收稿日期：２０２０⁃０４⁃０７；修回日期：２０２０⁃０７⁃０３㊀㊀基金项目：装备发展部预先研究项目
作者简介：吴超（１９８１⁃），男，河北唐山人，高级工程师，硕士，主要研究方向为软件测试㊁计算数学㊁软件工程；杨雨婷（１９９２⁃），女，辽宁阜新人，工程师，硕士，主要研究方向为模型驱动㊁软件工程（８３７２４７９０４＠ｑｑ．ｃｏｍ）；付修锋（１９８５⁃），男，湖北襄樊人，高级工程师，硕士，主要研究方向为软件测试㊁软件工程；陈旭（１９９３⁃），男，河南商丘人，工程师，硕士研究生，主要研究方向为软件工程；杨波（１９８０⁃），男，四川遂宁人，研究员，硕士，主要研究方向为软件测试㊁软件工程．
吴㊀超，杨雨婷，付修锋，陈㊀旭，杨㊀波
（北京计算机技术及应用研究所，北京１００８５４）
摘㊀要：软件系统的复杂度越来越高给系统安全性分析工作带来了巨大挑战㊂基于ＳｙｓＭＬ扩展的系统安全性分析与
评估方法对ＳｙｓＭＬ块定义视图（ｂｌｏｃｋｄｅｆｉｎｉｔｉｏｎｄｉａｇｒａｍ，ＢＤＤ）进
行ｐｒｏｆｉｌｅ弱扩展，使其具备描述系统安全性失效的能力；然后结合ＡＲＰ⁃４７５４／４７６１的系统级功能危害分析（ＦＨＡ）过程分析系统失效状况㊁失效影响和失效等级，计算系统安全性评估结果㊂最后，该算法在某雷达系统开展实验验证，结果表明，该算法可在设计早期发现系统可能存在的失效状态，提高系统安全性㊂
关键词：ＳｙｓＭＬ；ｓｙｓｔｅｍｌｅｖｅｌｆｕｎｃｔｉｏｎａｌｈａｚａｒｄａｎａｌｙｓｉｓ（ＦＨＡ）；ｐｒｏｆｉｌｅ弱扩展；安全性分析；安全性评估
０㊀引㊀言
安全性分析使用系统理论和系统工程方法来预防可预见的事故，并尽量减少不可预见事故的发生㊂传统的安全性分析方法包括故障树分析（ｆａｕｌｔｔｒｅｅａｎａｌｙｓｉｓ，ＦＴＡ）［１］㊁事件树分析（ｅｖｅｎｔｔｒｅｅａｎａｌｙｓｉｓ，ＥＴＡ）［２］以及故障模式及影响分析（ｆａｉｌｕｒｅｍｏｄｅｅｆｆｅｃｔａｎｄｃｒｉｔｉｃａｌｉｔｙａｎａｌｙｓｉｓ，ＦＭＥＡ）［３］等方法㊂但是传统的安全性分析方法存在一定的局限性，如ＦＴＡ分析重点只针对特定事件，分析结果最终都可归结为管理原因㊁制度缺陷或人为原因等；ＦＭＥＡ在实施过程中容易出现较大的风险偏差㊂针对复杂系统软／硬件高度耦合的情况，以功能为核心的安全性失效的分析能力还需提高㊂本文算法以ＳｙｓＭＬ模型为基础，对ＢＤＤ图进行ｐｒｏｆｉｌｅ弱扩展，使其具备描述系统安
全性失效的能力，继而结合ＡＲＰ⁃４７５４／４７６１的系统级功能危害分析ＦＨＡ过程，开展基于ＳｙｓＭＬ模型的系统安全性分析与评估，通过图形化模型扩展的方式帮助系统开发人员在设计的早期分析和发现系统可能存在的安全性失效㊂
１㊀理论背景
算法通过对ＳｙｓＭＬ模型进行安全性扩展，将其转换成可靠性框图（ｒｅｌｉａｂｉｌｉｔｙｂｌｏｃｋｄｉａｇｒａｍ，ＲＢＤ），实现系统安全性的评估，该评估过程符合ＡＲＰ⁃４７５４／４７６１中ＦＨＡ过程要求㊂
１．１㊀安全性分析
民用航空航天领域的两个主要安全标准ＡＲＰ⁃４７５４和ＡＲＰ⁃４７６１规范了飞机系统开发的步骤和相关的安全评估程序［４］，具体流程如图１所示㊂民机系统在概念设计阶段确定飞机功能㊁飞机结构以及飞机要求，此过程中的安全性分析方法为飞机级的功能危害分析（ａｉｒｃｒａｆｔｌｅｖｅｌｆｕｎｃｔｉｏｎａｌｈａｚａｒｄａｎａｌｙｓｉｓ，ＦＨＡ），以查明与飞机功能及功能组合相关联的故障状态并对其进行分类［５］；在初步设计阶段，确定系统功能㊁系统结构以及系统要求，在此过程中的安全性分析方法为系统级功能危害分析ＦＨＡ，以识别飞机和系统功能及其功能组合相关的失效状况；在确定系统结构时需进行初步系统安全性评估（ｐｒｅｌｉｍｉｎａｒｙｓｙｓ
ｔｅｍｓａｆｅｔｙａｓｓｅｓｓｍｅｎｔ，ＰＳＳＡ），建立系统的安全性要求并判断拟定的系统结构是否有足够的理由表明它可以满足ＦＨＡ提出的安全性目标［６］；在进行详细设计以及设计验证阶段，在此过程中的安全性分析方法为系统安全性评估（ｓｙｓｔｅｍｓａｆｅｔｙａｓｓｅｓｓｍｅｎｔ，ＳＳＡ），综合各种分析结果用以确认整个系统的安全性［７，８］㊂
