CN113031934A - 一种用于形式化验证的联锁数据安全转换方法及翻译器 - Google Patents

Abstract

一种用于形式化验证的联锁数据安全转换方法及翻译器，采用不同的编程方法和编程语言开发两个具有相同功能的翻译器，所述翻译器的输入文件至少包含：联锁数据中的联锁信息表、设备接口信息表、站场描述数据和联锁布尔逻辑数据，比较两个翻译器的输出文件的一致性来实现对过程失效的检测，从而保证数据的安全转换。本发明无需对每个车站进行专门的形式化开发，降低了技术成本和设计风险，安全性高，兼容性好，通用性强，应用范围广。

Description

一种用于形式化验证的联锁数据安全转换方法及翻译器

技术领域

本发明涉及一种用于形式化验证的联锁数据安全转换方法及翻译器。

背景技术

联锁系统是轨道交通信号系统中保证列车行车安全的核心设备，用来实现选排进路、开放信号、扳动道岔等功能，联锁系统的失效可能导致列车脱轨、追尾等事故，直接影响铁路运输作业安全。联锁系统中，联锁数据是实现特定车站联锁逻辑功能的载体，联锁数据设计错误会直接导致联锁功能的失效。因此，通过验证联锁逻辑是否满足安全需求，即对联锁数据进行安全校验和和确认，是保证联锁系统安全运行的必要环节。然而，由于联锁系统逻辑庞大复杂且功能模块间耦合众多，且存在各种各样现场应用的特殊功能场景，这些因素都使得对联锁数据的安全验证和确认存在很大的挑战。对此，传统的通过人工测试的数据验证过程已经难以覆盖联锁系统有的应用场景，存在潜在的错误数据通道无法被测试到，这样的数据发布到现场将面临潜在的安全风险。

发明内容

本发明的目的在于提供一种用于形式化验证的联锁数据安全转换方法及翻译器，无需对每个车站进行专门的形式化开发，降低了技术成本和设计风险，安全性高，兼容性好，通用性强，应用范围广。

为了达到上述目的，本发明提供一种翻译器，翻译器将输入文件转换为可以被形式化验证工具所识别的格式文件。

所述翻译器识别输入文件中的表头关键词，根据转换规则将每个关键词所关联的变量类型进行转换，并将转换后的数据重新排列，生成可以被形式化验证工具所识别的格式文件。

所述转换规则为：

对于整数类型I，输入数据是整数、空值，或NA，翻译器将整数转化为整数，将空值或NA转化为null；

对于布尔类型B，输入数据是1、0、Y、N、空值、或NA，翻译器将1、Y转化为true，将0、N转化为false，将空值和NA转化为null；

对于文本类型T，输入数据是任意字符串、空值、或NA，翻译器将字符串原样输出，空值和NA转化为null；

对于表单类型L，输入数据是任意字符串，翻译器将表格中的数据用“，”隔开，对于空表格，输出”[]”。

所述重新排列方法包含：按照输入数据原来的顺序排列，识别输入数据中的空值或NA，改写为null，实现重新排列。

本发明还提供一种用于形式化验证的联锁数据安全转换方法，采用不同的编程方法和编程语言开发两个具有相同功能的翻译器，所述翻译器的输入文件至少包含：联锁数据中的联锁信息表、设备接口信息表、站场描述数据和联锁布尔逻辑数据，比较两个翻译器的输出文件的一致性来实现对过程失效的检测，从而保证数据的安全转换。

所述翻译器将联锁信息表和设备接口信息表转换为LCF格式文件。

所述翻译器将站场描述数据转换为LCF格式文件。

所述翻译器将联锁布尔逻辑数据转换为HLL格式文件。

所述翻译器将联锁信息表中的中文/英文标点符号、所有字符及汉字统一转换为英文标点符号。

所述翻译器读取联锁信息表中的道岔位置信息，在生成的LCF格式文件中，对道岔的定位和反位有单独的转换描述进行区分；

所述翻译器读取联锁信息表中的区段的侵限条件，并在生成的LCF格式文件中，有单独的转换描述进行区分；

所述翻译器读取联锁信息表中的敌对进路和对应的敌对进路类型，并在生成的LCF格式文件中，有单独的转换描述进行区分。

所述翻译器识别输入数据的道岔位置信息，并在生成的LCF格式文件中，对道岔位置定位和反位、道岔为进路内道岔、防护道岔、带动道岔应有单独的转换描述进行区分；

所述翻译器识别输入数据的区段状态信息，并在生成的LCF格式文件中，区分进路内区段、进路外侵限区段，以及条件侵限区段的侵限条件。

本发明具有以下有益效果：

1、通用性强，应用范围广。对于不同车站使用的特定联锁数据，都可以通过该技术进行批量数据转换，再结合通用的形式化安全需求和对象模型，实现对联锁数据的形式化验证。无需对每个特定车站专门进行形式化开发，从而避免了重复开发过程带来的技术成本和风险。

