基于全自动运行系统组织扩展模型的STPA-M方法及应用

STPA-M Method and Application Based on Organization Extended Model for Fully Automatic Operation System

摘要

全自动运行系统实现了车上无人驾驶列车的功能改变，对整个系统运营组织方式也带来了全新的模式变化，进一步需要考虑系统设备之上的组织层面的安全分析与管理。基于系统理论过程分析STPA危险分析方法，针对全自动运行系统组织层面的危险辨识提出适应组织控制器的扩展模型OEM-AM，识别全自动运行系统运营组织缺陷OF-AM，补充STPA方法对于组织层面危险分析的不足。以全自动运行系统危险分析应用为例，构建危险分析进程模型，分别基于STPA与STPA-M方法进行危险源辨识并比较致因结果。比较结果表明，STPA-M方法能够对全自动运行系统危险进行更全面的辨识，可以补偿传统安全分析方法在组织方面辨识的缺陷，更大程度地保障线路运营组织安全。

Abstract

The fully automatic operation (FAO) system has realized the functionality of driverless train operations, and has brought a new mode of operation organization to the entire system. It was necessary to consider the safety analysis and management at the organizational level beyond the system equipment. Under this system, an extended model organization extended model (OEM-AM) for the FAO system adapted to the organizational controller was proposed for hazard identification at the organizational level. This extended model could identify the operational organizational flaws of fully automated operation (OF-AM) system and supplement the hazard analysis at the organizational level by the STPA method. With the hazard analysis application of the FAO system as an example, a hazard analysis process model was constructed to identify hazards and compare their causes based on STPA and STPA-M methods, respectively. The results show that the STPA-M method can identify hazards in the FAO system more comprehensively. It can compensate for the deficiencies of traditional safety analysis methods in organizational aspects, ensuring the safety of the operation organization to a greater extent.

Graphical abstract

关键词

全自动运行系统组织扩展模型 / STPA-M / 安全分析 / 危险源 / 组织因素

Key words

OEM-AM / STPA-M / Safety Analysis / Hazard / Organizational Factor

0　引言

全自动运行系统提升了城市轨道交通运营安全、效率和服务水平，核心系统如车辆、信号、综合监控、通信、站台门等增加了大量新功能，如列车休眠唤醒、自动启动及自动运行、自动停站上下客、自动折返等，协同联动完成列车运行全过程的全自动控制，系统正常运行情况下可完全取代司机的职能。但由于城市轨道交通全自动运行环境的复杂性和特殊性，无人驾驶下应对突发事件的系统功能与处置流程与有人驾驶不同，全自动运行存在特有的运营风险。当全自动运行系统受到设备故障、人员操作错误，特别是组织管理层面的缺陷影响时，可能会导致安全影响范围扩大、影响程度加重，预防不足或处置不当将会引发重大运营延误，甚至造成人员伤亡、行车中断、财产损失。如何对全自动运行系统的技术及组织方面进行安全分析，使得实际线路的运营组织过程得到安全保障，是全自动运行系统在应用过程中必须解决的问题^[1]。全自动运行系统结构复杂，其多个子系统内部交互频繁，系统运行过程中运营人员与组织之间的关系密切。为了保障这种复杂系统的安全性，须进行完善的系统性安全分析。系统的危险辨识及致因分析是系统性安全分析过程的先决条件和关键部分。

传统的危险分析方法有故障树(FTA)^[2]、事件树(ETA)^[3]、故障模式及影响分析(FMEA)^[4]、危险与可操作性研究(HAZOP)等，这些危险分析方法的理论基础为顺序化的故障事件分析。复杂系统的危险不是由独立的模块故障导致，而是源于功能相关模块之间的相互作用。基于事件的危险分析方法可支持简单顺序系统的安全分析，却不擅长分析复杂系统的整体故障，部件之间交互故障及软件故障带来的危险，无法从根本上满足复杂系统安全性分析的要求。构建更安全的全自动运行(FAO)系统，需要超越部件的失效性和可靠性，关注消除FAO系统的危险，并减少系统危险的发生，这对于FAO系统的安全性分析和设计具有重要的影响。自下而上的可靠性工程分析技术，如FMEA，并不适用于安全分析，即使如自上而下的技术FTA，如果只关注部件的失效，也不适用于FAO系统的安全性分析。

