基于列控系统的扩展UML模型设计及故障树求解算法
开题报告
目 录
一、选题背景
二、研究目的和意义
三、本文研究涉及的主要理论
四、本文研究的主要内容及研究框架
（一）本文研究的主要内容
（二）本文研究框架
五、写作提纲
六、本文研究进展
七、目前已经阅读的文献
一、选题背景
安全荀求系统(S afety-Critical System)是指对组成系统的软件和硬件安全级别要求很高的计算机、电子或电气系统，系统出现故障后可能会导致重大的生命、财产损失⑴。安全荀求系统通常釆用冗余配置来增加系统的可靠性，但是冗佘结构同时也使安全荀求系统的复杂度增大，为安全苟求系统的安全分析带来了巨大的挑战。为了避免人员伤亡、降低经济损失，安全荀求系统在设计和研发过程中必须慎之又慎，但是即使如此，由于设计工程师对于系统特性、行为等认识理解的局限性以及系统复杂、频繁的交互和协作，系统内及系统与环境间不可避免的会产生一系列的缺陷或故障。相对于其它类型的故障，这些故障对系统安全危害更大，隐藏的更深，对其检测和消除的难度也更高，我们将其称为设计型故障，设计型故障成为安全苟求系统不安全的一个主要原因。系统设计由于系统功能的复杂性而更难以进行且更容易出现一些错误，同样的道理也适用于系统测试，由于系统的复杂性所以更可能检测不到某些故障[2]。研究表明有60%的故障是在设计时引入的，而在此阶段仅仅能发现其中8%的错误。大部分错误只有在系统研发后期才会被发现，而当错误发生之后用来纠正这些错误的花费是相当耗费成本的。这些都为安全工程师们对安全荀求系统进行安全分析带来了巨大的挑战。虽然安全分析技术目前已经非常成熟并广泛应用于安全苟求系统的设计过程中，但是大多数技术都是高度主观并且依赖于安全分析人员的从业技能。这些分析通常都是基于一个非正式的系统模型，很难做到完整一致且不出错。
事实上，由于缺乏系统结构的精确模型和失效模式经常迫使安全分析人员花费很多的精力从多个资源处收集系统行为的细节并将这些信息嵌入如故障树等安全分析方法中。
二、研究目的和意义
为了使系统设计更加有效、准确，设计者和安全分析人员希望进行一个完全的设计分析过程。在系统设计阶段，安全分析能够与系统设计并行从而确定所有可能的危害。如果在系统设计阶段能够马上分析出威胁系统安全的各种设计故障，那么就能检验系统能不能按照设计要求运行，进而设计者就可以决定是否需要重新设计以及需要改进原有的哪些不合理设计，这样设计时间和资源就会大大缩短。这些对于确定系统安全等级也是非常有必要的。尽管现在已经有了能够实现对设计模型进行自动安全分析的工具，但是现有的安全分析工具却是与设计过程分离的，并且在工程周期中安全分析的结果是明显滞后的。如果能把安全分析和系统设计同时进行的话，那么就能解决以上问题，并能尽早的认可设计模型。所以目前基于模型的安全分析方法(Model Based Safety Analysis, MBSA)成为了学术界和工业界关注的焦点，已经在国外航空与军工领域得到广泛的应用。系统和安全工程师可以通过采用一个基于模型的系统研发过程来共享相同的系统模型，通过加入故障模型以及一定比例可控的物理系统，对安全分析进行自动化处理，从而减少幵支并提高安全分析的质量[3]。与传统安全分析方法相比，MBSA技术的应用能够使安全分析更好地契合系统设计，有力保证了安全分析的准确性。MBSA技术还为安全分析自动化提供了实现基础，可以显著提髙分析效率，有效地缩短工程工期，节省成本。
三、本文研究涉及的主要理论
FSAP/NuSMV-SA平台提供了一个在设计阶段和安全评估阶段都可以使用的统一环境，自动将失效模式扩充到系统模型中去，在系统正常和故障的情况下都可以进行安全评估，并且提供了时序逻辑的定义简化了安全需求，使得复杂系统的建模和安全评估更简单，也缩短了复杂系统的开发周期。FSAP/NuSMV-SA包含两个部分，其中FSAP是一个正式的安全分析平台，它通过安全分析任务(SafetyAnalysis Task, SAT)管理器提供了一个图形用户界面。而NuSMV-SA支持系统仿真和标准模型检测，如属性检查和反例生成[7]。另外，系统中的算法可以自动进行可靠性分析，如故障树生成，该平台可以从系统模型和失效模式定义自动推导出故障树。FSAP/NuSMV-SA提供了一些预定义的失效模式，用户可以从下拉菜单中为某个输入或输出选定一个预定义的失效模式。选定了失效模式之后，用户就对系统模型进行故障注入来生成一个新的扩展模型。扩展模型被用于后面的系统安全评估。FSAP采用详尽的状态空间分析来确定基本事件的所有集合，所以它能自动提取基本事件的所有集合，如导致顶事件发生的所有最小割集。相比起人工故障树分析来说，这个能够进行更准确更完全的分析。但是尽管FSAP具有如此强大的功能，它生成的故障树却并不直观，故障树可能很宽但只有两层深，并不像用传统方法生成的故障树一样与系统结构相关联。所以可能会影响安全工程师对故障树的理解进而拒绝接受整个工具。
