劉金濤，鄭 偉，李克平，吳道華

(1.北京交通大學(xué) 國(guó)家軌道交通安全評(píng)估研究中心， 北京 100044；2.北京交通大學(xué) 軌道交通控制與安全國(guó)家重點(diǎn)實(shí)驗(yàn)室， 北京 100044)

作為高速鐵路的關(guān)鍵設(shè)備，高鐵信號(hào)系統(tǒng)承擔(dān)著高鐵列車的安全保障任務(wù)，一旦出現(xiàn)問(wèn)題，將直接影響列車的行車安全，甚至造成高鐵事故。保障高鐵信號(hào)系統(tǒng)的安全性對(duì)于我國(guó)高速鐵路的健康發(fā)展至關(guān)重要。

高鐵信號(hào)系統(tǒng)安全保障工作的核心是對(duì)高鐵信號(hào)系統(tǒng)進(jìn)行危險(xiǎn)分析，辨識(shí)出危險(xiǎn)致因，進(jìn)而針對(duì)各類潛在危險(xiǎn)致因制定安全措施[1]。然而考慮到系統(tǒng)開(kāi)發(fā)的費(fèi)效比，在高鐵信號(hào)系統(tǒng)的設(shè)計(jì)階段就針對(duì)全部危險(xiǎn)致因設(shè)計(jì)安全防護(hù)措施是不切實(shí)際的。因此需要對(duì)危險(xiǎn)致因的重要度程度進(jìn)行評(píng)價(jià)，找出關(guān)鍵的危險(xiǎn)致因，在系統(tǒng)設(shè)計(jì)階段建立相應(yīng)的安全措施，而對(duì)其他的致因可在系統(tǒng)運(yùn)行階段再建立相應(yīng)的安全屏障或應(yīng)急計(jì)劃以消除其可能帶來(lái)的損害[2]。由此，采用有效的方法對(duì)危險(xiǎn)致因進(jìn)行評(píng)價(jià)，是實(shí)施高鐵信號(hào)系統(tǒng)安全保障工作的前提，對(duì)于保障高鐵列車安全運(yùn)行具有重要意義。

目前被廣泛應(yīng)用的危險(xiǎn)致因評(píng)價(jià)方法可分為基于結(jié)構(gòu)的方法和基于概率的方法?；诮Y(jié)構(gòu)的方法，例如結(jié)構(gòu)重要度分析[3-5]是利用致因間因果關(guān)系構(gòu)成的因果關(guān)系結(jié)構(gòu)對(duì)致因的重要度進(jìn)行評(píng)價(jià)。然而，這類方法以致因間的線性因果關(guān)系為基礎(chǔ)，難以適用于高鐵信號(hào)系統(tǒng)這類具有非線性組件交互關(guān)系的復(fù)雜系統(tǒng)[6]?；诟怕实姆椒?，是利用致因事件的發(fā)生概率來(lái)評(píng)價(jià)致因的重要程度，代表方法有概率重要度分析[7-8]、臨界重要度分析[9-10]、危害度分析[11-12]、基于貝葉斯網(wǎng)絡(luò)的重要度分析[13]等。這類方法易于操作且能夠給出量化的致因評(píng)價(jià)結(jié)果。但是，高鐵信號(hào)系統(tǒng)實(shí)際外部運(yùn)行環(huán)境(線路環(huán)境、人員操作等)變化性較大，難以獲得與外部干擾相關(guān)的致因發(fā)生概率。

近年來(lái)，有學(xué)者將復(fù)雜網(wǎng)絡(luò)[14]應(yīng)用于鐵路相關(guān)事故致因的評(píng)價(jià)過(guò)程[15-20]。復(fù)雜網(wǎng)絡(luò)作為研究復(fù)雜系統(tǒng)或復(fù)雜對(duì)象的工具，能夠同時(shí)考慮單個(gè)節(jié)點(diǎn)屬性和節(jié)點(diǎn)間復(fù)雜耦合關(guān)系。相比于傳統(tǒng)基于結(jié)構(gòu)的方法，基于復(fù)雜網(wǎng)絡(luò)的方法能夠刻畫組件間非線性交互關(guān)系帶來(lái)的影響。同時(shí)，相比于基于概率的方法，基于復(fù)雜網(wǎng)絡(luò)的方法利用網(wǎng)絡(luò)拓?fù)涮卣髟u(píng)價(jià)危險(xiǎn)致因，既能實(shí)現(xiàn)對(duì)危險(xiǎn)致因的量化評(píng)價(jià)，又避免了某些致因概率難以獲取的問(wèn)題。但是，現(xiàn)有研究[15-20]所采用的拓?fù)涮卣髦笜?biāo)來(lái)源于無(wú)向同質(zhì)網(wǎng)絡(luò)，即網(wǎng)絡(luò)中的節(jié)點(diǎn)均為同一類型節(jié)點(diǎn)且通過(guò)無(wú)向邊進(jìn)行連接，而高鐵信號(hào)系統(tǒng)危險(xiǎn)致因網(wǎng)絡(luò)是具有危險(xiǎn)節(jié)點(diǎn)和致因節(jié)點(diǎn)的異質(zhì)網(wǎng)絡(luò)，并且網(wǎng)絡(luò)中的關(guān)系均為有向的因果關(guān)系。因此，現(xiàn)有的拓?fù)涮卣髦笜?biāo)難以準(zhǔn)確分析高鐵信號(hào)系統(tǒng)危險(xiǎn)致因網(wǎng)絡(luò)這種有向異質(zhì)網(wǎng)絡(luò)。

