基于STAMP-PageRank 的鐵路危險品運輸事故分析方法

尹德志，帥 斌，黃文成

（1. 西南交通大學，交通運輸與物流學院，成都 611756；2. 綜合交通運輸智能化國家地方聯合工程實驗室，成都 611756；3. 綜合交通大數據應用技術國家工程實驗室，成都 611756）

0 引 言

近年來，隨著我國鐵路危險品運量持續增長，鐵路危險品運輸事故也時有發生[1-3]。從已發生事故中分析問題，依據分析結果提出具有針對性的事故預防措施，有助于減少鐵路危險品運輸事故發生，提高鐵路危險品運輸系統的安全性、可靠性與穩定性[1-3]。

事故樹[4]、瑞士奶酪模型[5]等傳統事故分析模型只能簡單、線性的描述事故發生的內在原因，對于由若干錯綜復雜因素共同引起的事故，以及事故發生所處系統的動態性、不確定性不能很好地描述，將其應用于現今許多復雜系統事故時效果不佳。系統理論事故模型與過程[6]（Systems Theoretic Accident Model and Processes，STAMP）是一種系統性事故分析模型，其分析事故時重點關注系統各組件之間的交互耦合作用，強調事故發生所處的自然環境以及社會環境，能夠挖掘導致復雜系統事故的深層次因素，更準確地解釋事故產生原因[7]。STAMP 模型應用領域廣泛，如Leveson[8,9]將其用于分析飛機爆炸事故；Kim[10]將其用于分析渡輪事故；Min[11]將其用于分析鐵路事故；Düzgün[12]和祝楷[13]將其用于分析煤礦事故等。總結發現，上述應用STAMP 模型分析事故時，只定性分析事故產生原因，并根據各控制器的控制缺陷提出事故預防措施，但是在面對鐵路危險品運輸系統這樣的復雜社會技術系統時，很難指明系統防治重點從而快速提高系統的安全性、可靠性與穩定性。因此，考慮采用PageRank算法定量評價各控制器對于事故產生的貢獻程度，從而可更清晰地解釋鐵路危險品運輸系統中的薄弱控制環節，指明系統防治重點。

文中首先對鐵路危險品運輸過程進行描述，分析鐵路危險品運輸安全的影響因素；然后給出STAMP-PageRank 事故分析方法的具體實施步驟；最后基于本文提出方法分析1994 年發生的一起鐵路危險品運輸事故，提出相關管理措施，旨在為我國鐵路危險品運輸的安全事故預防控制和安全生產提供一定的理論支撐和實踐指導。

1 鐵路危險品運輸過程及系統風險類別劃分

1.1 鐵路危險品運輸過程

鐵路危險品運輸與普通貨物運輸核心環節基本一致，都分為始發作業、途中作業和終到作業，具體如圖1 所示。其中，為保障鐵路危險品運輸系統安全需重點注意的環節包括以下5 個：

（1）受理。受理重點內容包括：① 審核托運人、經辦人資質；② 檢查到站的營業辦理和能力是否有限制；③ 檢查貨物運單上記載的貨物品名、編號、種類等內容是否與《危險貨物品名表》一致；④ 檢查危險品包裝種類是否符合《危規》的規定。

（2）驗貨。驗貨重點內容包括：① 檢查實際貨物及其件數是否與運單記載的內容一致；②對托運人確認重量的貨物進行認真核對，必要時進行抽查；③對貨物的包裝進行嚴格的檢查；④貼有包裝儲運圖示標志的貨物，應檢查標志是否符合貨物性質和作業需要。

圖1 鐵路危險品運輸流程

（3）裝車。裝車重點內容包括：①合理裝載危險品，不超載、偏載；②確保危險品在運輸過程中不發生移動、倒塌、傾覆等；③危險品裝載后的寬度及高度不得超過鐵路規定限界；④危險品總重量不得超過貨車最大載重量。

（4）換裝整理。經過檢查后若發現貨物撒出或滲漏，貨車偏載、超載時應由當前車站及時進行換裝整理。

（5）卸貨。貨物到達后要及時進行卸貨并通知收貨人取貨，在貨物未被取走前，承運人應按照危險品的特性和要求分別存放在指定地點，以免發生意外，當收貨人取走貨物后應及時清理貨位。需要注意的是，當專用線公司自裝貨物時，驗貨及裝車流程由公司內部負責。掌握上述環節有助于運用STAMP 分析事故過程。