本文算法在系统层面进行安全性分析，参照ＡＲＰ⁃４７６１中规范的飞机系统开发过程中相关的安全评估程序，所采用的安全评估过程为ＦＨＡ㊂ＦＨＡ遵循自上而下的工作流程，一般包括七个步骤：ａ）识别功能，创建功能清单；ｂ）识别并描述失效状况；ｃ）分析失效状况的影响；ｄ）鉴定失效影响的等级；ｅ）为低一级分配失效概率要求；ｆ）明确失效影响等级的证明材料；ｇ）选择失效概率要求的验证方法㊂
１．２㊀ＳｙｓＭＬ及Ｐｒｏｆｉｌｅ弱扩展
本文算法使用ＢＤＤ㊁内部块定义图（ｉｎｔｅｒｎａｌｂｌｏｃｋｄｅｆｉｎｉｔｉｏｎ，ＩＢＤ）以及活动图来描述系统的组成和系统功能的执行，由于ＳｙｓＭＬ模型本身不具备描述系统安全性属性的能力，本文算法通过ｐｒｏｆｉｌｅ弱扩展方式将ＳｙｓＭＬ的模块（ｂｌｏｃｋ）扩展成安全性失效状况（ＦａｉｌｕｒｅＣａｓｅ），然后基于扩展的ＳｙｓＭＬ模型进行系统安全性分析㊂
构造型是ＳｙｓＭＬｐｒｏｆｉｌｅ扩展机制的核心，它将ＳｙｓＭＬ中已经定义的元素的语义专有化㊂构造型扩展机制不是给模型元素增加新的属性或约束，而是在原有模型元素的基础上增加新的系统安全性相关的语义或者限制，不改变模型元素的结构，进而实现模型元素的ｐｒｏｆｉｌｅ弱扩展［９］㊂
１．３㊀可靠性框图ＲＢＤ
ＲＢＤ是利用互相连接的组件来显示系统的失效逻辑，分析系统中每一个组件的失效对系统的影响，以辅助评估系统的整体安全性［１０］㊂系统的安全性不仅依赖于每个组件的安全性，也依赖于组件之间的相互影响㊂因此，研究系统的安全性，一方面要研究组件之间的相互影响，另一方面要研究每个组件的安全性与整个系统安全性的关系㊂ＲＢＤ通过组件的并联或串联进行连接，在每一个ＲＢＤ组件中都添加一个失效概率，用来描述组件不能正常工作的可能性大小㊂并联表示一条路径从开始节点到结束节点之间存在有分支的情况；串联则表示一条路径从开始节点到结束节点无分支的情况㊂在通过ＲＢＤ中每个组件的失效概率分析ＦａｉｌｕｒｅＣａｓｅ的失效概率时，根据串并联性质定义的安全性计算规则为：假设所有故障事件是相互独立的，设两个组件为ｃ１和ｃ２，它们各自的失效概率为ｐｃ和ｐｃ，则和都发生失效的概率为ｐｃˑｐｃ；ｃ１或ｃ２发生失效的概率ｐｃ是ｐｃ㊂通过上述计算规则，本文算法利用ＲＢＤ中组件的失效概率计算出ＲＢＤ的失效概率，并与ＦａｉｌｕｒｅＣａｓｅ的最大允许失效概率进行比较，以评估系统是否安全［１１］㊂ ２㊀安全性分析与评估方法设计
复杂系统软件规模大㊁软件数量多，为完成某一特定功能，复杂系统间各软件并非完全独立而是相互之间协同配合［１２］㊂若对复杂系统建模时将各软件分别建模，无法充分反映复杂系统的系统结构㊂ＳｙｓＭＬ的ＢＤＤ图能清晰描述软件系统组织结构，ＩＢＤ图可定义ＢＤＤ图中各独立软件之间的组织接口及接口关系㊂但ＳｙｓＭＬ作为一种通用的系统建模语言，ＢＤＤ图中描述的各软件的层级数无限制，这就造成了复杂系统的软件逻辑组织结构难以定义，软件系统层级划分的粒度难以明确等问题，给软件系统的安全性分析带来了新的挑战［１３］㊂ＦＨＡ的分析是基于软件系统层，过细粒度的划分在ＦＨＡ安全性分析过程中冗余，因此本文算法结合ＦＨＡ的特性，对ＳｙｓＭＬ的ＢＤＤ和ＩＢＤ图作新定义及层级定义，如图２所示㊂
定义１㊀顶层ＢＤＤ（ｔｏｐＢＤＤ，ＴＢＤＤ）㊂ＴＢＤＤ是复杂系统建模的抽象层，逻辑上表示复杂系统的根节点，无实际意义㊂一个复杂系统仅有一个ＴＢＤＤ㊂
定义２㊀分系统层ＢＤＤ（ｓｕｂＢＤＤ，ＳＢＤＤ）㊂复杂系统的软件组织结构初级划分，是ＴＢＤＤ的子节点，与ＴＢＤＤ是包含关系㊂一个复杂系统可以有多个ＳＢＤＤ，相互之间不重合㊂其中ＦＨＡ的安全性分析过程中软件失效ＦａｉｌｕｒｅＣａｓｅ即在此层级描述㊂
定义３㊀ＦａｉｌｕｒｅＣａｓｅ㊂描述系统中的一个或多个与安全性相关的功能不能正常工作时的
状态，其属性描述了失效状况发生的最大允许失效概率㊂该元素由ＳｙｓＭＬ模型的ＢＤＤ图采用ｐｒｏｆｉｌｅ若扩展技术生成㊂
