铁路信号设备的职责就是保证列车安全运行的前提下提高行车效率,所以安全性是第一前提。CTCS-3级列控车载安全计算机是一种高安全苛求车载设备,属于列控系统中车载关键子系统列车自动防护系统ATP的核心组成部分,是综合地面信息处理,计算执行安全监督和防护,指导司机驾驶和无线信息交互等多重安全功能的信息流决策终端。本文研究了在为CTCS-3级列控车载安全计算机编制安全证明文件(safety case)过程中,如何全面整理安全证据和假设,并应用目标结构符号GSN (Goal Structuring Notation)开展安全论证的方法。本文首先根据CTCS-3级列控系统车载设备技术规范和CTCS-3级列控系统技术创新总体方案,针对车载安全计算机导出了系统定义与应用条件,开展了全面详细的安全分析,根据EN50126和EN50129的要求,识别了完整的隐患并建立隐患群,对各隐患采用风险矩阵方法进行了定性风险评估,最终导出了完整的安全需求,通过故障树分析方法(FTA)分析证明了系统满足安全需求。风险控制措施和技术不在本文研究范围内。在以上安全证据全面齐备的前提下,采用GSN方法全面详细地对安全证明文件中的安全管理报告和技术安全报告进行了论述,论证了CTCS-3级列控车载安全计算机的安全性,从需求满足,安全证据继承和安全管理程序等三个视角平行地开展论证,以避免一般只采用一种论证视角可能带来的目标或证据遗漏与不严密。本文的研究方法和内容适用于一般列控系统设备或铁路通信信号设备的安全分析与论证,是对我国铁路信号系统安全性研究的探索,也适用一般铁路信号设备安全认证。