一种铁路信号系统安全关键软件的形式化建模和分析方法