工业控制安全研究综述

第33卷第2期 2010年2月

合肥工业大学学报(

自然科学版)

JOU RN A L OF HEF EI U NI VERSIT Y O F T ECH NO L OG Y

Vo l.33No.2 Feb.2010

收稿日期:2009-11-05

基金项目:国家自然科学基金资助项目(60873003);高等学校博士点专项基金新教师基金资助项目(200803591025)作者简介:韩江洪(1954-),男,安徽泾县人,合肥工业大学教授,博士生导师;

刘晓平(1964-),男,山东济南人,博士,合肥工业大学教授,博士生导师;唐 昊(1972-),男,安徽庐江人,博士,合肥工业大学教授,硕士生导师;张建军(1963-),男,浙江宁波人,博士,合肥工业大学教授,硕士生导师.

工业控制安全研究综述

韩江洪1,2

, 刘征宇1,3

, 刘晓平1,2

, 唐 昊1,2

, 张建军

1,2

(1.合肥工业大学安全关键工业测控技术教育部工程研究中心,安徽合肥 230009;2.合肥工业大学计算机与信息学院,安徽合肥

230009;3.合肥工业大学机械与汽车工程学院,安徽合肥 230009)

摘 要:工业控制的安全性是系统全生命周期内始终需要关注的重要指标。文章首先给出与安全性密切相关的重要概念的定义,并阐述了其中容易混淆的若干关键概念的区别;其次对工业控制安全中的主要科学问题,包括安全性设计和安全性评估的主要研究内容与发展现状进行了叙述;最后进行总结,并对工业控制安全未来的发展方向进行了展望。

关键词:控制安全;安全性设计;安全性评估

中图分类号:T P30218 文献标识码:A 文章编号:1003-5060(2010)02-0161-09

Survey of industrial control safety

H AN Jiang -ho ng 1,2, LIU Zheng -yu 1,3, LIU Xiao -ping 1,2, T ANG H ao 1,2, ZH ANG Jian -jun 1,2

(1.Engin eer ing Res earch Center of Safety Critical Industrial M easu rem ent and Con trol T echnology of M in istry of Edu cation,Hefei U n-i vers ity of T echnology,Hefei 230009,Ch ina; 2.Sch ool of Computer an d In formation,H efei U nivers ity of T ech nology,H efei 230009,Chin a; 3.Sch ool of M ach inery and Au tom obile Engineerin g,H efei U niversity of T echnology,H efei 230009,China)

Abstract:Safety of industrial contro l is the key index w hich should be paid serious attention to during the w hole lifecycle of a sy stem.T his paper firstly presents a couple o f definitions closely related to the safety ,and elabor ates the differences betw een som e v ital o nes of them,w hich are often confusing.And then a narr ation on the primary pr oblem s of industrial co ntro l safety,including safety desig n and assessm ent,is given in the paper.A conclusio n is draw n at the end o f the paper w ith the prospects o n the futur e tendency of the development of industrial contro l safety.Key words:contro l safety ;safety design;safety assessment

0 引 言

/安全0在各种场合被频繁提及,如食品安全、信息安全、交通安全及生产安全等,然而不同领域、不同学科、不同行业对安全的定义和理解不尽相同,有时甚至相差甚远。生产安全主要研究人类生产活动中涉及的各类安全性问题,在工业生产中,控制的安全性是主要研究的问题之一。工业控制安全主要研究如何降低工业控制系统的危险发生概率,从而避免或减少人员生命财产的损失和环境的污染。造成危险发生的原因主要包括:恶劣的工业现场环境、控制系统软硬件故障、设计缺陷、人员违规操作或误操作等。

工业控制安全事故,甚至灾难屡有发生,使得工业控制安全问题一直是人们关注的焦点。从20世纪70年代开始,欧美各国开始采用系统工程的理论来解决安全仪表系统(Safety Instru -mental System,简称SIS)的功能安全问题[1]

,在总结已有研究成果和实践经验的基础上,逐渐形成系统化的分析和设计方法。1992年CEN 发布

的EN954-1(2009年11月被ISO13849-1:2006替代)、1996年ISA发布的S84101和1998年IEC发布的IEC61508[2]是3个被公认的安全性国际标准,分别针对机械系统、流程工业SIS和电子电气系统,给出了系统设计应该符合的安全性规范以及安全性设计流程和方法,成为系统性解决工业控制安全问题的标志性成果。

中国航空学会、中国现场统计学会、中国兵工学会、中国机械工程学会、中国电子学会、中国宇航学会和中国仪器仪表学会7家单位共同发起召开ICRM S会议(Internatio nal Co nference on Re-liability,M aintainability and Safety),至今已举办七届,会议持续围绕可靠性、维修性及安全性进行了广泛和深入的讨论,成果颇丰;中国自动化学会技术过程故障诊断与安全性专业委员从1999年开始主办全国技术过程故障诊断与安全性学术会议,至今已举办5届,会议的宗旨是为控制领域的专家、学者、工程师及研究生提供一个关于故障诊断、可靠性、安全性理论与技术最新进展的交流、传播平台,研究范围主要包括状态监测与故障诊断、故障预测与预测维护、安全性分析、设计与评估等。

我国从20世纪80年代开始,陆续颁布了一系列行业安全标准,如核电、机械等。近年来,随着与国外技术交流的深入以及工业产品的进出口增多,我国也开始逐步吸纳适应范围更广、系统性更强的国际安全标准,如文献[3]就与文献[2]对应。