为了探究辨识复杂系统的事故致因问题，Leveson^[5]从系统论角度提出一种新的系统事故致因模型(STAMP)，以满足复杂系统的安全分析要求。美国国家航空航天局(NASA)提出STAMP是一种更强大的风险分析技术，适合NASA未来安全分析的需求^[6]。阳小华等^[7]比较STAMP与传统安全分析技术，得出STAMP具备分析“人-机-环”整体的系统分析能力，并可预防安全事故。更多的学者将STAMP应用于工程安全研究。Song等^[8]基于STAMP分析高速铁路事故，并将铁路社会技术系统分为开发和运营过程，用于检查系统中设计、操作、管理及调度等关键部门及人员在铁路安全事故中承担的责任。Hickey^[9]基于STAMP分析飞行事故，提出通过强化飞行系统的控制可预防将来的危险。

Hardy等^[10]在STAMP方法的基础上进一步延伸安全分析方法，提出基于STAMP模型的系统安全分析方法(STPA)，该方法通过定义系统的安全控制结构及描述系统组件的控制和反馈路径，对每个控制动作进行安全分析，确定是否存在安全风险。基于STPA方法，Dong^[11]和Leveson^[12]分别针对地铁中的列车控制系统和自动屏蔽门控制系统构建安全控制过程，识别系统的危险源，但识别的危险源未考虑社会科技因素对系统安全性的影响。Fleming等^[13]将STPA危险分析方法应用于航天飞船系统，在研发初期阶段应用STPA技术分析系统设计及安全风险，以降低前期错误设计为后续工程带来的巨大损失。该研究结合形式化模型SpecTRM-RL进行数学验证，但仍局限于系统层面的分析，对其他如组织等社会科技因素并未进一步深入研究。

组织层面问题一直是影响系统安全性的重要因素。例如，1987年3月6日的泽布吕赫渡轮事件正是由于自下而上的分散决策导致航运系统事故；7·23甬温线(宁波—瓯海)特别重大铁路交通事故中，产品研发和质量管理上存在严重的管理问题。全自动运行系统中，司机执行功能被替换的变革不仅仅对作为核心部分的列车运行控制系统提出更高的功能要求，对整个地铁系统运营组织方式也带来全新的模式革新。在全自动运行系统前期设计时，通过安全分析技术对系统设计中存在的隐患进行识别、分析与危险消除，必须有覆盖从设备层面到系统运营组织层面的危险识别过程，进一步保障全自动运行系统的安全运营。

利用STPA危险分析方法对全自动运行系统构建危险分析进程模型及致因模型，可实现对系统的危险分析，但是STPA分析方法欠缺全自动运行系统组织层面的危险辨识模型。为了改进这方面的弱势，研究提出针对全自动运行系统的组织扩展模型(OEM-AM)，并基于该模型描述全自动运行系统的运营组织缺陷(OF-AM)，完善STPA方法中对于组织层面的危险分析。利用改进STPA方法(STPA-M)对全自动运行系统应用举例，增强全自动运行系统的组织风险及致因分析能力。

1　基于STPA-M的危险分析方法研究

1.1　STPA方法

STPA方法包括2个步骤，一是识别可能导致系统危险状态的不充分控制动作，二是分析识别出的潜在危险发生的原因^[14]。

（1）危险识别。通过构建系统人因、设备、组织的控制过程，提取安全控制动作，并检查安全约束及控制是否贯穿于系统的控制过程。STPA方法指出控制主体提供以下4种不安全的控制动作，构成危险源引导词集合。一是未提供或者没有遵守安全所要求的控制；二是提供一个不安全的控制；三是过早或过晚提供可能安全的控制，即错误的时机或时序；四是安全的控制结束得太快或作用时间太长。

