系，深层次地重新演绎了该过程。1．3基于场景模型的RI－Pro表述??建立场景模型和场景的概念之后，基于该模型重新审视RI－Pro。该过程...