定义４㊀子系统层ＢＤＤ（ＳｕｂＳｙｓｔｅｍＢＤＤ，ＳＳＢＤＤ）㊂ＳＳＢＤＤ表示ＳＢＤＤ中包含的子系统，是ＳＢＤＤ的子节点，一个ＳＢＤＤ可以有多个ＳＳＢＤＤ，每个单独的ＳＳＢＤＤ之间不重合㊂
定义５㊀顶层ＩＢＤ（ｔｏｐＩＢＤ，ＴＩＢＤ）㊂ＴＩＢＤ是ＴＢＤＤ包含的所有分系统ＳＢＤＤ之间的接口关系定义图，嵌套在ＴＢＤＤ中㊂定义６㊀分系统层ＩＢＤ（ｓｕｂＩＢＤ，ＳＩＢＤ）㊂ＳＩＢＤ是ＳＢＤＤ包含的所有分系统ＳＳＢＤＤ之间的接口关系图，嵌套在ＳＢＤＤ中㊂算法将复杂系统在ＢＤＤ图层面划分为三级结构，以便后续ＦＨＡ分析㊂基于以上定义及层级结构，系统安全性分析与评估方法架构如下图３所示㊂
ＦａｉｌｕｒｅＣａｓｅ的最终执行者是活动图中的ａｃｔｉｖｉｔｙ，因此，将ＦａｉｌｕｒｅＣａｓｅ挂接到最终造成其发生的ａｃｔｉｖｉｔｙ上，并依据活动图的活动执行路径，逆向探寻ＦａｉｌｕｒｅＣａｓｅ的产生原因，即失效路径㊂子系统层ＳＳＢＤＤ作为复杂系统建模的最底层逻辑描述，成为了ａｃｔｉｖｉｔｙ的执行者，因此将失效路径上的每一个活动直接挂接到其执行ＳＳＢＤＤ上构成直接失效场景㊂但活动的执行者可能属于不同的分系统层中（如ａｃｔｉｖｉｔｙ３的Ｓ
ＳＢＤＤ３⁃１在分系统ＳＢＤＤ３中，ａｃｔｉｖｉｔｙ５的ＳＳＢＤＤ２⁃３在分系统ＳＢＤＤ２中），ＳｙｓＭＬ使用ＩＢＤ图描述系统内部实现逻辑，因此采用以下两种规则构建失效场景㊂
规则１㊀若失效路径上相邻活动对应的两个ＳＳＢＤＤ属于同一个分系统层ＳＢＤＤ中，则根据对应的ＳＩＢＤ补充这两个ＳＳＢＤＤ之间的关联关系，包括直接相连㊁按照对应ＳＩＢＤ内的两者直接的接口关系增加一个或多个ＳＳＢＤＤ将二者连接㊂
规则２㊀若失效路径上相邻活动对应的两个ＳＳＢＤＤ不属于同一个分系统层ＳＢＤＤ中，则在ＴＩＢＤ内查每个ＳＳＢＤＤ对应的ＳＢＤＤ之间的接口关系，进而补充这两个ＳＳＢＤＤ之间的关联关系将二者连接㊂
由于失效场景中ＳＳＢＤＤ带有接口关系，与ＩＢＤ及其相似，因此以后将失效场景中的块称为缩略ＩＢＤ㊂
最后，由缩略ＩＢＤ图转换为失效场景ＲＢＤ，通过失效场景ＲＢＤ中每个ＳＳＢＤＤ的失效概率分析ＦａｉｌｕｒｅＣａｓｅ的失效概率，进而评估复杂系统是否安全㊂ＳｙｓＭＬ九种基本图形缺乏对系统安全性分析的描述元素，因此，本文算法提出的系统安全性分析与评估自定义一套安全性分析元模型如图４所示，分别使用ＦａｉｌｕｒｅＣａｓｅ㊁ｆｕｎｃｔｉｏｎ㊁ｃｏｍｐｏｎｅｎｔ描述安全性分析与评估过程中所需的模型基类㊂
ｆｕｎｃｉｔｏｎ实际为ＳｙｓＭＬ活动图中的ａｃｔｉｖｉｔｙ，与ＦａｉｌｕｒｅＣａｓｅ关联
的ａｃｔｉｖｉｔｙ即关键动作，其关联关系为ｄｅｎｉｆｉｎｅｄｂｙ㊂活动图中ａｃｔｉｖ⁃ｉｔｙ与ＳＳＢＢＤ图关联（ｃｏｍｐｏｎｅｎｔ），其关联关系为ａｌｌｏｃａｔｅｄｔｏ㊂
基于以上安全性分析元模型中的模型元素及关联关系，系统安全性分析与评估方法核心技术包括基于ｐｒｏｆｉｌｅ的安全性扩展和基于ＦＨＡ的系统安全性分析与评估方法㊂
２．１㊀基于ｐｒｏｆｉｌｅ的安全性扩展
基于安全性分析元模型，本文算法分别对失效状况（Ｆａｉｌｕｒｅ⁃Ｃａｓｅ）㊁块的安全性描述（ｃｏｍｐｏｎｅｎｔ）㊁活动及块之间分配关系（ａｌｌｏ⁃ｃａｔｅｄｔｏ）进行弱扩展，提高ＳｙｓＭＬ对系统安全性描述能力［１４］㊂２．１．１㊀ＦａｉｌｕｒｅＣａｓｅ的弱扩展
ＦａｉｌｕｒｅＣａｓｅ是对不能正常执行功能的情况的描述，与元模型图中的ＦａｉｌｕｒｅＣａｓｅ对应㊂在进行安全性分析时，需要描述功能不能正常工作状态即ＦａｉｌｕｒｅＣａｓｅ，而ＳｙｓＭＬ模型本身不能描述Ｆａｉｌｕｒｅ⁃Ｃａｓｅ，因此需要对ＳｙｓＭＬ模型通过ｐｒｏｆｉｌｅ弱扩展的方式，将ＳｙｓＭＬ原有的模块（ｂｌｏｃｋ）元素扩展成ＦａｉｌｕｒｅＣａｓｅ构造型，展现形式为＜＜ｂｌｏｃｋ，ＦａｉｌｕｒｅＣａｓｅ＞＞，如图５所示㊂
２．１．２㊀块的安全性弱扩展