（2）致因分析。分析识别出的潜在危险控制的发生原因，包含以下步骤。一是对于每一个不安全的控制，检查应用进程中控制回路的各个部分，以确定是否会导致不安全控制。若不存在控制和改进措施，则对其进行设计；若已有，则要对已有的措施进行评估。二是对于安全约束的多个控制器的情况，识别冲突和潜在的协调问题。

1.2　STPA-M方法

利用STPA方法的危险分析强调危险控制过程中的问题，而不是通过事件链的角度去分析危险，能够补偿目前事件链危险分析方法的缺陷，其中安全约束的思想更是把安全问题转化成了控制问题。但是，STPA方法在组织方面由于缺乏组织特性描述方式，该方法所能识别的组织层面因素是有限的。为了进一步扩充STPA方法在组织方面的危险辨识能力，提出具备生存特性的全自动运行系统组织扩展模型OEM-AM，描述全自动运行系统在组织方面的安全特性。

全自动运行系统为一个运营系统，涉及3种控制主体：设备控制器、人因控制器及组织控制器。设备控制器和人因控制器的控制对象为设备和系统中的人，组织控制器的控制对象为更高一个层面，是在设备控制和人因控制上的一个控制模型，涉及系统资源、流程、人员架构的管理及协调控制。针对这3种控制主体，提出的STPA-M方法可从安全控制角度深入分析危险源。基于组织扩展模型的STPA-M方法如图1所示。图1为基于全自动运行系统组织扩展模型OEM-AM的STPA-M方法框图，保持原有STPA方法中对设备控制器及人因控制器的危险源引导词，设备控制器及人因控制器的控制进程可根据具体的安全约束进行构建，对组织控制器的危险分析则使用OEM-AM模型。同时，对于组织层面的危险源引导词也延用STPA的4类不安全控制动作作为组织缺陷规则，以此得出全自动运行系统运营组织缺陷的分类。以下将根据组织生存特性对全自动运行系统运营组织缺陷进一步阐述。

1.2.1　OEM-AM模型

一个具备生存特性的组织扩展模型需考虑组织的以下特性：组织的架构、行为必须具备控制反馈特性及符合随环境变化可呈现的适应性。根据Beer^[15]提出的基于组织控制论的生存系统模型(VSM)，本研究提出具备生存特性的OEM-AM模型，包含4个管理系统和1个环境系统。OEM-AM模型如图2所示。

（1）管理系统1为实际操作系统。负责管理全自动运行系统中的不同类对象，如车辆、信号、综合监控、通信、站台门设备等。该系统内部的多个实际操作单元可通过一定的通信方式发生相互作用以完成一个系统任务。

（2）管理系统2为协调及控制系统。为了解决管理系统1之间的矛盾，使得管理系统1之间共同协作以完成整体的系统任务，保证系统能按照计划进行并在被干扰时仍能保持平稳输出。

（3）管理系统3为资源分配及管理系统。负责2个方面工作：一是根据环境变化对管理系统1及管理系统2的工作分配资源，并检测管理系统1、管理系统2及环境系统的反馈，以优化资源管理。二是与管理系统4保持双向沟通，以确保管理系统4的政策正确制定。

（4）管理系统4为政策制定系统。指挥整个组织，负责指导整个全自动运行系统运营，制定整个组织的政策，确保运营系统按照既定方针发展，最终达到平衡。

（5）环境系统为全自动运行系统所面对的环境。包含固定环境及可变环境。固定环境包括系统中的基础设施及乘客；可变环境为每日可随时间变化的系统环境特性，如天气、温度、客流量等。

