毕业设计：文献参考（7）
一、基本信息
- 标题：基于UML-NuSMV模型的列控系统需求阶段的安全分析
- 来源：北京交通大学
- 作者：周玉平
二、研究背景
随着社会的进步和经济的发展，在中国，铁路己经成为了国家最重要的基础设施和最大众化的交通工具，处在中国综合交通运输体系中的骨干地位。中国也是世界上铁路运力强度最大、运营里程最长、运营环境最复杂、运营规模最大的国家。铁路系统的快速发展不仅仅改变了城市的面貌，腾飞了中国的经济，同时也是在向世界递出自己的新名片。如何在名片上印上安全的标签是一个不可轻视的问题。
列控系统—作为铁路的大脑，不言而喻，是保证铁路高效运行，保障铁路安全可靠最重要的环节之一。与其他领域的系统不同，铁路领域的列控系统是一种复杂且典型的安全苛求系统，任何潜在的不利于系统安全的因素都有可能造成重大的人身伤亡和巨大的财产损失。同时伴随着日益增长的铁路需求，列控系统的功能不断增强，与运输组织、车辆、牵引供电等专业的关系也越来越密切，已成为一个连接中心、车站及列车、覆盖整个轨道交通网络的庞大系统。因此，寻求有效的方法对列控系统的需求安全进行分析，发现影响系统功能安全的关键因素，进而采取恰当的措施来提高系统的安全性，对于保障列车的安全运行具有重要意义。
自19世纪70年代以来，随着计算机技术的革新，绝对安全的概念也随之被否定，为了能准确定义系统的安全性，从事故造成的损失和发生事故的频率的角度引入了“风险”的概念川。在传统的工作中，针对系统中可能存在的各种缺陷，已经逐步形成了一套基于系统开发生命周期不同的阶段组合使用离散故障的事件链的安全分析方法[[2]。这种经典的安全分析方法的分析过程易于理解且便于操作，在工程中被广泛应用，至今仍是众多领域内的行业安全标准所推荐的安全分析方法[[3, 4]。然而，随着计算机系统的复杂程度的提高，对于安全苛求系统而言，这种重度依赖于头脑风暴和专家经验的传统分析方法表现出一定的局限性。首先，在面对功能复杂和规模庞大的系统，局限性的最大体现是表现在系统细节的极大可能的遗漏。例如，在航空航天领域，199b年“火星极地火星探路者”号(Mars Pathfinder,MPF)火星探测器的失败使得美国航空航天局遭受严重的信任危机，究其原因仅仅是忽略了机械腿组件和控制单元之间的接口错误。因此，一个有效的系统安全分析过程，必须在贯穿在整个系统开发阶段、系统部署和实现，还应该最大限度的独立于先验经验的因素而存在。需求规范作为所有领域内系统开发的起点和基础，也是安全分析的起始，是系统成功完成开发的前提，值得注意的是传统方式中，多数的安全测试工作都交付于开发完成的系统。系统开发完成之后，采用黑盒或白盒的方式，通过仿真、测试等手段，对系统的可靠性和安全性进行分析和度量，得到的实验结果一般比较精确，一旦发现系统软件bug或硬件漏洞的存在，除了对系统的采取补救措施以外，同时还删除或修改需求文档。显然，对于花费巨大的系统而言，例如列控系统，在系统开发完成以后被曝露出来的安全隐患，所付出财产损失和人力资源是无可计量的。如果系统己交付使用，隐藏的风险则极可能危机到人民群众生命的安全。在需求阶段，对系统可靠性和安全性进行分析，一方面能够帮助系统开发人员对现有的系统设计方案进行评估，以检验设计是否满足用户需求;另一方面也能帮助系统设计人员定位潜在的安全威胁，尽早采取必要的措施，能最大可能地规避风险。因此，列控系统需求阶段的安全分析具有重要意义。
对系统需求规范进行形式化建模与验证，结合专家知识和物理系统(现场设备)针对性地注入系统故障，可以有效地完成系统开发初期对需求规范中系统漏洞的排查，同时最大限度地对系统开发工作做出相应的风险预估，而且建立的模型可以随着系统开发的进行不断进行修正和丰富，最终能够减小系统开发的代价。
三、具体内容
第一章：引言。阐述了论文的研究背景以及国内外研究现状，提出了解决问题，并对总结分析了当前的研究现状，针对当前研究存在的不足，明确论文的选题的及立题意义。
第二章：列控系统需求规范与基于故障注入模型的安全分析方法介绍。本章的始首先介绍和总结列控系统需求规范的特点，明确本文的研究基础的特性以及其在CTCS-3级列控系统中所处的地位。并且阐述了基于故障注入模型的安全分析方法，更加具体、明确的说明了该方法应用在列控系统需求阶段安全分析中的优缺点和详细过程。
第三章:UML模型的设计与列控系统需求规范建模。为了满足后续的验证和安全分析，克服形式化模型难以理解，不利于广泛应用的缺点，本章以列控系统需求规范文本为基础，以UML图形刻画系统结构和功能特性，完成非形式化的自然语言到半形式化的模型的转换，并实现系统需求、静态结构和和动态行为三个方面对列控系统进行建模。
第四章:NuSMV的研究与列控系统需求阶段的安全分析。本章首先介绍了NuSMV语言，简单介绍了UML模型到形式化的NuSMV模型的转换过程。然后提出了故障模式的失效标记符号的定义。对于列控系统需求阶段的安全分析工作分成两个部分，即故障树验证和最小故障割集求解，同时在安全分析之前完成属性验证工作并简单介绍逻辑符号表达描LTL与CLT a
第五章:UML-NuSMV模型分析工具RNiTool的开发。为了实现从第三章的建模到第五章的的自动化分析，开发了一款建模安全分析工具RMTooI。通过对需求规范的功能进行安全分析，说明RMTooI的开发过程和界面设计。
第六章:案例分析。以RBC切换场景为案例，对系统需求规范描述场景进行建模进行需求阶段的安全分析，论证文中提出的基于UML-NuSMV模型的列控系统需求阶段安全分析方法的可行性以及所开发的支持工具RMTooI的可用性。
第七章:结论与展望。总结全文，然后展望探讨研究研究工作的改进方向。
四、参考文献
[1]周玉平. 基于UML-NuSMV模型的列控系统需求阶段的安全分析[D].北京交通大学,2015.