系统安全性分析需明确活动图中的动作执行单元，而系统活动的执行单元在ＳｙｓＭＬ中以块来表示，因此需确定与安全性相关的活动及块之间的映射关系，以进行失效路径依赖追踪，其中块与元模型图中的ｃｏｍｐｏｎｅｎｔ对应㊂采用与ＦａｉｌｕｒｅＣａｓｅ类似的扩展方式，将ＳｙｓＭＬ原有的模块（ｂｌｏｃｋ）元素扩展成＜＜ｓａｆｅｔｙ＿ｒｅｌｅｖａｎｔ＞＞构造型，用来表示与安全性相关的块，在分析过程中可以对此块添加必要的属性如失效概率等［１５］㊂
２．１．３㊀分配关系的弱扩展
在块的安全性弱扩展中，只是确定哪些块是与安全性相关的，并没有将块与动作所执行的功能对应起来㊂因此将ＳｙｓＭＬ原有的ｃｏｎｔｅｘｔｌｉｎｋ连接线元素扩展成＜＜ａｌｌｏｃａｔｅ＞＞构造型，用于将动作与安全性相关的块关联起来，如图６所示，对应为元模型图中的将功能分配到系统组件㊂
２．２㊀基于ＦＨＡ的系统安全性分析与评估
基于ＦＨＡ的工作流程，本文算法的安全性分析过程包括基于ＳｙｓＭＬ的功能识别与建模；失效状况发现及失效路径探寻；失效场
景ＩＢＤ及ＲＢＤ模型构建；失效概率计算与安全性评估四个过程［１６］㊂如图７所示㊂
ａ）基于ＳｙｓＭＬ的功能识别与建模㊂首先根据软件需求设计分层系统架构，建立复杂软件系统的ＢＤＤ㊁ＩＢＤ和ＳｙｓＭＬ系统活动图，分别以静动态视角描述软件系统的任务执行过程㊂为实现对模型的安全性分析，基于安全分析元模型，将ＢＤＤ图采用ｐｒｏｆｉｌｅ弱扩展技术增加对软件系统安全属性的描述，为ＢＤＤ㊁ＩＢＤ和活动图之间的关联关系提供模型基础㊂
ｂ）失效状况发现及失效路径探寻㊂在ＳＢＤＤ层确定Ｆａｉｌｕｒｅ⁃Ｃａｓｅ，每一个ＦａｉｌｕｒｅＣａｓｅ都定义一个最大允许失效概率，用于安全性评估的判断依据㊂针对每一个ＦａｉｌｕｒｅＣａｓｅ，确定其造成的影响以及影响等级，并生成失效依赖路径（２．２．１节）㊂
ｃ）失效场景ＲＢＤ模型构建㊂通过之前所确定的分配关系和依赖路径，将依赖路径中的动作替换为相关联的块，构造出直接失效场景，并根据失效场景生成算法（２．２．２节），获得ＦａｉｌｕｒｅＣａｓｅ的所有失效场景ＳＳＢＤＤ，进而构造失效场景ＲＢＤ㊂
ｄ）失效概率计算与安全性评估㊂基于ＲＢＤ的串并联性质定义的安全性计算规则，计算失效概率，将计算结果和该ＦａｉｌｕｒｅＣａｓｅ的最大允许失效概率比较，判断计算结果是否在最大允许失效概率的范围内，若在最大允许失效概率内，则说明符合安全性需求，反之不符合㊂最终形成安全性分析与评估结果［１７］㊂
基于ＦＨＡ的系统安全性分析与评估过程包括失效依赖路径生成算法和失效场景生成算法两个核心算法㊂下面就两个算法思想进行详细介绍㊂
２．２．１㊀失效依赖路径生成算法
ＦａｉｌｕｒｅＣａｓｅ的失效依赖路径生成本质是在ＳｙｓＭＬ活动图中定
位与ＦａｉｌｕｒｅＣａｓｅ发生直接或间接关联的ａｃｔｉｖｉｔｙ㊂由于活动图存在循环㊁分支等多类结构［１８］，所以在失效依赖路径生成过程中亦存在此类结构，造成无法分析失效影响的因果关系㊂本文算法针对活动图的特点，采用分支覆盖的原则，即能够覆盖到路径中的所有分支，设计失效依赖路径生成算法，分别消除循环分支等结构对安全性分析的影响㊂首先定义算法所需的基本概念㊂
㊀㊀定义７㊀节点㊂ＳｙｓＭＬ活动图中每一个ａｃｔｉｖｉｔｙ是一个节点，用ｎｏｄｅ表示㊂其中，失效依赖路径的源节点用ｎｏｄｅｓ表示，目标节点用ｎｏｄｅｔ表示㊂失效依赖路径的ｎｏｄｅｔ与ＦａｉｌｕｒｅＣａｓｅ关联㊂定义８㊀边㊂表示活动图中两个ａｃｔｉｖｉｔｙ之间的有向路径，用ｅ＝｛ｎｏｄｅｉ，ｎｏｄｅｊ｝表示，ｅ的起始ａｃｔｉｖｉｔｙ为ｎｏｄｅｉ，终止ａｃｔｉｖｉｔｙ为ｎｏｄｅｊ㊂定义９㊀路径㊂表示活动图中连接两个ａｃｔｉｖｉｔｙ之间的有序集合，用ｐａｔｈ表示，具体可划分为简单路径和复杂路径㊂简单路径是所有ｎｏｄｅ的入度和出度均小于２的路径，用ｓｉｍｐｌｅＰａｔｈ表示；复杂路径中存在循环，即路径中存在ｎｏｄｅ的入度或出度大于等于２，用ｃｏｍｐｌｅｘＰａｔｈ表示㊂
１）并发活动失效依赖路径生成算法