2、安全性高。该技术采纳欧洲铁路安全标准EN50128对于T3类工具软件的要求，使用不同编程语言的两个翻译器来实现，从而使每个翻译器运行过程中发生的随机失效，都可以通过最终比较两个翻译器输出数据的一致性进行检测。同时避免了重新对联锁规则进行形式化开发，从而降低了引入设计缺陷的风险。

3、兼容性高。该技术可兼容以.xls或.xlsx不同格式保存的联锁信息表文件，可识别输入文件中的中文和英文标点符号，以增加软件的可用性，并进行统一处理。

4、引入LCF文件和HLL格式文件。LCF格式是基于jason的结构化数据格式，具有所见即所得，适用于搜索和历史版本比较的特点。HLL格式是一种高级的形式化语言格式，具有丰富的语言特征和数据类型。

附图说明

图1是本发明实施例中的联锁信息表和设备接口信息表的转换流程图。

图2是本发明实施例中的站场描述数据的转换流程图。

图3是本发明实施例中的联锁布尔逻辑数据的转换流程图。

具体实施方式

以下根据图1～图3，具体说明本发明的较佳实施例。

联锁数据是联锁系统中联锁关系和功能描述的逻辑集合。设计人员根据不同的使用场景，总结出联锁需求设计来反映信号设备之间的制约关系，形成需求设计。在需求设计的基础上，使用“与”“或”“非”等逻辑运算符，将这些制约关系整理为具有联锁意义的布尔BOOL表达式，即通用联锁规则。在特定车站，数据制作人员根据特定车站实际信号设备名称和属性，以及设备之间的位置关系等，通过配置和联锁逻辑生成工具结合，将通用联锁规则进行实例化(即将实际设备与通用联锁规则中的变量相关联)，生成特定联锁数据。

形式化验证是一种采用严密的数学语言定义系统的安全需求规范，通过形式化语言建立对象模型和安全需求规约，使用模型检测的方法遍历模型，以验证模型完全遵守安全需求规约。这种验证方法有自动化程度高，覆盖场景全等优势。因此，使用形式化方法对联锁数据进行安全验证，是防止联锁数据对应模型发生安全逃逸的一种有效手段。

对特定联锁数据进行验证，即是验证将特定联锁数据代入实际使用场景是否存在引起危害，如列车脱轨和碰撞等情况的发生。常规的形式化验证，需要在形式化开发的基础上进行，也就是在需求设计阶段就开始使用形式化语言开发。但是，对于已经在现场使用的联锁数据来说，重新进行形式化开发所需要的成本很高，且如此广泛的变更容易引入未知的设计缺陷，影响系统的安全性。

对联锁数据进行形式化验证，其中的关键环节是将特定应用联锁数据，转换为形式化验证软件可以识别的数据格式，从而将特定车站的联锁数据融入到形式化验证的模型中。由于这部分数据均为安全关键数据，数据转换过程出错将导致联锁数据的错误，因此数据转换过程必须采用合理的方法和工具，来保证正确性、一致性和完整性。

本发明提供一种用于形式化验证的联锁数据安全转换方法，采用双链开发方式，即，采用不同的编程方法和编程语言开发两个具有相同功能的翻译器。这么做的目的是能够使任意翻译器的计算错误，都可以通过比较两个翻译器的输出文件的一致性来检测到。因为正常情况下，两个翻译器的输出应该是相同的。所述翻译器可以将联锁数据中的联锁信息表、设备接口信息表、站场描述数据和联锁布尔逻辑数据转换为可以被形式化验证工具所识别的格式文件，即，HLL格式文件和LCF格式文件。最终通过比较两个翻译器的输出文件的一致性来实现对过程失效的检测，从而保证数据的安全转换。在将特定联锁数据转换为形式化验证工具可识别的数据格式后，再配合使用形式化语言描述的通用联锁安全需求和对象模型，使安全需求中的参数与特定联锁数据中的设备和属性相关联，从而完成模型的实例化过程，最终实现特定联锁数据的形式化验证。