本文對(duì)現(xiàn)有復(fù)雜網(wǎng)絡(luò)拓?fù)涮卣髦笜?biāo)進(jìn)行擴(kuò)展，使用復(fù)雜網(wǎng)絡(luò)對(duì)高鐵信號(hào)系統(tǒng)危險(xiǎn)致因進(jìn)行評(píng)價(jià)。其中，著重介紹高鐵信號(hào)系統(tǒng)危險(xiǎn)致因網(wǎng)絡(luò)建模方法、基于拓?fù)涮卣鞯奈ｋU(xiǎn)致因評(píng)價(jià)，并以典型的高鐵信號(hào)系統(tǒng)危險(xiǎn)為例，使用該方法對(duì)相關(guān)危險(xiǎn)致因進(jìn)行評(píng)價(jià)分析。

1 高鐵信號(hào)系統(tǒng)危險(xiǎn)致因網(wǎng)絡(luò)

復(fù)雜網(wǎng)絡(luò)[14]是對(duì)復(fù)雜系統(tǒng)或復(fù)雜對(duì)象的拓?fù)浠枋?，可以表示為由?jié)點(diǎn)及節(jié)點(diǎn)間的邊構(gòu)成的拓?fù)鋱D，也可以表示為節(jié)點(diǎn)間關(guān)系的鄰接矩陣。在復(fù)雜網(wǎng)絡(luò)中，節(jié)點(diǎn)間通過(guò)一條無(wú)向或有向的邊進(jìn)行連接。如果兩個(gè)節(jié)點(diǎn)被一條邊相鄰，說(shuō)明這兩個(gè)節(jié)點(diǎn)間存在一定的關(guān)系，比如信息傳播關(guān)系、物理連接關(guān)系等等。

基于復(fù)雜網(wǎng)絡(luò)這樣的特征，可以將高鐵信號(hào)系統(tǒng)危險(xiǎn)及其致因抽象為復(fù)雜網(wǎng)絡(luò)中的節(jié)點(diǎn)，而致因之間以及致因與危險(xiǎn)之間的因果關(guān)系則可以抽象為連接節(jié)點(diǎn)的邊。由于因果關(guān)系具有方向性，即由某一個(gè)致因?qū)е铝硪粋€(gè)致因或危險(xiǎn)，因此因果邊是一種有向邊。這樣，系統(tǒng)危險(xiǎn)致因及其因果關(guān)系就構(gòu)成了高鐵信號(hào)系統(tǒng)的危險(xiǎn)致因網(wǎng)絡(luò)。

定義1 危險(xiǎn)致因網(wǎng)絡(luò)。高鐵信號(hào)系統(tǒng)危險(xiǎn)致因網(wǎng)絡(luò)HCN是后續(xù)進(jìn)行致因評(píng)價(jià)的基礎(chǔ)，本文給出其形式化定義為

HCN=(Vh,Vc,E)

式中：Vh為危險(xiǎn)節(jié)點(diǎn)，代表高鐵信號(hào)系統(tǒng)的系統(tǒng)級(jí)危險(xiǎn)；Vc={Vi,i=1, 2, …,N}為一個(gè)非空有限的致因節(jié)點(diǎn)集合，代表危險(xiǎn)Vh的致因因素，其中N為已辨識(shí)出的Vh致因的數(shù)量，Vi為危險(xiǎn)Vh的第i個(gè)致因；E={〈Vi,Vj〉, 〈Vk,Vh〉}為一個(gè)非空有限的因果關(guān)系集合，代表致因之間以及致因與危險(xiǎn)之間的因果邊，其中{Vi,Vj,Vk,i≠j,j=1, 2, …,N,k=1, 2, …,N}?Vc，〈Vi,Vj〉表示致因Vi與致因Vj間的因果關(guān)系，〈Vk,Vh〉表示致因Vk與危險(xiǎn)Vh間的因果關(guān)系。