若活动图存在并发的情况，则并发的起点用ＦｏｒｋＮｏｄｅ节点表示，并发的终点用ＪｏｉｎＮｏ
ｄｅ节点表示㊂然后对能够成并发的路径进行组合，组合原则为：针对所有的简单路径，判断当前简单路径是否包含ＦｏｒｋＮｏｄｅ和ＪｏｉｎＮｏｄｅ节点，若不包含，则不需要组合，继续遍历；否则在其余简单路径中寻同时满足从初始节点到Ｆｏｒｋ⁃Ｎｏｄｅ节点之间的路径与当前简单路径相同㊁从ＪｏｉｎＮｏｄｅ到目标节点之间的路径与当前简单路径相同的所有简单路径，并对它们进行组合，形成新的具有并发形式的简单路径㊂
以图８为例，假设查从初始节点到动作４的所有路径㊂
首先出两条不包含并发的简单路径：
ｓｉｍｐｌｅＰａｔｈ１＝
｛ｅ１｛ｎｏｄｅｉｎｉｔ，ｎｏｄｅ１｝，ｅ２｛ｎｏｄｅ１，ｎｏｄｅ２｝，
ｅ３｛ｎｏｄｅ２，ｎｏｄｅｆｏｒｋ｝，ｅ４｛ｎｏｄｅｆｏｒｋ，ｎｏｄｅ３１｝，
ｅ５｛ｎｏｄｅ３１，ｎｏｄｅｊｏｉｎ｝，ｅ６｛ｎｏｄｅｊｏｉｎ，ｎｏｄｅ４｝｝（１）
ｓｉｍｐｌｅＰａｔｈ２＝
｛ｅ１｛ｎｏｄｅｉｎｉｔ，ｎｏｄｅ１｝，ｅ２｛ｎｏｄｅ１，ｎｏｄｅ２｝，
ｅ３｛ｎｏｄｅ２，ｎｏｄｅｆｏｒｋ｝，ｅ４｛ｎｏｄｅｆｏｒｋ，ｎｏｄｅ３２｝，
ｅ５｛ｎｏｄｅ３２，ｎｏｄｅｊｏｉｎ｝，ｅ６｛ｎｏｄｅｊｏｉｎ，ｎｏｄｅ４｝｝（２）由于图８存在并发路径，所以需要对能够成并发的路径进行组合，ｓｉｍｐｌｅＰａｔｈ１和ｓｉｍｐｌｅＰａｔｈ２组合结果为
ｓｉｍｐｌｅＰａｔｈ＝
｛ｅ１｛ｎｏｄｅｉｎｉｔ，ｎｏｄｅ１｝，ｅ２｛ｎｏｄｅ１，ｎｏｄｅ２｝，
ｅ３｛ｎｏｄｅ２，ｎｏｄｅｆｏｒｋ｝，ｅ４｛ｎｏｄｅｆｏｒｋ，ｎｏｄｅ３１｝，
ｅ５｛ｎｏｄｅｆｏｒｋ，ｎｏｄｅ３２｝，ｅ６｛ｎｏｄｅ３１，ｎｏｄｅｊｏｉｎ｝，
ｅ７｛ｎｏｄｅ３２，ｎｏｄｅｊｏｉｎ｝，ｅ８｛ｎｏｄｅｊｏｉｎ，ｎｏｄｅ４｝｝（３）最终，去除路径中的ＦｏｒｋＮｏｄｅ和ＪｏｉｎＮｏｄｅ，构成最终的路径并替换原有简单路径，如图９所示㊂
ｓｉｍｐｌｅＰａｔｈ＝
｛ｅ１｛ｎｏｄｅｉｎｉｔ，ｎｏｄｅ１｝，ｅ２｛ｎｏｄｅ１，ｎｏｄｅ２｝
｛ｅ３｛ｎｏｄｅ２，ｎｏｄｅ３１｝，ｅ４｛ｎｏｄｅ２，ｎｏｄｅ３２｝，
ｅ５｛ｎｏｄｅ３１，ｎｏｄｅ４｝，ｅ６｛ｎｏｄｅ３２，ｎｏｄｅ４｝｝｝（４）２）循环活动失效依赖路径生成算法
虽然活动图中存在循环时，难以在模型静态分析阶段判断循环是否终止，但由于简单路径一定不存在循环，本文算法以简单路径作为核心，遍历活动图中所有的边，分析每一条边与简单路径中的边和节点的关系并进行分类，针对不同的边集分类设计不同的方法消除循环依赖㊂首先定义如下基本概念㊂
定义１０㊀边集㊂表示活动图中所有边的集合，表示为ＡｃｔｉｏｎＥｄｇｅ⁃Ｓｅｔ㊂
定义１１㊀子边集㊂活动图中边集的子集㊂其中可将活动图中不在简单路径上子边集划分为
ａ）边的源和目标节点都在简单路径上的边集ＡｃｔｉｏｎＢｏｔｈＩｎＳｉｍ⁃ｐｌｅＰａｔｈＳｅｔ㊂
ｂ）边的源节点或目标节点在简单路径上的边集：
ＡｃｔｉｏｎＢｏｔｈＩｎＳｉｍｐｌｅＰａｔｈＳｅｔ（源节在简单路径上）或ＡｃｔｉｏｎＴａｒｇｅｔ⁃ＩｎＳｉｍｐｌｅＰａｔｈＳｅｔ（目标节点在简单路径上）㊂
针对以上两种类型的边集子集，分别设计不同的路径合并方式：
ａ）对于ＡｃｔｉｏｎＢｏｔｈＩｎＳｉｍｐｌｅＰａｔｈＳｅｔ，其边所构成的非简单路径ｃｏｍｐｌｅｘＰａｔｈ１为活动图的初始节点ｎｏｄｅｓ到ｎｏｄｅｓｉ的简单路径＋ｅ
ｉ｛ｎｏｄｅｓｉ，ｎｏｄｅｔｉ｝＋ｎｏｄｅｔｉ到关键动作ｎｏｄｅｔ的简单路径，即
ｓｉｍｐｌｅＰａｔｈ｛ｅ１｛ｎｏｄｅｓ，ｎｏｄｅｔ１｝ ｅｋ｛ｎｏｄｅｓｋ，ｅｉｎｏｄｅｓｉ｝｝＋
ｓｉｍｐｌｅＰａｔｈ｛ｅ１｛ｅｉ．ｎｏｄｅｔｉ，ｎｏｄｅｔ１｝ ｅｎ｛ｎｏｄｅｓｋ，ｎｏｄｅｔ｝｝＋
ｅｉ｛ｎｏｄｅｓｉ，ｎｏｄｅｔｉ｝（５）ｂ）对于边的源或目标节点在简单路径上的边集，将Ａｃｔｉｏｎ⁃ＢｏｔｈＩｎＳｉｍｐｌｅＰａｔｈＳｅｔ中的边ｅｉ和ＡｃｔｉｏｎＴａｒｇｅｔＩｎＳｉｍｐｌｅＰａｔｈＳｅｔ中的边ｅ