在本发明的一个实施例中，分别使用不同的编程语言开发翻译器，分别命名为翻译器1和翻译器2，考虑双链软件的差异化，和模块化及面向对象结构的编程，翻译器1使用OCaml编程语言开发，翻译器2使用Python编程语言开发。翻译器1和翻译器2使用相同的联锁数据作为输入，并通过独立运行，各自输出目标文件。通过识别联锁数据的站号，判断不同输入文件中的站号一致，开始联锁数据的格式转换。翻译器的输入是“连锁信息表”、“设备接口信息表”、“站场描述数据”、“联锁布尔逻辑数据”等文件，这些文件中定义了车站联锁数据填写的模板，比如文件表头中规定信号机类型，数量，名称等，不同车站根据具体情况，根据表头的规定，在文件相应位置中填写特定数据(特定数据指的是某一车站所实际使用的联锁数据，特定数据是通过将“通用联锁规则”，结合车站的实际设备属性和设备布局，进行实例化以后获得的数据)，因此，虽然不同车站的联锁数据不同，但是翻译器可以根据上述文件中表头的关键词，检索到相应的信息，达到具有通用性的效果。

通过在翻译器中编写判断条件，识别输入文件中的表头关键词，从而检索特定车站的相应数据，如，设备属性，设备位置信息等，然后将这些信息重新排列，最终组成“形式化验证软件”可以识别的格式文件(HLL文件和LCF文件)，并最终输出。

具体来说，首先，判断输入文件中的表头关键词，每个关键词关联一个此类数据的变量类型(I：整数型；B：布尔型；T：文本型；L：表单型)，其中，对于整数类型I，输入数据可以是整数、空值，或NA，翻译器将整数转化为整数，将空值或NA转化为null；对于布尔类型B，输入数据可以是1、0、Y、N、空值、或NA，翻译器将1、Y转化为true，将0、N转化为false，将空值和NA转化为null；对于文本类型T，输入数据可以是任意字符串、空值、或NA，翻译器将字符串原样输出，空值和NA转化为null；对于表单类型L，输入数据可以是任意字符串，翻译器将表单中的数据用“，”隔开，对于空表格，输出”[]”。

按照输入数据原来的顺序排列，识别输入数据中的空值或NA等关键词，改写为null，实现重新排列。

通过比较翻译器1和翻译器2的输出文件的一致性，实现对转换过程中的软件失效的检测，提高了转换的安全性。

如图1所示，在本发明的一个实施例中，将联锁信息表(excel)和设备接口信息表(excel)转换为.lcf格式文件，得到联锁信息表.lcf和设备接口信息表.lcf文件。可以识别联锁信息表中的中文/英文标点符号、所有字符及汉字，如：逗号”，”，冒号”：”，圆括号”()”，中划线”-”，”@”，并在生成的.lcf文件中统一转换为英文标点符号。同时，可以读取联锁信息表中的道岔位置信息，并在生成的.lcf文件中，对道岔的定位和反位有单独的转换描述进行区分。可以读取联锁信息表中的区段的侵限条件，并在生成的.lcf文件中，有单独的转换描述进行区分。可以读取联锁信息表中的敌对进路和对应的敌对进路类型，并在生成的.lcf文件中，有单独的转换描述进行区分。

以下对图1中的各步骤进行详细的描述：

在步骤S101中，准备输入联锁信息表和设备接口信息表，设备接口信息表可以包含无线闭塞中心、列车控制中心、码位信息；输入文件以excel表的格式保存，可以兼容.xls和.xlsx两种不同的格式；

在步骤S102中，将输入文件的excel表格转为.csv格式，以作为步骤S103中翻译器1的输入使用；

在步骤S103中，使用翻译器1和翻译器2，选中相应的输入文件路径，并各自运行数据转换功能；

在步骤S104中，翻译器1和翻译器2均输出联锁信息表.lcf文件和设备接口信息表.lcf文件；输出文件以不同文件名命名，以区分使用不同的翻译器获得；

在步骤S105中，比较翻译器1和翻译器2的输出文件是否完全一致；如果完全一致，则进入步骤S106，输出联锁信息表.lcf文件和设备接口信息表.lcf文件；如果不一致，则没有文件输出，并进入步骤S107报告错误信息，用以对输入文件进行校验。

如图2所示，在本发明的一个实施例中，将站场描述数据转换为.lcf格式文件，得到站场描述数据.lcf文件，以及可用于支持形式化验证和形式化测试的站场拓扑结构图。能够识别输入数据的道岔位置信息，对道岔位置定位和反位、道岔为进路内道岔、防护道岔、带动道岔应有单独的转换描述进行区分，并在生成的.lcf文件中记录。能够识别输入数据的区段状态信息，区分进路内区段、进路外侵限区段，以及条件侵限区段的侵限条件，并在生成的.lcf文件中记录。

