第４２卷第３期 ２０１５年３月 计算机科学 Ｖｏ１．４２ Ｎｏ．３ Ｍａｒ ２Ｏ１５ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ 基于模型驱动的航电系统安全性分析技术研究 谷青范 王国庆 。 张丽花 翟鸣 （中国航空无线电电子研究所 上海２００２３３） （西北工业大学计算机学院 西安７１００７２） 摘要针对综合化航空电子系统安全性分析存在的失效模式完备性和动态失效问题以及数据一致性问题，将航电 系统分为３个层次：应用操作层、功能层和资源层，采用形式化方法分剐对每个层次进行建模，利用模型转换技术实现 ３个层次之间的语义转换，确保语义的一致性。利用Ｅｖｅｎｔ－Ｂ语言对系统应用操作和功能层建模，实现对应用操作模 式完备性的检查，利用ＡｌｔａＲｉｃａ语言能够对系统的异常行为建模，实现对系统动态失效问题的分析。以飞机自动飞 行控制系统为例，利用Ｅｖｅｎｔ—Ｂ建模工具Ｒｏｄｉｎ实现对应用操作模式的分析，借助基于ＡｌｔａＲｉｃａ语言的ＳｉｍＦｉａ工具 对其安全性进行分析，结果验证了所提方法的有效性和实用性。 关键词模型驱动方法，航空电子系统，安全性分析 ＴＰ３９３ 文献标识码Ａ ＤＯＩ １０．１１８９６／ｊ．ｉｓｓｎ．１００２—１３７Ｘ．２０１５．３．０２５ 中图法分类号Ｒｅｓｅａｒｃｈ ｏｎ Ｍｏｄｅｌ Ｂａｓｅｄ Ｓａｆｅｔｙ Ａｎａｌｙｓｉｓ Ｔｅｃｈｎｏｌｏｇｙ ｆｏｒ Ａｖｉｏｎｉｃｓ Ｓｙｓｔｅｍ ＧＵ Ｑｉｎｇ－ｆａｎ ＷＡＮＧ Ｇｕｏ－ｑｉｎｇ ＺＨＡＮＧ Ｌｉ—ｈｕａ ＇ ＺＨＡＩ Ｍｉｎｇ （Ｃｈｉｎａ Ｎａｔｉｏｎａｌ Ａｅｒｏｎａｕｔｉｃａｌ Ｒａｄｉｏ Ｅｌｅｃｔｒｏｎｉｃｓ Ｒｅｓｅａｒｃｈ Ｉｎｓｔｉｔｕｔｅ，Ｓｈａｎｇｈａｉ ２００２３３，Ｃｈｉｎａ） （Ｓｃｈｏｏｌ ｏｆ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ ａｎｄ Ｅｎｇｉｎｅｅｒｉｎｇ，Ｎｏｒｔｈｗｅｓｔｅｒｎ Ｐｏｌｙｔｅｃｈｎｉｃａｌ Ｕｎｉｖｅｒｓｉｔｙ，Ｘｉ’ａｎ ７１００７２，Ｃｈｉｎａ） Ａｂｓｔｒａｃｔ Ｔｈｉｓ ｐａｐｅｒ ｉｎｔｒｏｄｕｃｅｄ ａ ｎｅｗ ｍｏｄｅｌ ｂａｓｅｄ ｍｅｔｈｏｄ ｆｏｒ ｓａｆｅｔｙ ａｎａｌｙｓｉｓ ｔｏ ａｄｄｒｅｓｓ ｔｈｅ ｐｒｏｂｌｅｍ ｏｆ ｆａｉｌｕｒｅ ｍｏｄｅｓ ｉｎｔｅｇｒｉｔｙ，ｄｙｎａｍｉｃ ｆａｉｌｕｒｅ ａｎｄ ｄａｔａ ｃｏｎｓｉｓｔｅｎｃｙ ｃｕｒｒｅｎｔｌｙ ｅｎｃｏｕｎｔｅｒｅｄ ｉｎ ｓａｆｅｔｙ ａｓｓｅｓｓｍｅｎｔｓ ｆｏｒ ｉｎｔｅｇｒａｔｅｄ ａｖｉｏｎｉｃｓ ｓｙｓ ｔｅｒｎ．Ｔｈｅ ｍｅｔｈｏｄ ｍｏｄｅｌｓ ｉｎｔｅｇｒａｔｅｄ ａｖｉｏｎｉｃｓ ｓｙｓｔｅｍ ｈｉｅｒａｒｃｈｉｃａｌｌｙ ｗｉｔｈ ｌａｙｅｒｓ ｏｆ ａｐｐｌｉｃａｔｉｏｎ ｏｐｅｒａｔｉｏｎ，ｆｕｎｃｔｉｏｎ ａｎｄ ｒｅ— ｓｏｕｒｃｅ．Ｉｔ ｓｉｍｐｌｉｆｉｅｓ ａ ｌａｒｇｅ ｐａｒｔ ｏｆ ｔｈｅ ａｎａｌｙｓｉｓ，ｔｈｅ ｄｅｖｅｌｏｐｍｅｎｔ ｏｆ ｆａｕｌｔ ｔｒｅｅｓ，ａｎｄ ｃａｎ ｇｕａｒａｎｔｅｅ ｔｈｅ ｃｏｎｓｉｓｔｅｎｃｙ ｏｆ ｒｅ ｓｕｌｔｓ．