定義2 鄰接矩陣。根據(jù)定義1，本文通過(guò)高鐵信號(hào)系統(tǒng)危險(xiǎn)致因網(wǎng)絡(luò)的鄰接矩陣來(lái)建立危險(xiǎn)致因網(wǎng)絡(luò)，其中，鄰接矩陣HAM為

(1)

式中：i為危險(xiǎn)致因；j為危險(xiǎn)致因或系統(tǒng)危險(xiǎn)。

根據(jù)式(1)，如果HAMij取值為1，則節(jié)點(diǎn)i和節(jié)點(diǎn)j直接存在一條因果關(guān)系邊。以高鐵信號(hào)系統(tǒng)的無(wú)線閉塞中心(Radio Block Center，RBC)提供“錯(cuò)誤的移動(dòng)授權(quán)(MA)信息”(C01)，該致因可能會(huì)造成車載計(jì)算機(jī)(Vital Computer，VC)“過(guò)晚實(shí)施制動(dòng)”(C02)或“未實(shí)施制動(dòng)”(C03)，進(jìn)而可能造成列車超過(guò)規(guī)定的安全速度距離限制(Hazard)為例，上述致因和危險(xiǎn)構(gòu)成的HAM矩陣以及相應(yīng)的網(wǎng)絡(luò)示例見(jiàn)圖1。

圖1 HAM矩陣及相應(yīng)網(wǎng)絡(luò)示例

定義3 結(jié)構(gòu)矩陣。高鐵信號(hào)系統(tǒng)危險(xiǎn)致因的HAM矩陣從各節(jié)點(diǎn)因果關(guān)系的角度對(duì)危險(xiǎn)致因網(wǎng)絡(luò)的結(jié)構(gòu)進(jìn)行了刻畫。為了便于后續(xù)基于拓?fù)涞奈ｋU(xiǎn)致因評(píng)價(jià)，在HAM基礎(chǔ)上，本文定義另外兩種危險(xiǎn)致因網(wǎng)絡(luò)的結(jié)構(gòu)矩陣：最短路徑矩陣HSPM和可達(dá)矩陣HRM，其表達(dá)式分別為

(2)

(3)

式中：Vij為節(jié)點(diǎn)i和j最短路徑上的節(jié)點(diǎn)集合；m和n為該節(jié)點(diǎn)集合中的元素；Inf代表路徑長(zhǎng)度無(wú)窮大，即節(jié)點(diǎn)i和j間不存在連接路徑；?為空集。HSPM矩陣從各節(jié)點(diǎn)間最短致因路徑長(zhǎng)度的角度，刻畫了危險(xiǎn)致因網(wǎng)絡(luò)的結(jié)構(gòu)特征，而HRM則從致因間是否具有間接因果關(guān)系的角度刻畫了危險(xiǎn)致因網(wǎng)絡(luò)。根據(jù)上述定義，以前述高鐵信號(hào)系統(tǒng)危險(xiǎn)致因?yàn)槔?，?gòu)建相應(yīng)的HSPM矩陣和HRM矩陣，見(jiàn)圖2。

圖2 HSPM、HRM矩陣示例

定義4 致因類型矩陣。除上述三種結(jié)構(gòu)矩陣外，為便于后續(xù)分析，本文還針對(duì)危險(xiǎn)致因類型定義了致因類型矩陣HTM，表達(dá)式為

(4)

式中：ti為該危險(xiǎn)致因的類型；k為任意危險(xiǎn)致因類型。以前述高鐵信號(hào)系統(tǒng)危險(xiǎn)致因?yàn)槔瑯?gòu)建相應(yīng)的HTM矩陣，見(jiàn)圖3。其中，RBC和VC分別為無(wú)線閉塞中心相關(guān)的致因和車載計(jì)算機(jī)相關(guān)的致因。

2 危險(xiǎn)致因評(píng)價(jià)方法

高鐵信號(hào)系統(tǒng)危險(xiǎn)致因網(wǎng)絡(luò)通過(guò)刻畫致因與致因之間以及致因與危險(xiǎn)之間的因果關(guān)系，實(shí)現(xiàn)了對(duì)高鐵信號(hào)系統(tǒng)危險(xiǎn)成因過(guò)程的拓?fù)浣Y(jié)構(gòu)刻畫。在此基礎(chǔ)上，通過(guò)拓?fù)浞治隹梢詫?duì)各個(gè)致因進(jìn)行評(píng)價(jià)，從而為后續(xù)危險(xiǎn)控制策略的制定提供依據(jù)。

