溫州市域鐵路S1 線信號(hào)系統(tǒng)獨(dú)立安全評(píng)估應(yīng)用

劉宏偉

獨(dú)立安全評(píng)估（ISA）理念源于國外城軌行業(yè)對(duì)系統(tǒng)安全保障實(shí)施的常用管理方法，后來形成通用的法規(guī)指令，如IEC 61508［1］等國際通用的一系列標(biāo)準(zhǔn)。作為國內(nèi)軌道交通工程獨(dú)立安全評(píng)估的依據(jù)，除以上法規(guī)指令外，還有等同的國家標(biāo) 準(zhǔn)，EN 50126［2］、EN 50128［3］、EN 50129［4］、EN 50159［5］等 歐 洲 標(biāo) 準(zhǔn)，指 導(dǎo) 性 文 件iESM［6］、ESM［7］等，以及合同、用戶需求書和技術(shù)規(guī)格書等文件。

伴隨著我國城市軌道交通行業(yè)新設(shè)備/系統(tǒng)不斷涌現(xiàn)，ISA 業(yè)務(wù)逐漸形成了我國城軌行業(yè)“自發(fā)式”的管理手段。自交運(yùn)規(guī)［2019］ 1 號(hào)文［8］發(fā)布后，是否經(jīng)過第三方獨(dú)立安全評(píng)估，成為軌道交通核心系統(tǒng)——信號(hào)系統(tǒng)能否開通運(yùn)營的一票否決項(xiàng)，ISA 活動(dòng)及所產(chǎn)生的安全授權(quán)文件、獨(dú)立安全評(píng)估報(bào)告已成為初期運(yùn)營前通過評(píng)估的必要項(xiàng)。本文將對(duì)溫州市域鐵路S1 線（簡稱溫州S1 線）初期運(yùn)營前的評(píng)估策略確定過程、實(shí)施過程等進(jìn)行論述。

1 獨(dú)立安全評(píng)估

1.1 評(píng)估對(duì)象

ISA 評(píng)估對(duì)象分為產(chǎn)品層評(píng)估和系統(tǒng)層評(píng)估，主要包含通用產(chǎn)品、通用應(yīng)用和特定應(yīng)用3 個(gè)層次。

1）產(chǎn)品層ISA 包含通用產(chǎn)品安全評(píng)估和通用應(yīng)用安全評(píng)估。

2）系統(tǒng)層ISA 指特定應(yīng)用安全評(píng)估（工程安全評(píng)估），評(píng)估時(shí)需要有產(chǎn)品層ISA 評(píng)估結(jié)果作為輸入，可交叉認(rèn)可產(chǎn)品層的評(píng)估結(jié)果。

1.2 評(píng)估目的

開展工程安全評(píng)估的目的是確保系統(tǒng)工程的整體風(fēng)險(xiǎn)已被控制，并已經(jīng)降低到可以接受的程度，為系統(tǒng)相關(guān)的安全結(jié)論提供足夠的信心，包含：

1）確保系統(tǒng)在全生命周期內(nèi)，能夠持續(xù)滿足設(shè)計(jì)安全需求。

2）確認(rèn)系統(tǒng)工程的所有技術(shù)和接口危害已經(jīng)被識(shí)別和記錄。

3）確認(rèn)系統(tǒng)擁有充分、恰當(dāng)?shù)陌踩C據(jù)，證明系統(tǒng)所有安全控制措施已恰當(dāng)實(shí)施和記錄。

4）確認(rèn)系統(tǒng)、設(shè)備應(yīng)用的風(fēng)險(xiǎn)都已經(jīng)切實(shí)可行地降低到剩余風(fēng)險(xiǎn)可以接受的等級(jí)。

5）隨著各項(xiàng)工作的進(jìn)展，逐步增加各方信心，確信系統(tǒng)達(dá)到設(shè)計(jì)安全目標(biāo)。

6）為系統(tǒng)在工程應(yīng)用頒發(fā)特定應(yīng)用安全授權(quán)，出具安全評(píng)估報(bào)告。

1.3 ISA 與項(xiàng)目執(zhí)行關(guān)系

從安全管理角度來看，某一個(gè)工程項(xiàng)目可以分為工程實(shí)施團(tuán)隊(duì)、安全保障團(tuán)隊(duì)和獨(dú)立安全評(píng)估團(tuán)隊(duì)［9］。

