劉宏偉

（中鐵第五勘察設(shè)計院集團有限公司軌道交通認(rèn)證中心，北京 102600）

1 城市軌道交通自動化等級及現(xiàn)狀

國際公共交通協(xié)會（UITP）將列車運行的自動化水平（GoA）劃分為GoA0、GoA1、GoA2、GoA3、GoA4五個等級。目前，軌道交通占比較大的基礎(chǔ)CBTC信號系統(tǒng)為GoA2級，部分城市已投入使用、大中城市逐漸推廣的全自動運行系統(tǒng)（FAO）為GoA3和GoA4級，是未來城市軌道交通的主要發(fā)展方向。

列車運行的自動化等級如表1所示。

表1 列車運行的自動化等級

根據(jù)UITP數(shù)據(jù)，75%全球新建線路將采用FAO信號系統(tǒng)，40%改造線路將采用FAO信號系統(tǒng)。2025年采用FAO系統(tǒng)運行的線路將超過1 500 km。

隨著城市軌道交通GoA等級提升，越來越多的智能化系統(tǒng)（包括云平臺）參與提供運營服務(wù)和安全保障，服務(wù)和安全逐漸從人員向系統(tǒng)設(shè)備轉(zhuǎn)移。確保安全風(fēng)險真正降低至可接受水平為FAO線路建設(shè)期、運營期的重點。因此，基于風(fēng)險的、伴隨著工程全生命周期階段的獨立第三方工程安全評估尤為重要。對FAO線路的獨立安全評估工作更是重中之重。

2 智能化前沿信號系統(tǒng)特點分析

FAO是第四代軌道交通信號系統(tǒng)產(chǎn)品，其主要優(yōu)點包括安全性、可靠性較高；運營組織的效率和靈活性較高；系統(tǒng)/運營的應(yīng)急處置能力較強；自動化等級較高、勞動強度低、更加智能化。

2.1 向下兼容

按照GoA4等級建設(shè)的線路應(yīng)用更多的自動化、智能化設(shè)備和安全冗余設(shè)置，在開通初期降級模式下，安全聯(lián)鎖設(shè)置仍然可以發(fā)揮作用，發(fā)生人為疏忽或判斷失誤的情況下，可以及時介入且最大限度避免事故發(fā)生。

GoA4等級的線路在開通初期均按GoA2等級運營，通過各項安全性指標(biāo)評估、考核及運營模式適應(yīng)后，逐步過渡至GoA4等級運營。

2.2 高度智能自動化

FAO集成度、智能自動化程度高，通過多系統(tǒng)聯(lián)動、信息反饋、監(jiān)督和遠程干預(yù)相結(jié)合，可以實現(xiàn)列車運行的無人駕駛、列車上電自檢、自動喚醒和休眠、自動出入停車場、自動洗車、故障自動恢復(fù)、根據(jù)客流量列車自動投入或退出運行等功能。

2.3 冗余配置充分、可靠性高

車輛系統(tǒng)、信號系統(tǒng)等核心設(shè)備系統(tǒng)采用冗余技術(shù)，可以減少運行故障，完善的故障自診斷和自愈功能，提高系統(tǒng)的可用性和可靠性。

2.4 完善的安全防護

FAO信號系統(tǒng)擁有完善的安全防護功能，可以實現(xiàn)列車運行全過程的安全防護，增加軌道障礙物檢測功能和應(yīng)急情況下的各個系統(tǒng)聯(lián)動功能，增強運營人員及乘客防護功能。與傳統(tǒng)的CBTC信號系統(tǒng)相比，F(xiàn)AO信號系統(tǒng)擴大ATP防護范圍，增加場段自動化區(qū)域ATP防護。

2.5 豐富的中心功能

FAO信號系統(tǒng)的中心功能豐富，可以實現(xiàn)列車全自動運行的全面監(jiān)控、詳細(xì)的檢測與維護調(diào)度，增加車輛調(diào)度、乘客調(diào)度及綜合維護調(diào)度，提高自動化及智能化程度。與城市軌道交通CBTC系統(tǒng)相比，F(xiàn)AO系統(tǒng)引入自動控制、優(yōu)化控制、人因工程等領(lǐng)域的最新技術(shù)，進一步提升自動化程度。

3 伴隨智能化軌道交通的獨立安全評估

獨立安全評估包含通用層面和特定應(yīng)用層面安全評估。其中，通用應(yīng)用層面包括通用產(chǎn)品、通用應(yīng)用安全評估，即產(chǎn)品層安全評估；特定應(yīng)用層面安全評估即通用產(chǎn)品特定應(yīng)用于工程的工程層安全評估。

通用層面安全評估是特定應(yīng)用層面安全評估的輸入，特定應(yīng)用層安全評估要對通用層安全評估進行交叉接受，以判斷通用產(chǎn)品或通用應(yīng)用是否滿足特定工程應(yīng)用的要求。