ｊ
进行遍历组合，构成的非简单路径ｃｏｍｐｌｅｘＰａｔｈ２为活动图的初始节点ｎｏｄｅｓ到ｎｏ
ｄｅｓｉ的简单路径＋边｛ｅｉ ｅｊ｝构成的简单路径＋ｎｏｄｅｔｊ到关键动作ｎｏｄｅｔ的简单路径㊂即
ｓｉｍｐｌｅＰａｔｈ｛ｅ１｛ｎｏｄｅｓ，ｎｏｄｅｔ１｝ ｅｋ｛ｎｏｄｅｓｋ，ｎｏｄｅｓｉ｝｝＋
ｓｉｍｐｌｅＰａｔｈ｛ｅｉ｛ｎｏｄｅｓｉ，ｎｏｄｅｔｉ｝ ｅｋ｛ｎｏｄｅｓｊ，ｎｏｄｅｔｊ｝｝＋
ｓｉｍｐｌｅＰａｔｈ｛ｅ１｛ｎｏｄｅｔｉｓ，ｎｏｄｅｔ１｝ ｅｎ｛ｎｏｄｅｓｎ，ｎｏｄｅｔ｝｝（６）
如图１０所示，假设ＦａｉｌｕｒｅＣａｓｅ挂接到目标节点ｎｏｄｅ４上，则ＦａｉｌｕｒｅＣａｓｅ简单路径：
ｓｉｍｐｌｅＰａｔｈ＝
｛ｅ１｛ｎｏｄｅｉｎｉｔ，ｎｏｄｅ１｝，ｅ２｛ｎｏｄｅ１，ｎｏｄｅ２｝，
ｅ３｛ｎｏｄｅ２，ｎｏｄｅ３｝，ｅ４｛ｎｏｄｅ３，ｎｏｄｅ４｝｝（７）
边的源和目标节点都在简单路径上的边集ＡｃｔｉｏｎＢｏｔｈＩｎＳｉｍｐｌｅ⁃ＰａｔｈＳｅｔ：｛ｅ１｛ｎｏｄｅ３，ｎｏｄｅ５｝｝，如图１０边①所示；
边的源节点在简单路径上的边集ＡｃｔｉｏｎＳｏｕｒｃｅＩｎＳｉｍｐｌｅＰａｔｈＳｅｔ：｛ｅ１｛ｎｏｄｅ３，ｎｏｄｅ５｝｝，如图１０边②所示；
边的目标节点在简单路径上的边集ＡｃｔｉｏｎＴａｒｇｅｔＩｎＳｉｍｐｌｅＰａｔｈ⁃Ｓｅｔ：｛ｅ１｛ｎｏｄｅ６，ｎｏｄｅ３｝｝，如图１０边③所示㊂
针对图１０中的边①，构成的非简单路径ｃｏｍｐｌｅｘＰａｔｈ１为
ｓｉｍｐｌｅＰａｔｈ｛ｅ１｛ｎｏｄｅｉｎｉｔ，ｎｏｄｅ１｝，ｅ２｛ｎｏｄｅ１，ｎｏｄｅ２｝，ｅ３｛ｎｏｄｅ２，ｎｏｄｅ３｝｝＋
ｅ４｛ｎｏｄｅ３，ｎｏｄｅ２｝＋ｓｉｍｐｌｅＰａｔｈ｛ｅ５｛ｎｏｄｅ２，ｎｏｄｅ３｝，ｅ６｛ｎｏｄｅ３，ｎｏｄｅ４｝｝（８）针对图１０中的边②和③，构成的非简单路径ｃｏｍｐｌｅｘＰａｔｈ２为ｓｉｍｐｌｅＰａｔｈ｛ｅ１｛ｎｏｄｅｉｎｉｔ，ｎｏｄｅ１｝ ｅ３｛ｎｏｄｅ２，ｎｏｄｅ３｝｝＋
ｓｉｍｐｌｅＰａｔｈ｛ｅ４｛ｎｏｄｅ３，ｎｏｄｅ５｝ ｅ６｛ｎｏｄｅ６，ｎｏｄｅ１｝｝＋
ｓｉｍｐｌｅＰａｔｈ｛ｅ７｛ｎｏｄｅ１，ｎｏｄｅ２｝ ｅ９｛ｎｏｄｅ３，ｎｏｄｅ４｝｝（９）２．２．２㊀失效场景生成算法
在２．２．１节中到的ＦａｉｌｕｒｅＣａｓｅ的依赖路径还不足以作为计算系统失效概率的依据，它仅用于分析出与系统失效状况相关的功能，因此还需要充分考虑系统内部的实现逻辑㊂依据ａｃｔｉｖｉｔｙ与ＳＳＢＤＤ之间的分配关系，结合多层系统ＩＢＤ，将依赖路径中的动作替换成分配表中相对应的块，构成缩略ＩＢＤ，如图１１所示，其中假设ａｃｔｉｖｉｔｙ与ＳＳＢＤＤ块图的分配关系如表１所示㊂
表１㊀分配表
动作名组件名动作名组件名
动作１块１动作３⁃２块３
动作２块２动作４块１
动作３⁃１块３动作５块３
㊀㊀为了自动获取ＦａｉｌｕｒｅＣａｓｅ的所有失效场景ＩＢＤ，需要根据缩略ＩＢＤ在多层系统
ＩＢＤ中进行路径查㊂在系统ＩＢＤ中都是相邻块进行交互且模块之间的交互大部分可能都是双向的，不存在跨模块进行交互㊂为避免因双向交互造成无限循环的情况，本文规定：在查给定的源节点和目标节点之间的一条路径时，到达目标节点时，此条路径搜索结束，不允许到达目标节点后再返回到之前的节点进行搜索㊂下面对失效场景ＩＢＤ的构造算法中需要使用到的概念进行如下定义㊂
定义１２㊀系统的ＩＢＤ模型的边集㊂用于保存系统ＩＢＤ中所有边，用ＩＢＤＥｄｇｅＳｅｔ表示㊂如图１２所示㊂
ＩＢＤＥｄｇｅＳｅｔ＝
｛ｅ１｛ｎｏｄｅ１，ｎｏｄｅ２｝，ｅ２｛ｎｏｄｅ２，ｎｏｄｅ１｝，ｅ３｛ｎｏｄｅ２，ｎｏｄｅ３｝， ｝（１０）其中，在系统的ＩＢＤ模型中查缩略ＩＢＤ的相邻块的所有路径时，将缩略ＩＢＤ中相邻块的箭头发出地作为失效ＩＢＤ的源节点，用ｎｏｄｅｓ表示；箭头接收地目标节点，用ｎｏｄｅｔ表示㊂
出一条以ｎｏｄｅｓ为源节点和以ｎｏｄｅｔ为目标节点的简单路径ＩＢＤＳｉｍｐｌｅＰａｔｈ：
