铁路安全软件开发质量管理分析——以M公司为例

铁路信号系统是安全苛求的信号系统，其控制软件为安全相关软件，需要满足最高的安全完整性等级要求。铁路安全软件的质量关乎民生及财产安全，影响运输效率，对其开发过程质量管理进行研究能够找到开发过程中存在的质量问题，并进行质量控制改进，以提高铁路安全软件的开发质量，降低企业成本，是非常有意义及必要的事情。
1 绪论

铁路是我国居民出行首选的交通方式，绿色、方便、快捷。尤其是近年来高铁和城市轨道交通的快速发展，八纵八横战略规划的提出，更是让铁路发展进入了快车道。这也对铁路安全软件的开发质量提出了更多和更高的要求。

1.1 研究背景和意义

1.1.1 研究背景

当前我国高速铁路和城市轨道交通快速发展，高铁成为中国在国际上的新名片[1]，作为控制列车运行的铁路信号系统发挥着关键的作用。伴随着我国铁路产业的跳跃式发展，铁路信号系统的逻辑越来越复杂，体积也越来越庞大。比如：车站计算机联锁系统、无线闭塞中心系统、列车控制中心系统、列控联锁一体化系统等，都在铁路信号领域发挥着越来越重要的作用[2]。铁路信号系统是一种典型的安全苛求（Safety-Critical）系统，这类系统具有生命攸关的功能，失效意味着可能带来人身伤亡等重大安全事故[3]。这类系统的核心控制软件被认为是铁路安全软件，通常具有最高的安全完整性等级（Safety integritylevel）[4]要求，开发铁路安全软件，必须满足 EN50128 标准要求的开发流程和方法。对于这种高质量要求的铁路安全软件，如何进行有效的开发质量管理，以满足铁路信号系统的安全性和可靠性等质量要求，对目前的软件工程来说是一个研究的热点和难点[5]。我国铁路信号产业起步较晚，早期均采用引进国外技术然后进行国产化的方式，核心安全软硬件均使用国外提供的技术或平台。比如通号集团的 DS6-K5B 型联锁系统，其核心硬件安全平台采用的是日本京三公司的产品，该系统是通号与日本京三制作所联合开发的信号控制系统[6]。又比如青藏线使用的增强型列车控制系统（ITCS）是由美国通用电器公司开发的列车控制系统，这一系统也是青藏线铁路运行的重要行车设备[7]。待相应的技术国产化后，国内才逐步开发出了具有自主知识产权的国产化铁路信号系统，然而由于我国铁路信号设备制造企业对铁路安全软件的开发质量管理普遍不太完善，在实际的铁路运营过程中也导致了很多的质量问题。

1.2 国内外研究现状

1.2.1 国外研究现状

国外铁路信号技术的发展集中体现在以下四个地区：欧洲铁路发展最为成熟，美国铁路起步最早，日本高速铁路系统最先商业运营，前苏联铁路运输利用率最高。由于国外铁路发展时间较长，中间经历了种种的技术演变，从壁板信号机到色灯信号机，从继电控制到计算机控制，从固定闭塞到移动闭塞，形成了一整套的技术规范和标准，有非常多成熟的技术经验值得我们学习[10]。欧洲铁路联盟在ISO9001:2000 的基础上，以安全产品的全生命周期管理为核心，针对行业的特点及特殊要求发布实施了铁路行业的质量管理体系 IRIS（International RailwayIndustry Standard）[11]。2017 年国际标准化组织(ISO)正式发布了全新国际铁路行业标准 ISO/TS22163:2017，ISO/TS22163 和 IRIS 认证规范取代了原有 IRIS 标准。而日本的铁路企业大多实行全面质量管理，他们将质量管理提到了经营思想革命的高度，认为企业只要严格把控质量管理的中心环节，即可影响到企业经营的所有链条，从而带动企业整体的质量提升。欧盟电气委员会为了对铁路信号系统设计过程进行规范和安全评估，提出了 CENELEC 铁路行业标准。该标准主要针对目前铁路行业普遍采用的计算机控制的信号系统，在 IEC61508 国际标准的基础上，添加了欧洲各国最先进的功能安全技术，符合铁路行业的发展方向，为铁路信号系统的开发设计提供了标准和依据。目前，我国铁路信号系统上道使用要求的 SIL4认证即是基于 CENELEC 标准，对安全设备开发过程和安全完整性等级进行评估和确认的一种方法。

