CN105426680A - 基于特征配置的故障树生成方法 - Google Patents

Abstract

本发明公开了基于特征配置的故障树生成方法，将软件产品线的可变性建模引入安全分析过程，利用特征模型作为系统故障的结构模型刻画故障的层次与约束关系。同时通过对状态迁移的拓展提出一种故障标记迁移系统(Fault？Labeled？Transition？System，FLTS)，作为系统故障行为模型。然后基于故障标记迁移系统的语义定义了利用模型检测生成故障树的过程。最后，利用现有的软件产品线模型检测器实现了基于故障配置生成故障树的方法。本发明利用特征模型刻画了系统静态层次结构、故障与部件的从属关系及故障间的约束关系，利用软件产品线模型检测的特性，可以基于系统模型针对特定安全属性找到其全部割集，提高了故障树生成的效率与准确性。

Description

基于特征配置的故障树生成方法

技术领域

本发明公开了基于特征配置的故障树生成方法，涉及安全关键系统的安全性分析技术领域。

背景技术

航空、核电等安全关键系统的安全性日益受到重视。系统安全分析是系统安全工程的核心内容，它是安全评估的基础。系统安全分析的主要目的是了解、查明系统存在的危险，并确保系统满足规定的安全需求，同时为安全评估提供依据。系统安全分析的主要内容是研究在部分系统组件由于故障处于非正常工作状态时的系统行为。

故障树分析(FaultTreeAnalysis,FTA)是最常见的安全分析技术之一，它是一个自顶向下的演绎的分析系统设计与可靠性的分析手段。故障树是一种特殊的树状逻辑关系图，它以图形的方式表明“系统是怎样失效的”(用规定的事件、逻辑门和其他符号描述系统中各种事件之间的因果关系)。逻辑门的输入事件是输出事件的“因”，逻辑门的输出事件是输入事件的“果”。故障树将选定的系统故障状态定义为顶事件，通过对可能造成系统故障的各种因素进行逐层分析，揭示各元件(模块)发生故障与系统发生故障之间的逻辑关系。割集(CutSet，CS)是故障树中一些基本事件的集合。当这些基本事件同时发生时，顶层事件发生。如果割集中的任一底事件不发生时顶事件也不发生,则这样的割集称为最小割集(MinimalCutSet，MCS)。

故障树的生成是故障树分析的前提。传统安全分析过程中故障树通常由人工生生成，因此故障树的质量取决于安全工程师的个人技巧与经验。这也使得故障树生成过程容易出错同时耗费大量时间。随着系统规模和复杂程度的不断增加，传统人工的故障树生成面对着巨大的挑战。

近些年，利用形式化方法尤其是模型检测技术的基于模型的安全分析技术逐渐得到工业界和学术界的关注。在基于模型的开发过程中，如仿真、验证、测试以及代码生成等活动都在统一的有着明确语义的形式化模型上进行。这样系统开发过程与安全分析过程之间通过统一的系统模型有了沟通的桥梁。在模型有准确语法、语义定义的基础上，可以更为精确地描述系统需求，同时也支持进行部分自动化的分析。

模型检测[ClarkeEM,GrumbergO,PeledD.ModelChecking[M].Cambridge:MITpress,1999.]作为一种成熟的自动验证技术，已被广泛用于计算机硬件、通信协议和航空电子等领域。其基本思想是通过对系统的状态空间的穷举搜索，来判断采用时序逻辑所描述的待验证的行为属性是否成立，并且当属性不成立时，提供反例说明。最新的故障树生成技术是利用模型检测技术基于模型的故障树生成。比如AnjaliJoshi和SteveVestal等[JoshiA,VestalS,BinnsP.AutomaticgenerationofstaticfaulttreesfromAADLmodels[C]//WorkshoponArchitectingDependableSystemsofThe37thAnnualIEEE/IFIPInt.ConferenceonDependableSystemsandNetworks,Edinburgh,UK.2007.]提出了对航电系统采用AADL构建系统和故障模型，并进行安全性分析的方法。对于AADL模型，主要用于描述航电系统的体系架构，利用AADL错误模型附件对系统故障和传播进行建模，通过追踪对象的可能故障源来提取系统的错误模型实例，然后将其存储在有向图里，根据有向图分析生成系统错误模型的静态故障树。但其虽然提出了采用模型检测等形式化验证方法自动生成故障树的思想，但尚未提供工具支持。PierreBieber和CharlesCastel等[CombinationofFaultTreeAnalysisandModelCheckingforSafetyAssessmentofComplexSystem]利用Altarica语言建立系统模型。Altarica模型以节点的形式定义系统的构件层次。每个节点具备相应的数据流、状态、事件和迁移关系。失效行为则通过与特定失效事件相关的迁移关系来描述。Altatica提供了对给定的顶层失效事件自动生成故障树的方法，但主要问题是仅限于对非时序的安全属性的分析，并且无法针对顶层失效事件计算出全部的故障组合，在对故障建模时无法描述故障层次关系和故障间的约束关系。