Ｅｖｅｎｔ—Ｂ ｌａｎｇｕａｇｅ ｉｓ ｕｓｅｄ ｔｏ ｍｏｄｅｌ ａｐｐｌｉｃａｔｉｏｎ ｌａｙｅｒ ｔｏ ｃｈｅｃｋ ｔｈｅ ｉｎｔｅｇｒｉｔｙ ｏｆ ｏｐｅｒａｔｉｏｎｓ ｍｏｄｅｓ ａｎｄ ＡｌｔａＲｉｃａ ｉｓ ｕｓｅｄ ｔｏ ｍｏｄｅｌ ｄｙｓｆｕｎｃｔｉｏｎ ｏｆ ｓｙｓｔｅｍ ｔｏ ｓｏｌｖｅ ｔｈｅ ｐｒｏｂｌｅｍ ｏｆ ｄｙｎａｍｉｃ ｆａｉｌｕｒｅ．Ｔｈｅ ｅｆｆｉｃｉｅｎｃｙ ａｎｄ ｐｒａｃｔｉｃｅ ｏｆ ｔｈｅ ｍｅｔｈｏｄ ａｒｅ ｉｌｌｕｓｔｒａｔｅｄ ｂｙ ａｎａｌｙｚｉｎｇ ｓａｆｅｔｙ ｏｆ ａｕｔｏ ｐｉｌｏｔ ｓｙｓｔｅｍ ｔｈｒｏｕｇｈ Ｒｏｄｉｎ ｔｏｏｌ ｗｈｉｃｈ ｉｓ ｕｓｅｄ ｆｏｒ ａｎａｌｙｚｉｎｇ ｏｐｅｒａｔｉｏｎａｌ ｍｏｄｅｓ ｏｆ ａｐｐｌｉｃａｔｉｏｎ ａｎｄ Ｓｉｍｆｉａ ｔｏｏｌ ｗｈｉｃｈ ｉｓ ｕｓｅｄ ｆｏｒ ｓａｆｅｔｙ ａｎａｌｙｓｉｓ． Ｋｅｙｗｏｒｄｓ Ｍｏｄｅｌ ｂａｓｅｄ ｍｅｔｈｏｄ，Ａｖｉｏｎｉｃｓ ｓｙｓｔｅｍ，Ｓａｆｅｔｙ ａｎａｌｙｓｉｓ １ 引言 综合化航空电子系统的综合体现在系统资源、功能综合 和任务合成３个方面，资源综合的对象主要是具有并发、共享 合后形成自动驾驶功能，通过将无线电高度表、ＧＰＳ、惯性导 航（ＩＮｓ）的信息进行融合，能够获得更精确的飞机位置信息。 功能综合的同时，又需要增加一部分功能（如信息融合）来利 用综合的收益。随着综合化程度增加，飞行员的工作角色从 飞行管理者向任务管理者转变，而随着飞行操作需求的增加， 特性的部件（硬件、软件），即多道资源。多道资源综合指的是 能够通过时分多路、空分多路等方式来实现资源的共享和重 用，从而减少资源配置，提高资源的效能。资源综合的表现形 式有物理空间综合（共享相同位置）、电气综合（共享电源）、逻 辑综合（共享地址空间）等。资源综合的主要特征是基于模块 化的功能设计，随着硬件计算能力的提高，越来越多的功能通 过嵌入式软件来实现，使得相同的硬件平台能够加载多重功 能模块，如显示处理功能、飞行管理数据处理功能。功能综合 为了提高任务执行能力，需要将一些任务通过自动控制系统 来执行。任务合成就是基于当前系统能力状态和探测到的外 部环境参数完成一部分决策的自动化，从而减轻飞行员的Ｔ 作负荷。综合化在带来上述收益的同时，也增加了系统复杂 性，如功能交联、软件与硬件交互、系统与飞行员交互增加，使 得系统故障在综合、融合和合成过程中的蔓延、混沌和不确定 性对系统安全性产生很大的影响。传统的安全性分析方法 （如ＦＴＡ、ＦＭＥＡ）主要依赖于工程经验，并且与系统设计不 的主要特征是利用不同子系统／功能之间的动态协作（信息共 享／控制信号交换）提高系统执行任务（应用）的能力，降低机 组人员的＿丁作负载，例如通过将导航功能和飞行控制功能综 到稿日期：２０１ ４一Ｏ４—２３返修日期：２０１４—０８—０１ 是同步进行的，随着系统复杂程度的提高，很难列举出系统所 有的失效模式和影响，同时由于系统设计的迭代，很难保证失 本文受航空基金（２０１２５５５２０５３），国家重点基础研究计划（９７３）（２０１４ＣＢ７４４９００）资助。 谷青范（１９７４～），男，博士，副教授，主要研究方向为系统安全性、计算机理论、航空电子技术。Ｅ—ｍａｉｌ：ｇｕｑｉｎｇｆａｎ＠ｃａｒｅｒｉ．ｃｏｒｎ；王国庆（１９５６一）， 男，博士，教授，博士生导师，主要研究方向为航空电子技术、复杂系统、计算机技术等；张丽花（１９８１一），女，博士生，主要研究方向为航空电子技 术、安全性分析、数据挖掘等；翟・鸣（１９７９一），男，博士，主要研究方向为人机功效、飞行管理设计、数据融合等。 １２４・ 图３基于模型驱动的安全性分析流程 ３综合化航空电子系统ＭＢＳＡ实现 综合化航空电子系统安全性分析的目标是确保系统功能 执行能够“正确无误”地满足应用操作需求。考虑到综合化分 为任务、功能和资源３个层次的综合，在进行安全性分析时关 键是确保资源能够“正确无误”地支持功能层的需求，而功能 综合层具有确定的能够“正确无误”执行任务层的操作需求， 从系统工程角度来看，也就是要求系统实现、设计和需求保持 一致性和完整性。目前基于ＵＭＩ ／ＳｙｓＭＩ 的系统设计建模 方法已成为实际的工业标准，而安全性建模方法如ＦＴＡ、 Ｍａｒｋｏｖ链、随机Ｐｅｔｒｉ网属于低级建模语言，对于系统设计来 说，一方面比较难以理解，另一方面难以实现完整建模和数据 维护。进一步地考虑到复杂航电系统的开发过程（包括安全 性分析过程）是一个迭代的过程，我们采用Ｅｖｅｎｔ Ｂ形式化语 言对系统设计进行建模，采用ＡｌｔａＲｉｃａ语言进行安全性描 述，其中Ｅｖｅｎｔ Ｂ既能够支持逐步迭代的设计方法，又能够和 ＵＭＩ ／ＳｙｓＭＩ 相结合（如ＵＭＩ，Ｂ），而ＡＩｔａＲｉｃａ语言能够支 持分层的安全性分析。利用ＡｌｔａＲｉｃａ［４２模型能够生成导致功 能故障的失效事件序列，这样就可以实现从资源层到操作层 的故障传播分析。并且已在空客和波音公司得到了应用（Ｃｅ ｃｉｌｉａ ＯＣＡＳ １＝具对Ｆａｌｃｏｎ ７Ｘ的飞控系统进行安全性建模分 析）。下面用ＡｌｔａＲｉｃａＥ“ ］和Ｅｖｅｎｔ—ＢＥ 语言来对综合化航空 电子系统的３个层次进行建模＿】 。 ３．１ 形式化建模语言ＡｌｔａＲｉｃａ和Ｅｖｅｎｔ－Ｂ ＡｌｔａＲｉｃａ语言是由ＬａＢＲＩ（Ｌａｂｏｒａｔｏｉｒｅ Ｂｏｒｄｅｌａｉｓ ｄｅ Ｒｅ— ｃｈｅｒｃｈｅ ｅｎ Ｉｎｆｏｒｍａｔｉｑｕｅ）开发的用于实现对系统功能和异常 行为的建模，每个系统功能组件由一个Ｎｏｄｅ表示，每个Ｎｏｄｅ 的定义包含３个部分。 第一个部分是对Ｎｏｄｅ参数的不同类别进行定义，包括 ｓｔａｔｅ，ｆｌｏｗ和ｅｖｅｎｔ，其中ｓｔａｔｅ表示当前功能节点状态（失效 或正常）的内部变量；ｆｌｏｗ表示节点的输入／输出，ｓｔａｔｅ和 ｆｌｏｗ的数据类型可以是ｉｎｔｅｇｅｒ，ｅｎｕｍｅｒａｔｉｏｎ和ｂｏｏｌｅａｎ； ｅｖｅｎｔ是引起Ｎｏｄｅ由一个内部状态变迁到另一个内部状态的 事件，利用ｅｖｅｎｔ可以对飞行员行为或失效发生以及对某个 输入条件的确定性响应行为进行建模。 第二个部分描述自动变迁，首先利用ｉｎｉｔ定义初始状态 的值，变迁可以用一个三元组ｇ ｅ进行表示，其中ｇ是变 迁发生的门限条件，ｅｖｔ是事件名称，ｅ是变迁的结果，其中门 限是关于ｓｔａｔｅ和ｆｌｏｗ的布尔逻辑算子，它定义了事件Ｐ优发 生的条件。事件发生的结果ｅ是关于状态变量的值列表。因 此，变迁部分描述了功能或失效状态是如何传播的。最后，可 ・ ］２６ ・ 以通过向事件添加发生的概率规则，实现对事件发生概率特 征的刻画。需要注意的是Ｄｉｒａｃ（Ｘ）概率规则建模的是在Ｘ时 间单位内对于输入条件的确定性响应，因此由Ｄｉｒａｃ（０）用于建 模立即发生的事件，只要弓ｌ起变迁发生的条件满足，就即刻引 起变迁的发生。 第三个部分是断言集合，断言是一个原子等式或由多个 ｃａｓｅ构造而成的结构化等式。