伴隨智能化軌道交通的獨立安全評估研究

劉宏偉

（中鐵第五勘察設計院集團有限公司軌道交通認證中心，北京 102600）

1 城市軌道交通自動化等級及現狀

國際公共交通協會（UITP）將列車運行的自動化水平（GoA）劃分為GoA0、GoA1、GoA2、GoA3、GoA4五個等級。目前，軌道交通占比較大的基礎CBTC信號系統為GoA2級，部分城市已投入使用、大中城市逐漸推廣的全自動運行系統（FAO）為GoA3和GoA4級，是未來城市軌道交通的主要發展方向。

列車運行的自動化等級如表1所示。

表1 列車運行的自動化等級

根據UITP數據，75%全球新建線路將采用FAO信號系統，40%改造線路將采用FAO信號系統。2025年采用FAO系統運行的線路將超過1 500 km。

隨著城市軌道交通GoA等級提升，越來越多的智能化系統（包括云平臺）參與提供運營服務和安全保障，服務和安全逐漸從人員向系統設備轉移。確保安全風險真正降低至可接受水平為FAO線路建設期、運營期的重點。因此，基于風險的、伴隨著工程全生命周期階段的獨立第三方工程安全評估尤為重要。對FAO線路的獨立安全評估工作更是重中之重。

2 智能化前沿信號系統特點分析

FAO是第四代軌道交通信號系統產品，其主要優點包括安全性、可靠性較高；運營組織的效率和靈活性較高；系統/運營的應急處置能力較強；自動化等級較高、勞動強度低、更加智能化。

2.1 向下兼容

按照GoA4等級建設的線路應用更多的自動化、智能化設備和安全冗余設置，在開通初期降級模式下，安全聯鎖設置仍然可以發揮作用，發生人為疏忽或判斷失誤的情況下，可以及時介入且最大限度避免事故發生。

GoA4等級的線路在開通初期均按GoA2等級運營，通過各項安全性指標評估、考核及運營模式適應后，逐步過渡至GoA4等級運營。

2.2 高度智能自動化

FAO集成度、智能自動化程度高，通過多系統聯動、信息反饋、監督和遠程干預相結合，可以實現列車運行的無人駕駛、列車上電自檢、自動喚醒和休眠、自動出入停車場、自動洗車、故障自動恢復、根據客流量列車自動投入或退出運行等功能。

2.3 冗余配置充分、可靠性高

車輛系統、信號系統等核心設備系統采用冗余技術，可以減少運行故障，完善的故障自診斷和自愈功能，提高系統的可用性和可靠性。

2.4 完善的安全防護

FAO信號系統擁有完善的安全防護功能，可以實現列車運行全過程的安全防護，增加軌道障礙物檢測功能和應急情況下的各個系統聯動功能，增強運營人員及乘客防護功能。與傳統的CBTC信號系統相比，FAO信號系統擴大ATP防護范圍，增加場段自動化區域ATP防護。

2.5 豐富的中心功能

FAO信號系統的中心功能豐富，可以實現列車全自動運行的全面監控、詳細的檢測與維護調度，增加車輛調度、乘客調度及綜合維護調度，提高自動化及智能化程度。與城市軌道交通CBTC系統相比，FAO系統引入自動控制、優化控制、人因工程等領域的最新技術，進一步提升自動化程度。

3 伴隨智能化軌道交通的獨立安全評估

獨立安全評估包含通用層面和特定應用層面安全評估。其中，通用應用層面包括通用產品、通用應用安全評估，即產品層安全評估；特定應用層面安全評估即通用產品特定應用于工程的工程層安全評估。

通用層面安全評估是特定應用層面安全評估的輸入，特定應用層安全評估要對通用層安全評估進行交叉接受，以判斷通用產品或通用應用是否滿足特定工程應用的要求。

3.1 評估依據和目的

開展獨立安全評估的基本依據為IEC61508、EN50126、EN50128、EN50129等國際通用標準以及指導性文件國際工程安全管理（iESM）和早期的工程安全管理（ESM）。在國內開展ISA業務時，還需要依據國家標準、行業標準及團體標準。

獨立安全評估（ISA）的目的為確認系統特定應用的整體風險已被控制，確認系統、設備應用的剩余風險均被降低至可以接受的水平，為系統安全結論提供足夠的信心，為系統在工程特定應用提供各階段安全授權。

3.2 全自動運行系統工程安全評估

城市軌道交通特定應用層安全評估主要分為單系統工程安全評估（如信號系統）以及全自動運行系統級工程安全評估。

（1）規范要求。

全自動運行系統工程安全評估范圍包括全自動運行系統級安全評估、設備系統級安全評估。評估范圍由業主根據項目特點確定。

2019年，中國城市軌道交通協會發布《城市軌道交通全自動運行系統規范第5部分：工程安全評估》[1]。規范6.3章節明確全自動運行系統工程安全評估活動應開展設備系統級安全評估，提出確定設備系統級評估范圍的原則，其中c小節明確“應對信號、車輛、站臺門系統進行安全評估，宜對綜合監控系統進行安全評估”。

