第一章 绪论 1
第一节 铁路信号安全技术的发展 1
一、传统铁路信号故障—安全技术的产生 2
二、传统铁路信号安全技术概述 3
三、故障—安全概念的发展 9
第二节 安全标准 11
一、IEC 61508标准 11
二、EN 50126/50128/50129标准 13
三、EN 50159标准 14
第三节 典型铁路信号系统安全结构举例 15
一、编码微处理器结构 15
二、SIMIS结构 16
三、SMILE结构 20
第二章 列控系统的安全性设计基础 22
第一节 系统生命周期 22
第二节 安全完整性及其等级 26
一、安全需求 26
二、安全完整性 26
三、安全完整性需求的分配 27
四、安全完整性等级（SIL） 33
第三节 安全相关系统硬件的SIL计算 34
一、IEC 61508标准中基于可靠性框图的SIL计算方法 35
二、PDS方法及其应用 39
第三章 系统和硬件安全性设计 44
第一节 系统级方法 44
一、系统层次结构的概念 44
二、系统需求和特点 45
三、系统边界和功能 45
第二节 避免系统失效以及控制随机与系统失效 46
第三节 详细技术要求 52
一、功能正确运行的保障 52
二、故障的影响 53
三、外界影响下的运行 56
四、安全相关应用条件 57
五、安全合格测试 58
第四节 SIL3或SIL4补充技术要求 59
一、物理的内部独立性的获得 59
二、物理的外部独立性的获得 59
三、单故障分析方法示例 60
四、多重故障分析方法示例 61
第五节 其他要求 63
一、可编程器件要求 63
二、既有硬件和商业现货产品硬件要求 67
三、型式试验耐受要求 68
四、电磁兼容及防雷要求 68
第四章 软件安全性设计 74
第一节 概述 74
一、软件研发流程 74
二、软件安全完整性等级 75
三、软件管理和组织 75
第二节 软件保障一般要求 78
一、软件测试 78
二、软件验证 79
三、软件确认 80
四、软件评估 80
五、软件质量保障 81
六、软件修改和变更控制 82
七、支持工具和语言 83
八、软件部署和维护 85
第三节 通用软件研发要求 87
一、通用软件的生命周期和文档 87
二、软件需求 87
三、软件架构和设计 88
四、组件设计 91
五、组件实现和测试 92
六、集成 92
七、整体软件测试／最终确认 93
第四节 应用数据和算法的研发 94
一、目标 94
二、输入文档 95
三、输出文档 95
四、要求 95
第五节 技术和措施的选择标准 97
一、条款表 98
二、详细表格 103
第五章 列控安全计算机设计举例 108
第一节 二乘二取二列控安全计算机结构设计 108
一、结构特点 108
二、二取二功能的实现 110
三、二乘（双通道热备）功能的实现 115
第二节 列控安全计算机硬件设计 120
一、硬件设计基础 120
二、电源设计 134
三、强故障—安全电路设计 139
四、诊断设计 145
五、输入输出的安全性设计 146
六、EMC及防雷设计 150
第三节 安全完整性等级指标计算举例 155
一、计算举例所针对的地面列控安全计算机结构 155
二、安全完整性等级指标计算 158
三、计算结果及分析 163
第四节 软件安全性设计的附加措施 176
一、软件设计与实现的具体措施 176
二、语言和编译器及链接编辑器的措施 185
三、软件验证与测试方法的措施 187
四、防范软件导致共因故障的措施 189
第五节 地面列控安全计算机软件设计 192
一、基于安全核的设计方法 192
二、列控安全计算机软件设计 194
三、操作系统的选择 196
四、安全核心的实现 200
五、系统可靠性设计 204
第六节 地面列控安全计算机的形式化验证 206
一、时间自动机及其验证工具UPPAAL 206
二、基于时间自动机的系统建模 208
三、基于UPPAAL的仿真与验证 214
参考文献 219