断言建立了组件ｓｔａｔｅ和ｆｌｏｗ 之间的固有关系，描述了组件的输出如何由其输入和当前的 功能模式所确定。在ＳｉｍＦｉａ工具中，一个组件或节点用一个 块图（ｂｌｏｃｋ）表示，并且一个ｂｌｏｃｋ可以嵌套另外一个ｂｌｏｃｋ， 每个ｂｌｏｃｋ有输入、输出接口（分别用。和・表示，见图４）。 图４基于ＡｌｔａＲｉｃａ的ＦＧＳ安全性模型与故障树 Ｅｖｅｎｔ－Ｂ扩展了Ｂ形式化方法 ，用于实现对复杂系统 的设计，它是基于经典逻辑＿ 】］和集合理论利用证据的方法来 对系统的属性进行验证，比较适合应用于机载系统安全性架 构的验证。根据Ｅｖｅｎｔ－Ｂ，每个不连续转换系统可以通过两 种组件进行建模：ｍａｃｈｉｎｅ和ｃｏｎｔｅｘｔ组件。一个ｃｏｎｔｅｘｔ组 件包含所有常量、集合和与这些常量、集合有关的公理，其刻 画了系统的静态特征；相反，ｍａｃｈｉｎｅ组件表示系统的行为或 动态方面，其随着ｃｏｎｔｅｘｔ的增加而不断进行扩展，一个ｎ－ｌａ— ｃｈｉｎｅ组件包括： ｖａｒｉａｂｌｅｓ或ｓｔａｔｅ ｖａｒｉａｂｌｅｓ：具有相应的类型（ｅｎｕｍｅｒａ— ｔｅｄ，ｉｎｔｅｇｅｒ或ｆｒｅｅ ｓｅｔｓ），在使用前需要初始化； ｉｎｖａｒｉａｎｔｓ：与ｓｔａｔｅ ｖａｒｉａｂｌｅｓ相关联，表示其必须满足的 约束条件或属性； ｅｖｅｎｔｓ：表示与系统有关的操作或变迁，通常一个事件包 含一个“ｇｕａｒｄ”（门限，表示事件发生的条件）和“ａｃｔｉｏｎ”部分 （可以是确定或非确定，表示事件发生的结果或影响）。 ３．２应用操作层建模 综合化航空电子系统应用操作层体现的是系统与外部环 境的交互，即飞行员根据指令或所处环境选择执行相应的操 作（任务），应用操作层模型包含系统状态（用ｍａｃｈｉｎｅ组件表 示）、外部环境条件（含人为因素，用ｃｏｎｔｅｘｔ组件表示），基于 Ｅｖｅｎｔ—Ｂ构建应用操作模式与任务合成模式。下面以飞机自 动飞行控制系统（ＡＦＣＳ）的应用为例进行说明＿３］（见图５），飞 行员根据外部环境（如飞行高度超过４００英尺才能使用自动 驾驶仪）和飞行阶段选择人工驾驶（ＭＰ）或自动驾驶（ＡＰ），其 中ＭＰ进一步分解为接收飞行员指令，并产生作动器动作， ＡＰ是执行自动驾驶功能，需要进一步从通信、导航系统获取 精确的飞机姿态、位置信息，飞机控制模型计算，并产生精确 的控制指令，这就要求ＡＦＣＳ采用分层的逻辑控制架构，并根 据外部环境与自动驾驶系统的交互定义系统边界。根据 ＳＡＥ ＡＲＰ４７６１，对于ＡＦ℃Ｓ的安全性分析需要考虑从飞机发 动、起飞到降落的整个过程的功能危害及失效条件，首先需要 在应用操作层考虑操作模式的失效对系统的影响分析。 ・Ｅｎｖ ・Ａｒｃｓ ｓｔａｔｕｓＡｆｃｓ Ａｔｔｒｉｂｕｔｅｓ Ａｔｔｒｉｂｕｔｅｓ 。ｐ・ｍｏｄｅＳｅｌｅｃｔｅｄ ｈａｓｅＡｌｌｏｗｅｄ ／ ＼ ・ａ。ｐｒｅｖＭｏｄｅ ｐＳｔａｔｕｓ ・ｓｅｌｅｃｔＭｏｄｅ ～ ／ ・ＳｔａｔｕｓＡｆｃｓ ・ｓｅｌｅｃｔＭｏｄｅ Ｅｖｅｎｔｓ ｓｏｌｅｃｔＭｏｄｅ Ｅｖｅｎｔｓ ・ｓｅｔＭｏｄｅ ‘ｂ） 图５ 自动飞行控制系统应用操作示例 将ＡＦＣＳ中的模式转换用Ｅｖｅｎｔ—Ｂ中的ｅｖｅｎｔ表示，利用 Ｅｖｅｎｔ－Ｂ建模工具Ｒｏｄｉｎ将其操作模式建模如下： ＭＡＣＨＩＮＥ ＭＣｏｍｐ） ＶＡＲＩＡＢＬＥＳ ｐｈａｓｅＡｌｌｏｗｅｄ Ｐｈｙｓｉｃａｌ Ｕｎｉｔ：Ｉｎｆｅｒｒｅｄ Ｐｈｙｓｉｃａｌ Ｕｎｉｔ：） ｍｏｄｅＳｅｌｅｃｔｅｄ Ｐｈｙｓｉｃａｌ Ｕｎｉｔ：Ｉｎｆｅｒｒｅｄ Ｐｈｙｓｉｃａｌ Ｕｎｉｔ：） ｐｒｅｖＭｏｄｅ Ｐｈｙｓｉｃａｌ Ｕｎｉｔ：Ｉｎｆｅｒｒｅｄ Ｐｈｙｓｉｃａｌ Ｕｎｉｔ：） ｓｔａｔｕｓＡｆｃｓ Ｐｈｙｓｉｃａｌ Ｕｎｉｔ：Ｉｎｆｅｒｒｅｄ Ｐｈｙｓｉｃａｌ Ｕｎｉｔ：） ＩＮＶＡＲＩＡＮＴＳ ｉｎｖｌ：ｐｈａｓｅＡｌｌｏｗｅｄ∈ＢＯＯＬ ｔｈｅｏｒｅｍ） ｉｎｖ２：ｓｔａｔｕｓＡｆｃｓ∈Ｂ００Ｉ ｔｈｅｏｒｅｍ＞ ｉｎｖ３：ｍｏｄｅＳｅｌｅｃｔｅｄ∈Ｎ ｎｏｔ ｔｈｅｏｒｅｍ） ｉｎｖ４：ｐｒｅｖＭｏｄｅ∈Ｎ ｎｏｔ ｔｈｅｏｒｅｍ＞ ｉｎｖ５：（ｐｒｅｖＭｏｄｅ≠ｍｏｄｅＳｅｌｅｃｔｅｄ）Ｖ（ｐｒｅｖＭｏｄｅ＝２ Ａ ｍｏｄｅＳｅ— ｌｅｅｔｅｄ＝０）ｎｏｔ ｔｈｅｏｒｅｍ＞ ｉｎｖ６：ｐｈａｓｅＡｌｌｏｗｅｄ＝ＴＲＵＥ＝ ｓｔａｔｕｓＡｆｃｓ—ＴＲＵＥ ｎｏｔ ｔｈｅｏｒｅｍ） ＥＶＥＮＴＳ ＩＮＩＴＩＡＩ ＩＳＡＴ１０Ｎ：ｎｏｔ ｅｘｔｅｎｄｅｄ ｏｒｄｉｎａｒｙ） ＥＮＤ ｓｅｌｅｃｔＭｏｄｅ：ｎｏｔ ｅｘｔｅｎｄｅｄ ｏｒｄｉｎａｒｙ ｓｔａｎｄａｒｄ） ＡＮＹ ｓｅｌｅｃｔＶａｌ＞ ＷＨＥＲＥ ｇＭ１：ＭＣｏｍｐ＝ｅｎｖ ｎｏｔ ｔｈｅｏｒｅｍ＞ ｇｒｄ２：ｐｈａｓｅＡｌｌｏｗｅｄ＝ＴＲＵＥ ｎｏｔ ｔｈｅｏｒｅｍ） ｇｒｄ３：ｍｏｄｅＳｅｌｅｃｔｅｄ＝０ ｎｏｔ ｔｈｅｏｒｅｍ＞ ｇｒｄ４：ｐｒｅＭｏｄｅ＝０ ｎｏｔ ｔｈｅｏｒｅｍ） ＴＨＥＮ ａｃｔｌ：ＭＣｏｍｐ。一ａｒｃｓ） ａｃｔ２：ｍｏｄｅＳｅｌｅｃｔｅｄ：一ｓｅｌｅｃｔＶａ１＞ ＥＮＤ ｓｅｔＭｏｄｅ：ｎｏｔ ｅｘｔｅｎｄｅｄ ｏｒｄｉｎａｒｙ ｓｔａｎｄａｒｄ＞ ＡＮＹ ｓｅｔＶａｌ＞ ＷＨＥＲＥ ｇｒｄｌ：ＭＣｏｍｐ＝ａｆｃｓ ｎｏｔ ｔｈｅｏｒｅｍ） ｇｒｄ２：ｐｒｅＭｏｄｅ≠ｍｏｄｅＳｅｌｅｃｔｅｄ ｔｈｅｏｒｅｍ＞ ｇｒｄ３：ｐｈａｓｅＡｌｌｏｗｅｄ＝ＦＡＬＳＥ ｎｏｔ ｔｈｅｏｒｅｍ） ＴＨＥＮ ａｃｔｌ：Ｍｃｏｍｐ：一ｅｎｖ＞ ａｃｔ２：ｓｔａｔｕｓＡｆｃｓ：一ＦＡＬＳＥ＞ ａｃｔ３：ｍｏｄｅＳｅｌｅｃｔｅｄ：一ｓｅｔＶａ１） ａｃｔ４：ｐｒｅＭｏｄｅ：＝ｍｏｄｅＳｅｌｅｃｔｅｄ） ＥＮＤ ＥＩＮＤ 其中ｉｎｖ５定义了ＡＦＣＳ模式转换处理逻辑，而ｉｎｖ６描述 了理想情况。通过上述建模方式，可以枚举出所有飞行员操 作模式，通过定义ＩＮＶＡＲＩＡＮＴＳ属性描述操作，通过 Ｐｒｏｏｆ Ｏｂｌｉｇａｔｉｏｎｓ来进行模型验证约束条件是否满足和一 致。操作模式分析的结果作为设计约束传递到ＡＦＣＳ的实现 上，接下来就可以地对ＡＦＣＳ进行功能层的建模。 ３．３功能层建模 Ｅｖｅｎｔ－Ｂ支持ｒｅｆｉｎｅ的方式对系统进行迭代设计，利用状 态图实现对功能内部建模，通过接口实现功能之间交互的建 模，对于正常交互行为的建模这里不再赘述，对于异常交互的 行为我们可以利用ＡｌｔａＲｉｃａ进行建模。图６是ＡＦＣＳ中ＦＧＳ 的功能架构与利用ＳｉｍＦｉａ对其安全性建立的模型。 图６ ＦＧＳ功能架构 对分解后的每个分系统进行功能建模，确立功能组织的 失效模式（如着陆功能失效、指示功能失效等）。通过将一个 ｂｌｏｃｋ转换为ＡｌｔａＲｉｅａ Ｎｏｄｅ，一个ｆｕｎｃｔｉｏｎ转换为ＡｔｔａＲｉｅａ Ｃｏｍｐｏｎｅｎｔ，将ｓｙｓＭＬ模型转换为ＡｌｔａＲｉｃａ模型（可以通过 工具ＳｉｍＦｉａ自动转换），然后在部件层次将ＡｌｔａＲｉｃａ模型自 动转换为故障树（见图４），故障传播在ＡｌｔａＲｉｃａ中通过Ｃｏｒｎ— ｐｏｎｅｎｔ的输入／输出来实现。 