曾小清，方云根，王奕曾

（1.同濟(jì)大學(xué) 交通運(yùn)輸工程學(xué)院，上海市 201804；2.道路與交通工程教育部重點(diǎn)實(shí)驗(yàn)室，上海市 201804）

0 引言

交通是現(xiàn)代城市運(yùn)轉(zhuǎn)的重要組成部分，其安全性與人們生活密切相關(guān)，隨著通信、控制、計(jì)算機(jī)、人工智能等新技術(shù)的采用，交通自動(dòng)化程度越來(lái)越高：道路交通行業(yè)正在如火如荼地進(jìn)行無(wú)人駕駛系統(tǒng)的開(kāi)發(fā)和試驗(yàn)，而城市軌道交通的行車自動(dòng)化程度已由傳統(tǒng)的人工目視駕駛模式逐漸發(fā)展到無(wú)人值守的全自動(dòng)運(yùn)行模式；由于組成系統(tǒng)間的道路、設(shè)備、人員、環(huán)境等因素的耦合性增加，系統(tǒng)的安全保障變得更為復(fù)雜。近些年來(lái)，城市軌道交通安全事故偶有發(fā)生，如2017 年11 月15 日的新加坡地鐵列車相撞事故和2019 年3 月18 日港鐵荃灣線列車相撞事故，除了造成人員傷亡、財(cái)產(chǎn)損失、環(huán)境破壞之外，還會(huì)造成惡劣的社會(huì)影響。

目前城市軌道交通設(shè)計(jì)、制造、調(diào)試、運(yùn)行和維護(hù)過(guò)程中，通常采用故障樹(shù)分析（FTA）、失效模式和影響模式分析（FMEA）以及事件樹(shù)分析（ETA）等分析方法進(jìn)行安全分析，這些方法首先將系統(tǒng)分解為不同的組成部分，然后假設(shè)這些部件只處于工作或者失效狀態(tài)，系統(tǒng)組成部件的事件發(fā)生是按照線性規(guī)律有序排列的。這些分析方法對(duì)于復(fù)雜程度不高的設(shè)備安全分析較為有效，但是對(duì)于軌道交通列車運(yùn)行安全這樣一個(gè)涉及到設(shè)備、環(huán)境、人員、流程、組織等多因素的復(fù)雜社會(huì)技術(shù)系統(tǒng)來(lái)說(shuō)，前述分析過(guò)程難于全面分析多因素耦合的關(guān)系，存在一定的局限性。本文通過(guò)構(gòu)建軌道交通5M模型，以軌道交通行車安全任務(wù)為核心，研究軌道交通任務(wù)（Mission）、人員（Man）、設(shè)備（Machine）、環(huán)境（Media）和管理（Management）5 類元素之間的關(guān)系，提出基于5M 模型的安全分析方法。

1 城市軌道交通安全要求

城市軌道交通作為現(xiàn)代城市的重要交通方式，其基本功能就是為人們提供安全、可靠的日常交通服務(wù)。由于軌道交通系統(tǒng)涉及的設(shè)備分散多樣、人員眾多、環(huán)境多變、管理復(fù)雜等特點(diǎn)，使得行車指揮、運(yùn)行調(diào)度、車輛、軌道、供電、人員、信號(hào)、通信、綜合監(jiān)控、站臺(tái)門、乘客異動(dòng)等任何一種因素都可能造成安全事故的發(fā)生；作為系統(tǒng)安全保障工作的核心，需要通過(guò)理解安全事故隱患發(fā)生的機(jī)理，進(jìn)行風(fēng)險(xiǎn)評(píng)價(jià)并在全系統(tǒng)生命周期過(guò)程中進(jìn)行控制。

從軌道交通行車安全的角度來(lái)看，城市軌道交通行車安全系統(tǒng)應(yīng)至少具備以下安全功能[1]：

（1）列車進(jìn)路安全的保證：列車被授權(quán)沿著軌道移動(dòng)之前應(yīng)證明該部分線路是安全的（以防止脫軌并避免與其他列車移動(dòng)發(fā)生沖突），以及除了允許列車進(jìn)入一條被占用的線路的情況外，應(yīng)證明該線路沒(méi)有其他交通（以防止碰撞）。在授權(quán)沿線的一部分分區(qū)后，應(yīng)保持線路的安全性。

（2）列車移動(dòng)授權(quán)保證：設(shè)備或者人員應(yīng)提供明確、一致和及時(shí)的信息，以便能夠安全地控制列車。列車運(yùn)行的速度和距離應(yīng)與限制速度、可用進(jìn)路、坡度、制動(dòng)能力、列車性能、前方列車位置等條件相匹配。