3.1 評估依據(jù)和目的

開展獨立安全評估的基本依據(jù)為IEC61508、EN50126、EN50128、EN50129等國際通用標(biāo)準(zhǔn)以及指導(dǎo)性文件國際工程安全管理（iESM）和早期的工程安全管理（ESM）。在國內(nèi)開展ISA業(yè)務(wù)時，還需要依據(jù)國家標(biāo)準(zhǔn)、行業(yè)標(biāo)準(zhǔn)及團體標(biāo)準(zhǔn)。

獨立安全評估（ISA）的目的為確認(rèn)系統(tǒng)特定應(yīng)用的整體風(fēng)險已被控制，確認(rèn)系統(tǒng)、設(shè)備應(yīng)用的剩余風(fēng)險均被降低至可以接受的水平，為系統(tǒng)安全結(jié)論提供足夠的信心，為系統(tǒng)在工程特定應(yīng)用提供各階段安全授權(quán)。

3.2 全自動運行系統(tǒng)工程安全評估

城市軌道交通特定應(yīng)用層安全評估主要分為單系統(tǒng)工程安全評估（如信號系統(tǒng)）以及全自動運行系統(tǒng)級工程安全評估。

（1）規(guī)范要求。

全自動運行系統(tǒng)工程安全評估范圍包括全自動運行系統(tǒng)級安全評估、設(shè)備系統(tǒng)級安全評估。評估范圍由業(yè)主根據(jù)項目特點確定。

2019年，中國城市軌道交通協(xié)會發(fā)布《城市軌道交通全自動運行系統(tǒng)規(guī)范第5部分：工程安全評估》[1]。規(guī)范6.3章節(jié)明確全自動運行系統(tǒng)工程安全評估活動應(yīng)開展設(shè)備系統(tǒng)級安全評估，提出確定設(shè)備系統(tǒng)級評估范圍的原則，其中c小節(jié)明確“應(yīng)對信號、車輛、站臺門系統(tǒng)進行安全評估，宜對綜合監(jiān)控系統(tǒng)進行安全評估”。

（2）評估原則及策略。

針對具有成熟應(yīng)用經(jīng)驗的單設(shè)備系統(tǒng)，評估機構(gòu)采用通用的評估策略和差異分析策略。FAO系統(tǒng)級的評估原則應(yīng)采用基于風(fēng)險和生命周期的評估原則。

①設(shè)備系統(tǒng)級評估機構(gòu)負(fù)責(zé)該設(shè)備系統(tǒng)及其外部接口的安全評估。

②FAO系統(tǒng)級評估機構(gòu)交叉接受設(shè)備系統(tǒng)級評估機構(gòu)的評估結(jié)論，進行FAO系統(tǒng)集成的安全評估。

③FAO系統(tǒng)級安全評估交叉接受設(shè)備系統(tǒng)級安全評估證據(jù)、產(chǎn)品層安全評估證據(jù)。

（3）FAO信號系統(tǒng)評估方法。

開展FAO信號系統(tǒng)ISA工作，需要根據(jù)系統(tǒng)配置情況制定特定的工程安全評估策略，與單一的設(shè)備系統(tǒng)相比，F(xiàn)AO系統(tǒng)包含的核心設(shè)備系統(tǒng)多，接口多。結(jié)合FAO信號系統(tǒng)向下兼容、高度智能自動化、深度集成多系統(tǒng)聯(lián)動等特點，為保證FAO系統(tǒng)的安全風(fēng)險可控，工程安全評估方法確定為“總-分-總”三個階段。

①“總”階段。為系統(tǒng)層“需求分配”控制階段，以全自動運行場景和運營規(guī)則為主線，組織評估團隊關(guān)鍵成員與各個設(shè)備系統(tǒng)設(shè)計人員進行危害分析活動，分析“全自動運行系統(tǒng)”較以往線路的差異和新增的功能，開展系統(tǒng)級危害分析。

②“分”階段。為設(shè)備層“危害識別和控制”管理階段，在系統(tǒng)層危害分析基礎(chǔ)上，開展設(shè)備系統(tǒng)級危害分析，進行設(shè)備系統(tǒng)間接口危害分析以保證接口的安全性。

③“總”階段。為系統(tǒng)層“系統(tǒng)確認(rèn)”控制階段，以多系統(tǒng)關(guān)鍵階段綜合聯(lián)調(diào)聯(lián)試為支撐，安全評估重點檢查全自動運行系統(tǒng)集成功能，對整個全自動運行系統(tǒng)的安全可靠表現(xiàn)進行評估，確認(rèn)其是否滿足頒發(fā)特定應(yīng)用安全授權(quán)。

（4）FAO信號系統(tǒng)評估流程。

與業(yè)主簽訂合同后，由獨立安全評估團隊核心成員明確評估方法，依據(jù)通用的評估流程開展整個工程的工程安全評估工作。通用的評估活動主要包括文檔審查、安全審計及測試見證以及安全評估相關(guān)會議。

