中国列车运行控制系统是高铁的核心技术之一。作为典型的安全苛求系统,列控系统的失效有可能导致人员伤亡、重大财产损失和环境破坏等。现今,基于模型的安全分析方法在复杂的计算机控制系统中得到广泛应用。与传统方法相比,基于模型的安全分析以语义精确的模型作为系统描述的主要手段和分析对象,灵活性和重用性高。本文选取接口模型对系统中的组件及组件之间的交互进行刻画。通常,接口模型比相对应的组件要简洁,能够大幅度减少两个及多个接口自动机组合后的状态数量,因此可以有效提高系统的安全分析质量和效率。本文的主要工作是提出了一种基于系统接口模型的失效传播分析方法,具体包括:1、融合了接口模型和失效传播模型。定义了基础故障和传播故障,在系统正常接口模型的基础上引入新的状态、动作及迁移,来描述有故障存在时系统的行为。2、提出了状态空间重建策略。将状态空间划分为安全区域、触发区域和危险核心,通过双向可达性分析,移除与目标事件(包括基本故障和危险事件)发生无关的迁移,将状态进行归并。从而有效减少状态的数目,实现状态空间的重构。3、在广度优先搜索算法的基础上,设计了启发式的路径搜索算法。通过定义一个有界的正整数k,修剪掉搜索树上的一些分支。提高了割集搜索算法的效率,并在Eclipse平台实现了最小割集生成。4、将接口模型与列控领域具体失效场景进行深度结合,实现CTCS-3级列控系统实际场景的建模与分析。通过分析RBC切换场景的流程,确定了各个子系统模型的状态、迁移和输入输出动作,得到了 RBC切换场景的接口模型。之后辨识出场景中的各设备的故障,完成失效传播模型的扩展,构建了包含失效模式的系统模型。应用算法对模型进行分析,计算出系统的最小割集,进而完成安全分析。经过实验表明,状态空间的重建策略和启发式搜索技术能有效约简状态空间,从而提升列控系统安全分析的效率。