列车运行控制系统是城市轨道交通系统的“大脑”和“中枢神经”,保障了列车的高效、安全运营。鉴于城市轨道交通的安全苛求属性,面向系统随机故障的功能安全分析及评估方法趋于成熟并得到了广泛的应用。然而,当前列车运行控制系统中大量计算机、通信和控制技术的广泛应用引入了来自内部及外部的信息安全风险,尤其在工业控制系统信息安全事件频发的背景下,城市轨道交通列车运行控制系统的信息安全需要高度关注。鉴于传统的功能安全分析方法并未考虑恶意及主观的信息安全风险,本文基于功能安全分析方法及理念,综合考虑功能安全风险和信息安全风险,面向城市轨道交通列控系统,提出了一种基于扩展的故障树的功能安全与信息安全综合分析方法。主要研究内容如下:首先,综述功能安全与信息安全的定义、风险演化路径、分析标准与方法,辨析二者关系,基于功能安全和信息安全传播机理,根据二者的耦合特征,本文提出基于扩展的故障树的功能安全与信息安全综合分析方法。其次,建立基于扩展的故障树的安全分析模型。结合一般的故障树和考虑系统脆弱性的扩展的攻击树,调整攻击树结构使之符合故障树的分析模式。从整体风险和基本事件两个角度对建模结果进行分析,并获取关键指标,其中针对信息安全风险概率分别利用攻击成本、攻击难度以及被监测概率三个指标来综合描述。然后,使用基于扩展的故障树的综合分析方法对CBTC(Communication-based Train Control)关键子系统的关键场景进行安全分析。根据功能流程和信息安全威胁建立对应的扩展的故障树模型,基于最小割集和结构重要度,计算分析危险发生概率和后果严重程度,结合CBTC系统架构和安全保护机制,辨析信息安全对功能安全的影响。结果表明,在城市轨道交通列车运行控制系统中,信息安全风险的传播受到列控系统既有安全设计机制的约束,难以对系统功能安全产生影响,但由于故障导向安全原则的要求,会使得信息安全攻击极易触发列控系统的制动、降级运行等风险降低措施,导致系统运营效率降低。