2 铁路安全软件相关理论与工具

2.1 铁路安全软件简介

铁路信号系统是铁路运输的基础设施，也是铁路信息化的重要技术组成部分，是保证列车或车列运行安全、提高运输效率，实现铁路一体化指挥调度的关键技术设备[15]。人们开始意识到安全相关系统功能安全的重要性是从上世纪七十年代开始的，那时候在欧美发生的多起工业事故都与安全相关系统失效有关。此后，欧共体、美国等国家在各自工业领域陆续开展对功能安全的研究，并在 2000 年制定了相应的国家标准，IEC 61508.1-7 标准的颁布标志着作为独立的安全学科，功能安全进入了实际的应用阶段[16]。铁路信号系统是基于“故障-安全”原则设计，并满足最高安全完整性等级要求的高可用性计算机实时控制系统；是要求在全生命周期内具有高 RAMS 性能的，适用于进路控制、间隔控制及超速防护等铁路信号重大生命攸关功能的专用安全苛求可编程系统[17]。铁路安全软件即为铁路信号系统的核心软件，属于安全相关软件，在符合“故障-安全”设计原则的同时，需满足 SIL4 级的安全完整性要求。

2.2 软件质量管理

软件是根据用户需求进行设计开发，软件质量就是指软件满足需求的程度[21]。更确切地说，软件质量是指软件与需求文档中的功能需求、性能需求、开发标准、技术条件等相一致的程度[22, 23]。根据 GB/T16260.1，以管理的视角评价软件质量的高低，可将影响软件质量的主要因素划分为功能性，易用性，可靠性，效率，可移植性与维护性六个特性。其中功能性包括依从性，适合性，互用性，安全性和准确性；易用性包括易理解性，易学习性，易操作性；可靠性包括容错性，成熟性，易恢复性；效率包括时间特性和资源特性；可移植性包括易安装性，适应性，可替换性和一致性；维护性包括可测试性，稳定性，易分析性和可修改性。

3 M 公司铁路安全软件开发质量管理现状及问题分析................................... 17

3.1 M 公司简介................................................................................................. 17

3.2 铁路安全软件开发质量管理现状及问题.................................................. 17

3.3 铁路安全软件开发质量管理问题分析...................................................... 25

3.4 本章小结...................................................................................................... 35

4 M 公司铁路安全软件开发质量管理改进方案............................................... 36

4.1 需求分析问题改进方案.............................................................................. 36

4.2 进度管理问题改进方案.............................................................................. 37

4.3 设计实现问题改进方案.............................................................................. 39

4.4 本章小结...................................................................................................... 41

5 M 公司铁路安全软件开发质量保障措施....................................................... 42

5.1 需求分析质量保障...................................................................................... 42

5.2 进度控制质量保障...................................................................................... 47

5.3 设计实现质量保障...................................................................................... 48

5.4 安排和开展有计划的质量改进活动.......................................................... 50

6 结论与展望

铁路信号系统是安全苛求的信号系统，其控制软件为安全相关软件，需要满足最高的安全完整性等级要求。铁路安全软件的质量关乎民生及财产安全，影响运输效率，对其开发过程质量管理进行研究能够找到开发过程中存在的质量问题，并进行质量控制改进，以提高铁路安全软件的开发质量，降低企业成本，是非常有意义及必要的事情。

6.1 主要工作及结论

本文通过学习全面质量管理及六西格玛质量改进相关理论，研究 M 公司的质量管理过程，结合软件质量和“故障-安全”理论，使用质量工具，分析出 M 公司铁路安全软件开发质量管理过程中存在的主要问题和不足之处，并提出对应的改进方案。最后提出 M 公司的铁路安全软件开发质量保障措施，用于长期或进一步改进其铁路安全软件发质量管理流程，保障铁路安全软件开发质量。具体工作体现在以下几个方面：

(1) 分析了国内外关于铁路安全软件开发质量研究的现状，并对铁路安全软件作了简单介绍，学习了铁路安全软件的特点及用于软件开发质量控制和改进的质量管理理论。明确了软件质量管理的概念，并对全面质量管理理论中的 PDCA 模型以及六西格质量改进理论中的 DMAIC 模型在铁路安全软件开发质量改进方面的应用进行了研究。

(2) 以 M 公司为实际研究对象，介绍了 M 公司铁路安全软件开发使用的质量目标、组织架构、安全生命周期 V 模型和测试流程。使用头脑风暴、鱼骨图、调查问卷和帕累托图等质量工具分析 M 公司铁路安全软件开发存在的质量问题，找到了影响铁路安全软件开发质量的 3 个关键问题：需求分析问题、进度控制问题和设计实现问题。通过对这 3 个问题进行成因分析，利用因果图、现场研究等方法找到了影响 M 公司铁路安全软件开发质量的 3 个关键问题产生的主要原因。
(3) 根据六西格玛质量改进 DMAIC 模型改进阶段理论，对影响 M 公司铁路安全软件开发质量的 3 个主要问题绘制改进流程图，针对产生问题的关键原因制定有效的改进方案。为长期保证铁路安全软件开发质量，提出针对 M 公司铁路安全软件开发的长期质量保障措施，为 M 公司持续改进铁路安全软件质量，提出了可行方案。