對(duì)于國內(nèi)城軌項(xiàng)目，通常工程實(shí)施團(tuán)隊(duì)和安全保障團(tuán)隊(duì)均來自系統(tǒng)集成商，且安全保障團(tuán)隊(duì)獨(dú)立于工程實(shí)施團(tuán)隊(duì)，第三方獨(dú)立安全評(píng)估團(tuán)隊(duì)獨(dú)立于集成商的工程實(shí)施團(tuán)隊(duì)和安全保障團(tuán)隊(duì)。三者既相互溝通又保持相對(duì)獨(dú)立，三者之間的關(guān)系見圖1。

工程實(shí)施團(tuán)隊(duì)主要負(fù)責(zé)項(xiàng)目生命周期內(nèi)，從設(shè)計(jì)至調(diào)試階段的工程實(shí)施活動(dòng)；安全評(píng)估團(tuán)隊(duì)負(fù)責(zé)執(zhí)行項(xiàng)目的安全保障活動(dòng)，如風(fēng)險(xiǎn)識(shí)別、危害管理和安全證明等。ISA 團(tuán)隊(duì)主要是對(duì)安全保障團(tuán)隊(duì)和工程實(shí)施團(tuán)隊(duì)在項(xiàng)目層的安全相關(guān)保障活動(dòng)、中間過程證據(jù)及安全結(jié)論進(jìn)行評(píng)估，并基于以上雙方的安全相關(guān)活動(dòng)、過程證據(jù)和結(jié)論，以及ISA 團(tuán)隊(duì)的評(píng)估過程和評(píng)估結(jié)果，給出整個(gè)項(xiàng)目的工程安全評(píng)估結(jié)論。

圖1 3 個(gè)團(tuán)隊(duì)之間的關(guān)系

2 溫州S1 線信號(hào)系統(tǒng)

2.1 系統(tǒng)概況

溫州S1 線信號(hào)系統(tǒng)采用點(diǎn)式ATC 系統(tǒng)，即ERATO 系統(tǒng)，它是基于ETCS-1 架構(gòu)，支持區(qū)域無線通信加強(qiáng)防護(hù)，以及ATO 功能的ATC 系統(tǒng)。正線配置完整的ATC 系統(tǒng)，該系統(tǒng)提供點(diǎn)式ATO（iATO）的最高運(yùn)行模式和無人自動(dòng)折返（ATB）功能；在站臺(tái)接近區(qū)域及站臺(tái)區(qū)域提供站臺(tái)緊急停車、站臺(tái)門的連續(xù)安全防護(hù)及車門和站臺(tái)門聯(lián)動(dòng)控制等功能。溫州S1 線信號(hào)系統(tǒng)框圖見圖2。

圖2 溫州S1 線信號(hào)系統(tǒng)框圖

2.2 系統(tǒng)特點(diǎn)

溫州S1 線信號(hào)系統(tǒng)投入運(yùn)營前，尚未在其他線路有應(yīng)用經(jīng)驗(yàn)，評(píng)估前期通過對(duì)技術(shù)規(guī)格書的評(píng)審，發(fā)現(xiàn)相比于傳統(tǒng)的CBTC 項(xiàng)目，該信號(hào)系統(tǒng)具有如下主要特點(diǎn)。

1）為全新的信號(hào)系統(tǒng)，規(guī)則和聯(lián)鎖邏輯不同于傳統(tǒng)的CBTC 系統(tǒng)信號(hào)。

2）系統(tǒng)設(shè)計(jì)在近期運(yùn)營過程中存在4、6 編組列車混跑運(yùn)營場(chǎng)景，對(duì)于信號(hào)系統(tǒng)和屏蔽門的接口需要特殊設(shè)計(jì)。

3）由于ERATO 系統(tǒng)僅在站臺(tái)及其運(yùn)行接近區(qū)域、自動(dòng)折返區(qū)域、轉(zhuǎn)換軌及存車線覆蓋車地?zé)o線通信網(wǎng)絡(luò)，其他正線區(qū)域沒有無線通信網(wǎng)絡(luò)，車輛進(jìn)出無線覆蓋區(qū)時(shí)，系統(tǒng)控車需要特殊設(shè)計(jì)。