根据图１３所示的缩略ＩＢＤ，得到简单路径ＩＢＤＳｉｍｐｌｅＰａｔｈ：｛ｅ１｛ｎｏｄｅ１，ｎｏｄｅ２｝｝㊂
根据规则，去除系统ＩＢＤ中以目标节点为源节点的边，针对图１２所描述的系统ＩＢＤ，即去除边｛ｎｏｄｅ２，ｎｏｄｅ１｝和边｛ｎｏｄｅ２，ｎｏｄｅ３｝，
如图１４所示㊂其余不在简单路径上的边集为
ＩＢＤＯｔｈｅｒＩｎＥｄｇｅＳｅｔ＝
｛ｅ１｛ｎｏｄｅｔ２，ｎｏｄｅｓ｝ ｅｎ｛ｎｏｄｅｔ，ｎｏｄｅｓ２｝｝（１１）
根据对图１３和１４分析获得：其余不在简单路径上的边集为图１４中的边①㊂
ＩＢＤＩｔｈｅｒＩｎＥｄｇｅＳｅｔ＝｛ｅ１｛ｎｏｄｅ３，ｎｏｄｅ１｝｝（１２）定义１３㊀失效场景ＩＢＤ㊂ＩＢＤＩｔｈｅｒＩｎＥｄｇｅＳｅｔ中的边所构成非简单路径ＩＢＤＣｏｍｐｌｅｘＰａｔｈ对应的ＩＢＤ图称为失效场景ＩＢＤ㊂构建规则为：缩略ＩＢＤ源节点ｎｏｄｅｓ到ｎｏｄｅｓｉ的简单路径＋ｅｉ｛ｎｏｄｅｓｉ，ｎｏｄｅｔｉ｝＋ｎｏｄｅｔｉ到缩略ＩＢＤ的目标节点ｎｏｄｅｔ的简单路径，即
ＩＢＤＣｏｍｐｌｅｘＰａｔｈ＝
ｓｉｍｐｌｅＰａｔｈ｛ｅ１｛ｎｏｄｅｓ，ｎｏｄｅｔ１｝ ｅｋ｛ｎｏｄｅｓｋ，ｅｉ．ｎｏｄｅｓｉ｝｝＋
ｓｉｍｐｌａＰａｔｈ｛ｅ１｛ｅｉ．ｎｏｄｅｔｉ，ｎｏｄｅｔ１｝ ｅｎ｛ｎｏｄｅｓｎ，ｎｏｄｅｔ｝｝＋
ｅｉ｛ｎｏｄｅｓｉ，ｎｏｄｅｔｉ｝（１３）针对图１４中的边①，构成的非简单路径：
ＩＢＤＣｏｍｐｌｅｘＰａｔｈ＝｛ｅ１｛ｎｏｄｅ１，ｎｏｄｅ３｝＋
ｅ２｛ｎｏｄｅ３，ｎｏｄｅ１｝｝＋ｅ３｛ｎｏｄｅ１，ｎｏｄｅ２｝｝（１４）如图１５所示㊂
根据以上方法，最终获得失效场景ＩＢＤ㊂其流程如图１６所示㊂
依据上述算法得出的失效场景ＩＢＤ，ＲＢＤ使用通过彼此连接的块结构来直观地表示系统的实现逻辑，分析系统中每一个组件的失效概率对系统的影响，以帮助评估系统的整体安全性㊂ＲＢＤ通过并联或串联进行连接㊂基于失效场景ＩＢＤ分析得到失效场景ＲＢＤ如图１７㊁１８所示㊂
３㊀实验结果
基于Ｐａｐｙｒｕｓ工具，定制化开发了系统安全性建模㊁分析与评估一体化工具，并以某雷达系统为例，实现了本算法的可行性验证㊂如雷达系统可分为前端子系统和后端子系统，其中后端子系统中又包括成像子系统和匹配子系统［１９］，在匹配子系统中又包含主ＤＳＰ㊁从ＤＳＰ以及ＦＰＧＡ［２０］㊂
ａ）依据雷达系统的组成，进行ＢＤＤ㊁ＩＢＤ以及活动图的搭建，并将活动图中的动作分配给安全性相关的块㊂部分结果如图１９
２１所示㊂分配关系如表２所示
㊂
表２㊀动作分配关系
动作名称组件名称动作名称组件名称
配置参数成像惯导计算成像
发送参数匹配聚焦计算匹配
接收子图脉冲数据ＤＳＰ
㊀㊀ｂ）根据失效的严重程度，将失效划分为五个等级，领域专家确
定每个等级的失效影响以及最大允许的失效概率㊂如表３所示㊂
表３㊀失效等级表
失效等级允许定性概率允许定量概率
灾难（Ⅰ级）极不可能的＜１０－９
严重（Ⅱ级）极端少的＜１０－７
轻度（Ⅲ级）极少的＜１０－５
轻微（Ⅳ级）可能的＜１０－３
安全（Ⅴ级）无概率要求无概率要求
㊀㊀以 成像失败 为例，结合第２章ＦＨＡ分析过程，构建失效状
况分析表如表４及失效依赖路径如图２２所示㊂
表４㊀失效状况分析
活动功能模块失效状况失效影响失效等级
聚焦运算后端成像失败前视成像失败轻度
㊀㊀ｃ）确定失效场景ＲＢＤ，如图２３所示㊂
ｄ）依据基础组件失效概率以及失效场景ＲＢＤ计算得到的失
效概率，进行安全性评估㊂基础组件失效概率如表５所示㊂
表５㊀基础组件概率分配表
组件名称失效概率
成像（Ｐｃｘ）１．０ˑ１０－５
匹配（Ｐｐｐ）０．５ˑ１０－５
ＤＳＰ（Ｐｄｓｐ）０．３ˑ１０－５
㊀㊀计算过程如下：
ａ）失效场景ＲＢＤ１㊂
Ｐｃｘ＋Ｐｐｐ＋（Ｐｄｓｐ＋Ｐｃｘ）ˑＰｃｘ＋Ｐｐｐ＝２．０ˑ１０－５＋１．３ˑ１０－１０
评估结果：未通过㊂
ｂ）失效场景ＲＢＤ２㊂
Ｐｃｘ＋Ｐｐｐ＋（Ｐｄｓｐ＋Ｐｃｘ）ˑ（Ｐｄｓｐ＋Ｐｃｘ）＋Ｐｐｐ＝２．０ˑ１０－５＋１．６９ˑ１０－１０
评估结果：未通过㊂
ｃ）失效场景ＲＢＤ３㊂
