CN110008607B

CN110008607B - 一种基于stpa模型的功能安全危害和信息安全威胁分析方法

Info

Publication number: CN110008607B
Application number: CN201910290073.1A
Authority: CN
Inventors: 王高翃; 刘虹; 蒲戈光
Original assignee: Shanghai Industrial Control Safety Innovation Technology Co ltd
Current assignee: Shanghai Industrial Control Safety Innovation Technology Co ltd
Priority date: 2019-04-11
Filing date: 2019-04-11
Publication date: 2023-01-17
Anticipated expiration: 2039-04-11
Also published as: CN110008607A

Abstract

一种基于STPA模型的功能安全危害和信息安全威胁分析方法，采用STPA模型作为基础，共分为四个步骤，一：根据STPA模型建立安全约束、控制结构和过程模型；二：考虑信息安全因素对控制结构和过程模型的影响；三：对所有可能的情况进行组合分析，识别所有不安全控制的分类；四：确定不安全控制的来源。本发明结合STAMP模型，建立了功能安全约束、控制结构和过程模型；对安全约束、危害事件、过程控制和信息安全影响进行组合分析，将危害事件的发生看成是不安全控制的结果，而不仅仅是由组件或系统故障引起，并能识别所有不安全控制的分类并确定导致这些不安全控制发生的原因是来源于单个组件、多个组件之间的相关交互或者是车辆电子安全系统设计缺陷。

Description

一种基于STPA模型的功能安全危害和信息安全威胁分析方法

技术领域

本发明涉及车用安全分析方法领域，特别是一种基于STPA模型的功能安全危害和信息安全威胁分析方法。

背景技术

在轨道交通和汽车电子安全系统领域，危害分析和风险评估是功能安全考量的重要方法。传统的危害分析技术如故障树分析等失效模型，主要机理从故障角度出发，将事故作为故障的结果，通过自上而下或者自下而上的故障链及其因果对可能产生的危害进行分析。但是随着现代轨道交通和汽车电子控制系统的进步和软件控制算法的广泛应用，在处理复杂的控制逻辑、人工智能控制、组件间交互产生的级联故障、共因故障和发生隐藏的设计问题时，传统的从故障出发的失效模型分析方法已经难以完全适用。

系统理论事故模型和过程(STAMP)方法，将安全问题由故障角度出发转为从控制角度出发，将危害控制和安全看作一个控制问题，而不是故障管理问题来处理，加强了控制指令发出、实现和执行的安全约束条件。应用中通过分析危险来源，实现了安全约束限制组件行为、组件间的交互和通讯、外部条件、抗干扰条件等等。STAMP方法可以实现对车辆电子安全系统进行动态控制，对变化和环境做出及时反应。通过STAMP模型的安全分析，也有助于车辆电子安全系统在设计阶段实现安全的及时介入。

另一方面，通过车辆电子安全控制系统的信息化也给功能安全带来了信息安全的挑战。信息通讯的准确及时和数据的完整性都是确保系统安全运行的基础。STAMP模型需要将功能安全与信息安全进行融合，在功能安全的基础上，结合考虑信息安全因素对可能引起危害的影响，才能确保车辆电子安全系统免受信息系统攻击或故障的危害。为此，轨道交通和汽车电子安全领域的危害分析方法，不仅需要从控制角度出发，考虑不安全控制发生的各种可能和来源，还需要结合信息安全的影响因素进行分析，从而确保车辆电子安全系统在复杂控制情况下的运行安全。

现有技术中，STAMP模型对信息安全的影响因素进行分析处理还不完善，对车辆电子安全系统应用造成了制约，因此提供一种复杂信息条件下，对STAMP模型结合信息安全的影响因素进行分析，从而提高车辆电子安全系统可靠性的技术显得尤为必要。

发明内容

为了克服现有技术中，STAMP模型对信息安全的影响因素进行分析处理还不完善，对车辆电子安全系统应用造成了制约的弊端，本发明提供了根据系统理论过程分析(STPA)方法建立功能车辆电子安全约束、控制结构和过程模型，考虑了信息安全因素对车辆电子安全控制结构和车辆电子安全控制系统过程模型的影响，对车辆电子安全约束、危害事件、过程控制和信息安全影响进行组合分析，将危害事件的发生看成是不安全控制的结果，而不仅仅是由组件或系统故障引起，并能识别所有不安全控制的分类并确定导致这些不安全控制发生的原因是来源于单个组件、多个组件之间的相关交互或者是车辆电子安全系统设计缺陷等，由此提高了现有STAMP模型对信息安全影响因素进行分析处理效果的一种基于STPA模型的功能安全危害和信息安全威胁分析方法。

