席文茜

（卡斯柯信号有限公司，上海 200071）

铁路信号系统安全软件的V&V管理策略

席文茜

（卡斯柯信号有限公司，上海 200071）

结合相应的铁路安全标准要求和实际项目应用经验，由浅入深地对铁路信号系统V&V （Verification （验证） & Validation （确认）管理过程的思想和策略进行介绍，为铁路安全软件开发过程提供了贯穿软件全生命周期的指导思路和推荐模式，从而提高软件开发效率和有效性。

EN50128；V&V；系统性失效；SIL4；测试

1 概要

铁路信号系统是借助于电子工业自动化的手段实现对铁路行车与调车作业进行安全有序地管理，是铁路运输的基础设备。很多信号子系统需要达到SIL4级的安全级别。虽然如此，铁路信号系统也可能出现故障。出现的故障分为两种模式，即随机性失效和系统性失效。

随机性（硬件）失效是由于硬件老化或物理材料或体制降级造成的。这种失效是随机出现的，可以通过概率统计分析得出其分布。

系统性失效是由需求、设计错误或管理、维护问题引起，或者可以说，是人为因素造成的。因此其根源是明确的，只要激发其起因，必有相应的结果或后果。换句话说，只要能够改变其因，其失效是可以根除的。软件失效就是个典型的例子，是指软件在运行过程中产生的一种不希望或不可被接受的输出行为。可把软件看作是一个决定性函数，同样的输入条件，必定有一样的输出。一般情况下，为了防止软件失效，会采取一些技术和方法，如图1所示。

研究和实践表明，在铁路信号系统的安全软件开发过程中，可以通过一些方法排除或减少系统性失效的情况发生，V&V过程即为推荐的排错流程方法。……