1.2 鐵路危險品運輸系統風險類別劃分

影響鐵路危險品運輸系統安全的風險因素主要有五個方面，即人、設備、貨物、環境、管理因素。這些風險因素之間存在復雜的交互耦合關系，且動態、非線性地影響系統安全[1,2]，這使得鐵路危險品運輸事故本身具有較高的復雜性。因此，為提高鐵路危險品運輸系統安全，需厘清各類風險因素，以便進一步認識現有鐵路危險品運輸過程中管理與控制的不足，為后續 STAMPPageRank 事故分析方法的建立及結果分析奠定基礎。下面將對5 類風險因素進行逐一介紹：

（1）人。鐵路危險品運輸系統主要包括托運人、押運人、承運人、收貨人等。其中，托運人對危險品的生產、儲存及包裝，押運人及承運人的身體狀況、心理狀況、工作能力、工作態度，收貨人的取貨時間及方式都會影響鐵路危險品運輸安全。

（2）設備。鐵路危險品運輸設備可分為運輸安全技術設備和運輸基礎設備。運輸安全技術設備主要指對線路、車輛、貨場等的監控及救援設備；運輸基礎設備主要指線路、車輛、車站及信聯閉設備。除上述設備外，還需特別注意危險品包裝，在鐵路危險品運輸過程中不符合國家有關規定的危險品包裝易引起危險品的揮發、滲漏，從而釀成重大事故。

（3）貨物。危險品可分為爆炸品、氣體、易燃液體、易燃固體、氧化性和有機過氧化物、毒性和感染性物質、放射性物質、腐蝕性物質、雜項危險物質9 大類。危險品與普通貨物相比具有特殊的性質，如：爆炸性、輻射性、易燃性等，使得鐵路危險品運輸的危險性遠高于普通貨物運輸。

（4）環境。環境因素主要可分為危險品的儲存環境以及工作人員的工作環境。例如：危險品所處環境溫度過高將導致危險品揮發、燃燒甚至爆炸；危險品所處環境溫度過低或潮濕將導致危險品變質，失去原有特性；工作人員所處工作環境照明條件不好或周圍嘈雜將導致操作失誤等。

（5）管理。影響鐵路危險品運輸安全的管理因素主要分為6 個方面：組織管理，如鐵路危險品運輸系統組織結構建立、責任劃分等；法制管理，如鐵路危險品運輸相關法律法規、作業標準等；信息管理，如運輸指令傳遞、相關信息反饋等；技術管理，如技術裝備的研發與改進等；教育管理，如工作人員的崗位培訓、考核、路外宣傳等；資金管理，如運輸收益管理、投資管理、員工工資發放等。

2 STAMP-PageRank 事故分析方法

2.1 STAMP 模型

在STAMP 模型中，安全性被視為控制問題，由社會技術系統中的控制結構（見圖2）來管理。控制結構層級之間存在通信信道，向下的通信信道提供對下級施加約束所需的信息，向上的通信信道提供如何有效實施約束的反饋。

圖2 社會技術系統控制結構

在此框架中，了解事故發生的原因需要確定控制結構為何無效，由于控制回路中的每個組件都可能導致控制不足，因此需檢查控制回路中每個組件并對控制缺陷進行分類。控制缺陷具體分類如下：

（1）控制器可能發出不充分或不恰當的安全約束，包括：① 存在的風險未被識別；② 存在的風險已被識別，但未能實施正確的安全約束，如有缺陷的控制算法（系統設計時控制算法存在缺陷、系統某些環節更新但控制算法未做出相應更改、控制算法做出了不正確修改等）、控制算法與受控對象運行模型的不一致或不正確的過程模型（系統設計時過程模型存在缺陷、系統某些環節更新但過程模型未做出相應更改、存在時間上的延遲和不準確的測量等）；③ 多個控制器之間的協調不足等（當存在多個控制器時，控制動作可能不充分協調，包括決策或動作的意外副作用或沖突的控制動作）。

