基于全壽命周期的車輛系統(tǒng)獨(dú)立安全評(píng)估

高磊 張志龍 李智國 王學(xué)亮

摘要：為探索城市軌道交通車輛系統(tǒng)獨(dú)立安全評(píng)估方法和安全管理，本文以北京新機(jī)場(chǎng)線項(xiàng)目為例，介紹了車輛系統(tǒng)的獨(dú)立安全評(píng)估過程，以及基于全壽命周期的安全管理和風(fēng)險(xiǎn)分析活動(dòng)，對(duì)其潛在的危害進(jìn)行風(fēng)險(xiǎn)評(píng)估和管控，使所有風(fēng)險(xiǎn)都達(dá)到可接受水平。通過獨(dú)立安全評(píng)估可以更加客觀地評(píng)價(jià)車輛系統(tǒng)的安全性水平，也為運(yùn)營提供了安全保障。該獨(dú)立安全評(píng)估方法和過程貫穿了車輛系統(tǒng)的全壽命周期，也為今后軌道交通其它系統(tǒng)提供借鑒和參考。

關(guān)鍵詞：軌道車輛;獨(dú)立安全評(píng)估;全壽命周期;風(fēng)險(xiǎn)分析;北京新機(jī)場(chǎng)線

中圖分類號(hào)：U284;TP39? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ?文獻(xiàn)標(biāo)識(shí)碼：A? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? 文章編號(hào)：1674-957X（2021）06-0203-03

0? 引言

隨著我國城市軌道交通的蓬勃發(fā)展，市場(chǎng)需求越來越強(qiáng)烈，更多的先進(jìn)技術(shù)也逐步應(yīng)用在軌道車輛上，對(duì)車輛系統(tǒng)也提出了更高的安全性要求。車輛系統(tǒng)是一個(gè)集機(jī)電于一體的復(fù)雜系統(tǒng)，如果在高速運(yùn)行時(shí)發(fā)生致命故障，往往會(huì)造成災(zāi)難性的事故，也嚴(yán)重影響軌道線路的正常運(yùn)營秩序，造成巨大的經(jīng)濟(jì)損失。為了有效降低事故風(fēng)險(xiǎn)，保障軌道車輛安全運(yùn)營，有必要對(duì)車輛系統(tǒng)進(jìn)行安全評(píng)估和風(fēng)險(xiǎn)管理。

國際上已頒布了軌道交通的安全性標(biāo)準(zhǔn)，在貫徹和實(shí)施的過程中形成了一整套的安全管理模式和風(fēng)險(xiǎn)評(píng)估理論，也為軌道交通的系統(tǒng)安全性評(píng)估提供了指導(dǎo)。最早的標(biāo)準(zhǔn)IEC61508——《電氣/電子/可編程電子安全系統(tǒng)的功能安全》[1]，在全世界得到推廣和普及，也成為了軌道交通系統(tǒng)安全性評(píng)估的重要標(biāo)準(zhǔn)之一。在EN50126[2-3]標(biāo)準(zhǔn)中，將安全性的風(fēng)險(xiǎn)管理和要求與軌道交通裝備生命周期中的各個(gè)階段相對(duì)應(yīng)。20世紀(jì)80年代初，系統(tǒng)安全工程的觀念引入我國。近幾年來通過消化吸收國外系統(tǒng)安全工程的方法，我國軌道交通系統(tǒng)也開始應(yīng)用風(fēng)險(xiǎn)分析和評(píng)估方法。付新生[4]分別應(yīng)用了故障模式及影響分析（FMEA）和故障樹方法（FTA），以及模糊層次分析法，對(duì)城市軌道交通運(yùn)營車輛風(fēng)險(xiǎn)和安全性進(jìn)行了系統(tǒng)評(píng)估。

1? 車輛系統(tǒng)獨(dú)立安全評(píng)估介紹

在軌道交通領(lǐng)域，獨(dú)立安全評(píng)估（ISA，Independent Safety Assessment）是指由國際公認(rèn)的、有資質(zhì)的獨(dú)立第三方證明軌道車輛系統(tǒng)、信號(hào)系統(tǒng)或其它系統(tǒng)的安全性。

1.1 獨(dú)立安全評(píng)估目標(biāo)