4）系統(tǒng)由集成商和核心設(shè)備供應(yīng)商提供，兩家設(shè)備間的系統(tǒng)集成、兼容性、接口需要重點(diǎn)關(guān)注。

5） 溫州S1 線將采用核心設(shè)備供應(yīng)商的全新V6 平臺(tái)，在應(yīng)用中存在很高的修改風(fēng)險(xiǎn)。

3 評(píng)估策略

對(duì)于在其他地鐵線路上有成熟應(yīng)用經(jīng)驗(yàn)的系統(tǒng)，評(píng)估方通常采用通用策略，并采取與參考系統(tǒng)應(yīng)用環(huán)境相比較的方式進(jìn)行工程安全評(píng)估。通用策略形成通用的ISA 評(píng)估和審計(jì)標(biāo)準(zhǔn)，并包含在ISA計(jì)劃中，評(píng)估方依據(jù)ISA 計(jì)劃開展工程安全評(píng)估工作。一般采用伴隨生命周期的基于風(fēng)險(xiǎn)和抽樣技術(shù)的評(píng)估方法，通過文檔評(píng)估、現(xiàn)場(chǎng)審計(jì)、測(cè)試見證等方式，獲取和評(píng)估客觀證據(jù)，主要關(guān)注標(biāo)準(zhǔn)要求的相關(guān)過程和技術(shù)（如安全需求等）是否得到執(zhí)行和滿足，并作出相應(yīng)的判斷。

而對(duì)于新系統(tǒng)、新制式、風(fēng)險(xiǎn)等級(jí)高的系統(tǒng)，則需采用通用策略與特定策略相結(jié)合的方式進(jìn)行工程安全評(píng)估。對(duì)于溫州S1 線，評(píng)估方采用圖3 所示的風(fēng)險(xiǎn)識(shí)別流程。從風(fēng)險(xiǎn)評(píng)估和需求分析2 個(gè)方面，識(shí)別出項(xiàng)目風(fēng)險(xiǎn)、差異，將特定的評(píng)估策略加入到通用的ISA 評(píng)估和審計(jì)標(biāo)準(zhǔn)中，制定出適用于溫州S1 線的整體評(píng)估方案。溫州S1 線將依據(jù)ISA計(jì)劃開展工程安全評(píng)估工作，并重點(diǎn)關(guān)注高風(fēng)險(xiǎn)點(diǎn)。

圖3 風(fēng)險(xiǎn)識(shí)別流程

3.1 HAZOP 分析

在項(xiàng)目初期，溫州S1 線ISA 團(tuán)隊(duì)首先采用HAZOP 分析方法確定項(xiàng)目高風(fēng)險(xiǎn)區(qū)域，ERATO信號(hào)系統(tǒng)的高風(fēng)險(xiǎn)點(diǎn)如下。