（2）系統安全約束未得到充分執行，包括：① 控制過程中存在故障或不足；②控制器未能將安全約束充分傳達給受控對象，③控制指令傳達延遲。

（3）反饋可能缺失或不足，包括：①在系統設計時未包含反饋；②反饋通道存在缺陷；③反饋不及時；④反饋的信息缺失或不正確。

STAMP 模型通過對控制結構的檢查識別控制結構中各組件的控制不足，從而確定事故發生的原因，并從系統開發、設計及操作的角度提出改進措施，預防事故的發生。使用STAMP 模型進行事故分析的步驟可概括如下：識別系統風險，包括與單個組件相關的事故、組件相互作用以及外部因素的干擾；識別系統安全約束（系統安全依賴于為控制系統危險而施加的約束，安全約束一般在系統設計和操作中被施加）；確定控制結構并識別各控制器的安全約束、不充分或不安全的控制行為及其產生原因；對系統提出相應的改進措施。

2.2 PageRank 算法

PageRank 是Google 公司對網頁重要程度進行排序的一種算法。該算法通過網頁之間的鏈接關系來確定網頁的PageRank 值（重要程度值），并不斷地迭代來更新每個網頁的PageRank 值，直到其穩定為止[14]。網頁PageRank 值的具體表達式為：

式中：Pi表示待評價頁面；n 表示網頁總數；s 表示跳轉概率，一般取s=0.15； E ( Pi)表示鏈入頁面 Pi的鏈接集合； G ( Pj)表示從頁面 Pj鏈接到其他頁面的鏈接集合。由上式可知，PageRank 算法基本原理可概括為兩點：（1）指向網頁的鏈接越多，網頁越重要；（2）網頁的PageRank 值越高，則其通過鏈接對其他網頁的重要程度影響越大。

2.3 STAMP-PageRank 事故分析方法具體步驟

在STAMP 控制結構中各控制器通過通信信道對其他控制器進行控制，同時，又受到其他控制器的反饋。控制器受其他控制器的影響（控制缺陷）越多，控制器的受破壞程度越大，隨時間推移，受破壞程度大的控制器會通過通信信道對其他控制器傳遞更多的影響，即對事故產生的貢獻程度越大。故考慮采用PageRank 算法定量評價STAMP 控制結構中各控制器對于事故產生的貢獻程度，即將上述PageRank 算法表達式中的 Pi表示為控制結構中控制器；n 表示控制結構中控制器總數； E ( Pi)表示影響 Pi的控制器集合；G ( Pj)表示 Pj影響的其他控制器集合。將STAMP模型、PageRank 算法結合可以得到隨時間推移控制器對其他控制器的穩定影響程度，即對事故的貢獻程度，PageRank 值越高，控制器對事故產生的貢獻程度越大。需要注意的是，確定各控制器對事故產生的貢獻程度并不是為了追責，而是為了更具針對性的對相關控制器提出預防措施，防止事故再次發生。使用STAMP-PageRank 事故分析方法的具體步驟如圖3 所示。

圖3 STAMP-Page Rank 事故分析方法具體步驟

3 案例分析

3.1 事故經過

以1994 年我國發生的一起某托運公司因謊報危險品濃度并使用不合格包裝導致的火災事故為背景進行案例研究[15]。事故經過如下：（1）某省新苑集團委托某托運公司（專用線公司）辦理托運。（2）托運公司向承運車站提交貨物運單，但其未向承運車站提供實際產品的技術說明資料，貨物運單填寫的雙氧水濃度為40%以下，而其實際濃度大于40%，為鐵危編號51001A 的超濃度“強雙氧水”。其次，雙氧水包裝須試驗合格，并經鐵路局批準，運輸時須經鐵路總公司批準，但托運公司并未得到上級批準。另外，使用塑料桶作為雙氧水包裝時，每桶凈重應小于等于50kg，容器上要有減壓閥或通氣口，容器內至少留有10%余量。事后經抽查，容器上通氣口多被堵塞，不起通氣作用，與托運公司在運單上填寫的“出口包裝”的要求全然不符。（3）承運車站未對雙氧水的包裝進行認真確認并按規定逐級報批，擅自承運后向專用線撥配貨車（事后調查發現，該棚車未進行認真打掃，殘留木屑、紙屑等不明可燃物）。（4）該批貨物在專用線自裝，車輛中部貨物堆碼5 個高，未呈階梯形堆碼，也未采取穩固措施。（5）7 月21 日該車編掛于1201次貨物列車并于當日15 時40 分到達中途某編組站。該站貨運檢查員發現該車底板處有液體滲漏并有白色煙霧，立即編制普通記錄并通知運轉部門摘車整理。（6）當日23 時48 分將該車送該站存放線，22 日送18 道換裝整理線，但未予整理。（7）23 日10 時又將該車牽出換裝整理線，存放于19 道存車線。（8）23 日18 時15 分，車站工作人員發現該車冒煙并夾帶火光，立即報警。15分鐘后市消防隊出動5 輛消防車滅火，火災造成貨物損失達20 萬元，車輛受損嚴重。

