面向轨道交通的功能与信息安全一体化分析系统及方法与流程

本发明涉及轨道交通控制领域，尤其涉及一种面向轨道交通的功能与信息安全一体化分析系统及方法。

背景技术：

1、目前，轨道交通领域的列车运行控制系统(列控系统)安全评估实践中，存在一个亟待解决的关键技术问题：功能安全与信息安全的分析流程相互分离，难以形成统一的整体风险视图。功能安全侧通常遵循 en 50126/50129、iec 61508 等标准，以防范人身伤害、设备损坏和运行中断为核心；而信息安全侧则依据 ts 50701、gb/t 20984、iso/iec 27005等标准，聚焦于网络攻击、数据泄露等风险的机密性、完整性、可用性和合规性评估。由于缺乏统一的损失定义和风险等级体系，两套分析在模型、参数和结果上难以直接对接，无法在同一张风险矩阵上综合呈现“功能安全+信息安全”的总体风险水平，也难以在设计加固方案时同时兼顾两类安全需求。

2、在现有的安全分析技术中，基于系统理论的过程分析(system-theoreticprocess analysis‌，stpa)方法被视为分析复杂控制系统的有效工具。该方法将系统抽象为“控制器—被控过程—执行器—反馈”的闭环结构，从系统层面分析不安全控制行为及其致因场景，尤其适用于现代高度软件化、网络化的列控系统。已有研究和实践(包括使用pasta插件进行建模)尝试应用stpa来分析列控系统，例如，围绕rbc、、车载设备等构建控制结构，并枚举诸如错误下发、延迟或过早发出指令等不安全控制行为及其可能的致因。这些方法为解决纯硬件故障分析方法覆盖不全的问题提供了系统化思路。

3、然而，现有技术方案存在显著不足。首先，‌功能安全与信息安全通常被分割为两套独立的分析流程‌，导致很难在同一框架下评估网络攻击等因素如何引发功能失效，或量化其综合影响。其次，‌现有stpa分析严重依赖专家手工操作‌，从控制结构抽象、不安全控制行为识别到大量致因场景的穷举和可能性评估，都需专家逐条手工推演。这不仅工作负担极重、周期长，而且易因人力局限和记忆偏差导致场景遗漏、重复建模及风险评估口径不一致，分析结果的可复制性和可追溯性不足。最后，从工程应用看，模型与报告往往分散在不同文档中，难以同步更新和保持一致。

4、综上所述，针对复杂列控系统，亟需一种能够实现‌功能安全与信息安全一体化评估‌、并能‌大幅减轻专家重复性工作负担‌的新型分析方法与技术工具。理想方案应能在统一的风险口径下进行联合建模与自动化分析，提升安全评估的整体效率、一致性和可追溯性。

技术实现思路

1、为了克服现有技术的缺陷，本发明提供了一个统一的、自动化的分析框架，以同时评估列控系统的功能安全与信息安全风险，并显著降低安全专家的重复性工作负担，提升分析的一致性、效率和可追溯性。

2、本发明采用的技术方案具体如下：

3、本发明的第一方面，提供了一种面向轨道交通的功能与信息安全一体化分析系统，所述系统包括：

4、‌输入与建模层‌，用于约束并采集列控系统的控制结构、不可接受损失、危险、过程模型信息以及可选参考输入的描述，其中可选参考输入‌包括关联的设计文档、适用技术标准及历史统计数据中的一种或多种；

5、‌大模型生成层‌，用于基于所述输入与建模层提供的输入信息，调用大语言模型以自动生成符合stpa/pasta语法规则的stpa模型文件，并生成不安全控制动作及多个致因场景，并为每个致因场景提供可能性等级及相关危险估计；

6、语法与一致性校验层，用于对所述大模型生成层输出的stpa模型文件进行语法格式与模型元素引用一致性的自动化校验；

7、‌风险评估与最小加固层‌，用于基于校验后的致因场景及其关联的可能性等级与损失严重度，进行统一的综合风险评估，并通过集合覆盖算法求解满足预设风险目标的、同时覆盖功能安全和信息安全风险的最小加固措施集合；