1）新規(guī)則與現(xiàn)有設(shè)計(jì)規(guī)則的區(qū)別。

2）4 編組列車與6 編組列車混合運(yùn)行時(shí)的安全影響。

3）DCS 無線網(wǎng)絡(luò)沒有連續(xù)覆蓋整條線路。

4）系統(tǒng)集成商與核心設(shè)備供應(yīng)商之間的接口、工作方式。

5）新系統(tǒng)集成的風(fēng)險(xiǎn)。

6）產(chǎn)品平臺(tái)的修改風(fēng)險(xiǎn)。

7）評(píng)估人員的能力（新系統(tǒng)、新應(yīng)用）。

8）新系統(tǒng)缺少相似應(yīng)用。

3.2 特定策略

針對(duì)高風(fēng)險(xiǎn)點(diǎn)，在項(xiàng)目開展前期確定評(píng)估的特定策略。

1）評(píng)估技術(shù)規(guī)格書，以確保接口定義的完整性，確保涵蓋相關(guān)需求。

2） 檢查產(chǎn)品/系統(tǒng)證書、評(píng)估報(bào)告及限制條件，確定是否可交叉接收。

3）確保4 編組、6 編組列車混合運(yùn)行時(shí)的風(fēng)險(xiǎn)已消除或降低到可接受水平。

4） 確保新規(guī)則與現(xiàn)行規(guī)則之間的差異得到識(shí)別。

5）確保列車在各區(qū)域運(yùn)行安全風(fēng)險(xiǎn)已消除或降低到可接受水平。

6） 評(píng)估產(chǎn)品/系統(tǒng)全部特定需求已滿足和實(shí)現(xiàn)，系統(tǒng)集成無安全風(fēng)險(xiǎn)。

7）確保評(píng)估人員的能力符合項(xiàng)目要求，流程審核人員確保獨(dú)立性。

8） 確保新系統(tǒng)剩余風(fēng)險(xiǎn)降低到可接受水平，或轉(zhuǎn)移輸出限制條件。

4 評(píng)估實(shí)施過程

對(duì)于溫州S1 線新系統(tǒng)、新制式的特殊性，集成商采用EN50126 中的ALARP 風(fēng)險(xiǎn)接受原則，以及4×6 風(fēng)險(xiǎn)矩陣。

評(píng)估方根據(jù)ISA 計(jì)劃開展獨(dú)立安全評(píng)估工作，由于評(píng)估流程/方法對(duì)于每個(gè)項(xiàng)目都是統(tǒng)一的，主要包含文檔評(píng)估、現(xiàn)場(chǎng)審計(jì)、測(cè)試見證活動(dòng)等，所以在這里將不再描述。下面介紹本項(xiàng)目主要的評(píng)估實(shí)施過程：危害分析與管理、階段授權(quán)、流程審核和質(zhì)量管理。

4.1 危害分析與管理

根據(jù)溫州S1 線項(xiàng)目的信號(hào)系統(tǒng)設(shè)計(jì)、施工、調(diào)試的進(jìn)展，對(duì)系統(tǒng)集成商進(jìn)行的初步危害分析、系統(tǒng)危害分析、接口危害分析、操作與支持危害分析等工作進(jìn)行了系統(tǒng)的評(píng)估。

1）在溫州S1 線信號(hào)系統(tǒng)的初期設(shè)計(jì)階段，確認(rèn)集成商是否進(jìn)行了初步危害分析，是否確定了信號(hào)系統(tǒng)在生命周期中可能產(chǎn)生的人員傷亡事件，分析其中是否包含了危害原因、危害結(jié)果和相應(yīng)的減緩措施。

2）在系統(tǒng)層設(shè)計(jì)完成后，確認(rèn)集成商是否進(jìn)行了系統(tǒng)層的危害分析，是否確定了系統(tǒng)層面的危害，是否分析了系統(tǒng)層危害與初步危害的對(duì)應(yīng)關(guān)系。

3）在信號(hào)工程中期階段，確認(rèn)集成商是否進(jìn)行了接口危害分析，是否確定了信號(hào)系統(tǒng)內(nèi)部以及信號(hào)系統(tǒng)與其他系統(tǒng)間接口相關(guān)的危害，是否制定了相應(yīng)的減緩措施。

4）在信號(hào)工程中期階段，確認(rèn)集成商是否進(jìn)行了子系統(tǒng)危害分析，是否確定了信號(hào)系統(tǒng)子系統(tǒng)層面的危害，是否制定了相應(yīng)的減緩措施。

通過對(duì)危害分析活動(dòng)的評(píng)估，確認(rèn)項(xiàng)目RAMS 團(tuán)隊(duì)識(shí)別出了與溫州S1 線信號(hào)系統(tǒng)相關(guān)的危害，并確定了對(duì)這些危害的管理措施。同時(shí)，需確認(rèn)項(xiàng)目RAMS 團(tuán)隊(duì)通過危害日志，對(duì)所有危害都進(jìn)行了危害管理和追溯，并持續(xù)進(jìn)行維護(hù)和更新，包括以上危害、子系統(tǒng)的安全需求及限制條件、安裝調(diào)試中發(fā)現(xiàn)的危害等。

4.2 階段授權(quán)

為滿足工程的進(jìn)度和調(diào)試要求，評(píng)估方根據(jù)溫州S1 線信號(hào)工程建設(shè)的特點(diǎn)，對(duì)系統(tǒng)進(jìn)行了多個(gè)階段安全授權(quán)，在項(xiàng)目完成一個(gè)階段的調(diào)試工作和相關(guān)安全保障工作后，對(duì)其進(jìn)行安全評(píng)估，進(jìn)而發(fā)布安全授權(quán)。