3.2 STAMP 分析

由上述事故最終表現形式可知本次事故的系統危險是危險品起火。為防止系統危險的發生，系統應具有的安全約束為：（1）保證危險品在運輸過程中不泄露；（2）保證危險品在運輸過程中不接觸火源；（3）有鐵路危險貨物運輸事故應急處理預案，為救援人員配備必要救援設備和器材。鐵路危險品運輸系統整體分層控制結構如圖4 所示，由于實際鐵路危險品運輸系統控制結構復雜，為簡化分析，由事故過程得到為實施上述安全約束的鐵路危險品運輸系統局部分層控制結構，如圖5 所示。下面分別對圖中各層級進行STAMP 分析。

圖4 鐵路危險品運輸系統整體分層控制結構

3.2.1 員工層級

（1）公司運輸員

①安全需求和約束：公司運輸員應經過鐵路專業培訓，持有《企業運輸員培訓合格證》，如工作涉及危險貨物時，還需持有《危險貨物運輸業務培訓合格證》；裝車前，應對車廂的完整和清潔狀況進行檢查；需按照鐵路相關規定裝卸，儲存貨物，保證貨物穩固，不發生倒塌等狀況。②環境和行為塑造因素：專用線公司管理松懈。③不充分或不安全的控制動作：發現棚車木底板殘留木屑、紙屑等不明可燃雜物仍繼續裝車；裝車時，車輛中部貨物堆碼5 個高，但未將雙氧水呈梯形堆碼，也未采取穩固措施。④心智模型缺陷：認為不嚴格堆碼貨物以及棚車木底板殘留的木屑、紙屑等不明可燃雜物不會產生危險。

圖5 本次事故涉及的系統局部分層控制結構

（2）承運站調車人員

① 安全需求和約束：應根據貨物性質向專用線撥配合適車輛；應保證撥配車輛狀態良好、干凈整潔。② 環境和行為塑造因素：承運站管理松懈。③ 不充分或不安全的控制動作：向專用線撥配的車輛未進行認真清掃，殘留木屑、紙屑等不明可燃雜物。④ 心智模型缺陷：認為棚車木底板殘留的木屑、紙屑等不明可燃雜物不會產生危險。

（3）途中站貨運檢查員

①安全需求和約束：檢查貨車施封是否正常、門窗是否緊閉；發現貨物損壞、撒漏、泄漏、貨車裝載狀態有異樣時應及時確認，必要時換裝或整理以保證行車安全；發現貨物損壞、撒漏、泄漏或存在裝載問題時應查問貨物性質和問題發生原因，記錄并向領導匯報；倒裝或整理后應檢查貨物是否繼續撒漏或滲漏，車輛是否仍存在裝載不良問題。②環境和行為塑造因素：途中站管理松懈。③不充分或不安全的控制動作：未查問貨物性質和問題發生原因便通知運轉部門摘車整理；未檢查貨物是否經過整理。④心智模型缺陷：認為貨物泄漏是意外情況，只需整理即可，無需查問貨物性質和泄漏原因，也無需向領導匯報；認為貨物送到換裝整理線后會進行整理，無需再檢查貨物是否繼續撒漏或滲漏。⑤合作：認為專用線公司、承運站會嚴格檢查貨物，貨物泄漏是意外情況。

（4）途中站調車人員

①安全需求和約束：應根據貨物性質在編組、調車等作業時做出特殊要求，以防車輛沖撞、摩擦產生火花導致危險。②環境和行為塑造因素：途中站放寬編組、調車作業要求。③不充分或不安全的控制動作：頻繁調車使車輛在貨場內滯留長達50 多個小時且未作特殊要求，車輛沖撞導致貨物加速泄漏。④心智模型缺陷：認為頻繁調車不會導致貨物泄漏。