Galileo是美国弗吉尼亚大学开发的一款釆用DIFTree(Dynamic Innovative FaultTree)分析方法的动态故障树绘制和分析工具[8]。由于容错系统的故障模式取决于组件和子系统的故障顺序另外还存在着共因故障，所以动态故障树就在传统的静态故障树的基础上进行了扩展来适应这些特点。DIFTree分析法釆用了模块化的方式将静态和动态故障树分析技术结合起来。Galileo中具有目前被广泛应用的商业化组件，使工程师能够编辑和显示故障树的文本和图形形式，并且很容易集成到实际的工程实践。但是Galileo只是一个故障树分析工具，并不是故障树生成工具，它可以与故障树自动生成工具结合起来使用，例如文中前面提到的FSAP。FSAP生成的故障树就可以输入到Galileo，再加入失效率、维修率等概率就可以进行定量分析。英国赫尔大学的可靠系统研究组开发了半自动化安全分析工具Hip-HOPS,这种方法起源于FFA、FMEA、FTA等经典安全分析技术，可以从功能水平到组件故障模式的高度进行复杂系统的综合评估[9]。采用经典FMEA方法的变形方法IF-FMEA(Interface Focused-FMEA)来分析系统组件的失效行为，用IF-FMEA表格的方式记录硬件或软件组件如何对其他组件产生的失效做出反应，也可以表示组件自己产生或传递给其他组件的失效模式。确定了所有的失效行为之后，即可判断系统功能失效如何从底层组件失效模式开始传播，分析结果以故障树形式记录，并能进行最小割集和故障树定量计算。但是Hip-HOPS的故障树生成完全依赖于IF-FMEA表格，用户需要先精确构建IF-FMEA表格，生成的故障树也似乎只是用户定义在IF-FMEA表格中故障模式的一个分层表示。HIDE(High-level integrated design environment for dependability)体系是欧洲ESPRIT(欧洲信息技术研究与开发的战略计划)的一个重要组成部分，由来自欧洲三个国家的五大研究机构联合参与，旨在增加欧洲髙技术产品竞争能力，在国际上具有重要影响。HIDE的设计者们同样认为有效的设计过程需要进行早期概念验证和架构选择，这样可以避免在后期还需进行系统是否满足设计目标的验证过程而浪费时间和资源。在HIDE体系中创造了一个集成环境，基于UML的设计工具集可以与建模和分析工具结合使用，来及时评估幵发的系统是否满足既定目标HIDE体系与本文所做的工作比较类似，同样是对与系统设计的UML模型进行转化，但是HIDE的目标是将UML模型转化成时间petri网(TPNs)，而本文的目标是将其转化成为动态故障树(Dynamic Fault Tree)。
四、本文研究的主要内容及研究框架
（一）本文研究的主要内容
为了提高安全荀求系统的可靠性和安全性，降低开发和设计成本，应将安全分析过程同步于软件设计开发的整个过程中。本文使用了工程实践中设计人员更方便使用的统一建模语言UML来描述系统设计模型，并引入了构造型的方法来扩展UML模型使其能更好的描述安全苟求系统的特征。采用国际公认的故障树分析法对其进行安全分析，并在原有故障树分析法基础上加入了冷备门和热备门两种动态逻辑门形成动态故障树模型，以解决传统分析方法不能很好的描述安全苟求系统冗余特点的问题。不仅如此，本文还提出了一种UML模型到动态故障树DFT的转换方法，这是本文最主要的贡献。首先定义了 UML模型的形式化语法并使用构造型对其进行扩展，设计了扩展语义与故障树的映射关系，对UML建模软件生成的EMX文件进行了研究，开发了一个将UML模型转换为动态故障树的自动转换算法，并将本文幵发的算法应用到列车超速防护ATP系统的模型转换和分析中，分析和验证所建UML模型的正确性。此研究为UML模型进行自动化分析奠定了良好的基础，设计师们可以在设计模型中加入自己的安全标准，而安全工程师们也能很好的了解设计师所要表达的安全理念。