本发明解决其技术问题所采用的技术方案是：

一种基于STPA模型的功能安全危害和信息安全威胁分析方法，其特征在于采用STPA模型作为基础，共分为四个步骤实现了STAMP模型对信息安全影响因素处理效果的完善，步骤一：根据STPA模型建立车辆电子安全约束、控制结构和控制系统过程模型；步骤二：考虑信息安全因素对车辆电子安全控制结构和车辆电子安全控制系统过程模型的影响；步骤三：结合述步骤一、二中对车辆电子安全约束、危害事件、控制结构、过程模型和信息安全影响的结果，将危害事件的发生看成是不安全控制的结果，而不仅仅是由组件或系统故障所引起，对所有可能的情况进行组合分析，识别所有不安全控制的分类；步骤四：对于每个不安全控制的指令或行为，结合步骤一、二中对车辆电子安全约束、危害事件、控制结构、过程模型和信息安全影响的结果，检查是否由控制回路的单个组件导致、或者由多个组件间的冲突或交互导致、又或由系统设计的不充分或不恰当所导致，以确定不安全控制的来源。

所述步骤一中，a)车辆电子安全约束用以确定控制的状态，违反安全约束将导致危害事件的发生；反之危害事件的发生一定源于某些安全约束被违反，在系统和产品设计开发过程中，安全约束被逐步精化，向下层分解；b)建立层级控制结构系统，上层的控制系统对下层进行控制，并在层级间实现安全约束的向下传递和向上反馈，通过明确控制结构可以实现对安全约束自上而下的细化并分配至控制组件、追溯控制命令的发出与执行以及相应的安全约束的传递和反馈；c)建立控制系统过程模型，描述系统的运行状态、控制规则和相应控制过程方，控制层的每一层级都需具有相应的过程模型，以便分析不安全控制来源，控制器过程模型中的可能的违背安全约束的因素包括控制指令错误、控制指令未发出、控制指令发出过早或过晚、控制指令停止过早或过晚和控制规则或过程方法错误引起的控制行为不当。

所步骤二中，考虑信息安全因素对车辆电子控制结构和控制系统过程模型的影响，即由于信息系统通讯中受到阻断服务攻击、数据完整性攻击或外部电磁干扰造成的信号传输异常导致安全约束的违背对功能安全的影响，信息系统中受到信息安全因素影响的信息流内容包括：a)系统状态参数输入；b)控制器状态参数的输入；c)环境因素的输入；d)输出结果及输出、控制对象；e)反馈结果及反馈对象。

所述步骤三中，不安全控制的分类包括：a)安全约束没有被正确分配，或相应的实现安全约束的控制过程方法没有被正确实现；b)安全约束被正确分配，但是控制器的执行违背了安全约束；其中在安全约束被正确分配，但是控制器执行违背了安全约束的情况包括：1)控制指令错误；2)控制指令未被发出；3)控制指令正确发出，但是指令的发出过早或过晚；4)控制指令正确发出，但是指令的停止过早或过晚；5)控制指令正确发出，但是控制规则或过程方法错误引起控制行为错误；6)控制指令正确发出，但是控制规则或过程方法错误引起控制行为未执行。

所述步骤四中，不安全控制的来源包括：a)控制回路的单个组件；b)控制回路的多个组件间的冲突或交互；c)系统设计的不充分或不恰当；d)环境因素干扰未被排除。

本发明有益效果是：本发明结合STAMP模型，根据系统理论过程分析(STPA)方法建立了车辆电子功能安全约束、控制结构和过程模型；充分考虑了信息安全因素对车辆电子安全控制结构和车辆电子安全控制系统过程模型的影响，即由于信息系统通讯中受到阻断服务攻击、数据完整性攻击或外部电磁干扰等造成的信号传输异常等导致安全约束的违背对功能安全的影响；对车辆电子安全约束、危害事件、过程控制和信息安全影响进行组合分析，将危害事件的发生看成是不安全控制的结果，而不仅仅是由组件或车辆电子安全系统故障引起，并能识别所有不安全控制(违背安全约束的控制命令)的分类并确定导致这些不安全控制发生的原因是来源于单个组件、多个组件之间的相关交互或者是车辆电子安全系统设计缺陷等，由此提高了现STAMP模型对信息安全影响因素进行分析处理效果，进而提高了车辆电子安全系统的功能安全。基于上述，本发明具有好的应用前景。