3.2.2 公司及車站層級

（1）新苑集團

①安全需求和約束：國內運輸危險貨物禁止委托托運公司代理。②環境和行為塑造因素：鐵路局對托運公司監督、管理不到位。③不充分或不安全的控制動作：委托托運公司代理危險品運輸。④反饋：托運公司接受新苑集團委托。⑤心智模型缺陷：認為委托托運公司代理危險品運輸不會產生危險。

（2）托運公司

①安全需求和約束：具有鐵路危險品托運人資質；禁止代理危險品運輸；向車站如實提交相關證明文件及貨物運單；按要求包裝危險品；對公司運輸員進行嚴格的監督、管理。②環境和行為塑造因素：鐵路局對專用線公司監督、管理不到位；長期未出現重大事故以致管理松懈。③不充分或不安全的控制動作：接受新苑集團委托；未向承運車站提供實際產品的技術說明資料，貨物運單填寫的雙氧水濃度為40%以下，而其實際濃度大于40%；對雙氧水的包裝并未得到上級批準；使用塑料桶作為雙氧水包裝，但容器上通氣口多被堵塞，不起通氣作用，與托運公司在運單上填寫的“出口包裝”的要求全然不符；對公司運輸員管理松懈，致使違規裝車現象長期存在。④反饋：承運站擅自承運。⑤心智模型缺陷：認為代理危險品運輸不會產生危險；低估錯誤包裝產生的危險；認為公司運輸員會按照規定裝車。

（3）承運站

①安全需求和約束：具有鐵路危險品承運資質；不得擅自承運運輸條件未經上級許可的貨物；對車站人員進行嚴格的監督、管理。②環境和行為塑造因素：鐵路局對承運站監督、管理不到位；長期未出現重大事故以致管理松懈。③不充分或不安全的控制動作：未對雙氧水的包裝進行認真確認并按規定逐級報批，擅自承運該貨物；對調車人員管理松懈，致使違規撥配車輛現象長期存在；將存有安全隱患的危險品運送出站。④心智模型缺陷：認為危險品運輸條件無需認真確認并按規定逐級報批，不會產生危險；認為調車人員會按照規定撥配車輛。

（4）途中站

①安全需求和約束：建立健全的貨檢監控體系；對車站人員進行嚴格的監督、管理。②環境和行為塑造因素：鐵路局對途中站監督、管理不到位；長期未出現重大事故以致管理松懈。③不充分或不安全的控制動作：對貨運檢查員管理松懈，致使不嚴格檢查貨物現象長期存在；放寬在編組、調車作業過程中的要求。④反饋：貨運檢查員檢查貨物泄漏后未向途中站匯報。⑤心智模型缺陷：認為貨運檢查員會嚴格檢查貨物；認為放寬編組、調車作業要求不會產生危險。

3.2.3 鐵路局層級及中國鐵路總公司層級

（1）鐵路局集團有限公司

①安全需求和約束：監督管理下轄車站和專用線公司；嚴格發放危險品托運人、承運人資質證書；對各站和專用線公司的管理人員進行安全教育及相關知識培訓，要求其掌握各自崗位的相關知識并熟悉有關規定。②環境和行為塑造因素：鐵路局管理體系復雜；長期未出現重大事故以致管理松懈。③不充分或不安全的控制動作：缺乏對各車站和專用線公司的監督管理；缺乏對各車站和專用線公司管理人員的安全教育及相關知識培訓；對已有資質的托運人及承運人在運輸中的實際完成情況審查不足。④反饋：承運站未對貨物的運輸條件進行認真確認并按照規定逐級報批。

（2）中國鐵路總公司

①安全需求和約束：監督管理各鐵路局，確保鐵路局安全完成生產任務；對鐵路局管理人員進行安全教育及相關知識培訓，要求其掌握各自崗位的相關知識并熟悉有關規定。②環境和行為塑造因素：長期未出現重大事故以致管理松懈；鐵路體系龐大且復雜。③不充分或不安全的控制動作：對下轄各鐵路局缺乏充分的監督管理；缺乏對各鐵路局職工的安全教育及相關知識培訓。