然而,工业生产中不断发生的事故,甚至灾难提醒研究人员和工程师们工业控制安全的研究成果还远未完善,原因来自2个方面:一方面,系统规模(Size)和复杂度(Co mplex ity)的持续增加,导致影响安全灾难风险的因素过多,同时系统的动力学特性也更加难以描述,使得风险分析的完备性和正确性无法保证,这意味着风险分析行为本身可能就是/不安全0的,需要提醒的是,人的因素还未加以考虑;另一方面,新技术的涌现速度持续加快,给系统安全带来新的研究课题,持续增加了研究人员的研究任务,如文献[2]第3部分给出JSD(Jackson System Developm ent)还是1983年提出的软件开发方法,在诸多方面早已不适应现在的软件开发要求。因此,工业控制安全研究还面临不小的挑战。

本文首先给出了几个与安全性密切相关的重要概念的定义,包括安全性、可靠性、故障、失效及危险等,为避免控制安全与其他科学问题混淆,特别阐述了若干关键概念的区别;其次对工业控制安全的研究内涵进行归纳,对主要的科学问题,包括安全灾难成因分析、安全性设计和安全性评估的主要研究内容与发展现状进行了叙述;最后进行总结,并对工业控制安全未来的发展方向进行了展望。

1概念与区别

111概念

以下概念的定义均参考文献[2]第4部分给出,不同标准中存在差异。

故障(Fault):导致功能单元的能力下降或者丧失的非正常情况。

失效(Failure):被赋予某种功能要求的功能单元无法再行使该功能。

危险(H azard):导致灾难的潜在因素。

风险(Risk):危害出现的概率以及严重程度的综合,可分为系统风险和随机风险。

可靠性(Reliability):系统在设计技术规范之内,能够完成预定功能的概率。

安全性(Safety):系统不发生造成人员生命财产损失或者环境污染危险的概率。

112概念的区别

(1)安全性和可靠性。安全性和可靠性均是一种概率,存在一定的联系。通常情况下,一个设计正确、可靠性高的系统安全性也高,当讨论安全保护系统如SIS时,安全性的核心内容就是如何提高该类系统的可靠性,因此控制安全和可靠性工程(Reliability Engineering)有着紧密的联系。两者的区别较明显,可靠性重点研究如何减小失效的次数和维持时间,而安全性考虑的则是失效带来的风险,如研究安全气囊能否在每次碰撞中都及时开启是一个可靠性问题,而研究是否安装安全气囊则是安全性需要考虑的问题。

(2)故障、失效与危险。从定义的文字上可以非常容易地给出故障、失效、差错和危险的区别,并且得出它们存在这样的因果关系:故障y失效y危险。

2研究内容与发展现状

工业控制安全是一门交叉型学科,涉及计算机、自动化、通信、管理、经济及行为科学等多个学科,同时,工业控制安全有着非常广泛的研究和应用背景,因此该学科的研究内容丰富,成果众多。

162合肥工业大学学报(自然科学版)第33卷

本文在进行危险分析的基础上,从安全性设计和评估2个最重要的理论与技术体系入手,对工业控制安全的主要研究内容与发展现状进行综述。211危险分析

为提高系统安全性,必须对产生灾难的原因,即危险进行系统、完整地分析。因此危险分析是进行安全性设计和安全性评估的前提。从实际角度看,造成灾难的原因可以归纳如下:

(1)系统故障,指系统1个或若干部件功能失效而导致危险的发生。

(2)外部环境异常,指系统工作环境发生异常,超出设计规范之外,从而导致系统安全灾难;如按七级抗震标准设计的建筑在遭遇八级地震时所面临的危险。

(3)人员错误操作和使用,指因操作人员违规操作或误操作而导致系统安全灾难。

(4)设计缺陷,指因设计不当造成系统结构性缺陷,从而导致系统安全灾难。

如果设计时考虑的外部环境变化范围足够大,且应对策略可以实现,那么外部环境异常将不再是安全灾难成因,同理,人员错误操作也是如此,因此可以将这2个原因纳入设计问题范畴。设计阶段的灾难成因可以细分为2类:一类叫设计缺陷(Design Defects),指风险分析不完备而造成的设计不当;另一类叫设计受限(Desig n Con-straints),指风险分析完备,但受技术或成本的限制,应对策略无法实现所造成的设计不当。通过上述分析,安全灾难成因可以整合成3个:系统故障、设计缺陷和设计受限。

212安全性设计

至今,诸多安全性设计技术和方法被总结出来并付诸实施,对提高工业控制安全起到了巨大的推动作用。更高层次的安全性设计方法学也受到了学者们和领域工程师的高度关注,正逐步形成理论与技术体系。

21211安全性设计方法学

(1)安全性设计规范。将设计经验、设计技巧系统化和规范化,并通过反复验证和修改,将最终形成设计规范。设计规范主要包括了设计原则、设计流程、关注指标等重要内容,其最高级别表现形式就是国际/国家/行业标准。目前,我国共发布了几十个与安全性设计规范相关的国家或行业标准,涉及石油化工[4]、核电[5]、铁路[6]等重要行业和领域;如文献[2]第7部分针对电力/电子/可编程电子设备和系统,给出了设计准则以及关键性步骤。严格遵循这些安全性设计规范,将有效避免设计缺陷的产生,极大提高系统或设备的设计水平。技术的不断更新和安全需求的不断变化,促使各部委和标准化机构牵头,联合科研院所和大型企业,持续修订各类安全性设计规范,这项工作将不会停止。

