徐征捷，王 奇

（湖南中车时代通信信号有限公司，湖南 长沙 410005）

0 引言

安全相关机构对产品安全可接受性的认识主要取决于安全认证过程中产生的安全案例是否全面、准确[1]。安全案例通常在系统首次运行之前构建和呈现，因此，安全论证通常基于估计和预测的操作行为而不是观察到的证据。同时，即使在没有改变系统或监管环境的情况下，安全案例在整个产品生命周期之间不可避免地需要进行更新。虽然IEC 62278 等标准[2]对安全案例的修订提出了明确要求，但对如何开展此类行动没有提供具体的建议。

安全案例是一个复杂的相互依赖的网络，通常包含安全目标、证据、设计和论证过程信息。因此，对安全案例的单一更改可能需要变更许多其他相应的部分，从而产生“涟漪效应”。当前安全案例管理面临的困难在于需要通过结构不良的文档来辨别那些相应的变化，更新安全案例的成功与否很大程度上取决于对文件的理解程度。几乎无法保证所有变更都得到了平等和系统的处理，因为主观性在安全案例维护中发挥的作用超出了预期。

基于此，本文采用目标结构法(goal structuring notation, GSN)构建安全论证变更管理模型。GSN 方法提供了一个清晰的安全案例概念模型，从而能够有效地整合安全分析中的安全证据材料，明确地表示安全目标与安全案例间的相互依赖性[3]。通过将该方法应用于轨道交通信号设备的变更管理中，验证了采用GSN 方法构建安全案例变更管理模型能够系统化地推理和处理变更，提高了变更管理的准确性和全面性。……