最后，通过故障树可以计算出功能失效概率。注意：这里 仅阐述了系统开发的一次迭代过程，在实际中，可以根据需要 对模型进行修改，这些修改通过模型可以自动反映到最终的 结果中。 ３．４资源层建模 利用ＡｌｔａＲｉｃａ模型对ＡＦＣＳ的应用操作层、功能层和资 源层进行统一描述，形成如下层次架构（见图７），操作层同功 能层进行交互，功能层根据操作性的模式操作指令进行相应 功能的执行。 操作模 式管理 失效模式 资源的可用 性和完整性 图７基于ＡｌｔａＲｉｃａ的航电系统架构 航空电子系统的资源综合实现体现在电气／集成电路／可 编程电子、ＯＳＣ（Ｓｙｓｔｅｍ ｏｎ－ａ—Ｃｈｉｐ）、ＳｏＳ（Ｓｙｓｔｅｍ ｏｆ Ｓｙｓｔｅｍ）以 及结构综合（如多电控制结构）『５ｊ。综合化资源的安全性分析 包括资源的完整性和可用性两个方面，其中完整性包含了支 撑多个功能间的共模情况。对于资源层建模，需要遵循如下 步骤： （下转第１４３页） ・ 】２７ ・ 结束语本文提出了一种针对ＤＮＳ Ｑｕｅｒｙ Ｆｌｏｏｄ攻击的 ［３］ 宗兆伟，黎峰，翟征德．基于统计分析和流量控制的ＤＮＳ分布式 检测方法，其利用域名解析的成功率计算出信息熵值，根据信 拒绝服务攻击的检测及防御［Ｃ］／／２００９年计算机网络与通信学 息熵值的变化情况来判断ＤＮＳ服务器是否出现异常。在判 术会议论文集．２００９：２０６—２１３ 断ＤＮＳ服务器出现异常的情况下，利用了滑动窗口进一步判 ［４］黄宸，郑康峰，卢天亮，等．基于信息熵的应用层ＤＩ）ｏＳ攻击检测 断源ＩＰ地址的信息熵的变化情况，从而判断ＤＮＳ服务器是 方法［Ｃ］∥第十七届全国青年通信学术年会论文集．第二卷， ２Ｏ１２：４６７—４７２ 否受到了攻击，并通过实验验证了该检测方法的有效性。这 两种基于信息熵的方法结合起来使用可以有效准确地检测到 ［５］李锦玲。应用层分布式拒绝服务攻击的异常检测算法研究［Ｄ］． 郑州：信息工程大学，２０１３ 攻击，提高检测的准确率，在某种程度上降低了漏报率；同时 ［６］张小妹，赵荣彩，单征，等．基于ＤＮＳ的拒绝服务攻击研究与防 这种方法不需要设置阈值，这就避免了因经验不足而设置错 范＿Ｊ］．计算机工程与设计，２００８，２９（１）：２１—２３ 误阈值的情况。 ［７］王佳佳．ＤＤｏＳ攻击检测技术的研究［Ｄ］．扬州：扬州大学，２００８ 参考文献 Ｅ８］刘永杰．异常流量识别系统及其关进技术研究［Ｄ］．南京：南京 邮电大学，２０１３ Ｅ１］Ｍｏｃｋａｐｅｔｒｉｓ Ｐ．Ｄｏｍａｉｎ Ｎａｍｅｓ—Ｃｏｎｃｅｐｔｓ ａｎｄ Ｆａｃｉｌｉｔｉｅｓ Ｅｓ］． ［９］徐川．应用层ＤＤｏＳ攻击检测算法研究及实现［Ｄ］．重庆：重庆大 ＲＦＣ１０３４．１９８７ 学，２０１２ ［２］Ｅａｓｔｌａｋｅ ｎ Ｄｏｍａｉｎ Ｎａｍｅ Ｓｙｓｔｅｍ Ｓｅｃｕｒｉｔｙ Ｅｘｔｅｎｓｉｏｎｓ［Ｓ］． ［１Ｏ］尚波涛，祝跃飞，陈嘉勇．一种应用层分布式拒绝服务攻击快速 ＲＦＣ２５３５．１ ９９９ 检测方法［ｊ］．信息工程大学学报，２０１２（５）：６０１—６０７ （上接第１２７页） Ｓａｆｅｔｙ Ａｓｓｅｓｓｍｅｎｔ［Ｃ］ ，Ｐｒｏｃｅｓｓ ｏｎ Ｃｉｖｉｌ Ａｉｒｂｏｒｎｅ Ｓｙｓｔｅｍｓ ａｎｄ （１）识别资源的功能块／功能块要素。这里功能块的定义 Ｅｑｕｉｐｍｅｎｔ．