獨立安全評估流程如圖1所示。

圖1 獨立安全評估流程

針對FAO信號系統(tǒng)項目，執(zhí)行ISA項目的整個評估流程。核心設(shè)備系統(tǒng)供應(yīng)商的系統(tǒng)保障能力有限，從FAO系統(tǒng)級別考慮，還需開展可靠性、可用性及可維護性評估，在項目初始階段開展核心設(shè)備系統(tǒng)及其接口的危害識別、管理及追溯，建立FAO系統(tǒng)級別危害日志。

（5）危害日志識別及管理。

①識別。由業(yè)主牽頭召集設(shè)計院、各集成商和供貨商、施工單位以及可能涉及的運維等單位，主持FAO系統(tǒng)評估，以全自動運行場景和運營規(guī)則為主線，開展全自動運行系統(tǒng)級危害識別等分析活動，根據(jù)工程實施階段等對FAO系統(tǒng)級危害進行排序，確定危害處理的順序，形成FAO系統(tǒng)級危害日志。在項目執(zhí)行中，評估方根據(jù)需要更新FAO系統(tǒng)級危害記錄。

FAO系統(tǒng)級危害日志僅作為評估范圍內(nèi)各設(shè)備系統(tǒng)級單位的安全管理工作、危害識別工作的重要輸入，各設(shè)備系統(tǒng)級單位需要根據(jù)其自身設(shè)備系統(tǒng)的情況形成設(shè)備系統(tǒng)級危害日志，建立與系統(tǒng)級危害的追溯關(guān)系。相關(guān)方難以達成一致、危害比較特殊、沒有先例等情況時，需要進行分析活動，確定危害分析參與方，其方法與FAO系統(tǒng)級危害分析方法一樣，開展專題危害識別及分析活動，形成專題危害分析日志，包括危害、控制措施及風(fēng)險等級等。

②管理。FAO系統(tǒng)級危害日志由業(yè)主管控，F(xiàn)AO評估方進行維護，系統(tǒng)級危害日志將作為參建單位的頂級危害，參建單位依據(jù)系統(tǒng)級危害、結(jié)合各自系統(tǒng)自身特點，對各自負(fù)責(zé)系統(tǒng)進行設(shè)備系統(tǒng)層危害分析活動，參加單位的危害日志作為系統(tǒng)級危害日志維護的輸入。（6）FAO信號系統(tǒng)安全授權(quán)。

針對FAO系統(tǒng)工程的特點，伴隨工程實施階段，工程安全評估將對應(yīng)其各工程節(jié)點根據(jù)需要進行分階段安全授權(quán)。

針對比較成熟的集成商，至少需要在GoA2級（傳統(tǒng)的CBTC階段）、GoA4（無人值守下列車自動運行）級進行安全授權(quán)。

GoA2級安全授權(quán)后，由GoA2級向GoA4級過渡過程中，F(xiàn)AO系統(tǒng)的核心設(shè)備系統(tǒng)，尤其是車輛、信號系統(tǒng)將進行頻繁的軟件升級、測試調(diào)試、新舊軟硬件切換工作，不同自動化等級的列車存在混跑及混合運營，存在很高的安全風(fēng)險。安全評估機構(gòu)進行分階段授權(quán)對安全保障活動、安全論據(jù)及安全相關(guān)應(yīng)用條件充分的評估更有利。

（7）質(zhì)量管理。

針對自動化、智能化程度更高的FAO信號系統(tǒng)工程安全評估的質(zhì)量管理，依照ISO 9001—2015[2]標(biāo)準(zhǔn)進行評估，對核心設(shè)備系統(tǒng)供應(yīng)商的質(zhì)量管理活動進行審查。針對評估機構(gòu)出具的評估意見、審計和見證活動，評估機構(gòu)依據(jù)其公司的質(zhì)量管理體系文件及作業(yè)文件進行質(zhì)量控制。針對FAO信號系統(tǒng)的工程安全評估，項目團隊具有獨立的流程審核人員對安全評估交付物、不符合項、評估流程進行獨立于工程項目的流程審查，控制安全評估交付質(zhì)量。

4 結(jié)語

隨著自動化、智能化程度提高，城市軌道交通自動化等級提升是技術(shù)發(fā)展的必然趨勢，是多系統(tǒng)深度集成及技術(shù)融合發(fā)展的結(jié)果。工程實施中，留給系統(tǒng)設(shè)備測試調(diào)試工期逐漸縮短，業(yè)主對工程建設(shè)期、后續(xù)運營期的系統(tǒng)安全性、可靠性要求逐漸提高，使基于風(fēng)險的、伴隨工程全生命周期階段的獨立安全評估活動的重要性升高。伴隨著城市軌道交通智能化進程的獨立安全評估活動，能夠確保核心設(shè)備系統(tǒng)的剩余風(fēng)險切實可行地達到可以接受的水平，在階段安全授權(quán)時增強建設(shè)單位和運營單位對載客運營的安全信心，提高建設(shè)和管理單位的工程安全管理能力，增強核心設(shè)備系統(tǒng)集成商的安全保證能力。隨著普通鐵路、高速鐵路自動化等級提升，獨立安全評估活動將在鐵路系統(tǒng)進行開展，完善鐵路系統(tǒng)的工程安全管理能力。