然而，現(xiàn)有基于網(wǎng)絡(luò)拓?fù)浞治龅闹乱蛟u(píng)價(jià)方法所采用的拓?fù)浞治鲋笜?biāo)[15-20]均來(lái)自無(wú)向同質(zhì)網(wǎng)絡(luò)，即網(wǎng)絡(luò)節(jié)點(diǎn)均為同一類型節(jié)點(diǎn)，且網(wǎng)絡(luò)邊均為無(wú)向的同類型邊?？紤]到高鐵信號(hào)系統(tǒng)危險(xiǎn)致因網(wǎng)絡(luò)的有向異質(zhì)網(wǎng)絡(luò)特點(diǎn)，即由致因節(jié)點(diǎn)和危險(xiǎn)節(jié)點(diǎn)構(gòu)成且節(jié)點(diǎn)間通過(guò)有向的因果關(guān)系邊連接，有必要對(duì)相關(guān)拓?fù)浞治鲋笜?biāo)進(jìn)行擴(kuò)展，以適應(yīng)高鐵信號(hào)系統(tǒng)危險(xiǎn)致因評(píng)價(jià)的需求。因此，本文提出以下幾種拓?fù)浞治鲋笜?biāo)以用于危險(xiǎn)致因評(píng)價(jià)。

(1)網(wǎng)絡(luò)平均因果作用強(qiáng)度

高鐵信號(hào)系統(tǒng)危險(xiǎn)致因網(wǎng)絡(luò)作為一種因果關(guān)系網(wǎng)絡(luò)，任意兩個(gè)節(jié)點(diǎn)間的最短路徑長(zhǎng)度反映了它們之間因果作用的強(qiáng)弱，即兩個(gè)致因相距越遠(yuǎn)，它們之間的因果作用效果越弱。在此基礎(chǔ)上，本文定義危險(xiǎn)致因網(wǎng)絡(luò)的平均因果作用強(qiáng)度CSHCN為

(5)

式中：H為危險(xiǎn)節(jié)點(diǎn)。該拓?fù)渲笜?biāo)反映了致因與系統(tǒng)危險(xiǎn)間的平均因果作用效果，其值越大，說(shuō)明高鐵信號(hào)系統(tǒng)危險(xiǎn)致因網(wǎng)絡(luò)中致因節(jié)點(diǎn)與系統(tǒng)危險(xiǎn)的因果作用越強(qiáng)，危險(xiǎn)也越容易被觸發(fā)。

(2)致因的因果節(jié)點(diǎn)數(shù)

危險(xiǎn)致因在網(wǎng)絡(luò)中的可達(dá)節(jié)點(diǎn)數(shù)，即該致因能夠致使其他致因發(fā)生的數(shù)量，反映了該致因作為風(fēng)險(xiǎn)源頭的影響力?？蛇_(dá)節(jié)點(diǎn)數(shù)越大，說(shuō)明該危險(xiǎn)致因能夠引起的其他致因的數(shù)量越多。類似的，危險(xiǎn)致因在網(wǎng)絡(luò)中的潛在源頭數(shù)，即能夠?qū)е略撝乱虬l(fā)生的其他致因的數(shù)量，反映了該致因作為風(fēng)險(xiǎn)累積節(jié)點(diǎn)的程度。潛在源頭數(shù)越大，說(shuō)明能夠引起該致因發(fā)生的致因數(shù)量越多。基于此，本文給出刻畫致因因果節(jié)點(diǎn)數(shù)量的兩個(gè)拓?fù)渲笜?biāo)：可達(dá)節(jié)點(diǎn)數(shù)指標(biāo)Ri和源頭節(jié)點(diǎn)數(shù)指標(biāo)Si分別為

(6)

(7)

(3)致因類型的因果緊密度

高鐵信號(hào)系統(tǒng)危險(xiǎn)致因網(wǎng)絡(luò)中的危險(xiǎn)致因具有不同的類型，分析各個(gè)類型間的因果關(guān)系差異程度，能夠從整體上揭示危險(xiǎn)致因因果傳播的關(guān)鍵環(huán)節(jié)。反映危險(xiǎn)致因類型間因果緊密程度的拓?fù)渲笜?biāo)PEF，其表達(dá)式為