8、‌报告与可视化输出层‌，用于基于所述风险评估与最小加固层的计算结果，自动生成包含统一风险矩阵、致因场景列表及加固方案的分析报告及可视化图表；

9、专家审阅层，用于提供对所述大模型生成层生成的中间结果进行人工审阅、修正并将修正结果反馈至所述语法与一致性校验层，以形成分析闭环。

10、具体的，所述输入与建模层包括：

11、‌系统输入模板模块‌，用于引导定义所述列控系统的整体概述、功能安全与信息安全的不可接受损失及其严重度等级、由所述损失推导出的涉及功能安全与信息安全的系统级危险，以及控制结构和过程模型的关键状态；

12、控制结构建模模块，用于根据专家输入构建所述列控系统的控制结构模型，该模型至少包括控制器、被控对象、通信通道及在其中传递的控制信息和反馈信息。

13、具体的，所述大模型生成层包括：

14、‌stpa骨架生成模块‌，用于基于所述输入与建模层提供的信息，自动生成包含损失、危险、系统约束和控制结构的初始stpa模型文件；

15、‌不安全控制行为生成模块‌，用于针对所构建控制结构中的每个控制动作，自动枚举并生成四类不安全控制动作，所述四类不安全控制行为包括：未提供、误提供、时序错误以及停止时间错误；

16、‌致因场景与可能性生成模块‌，用于针对每条生成的不安全控制动作生成多条致因场景，并结合输入的可选辅助知识自动为每个生成的致因场景评估标注可能性等级和相关危险，所述可选辅助知识包括一般工业系统的经验规律以及输入层可选提供的设计文档、技术标准、历史统计事故数据或专家先验估计中的一种或多种。

17、进一步的，所述致因场景与可能性生成模块对可能性等级的估计，是基于对致因场景类型的判定，并选择对应的分析模型进行量化计算；所述分析模型包括用于恶意攻击的逻辑谓词链模型、用于非人为随机因素引发系统组件失效的指数分布模型、用于人为失误的人类可靠性分析模型、以及用于环境因素的条件概率模型中的至少一种。

18、具体的，所述语法与一致性校验层包括：

19、‌语法检查模块，用于检查所述stpa模型文件中各要素的格式是否符合预定语法规范；

20、一致性检查模块，用于检查所述stpa模型文件中各要素之间的引用关系是否正确且一致。

21、具体的，所述风险评估与最小加固层包括：

22、可能性映射模块，用于将每个致因场景的可能性等级映射至预设的频率区间，并结合与其关联的损失严重度，计算各场景对相应损失的风险贡献；

23、风险矩阵计算模块，用于针对每个损失类型，汇总所有相关致因场景的风险贡献，根据其中的最大可能性与严重度确定并生成统一的风险矩阵，其中，风险矩阵对功能安全与信息安全风险采用同一套风险等级标准进行呈现；

24、最小加固求解模块，用于依据预定义的“致因场景-加固措施”映射关系，并应用所述集合覆盖算法，求解在满足预设风险目标约束下的最小加固措施集合，其中，预设风险目标为使各个损失类型的风险等级不超过或不高于指定等级。

25、进一步的，所述最小加固求解模块被配置为输出至少一个包含最小加固措施集合及其对应的被覆盖与未覆盖致因场景列表的求解结果，以供专家审阅和决策。

26、具体的，所述报告与可视化输出层包括：

27、报告生成模块，用于根据分析过程与结果自动生成包含所述统一风险矩阵、致因场景详细列表、所求解的最小加固措施集合及其覆盖情况的文本分析报告，并可基于模板导出为多种格式；

28、可视化模块，用于根据分析结果数据生成至少一种可视化图表，用于展示风险分布、风险类型占比、加固措施实施前后的效果对比。

29、具体的，所述专家审阅层包括：

30、专家审阅模块，用于提供对所述大模型生成层生成的不安全控制动作、致因场景及其可能性等级、候选加固措施进行统一的人工审阅和修改的接口；

31、更新模块，用于根据所述专家审阅模块的修正结果，自动更新相关的stpa模型文件及中间分析文档，并触发所述语法与一致性校验层、风险评估与最小加固层重新执行相应流程，以实现分析结果的迭代优化。

