CTCS-3级列控系统是保证300-350km/h高速铁路列车安全和高效运行的关键技术装备，对列控系统进行测试是保证系统安全运行的重要手段。基于模型的测试可以将技术规范中的系统需求转换为模型，通过模型解析自动生成测试路径，进而测试验证列控系统是否满足技术规范中规定的功能需求。但列控系统作为安全苛求系统，不仅需要验证其功能的正确性，还要验证其对危险处理和防护的能力，即进行以安全为导向的测试来验证系统的安全需求是否满足。由于列控系统运营场景变换多、功能逻辑与交互行为复杂，运营场景中潜在的危险致因具有较强的隐蔽性、多样性与复杂性，而技术规范中规定的系统安全需求描述的颗粒度较粗，甚至存在遗漏不完善等问题，因而直接根据技术规范开展基于模型的测试，在安全需求测试验证方面存在一定的局限性，很难验证系统的安全需求是否满足。因此如何在基于模型的测试方法基础上，引入系统安全分析技术，实现列控系统安全需求的测试验证成为亟待解决的问题。
　　本文以列控等级转换场景为研究对象，将基于CPN模型的测试方法与基于STAMP的安全分析技术结合，通过将系统安全分析结果与CPN模型进行整合，建立包含安全需求信息的CPN测试模型，并以测试模型为基础自动生成测试路径。本文的主要研究内容包括：
　　1．基于STAMP理论，从系统论与控制论角度分析CTCS-3级列控系统等级转换场景，定义等级转换场景中系统级危险与系统级安全约束，构建反映系统控制关系和控制行为的分层控制结构模型，辨识场景中系统可能存在的危险控制行为，针对每一个危险控制行为制定和细化安全约束，并通过整理安全约束获得等级转换场景中系统的安全需求。
　　2．基于CTCS-3级列控系统等级转换场景的技术规范，结合场景安全分析过程中划分的场景阶段、辨识的控制行为等信息，使用CPN理论构建场景下系统的行为模型，该模型能够反映场景下列控系统的动态过程，刻画场景下系统的行为；并在此模型的基础上定义安全约束与行为模型的映射规则，基于映射规则将场景安全分析得到的安全约束整合到系统的行为模型中来构建场景的安全行为模型。
　　3．根据图的覆盖准则和深度优先搜索算法，基于场景安全行为模型的状态空间生成包含安全属性的测试路径，并在此基础上设计与实现了测试路径自动生成的工具软件。