式中：E和F為危險(xiǎn)致因的某兩種類型。該指標(biāo)以致因類型和致因間的最短路徑長(zhǎng)度為基礎(chǔ)，衡量不同致因類型間的平均最短路徑長(zhǎng)度。其值越小，說(shuō)明類型間的因果關(guān)系越緊密。

(4)致因的因果中介性

危險(xiǎn)致因的因果中介性即致因在風(fēng)險(xiǎn)傳播過(guò)程中所起到的中介作用程度。該拓?fù)渲笜?biāo)綜合了傳統(tǒng)的拓?fù)渲笜?biāo)介數(shù)Bk和致因因果作用強(qiáng)度兩個(gè)維度的信息，其表達(dá)式為

(9)

某致因的因果中介性反映了不同因果強(qiáng)度的危險(xiǎn)成因路徑經(jīng)由該致因的數(shù)量，其值越大，說(shuō)明該致因?qū)τ谖ｋU(xiǎn)成因過(guò)程越關(guān)鍵。

為了從網(wǎng)絡(luò)的全局角度分析危險(xiǎn)致因的因果中介性特性，本文還給出了因果中介累積分布函數(shù)P(b)，其表達(dá)式為

(10)

式中：N(b)為因果中介值為b的致因數(shù)量。該分布函數(shù)表示隨機(jī)選取任意一個(gè)危險(xiǎn)致因，其因果中介值大于某一特定值的概率，即反映了在高鐵信號(hào)系統(tǒng)危險(xiǎn)致因網(wǎng)絡(luò)上因果中介性的分布特性。

使用上述基于復(fù)雜網(wǎng)絡(luò)的危險(xiǎn)致因評(píng)價(jià)方法對(duì)我國(guó)高鐵信號(hào)系統(tǒng)的典型系統(tǒng)危險(xiǎn)致因進(jìn)行建模和評(píng)價(jià)分析。

3 案例分析

3.1 系統(tǒng)危險(xiǎn)及危險(xiǎn)致因

我國(guó)的高鐵信號(hào)系統(tǒng)由列車運(yùn)行控制系統(tǒng)(Chinese Train Control System, CTCS)、分散自律調(diào)度集中系統(tǒng)(Centralized Traffic Control，CTC)以及計(jì)算機(jī)聯(lián)鎖系統(tǒng)組成。其中CTCS系統(tǒng)的典型代表是CTCS-3級(jí)列控系統(tǒng)。CTCS-3級(jí)列控系統(tǒng)包括車載控制子系統(tǒng)和地面控制子系統(tǒng)。其中，車載控制子系統(tǒng)又包含車載計(jì)算機(jī)、無(wú)線通信模塊等；地面控制子系統(tǒng)又包含無(wú)線閉塞中心、列控中心等。由以上系統(tǒng)組成可以看出，高鐵信號(hào)系統(tǒng)是一個(gè)由多種子系統(tǒng)和設(shè)備組成的復(fù)雜系統(tǒng)。目前，典型的面向復(fù)雜系統(tǒng)的危險(xiǎn)致因分析技術(shù)是系統(tǒng)理論的過(guò)程分析(System-Theoretic Process Analysis，STPA)，已被廣泛用于高鐵信號(hào)系統(tǒng)的危險(xiǎn)致因辨識(shí)過(guò)程[21-24]。

本文以高鐵信號(hào)系統(tǒng)的典型系統(tǒng)危險(xiǎn)“高鐵信號(hào)系統(tǒng)沒(méi)有防止列車在運(yùn)行中超出安全的速度距離限制”作為系統(tǒng)級(jí)危險(xiǎn)，并選取與CTC、RBC、VC等子系統(tǒng)以及調(diào)度員(Dispatcher)、司機(jī)(Train Driver)等操作人員相關(guān)的危險(xiǎn)致因[24]作為研究對(duì)象，應(yīng)用本文方法進(jìn)行危險(xiǎn)致因評(píng)價(jià)。其中，文獻(xiàn)[24]基于STPA方法已對(duì)潛在的能夠?qū)е孪到y(tǒng)級(jí)危險(xiǎn)“高鐵信號(hào)系統(tǒng)沒(méi)有防止列車在運(yùn)行中超出安全的速度距離限制”(標(biāo)記為Hazard)的致因進(jìn)行了辨識(shí)，所得的具體危險(xiǎn)致因(標(biāo)記為“C+編號(hào)”的形式)見(jiàn)表1，本文以此作為危險(xiǎn)致因評(píng)價(jià)工作的輸入數(shù)據(jù)。

3.2 危險(xiǎn)致因網(wǎng)絡(luò)