（二）本文研究框架
本文研究框架可简单表示为：
五、写作提纲
致谢 5-6
摘要 6-7
ABSTRACT 7-8
1 绪论 12-18
1.1 研究背景及意义 12-13
1.2 国内外研究现状 13-16
1.2.1 轨道交通领域的研究情况 13
1.2.2 航空航天领域的研究情况 13-14
1.2.3 其他领域的相关安全研究情况 14-16
1.3 研究内容 16
1.4 论文结构 16-18
2 基于模型的安全分析方法 18-29
2.1 统一建模语言UML 19-22
2.1.1 UML基础知识 20-21
2.1.2 IBM Rational Software Architect建模工具 21
2.1.3 UML模型的扩展机制 21-22
2.2 传统的安全分析方法 22-25
2.2.1 危险与可操作性分析 22-23
2.2.2 故障模式和后果分析法 23-24
2.2.3 故障树分析法 24-25
2.3 动态故障树分析法 25-28
2.3.1 动态逻辑门 26-27
2.3.2 故障树构建方法 27-28
2.4 本章小结 28-29
3 模型扩展设计及故障树生成方法 29-42
3.1 UML建模与扩展方法 30-35
3.1.1 类及其属性和操作的扩展方法 30-31
3.1.2 类的基数的扩展方法 31
3.1.3 类的关系的扩展方法 31-32
3.1.4 使用构造型扩展故障描述语义 32-35
3.2 模型信息提取算法 35-41
3.2.1 XML定义及构成 35-36
3.2.2 LINQ与XML 36-37
3.2.3 根据提出的方法所建模型的XML描述 37-38
3.2.4 UML模型信息提取算法设计 38-41
3.3 本章小结 41-42
4 故障树生成算法设计与实现 42-57
4.1 动态故障树生成算法步骤 43-50
4.2 UML模型到故障树自动生成软件设计与实现 50-52
4.3 提出的方法与HIP-HOPS对比 52-56
4.4 本章小结 56-57
5 列控车载ATP系统的模型设计及求解 57-67
5.1 列控车载ATP系统组成 57-59
5.2 车载ATP系统建模及扩展 59-61
5.3 故障树自动生成 61-64
5.4 本章小结 64-67
6 结论与展望 67-69
6.1 主要工作与结论 67
6.2 工作展望 67-69
参考文献 69-72
六、本文研究进展(略)
七、目前已经阅读的主要文献
[1] Papadopoulos Y, A McDermid J. The potential for a generic approach to certification of safetycritical systems in the transportation sector[J]. Reliability engineering & system safety, 1999, 63(1):47-66.
[2]王海峰，陈建明.安全苛求系统的形式化开发方法[J].北方交通大学学报，2002，26(6):52-55.
[3]冯臻.一种新兴的基于模型的民机安全性分析方法[J].科技创新导报，2012(27): 44-45.
[4] Cavada R, Cimatti A, Mariotti A, et al. EuRailCheck: tool support for requirementsvalidation[C]//Proceedings of the 24th IEEE/ACM International Conference Automated SoftwareEngineering (ASE 2009). 2009.
[5] Sangiovanni-Vincentelli A, Di Natale M. Embedded system design for automotiveapplications [J]. IEEE Computer, 2007，40(10): 42-51.