1.2.2　OF-AM分类

基于OEM-AM模型，识别导致安全约束不恰当控制的OF-AM，具体的缺陷分类如下。

（1）不恰当的安全政策和目标设置调整。①模糊的安全策略或者缺少安全策略。全自动运行系统的组织机构制定了一个模糊的运营管理安全策略，包括紧急情况等级、技术、制度等；全自动运行系统的组织机构没有制定一个清楚的可用于评估运营过程和紧急恢复过程的安全目标，如未提供针对全自动运行系统的紧急事件响应时间。②目标调整和系统监控之间的失调缺陷。全自动运行系统组织更关注高端技术带来的更高系统能力和灵活性，但在具体运营时，潜意识降低系统运营和管理方面的安全意识。③安全目标侵蚀。全自动运行系统的事故率少于传统驾驶系统，低事故率下的时间压力将降低组织的安全共识，并侵蚀到安全目标。

（2）针对系统变化的不充分调整。①开环。全自动运行系统组织在面对新的变化时，由于缺乏合适的反馈，往往处于一种盲目状态，并且通常沿用旧的管理方式和管理技术。②缺少双重循环的学习过程。由于降级的事故率，运营组织难以积累针对全自动运行系统运营管理的成熟经验；直到全自动运行系统中各种突发事件及事故发生之后，才调整工作团队。

（3）控制权和责任的非有效分配。①车站和中心控制之间的平衡失调。全自动运行系统组织需要一个对于全局管理的中心管理模式，也需要为乘客提供情绪安抚、紧急疏导和救援任务的具体服务，即中心管理模式和面对乘客服务的协作失调。②责任之间的缺口或者重叠部分。当一个正常运营操作发生偏离时，需要调度岗位之间的协作(如电力调度、行车调度、维修调度和车辆调度)，各岗位职责之间的缺口和重叠的工作内容都将使系统导向一个不安全的状态；各专业同时监视系统中发生的故障，并给出基于各专业的致因解释，缺乏相应的团队或者职位以综合确定系统故障致因并给出决策。

（4）安全计划的不充分设计和无效执行。①安全计划和不确定性管理政策的失调。缺少安全目标和针对系统扰动或者突发情况的应对方案。②缺乏协作。运营管理时行车调度、电力调度、车辆调度、乘客调度、车站工作人员之间缺乏协作，控制中心调度与现场救援人员之间缺乏协作。③计划和实际实施方法之间的不一致性。安全计划过于模糊以至于实际实施过程无法按照计划实施。④安全计划未按照系统变化而改变。安全计划未随全自动运行系统运营需求的变化而调整，如为乘客提供新的运营服务、系统组织结构变化等调整。⑤缺乏资源。如应对全自动运行运营模式下的列车故障及列车上的乘客出现突发情况时，缺乏工作团队支持；缺乏支持运营决策、预测冲突的工具和资源；缺乏可以从重大故障中快速恢复的可行方法；缺乏对全自动运行系统的内在组织决策理解及人员培训。⑥无效的培训过程。未针对全自动运行系统各种不同职位进行有效培训；未针对混乱紧急情况下的救援人员进行有效培训。

（5）安全性能状态的不充分建模。①不充分的反馈通道。在故障或者应急情况下向控制中心提供的信息不全；在一系列的事件或者事故发生后，缺少对全自动运行系统组织和员工培训的改进；未向运营商提供全自动运行系统的真实状态。②不充分的前向控制机制。全自动运行系统风险分析人员未提供有效的安全技术、设计和执行的改进计划。

2　 STPA-M方法对全自动运行系统的应用

全自动运行系统可实现列车的自动唤醒、休眠、运行及进出车站等功能，但车上无人提供乘客服务及处理突发事件，需要运营系统加强乘客安全控制。其中，乘客乘降作业及列车作业尤为重要。涉及乘客乘降作业的功能包括列车的开关车门、开关屏蔽门、列车运行安全防护等控制动作。以列车碰撞站台乘客为顶层危险案例，对后续危险进行分析。