表1所示各個(gè)危險(xiǎn)致因之間存在因果關(guān)系[24]，例如，調(diào)度員提供了錯(cuò)誤的作業(yè)計(jì)劃(C01)，會(huì)導(dǎo)致調(diào)度集中系統(tǒng)產(chǎn)生錯(cuò)誤的進(jìn)路控制命令(C14)；進(jìn)一步，C14又可能導(dǎo)致無(wú)線閉塞中心錯(cuò)誤的延伸移動(dòng)授權(quán)(C28)。根據(jù)危險(xiǎn)致因網(wǎng)絡(luò)定義1和式(1)，可通過(guò)致因間的因果關(guān)系建立致因網(wǎng)絡(luò)。例如，由于C01和C14、C14和C28間存在因果關(guān)系，即和均屬于集合E，則C01和C14之間、C14和C28之間各形成一條因果關(guān)系邊。同理，可建立本案例的危險(xiǎn)致因網(wǎng)絡(luò)，見(jiàn)圖4。其中，Hazard節(jié)點(diǎn)為危險(xiǎn)節(jié)點(diǎn)，其他節(jié)點(diǎn)均為能夠?qū)е略撐ｋU(xiǎn)的致因節(jié)點(diǎn)。該危險(xiǎn)致因網(wǎng)絡(luò)共包括77個(gè)致因節(jié)點(diǎn)和1個(gè)危險(xiǎn)節(jié)點(diǎn)以及123條因果邊，各致因節(jié)點(diǎn)的含義同表1。需要說(shuō)明的是，圖4所示危險(xiǎn)致因網(wǎng)絡(luò)的正確性受輸入數(shù)據(jù)正確性和網(wǎng)絡(luò)建模過(guò)程正確性的影響。關(guān)于輸入數(shù)據(jù)的正確性或完備性，需要在此之前的危險(xiǎn)致因辨識(shí)過(guò)程來(lái)保證，不在本文考慮范圍。關(guān)于網(wǎng)絡(luò)建模過(guò)程的正確性，目前可通過(guò)小組人工檢查的方式對(duì)每條因果邊的正確性進(jìn)行核實(shí)和確認(rèn)。

表1 案例的系統(tǒng)危險(xiǎn)致因[24]

3.3 致因評(píng)價(jià)結(jié)果

根據(jù)危險(xiǎn)致因評(píng)價(jià)方法，在極限情況下，即假如所有致因均能直接導(dǎo)致系統(tǒng)危險(xiǎn)(HSPMiH取值為1)，則最大平均因果作用強(qiáng)度為1，也即危險(xiǎn)致因網(wǎng)絡(luò)的平均因果作用強(qiáng)度的值區(qū)間為(0，1]。由式(5)計(jì)算可得，圖4所示危險(xiǎn)致因網(wǎng)絡(luò)的平均因果作用強(qiáng)度值為0.412，處于中間偏低水平，這符合高鐵信號(hào)系統(tǒng)的層次化控制結(jié)構(gòu)，即大部分致因并不會(huì)直接導(dǎo)致系統(tǒng)危險(xiǎn)。

圖4 危險(xiǎn)致因網(wǎng)絡(luò)

由式(6)和式(7)可得危險(xiǎn)致因在網(wǎng)絡(luò)中的可達(dá)致因節(jié)點(diǎn)數(shù)和源致因節(jié)點(diǎn)數(shù)?；诳蛇_(dá)/源節(jié)點(diǎn)數(shù)的致因分布見(jiàn)圖5。

圖5 基于可達(dá)/源節(jié)點(diǎn)數(shù)的致因分布

由圖5可以看出，有些致因的源節(jié)點(diǎn)數(shù)很少但可達(dá)節(jié)點(diǎn)數(shù)很多，如C08、C10等，這些致因在風(fēng)險(xiǎn)傳播過(guò)程中發(fā)揮源頭致因的作用，即它們往往作為風(fēng)險(xiǎn)傳播的起點(diǎn)；有些致因的可達(dá)節(jié)點(diǎn)數(shù)很少但源節(jié)點(diǎn)數(shù)很多，如C58、C57等，這些致因在風(fēng)險(xiǎn)傳播過(guò)程中起到風(fēng)險(xiǎn)累積致因的作用，即它們會(huì)被多種危險(xiǎn)致因引發(fā)；有些致因具有相近的源節(jié)點(diǎn)數(shù)和可達(dá)節(jié)點(diǎn)數(shù)，即分布在圖5虛線附近的致因，如C29、C16等，這些致因在風(fēng)險(xiǎn)傳播過(guò)程中起著中轉(zhuǎn)風(fēng)險(xiǎn)的作用。圖5給出的致因分布情況，有助于確定危險(xiǎn)致因在風(fēng)險(xiǎn)傳播過(guò)程中的角色和作用。對(duì)于源頭型致因應(yīng)重點(diǎn)防止其向其他致因的傳播，對(duì)于風(fēng)險(xiǎn)累積型致因應(yīng)重點(diǎn)防止其他致因向其傳播，而對(duì)于中轉(zhuǎn)型的致因則可適用上述兩種防護(hù)策略。