[6] Bozzano M, Villafiorita A, Akerlund O，et al. ESACS: an integrated methodology for design andsafety analysis of complex systems[C]//Proc. ESREL. 2003: 237-245,
[7] Bozzano M，Villafiorita A. The FSAP/NuSMV-SA safety analysis platform[J]. InternationalJournal on Software Tools for Technology Transfer, 2007, 9(1): 5-24.
[8] Dugan J B. Galileo: A tool for dynamic fault tree analysis[M]//Computer Performance Evaluation.Modelling Techniques and Tools. Springer Berlin Heidelberg, 2000: 328-331.
[9] Adachi M, Papadopoulos Y，Sharvia S, et al. An approach to optimization of fault tolerantarchitectures using HiP - HOPS [J], Software: Practice and Experience, 2011，41(11): 1303-1327.S
[10] Bondavalli A, Majzik I, Mura I. Automated dependability analysis of UMLdesigns[C]//Object-Oriented Real-Time Distributed Computing, 1999.(ISORC'99) Proceedings. 2ndIEEE International Symposium on. IEEE, 1999: 139-144.
[11] M. Walter，"OpenSESAME: A Tool's Concept", Proc. Of the Satellite Workshops of the 27thIntl. Colloquium on Automata Languages, and Programming, Nov. 2000
[12] K.K. Vemuri, J.B. Dugan, K. J. Sullivan, "Automatic synthesis of fault trees for computer-basedsystems”，IEEE Trans, on Rel.，Vol. 48，No. 4，Dec. 1999, pp. 394 - 402
[13] T.S. Assaf, Automated reliability analysis of computer based systems using UML, MSEE Thesis,Dept. ofECE, Univ. of Virginia, Jan. 2001.
[14]张钊谦，夏涛，张贝克，等.SDG自动生成故障树软件的研究与幵发[J].系统仿真学报，2003，15(10): 1391-1393.
[15] Whalen M W. A formal semantics for RSML- e[D]. Master's thesis, University of Minnesota,2000.
[16] Miller S P, Tribble A C, Heimdahl M P E. Proving the shalls[M]//FME 2003: Formal Methods.Springer Berlin Heidelberg, 2003: 75-93.
[17] Biehl M, DeJiu C，Torngren M. Integrating safety analysis into the model-based developmenttoolchain of automotive embedded systems[C]//ACM Sigplan Notices. ACM, 2010，45(4): 125-132.
[18] Joshi A, Miller S P, Whalen M, et al. A proposal for model-based safety analysis[C]//DigitalAvionics Systems Conference, 2005. DASC 2005. The 24th. IEEE, 2005，2: 13 pp. Vol. 2.1stInternational Workshop on Systematic Approaches to Digital ForensicEngineering, 2005:264-278.
[19] Booch G. Object Oriented Analysis & Design with Application[M]. Pearson Education India,2006.
[20] Douglass B P. Real-time UML: developing efficient objects for embedded systems[M].Addison-Wesley Longman Publishing Co., Inc.，1997.
[21] Jacobson I. Object oriented software engineering: a use case driven approach[J]. 1992.
[22] Booch G，Rumbaugh J, Jacobson I. The unified modeling language user guide[M]. PearsonEducation India, 1999.
[23] McUmber W E，Cheng B H C. UML-based analysis of embedded systems using a mapping toVHDL[C]//High-Assurance Systems Engineering, 1999. Proceedings. 4th IEEE InternationalSymposium on. IEEE, 1999: 56-63.
[24] IBM Rational Software Architect 建模[M].电子工业出版社,2008.
[25] Guide G S. Real-Time Workshop⑧ 7[J]. 2002.
[26] Kletz T A. Hazop~~past and future[J]. Reliability Engineering & System Safety, 1997, 55(3):263-266.
[27] Henley E J, Kumamoto H. Reliability engineering and risk assessment[M]. Englewood Cliffs(NJ): Prentice-Hall, 1981.
[28] Medvidovic N，Rosenblum D S，Redmiles D F, et al. Modeling software architectures in theUnified Modeling Language[J]. ACM Transactions on Software Engineering and Methodology(TOSEM), 2002, 11(1): 2-57.
[29]王秀军，陶辉.HAZOP分析方法在石油化工生产装置中的应用[J].安全.健康和环境，2005, 5(2): 6-9.
[30] Stamatis D H. Failure mode and effect analysis: FMEA from theory to execution[M]. Asq Press，2003.