Ｐｃｘ＋Ｐｐｐ＋（Ｐｃｘ＋Ｐｐｐ＋Ｐｄｓｐ＋Ｐｃｘ）ˑＰｃｘ＋Ｐｐｐ＝２．０ˑ１０－５＋２．８ˑ１０－１０
评估结果：未通过㊂
ｄ）失效场景ＲＢＤ４㊂
Ｐｃｘ＋Ｐｐｐ＋（Ｐｃｘ＋Ｐｐｐ＋Ｐｄｓｐ＋Ｐｃｘ）ˑ（Ｐｄｓｐ＋Ｐｃｘ）＋Ｐｐｐ＝
２．０ˑ１０－５＋３．６４ˑ１０－１０
评估结果：未通过㊂
安全性分析与评估结果如表６所示㊂结果表明，本文算法的
安全性分析与评估方法可行，其中成像失败这一失效状况不符合
雷达系统的安全性要求，需要针对失效场景关联的块图重新设计
系统逻辑结构，以避免此项失效状况的发生㊂
表６㊀安全性评估结果
功能
失效
状况
失效
影响
失效影响
等级
符合性
验证方法
计算
失效概率
允许的最大
失效概率
是否符合
安全性要求
后端
成像
失败
前视成像
失败
轻度
场景ＲＢＤ
获取过程２．０ˑ１０－５１ˑ１０－５否
４ 结束语
本文算法基于ｐｒｏｆｉｌｅ弱扩展分别扩展出ＦａｉｌｕｒｅＣａｓｅ㊁安全相关
块及分配关系，使ＳｙｓＭＬ模型具备安全性描述能力，并结合ＡＲＰ⁃
４７６１／ＡＲＰ４７５４的ＦＨＡ过程对扩展后的ＳｙｓＭＬ模型定性分析系统
的失效状况；针对定性分析的失效场景ＲＢＤ计算失效概率，对失效
状况进行定量评估㊂此过程可应用于其他安全关键系统中，如航
空航天领域，通过在系统设计阶段进行安全性分析，辅助开发人员
及时发现系统的安全问题并及时解决㊂但本文算法提出的安全性
分析是在系统层进行的，在概念设计㊁详细设计以及验证阶段未实
施相应的安全性分析过程，因此只适用于在系统层面进行安全性
分析，并不适用于其他层面的相关分析㊂后续可进行ＡＲＰ⁃４７５４／
４７６１中的ＰＳＳＡ以及ＳＳＡ相关方面的研究与实现㊂
参考文献：
系统平台开发评估［１］ＴｅｚａｋＳ，ＴｏｓＺ，ＩｖｏｊｕｒｉＣ．Ｒｅｌｉａｂｉｌｉｔｙａｎａｌｙｓｉｓｏｆｏｐｅｒａｔｉｏｎｆｏｒｃａｂｌｅ⁃
ｗａｙｓｂｙＦＴＡ（ｆａｕｌｔｔｒｅｅａｎａｌｙｓｉｓ）ｍｅｔｈｏｄ［Ｊ］．ＰｒｏｍｅｔＴｒａｆｆｉｃ＆
Ｔｒａｎｓｐｏｒｔａｔｉｏｎ，２０１０，２２（３）：１６３⁃１７３．
［２］ＦｅｒｄｏｕｓＲ，ＫｈａｎＦ，ＳａｄｉｑＲ，ｅｔａｌ．Ｆａｕｌｔａｎｄｅｖｅｎｔｔｒｅｅａｎａｌｙｓｅｓｆｏｒ
ｐｒｏｃｅｓｓｓｙｓｔｅｍｓｒｉｓｋａｎａｌｙｓｉｓ：ｕｎｃｅｒｔａｉｎｔｙｈａｎｄｌｉｎｇｆｏｒｍｕｌａｔｉｏｎｓ［Ｊ］．
ＲｉｓｋＡｎａｌｙｓｉｓ，２０１１，３１（１）：８６⁃１０７．
［３］ＧａｒｇａｍａＨ，ＣｈａｔｕｒｖｅｄｉＳＫ．Ｃｒｉｔｉｃａｌｉｔｙａｓｓｅｓｓｍｅｎｔｍｏｄｅｌｓｆｏｒｆａｉｌｕｒｅ
ｍｏｄｅｅｆｆｅｃｔｓａｎｄｃｒｉｔｉｃａｌｉｔｙａｎａｌｙｓｉｓｕｓｉｎｇｆｕｚｚｙｌｏｇｉｃ［Ｊ］．ＩＥＥＥＴｒａｎｓ
ｏｎＲｅｌｉａｂｉｌｉｔｙ，２０１１，６０（１）：１０２⁃１１０．
［４］刘超．基于模型检验的飞机系统安全性分析方法研究［Ｄ］．南京：
南京航空航天大学，２０１２．
［５］任炳轩，卢艺，傅山，等．基于ＭＢＳＥ的民机功能需求辨识与确认
［Ｊ］．系统工程与电子技术，２０１９，４１（９）：２０１６⁃２０２４．
［６］于静，郑磊，胡剑波，等．机载设备研制阶段的适航性分析与验证
［Ｊ］．航空制造技术，２０１４，４６４（２０）：４７⁃５０．
［７］ＳＡＥＩｎｔｅｒｎａｔｉｏｎａｌ．ＡＲＰ４７５４⁃ｃｅｒｔｉｆｉｃａｔｉｏｎｃｏｎｓ
ｉｄｅｒａｔｉｏｎｓｆｏｒｈｉｇｈｌｙ⁃ｉｎ⁃
ｔｅｇｒａｔｅｄｏｒｃｏｍｐｌｅｘａｉｒｃｒａｆｔｓｙｓｔｅｍｓ［Ｓ］．１９９６．
［８］ＳＡＥＩｎｔｅｒｎａｔｉｏｎａｌ．ＡＲＰ４７６１⁃ｇｕｉｄｅｌｉｎｅｓａｎｄｍｅｔｈｏｄｓｆｏｒｃｏｎｄｕｃｔｉｎｇ
ｔｈｅｓａｆｅｔｙａｓｓｅｓｓｍｅｎｔｐｒｏｃｅｓｓｏｎｃｉｖｉｌａｉｒｂｏｒｎｅｓｙｓｔｅｍｓａｎｄｅｑｕｉｐｍｅｎｔ
［Ｓ］．１９９６．（下转第２１３页）
豫公网安备41160202000603
站长QQ:729038198
关于我们
投诉建议