(2)人机安全交互工程。工业控制安全中涉及/人的因素0。由于人类个体的差异性很大且思维复杂,所以由人的因素所产生的危险变得扑朔迷离。从理论上说安全性设计可以解决此问题,但是在实际中,要保证这类危险分析的完备性是不可能的,从而使/设计能够解决任何安全性问题0并不真正成立。在这种情况下,人机安全交互工程是另一条可行的方法。人机交互是一门关于设计、评估和执行交互式计算系统,以及研究由此发生的相关现象的学科[7],其核心内容是人机交互界面设计。针对工业控制系统的人机交互系统设计问题,大部分的研究成果均首要考虑简单、友好等人机交互界面特性[8],一些研究人员提出交互界面设计需要考虑操作的安全性[9,10],但是并未形成系统性的研究成果。随着交互通道和交互信息的多样化,将安全性列为人机交互系统设计的重要指标,系统地研究人机安全交互工程将颇具意义。

(3)安全成本。由于任何系统都不可能绝对安全,而提高安全性通常情况下都会占用更多的资源,造成系统成本的增加,因此控制安全与经济发生了缠绕,设计者必须在安全和成本之间进行权衡。安全成本作为设计的重要约束,如何对其进行评估成为安全性设计方法学的主要内容之一。电力系统所取得的研究成果值得借鉴,文献

[11]基于收益均衡,给出了Ramsey定价法,文献

[12]提出基于安全域的安全性定价。将这些理论引入工业控制领域,将对安全成本的估算以及设计方案的优化起到重大的推动作用。

(4)安全性建模与仿真。对工业控制系统,特别是安全关键系统而言,仿真对验证安全性设计结果具有重要意义,而仿真的前提是对安全性进行建模。目前的建模方法主要分为2类:第一类是在现有的系统形式化方法模型下添加故障、失效等元素[2,13,14],所采用的形式化方法有Petri网、形式语言/自动机等,文献[2]中提及采用赋时Petri网作为安全性建模方法,其他类型的Petri网也在矿井机车运输系统等建模中得以应用[15,16]。然而工业控制系统一般较为复杂,

163

第2期韩江洪,等:工业控制安全研究综述

形式化方法描述系统时极易出现/状态爆炸问题0,研究人员开始把分层理论引入建模[17],采用分层Petri网对矿井馈电系统[18]和半导体生产线[19]等进行建模。为了解决模型/机器实现难0的问题,一种基于规则描述的控制系统形式化描述与验证方法被提出[20,21],因为规则接近自然语言,所以该方法非常易于被控制领域工程师所掌握。针对工业控制系统和环境复杂,一种快速建模方法被提出并成功应用于人员安全疏散仿真中[22,23]。

第二类是通过描述部件失效及其关联进行安全性建模,主要包括2种模型,即马尔可夫模型(M arkov Model,简称MM)和可靠性网络。M M 以马尔可夫过程为基础,对失效过程进行描述,在安全性建模中多以状态图形式表示,根据该模型可以求出不同的安全性指标,研究集中在对失效、危险进行预测,包括使用MM、灰色M M进行航空飞行器安全性分析及事故预测[24,25],以及对双机热备份集群可信性进行建模[26];可靠性网络属于网络建模方法的一种,采用方框表示系统部件,方框之间的线表示运算关系,从而形成与系统对应的网络模型,再利用概率理论对网络进行评估[1],其最基本的2个元素是串联网络和并联网络[27]。

进行安全性仿真需要满足2个条件:首先,需要满足要求的仿真工具;其次,模型可在仿真环境中表达。文献[2]第二部分的表B.6对仿真工具进行了要求。采用形式化方法获得的模型可以借助相应的工具转化为代码,值得注意的是,基于规则描述的建模方法及其配套编译软件平台在汽车电子领域得到了应用和验证[21]。

(5)软件安全性,即软件运行不引起事故的能力。软件在控制系统中的作用日趋重要,使得软件错误可能会导致重大灾难,如T herac-25型放射治疗仪互锁软件错误导致2人死亡的重大医疗事故和惯导软件错误导致阿丽亚娜501火箭爆炸,引起各国的高度关注。美国国防部推出的M IL-STD-882B、NASA颁布的NASA-STD-8719113A[28]和IEEE制订的1228-1994均将软件安全性分析作为重点内容[29],如文献[2]第三部分均在阐述软件安全性分析的方法和准则。针对软件安全性分析与测试的研究工作主要分为2类:一类使用多种形式化方法,包括VDM、Petri 网和Z对软件进行描述与验证[30-32];另一类是采用故障和失效模型对软件安全性进行分析,主要包括SFT A(软件故障树)[33]和SFM EA(软件失效模式和影响分析)[34]。针对SFTA存在分析工作繁琐的缺点,一种基于图形化语言Statecharts 的SFTA方法被提出,并应用于汽车巡航控制系统软件安全性分析中[29]。

考虑软件安全性评测指标过多,文献[35]试图将主成分分析法PCA、层次分析法AH P和聚类分析法CA结合从而降低问题求解难度。COTS软件在安全关键系统中的大量使用为软件安全性带来新的问题,文献[36]进行了深入研究,并取得了不错的研究成果。

212.2安全性设计技术

(1)故障安全。文献[37]将故障安全定义为/故障以后导向安全0,具体是指系统中1个或者多个设备发生故障时,系统会以尽可能大的概率导向安全侧的输出状态,而不至于产生危及人身安全以及装备的重大损失。系统安全侧的输出是指系统的输出操作不至于导致危险事故的发生。一般来说,安全侧状态主要是系统的停止或休眠状态,而相应地系统的工作状态则对应着危险侧。故障安全的相关理论研究起始于20世纪60年代,主要是将并发差错检测系统理论引入故障安全思想,其基本技术和研究方法也多与并发差错检测系统的相关技术与方法相关,如差错检测码、多模冗余方法和特殊信号编码方法(如频率编码)等[38]。