獨(dú)立安全評(píng)估是指獨(dú)立于本項(xiàng)目的運(yùn)營用戶、車輛系統(tǒng)供應(yīng)商的，且具有系統(tǒng)安全和風(fēng)險(xiǎn)管理，車輛系統(tǒng)技術(shù)知識(shí)的評(píng)估團(tuán)隊(duì)，根據(jù)鐵路應(yīng)用標(biāo)準(zhǔn)EN5012X，對(duì)車輛系統(tǒng)的安全進(jìn)行評(píng)估和審計(jì)，判斷是否達(dá)到既定的安全目標(biāo);評(píng)估各系統(tǒng)的功能和性能是否達(dá)到合同、設(shè)計(jì)文件及相關(guān)國家標(biāo)準(zhǔn)的要求和規(guī)定;根據(jù)項(xiàng)目工程階段，頒發(fā)相應(yīng)階段的安全認(rèn)證證書和評(píng)估報(bào)告。

1.2 評(píng)估方法

1.2.1 基于全壽命周期安全活動(dòng)的方法

根據(jù)EN50126-1標(biāo)準(zhǔn)，將產(chǎn)品的全壽命周期劃分為12個(gè)階段，全壽命周期V模型如圖1所示。項(xiàng)目執(zhí)行時(shí)，可根據(jù)具體情況進(jìn)行刪減和整合。

1.2.2 基于文件審查、現(xiàn)場(chǎng)審核和測(cè)試見證的評(píng)估方法

獨(dú)立安全評(píng)估方通過文件審查、現(xiàn)場(chǎng)審核和測(cè)試見證的形式和方法對(duì)評(píng)估系統(tǒng)進(jìn)行客觀的評(píng)價(jià)，依據(jù)提交的相關(guān)證據(jù)，判斷和評(píng)估系統(tǒng)是否符合相關(guān)標(biāo)準(zhǔn)，安全管理和活動(dòng)是否按照策劃實(shí)施，技術(shù)性能指標(biāo)是否滿足。

①文件審查。

文件審查涵蓋全壽命周期各階段的文件，主要為安全分析文件和技術(shù)支持文件，包括計(jì)劃文件、危害分析文件、技術(shù)方案、設(shè)計(jì)圖紙、維護(hù)操作文件和試驗(yàn)報(bào)告等。根據(jù)相關(guān)標(biāo)準(zhǔn)和合同檢查符合性、正確性以及完整性。

②現(xiàn)場(chǎng)審核。

現(xiàn)場(chǎng)審核是指設(shè)計(jì)、制造階段等不同階段進(jìn)行的現(xiàn)場(chǎng)審核和見證，并審核是否依據(jù)安全計(jì)劃、質(zhì)量計(jì)劃等開展相關(guān)活動(dòng)，以及人員的獨(dú)立性和資質(zhì)要求;檢查相關(guān)文件和見證制造過程。

③測(cè)試見證。

測(cè)試見證是指在試驗(yàn)階段進(jìn)行的廠內(nèi)調(diào)試試驗(yàn)、正線調(diào)試試驗(yàn)的見證，確認(rèn)試驗(yàn)記錄和結(jié)果是否符合設(shè)計(jì)要求，是否符合相關(guān)測(cè)試標(biāo)準(zhǔn)和合同要求。

1.2.3 交互認(rèn)可的方法

對(duì)于成熟平臺(tái)通用產(chǎn)品的安全評(píng)估可采用了高效快捷的交互認(rèn)可方法進(jìn)行評(píng)估。避免了對(duì)該產(chǎn)品重復(fù)部分的認(rèn)證工作，僅針對(duì)產(chǎn)品特定應(yīng)用的差異進(jìn)行詳細(xì)的論證，證明以上差異并不影響既有通用安全認(rèn)證的結(jié)論。

2? 北京新機(jī)場(chǎng)線車輛系統(tǒng)安全評(píng)估過程

2.1 安全評(píng)估范圍

北京新機(jī)場(chǎng)線一期工程車輛是以CRH6F型城際動(dòng)車組技術(shù)平臺(tái)為基礎(chǔ)，采用8輛編組（4M4T）的編組形式?；贕OA4等級(jí)設(shè)計(jì)研發(fā)的全自動(dòng)無人駕駛車輛系統(tǒng)，對(duì)安全性的要求也為最高等級(jí)，安全評(píng)估范圍包含關(guān)鍵子系統(tǒng)及相關(guān)接口。