3.2.4 事故的動態過程分析

鐵路運輸系統最初設計的監管及檢查制度是可以保證系統提前發現問題并防止事故發生的，但隨著鐵路貨物運輸需求量增加，各部門都越來越關注運輸效益，工作人員的勞動強度不斷加大。因此，安全控制結構、控制措施等需重新評估，但本次事故中安全控制結構并未加強控制措施，控制結構各層反而降低了控制能力。圖6為事故發生時的鐵路危險品運輸系統缺陷控制結構，其中虛線箭頭表示已經出現問題的控制或反饋渠道。

圖6 事故發生時的缺陷控制結構

3.3 確定各控制器的事故貢獻程度

上述圖6 顯示了控制器間的影響關系，在此基礎上，可根據PageRank 算法計算各控制器的事故貢獻程度。由圖6 可知，n=11，其中危險品及車輛控制器不能產生反饋，屬于終端節點，為防止其消耗掉系統的全部PageRank 值，將終端節點虛擬指向其他各節點。各控制器PageRank值及排序結果如表1 所示。

表1 控制器PageRank 值及其排序結果

從控制結構角度出發，事故發生的根本原因無疑是鐵路危險品運輸系統一線工作人員的直屬管理層控制不足引起的；其次，作為直接與危險品和車輛接觸的一線工作人員也應因工作不力擔負相應責任；最后，高級管理層缺乏對低級管理層的監管，但其沒有直接管理一線工作人員，所以對事故產生的貢獻程度應排在最后。在PageRank 值排序結果中，直屬管理層托運公司、承運站、途中站、鐵路局集團有限公司排在前四名；貨運檢查員、途中站調車人員、公司運輸員、承運站調車人員排在中間位置；鐵路總公司排在最后。可見，采用PageRank 算法計算控制器對于事故產生的貢獻程度較為合理。

3.4 事故預防措施提出

為預防事故發生，快速有效提高系統安全性、可靠性與穩定性，基于STAMP 分析及PageRank算法的排序結果，提出如下針對性改進措施：

（1）加大對公司及車站層級、鐵路局層級的整頓力度。具體包括：①鐵路局應對危險貨物包裝、車輛使用等加強監管；②托運公司不得代理危險品運輸，托運貨物時應如實提供產品的技術說明書；③承運站應認真審核托運人資質，確定產品的運輸條件并按照規定逐級報批，不得擅自承運；④途中站應完善貨檢監控體系，要求員工嚴格執行編組、調車等作業過程的規定；⑤鐵路局、各車站及專用線公司應加強人員培訓，強調鐵路安全文化。

（2）一線工作人員應認真學習專業知識，培養專業技能，努力提高自身能力以勝任各自職責，并高度優先遵守安全規章制度。

（3）鐵路總公司和各鐵路局集團有限公司要充分監督安全管理，發生事故后應采用適當方法分析原因，添加或完善控制結構中各部門的安全約束、反饋及控制通道，避免事故再次發生。

4 結束語

本文采用了STAMP-PageRank 方法分析鐵路危險品運輸事故。該模型可分為四個步驟：收集和整理相關事故材料，以書面語言詳細記錄事故相關過程；找出事故的最終表現形式并將其作為系統危險，分析為控制系統危險而必須施加的系統安全約束，繪制系統整體及局部控制結構圖，分析各層控制結構為防范系統危險所需要遵循的相關安全約束、不充分或不安全的控制行為及不充分或不安全控制行為的產生原因；采用PageRank 算法計算控制器對事故產生的貢獻程度；根據事故分析結果，提出系統改進方案。

以1994 年我國發生的一起某托運公司因謊報危險品濃度并使用不合格包裝導致的火災事故為背景進行案例研究，將事故中涉及的公司運輸員、承運站調車人員、途中站貨運檢查員、途中站調車人員、新苑集團、托運公司、承運站、途中站、鐵路局集團有限公司、中國鐵路總公司分為四個層級，分別進行 STAMP 分析并依據PageRank 算法計算各控制器對事故產生的貢獻程度，最后基于事故發生時鐵路危險品運輸系統中存在的控制缺陷問題，為相關部門提供了針對性的改進意見。PageRank 算法的加入能夠更清晰地解釋鐵路危險品運輸事故產生的原因，為事故分析人員提供了一種新的事故分析方法，有效提高了事故分析效率。