附图说明

图1是本发明流程框图。

具体实施方式

图1中所示，一种基于STPA模型的功能安全危害和信息安全威胁分析方法，采用STPA模型作为基础，共分为四个步骤实现了STAMP模型对信息安全影响因素处理效果的完善，步骤一：根据STPA模型建立车辆电子安全约束、控制结构和控制系统过程模型；步骤二：考虑信息安全因素对车辆电子安全控制结构和车辆电子安全控制系统过程模型的影响；步骤三：结合述步骤一、二中对车辆电子安全约束、危害事件、控制结构、控制系统过程模型和信息安全影响的结果，将危害事件的发生看成是不安全控制的结果，而不仅仅是由组件或系统故障所引起，对所有可能的情况进行组合分析，识别所有不安全控制的分类；步骤四：对于每个不安全控制的指令或行为，结合步骤一、二中对车辆电子安全约束、危害事件、控制结构、控制系统过程模型和信息安全影响的结果，检查是否由控制回路的单个组件导致、或者由多个组件间的冲突或交互导致、又或由系统设计的不充分或不恰当所导致等等，以确定不安全控制的来源。

图1中所示，步骤一中，a)车辆电子安全约束用以确定控制的状态，违反安全约束将导致危害事件的发生；反之危害事件的发生一定源于某些安全约束被违反，在系统和产品设计开发过程中，安全约束被逐步精化，向下层分解；b)建立层级控制结构系统，上层的控制系统对下层进行控制，并在层级间实现安全约束的向下传递和向上反馈，通过明确控制结构可以实现对安全约束自上而下的细化并分配至控制组件、追溯控制命令的发出与执行以及相应的安全约束的传递和反馈；c)建立控制系统过程模型，描述系统的运行状态、控制规则和相应控制过程方，控制层的每一层级都需具有相应的过程模型，以便分析不安全控制来源，控制器过程模型中的可能的违背安全约束的因素包括控制指令错误、控制指令未发出、控制指令发出过早或过晚、控制指令停止过早或过晚和控制规则或过程方法错误引起的控制行为不当等。以列车停站开门控制为例，过程模型中考虑的参数有：a)车身是否处于运动状态；b)车门开关状态；c)列车运行是否处于紧急状态；d)车身与站台是否对齐；这些参数分别由控制系统的传感器提供。

图1中所示，步骤二中，考虑信息安全因素对车辆电子安全控制结构和车辆电子安全控制系统过程模型的影响，即由于信息系统通讯中受到阻断服务攻击、数据完整性攻击或外部电磁干扰等造成的信号传输异常等导致安全约束的违背对功能安全的影响，信息系统中受到信息安全因素影响的信息流内容包括：a)系统状态参数输入；b)控制器状态参数的输入；c)环境因素的输入；d)输出结果及输出(控制)对象；e)反馈结果及反馈对象。以列车停站开门控制为例，需要考虑会否基于信息通讯的原因，传感器提供的参数与现实运行状态不符的情况。

图1中所示，步骤三中，不安全控制的分类包括：a)安全约束没有被正确分配，或相应的实现安全约束的控制过程方法没有被正确实现；b)安全约束被正确分配，但是控制器的执行违背了安全约束；其中在安全约束被正确分配，但是控制器执行违背了安全约束的情况包括：a)控制指令错误；b)控制指令未被发出；c)控制指令正确发出，但是指令的发出过早或过晚；d)控制指令正确发出，但是指令的停止过早或过晚；e)控制指令正确发出，但是控制规则或过程方法错误引起控制行为错误；f)控制指令正确发出，但是控制规则或过程方法错误引起控制行为未执行。步骤四中，不安全控制的来源包括：a)控制回路的单个组件；b)控制回路的多个组件间的冲突或交互；c)系统设计(如降级、冗余、检测)的不充分或不恰当；d)环境因素干扰(如电磁干扰)未被排除等。

结合步骤一、二、三、四情况的考虑，可以得出基于STPA模型的功能安全融合信息安全的验证表。下表表示轨道交通中列车车门控制系统的开门控制命令的危害分析表，其中信息安全因素的考量被着重标色：