2.2 獨(dú)立安全評(píng)估組織結(jié)構(gòu)及溝通方式

為了滿足本項(xiàng)目安全評(píng)估要求，更好地保證執(zhí)行各階段安全工作的有效進(jìn)行，組建了安全管理組織，下設(shè)設(shè)計(jì)、工藝、供方管理、質(zhì)量等工作團(tuán)隊(duì)，組織架構(gòu)及其相互關(guān)系如圖2所示。

■

2.3 項(xiàng)目的全壽命周期階段

根據(jù)工程階段，將車輛系統(tǒng)全壽命周期整合為設(shè)計(jì)，制造及安裝，測(cè)試及啟動(dòng)，試運(yùn)營/質(zhì)保期等階段。其中設(shè)計(jì)階段對(duì)應(yīng)概念、系統(tǒng)定義和操作環(huán)境、風(fēng)險(xiǎn)分析和評(píng)估、系統(tǒng)需求的規(guī)范、構(gòu)架和分配、設(shè)計(jì)和實(shí)施階段，制造及安裝階段對(duì)應(yīng)制造和安裝階段，測(cè)試及啟動(dòng)階段對(duì)應(yīng)系統(tǒng)驗(yàn)證和系統(tǒng)驗(yàn)收階段，試運(yùn)營/質(zhì)保期對(duì)應(yīng)操作、維護(hù)和性能監(jiān)測(cè)和退役階段。

2.4 全壽周期的獨(dú)立安全評(píng)估內(nèi)容

北京新機(jī)場(chǎng)線項(xiàng)目獨(dú)立安全評(píng)估內(nèi)容主要包含質(zhì)量管理、安全管理、設(shè)計(jì)實(shí)現(xiàn)、驗(yàn)證和確認(rèn)四個(gè)方面工作。圖3展示獨(dú)立安全評(píng)估在全壽命周期各個(gè)階段的各項(xiàng)工作內(nèi)容和關(guān)系。

2.5 風(fēng)險(xiǎn)管理和危害分析方法

2.5.1 風(fēng)險(xiǎn)接受原則和風(fēng)險(xiǎn)管理

在進(jìn)行風(fēng)險(xiǎn)分析和評(píng)估的過程中，系統(tǒng)地對(duì)車輛系統(tǒng)識(shí)別出所有可能的危害，并評(píng)估相關(guān)風(fēng)險(xiǎn)，判斷相關(guān)風(fēng)險(xiǎn)是否可以被確認(rèn)為“廣泛接受”。若相關(guān)危害的風(fēng)險(xiǎn)認(rèn)為被可廣泛接受，則無需實(shí)施額外的安全措施。否則，需通過選擇和應(yīng)用風(fēng)險(xiǎn)接受原則（RAP）繼續(xù)進(jìn)行風(fēng)險(xiǎn)分析活動(dòng)，風(fēng)險(xiǎn)接受原則如下：

①行業(yè)規(guī)范和相關(guān)標(biāo)準(zhǔn)的應(yīng)用以及符合性。

②相似系統(tǒng)的評(píng)估。

③明確的風(fēng)險(xiǎn)評(píng)價(jià)和評(píng)估。

2.5.2 風(fēng)險(xiǎn)分析方法

①HAZOP 分析法。采用頭腦風(fēng)暴的方法進(jìn)行危害識(shí)別，以關(guān)鍵詞和引導(dǎo)詞為引導(dǎo)，對(duì)系統(tǒng)可能面臨的危險(xiǎn)源進(jìn)行識(shí)別，識(shí)別出車輛系統(tǒng)隱患，并列入隱患清單。

②初步危害分析（PHA）。在設(shè)計(jì)階段初期，根據(jù)車輛系統(tǒng)應(yīng)用的各種場(chǎng)景，對(duì)車輛系統(tǒng)進(jìn)行分析，識(shí)別影響乘客、員工、承包商和公眾安全或?qū)е路?wù)中斷的初步危害，分析出危害發(fā)生原因、影響后果、擬采取的解決措施等，形成車輛系統(tǒng)的初步危害分析。