另外，在实现站场描述数据转换的过程中，可以根据输入文件中设备间的连接属性自动生成完整的站场拓扑结构图。其中，输入文件中的虚拟信号机设备可以被识别，并以专用的虚拟信号机图形绘制在布局图中；能够在所绘制的布局图中自动添加绝缘节；能够识别输入文件中描述的检查点设备，并根据检查点设备的subtype类型，在布局图中绘制相应的无延续进路检查点、运行方向检查点和防护道岔Bool检查点。本发明将站场描述数据文件转化为.lcf格式文件，形式化验证工具通过读取这个.lcf格式文件，可以直接生成站场拓扑结构图，从而省去了手动绘制结构图的工作。其实现过程是：首先，输入文件“站场描述数据”包含每个设备的编号、属性、位置坐标，前一个设备(pre)的编号、后一个设备(next)的编号等信息，输出的.lcf格式文件，包含每个设备名称，对应的节点位置(node)，节点之间的连线(edge)，翻译器读取输入文件的位置坐标写入node，读取前后设备的编号写入edge，确立设备间的连线和方向，最后，形式化验证工具可通过读取上述信息完成站场图绘制。

以下对图2中的各步骤进行详细的描述：

在步骤S201中，准备输入站场描述数据，其中包含了普通进路、长进路、信号设备、道岔设备、区段设备、报警设备等车站内设备拓扑结构信息；

在步骤S202中，使用翻译器1和翻译器2，选中相应的输入文件路径，并运行数据转换功能；

在步骤S203中，翻译器1和翻译器2均输出站场描述数据.lcf文件，同时，翻译器2另外输出车站设备拓扑结构图；两个应用软件输出的站场描述数据.lcf文件以不同文件名命名，以区分使用不同的翻译器获得；

在步骤S204中，比较翻译器1和翻译器2的输出文件是否完全一致；如果完全一致，则进入步骤S205输出站场描述数据.lcf文件；如果不一致，则没有文件输出，同时进入步骤S206，报告错误信息，用以对输入文件进行校验。

如图3所示，在本发明的一个实施例中，将联锁布尔逻辑数据转换为.HLL格式文件，得到联锁布尔逻辑数据.HLL文件，从而验证联锁布尔逻辑数据是否能够满足所有联锁的安全需求。以下对图3中的各步骤进行详细的描述：

在步骤S301中，准备输入联锁布尔逻辑数据；

在步骤S302中，使用翻译器1和翻译器2，选中相应的输入文件路径，并各自运行数据转换功能；

在步骤S303中，翻译器1和翻译器2均输出联锁布尔逻辑数据.HLL文件；

在步骤S304中，比较翻译器1和翻译器2的输出文件是否完全一致；如果完全一致，则进入步骤S305输出联锁布尔逻辑数据.HLL文件；如果不一致，则没有文件输出，并进入步骤S306报告错误信息，用以对输入文件进行校验。

在本发明的实施例中，可以分别执行将联锁信息表(excel)和设备接口信息表(excel)转换为.lcf格式文件，将站场描述数据转换为.lcf格式文件，以及将联锁布尔逻辑数据转换为.HLL格式文件，或者将上述三种转换过程通过软件集成后运行。

与现有技术相比，本发明具有以下有益效果：

1、通用性强，应用范围广。对于不同车站使用的特定联锁数据，都可以通过该技术进行批量数据转换，再结合通用的形式化安全需求和对象模型，实现对联锁数据的形式化验证。无需对每个特定车站专门进行形式化开发，从而避免了重复开发过程带来的技术成本和风险。

2、安全性高。该技术采纳欧洲铁路安全标准EN50128对于T3类工具软件的要求，使用不同编程语言的两个翻译器来实现，从而使每个翻译器运行过程中发生的随机失效，都可以通过最终比较两个翻译器输出数据的一致性进行检测。同时避免了重新对联锁规则进行形式化开发，从而降低了引入设计缺陷的风险。

3、兼容性高。该技术可兼容以.xls或.xlsx不同格式保存的联锁信息表文件，可识别输入文件中的中文和英文标点符号，以增加软件的可用性，并进行统一处理。

4、引入LCF文件和HLL格式文件。LCF格式是基于jason的结构化数据格式，具有所见即所得，适用于搜索和历史版本比较的特点。HLL格式是一种高级的形式化语言格式，具有丰富的语言特征和数据类型。