根據(jù)式(8)，可得危險(xiǎn)致因類型間的因果緊密程度，見(jiàn)圖6。

圖6 危險(xiǎn)致因類型的因果緊密程度

由圖6可以看出，同類型致因之間的因果緊密度值最小(1.000)，即同類致因具有更加緊密的因果關(guān)系。這是因?yàn)橥愋椭乱虺霈F(xiàn)在同一類子系統(tǒng)或人員內(nèi)，相較不同類型致因之間的關(guān)系其耦合程度更為緊密。另外，從不同類型致因間的因果緊密程度來(lái)看，RBC相關(guān)的致因與VC相關(guān)的致因最為緊密(1.705)，這意味著對(duì)信號(hào)系統(tǒng)進(jìn)行風(fēng)險(xiǎn)傳播控制時(shí)，這兩類致因間的路徑應(yīng)為重點(diǎn)防控的對(duì)象。

根據(jù)式(9)，可得各個(gè)致因的因果中介值，見(jiàn)圖7。其中給出了25個(gè)致因的因果中介值，其他52個(gè)致因由于不承擔(dān)因果中介作用，即因果中介值為0，因此不在圖中展示。

圖7 危險(xiǎn)致因的因果中介性

圖7所示數(shù)值表明了各個(gè)致因的重要程度，其中有些致因具有較高的因果中介性，如C57、C58、C59等，它們?cè)谛盘?hào)系統(tǒng)危險(xiǎn)成因過(guò)程中起到更加關(guān)鍵的中間者作用，加強(qiáng)對(duì)這些關(guān)鍵致因的安全防控，能夠切斷系統(tǒng)危險(xiǎn)成因路徑，從而有效防控系統(tǒng)危險(xiǎn)的出現(xiàn)。

3.4 結(jié)果分析

本文通過(guò)所提的多種拓?fù)涮卣髦笜?biāo)，從不同維度(如因果節(jié)點(diǎn)數(shù)、因果緊密度、因果中介性)對(duì)危險(xiǎn)致因進(jìn)行了評(píng)價(jià)，綜合利用這些評(píng)價(jià)結(jié)果可形成具有針對(duì)性的危險(xiǎn)控制策略。危險(xiǎn)致因評(píng)價(jià)結(jié)果的綜合利用過(guò)程見(jiàn)圖8。

圖8 危險(xiǎn)致因評(píng)價(jià)結(jié)果的綜合利用過(guò)程

圖8中，綜合利用致因評(píng)價(jià)結(jié)果形成危險(xiǎn)控制策略的過(guò)程包括三個(gè)步驟?，F(xiàn)根據(jù)這三個(gè)步驟，以本文3.3節(jié)所得分析結(jié)果為例，展示如何綜合利用致因評(píng)價(jià)結(jié)果確定危險(xiǎn)防控策略。

(1)由圖7可見(jiàn)各個(gè)致因的重要程度。特別地，根據(jù)式(10)可得危險(xiǎn)致因因果中介性的分布情況，見(jiàn)圖9。

圖9 危險(xiǎn)致因因果中介性的累積分布

由圖9可見(jiàn)，因果中介性累積分布P(b)符合冪律分布的特征，并且近似曲線為P(k)～2.534k-1.91。這表明少數(shù)致因具有較高的因果中介性，而大多數(shù)致因只有較低的因果中介性。例如，圖7所示前三名的高因果中介性致因C57、C58、C59只占全部致因數(shù)量的3.9%，卻占據(jù)了全部因果中介數(shù)值的60.9%，即絕大多數(shù)危險(xiǎn)成因路徑會(huì)經(jīng)過(guò)少數(shù)幾個(gè)高中介性的致因。這意味著，防控這幾個(gè)具有高中介性的致因就能夠有效阻斷系統(tǒng)危險(xiǎn)的形成。

