系統(tǒng)安全的機(jī)遇（中）

劉卓軍中國科學(xué)院研究員

有問題，就要找尋解決問題的方法。在與自然界長期共存的過程中，人類已經(jīng)習(xí)慣于使用模擬方法，既通過設(shè)計與自然現(xiàn)象或過程相似的模型來認(rèn)識、理解和解決問題。系統(tǒng)安全之所以重要且有意義，不僅僅因為它引入了恰當(dāng)?shù)母拍詈途C合關(guān)聯(lián)的理念，更因為它造就了一種具有可實施特征的方法，這是一種結(jié)構(gòu)化的方法。結(jié)構(gòu)化方法研究事物或系統(tǒng)的各個組成部分或要素以何種方式組合成為整體，進(jìn)而明確問題并解決問題。它不把事物或系統(tǒng)的性質(zhì)和功能看作是各構(gòu)成部分或要素的性質(zhì)和功能的簡單“加總”，而是看作由它們構(gòu)成的整體的、融合起來的性質(zhì)和功能。結(jié)構(gòu)化方法與系統(tǒng)方法有著密切聯(lián)系，系統(tǒng)方法的基本原則如整體性、最優(yōu)化、模型化，也是結(jié)構(gòu)化方法的基本原則。結(jié)構(gòu)化方法是認(rèn)識事物或系統(tǒng)的規(guī)律、性質(zhì)、功能的基本方法，是模擬方法的基礎(chǔ)，有利于思維的符號化、形式化、公理化和算法化。結(jié)構(gòu)化方法有著一步一步可遵循和可操作的重要特點(diǎn)。

仍然以雨天積水問題為例，淹死人是不可避免的嗎？危險要素的觸發(fā)機(jī)制因素已經(jīng)呈現(xiàn)到了臨界狀態(tài)，這時地鐵一定要運(yùn)行嗎？

人們常說，“溫故知新”和“以史為鑒”，對已經(jīng)發(fā)生的事件進(jìn)行回顧性分析，過去需要、現(xiàn)在需要、今后也需要。如果把這種做法看成是“放馬后炮”，就未免太狹隘了。分析不在于去指責(zé)，主要為的是吸取教訓(xùn)，這也是詮釋“失敗是成功之母”的必然舉措。

作為一種常識，人們都知道，高層建筑在發(fā)生火災(zāi)和地震時，電梯是禁止使用的。這當(dāng)然主要是以生命和傷亡代價換來的“教訓(xùn)”。比較容易理解，火災(zāi)和地震很可能引發(fā)高溫、煙霧、電氣線路損毀、電梯箱體變形等，這些都會造成搭乘人員受到傷亡的威脅，后果可想而知。地震無情，水火無情，但管理智慧和標(biāo)準(zhǔn)規(guī)范卻能避免或減緩傷亡和損失。

大暴雨天，地鐵真就不能、不應(yīng)該運(yùn)行嗎？這的確是無法確切回答的問題。要看情況！完全可以理解，做出繼續(xù)運(yùn)營決定的著眼點(diǎn)和初衷是好的：畢竟在地面公共交通幾近癱瘓的情況下，地鐵還是能夠解決一部分乘客急切需求的手段。問題是結(jié)局很悲慘。

從風(fēng)險管理和應(yīng)對的角度看，在千變?nèi)f化的世界里，對于任何一件不希望發(fā)生的事件，至少要分析兩個方面，一是該事件發(fā)生的可能性;二是該事件一旦發(fā)生，造成的損失程度如何。對于發(fā)生的可能性極大，并且會造成損失的;以及發(fā)生的可能性不是很肯定，可一旦發(fā)生就會造成非常巨大損失的，這樣的高風(fēng)險類事件，社會必須高度重視并積極應(yīng)對。就運(yùn)行地鐵發(fā)生車廂灌水并致乘客溺水死亡這類事件來說，過去幾乎就沒有發(fā)生過，盡管想象中其發(fā)生的可能性極低，但它還是發(fā)生了，并且造成了重大傷亡和損失。這是一次全社會都應(yīng)牢記的重大教訓(xùn)，更說明加強(qiáng)系統(tǒng)安全意識的重要性和必要性。換句話，如果系統(tǒng)安全的理念和方法得以普及，已經(jīng)發(fā)生的悲劇就可以避免。

不妨粗略地按照構(gòu)成危險要素的三個成分做一番討論。對于地鐵車廂灌水造成人員傷亡的重大惡性事件來說，危險要素源是，地鐵列車運(yùn)行在不能根本防范高處水源灌入的地下隧道中。設(shè)想一下，如果不是地鐵而是行駛在地面高架上的輕軌，惡劣條件可能會造成其它不希望事件的發(fā)生，但雨再大也不會導(dǎo)致車廂灌水以致淹死乘客的事件;危險要素的觸發(fā)機(jī)制是持續(xù)不停的大暴雨和由于地勢低洼匯集了來自它處的更多積水，以及在惡劣條件下還要列車運(yùn)行的安排;危險要素所威脅到的目標(biāo)是車上的人，車上的乘客。容易理解，若該事件危險要素三項內(nèi)容的任何一項被消除，悲劇就不會發(fā)生。比如，空車行駛（回庫）當(dāng)然不會有人傷亡，即便有危險情形，車上的司乘人員由于具有的職業(yè)能力也應(yīng)當(dāng)能有驚無險地躲過一劫。再比如，若列車不運(yùn)行，危險要素根本就不會被觸發(fā)，就更不會有人員傷亡了，至多是一些人想要搭乘的需求得不到滿足而已。至于地鐵隧道大量灌水，就要從工程設(shè)計的合理性，建設(shè)質(zhì)量的達(dá)標(biāo)性，防范預(yù)案的周密性等方面進(jìn)行嚴(yán)肅追查，需要糾正的必須實事求是地面對。