（2）評估原則及策略。

針對具有成熟應用經驗的單設備系統，評估機構采用通用的評估策略和差異分析策略。FAO系統級的評估原則應采用基于風險和生命周期的評估原則。

①設備系統級評估機構負責該設備系統及其外部接口的安全評估。

②FAO系統級評估機構交叉接受設備系統級評估機構的評估結論，進行FAO系統集成的安全評估。

③FAO系統級安全評估交叉接受設備系統級安全評估證據、產品層安全評估證據。

（3）FAO信號系統評估方法。

開展FAO信號系統ISA工作，需要根據系統配置情況制定特定的工程安全評估策略，與單一的設備系統相比，FAO系統包含的核心設備系統多，接口多。結合FAO信號系統向下兼容、高度智能自動化、深度集成多系統聯動等特點，為保證FAO系統的安全風險可控，工程安全評估方法確定為“總-分-總”三個階段。

①“總”階段。為系統層“需求分配”控制階段，以全自動運行場景和運營規則為主線，組織評估團隊關鍵成員與各個設備系統設計人員進行危害分析活動，分析“全自動運行系統”較以往線路的差異和新增的功能，開展系統級危害分析。

②“分”階段。為設備層“危害識別和控制”管理階段，在系統層危害分析基礎上，開展設備系統級危害分析，進行設備系統間接口危害分析以保證接口的安全性。

③“總”階段。為系統層“系統確認”控制階段，以多系統關鍵階段綜合聯調聯試為支撐，安全評估重點檢查全自動運行系統集成功能，對整個全自動運行系統的安全可靠表現進行評估，確認其是否滿足頒發特定應用安全授權。

（4）FAO信號系統評估流程。

與業主簽訂合同后，由獨立安全評估團隊核心成員明確評估方法，依據通用的評估流程開展整個工程的工程安全評估工作。通用的評估活動主要包括文檔審查、安全審計及測試見證以及安全評估相關會議。

獨立安全評估流程如圖1所示。

圖1 獨立安全評估流程

針對FAO信號系統項目，執行ISA項目的整個評估流程。核心設備系統供應商的系統保障能力有限，從FAO系統級別考慮，還需開展可靠性、可用性及可維護性評估，在項目初始階段開展核心設備系統及其接口的危害識別、管理及追溯，建立FAO系統級別危害日志。

（5）危害日志識別及管理。

①識別。由業主牽頭召集設計院、各集成商和供貨商、施工單位以及可能涉及的運維等單位，主持FAO系統評估，以全自動運行場景和運營規則為主線，開展全自動運行系統級危害識別等分析活動，根據工程實施階段等對FAO系統級危害進行排序，確定危害處理的順序，形成FAO系統級危害日志。在項目執行中，評估方根據需要更新FAO系統級危害記錄。

FAO系統級危害日志僅作為評估范圍內各設備系統級單位的安全管理工作、危害識別工作的重要輸入，各設備系統級單位需要根據其自身設備系統的情況形成設備系統級危害日志，建立與系統級危害的追溯關系。相關方難以達成一致、危害比較特殊、沒有先例等情況時，需要進行分析活動，確定危害分析參與方，其方法與FAO系統級危害分析方法一樣，開展專題危害識別及分析活動，形成專題危害分析日志，包括危害、控制措施及風險等級等。

②管理。FAO系統級危害日志由業主管控，FAO評估方進行維護，系統級危害日志將作為參建單位的頂級危害，參建單位依據系統級危害、結合各自系統自身特點，對各自負責系統進行設備系統層危害分析活動，參加單位的危害日志作為系統級危害日志維護的輸入。（6）FAO信號系統安全授權。

針對FAO系統工程的特點，伴隨工程實施階段，工程安全評估將對應其各工程節點根據需要進行分階段安全授權。

針對比較成熟的集成商，至少需要在GoA2級（傳統的CBTC階段）、GoA4（無人值守下列車自動運行）級進行安全授權。

GoA2級安全授權后，由GoA2級向GoA4級過渡過程中，FAO系統的核心設備系統，尤其是車輛、信號系統將進行頻繁的軟件升級、測試調試、新舊軟硬件切換工作，不同自動化等級的列車存在混跑及混合運營，存在很高的安全風險。安全評估機構進行分階段授權對安全保障活動、安全論據及安全相關應用條件充分的評估更有利。

（7）質量管理。

針對自動化、智能化程度更高的FAO信號系統工程安全評估的質量管理，依照ISO 9001—2015[2]標準進行評估，對核心設備系統供應商的質量管理活動進行審查。針對評估機構出具的評估意見、審計和見證活動，評估機構依據其公司的質量管理體系文件及作業文件進行質量控制。針對FAO信號系統的工程安全評估，項目團隊具有獨立的流程審核人員對安全評估交付物、不符合項、評估流程進行獨立于工程項目的流程審查，控制安全評估交付質量。

4 結語

隨著自動化、智能化程度提高，城市軌道交通自動化等級提升是技術發展的必然趨勢，是多系統深度集成及技術融合發展的結果。工程實施中，留給系統設備測試調試工期逐漸縮短，業主對工程建設期、后續運營期的系統安全性、可靠性要求逐漸提高，使基于風險的、伴隨工程全生命周期階段的獨立安全評估活動的重要性升高。伴隨著城市軌道交通智能化進程的獨立安全評估活動，能夠確保核心設備系統的剩余風險切實可行地達到可以接受的水平，在階段安全授權時增強建設單位和運營單位對載客運營的安全信心，提高建設和管理單位的工程安全管理能力，增強核心設備系統集成商的安全保證能力。隨著普通鐵路、高速鐵路自動化等級提升，獨立安全評估活動將在鐵路系統進行開展，完善鐵路系統的工程安全管理能力。