2.1　危险识别

列车碰撞站台乘客危险的安全约束为乘客若落入轨道，列车必须紧急制动。根据4类危险源引导词分析危险控制动作，识别全自动运行系统中可能导致该危险发生的不恰当控制动作。危险源分析列表如表1所示。

根据以上危险分析过程，识别出的危险如下。①未监测到有乘客落入轨道；②未按压车站紧急按钮；③列车未进行紧急制动；④乘客落入轨道时，监测到的时间过晚；⑤按压紧急按钮的时间过晚；⑥列车紧急制动执行的时间过晚。

2.2　进程模型及致因模型

识别出的危险源覆盖突发事件监测、系统性反映行为及列车运行控制系统对列车的控制3个过程中的不安全控制动作，该过程通过由乘客落入轨道事件触发全自动运行系统中各部件之间的交互，实现全自动运行系统下阻止列车碰撞乘客的安全职能。为了进一步分析危险产生的原因，需要构建过程控制模型及致因模型。

列车碰撞站台乘客进程模型如图3所示。列车碰撞的全自动运行系统过程控制，分为站台工作人员控制和列车运行控制系统过程控制2个部分。前者为当乘客落入轨道时，站台工作人员需要立刻监测到该现象，并按压站台紧急停车按钮；后者主要侧重于紧急按钮触发带来的列车运行系统对车辆实施紧急制动，使列车立刻紧急停车，防止列车碰撞落入轨道的乘客。从图3可知，前者所涉及的控制对象主要为乘客-工作人员-紧急设备之间的交互，而后者则涉及为完成紧急停车任务的列车运行控制子系统，包括联锁设备、区域控制设备ZC、车载控制器VOBC、车辆、无线及有线通信网络之间的交互控制过程。

列车碰撞站台乘客致因模型如图4所示。针对识别出的每一种危险，遍历检查控制环中对应部分的控制动作，以识别导致每一种危险的原因。从进程模型可知，可分为车站工作人员、联锁设备、区域控制设备ZC、车载控制器VOBC、车辆、无线及有线通信网络，每一个控制主体中不恰当的控制都将成为危险源的原因。危险源致因分析列表如表2所示。

2.3　致因分析

基于OEM-AM识别OF-AM，针对列车碰撞站台乘客危险识别出的组织致因因素如下。①缺少乘客落入轨道时的策略；②缺少乘客落入轨道时的安全目标；③制定的乘客落入轨道时的立即响应时间模糊；④制定的乘客落入轨道的安全目标和车站工作人员执行按下车站紧急按钮行为不对应；⑤缺少应对乘客落入轨道的车站人力资源；⑥缺少在车站拥挤情况下，对乘客落入轨道情况下的具体恢复方案；⑦缺少车站工作人员的紧急按钮使用培训；⑧针对车站工作人员的紧急按钮使用培训无效；⑨车站工作人员之间负责的站台范围存在重叠区域；⑩车站工作人员之间存在协调不一致问题； 车站工作人员之间负责的站台范围存在空缺区域。

3　STPA与STPA-M方法危险致因比较分析

由上可知，针对防止乘客碰撞的顶层危险，利用STPA-M进行全自动运行系统的危险源识别及致因分析，分析出的危险源包含设备及人因因素，同时致因分析方面考虑设备之间的交互、人与设备交互及组织管理层面。STPA与STPA-M方法危险致因比较如图5所示。SPTA方法得出的致因原因为42个，其中人因3个，组织2个，设备37个；而STPA-M方法得出的致因原因为53个，其中人因3个，组织13个，设备37个。通过STPA-M方法，可进一步分析全自动运行系统组织层面的危险致因因素。针对这些危险致因因素，提前输出额外的安全措施或应用条件，确保全自动运行系统达到可接受的安全水平。