软件产品线是一组在公共核心资源的基础上，按照规定的方式开发的软件密集系统的集合。这些系统共享一组公共的、可管理的、能够满足特定的市场或者任务需求的功能集合。在实际中软件产品线可用特征(feature)来描述，一条产品线可看作是一个有层次关系的特征的集合。所谓特征，是指软件系统或系统中用户可见的、显著或与众不同的方面、品质或特点。特征模型一般由树形结构图表示，称为特征图(FeatureDiagram-FD)[K.Kang,S.Cohen,J.Hess,W.Novak,andS.Peterson.Feature–OrientedDomainAnalysis(FODA)FeasibilityStudy[J].TechnicalReportCMU/SEI-90-TR-21,SoftwareEngineeringInstitute,CarnegieMellonUniversity,November,1990]。图中有且仅有一个根节点，通常表示一个领域系统；一般节点表示特征，分为可选和必选两类；边表示父节点与子节点特征自上而下的层次分解，包括Or-group和Xor-group两种分解模式；约束关系通过文本的形式表示，如requires和excludes等。

发明内容

本发明所要解决的技术问题是：针对传统故障树生成方法成本过高且无法应对庞大系统规模及系统高复杂度缺陷，以及现有基于模型的故障树生成方法的不足，提供一种利用检测基于故障特征配置的故障树生成方法。该方法将软件产品线的可变性建模引入安全分析过程，利用特征模型作为系统故障的结构模型刻画故障的层次与约束关系。同时通过对状态迁移的拓展提出一种故障标记迁移系统(FaultLabeledTransitionSystem，FLTS)，作为系统故障行为模型。然后基于故障标记迁移系统的语义定义了利用模型检测生成故障树的过程。最后，利用现有的软件产品线模型检测器实现了基于故障配置生成故障树的方法。

本发明为解决上述技术问题采用以下技术方案：

基于故障配置的故障树生成方法，包括如下步骤(为便于理解和表述，表1中列出了各步骤统一使用的主要数学符号及其含义)：

表1：各步骤统一使用的主要数学符号及其含义

步骤1，根据目标系统的需求和初步设计等内容，确定系统层次机构和基本框架，建立系统正常行为模型。

步骤2，根据安全分析过程前期的功能危害分析及初步系统安全评估，确定系统各组件可能的故障特征。对故障特征进行分析，明确故障间的约束关系。根据系统的层次结构、故障与组件的关系以及故障间的约束，建立故障特征模型，规定系统的合法故障配置。

步骤3，根据系统正常行为模型，明确故障事件对系统正常行为的影响，在系统正常行为模型中注入故障行为，使用故障标记迁移系统描述包含故障行为的拓展系统模型。

步骤4，使用线性时序逻辑(LinearTemporalLogic，LTL)对系统安全需求进行形式化的描述。

步骤5，以步骤2的故障特征模型、步骤3得到的拓展系统模型及步骤4使用线性时序逻辑描述的系统需求作为输入，利用模型检测器对系统模型进行验证。

步骤6，对步骤5模型检测器的输出结果进行分析，得到针对步骤5输入的安全属性的故障树。

如所述步骤1，根据系统的功能性需求建立系统正常行为模型。系统正常本质是一个状态迁移系统M＝＜S,I,P,R,L＞，利用系统状态间的迁移关系刻画系统的功能和行为。

如所述步骤2，系统的故障行为是系统的异常行为，通常故障行为由系统的某个部件或子系统引起。通过对系统的初步分析，确定系统的故障特征集合F，系统的一个故障配置fc是系统部分故障特征的集合，即系统故障特征间存在约束关系，如某些故障可以同时发生，某些故障不会同时发生等等。故障特征图中不仅包括系统故障特征，也包括系统正常的组件特征。系统的正常组件特征刻画了系统的层次结构，而故障特征与组件特征间存在从属关系。故障特征图刻画了系统特征的层次结构，故障特征间的约束关系。故障特征模型是系统模型的一部分，规定了系统所有合法的故障配置。