90年代开始,在研究领域中又出现了很多新的方法,如由文献[39]提出的可逆计算方法,文献[40]提出的故障自检测技术、基于容错的自检测技术、系统安全性分析和强故障安全接口技术等。随后,文献[41]建立的一种广义故障安全系统(Generalized Fai-l Safe Sy stem)理论,提出了完全故障安全(T otally Fai-l Safe)、强故障安全(Strong ly Fai-l Safe)等概念,同时建立了用自校验的基本功能模块与强故障安全的转换器互连而成的强故障安全电路结构,并且实现了基于内建自测试(BIST)技术的MOS VLSI强故障安全接口电路。在国内,文献[38]提出的具有部分自测试能力的故障安全电路特性的扩展故障安全(Ex tended Fai-l Safe)概念也成为故障安全研究领域的新分支。目前,为满足系统对关键部件的安全性需求,故障安全技术开始逐步应用到机器人部件,如传感器等设计中[42,43]。

(2)冗余。按照冗余资源的形式不同可以将冗余方法分为硬件冗余、信息冗余、时间冗余、线

164合肥工业大学学报(自然科学版)第33卷

程冗余及软件冗余等。硬件冗余由工作方式不同可以分为冷备、温备、热备及全双工4种;根据冗余程度不同可以分为:部分冗余和完全系统冗余2种[44]。目前硬件冗余方法中,基于动态可重构现场可编程门阵列FPGAs方法已经成为当前研究热点,根据抽象层次的不同可以将FPGAs分为硬件层(Device-level,简称DL)和配置层(co n-fig ur ation-level,简称CL)[45]。信息冗余(Alg o-rithm-based Fault-tolerance,简称ABFT)指在数据中附加若干冗余位的信息以达到故障检测和故障掩蔽或容错的目的,包括检错编码与纠错编码技术。具有代表性的信息冗余编码方法不仅有经典的奇偶校验码Parity、循环冗余校验码CRC、海明码及其扩展改进版本,还有较近期的RED-FEC M echanism[46]、A BFT[47]和check-sum EDAC[48]等。在非硬件冗余非强实时系统中,通常使用时间冗余技术来达到容错目的,文献[49]在时间冗余研究方面做了大量工作。时间冗余的工作方式基本可以分为2种:第一种方式为Re-execution of the task on the Sam e H ardw are,即在同一硬件上对同一数据在不同时间片执行同一指令集;第二种方式使用数据延迟设备及表决电路结合,将一次数据处理的输出结果通过设置不同的延迟大小而复制成多个版本并在表决器处进行比较[50-55],时间冗余技术的关键问题在于延迟时间的选择[56]。

并行多线程冗余(Simultaneous Mult-i T hr eading,简称SM T)的基本思想是在并行多线程平台上将主线程复制成多份并同时运行,最终比较运行结果来屏蔽SEU s错误[57-61]。最新的并行多线程冗余技术多见于IBM和Intel等CPU生产厂商的研究工作中,主要采用主副线程通信、共享中间结果队列的方式加快线程执行速度,同时完成容错[62-64]。相比其他冗余策略, SM T方法所需要的硬件成本较低,延迟较短。软件冗余适用于过程复杂,对硬件冗余条件如空间、功耗等资源要求苛刻的高安全性要求场所如民用飞机飞控系统等领域[65],软件多样性N-versio n prog ram ming方法是经典的软件冗余方法,其基本思想是各个版本软件由不同的团队独立设计,使用不同的方法、不同的设计语言及不同的开发环境和工具来实现,目的是减少各个版本软件在表决点上相关错误的概率,各个版本的软件设计过程需要遵循的原则如下[66]:总体设计相同,避免错误恢复的全局回滚;多样化模块之间统一接口;多样性封装,即模块内部多样性对外不可见;保证各个版本软件设计独立性。软件冗余会增加设计成本。

(3)降级运行模式。它是一种故障运行模式,基本思想是牺牲系统部分功能和性能来换取灾难风险的降低。应用降级运行模式的前提有2个:一个是系统具有及时的故障检测与反馈机制;另一个是系统具有多模态。该设计技术的核心内容是模式识别和模式切换。目前,多数研究将降级运行模式技术纳入到容错技术中,研究成果在磁盘阵列[67]、卫星容错计算机控制[68]及区域交通控制[69]等领域中应用,并取得不错的效果。另外,一些研究人员则对降级运行模式持保留意见[70],认为该模式属于一种非正常状态,除非风险分析完整、正确,否则应该慎用。

213安全性评估

安全性评估是以实现系统安全为目的,应用安全性系统工程原理和方法,对工程、系统中存在的危险进行识别与分析,判断灾害发生的可能性以及严重程度,并为提高系统安全性提供合理建议[71]。安全性评估体系如图1所示[72]。评估过程可以分为功能危险分析(Functional H azard A-naly sis,简称FH A)、初步系统安全性评估(Pr-i mary System Safety Analysis,简称PSSA)以及系统安全性评估(Sy stem Safety Analy sis,简称SSA)[25]。安全完整性等级(Safety Integrity Level,简称SIL)是评估的依据指标,随着行业和系统类型的不同,SIL要求也不同,在文献[2]中有明确规定。现有的安全性分析与评估方法主要包括:网络模型法、故障树分析、失效模式及影响分析以及马尔可夫模型法,其中网络模型法和马尔可夫模型法在安全性建模部分已经阐述,下面重点介绍故障树分析和失效模式及影响分析。