(2)由圖5所示的致因因果節(jié)點(diǎn)數(shù)情況，可確定每個(gè)致因在系統(tǒng)危險(xiǎn)形成過(guò)程中的角色。例如，以高因果中介性的致因C57、C58、C59為例，根據(jù)圖5所示分布情況，可發(fā)現(xiàn)這幾個(gè)致因起到風(fēng)險(xiǎn)累積致因的作用，即他們具有較少的可達(dá)節(jié)點(diǎn)但具有較多的源節(jié)點(diǎn)。這意味著針對(duì)它們的安全防控策略應(yīng)以防止它們被引發(fā)為主。例如，增強(qiáng)車載計(jì)算機(jī)輸入信息(如臨時(shí)限速、線路描述信息、移動(dòng)授權(quán)等數(shù)據(jù))的完整性檢查、一致性校驗(yàn)等功能的安全完整性。

(3)根據(jù)圖6所示因果緊密程度，可知RBC相關(guān)的致因與VC相關(guān)的致因最為緊密。這說(shuō)明在防止高因果中介性的致因C57、C58、C59(均為VC相關(guān)的致因)被引發(fā)的過(guò)程中，要重點(diǎn)防控來(lái)自RBC相關(guān)致因的因果觸發(fā)路徑，即應(yīng)重點(diǎn)部署實(shí)施針對(duì)來(lái)自RBC的輸入信息(如臨時(shí)限速、移動(dòng)授權(quán))的完整性檢查和一致性校驗(yàn)。

另外，為驗(yàn)證致因評(píng)價(jià)結(jié)果的有效性，按照本文所得的危險(xiǎn)致因重要性順序，通過(guò)在危險(xiǎn)致因網(wǎng)絡(luò)中移除相應(yīng)致因的方式，來(lái)分析網(wǎng)絡(luò)平均因果作用強(qiáng)度值的變化情況，見(jiàn)圖10。按照本文所得評(píng)價(jià)順序移出因果中介性排名前六位的危險(xiǎn)致因，網(wǎng)絡(luò)的平均因果作用強(qiáng)度值由初始的0.412變?yōu)榱?.034，降幅達(dá)到91.7%，即在高鐵信號(hào)危險(xiǎn)致因網(wǎng)絡(luò)中致因與危險(xiǎn)的平均因果作用強(qiáng)度達(dá)到較低的水平。實(shí)際上，僅通過(guò)對(duì)前六位的致因(全部致因數(shù)量的7.8%)進(jìn)行防控就可以帶來(lái)這種程度的降幅(91.7%)，這與圖9所示的冪律分布特征是相符的。

圖10 危險(xiǎn)致因評(píng)價(jià)結(jié)果的驗(yàn)證

4 結(jié)論

(1)本文面向高鐵信號(hào)系統(tǒng)危險(xiǎn)致因的特點(diǎn)給出危險(xiǎn)致因網(wǎng)絡(luò)的形式化定義。在此基礎(chǔ)上通過(guò)定義三類結(jié)構(gòu)矩陣提出高鐵信號(hào)系統(tǒng)危險(xiǎn)致因網(wǎng)絡(luò)建模方法。針對(duì)危險(xiǎn)致因網(wǎng)絡(luò)異質(zhì)特征，從因果作用強(qiáng)度、因果節(jié)點(diǎn)數(shù)、因果緊密度和因果中介性等方面擴(kuò)展拓?fù)浞治鲋笜?biāo)，提出基于拓?fù)涞母哞F信號(hào)系統(tǒng)危險(xiǎn)致因評(píng)價(jià)方法。

(2)以我國(guó)高鐵信號(hào)系統(tǒng)的典型系統(tǒng)危險(xiǎn)致因進(jìn)行建模，并通過(guò)所提拓?fù)涮卣髦笜?biāo)對(duì)致因進(jìn)行評(píng)價(jià)分析。分析過(guò)程表明，基于復(fù)雜網(wǎng)絡(luò)結(jié)構(gòu)及拓?fù)涮卣鞯闹乱蛟u(píng)價(jià)方法適用于高鐵信號(hào)系統(tǒng)的危險(xiǎn)致因評(píng)價(jià)工作。

由于本文危險(xiǎn)致因網(wǎng)絡(luò)的建模過(guò)程由人工完成，為進(jìn)一步保障網(wǎng)絡(luò)的正確性，基于文本的危險(xiǎn)致因網(wǎng)絡(luò)自動(dòng)化建模方法及工具開(kāi)發(fā)將是下一步工作的重點(diǎn)之一。另外，為進(jìn)一步保障危險(xiǎn)致因評(píng)價(jià)的準(zhǔn)確性，如何衡量危險(xiǎn)因果關(guān)系的強(qiáng)弱并將其納入評(píng)價(jià)過(guò)程，也將是下一步的工作重點(diǎn)。