本发明结合STAMP模型，根据系统理论过程分析(STPA)方法建立了车辆电子功能安全约束、控制结构和控制系统过程模型；充分考虑了信息安全因素对车辆电子安全控制结构和车辆电子安全控制系统过程模型的影响，即由于信息系统通讯中受到阻断服务攻击、数据完整性攻击或外部电磁干扰等造成的信号传输异常等导致安全约束的违背对功能安全的影响；对车辆电子安全约束、危害事件、控制结构、控制系统过程模型和信息安全影响进行组合分析，将危害事件的发生看成是不安全控制的结果，而不仅仅是由组件或车辆电子安全系统故障引起，并能识别所有不安全控制(违背安全约束的控制命令)的分类并确定导致这些不安全控制发生的原因是来源于单个组件、多个组件之间的相关交互或者是车辆电子安全系统设计缺陷等，由此提高了现STAMP模型对信息安全影响因素进行分析处理效果，进而提高了车辆电子安全系统的功能安全。基于上述，本发明具有好的应用前景。

以上显示和描述了本发明的基本原理和主要特征及本发明的优点，对于本领域技术人员而言，显然本发明限于上述示范性实施例的细节，而且在不背离本发明的精神或基本特征的情况下，能够以其他的具体形式实现本发明。因此，无论从哪一点来看，均应将实施例看作是示范性的，而且是非限制性的，本发明的范围由所附权利要求而不是上述说明限定，因此旨在将落在权利要求的等同要件的含义和范围内的所有变化囊括在本发明内。

此外，应当理解，虽然本说明书按照实施方式加以描述，但并非每个实施方式仅包含一个独立的技术方案，说明书的这种叙述方式仅仅是为清楚起见，本领域技术人员应当将说明书作为一个整体，各实施例中的技术方案也可以经适当组合，形成本领域技术人员可以理解的其他实施方式。

Claims

1.一种基于STPA模型的功能安全危害和信息安全威胁分析方法，其特征在于采用STPA模型作为基础，共分为四个步骤实现了STAMP模型对信息安全影响因素处理效果的完善，步骤一：根据STPA模型建立安全约束、控制结构和过程模型；步骤二：考虑信息安全因素对控制结构和过程模型的影响；步骤三：结合述步骤一、二中对安全约束、危害事件、过程控制和信息安全影响的结果，将危害事件的发生看成是不安全控制的结果，而不仅仅是由组件或系统故障所引起，对所有可能的情况进行组合分析，识别所有不安全控制的分类；步骤四：对于每个不安全控制的指令或行为，结合步骤一、二中对安全约束、危害事件、过程控制和信息安全影响的结果，检查是否由控制回路的单个组件导致、或者由多个组件间的冲突或交互导致、又或由系统设计的不充分或不恰当所导致，以确定不安全控制的来源；步骤一中，a)安全约束用以确定控制的状态，违反安全约束将导致危害事件的发生；反之危害事件的发生一定源于某些安全约束被违反，在系统和产品设计开发过程中，安全约束被逐步精化，向下层分解；b)建立层级控制结构系统，上层的控制系统对下层进行控制，并在层级间实现安全约束的向下传递和向上反馈，通过明确控制结构可以实现对安全约束自上而下的细化并分配至控制组件、追溯控制命令的发出与执行以及相应的安全约束的传递和反馈；c)建立过程模型，描述系统的运行状态、控制规则和相应控制过程方，控制层的每一层级都需具有相应的过程模型，以便分析不安全控制来源，控制器过程模型中的可能的违背安全约束的因素包括控制指令错误、控制指令未发出、控制指令发出过早或过晚、控制指令停止过早或过晚和控制规则或过程方法错误引起的控制行为不当；步骤二中，考虑信息安全因素对控制结构和过程模型的影响，即由于信息系统通讯中受到阻断服务攻击、数据完整性攻击或外部电磁干扰造成的信号传输异常导致安全约束的违背对功能安全的影响，信息系统中受到信息安全因素影响的信息流内容包括：a)系统状态参数输入；b)控制器状态参数的输入；c)环境因素的输入；d)输出结果及输出、控制对象；e)反馈结果及反馈对象；步骤三中，不安全控制的分类包括：a)安全约束没有被正确分配，或相应的实现安全约束的控制过程方法没有被正确实现；b)安全约束被正确分配，但是控制器的执行违背了安全约束；其中在安全约束被正确分配，但是控制器执行违背了安全约束的情况包括：1)控制指令错误；2)控制指令未被发出；3)控制指令正确发出，但是指令的发出过早或过晚；4)控制指令正确发出，但是指令的停止过早或过晚；5)控制指令正确发出，但是控制规则或过程方法错误引起控制行为错误；6)控制指令正确发出，但是控制规则或过程方法错误引起控制行为未执行；步骤四中，不安全控制的来源包括：a)控制回路的单个组件；b)控制回路的多个组件间的冲突或交互；c)系统设计的不充分或不恰当；d)环境因素干扰未被排除。