如所述步骤3，系统的故障特征会影响系统的行为，在系统中加入故障特征会引起系统行为的变化。所以系统在不同故障配置下有着不同的系统行为。状态迁移系统无法表示故障特征对系统行为的影响，因此包含故障行为的拓展系统模型使用故障标记迁移系统(FaultLabeledTransitionSystem,FLTS)flts＝(S,I,P,R,L,ffd,γ)进行刻画。故障标记迁移系统是对状态迁移系统的一种拓展，通过迁移上的特征标记表明该迁移与故障特征间的关联。简单地说，故障标记迁移系统是在状态迁移系统的迁移上标记允许这条迁移发生的系统配置。故障标记迁移系统由定义1表示：

定义1：一个故障标记迁移系统是一个元组flts＝(S,I,P,R,L,ffd,γ)，各符号含义如表1。

故障标记迁移系统的目的是准确地描述所有故障配置下的系统行为，利用故障标记迁移系统的投影操作可以从故障标记迁移系统得到某个特定系统故障配置下的状态迁移系统。投影操作的定义如定义2：

定义2：故障标记迁移系统flts对某个特定故障配置fc的投影是一个状态迁移系统M＝＜S,I,P,R',L＞，其中R′＝{t∈R∣fc∈γ(t)},t表示R中的一条迁移关系，这个投影记作flts_∣fc。

一个故障标记迁移系统描述了其所有投影的行为。因此故障标记迁移系统的语义是它所有投影的组合，由公式(1)表示：

${\[\[flts\]\]}_{FLTS}={\∪}_{fc\∈{\[\[d\]\]}_{FFD}}{\[\[{\mathrm{flts}}_{|fc}\]\]}_M---\left(1\right)$

如所述步骤4，利用线性时序逻辑描述系统安全属性，线性时序逻辑由下列规则进行归纳，φ表示一个LTL公式：

φ::＝·|⊥|p|(-φ)|(φ∧φ)|(φ∨φ)|(φ→φ)

|(Xφ)|(Fφ)|(Gφ)|(φUφ)|(φWφ)|(φRφ)

其中，p表示任意原子命题。

符号和⊥和是LTL公式，因为它们都是原子命题，“分别表示真(True)和假(False)。连接词X，F，G，U，R和W称为时序连接词(TemproalConnectives)。X意为“下一个状态”(neXt)，F意为“某未来状态”(Future)，G意为“所有未来状态”(Globally)。接下来的三个连接词U，R和W分别“直到”(Until)，“释放”(Release)和“弱-直到”(Weak-Until)。

如所述步骤5，以拓展系统模型及系统安全属性作为输入，采用模型检测技术对模型进行验证。该过程可以看作验证flts中是否存在从初始状态出发到达故障状态的路径，如果存在这样的路径，则这条路径上包含的故障特征集合即为顶层故障事件的一个割集。如果不存在这样的路径，则表示系统满足安全需求。

如所述步骤6，如果模型检测的结果没有找到违背系统安全属性的故障配置，则系统满足安全需求。如果系统违背某个安全需求，模型检测的输出结果为违背该安全属性的全部故障配置集合，即顶层故障事件的全部割集。对这些集合经过处理后，按照故障树的结构生成故障树。

本发明采用以上技术方案与现有技术相比，具有以下技术效果：

(1)本发明利用特征模型刻画了系统静态层次结构、故障与部件的从属关系及故障间的约束关系。

(2)本发明提出了一种故障标记迁移系统，有效地准确描述了不同系统故障配置下的系统行为，突出了系统故障对系统行为的影响。

(3)本发明利用软件产品线模型检测的特性，可以基于系统模型针对特定安全属性找到其全部割集，提高了故障树生成的效率与准确性。

附图说明

图1为基于故障配置的故障树生成方法流程图；

图2为本发明的一个具体实施例，数据采集器系统的系统结构图；

图3为数据采集器系统正常系统模型；

图4为数据采集器系统的系统故障特征图；

图5为数据采集器系统的故障标记迁移系统模型；

图6为顶层故障事件“传感器模块失效两次”的故障树。

具体实施方式

下面详细描述本发明的实施方式，所述实施方式的示例在附图中示出，其中自始至终相同或类似的标号表示相同或类似的元件或具有相同或类似功能的元件。下面通过参考附图描述的实施方式是示例性的，仅用于解释本发明，而不能解释为对本发明的限制。