③系統(tǒng)危害分析（SHA）。在設(shè)計(jì)階段中期，各子系統(tǒng)的方案和技術(shù)設(shè)計(jì)已逐步開展，伴隨進(jìn)行子系統(tǒng)層級(jí)的危害分析，識(shí)別各子系統(tǒng)及其組件層級(jí)的危害。

④接口危害分析（IHA）。在設(shè)計(jì)階段中期，針對(duì)車輛系統(tǒng)的外部接口和內(nèi)部接口進(jìn)行的危害分析，識(shí)別機(jī)械、電氣以及能源接口的危害。

⑤運(yùn)營和維護(hù)危害分析（O&SHA）。設(shè)計(jì)階段后期對(duì)車輛各子系統(tǒng)進(jìn)行操作和維護(hù)危害分析，識(shí)別操作和維護(hù)過程中的危害。

⑥故障樹（FTA）。故障樹分析法是根據(jù)系統(tǒng)結(jié)構(gòu)和功能原理，通過對(duì)引起該頂事件的各種因素進(jìn)行邏輯因果分析，尋找能夠?qū)е缕浒l(fā)生的各種可能的原因事件及組合的一種圖形演繹分析方法。

⑦故障模式、影響及重要性分析（FMECA）。在設(shè)計(jì)階段中期，應(yīng)用故障模式、影響及重要性分析的歸納分析法，采取自下而上的方法，全面系統(tǒng)地識(shí)別潛在的故障模式，并進(jìn)行影響和重要性分析。

通過以上危害風(fēng)險(xiǎn)分析，系統(tǒng)地識(shí)別出了車輛系統(tǒng)、接口、運(yùn)營及維護(hù)等方面影響運(yùn)行安全及乘客人身安全的隱患，針對(duì)特定的全自動(dòng)無人駕駛的場(chǎng)景進(jìn)行了風(fēng)險(xiǎn)分析，從設(shè)計(jì)、施工、試驗(yàn)、運(yùn)營及維修方面分析并制定減輕措施，降低相關(guān)風(fēng)險(xiǎn)，并將所有的分析過程、減輕措施、驗(yàn)證證據(jù)等信息記錄在危害登記冊(cè)（HL）中，伴隨全壽命周期進(jìn)行記錄管理和維護(hù)。

3? 結(jié)論

北京新機(jī)場(chǎng)線項(xiàng)目車輛系統(tǒng)通過上述全壽命的安全管理、風(fēng)險(xiǎn)分析和第三方的獨(dú)立安全評(píng)估，將所有識(shí)別出來的危害風(fēng)險(xiǎn)均已降低到可接受范圍，滿足項(xiàng)目的高安全性指標(biāo)要求，也客觀地評(píng)估了車輛的安全性能水平，增強(qiáng)了用戶對(duì)車輛系統(tǒng)的安全信心。

由于車輛系統(tǒng)的獨(dú)立安全評(píng)估在中國起步較晚，工程實(shí)踐經(jīng)驗(yàn)也相對(duì)較少。本文只是對(duì)基于全壽命周期安全管理和風(fēng)險(xiǎn)分析的車輛系統(tǒng)獨(dú)立安全評(píng)估過程和方法進(jìn)行初步研究和探討，獨(dú)立安全評(píng)估在軌道車輛上的應(yīng)用，還需進(jìn)一步深入的研究。

參考文獻(xiàn)：

[1]IEC61508-2010. Functional safety of electrical / electronic / programmable electronic safety-related systems，2010.

[2]EN50126-1-2017. Railway Applications - The Specification and Demonstration of Reliability， Availability， Maintainability and Safety （RAMS） Part 1： Generic RAMS Process， 2017.

[3]EN50126-2-2017. Railway Applications - The Specification and Demonstration of Reliability， Availability， Maintainability and Safety （RAMS）? Part 2： Systems Approach to Safety， 2017.

[4]付新生.城軌車輛運(yùn)營技術(shù)故障風(fēng)險(xiǎn)綜合評(píng)估方法的研究[D].北京：北京交通大學(xué)，2007.

[5]梁君海，吳越，孫超.獨(dú)立安全評(píng)估在軌道交通車輛上的應(yīng)用研究與建議[J].中國鐵路，2018（11）：55-60，98.

[6]李靜.車輛運(yùn)行狀態(tài)安全評(píng)估方法與應(yīng)用研究[D].北京：北京交通大學(xué)，2008.