需要说明的是，在本发明的实施例中，术语“中心”、“纵向”、“横向”、“长度”、“宽度”、“厚度”、“上”、“下”、“前”、“后”、“左”、“右”、“竖直”、“水平”、“顶”、“底”“内”、“外”、“顺时针”、“逆时针”、“轴向”、“径向”、“周向”等指示的方位或位置关系为基于附图所示的方位或位置关系，仅是为了便于描述实施例，而不是指示或暗示所指的装置或元件必须具有特定的方位、以特定的方位构造和操作，因此不能理解为对本发明的限制。此外，术语“第一”、“第二”、“第三”仅用于描述目的，而不能理解为指示或暗示相对重要性。

在本发明中，除非另有明确的规定和限定，术语“安装”、“相连”、“连接”、“固定”等术语应做广义理解，例如，可以是固定连接，也可以是可拆卸连接，或成一体；可以是机械连接，也可以是电连接；可以是直接相连，也可以通过中间媒介间接相连，可以是两个元件内部的连通或两个元件的相互作用关系。对于本领域的普通技术人员而言，可以根据具体情况理解上述术语在本发明中的具体含义。

尽管本发明的内容已经通过上述优选实施例作了详细介绍，但应当认识到上述的描述不应被认为是对本发明的限制。在本领域技术人员阅读了上述内容后，对于本发明的多种修改和替代都将是显而易见的。因此，本发明的保护范围应由所附的权利要求来限定。

Claims (11)

1.一种翻译器，其特征在于，翻译器将输入文件转换为可以被形式化验证工具所识别的格式文件。

2.如权利要求1所述的翻译器，其特征在于，所述翻译器识别输入文件中的表头关键词，根据转换规则将每个关键词所关联的变量类型进行转换，并将转换后的数据重新排列，生成可以被形式化验证工具所识别的格式文件。

3.如权利要求2所述的翻译器，其特征在于，所述转换规则为：

对于整数类型I，输入数据是整数、空值，或NA，翻译器将整数转化为整数，将空值或NA转化为null；

对于布尔类型B，输入数据是1、0、Y、N、空值、或NA，翻译器将1、Y转化为true，将0、N转化为false，将空值和NA转化为null；

对于文本类型T，输入数据是任意字符串、空值、或NA，翻译器将字符串原样输出，空值和NA转化为null；

对于表单类型L，输入数据是任意字符串，翻译器将表格中的数据用“，”隔开，对于空表格，输出”[]”。

4.如权利要求3所述的翻译器，其特征在于，所述重新排列方法包含：按照输入数据原来的顺序排列，识别输入数据中的空值或NA，改写为null，实现重新排列。

5.一种用于形式化验证的联锁数据安全转换方法，其特征在于，采用不同的编程方法和编程语言开发两个具有相同功能的如权利要求1-4中任意一项所述的翻译器，所述翻译器的输入文件至少包含：联锁数据中的联锁信息表、设备接口信息表、站场描述数据和联锁布尔逻辑数据，比较两个翻译器的输出文件的一致性来实现对过程失效的检测，从而保证数据的安全转换。

6.如权利要求5所述的用于形式化验证的联锁数据安全转换方法，其特征在于，所述翻译器将联锁信息表和设备接口信息表转换为LCF格式文件。

7.如权利要求5所述的用于形式化验证的联锁数据安全转换方法，其特征在于，所述翻译器将站场描述数据转换为LCF格式文件。

8.如权利要求5所述的用于形式化验证的联锁数据安全转换方法，其特征在于，所述翻译器将联锁布尔逻辑数据转换为HLL格式文件。

9.如权利要求6所述的用于形式化验证的联锁数据安全转换方法，其特征在于，所述翻译器将联锁信息表中的中文/英文标点符号、所有字符及汉字统一转换为英文标点符号。

10.如权利要求6所述的用于形式化验证的联锁数据安全转换方法，其特征在于，所述翻译器读取联锁信息表中的道岔位置信息，在生成的LCF格式文件中，对道岔的定位和反位有单独的转换描述进行区分；

所述翻译器读取联锁信息表中的区段的侵限条件，并在生成的LCF格式文件中，有单独的转换描述进行区分；

所述翻译器读取联锁信息表中的敌对进路和对应的敌对进路类型，并在生成的LCF格式文件中，有单独的转换描述进行区分。

11.如权利要求7所述的用于形式化验证的联锁数据安全转换方法，其特征在于，所述翻译器识别输入数据的道岔位置信息，并在生成的LCF格式文件中，对道岔位置定位和反位、道岔为进路内道岔、防护道岔、带动道岔应有单独的转换描述进行区分；

所述翻译器识别输入数据的区段状态信息，并在生成的LCF格式文件中，区分进路内区段、进路外侵限区段，以及条件侵限区段的侵限条件。

Images