下面结合附图对本发明的技术方案做进一步的详细说明：

具体实施例以图2所示的数据采集器系统为例。图1为本发明技术方案流程图，具体实施步骤如下：

步骤1，分析数据采集器系统，建立系统正常行为模型。如图2，数据采集器系统(Acquisition)包括监控模块(Monitor)，传感器模块(Sensors)以及过滤器模块(Filters)。其中传感器模块和过滤器均包含两个工作单元，分别处于优先模式(PrimaryMode)和备用模式(BackupMode)。数据采集器系统工作流程如下：传感器模块采集数据，并将数据分别发送给过滤器和监控单元。过滤器模块接收传感器模块的数据并对数据进行处理后将数据发送给监控单元同时作为数据采集器系统的输出。监控单元接收传感器模块和过滤器模块的数据，通过数据判断传感器模块和过滤器模块是否出现故障。如果某个模块出现故障则将该模块从优先模式切换到备用模式，同时发送警报。系统的正常行为模型如图3，为方便理解，图中迁移关系上加注了标记表明该迁移的含义(S、F、M和V分别表示传感器模块、过滤模块、监控模块和系统输出)，如“采集数据”表示传感器模块采集数据，“StoF”表示由传感器模块向过滤器模块发送数据，状态迁移自动机本身不包含这些内容。

步骤2，确定系统各组件可能的故障特征，对故障特征进行分析，明确故障间的约束关系。建立故障特征模型。数据采集器系统可能发生的故障如下：

1)传感器单元可能会发生数据变化偏离正常变化规律的故障(Drift)。传感器单元采集数据的初值为1，每次数据采集过程中，数据在之前的数据上加1，当采集数据达到5后重置为1。当发生偏离故障后，数据不再是每次加1，而是每次加2，并且达到5后不再重置为1。这种故障是间歇(Transit)发生的，即组件发生故障后可能会恢复正常。

2)传感器单元也可能发生瘫痪(Stuck)。当传感器发生瘫痪后，采集到的数据会卡在一个固定的值不再发生变化。这种故障一旦发生，其影响是永久性的(Permanent)，该组件无法在恢复正常。

3)过滤器单元同样也可能发生与传感器单元类似的瘫痪(Stuck)故障，并且发生故障后无法恢复。

数据采集器系统故障特征图如图4，其中故障特征集合为：

F＝{S1SP,S1DT,S2SP,S2DT,F1SP,F2SP}；

全部故障配置的集合为的幂集，即：FC＝{2^F}。

步骤3，在系统正常行为模型中注入故障行为，得到包含故障行为的拓展系统模型。以数据采集器系统的优先传感器单元的两个故障为例，包含这两个故障的故障标记迁移系统如图5。每条迁移上标记了与迁移相关的特征。故障标记迁移系统在一个模型中直观地描述了所有系统特征对系统行为的影响。

步骤4，使用线性时序逻辑对系统安全需求进行形式化的描述。以数据采集器系统为例，部分安全属性与其对应的线性时序逻辑公式如表2。

表2系统全区属性及其对应LTL公式

序号	安全属性	LTL公式
			1	传感器模块不会出错	！＜＞value≥15
2	备份传感器单元不会出错	＜＞sensor.mode＝backup&&value≥15
			3	优先传感器出错时使用备份	value≥15→＜＞sensor.mode＝backup

步骤5，以拓展系统模型及表示系统安全属性的时序逻辑公式作为输入，利用模型检测器SNIP对系统进行验证。具体实施过程为用fPromela语言描述故障标记迁移系统，使用TVL语言描述系统故障特征模型，使用命令以系统模型及安全属性时序逻辑公式作为输入运行模型检测器。

SNIP[ClassenA,CordyM,HeymansP,etal.ModelcheckingsoftwareproductlineswithSNIP[J].InternationalJournalonSoftwareToolsforTechnologyTransfer.2012,14(5):589-612.]是由A.Classen等开发的一款针对软件产品线的模型检测器。传统的模型检测器只能检测特定系统故障配置下的系统行为，而SNIP可以同时对多种故障配置下的系统行为进行分析。SNIP实现了软件产品线的模型检测过程。在给定产品线模型和产品需求的情况下，如果所有产品满足产品需求，检测结果为True，否则SNIP可以找到所有不满足产品需求的产品。

步骤6，以表2中公式2作为安全属性输入，本实施例输出结果为系统故障配置{S1DT,S2DT}、{S1DT,S2SP}、{S1SP,S2DT}以及{S1SP,S2SP}。从验证结果可以得知数据采集器系统不满足该安全属性，顶层事件的全部割集为。按照故障树的树状结构生成故障树如图6。