（3）列車間隔防護(hù)：應(yīng)確保前后跟隨列車之間應(yīng)留有足夠的空間，以便每列列車安全地制動(dòng)到靜止?fàn)顟B(tài)。

（4）防止列車與軌道上的物體或者人員相撞:軌道交通設(shè)備或者工作人員應(yīng)實(shí)時(shí)監(jiān)督列車前方的軌道狀態(tài)，當(dāng)發(fā)現(xiàn)軌道上有物體或者人員時(shí)應(yīng)采取緊急制動(dòng)停車措施。

（5）防止乘客在上下車及乘車過(guò)程中由于車門動(dòng)作受到傷害: 設(shè)備和工作人員應(yīng)監(jiān)督列車客室車門的狀態(tài)，在確保乘客安全的條件下才進(jìn)行開(kāi)門或關(guān)門動(dòng)作。

（6）行車狀態(tài)安全監(jiān)控和應(yīng)急處理:通過(guò)設(shè)備和人員對(duì)行車設(shè)備健康狀態(tài)、火災(zāi)、脫軌等故障或緊急狀態(tài)進(jìn)行監(jiān)控并做出響應(yīng)。

2 軌道交通安全5M 模型

2.1 5M 模型起源及各因素之間關(guān)系

5M 模型作為一個(gè)概念，首先由康奈爾大學(xué)的TP Wright在20 世紀(jì)40 年代提出，他將人- 機(jī)- 環(huán)境（Men, Machine, Media） 三合一引入航空安全，1965 年第四個(gè)“M”（管理Management） 加入，在1976 年“任務(wù)”（Mission）被加入到整體模型中[2]，5M模型旨在以結(jié)構(gòu)化的方式描述或檢查系統(tǒng)設(shè)計(jì)、變更或特定事故，通過(guò)5M 要素識(shí)別和分析，有助于確定安全隱患原因、隱患以及安全風(fēng)險(xiǎn)緩解策略?；谶@些原因和軌道交通系統(tǒng)特點(diǎn)，可以利用5M 模型來(lái)對(duì)軌道交通系統(tǒng)的安全性進(jìn)行分析，從抽象的角度，軌道交通系統(tǒng)5M 元素之間的關(guān)系如圖1 所示。

圖1 5M 關(guān)系簡(jiǎn)圖

對(duì)于軌道交通系統(tǒng)安全運(yùn)輸乘客這一頂層任務(wù)來(lái)說(shuō)，其設(shè)備包含了系統(tǒng)中所有的土建和機(jī)電設(shè)備；人員除了乘客之外，還包括分布在車輛上、站臺(tái)、車輛段、控制中心的工作人員、設(shè)備供應(yīng)商、維護(hù)人員等；環(huán)境除了自然環(huán)境外，還包括軌道交通系統(tǒng)有接口的社會(huì)系統(tǒng)環(huán)境；管理主要為運(yùn)營(yíng)管理、行車管理、設(shè)備管理、維護(hù)管理、人員管理等。

如圖1 所示，可以認(rèn)為，系統(tǒng)的安全性取決于任務(wù)、人員、管理、設(shè)備和環(huán)境中的任何一元素，也就是系統(tǒng)5M 模型是一個(gè)串聯(lián)結(jié)構(gòu)，顯然系統(tǒng)的安全性S將取決于5M 中任何一個(gè)元素的安全性，只要其中任何一個(gè)元素出現(xiàn)危險(xiǎn)性故障，則系統(tǒng)將進(jìn)入危險(xiǎn)狀態(tài)，若Smi為元素的安全性，則系統(tǒng)的安全性S 可以表示為：

系統(tǒng)在t 時(shí)刻的安全度S（t）為：

根據(jù)以上所述，軌道交通5M 模型的構(gòu)建要以系統(tǒng)任務(wù)為核心，識(shí)別出與任務(wù)相關(guān)的所有人員、管理、設(shè)備和環(huán)境因素，并識(shí)別出這些要素之間的相互關(guān)聯(lián)關(guān)系。

2.2 臨時(shí)限速5M 模型要素識(shí)別

軌道交通臨時(shí)限速是除指系統(tǒng)設(shè)計(jì)的永久固定限速以外，由于出現(xiàn)突發(fā)臨時(shí)的自然災(zāi)害、施工、改造、升級(jí)、維修、設(shè)備故障等原因而需要列車經(jīng)過(guò)特定區(qū)段降低運(yùn)行速度；臨時(shí)限速隨著發(fā)起原因的消失而消失，具有明顯的時(shí)效性特點(diǎn)；臨時(shí)限速功能的發(fā)起、設(shè)定、驗(yàn)證、執(zhí)行、取消等環(huán)節(jié)涉及軌道交通信號(hào)、車輛、通信、工務(wù)、電務(wù)、行車等設(shè)備和人員，由于涉及因素眾多，極易引起安全隱患。