伴隨社會的發(fā)展，安全問題將始終是一個挑戰(zhàn)

事實上，地鐵交通系統(tǒng)在安全管理上是有相當(dāng)高要求的。對隧道進(jìn)水且水面達(dá)到一定高度時，列車是否應(yīng)繼續(xù)運(yùn)行是有規(guī)范可循的。問題是，這樣的規(guī)范是否合理，特別地現(xiàn)有規(guī)范是否得到了嚴(yán)格執(zhí)行，這些都是必須回答和不可回避的問題。而且出了危機(jī)情況，也應(yīng)有逃逸措施和方式。同樣關(guān)鍵的是，這種避險機(jī)制是否啟動了，為什么沒有發(fā)揮出作用？痛定思痛，亡羊補(bǔ)牢，如果十幾條鮮活的生命還換不來社會在系統(tǒng)安全管理上上一個臺階，那真是不可思議、不可原諒。

伴隨社會的發(fā)展，安全問題將始終是一個挑戰(zhàn)。由于技術(shù)的繁榮和進(jìn)步，就安全特性問題來說，各種產(chǎn)品和人們所處在其中的系統(tǒng)，不是變得簡單了，而是變得更復(fù)雜了。產(chǎn)品的生產(chǎn)和系統(tǒng)的建造與產(chǎn)品和系統(tǒng)的使用往往是分開的，而安全事件則更多地是發(fā)生在使用階段。上述地鐵車廂灌水造成人員傷亡的事件可以解釋成是地鐵運(yùn)營機(jī)構(gòu)和部門在使用地鐵系統(tǒng)向乘客提供交通運(yùn)輸服務(wù)過程中發(fā)生的悲劇，乘客是接受交通服務(wù)的弱勢一方，他們可以對地鐵系統(tǒng)的安全特性完全不了解，只要你運(yùn)營我就可以搭乘。所以，地鐵系統(tǒng)的使用方，包括地鐵系統(tǒng)的建設(shè)方，是根本的責(zé)任方。怎么建能保證安全，如何使用能不造成傷害，是需要解決的關(guān)鍵問題，是先決條件。根據(jù)系統(tǒng)安全的理念，要把安全要素通過設(shè)計植入系統(tǒng)。系統(tǒng)建造的設(shè)計階段要考慮安全，系統(tǒng)使用流程的設(shè)計階段也要考慮安全。其中，一個切實可行和有效的方式就是制定和實施系統(tǒng)安全規(guī)劃方案（SSPP）。

系統(tǒng)的建造通常是一個復(fù)雜而綜合的過程，往往需要多方參與。發(fā)包方或總包方必須明確闡述系統(tǒng)安全的總體需求，做出詳細(xì)說明，包括對各參與方的人員要求，如責(zé)任、資質(zhì)和業(yè)務(wù)能力;對參與過程的要求，如將要執(zhí)行的任務(wù)和使用的技術(shù)等;對參與方提供產(chǎn)品的要求，如以什么樣的形式和進(jìn)度完成所承擔(dān)的任務(wù)。各參與方則要根據(jù)自己所承擔(dān)的任務(wù)，制定出相應(yīng)的規(guī)劃方案以滿足總包方提出的系統(tǒng)安全要求。一個非常典型的系統(tǒng)安全任務(wù)是能夠有效地辨識出危險要素。至少要提供基本危險要素列表，如歷史數(shù)據(jù)，相關(guān)的事故信息，以及所學(xué)習(xí)和了解到的教訓(xùn)。隨著系統(tǒng)開發(fā)的進(jìn)展，危險要素列表的內(nèi)容將不斷添加，對于列表中的每一項危險要素都要做出分析和應(yīng)對的處置方案。這些內(nèi)容在必要時，要以適當(dāng)?shù)男问皆谙到y(tǒng)如何使用的說明中呈現(xiàn)。

系統(tǒng)是“物”是“綜合體”，有功能。系統(tǒng)安全是結(jié)構(gòu)化方法是流程，旨在通過使用各種工具，包括技術(shù)的、工程的、標(biāo)準(zhǔn)的甚至法規(guī)的，以保證系統(tǒng)和產(chǎn)品的使用以及民眾在接受各種相關(guān)聯(lián)的服務(wù)過程中不產(chǎn)生傷害和損毀事件，產(chǎn)品和系統(tǒng)的功能得以保持。

人與產(chǎn)品、系統(tǒng)、流程及環(huán)境高度融合，安全問題也就變得異常復(fù)雜，而系統(tǒng)安全的價值將越發(fā)顯現(xiàn)并深入人心。