１９９６ 为资源（硬件、软件）中能够影响到资源功能安全的最小元素， ［２］Ｐａｐａｄｏｐｏｕｌｏｓ Ｙ，ＭｃＤｅｒｍｉｄ Ｊ Ａ．Ｈｉｅｒａｒｃｈｉｃａｌｌｙ Ｐｅｒｆｏｒｍｅｄ Ｈａ— 一个功能块可由许多功能块组成（功能综合），组成功能块的 ｚａｒｄ Ｏｒｉｇｉｎ ａｎｄ Ｐｒｏｐａｇａｔｉｏｎ Ｓｔｕｄｉｅｓ［Ｃ］／／Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ＳＡＦＥ— 部分成为功能要素。例如，一个用于控制容器燃油容量的安 ＣＯＭＰ’９９，１８ｔｈ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｃｏｍｐｕｔｅｒ Ｓａｆｅｔｙ， 全阀门可以分解为图８所示的功能块。 Ｒｅｌｉａｂｉｌｉｔｙ ａｎｄ Ｓｅｃｕｒｉｔｙ．１９９９ ［３］Ｊｏｓｈｉ Ａ，Ｍｉｌｌｅｒ Ｓ Ｐ，Ｈｅｉｍｄａｈｌ Ｍ Ｐ Ｅ．Ｍｏｄｅ Ｃｏｎｆｕｓｉｏｎ Ａｎａｌｙｓｉｓ ｏｆ ａ Ｆｌｉｇｈｔ Ｇｕｉｄａｎｃｅ Ｓｙｓｔｅｍ Ｕｓｉｎｇ Ｆｏｒｍａｌ Ｍｅｔｈｏｄｓ［Ｃ］／／Ｐｒｏ— 功能块ｌ 功能块２ 功能块３ ｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ ２２ｓｔ Ｄｉｇｉｔａｌ Ａｖｉｏｎｉｃｓ Ｓｙｓｔｅｍｓ Ｃｏｎｆｅｒｅｎｃｅ 图８安全阀门一功能块分解示例 （ＤＡＳＣ’０３）．Ｉｎｄｉａｎａｐｏｌｉｓ，Ｉｎｄｉａｎａ，Ｏｃｔ．２００３：１２—１６ （２）将（１）中的功能块／功能块要素映射到子系统／子系统 ［４］Ｄｅｓｃｒｉｐｔｉｏｎ Ａ［ＯＩ ］．［２０１２—０１—１９］．ｈｔｔｐ：／／ｗｗｗ．１ｉｘ．ｐｏｌｙｔｅｃｈ— ｎｉｑｕｅ．ｆｒ／ｒａｕｚｙ／ 要素。子系统／子系统要素是一个物理实体的概念，是功能 ［５］ＩＥＣ ６１５０８ Ｆｕｎｃｔｉｏｎａｌ Ｓａｆｅｔｙ ｏｆ Ｅｌｅｃｔｒｉｃａｌ／Ｅｌｅｃｔｒｏｎｉｃ／Ｐｒｏｇｒａｍ— 块／功能块要素的实现。一个子系统可以包括多个其它子系 ｍａｂｌｅ Ｅｌｅｃｔｒｏｎｉｃ Ｓａｆｅｔｙ Ｒｅｌａｔｅｄ Ｓｙｓｔｅｍｓ［Ｓ］．ｈｔｔｐ：／／ｚｈ．ｗｉｋｉｐｅ— 统，构成子系统的部分称为子系统要素，其失效会影响整个资 ｄｉａ．ｏｒｇ／ｗｉｋｉ／ＩＥＣ－６１５０８，１９９８ 源的失效，例如上例中构成安全阀门的每个子系统（水位传感 ［６］Ａｄｅｌｉｎｅ Ｒ，ｅｔ ａ１．Ｔｏｗａｒｄ ａ Ｍｅｔｈｏｄｏｌｏｇｙ ｆｏｒ Ｔｈｅ ＡｌｔａＲｉｃａ Ｍｏ— 器、可编程逻辑电路和阀门）失效都会影响到安全阀门的功能 ｄｅｌｌｉｎｇ ｏｆ Ｍｕｌｔｉ—Ｐｈｙｓｉｃａｌ Ｓｙｓｔｅｍｓ［Ｃ］／／Ｅｕｒｏｐｅａｎ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ 失效。对于子系统／子系统要素，其安全性分析需要考虑架构 Ｓａｆｅｔｙ ａｎｄ Ｒｅｌｉａｂｉｌｉｔｙ（ＥＳＲＥＩ ）．Ｔａｙｌｏｒ ８Ｌ Ｆｒａｎｃｉｓ：Ｒｈｏｄｅｓ， 方面的约束和失效概率方面的要求。 Ｇｒｅｅｃｅ．２０１０ （３）通过对资源的功能块、子系统分解，我们可以采用基 ［７］Ｌｉｕ Ｓ，ＭｃＤｅｒｍｉｄ Ｊ Ａ．Ａ Ｍｏｄｅｌ—Ｏｒｉｅｎｔｅｄ Ａｐｐｒｏａｃｈ ｔｏ Ｓａｆｅｔｙ 于Ｅｖｅｎｔ－Ｂ和ＡｌｔａＲｉｃａ进行建模分析，这里不再赘述。 