(1)故障树分析(Fault T ree Analysis,简称FTA)。FTA主要用于推导系统失效逻辑及概率,同时它能将失效逻辑图像化,便于沟通的需要。FTA的过程分为2部分:定量分析和定性分析[73]。在定性分析中,所做的工作就是获取一些可能导致系统失效的事件组合;定量分析的任务就是处理分析在这些事件组合的影响下整个系统的故障概率或者故障频度。对于复杂系统来说,每次进行故障树分析后,将产生数千种甚至更多事件组合,这些组合都可能导致系统的失效。然而,这数千种可能的结果处理起来将耗时耗力,甚至是不可能实现的,一些近似方法亟待引入FTA

165

第2期韩江洪,等:工业控制安全研究综述

技术中,文献[74]中详细地阐述了这一点。常用的故障树分析方法有bottom -up 、Sem anderes 和Fussel-l V esely,这些方法均未能完全解决算法耗时问题。Bennetts 和Bengiamin 解决了这个难题,通常的方法有M OCU S 方法等[75]

。

近来,FTA 方法又出现了新的发展方向。随

着被分析事件的复杂化,难以得到描述事件的所有参数,在这种情况下,评价系统的可信性难以保证,于是模糊逻辑故障树分析应运而生[76]。与此同时,二进制决策故障树分析[77,78],以及带有自跳转基础事件的随机故障树分析[79]

也逐渐成为

研究热点。

图1 安全性评估体系

(2)失效模式及影响分析(Failure Mo des and Effects Analy sis,简称FM EA)。FM EA 产生于20世纪50年代,最初美国古拉曼飞机公司将其用于战斗机操纵系统的设计分析上,取得了较好的效果。

FMEA 一般可分为设计FM EA 和过程FMEA 两大类。在许多领域,FEMA 是被强制要求的。FM EA 的分析深度并非固定不变,它可能只包含系统功能分析,或者硬件软件功能分析,也可以扩展到对整个系统中所有元件进行分析。由分析深度的不同,FM EA 可能包括对每个潜在的失效模式进行分析,或者仅对所关心和亟待解决的失效模型进行分析[80]

。目前,FEMA 被广泛地应用于制造业,如航空、汽车等[81],在安全关键行业如在核工业中,FEMA 也得到相当的重视[82]

,软件方面,FEMA 被应用在嵌入式系统的软件设计中[83]。

在评价一个系统安全性方面,常常会有一些带有模糊概念的评价出现,对此,将模糊数学分析应用到FEMA 中成为了一个新发展方向,这种方法将风险数据由分明集改为与采集相适应的模糊集,并针对风险顺序数(Risk Priority Number,简称RPN)对风险的贡献采用加权分析,可使传统的FMEA 得以改进,并建立模糊意义上的FMEA 综合评估方法

[84,85]

。

3 结论与展望

安全灾难将导致生命、财产的巨大损失和环境的严重污染,而工业系统的灾难风险控制充分体现了一个国家的工业技术水平,因此工业控制安全研究意义重大。同时,工业系统的复杂性、影响因素的多样性、应用领域的差异性、现场环境的恶劣性等导致工业控制安全研究难度巨大。本文首先给出安全性、可靠性以及安全关键等重要概念的定义,并就其中容易混淆的若干概念之间的区别进行了阐述;其次在灾难成因分析的基础上,围绕安全性设计和安全性评估2个方面,对重要理论、方法和技术的研究与发展现状进行了叙述。作为一个多学科交叉的研究领域,同时随着相关新技术的不断涌现,工业控制安全研究还未完善,以下2个方面可能会在未来得到重点关注:

(1)软件安全性。与硬件相比,软件安全性的研究起步较晚,然而越来越受到人们的重视,我国2009年科技重大专项/核心电子器件、高端通用芯片及基础软件产品0课题申报指南中明确提及了服务器操作系统和汽车电子软件产品的安全性。应通过研究力争形成一套完整的软件安全性设计、验证、测试、实现和实施方法与技术,以及面向安全性的新型软件开发模式。

166

合肥工业大学学报(自然科学版)第33卷

(2)网络控制的控制安全。随着节点计算资源的迅速丰富,以及网络通信(特别是无线网络)的逐步发达,控制的网络化趋势日渐凸现,这为控制安全带来了新的挑战。研究在异构网络条件下的工业控制安全性设计和安全评价将极具意义。

本文初稿首次刊登于5计算机技术与应用进展#20096。

[参考文献]

[1]Goble W M.Control system safety evaluation and r eliability

[M].2nd ed.IS A-Ins tru mentation,Systems&Au tom ation Society,1998:351-357.

[2]IEC61508,Functional Safety of Electrical/Electronic/Pro-

gram mab le Electronic Safety-related Systems[S].

[3]GB/T-20438,电气/电子/可编程电子安全相关系统的功

能完全[S].

[4]SH/T3018-2003,石油化工安全仪表系统设计规范[S].

[5]GB50267-97,核电厂抗震设计规范[S].

[6]T B10071-2000,铁路信号站内联锁设计规范[S].

[7]郭亚军,金先级.人机交互[M].武汉:华中科技大学出版

社,2005:1-10.

[8]宋玉春,许伦辉,傅惠.基于ActiveX控件技术的工业控

制图形界面设计[J].现代计算机,2004,(2):87-89.