上面结合附图对本发明的实施方式作了详细说明，但是本发明并不限于上述实施方式，在本领域普通技术人员所具备的知识范围内，还可以在不脱离本发明宗旨的前提下做出各种变化。以上所述，仅是本发明的较佳实施例而已，并非对本发明作任何形式上的限制，虽然本发明已以较佳实施例揭露如上，然而并非用以限定本发明，任何熟悉本专业的技术人员，在不脱离本发明技术方案范围内，当可利用上述揭示的技术内容做出些许更动或修饰为等同变化的等效实施例，但凡是未脱离本发明技术方案内容，依据本发明的技术实质，在本发明的精神和原则之内，对以上实施例所作的任何简单的修改、等同替换与改进等，均仍属于本发明技术方案的保护范围之内。

Claims (8)

1.基于特征配置的故障树生成方法，其特征在于，具体步骤包括：

步骤1，根据目标系统的需求和初步设计，确定系统层次结构和基本框架，建立系统正常行为模型；

步骤2，根据功能危害分析及初步系统安全评估，确定系统各组件可能的故障特征，对故障特征进行分析，明确故障间的约束关系；

根据步骤1中系统的层次结构、故障与组件的关系以及故障间的约束关系，建立故障特征模型，规定系统的合法故障配置；

步骤3，根据系统正常行为模型，明确故障事件对系统正常行为的影响，在系统正常行为模型中注入故障行为，使用故障标记迁移系统描述包含故障行为的拓展系统模型；

步骤4，使用线性时序逻辑对系统安全需求进行形式化的描述；

步骤5，以步骤2得到的故障特征模型、步骤3得到的拓展系统模型以及步骤4中使用线性时序逻辑描述的系统需求作为输入，利用模型检测器对系统模型进行验证；

步骤6，对步骤5模型检测器的输出结果进行分析，得到针对步骤5输入的安全属性的故障树。

2.如权利要求1所述的基于故障配置的故障树生成方法，其特征在于：在步骤1中，所述系统正常行为模型根据系统功能性需求刻画了系统的正常行为，其本质是状态迁移系统，利用系统状态间的迁移关系刻画系统的功能和行为。

3.如权利要求1所述的基于故障配置的故障树生成方法，其特征在于：步骤2中，故障特征模型包括系统故障特征和系统正常的组件特征；

其中，系统的正常组件特征刻画了系统的层次结构，且故障特征与组件特征间存在从属关系；

系统故障特征图刻画了系统特征的层次结构、故障特征间的约束关系，故障特征模型定义了全部的故障特征集合。

4.如权利要求1所述的基于故障配置的故障树生成方法，其特征在于：步骤3中，所述包含故障行为的拓展系统模型使用故障标记迁移系统进行刻画，故障标记迁移系统定义如下：

一个故障标记迁移系统是一个元组：flts＝(S,I,P,R,L,ffd,γ)；

其中，S为系统状态集合；为系统初始状态集合；P为原子命题集合；为系统迁移关系集合；L:S→2^P是一个标记函数，在每个状态上标记为真的原子命题，2^P表示P的幂集；ffd是一个故障特征模型；γ:R→({⊥,晻}^∣N∣→{⊥,})是一般标记函数，在迁移关系上标记为真的特征表达式。

5.如权利要求4所述的基于故障配置的故障树生成方法，其特征在于：利用故障标记迁移系统的投影操作从故障标记迁移系统得到某个特定系统故障配置下的状态迁移系统，所述投影操作的定义为：

故障标记迁移系统flts对某个特定故障配置fc的投影为一个状态迁移系统：

M＝＜S,I,P,R',L＞，其中R′＝{t∈R∣fc∈γ(t)}，t表示R中的一条迁移关系，将投影记作flts_∣fc。

6.如权利要求5所述的基于故障配置的故障树生成方法，其特征在于：步骤3中故障标记迁移系统描述了其所有投影的行为，故障标记迁移系统的语义是它所有投影的组合，表示为：

[[flts]]_FLTS＝∪_{fc∈[[d]]FFD}[[flts_∣fc]]_M。

7.如权利要求1所述的基于故障配置的故障树生成方法，其特征在于：步骤5中模型检测器以高级建模语言描述故障标记迁移系统和系统故障特征模型，系统安全属性为模型检测过程输入的一部分。

8.如权利要求1所述的基于故障配置的故障树生成方法，其特征在于：步骤6中，当系统模型满足输入的安全属性时，则模型检测结果显示系统满足时序逻辑公式；

当系统模型不满足输入的安全属性，则输出的结果为不满足安全属性的全部故障配置集合，并为每个故障配置附带反例，通过对故障配置集合的处理生成故障树。