32、进一步的，所述专家审阅模块提供的人工审阅包括以下操作的至少一种：

33、对自动生成的所述致因场景进行合并、删除或补充；

34、修正致因场景的可能性等级；

35、对初步关联的加固措施建议进行调整以对应到已有或计划中可行的工程实施措施。

36、本发明的第二方面，基于本发明第一方面同样的发明构思，还提供了一种面向轨道交通的功能与信息安全一体化分析方法，应用于本发明第一方面提供的一种面向轨道交通的功能与信息安全一体化分析系统，所述方法包括如下步骤：

37、s1、利用输入与建模层采集并结构化描述目标列控系统的控制结构、不可接受损失与严重度、危险、过程模型信息以及可选的参考输入；

38、s2、基于所述结构化描述信息，利用大模型生成层自动生成符合stpa/pasta语法规则的stpa模型文件，并生成不安全控制动作、致因场景及场景的可能性等级估计；

39、s3、利用语法与一致性校验层对所述stpa模型文件进行语法与引用一致性校验；

40、s4、利用风险评估与最小加固层，对校验后的致因场景结合其关联的可能性和损失严重度，进行功能安全与信息安全一体化的风险评估，并求解满足预设风险目标的最小加固措施集合；

41、s5、利用报告与可视化输出层，自动生成包含风险评估结果和加固方案的综合报告及可视化结果；

42、s6、提供专家审阅与修正接口，基于专家反馈修正中间分析结果，并触发对受影响部分的重新校验与风险评估，形成闭环分析流程。

43、具体的，在步骤s2中：

44、所述生成可能性等级估计，是基于对致因场景类型的判定，并选择对应的分析模型进行量化计算；其中，分析模型包括用于恶意攻击的逻辑谓词链模型、用于非人为随机因素引发系统组件失效的指数分布模型、用于人为失误的人类可靠性分析模型、以及用于环境因素的条件概率模型中的至少一种。

45、具体的，在步骤s4中：

46、所述风险评估具体是针对每条致因场景，根据其关联的损失严重度及其可能性等级计算风险贡献，并按每一损失类型下所有相关致因场景的最大可能性与对应的严重度确定该损失类型的聚合风险等级；

47、所述求解满足预设风险目标的最小加固措施集合，是由专家事先为部分场景或场景类型定义候选加固措施，并根据“致因场景-加固措施”的映射关系，通过求解集合覆盖问题，得到使所有损失类型的风险等级均不高于预设阈值的最小措施集合。

48、与现有技术相比，本发明的有益效果在于：

49、‌1、实现一体化的安全风险视图‌：通过‌统一的功能与信息安全损失定义体系‌和整合的分析流程，解决了长期以来两类安全分析“两张皮”的问题，首次能够在同一个风险矩阵中综合呈现网络攻击、系统失效、人员操作失误等所有根源类型导致的风险，为决策提供了全面的技术依据。

50、‌2、大幅提升评估效率与减轻专家负担‌：利用大语言模型强大的知识理解与归纳能力，‌自动化‌地完成了stpa模型构建、不安全控制行为枚举以及广泛致因场景的生成与初步评级等原本高度依赖专家经验、耗时费力的环节，显著缩短了分析周期，同时‌最大限度降低了人为疏漏和偏差‌。

51、3、‌保障分析过程的一致性和可追溯性‌：通过‌严格的结构化输入约束、语法与逻辑一致性自动校验‌，确保了从模型构建、风险分析到报告生成全链条的‌规范性、一致性及可追溯性‌，使得评估结果更具客观性和权威性。

52、‌4、提供最优决策的工程指导‌：系统不仅能识别风险，还能基于“场景-措施”映射，‌智能化求解在满足目标风险约束下的最小加固措施集合‌，使加固决策从定性走向定量，兼顾了安全性与经济性，为最优安全工程资源配置提供了直接的决策支持。

53、‌5、实现高质量的人机协同闭环‌：设计了‌专家审阅与反馈模块‌，在自动化分析全流程的关键节点，允许安全专家对生成内容（如致因场景、可能性评级、加固措施）进行复核、修正与确认，确保机器智能产出符合专业预期，形成了‌“自动化生成-专家校验-模型迭代优化”的良性反馈闭环‌，保证了分析结果的实用性和可靠性。

54、本发明的其它特征和优点将在随后的说明书中阐述，并且，部分地从说明书中变得显而易见，或者通过实施本发明而了解。本发明的目的和其他优点可通过在说明书、权利要求书以及附图中所指出的结构来实现和获得。