[9]石雨涛.工业控制设备中人机交互技术研究及应用[D].武

汉:华中科技大学水电与数字化工程学院,2006.

[10]李宝峰,宋笔锋,薛红军.基于人的差错分析的人机界面设

计方法[J].人类工效学,2006,12(1):54-56.

[11]Perera B L P P,Farmer E D,Cory B J.Revenue reconciled

optimal pricin g of transm ission services[J].IEEE T ransac-

tion s on Pow er Systemg,1996,11(3):1419-1426.

[12]刘辉.基于安全域的电力系统综合控制与安全性定价

[D].天津:天津大学电气与自动化工程学院,2005.

[13]黎忠文,熊光泽.形式化方法与安全关键系统[J].计算机

应用,2000,20(9):36-38.

[14]王海峰,陈建明,张仲义.安全苛求系统的形式化开发方法

[J].北方交通大学学报,2002,26(6):52-55.

[15]陆阳,郭智奇,韩江洪,等.矿井机车运输监控系统调度

联锁过程的Petri网建模[J].煤炭学报,2007,32(11):

1216-1223.

[16]韩江洪,刘辛,黎杰.基于Petri网的皮带机控制模型

分析[J].合肥工业大学学报(自然科学版),2007,30(2):

129-131.

[17]Salthe S N.Sum mary of the principles of hierarchy th eory

[EB/OL].http://w w w.nbi.dk/~natphil/s alth e/H ierar-

chy-th.html,2009-05-19.

[18]韩江洪,翟军华,魏振春,等.分层CPN在矿井馈电系统建

模中的应用[J].系统仿真学报,2007,19(S1):129-131. [19]黄丹,乔非,严隽薇.基于分层Petri网的半导体生产

线建模[J].计算机工程与应用,2004,(35):192-195. [20]韩江洪,张亚琼,魏振春,等.基于规则的离散事件系统模

型与规则匹配研究[J].系统仿真学报,2008,20(6):

1394-1396,1409.

[21]韩江洪,魏振春,张本宏,等.总线式车身控制系统的规则

化建模方法[J].汽车工程,2006,28(12):1121-1125. [22]郑利平,刘晓平.人在回路仿真运行有效性评估方法研究

[J].系统仿真学报,2007,19(7):1417-1420,1448. [23]刘晓平,曹力,张静.物体运动路线多样化模拟[J].工

程图学学报,2007,28(3):39-43.

[24]陈勇刚,任海峰.灰色马尔可夫模型在航空事故征候预测

中的应用[J].西安科技大学学报,2007,27(2):

328-331,336.

[25]陆中,孙有朝.马尔可夫分析在系统安全性评估中的应

用研究[J].中国民航大学学报,2008,26(5):43-45. [26]刘新宇,高文,孙凝晖.双机热备份集群的可信性建模分

析与比较[J].小型微型计算机系统,2004,25(4):

747-751.

[27]H enley E J,Ku mam oto H.Pr ob abilistic ris k assessm ent:

reliability engin eering,design,and an aly sis[M].Piscat-

aw ay,NJ:IEEE Press,1992:302-312.

[28]NAS A-GB-8719113,NASA Software Safety Gu ide

Book[S].

[29]申光耀.软件安全性保障框架及安全性技术应用[D].北

京:北京信息控制研究所,2005.

[30]魏臻,周霞,鲍红杰,等.基于Petri网的联锁软件安全

性测试的研究[J].计算机工程与应用,2005,17:

123-125,138.

[31]王铁江,郦萌.计算机联锁软件的Z规格说明[J].铁道

学报,2003,25(4):62-66.

[32]Zafar N A.M od eling and form al specification of automated

train control sy stem usin g Z n otation[C]//IEEE INM IC.

06,2006:438-443.

[33]Leveson N G,Cha S,Sh imeall T.S afety verification of Ada

programs u sing softw are fault trees[J].IEEE Softw are,

1991,(4):78-86.

[34]Vyas P,M ittal R K.Operation level safety analysis for ob-

ject oriented s oftw ar e design u sing SFM EA[C]//

IACC2009,IE EE Internation al,2009:1675-1679.

[35]王维静,王树明,陈震,等.软件安全的多指标综合评测

[J].计算机工程与应用,2006,(11):94-96,224.

[36]Fan Ye.J ustifying th e use of COT S comp on ents w ithin

safety critical applications[D].Yor k:Departmen t of Com-

puter Science University of York,2005.

[37]T B/T2615-94,铁路信号故障安全原则[S].

[38]江建慧,闵应骅,施鸿宝.一种扩展故障安全系统理论[J].

电路与系统学报,1999,4(4):1-9.

[39]Bishop P https://www.360docs.net/doc/169854536.html, ing reversible computing to achieve fai-l

safety[C]//Th e Eighth International Symposiu m on S oft-

ware Reliability Engin eering,1997:182-191.

[40]Lubasz ew ski M,Courtois B.A reliab le fai-l safe system[J].

IEEE Transactions on C om puters,1998,47(2):236-241.

[41]Nicolaidis M.Fai-l safe interfaces for VLSI:theoretical

foun dations and im plem entation[J].IEEE Trans actions on

Computers,1998,47(1):62)77.

167

第2期韩江洪,等:工业控制安全研究综述

[42]T ejima N,Stefan ov D.Fai-l safe com ponents for rehabilita-

tion robots:a reflex m ech anism and fai-l safe force sensor

[C]//9th International Conferen ce on Reh abilitation Ro-

botics,2005:456-460.

