周 果，赵会兵

(北京交通大学 电子信息工程学院，北京 100044)

安全分析是所有安全苛求系统开发的必要过程，是事前预示、控制风险和保障安全苛求系统安全性的有力手段。列控系统是典型的安全苛求系统，系统安全完整性等级要求为SIL4，随机失效完整性应满足标准中对SIL4等级的要求，即容许隐患率THR(Tolerant Hazard Rate)小于10-9/h[1]。对列控系统的安全分析包括定性安全分析和定量安全分析两项任务，定性分析主要是全面地寻找导致隐患(Hazard)发生的原因，定量分析主要是计算隐患发生的可能性。对列控系统的定量分析是本文关注的核心问题，定量分析的结果一方面是判断隐患控制措施有效性的标准，另一方面是帮助开发设计人员决策风险(Risk)可接受性的依据。

传统定量安全分析方法(如故障树分析(FTA)、故障模式影响和严重度分析(FMECA)、Markov链(MC))在对简单小规模系统进行安全分析时有较好的效果，得益于它们易于学习和理解的优点，自提出以来就被极大程度地推广。然而随着系统复杂度和规模的不断提升，传统安全分析方法已经不能满足基于计算机技术的列控系统安全分析的需求，依靠手工和单纯人的联想推理已不能得到可信的定量安全分析结果。例如FTA在描述系统失效行为的过程中，启发式地联想推理失效条件，形成逻辑门的输入和输出，在系统规模庞大或结构复杂的情况下，不仅会遗漏失效事件之间的顺序关系，也会遗漏某些可能的输入输出事件。……