基于溫州S1 線工程進(jìn)度和調(diào)試要求，依次主要發(fā)布了西段單車動(dòng)車調(diào)試、西段多車動(dòng)車調(diào)試、西段試運(yùn)行、西段試運(yùn)營、東段單車動(dòng)車調(diào)試、全線非運(yùn)營時(shí)間段動(dòng)車調(diào)試、全線非運(yùn)營時(shí)間段試運(yùn)行以及全線初期運(yùn)營等安全授權(quán)。

從安全管理角度來講，只有獲取了階段性安全授權(quán)才能進(jìn)行下一階段工作的方式，加強(qiáng)了建設(shè)方對(duì)工程的安全管理，保障了溫州S1 線信號(hào)系統(tǒng)的順利開通運(yùn)營。在溫州S1 線項(xiàng)目執(zhí)行過程中，在已確定的試運(yùn)行階段前，由于新系統(tǒng)核心設(shè)備的平臺(tái)及數(shù)據(jù)準(zhǔn)備內(nèi)容需要修改，而修改、測(cè)試、驗(yàn)證和確認(rèn)結(jié)束后已無法滿足試運(yùn)行的節(jié)點(diǎn)要求，但是若沒有通用應(yīng)用和數(shù)據(jù)準(zhǔn)備證書，那么試運(yùn)行階段的工作將存在很高的安全風(fēng)險(xiǎn)，而且也是評(píng)估流程所不允許的，所以最終建議將試運(yùn)行節(jié)點(diǎn)進(jìn)行了延后。

4.3 流程審核

在文件審核流程上，對(duì)評(píng)估文件進(jìn)行二級(jí)審核，即由評(píng)估員和高級(jí)評(píng)估員進(jìn)行審核，對(duì)階段評(píng)估報(bào)告、安全授權(quán)進(jìn)行三級(jí)審核，即主要由評(píng)估員、首席評(píng)估員以及授權(quán)簽字人進(jìn)行三級(jí)審核，所有遺留問題狀態(tài)關(guān)閉或限制后，構(gòu)成頒發(fā)階段安全授權(quán)及安全評(píng)估報(bào)告的條件之一。

同時(shí)，對(duì)于集成商提交的技術(shù)和管理文件，對(duì)其是否遵循集成商的審核管理流程進(jìn)行審核。例如，在項(xiàng)目執(zhí)行過程中，每個(gè)階段安全授權(quán)前都需要集成商提交已評(píng)估文件的流程簽署頁，保障所有已評(píng)估文件的有效性，確保所提交文件已經(jīng)過集成商相關(guān)人員的審批。所有審核文件已經(jīng)過集成商審核流程后，構(gòu)成發(fā)布安全授權(quán)和安全評(píng)估報(bào)告的條件之二。

對(duì)于溫州S1 線，最終頒發(fā)安全授權(quán)和安全評(píng)估報(bào)告前，獨(dú)立流程審核人（未參與過溫州S1 線ISA）還需要對(duì)評(píng)估工作進(jìn)行獨(dú)立的流程審查，確保所有適當(dāng)?shù)腎SA 程序都已遵守，主要包含評(píng)估管理、安全保障活動(dòng)的評(píng)估過程和結(jié)果、現(xiàn)場(chǎng)審計(jì)情況、交付物狀態(tài)等。

4.4 質(zhì)量管理

最后，對(duì)質(zhì)量管理報(bào)告、技術(shù)管理報(bào)告和安全管理報(bào)告進(jìn)行評(píng)估，評(píng)估這些報(bào)告是否體現(xiàn)了全面的風(fēng)險(xiǎn)分析、是否定義了充分的安全需求并能滿足這些安全需求、是否已經(jīng)根據(jù)安全計(jì)劃的要求執(zhí)行了安全管理工作，并證明了系統(tǒng)的風(fēng)險(xiǎn)降低到可接受的程度。同時(shí)在現(xiàn)場(chǎng)審計(jì)過程中，評(píng)估方也參考ISO 9001：2015［10］標(biāo)準(zhǔn)，對(duì)集成商的質(zhì)量管理活動(dòng)進(jìn)行審查，如集成商的質(zhì)量內(nèi)審活動(dòng)等。