[43]T ejima N,Ohara T.Improving fai-l safe com pon ents in r e-

hab ilitation r ob ots[C]//10th International Conference on

Rehabilitation Rob otics,2007:463-466.

[44]Tipsuw an porn V,Rodkamtui J.Fault toleran t con tr ol s ys-

tem in critical pr oces s bas ed on ethernet netw ork[C]//

Proceedings of IEEE Conference on Robotics,Au tom ation

an d M echatronics,2006:1-4.

[45]Cheatham J A,E mmert J M.A s urvey of fault tolerant

meth odologies for FPGAs[J].ACM T ransactions on De-

sign Au tom ation of Electronic System s,2006,11(2):

501-533.

[46]Lin C hengh an,S hieh C K.A RED-FEC m ech anism for vid-

eo tran smiss ion over W LANs[J].IEE E Transactions on

Broadcasting,2008,54(3):517-524.

[47]Ali S A,M ahdy Y B,Hassan H A.An efficient algorithm-

based fault detection and recovery on m ultiprocessor s ys-

tems[C]//Proceedin gs of th e6th IEEE In ternation al Con-

feren ce on Electronics,Cir cuits and System s,1999:

1093-1096.

[48]Samson J R,T orre L D,W iley P,et al.A comparison of al-

gorith m of algorithm-based fault toleran ce an d traditional

redun dant self-ch eck ing for SEU mitigation[C]//Proceed-

ings of the20th Conference on Digital Avionics Systems,

2001:8E4/1-8E4/11.

[49]Shin K G,Kim H.A tim e redundancy approach to TM R

failur es usin g fau lt-s tate lik elih oods[J].IEEE Transaction

on C om puters,1994,43(10):1151-1162.

[50]M itra S,Zhang M,Waqas S,et https://www.360docs.net/doc/169854536.html,b inational logic soft

err or correction[C]//Proceedings of IEEE International

Test Conferen ce,2006:1)9.

[51]Zh ang M,Sh anb hag N.A transient-toleran t h igh-perform-

ance circu it style[C]//IEEE W or kshop on System Effects

of Logic Soft Errors,Urbana Champaign,Illin ois,2006:

1-4.

[52]M itra S,Zhang M,Seifert N,et al.Soft error resilient s ys-

tem design through error correction[C]//International

Conference on Very Large Scale Integration(ISVLSI.06),

2006:332-337.

[53]Wang W,Gong H.Edge triggered puls e latch design w ith

delayed latchin g edge for radiation harden ed application

[J].IEEE Transactions on Nuclear S cience,2004,51(6):

3626-3630.

[54]Angh el L,Alexan dres cu D,Nicolaidis M.Evaluation of a

soft error toleran ce techniqu e based on time and/or s pace

redun dan cy[C]//Proceedings of the13th Sym posium on

Integrated Circuits and S ystem s Des ign,2000:237-242.

[55]Krishnamohan S,M ahapatra N R.A hi ghly-effi cient techni que

for reducing soft errors in static CMOS circuits[C]//Proceed-

ings of the IEEE International Conference on Com puter De-

sign,2004:126-131.[56]Faz eli M,M iremadi S G A.Power efficient mas king tech-

nique for design of robus t emb edded systems against SEU s

an d SE Ts[C]//Proceedin gs of IEEE International Sympo-

sium on Defect and Fault T oleran ce of VLS I Systems,

2008:193-201.

[57]M uk herjee S S,Kontz M,Rein hardt S K.Detailed design

an d evalu ation of redu ndan t multith reading alternatives

[C]//Proceedings of29th Internation al Sym posium on

Computer Architectu re,2002:99-110.

[58]Rein hardt S K,M uk herjee S S.Transient fau lt detection

via s imultaneous m ultithreading[C]//Proceedings of th e

27th Internation al Sym pos ium on Computer Architectu re,

2000:25-36.

[59]Rotenberg E.AR-SM T:a microarchitectu ral approach to

fault tolerance in microprocessors[C]//Proceedings of th e

29th International S ymposium on Fault-T olerant Compu-

tin g,1999:84-91.

[60]Saxena N R,M cClus key E J.Depen dable adaptive compu-

tin g s ystems:th e ROAR pr oject[C]//Proceedin gs of1998

IEEE In ternational Conference on S ystem s,M an an d Cy-

bern etics,1998:2172-2177.

[61]Vijaykumar T N,Pomeranz I,Cheng K.T rans ient-fault r e-

covery usin g simultaneous multith reading[C]//Proceed-

ings of the29th International Symposium on Com puter

Architecture,2002:87-98.

[62]Li Xiaobin,Gaudiot J L.Des ign trade-offs and deadlock

prevention in trans ient fault-tolerant S M T p roces sors

[C]//Proceedin gs of th e12th Pacific Rim International

Symposium on Dependab le Computing,2006:315-322. [63]M adan N,Balasubramonian R.Pow er-efficient approaches

to redundan t M ultithreadin g[J].IEEE T rans actions on

Parallel and Distrib uted S ystems,2007,18(8):

1066-1079.

[64]M a Yi,Zhou Hu iyang.Efficien t tran sien t-fault tolerance

for multithread ed processors u sing dua-l th read execution

[C]//Proceedings of International Confer ence on Comput-

er Design,2007:120-126.

[65]Rom anovsk y A.Faulty vers ion recovery in object-oriented

N-version programming[J].IEE Proceedings:Softw are,

2000,147(3):81-90.