從臨時(shí)限速的設(shè)定和取消過(guò)程進(jìn)行分析，臨時(shí)限速的流程包括發(fā)現(xiàn)行車運(yùn)行過(guò)程中發(fā)現(xiàn)臨時(shí)限速需求、擬定設(shè)置限速、驗(yàn)證設(shè)置限速、執(zhí)行設(shè)置限速、擬定取消限速、驗(yàn)證取消限速和執(zhí)行取消限速恢復(fù)正常運(yùn)行等環(huán)節(jié)，針對(duì)這一過(guò)程，識(shí)別出的5M 模型因素見(jiàn)表1。

3 案例分析

為驗(yàn)證基于5M 模型的安全分析方法適用性，結(jié)合第2 章提到的軌道交通臨時(shí)限速5M 模型，利用臨時(shí)限速任務(wù)作為案例，進(jìn)行安全性分析。

表1 臨時(shí)限速5M 要素識(shí)別

3.1 臨時(shí)限速命令的基本內(nèi)容

為進(jìn)行安全分析，首先需要明確臨時(shí)限速命令中所包含的基本內(nèi)容，這些內(nèi)容將作為安全分析的基礎(chǔ)。

表2 臨時(shí)限速命令的內(nèi)容

3.2 基于5M 模型的功能共振分析

功能共振分析法模型是丹麥的Hollnagel 于2004 年提出一種事故分析方法，它不局限于系統(tǒng)結(jié)構(gòu)分解和致因因素分析，認(rèn)為事故本質(zhì)上是系統(tǒng)正常運(yùn)行的突變，強(qiáng)調(diào)從整個(gè)系統(tǒng)的角度來(lái)解釋事故，避免將事故視為單個(gè)事件的有序發(fā)生或潛在因素的層級(jí)疊加[3]。本文采用2020 年9 月發(fā)布的FMV Pro軟件作為基于5M 模型的功能共振分析工具，以2.2和3.1 節(jié)的分析基礎(chǔ)，建立的5M 模型如圖2 所示。

在FMV Pro 中可以清晰地分析每一個(gè)任務(wù)的輸入輸出的上下游任務(wù)直接關(guān)聯(lián)關(guān)系和參數(shù)，也可以看到每一個(gè)任務(wù)的具體時(shí)間、資源、控制、前提等屬性，對(duì)于每一個(gè)參數(shù)和屬性，可以依據(jù)設(shè)置變動(dòng)進(jìn)行影響分析。

圖2 基于5M 模型的臨時(shí)限速分析圖

通過(guò)在FMV Pro 中對(duì)臨時(shí)限速?gòu)奶岢雠R時(shí)限速需求、擬定臨時(shí)限速、驗(yàn)證臨時(shí)限速、執(zhí)行臨時(shí)限速、擬定取消臨時(shí)限速、驗(yàn)證取消限速、執(zhí)行取消限速、運(yùn)行情況監(jiān)控、信號(hào)與通信設(shè)備、工作人員這9 個(gè)不同的元素構(gòu)建5M 模型，并從每元素的輸入、輸出、時(shí)間、控制、前提和資源這6 個(gè)特征值波動(dòng)進(jìn)行元素之間的關(guān)聯(lián)和變化分析。通過(guò)分析可知：（1）分析的結(jié)果表明：“人員”因素中的“提出臨時(shí)限速需求”任務(wù)對(duì)系統(tǒng)的安全性影響最大，他與每個(gè)任務(wù)都有關(guān)聯(lián)；（2）如果限速的擬定和驗(yàn)證采用相同的資源，如同樣的設(shè)備、通用的人員，則可能導(dǎo)致共因失效的發(fā)生，不能確保臨時(shí)限速的安全性[4]；（3）針對(duì)每個(gè)元素依據(jù)6 個(gè)特征值進(jìn)行分析，可以提出更為全面的風(fēng)險(xiǎn)控制措施。

4 結(jié) 語(yǔ)

基于5M 模型的交通安全分析以系統(tǒng)任務(wù)為出發(fā)點(diǎn)，結(jié)合每一個(gè)系統(tǒng)任務(wù)，對(duì)交通安全中涉及的基礎(chǔ)設(shè)施、設(shè)備、行人、車輛、環(huán)境和管理因素進(jìn)行分析建模，識(shí)別交通安全事故中的關(guān)鍵隱患因素，識(shí)別事故發(fā)生的一般規(guī)律。同時(shí)結(jié)合功能共振分析法，從每個(gè)元素的特征值進(jìn)行變動(dòng)分析，可以識(shí)別系統(tǒng)的具體安全隱患，為安全保障過(guò)程中的風(fēng)險(xiǎn)控制措施制定提供基礎(chǔ)。

基于5M 模型的安全分析方法不僅可以應(yīng)用于軌道交通，也可以應(yīng)用于日益復(fù)雜的整個(gè)城市道路交通系統(tǒng)安全分析、特別是針對(duì)道路交通環(huán)境、設(shè)施的建設(shè)與維護(hù)。