Ａｎａｌｙｓｉｓ Ｕｓｉｎｇ Ｆａｕｌｔ Ｔｒｅｅｓ ａｎｄ ａ Ｓｕｐｐｏｒｔ Ｓｙｓｔｅｍ［Ｊ］．Ｊｏｕｒｎａｌ ｏｆ 结束语本文针对综合化航空电子系统安全性分析存在 Ｓｙｓｔｅｍｓ ａｎｄ Ｓｏｆｔｗａｒｅ，１９９６，３５（２）：１５卜１６４ 的失效模式完备性和动态失效问题以及数据一致性问题，提 ［８］Ｄｏｔｔｉ Ｆ Ｌ，Ｉｌｉａｓｏｖ Ａ，Ｒｉｂｅｉｒｏ Ｌ，ｅｔ ａ１．Ｍｏｄａｌ Ｓｙｓｔｅｍｓ：Ｓｐｅｃｉｆｉｃａ— 出了基于模型驱动的安全性分析方法，分别从应用操作层、功 ｔｉｏｎ，Ｒｅｆｉｎｅｍｅｎｔ ａｎｄ Ｒｅａｌｉｚａｔｉｏｎ［Ｃ］ｆ Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ １１ｔｈ 能层和资源层对航电系统建模，借助形式化工具能够实现３ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｆｏｒｍａｌ Ｅｎｇｉｎｅｅｒｉｎｇ Ｍｅｔｈｏｄｓ：Ｆｏｒ— ｍａｌ Ｍｅｔｈｏｄｓ ａｎｄ Ｓｏｆｔｗａｒｅ Ｅｎｇｉｎｅｅｒｉｎｇ（ＩＣＦＥＭ’０９）．２００９：６０１— 个层次上的语义一致性，从而从源头解决系统设计与安全性 ６１９ 工作的相互分离的现象。本文的工作主要有如下３点： ［９］Ｃｈａｕｄｅｍａｒ Ｊ－Ｃ，Ｂｅｎｓａｎａ Ｅ，Ｃａｓｔｅｌ Ｃ．Ｃｈｒｉｓｔｅｌ Ｓｅｇｕｉｎ ＡｌｔａＲｉｃａ （１）对综合化航空电子系统特征和安全性分析流程进行 ａｎｄ Ｅｖｅｎｔ—Ｂ Ｍｏｄｅｌｓ ｆｏｒ Ｏｐｅｒａｔｉｏｎａｌ Ｓａｆｅｔｙ Ａｎａｌｙｓｉｓ：Ｕｎｍａｎｎｅｄ 了分析，提出了现有工程实践中存在的问题； Ａｅｒｉａｌ Ｖｅｈｉｃｌｅ Ｃａｓｅ Ｓｔｕｄｙ［０Ｌ］．［２０１４—０３—１９］．ｈｔｔｐ：／／ｗｗ （２）提出了基于模型的安全性分析流程和方法，实现了系 ｌｉｘ ｐｏｌｙｔｅｃｈｎｉｑｕｅ．ｆｒ／ｒａｕｚｙ／ａｌｔａｒｉｃａ／ＡｈａＲｉｃａ．ｈｔｍｌ／ 统设计与安全性设计的集成； Ｅｌ０］Ｔｒｏｕｂｉｔｓｙｎａ Ｅ，Ｌａｉｂｉｎｉｓ Ｉ ．Ｆａｕｌｔ Ｔｏｌｅｒａｎｃｅ ｉｎ ａ Ｌａｙｅｒｅｄ Ａｒｃｈｉ— （３）提出应用操作、功能和资源层分别建模的方法，并以 ｔｅｃｔｕｒｅ ａ Ｇｅｎｅｒａｌ Ｓｐｅｃｉｆｉｃａｔｉｏｎ Ｐａｔｔｅｒｎ ｉｎ ＢＥＣ］ Ｐｒｏｃ．ｏｆ ｔｈｅ 航电系统安全性分析实例对提出的方法进行了验证。 ２ｎｄ Ｉｎｔ．Ｃｏｎｆｅｒｅｎｃｅ ｏｎ ＳＥＦＭ．Ｂｅｉｊｉｎｇ，ＩＥＥＥ，２００４：３４６—３５５ 参考文献 ［１１］Ａｂｒｉａｌ Ｊ Ｒ．Ｔｈｅ Ｂ－ｂｏｏｋ：Ａｓｓｉｇｎｉｎｇ Ｐｒｏｇｒａｍ ｔｏ Ｍｅａｎｉｎｇｓ［Ｍ］． ＣＵＰ，１９９６ ［１］Ｓｏｃｉｅｔｙ ｏｆ Ａｕｔｏｍｏｔｉｖｅ Ｅｎｇｉｎｅｅｒｓ．ＡＲＰ一４７６１：Ａｅｒｏｓｐａｃｅ Ｒｅｃｏｍ— ［１２］Ｇａｌｌｉｅｒ Ｊ Ｈ．Ｌｏｇｉｃ ｆｏｒ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ：Ｆｏｕｎｄａｔｉｏｎｓ ｏｆ Ａｕｔｏ— ｍｅｎｄｅｄ Ｐｒａｃｔｉｃｅ：Ｇｕｉｄｅｌｉｎｅｓ ａｎｄ Ｍｅｔｈｏｄｓ ｆｏｒ Ｃｏｎｄｕｃｔｉｎｇ ｔｈｅ ｍａｔｉｃ Ｔｈｅｏｒｅｍ Ｐｒｏｖｉｎｇ［Ｍ］．Ｐｕｂｌｉｃａｔｉｏｎｓ Ｄｏｖｅｒ，１ ９８６ ・１４３・