4　结束语

从辨识分析结果可知，利用STPA-M危险分析方法可对全自动运行系统进行全面的危险源辨识及致因分析。通过STPA方法与STPA-M方法对全自动运行系统危险应用的比较可知，STPA-M方法不仅识别了技术层面的危险因素，还覆盖到了更多社会科技因素包括组织层面对系统安全的影响，可深层次地挖掘系统中造成危险的不恰当组织控制因素。但是，该改进方法对全自动运行系统中的人因因素安全分析仍需挖掘，下一步将围绕人因危险分析技术及与组织层面的交互辨识展开研究，提高全自动运行系统运营组织的安全性。

参考文献

[1] 苗长俊. 基于多层次模糊综合评价的铁路车站安全运营管理分析[J]. 铁道运输与经济，2019，41(1)：90-95.

[2] MIAO Changjun. An Analysis on the Safe Operation Management Evaluation of the Railway Station Based on the Multi-Level Fuzzy Comprehensive Evaluation Method[J]. Railway Transport and Economy，2019，41(1)：90-95.

[3] NGUYEN T H A， TRINCKAUF J， LUONG T A，et al. Risk Analysis for Train Collisions Using Fault Tree Analysis：Case Study of the Hanoi Urban Mass Rapid Transit[J]. Urban Rail Transit，2023，9(2)：193.

[4] 李振烈，杨霞芳. 应用事故树分析法分析列车冒进信号机事故[J]. 铁道运输与经济，2002，24(4)：27-28.

[5] LI Zhenlie， YANG Xiafang. Analyze the Accidents of Overrunning Signal by Means of Failure Tree Analysis Method[J]. Railway Transport and Economy，2002，24(4)：27-28.

[6] PANYUKOV D I， KOZLOVSKII V N， AIDAROV D V，et al. Effectiveness of FMEA Risk Analysis[J]. Russian Engineering Research，2022，42(10)：1070-1072.

[7] LEVESON N. A New Accident Model for Engineering Safer Systems[J]. Safety Science，2004，42(4)：237-270.

[8] SPENCER M， LEVESON N， WILKINSON C. Safety assurance in NextGen[EB/OL]. (2012-03-01)[2023-10-01].

[9] 阳小华，刘　杰，刘朝晖，等. STAMP模型及其在核电厂DCS安全分析中的应用展望[J]. 核安全，2013，12(3)：42-47，88.

[10] YANG Xiaohua， LIU Jie， LIU Zhaohui，et al. STAMP Model and Its Application Prospect in DCS Safety Analysis of Nuclear Power Plant[J]. Nuclear Safety，2013，12(3)：42-47，88.

[11] SONG T， ZHONG D M， ZHONG H. A STAMP Analysis on the China：Yongwen Railway Accident[EB/OL]. (2012-09-25)[2023-10-01].

[12] HICKEY J. A System Theoretic Safety Analysis of US Coast Guard Aviation Mishap Involving CG-6505[EB/OL]. (2013-01-31)[2023-10-01].

[13] HARDY K， GUARNIERI F. Modelling and Hazard Analysis for Contaminated Sediments Using STAMP Model and STPA Tool[J]. Journal of Energy and Power Engineering，2013(3)：496-500.

[14] DONG A R. Application of CAST and STPA to Railroad Safety in China[EB/OL]. (2013-01-31)[2023-10-01].

[15] LEVESON N. A New Approach to Hazard Analysis for Complex Systems[EB/OL]. (2017-02-02)[2023-10-01].

[16] FLEMING C， ISHIMATSU T， MIYAMOTO Y，et al. Safety Guided Spacecraft Design Using Model-Based Specifications[EB/OL]. (2012-12-31)[2023-10-01].

[17] LEVESON N. Engineering a Safer World：Systems Thinking Applied to Safety [EB/OL]. (2012-01-13)[2023-10-01].

[18] BEER S. Diagnosing the System for Organizations[EB/OL]. (1995-06-30)[2023-10-01].

基金资助

中国铁道科学研究院集团有限公司科研项目(2021YJ305)