张亚东，王 硕，李 亚，郭 进，李科宏

（1.西南交通大学 信息科学与技术学院，四川 成都 611756；2.西华大学 管理学院，四川 成都 610039）

作为列车控制核心技术装备之一，列控系统广泛应用于我国高速铁路和城市轨道交通，主要实现列车移动授权实时计算、追踪间隔自动控制、运行速度安全防护等安全苛求功能，在保障行车安全、提高运输效率等方面起到了关键作用。一旦列控系统发生危险失效，轻则中断行车影响效率，重则导致重大行车事故。

在控制列车安全、高效运行的过程中，列控系统中包含了从注册启动到停车注销共十几种运营场景，不同场景下存在不同的参与主体、交互行为与控制模式，不同场景间又存在复杂的动态切换与叠加关系，这导致列控系统潜在的危险行为及其致因具有隐蔽性、多样性、复杂性较强的特征，且致因事件间的关系呈现非线性特点。因此，对列控复杂运营场景进行系统危险分析及安全验证，对于保障行车安全具有重要意义。

目前在业界应用较为广泛的系统危险分析方法，主要是基于线性事件链的。例如：故障模式影响分析（Failure Mode and Effects Analysis，FMEA）、故障树分析（Fault Tree Analysis，FTA）、事件树分析（Event Tree Analysis，ETA）等［1］。这类传统分析方法认为事故是由一系列存在因果关系的事件线性顺序发生而导致的，其虽有简单易用等优点，但却难以分析致因事件间呈现复杂非线性关系的危险场景［2］。为弥补其不足，美国麻省理工学院的Nancy Leveson 教授提出系统理论事故模型与过程（System-Theoretic Accident Model and Processes，STAMP）安全理论。……