對(duì)任何不符合EN 系列標(biāo)準(zhǔn)的問題提出意見，項(xiàng)目RAMS 團(tuán)隊(duì)需對(duì)所有意見進(jìn)行相應(yīng)的滿足回復(fù)后，評(píng)估意見才能進(jìn)行最終的關(guān)閉，包括安全相關(guān)應(yīng)用條件、相關(guān)運(yùn)營準(zhǔn)備工作等，這項(xiàng)工作保障了在最后節(jié)點(diǎn)將所有安全相關(guān)問題進(jìn)行關(guān)閉，從而滿足為溫州S1 線信號(hào)系統(tǒng)試運(yùn)行、初期運(yùn)營頒發(fā)證書的條件。

例如，溫州S1 線由于車載控制器和軌旁區(qū)域控制器的數(shù)據(jù)準(zhǔn)備工作是由另一家獨(dú)立安全評(píng)估機(jī)構(gòu)（第三方）進(jìn)行評(píng)估，所以在評(píng)估中采用了互認(rèn)接受的原則。在多車動(dòng)車調(diào)試階段評(píng)估中，發(fā)現(xiàn)第三方所評(píng)估內(nèi)容不完整，缺少ZC 部分功能的評(píng)估結(jié)果，因此在安全授權(quán)及安全評(píng)估報(bào)告中對(duì)不完整內(nèi)容進(jìn)行了限制和排除，待后續(xù)集成商提交后，再對(duì)這部分內(nèi)容進(jìn)行評(píng)估及授權(quán)，從而使溫州S1 線信號(hào)系統(tǒng)在多車動(dòng)車調(diào)試階段規(guī)避了風(fēng)險(xiǎn)。

再如，在對(duì)數(shù)據(jù)準(zhǔn)備安全報(bào)告的評(píng)估中，發(fā)現(xiàn)數(shù)據(jù)準(zhǔn)備安全報(bào)告有多個(gè)安全需求/安全相關(guān)應(yīng)用條件，其中部分安全需求/安全相關(guān)應(yīng)用條件已直接輸出到系統(tǒng)層安全限制條件（給業(yè)主接收的），但有部分安全需求/安全相關(guān)應(yīng)用條件未得到管理（如業(yè)主未知曉全部限制條件，將對(duì)系統(tǒng)運(yùn)營帶來很大的安全風(fēng)險(xiǎn)，可能導(dǎo)致事故的發(fā)生），要求集成商提供相關(guān)的管理證據(jù)，集成商提交了系統(tǒng)層驗(yàn)證和確認(rèn)報(bào)告，更新了其中的安全需求列表（輸出信息、安全需求狀態(tài)）后，最終才關(guān)閉了對(duì)數(shù)據(jù)準(zhǔn)備安全報(bào)告的評(píng)估意見。

獨(dú)立安全評(píng)估方基于系統(tǒng)集成商的工程實(shí)施和安全相關(guān)保障活動(dòng)、安全論證過程和安全論證結(jié)論，以及評(píng)估方進(jìn)行的一系列文檔評(píng)估、現(xiàn)場(chǎng)審計(jì)和測(cè)試見證活動(dòng)等，確定溫州S1 線系統(tǒng)工程的整體風(fēng)險(xiǎn)已被控制，并已降低到可以接受的程度，為系統(tǒng)相關(guān)的安全結(jié)論提供足夠的安全信心，從而使項(xiàng)目滿足初期運(yùn)營專家評(píng)審的要求，使項(xiàng)目按時(shí)順利開通。

5 結(jié)束語

隨著地鐵的智能化建設(shè)，業(yè)主對(duì)信號(hào)系統(tǒng)的安全性要求越來越高，獨(dú)立安全評(píng)估工作在地鐵信號(hào)系統(tǒng)、車輛系統(tǒng)等的建設(shè)中顯得尤其重要。評(píng)估方在溫州S1 線信號(hào)系統(tǒng)建設(shè)中持續(xù)開展安全評(píng)估工作，只有獲取了階段性安全授權(quán)才能進(jìn)行下一階段工作，這種方式加強(qiáng)了建設(shè)方對(duì)工程的安全管理，增強(qiáng)了建設(shè)單位和運(yùn)營單位對(duì)載客運(yùn)營的安全信心，保障了溫州S1 線信號(hào)系統(tǒng)的順利開通運(yùn)營。