针对安全状态机缺乏时间描述能力的缺点,利用反应式系统的同步设计方法,提出了时间安全状态机TSSM(timed safe state machine)建模方法,定义了弱变迁和同步变迁语法,建立了城市轨道交通ZC(zone controller)系统模型.首先,分析了ZC系统的运行环境、工作原理和功能需求,根据ZC反应式系统的特点,利用TSSM在SCADE(safety critical application development environment)中建立了ZC系统列车管理、ZC控制、MA计算和队列管理子模型;其次,通过ZC系统的TSSM网络模型,分析了子模型间的交互信息;最后,采用Lustre语言对ZC系统的安全特性进行了形式化描述,并利用Design Verifier模型检测工具,结合数据流验证了ZC系统的功能和性能需要.研究结果表明,ZC系统TSSM模型的安全性和受限活性均为有效,ZC系统完全满足预期的安全需求.