[66]韩炜,臧红伟.N版本编程技术的软件可靠性分析[J].

微电子学与计算机,2003,(5):62-63.

[67]赵伟,莫国庆,那宝玉,等.基于Reed-Solom on算法的

RAID机制的设计与实现[J].计算机应用,2006,26(11):

2756-2758.

[68]王平,孙宁,李华旺,等.小卫星星载容错计算机控制

系统软硬件设计[J].宇航学报,2006,27(3):412-415. [69]李水友,刘智勇.基于D-S证据理论的区域交通自适应协

调控制[J].控制理论与应用,2005,22(1):157-160. [70]John son C W,Shea C.A comparison of th e role of degrad-

ed modes of operation in th e cau ses of accidents in rail and

(下转第173页)

168合肥工业大学学报(自然科学版)第33卷

次动态安全访问控制[J].软件学报,2007,18(9):

2295-2305.

[3]周伟,陈小安,罗天洪,等.面向协同装配设计的基于角色

显示的研究[J].计算机集成制造系统,2007,13(1):

88-92.

[4]Ceraa C D,Kimb T,Han J H.Role-b as ed view ing envelopes

for information protection in collaborative modeling[J].

Computer-Aided Des ign,2004,36:873-886.

[5]张玉峰.特征造型技术在有限元分析建模中的应用研究

[D].武汉:武汉大学计算机学院,2004.

[6]Ros signac J,Borrel P.M ult-i r esolu tion3D approximations

for rendering com plex scenes Geometric modeling in com-puter graphics[C]//S pringer-Verlag,1993:455-465. [7]Lee S H.Featur e-bas ed m ultiresolution m odeling of s olids

[J].ACM Transactions on Graphics(T OG),2005,24(4):

1417-1441.

[8]Kim T,Cera C D,Regli W C,et al.M u lt-i level modeling and

access control for data sh arin g in collaborative design[J].

Advan ced Engineerin g Informatics,2006,1:47-57.

[9]Garlan d M,H eck bert P S.S urface sim plification using quad-

ric error metrics[C]//SIGGRAPH,1997:209-216. [10]H un L S.A CAD-CAE integration ap proach us ing feature-

based mult-i res olution and mult-i ab straction modeling

techniques[J].Computer Aided Design,2005,37(9):

941-955.

[11]Arms tr ong C G.M odellin g requirements for finite-elem ent

an aly sis[J].Comput Aided Des,1994,26(7):573-578.

[12]Sandhu R S,Coyne E J,Feinstein H L,et al.Role-bas ed

access control models[J].IEEE Comput,1996,29(2):

38-47.

(责任编辑吕杰)

(上接第168页)

air traffic managem ent[C]//2nd Ins titution of En gineering

and T echnology International Conference on Sys tem Safe-

ty,2007:89-94.

[71]刘铁民,张兴凯,刘功智,等.安全评价方法应用指南[M].

北京:化学工业出版社,2005:1-30.

[72]丁海梅.自动化系统安全评估技术的研究[D].北京:北京

化工大学信息科学与技术学院,2007.

[73]S imalnoli P M,Andrew s J D.Fau lt tree an alys is and binary

decision diagram s[C]//Proceeding s of Annu al Reliability

and M aintainab ility S ymposium,1996:215-222.

[74]Andrew s J D,M oss T R.Reliab ility and ris k assessm ent

[M].New York:Longm an S cientific and T ech nical,1993:

47-56.

[75]H e Liping,Huang H on gzhong,Zuo M J.Fau lt tree analy-

sis based on fuz zy logic[C]//Reliab ility and M aintainab il-i

ty Sym posium,2007:77-82.

[76]王永传,庄钊文.一种基于修正模糊算子的模糊故障树分

析方法[J].模糊系统与数学,2000,14(3):80-86. [77]闵苹,童节娟,奚树人.利用二元决策图求解故障树的基

本事件排序[J].清华大学学报(自然科学版),2005,45

(12):1646-1649.

[78]Pedro F,M rquez G.Binary decision diagrams applied to

fault tree analysis[C]//Railw ay Condition M onitoring,

20084th IET International Conference on,2008:1-5. [79]Jenab K,Dhillon B S.S tochastic fault tree analysis w ith

self-loop basic events[J].IEE E Transactions on Reliabil-i

ty,2005,54(1):173-180.

[80]Krasich M.Can failure m odes an d effects analysis assur e a

reliab le product[C]//RAM S'07,2007:277-281.

[81]Sham M L,Lui T C,Gao Ziyang,et al.FM EA of S ystem-

in-Package(SiP)-b as ed tir e pres sure monitoring sys tem

[C]//ICEPT-H DP,2008:1-6.

[82]T ash jian B M.T he failure modes and effects analysis as a

design tool for nuclear safety systems[J].IEEE T ransac-

tions on Pow er Apparatus and Sys tems,1975,94(1):

97-103.

[83]Bowles J B,Wan C.S oftw are failu re modes and effects a-

nalysis for a small emb edded control system[C]//Reliabil-

ity and M ain tainability Symposiu m,2001:1-6.

[84]崔文彬,吴桂涛,孙培廷,等.基于FM EA和模糊综合评判

的船舶安全评估[J].哈尔滨工程大学学报,2007,28(3):

253-276.

[85]Kai M T,C hee S T,Bong D.Development of a fuzzy-logic-

based occurren ce u pdating m odel for pr ocess FM EA

[C]//.08ICCCE,2008:96-800.

(责任编辑张秋娟)

173

第2期刘晓平,等:面向协同分析模型的安全访问控制方法