基于改进ISM-FRAM铁路运输事故致因分析*

徐逸飞，帅 斌，张 玥，于耀程，尹德志，张 锐，黄文成

(1.西南交通大学 交通运输与物流学院，四川 成都 611756;2.综合交通运输智能化国家地方联合工程实验室，四川 成都 611756;3.综合交通大数据应用技术国家工程实验室，四川 成都 611756)

0 引言

铁路运输系统是由多个子系统相互耦合构成的复杂社会-技术系统，运输网络庞大、作业环境多样、业务性质复杂、不确定影响因素多、作业流程各环节间耦合性强，易受人员失误、车辆故障、极端环境、管理缺失等因素影响发生事故。因此，确定铁路事故致因，保障各子系统协调配合高效完成运输任务具有一定实践意义。

近年来，国内外学者利用系统分析方法对铁路事故展开研究：Chen等[1]基于Accimap分析中国甬温铁路事故；Ruth等[2]采用人因分析和分类系统(HFACS)方法研究铁路事故致因，解释铁路系统主动因素和潜在因素关系及事故因果路径；Min等[3]采用事故模型(STAMP)分析中国胶济铁路交通事故并提出改进措施；李佳遥等[4]提出基于事故链情景本体建模的推理方法，识别铁路潜在风险关联性，进一步解释铁路事故致因机理；王卓等[5]采用灰色理论分析铁路事故致因，确定不同事故类型中各风险因素主次关系。

Patriarca等[6]采用蒙特卡洛仿真上游功能输出时间和精度概率变化；张明洁等[7]采用FRAM分析航空维修事故致因；Costantino等[8]基于FRAM风险分析优势，识别复杂生产系统临界性；Lee等[9]提出基于FRAM的人机交互事故分析新方法，分析海事领域事故致因；Li等[10]采用事故原因分析与分类(ACAT)法改进FRAM风险评估系统；乔万冠等[11]建立STEP-FRAM模型，分析煤矿重大事故致因，有效梳理事件序列(STEP)，使FRAM模型时间维度更清晰；高扬等[12]基于 AHP与FRAM量化分析上游功能输出和下游功能输入表型，通过赋权表型方式确定功能模块失效连接。

现有改进FRAM均未将环境变化作为独立功能模块，研究与其它功能交互耦合作用，对功能可变性定量计算研究较少。本文将改进功能共振分析方法(Functional Resonance Analysis Method,FRAM)应用于铁路运输事故致因分析，基于已有功能模块，增加环境功能模块，刻画环境模块与人员、技术、组织功能的交互耦合情况，并引入解释结构模型(Interpretative Structural Modeling Method,ISM)，计算各层级和各功能模块结构重要度，改进区间值犹豫模糊熵，计算功能模块变化概率，确定模块功能可变性及耦合损失度，给出有效功能屏障设置方法，为我国铁路事故致因分析提供理论参考。

1 铁路事故致因分析的FRAM模型适应性改进

1.1 FRAM模型

FRAM功能模块描述人员、技术和组织为完成各自职能需要履行的行为。功能共振指各功能完成自身职能同时，不断调整自身行为以适应工作条件变化，这种微小变化难以观测，可视为随机噪声，系统其它部分功能变化与随机噪声共同作用，使微小信号被系统检测到。功能共振原理示意如图1所示。

图1 功能共振原理

FRAM事故分析方法包括以下4个步骤：

STEP1：功能识别与功能描述。功能描述包括功能特征描述及功能关系描述，功能特征可通过功能模块六角形模型描述[13]，如图2所示，功能特征包括输入I、输出O、前提P、资源R、时间T、控制C 6个方面。

图2 功能模块六角形模型图示

STEP2：识别功能变化。主要包括识别功能模块潜在变化和实际变化。

STEP3：分析功能耦合。FRAM功能模块耦合包括潜在耦合和实际耦合，模块间非线性耦合形成功能共振，使模块间链接断裂，导致事故发生。

STEP4：功能防护与控制。提出作用于功能模块的防护和控制措施，避免功能耦合带来的损害。

1.2 增加环境功能模块的FRAM模型

环境功能指系统中环境条件的保障，包括铁路系统内部和外部环境条件变化。环境功能模块变化包含内生变化和外生变化：内生变化指环境功能模块所处状态的自发改变，受温度、湿度、天气等因素影响，内生变化极易对人员与组织功能产生影响；外生变化指环境功能模块受影响产生的被动变化，人员、设备、组织功能模块变化会引起环境功能模块外生变化。环境功能变化影响见表1。

表1 环境功能变化影响

分析环境功能变化对下游模块输出影响，重点考察时间和精度2方面：从时间角度出发，输出分为“过早”、“适时”、“过迟”和“未发生”4种类型，用于评判系统满足环境要求的时间准确性，时间相关可能输出变化见表2；从精度角度出发，输出分为“精确”、“可接受”和“不精确”3种类型，一般情况下输出不易达到“精确”程度，而“可接受”程度易被管理者接受。精度相关可能输出变化见表3。

表2 时间相关可能输出变化

表3 精度相关可能输出变化

2 改进ISM-FRAM模型

2.1 模型改进

FRAM存在多种功能相互耦合模糊不确定、无法清晰表达结构层次和功能影响关系等问题，而ISM法[14]适用于变量众多且结构不清晰的复杂系统。因此，本文通过引入ISM法划分FRAM功能网络图结构层次，计算各功能模块结构重要度。结构层次划分基于FRAM功能模块递阶层级结构。

改进ISM-FRAM模型主要包括以下4个步骤：

STEP1：系统要素分析。分析铁路运输系统功能并确定FRAM功能模块，以FRAM功能模块为主要因素，编号Si，Si∈{S1,S2,…,Si,…,SN}。

STEP2：建立邻接矩阵A。基于FRAM功能网络图建立ISM关系有向图，用N阶矩阵A=[aij]表示功能模块相互关系，N为功能模块个数。若上游功能模块Si输出对下游功能模块Sj有直接影响或直接联系，则aij= 1，反之aij= 0。

STEP3：计算可达矩阵M。对邻接矩阵A进行布尔运算，得到可达矩阵M，如式(1)所示：

M=(A+I)n=(A+I)n+1≠(A+I)n-1

(1)

式中：I表示单位矩阵。

STEP4：分解可达矩阵M并建立递阶层次结构。通过可达矩阵结构分析，依次得到可达集R(Si)、先行集Q(Si)和共同集T(Si)。其中，可达集R(Si)表示可达矩阵M中要素Si对应行中含有1的元素对应列的功能集合；先行集Q(Si)表示可达矩阵M中要素Si对应列中含有1的矩阵元素对应行的功能集合；共同集T(Si)为可达集R(Si)与先行集Q(Si)交集。最后，按照条件T(Si)=R(Si)重复层级抽取，得到ISM-FRAM网络分层。改进ISM-FRAM事故致因分析网络如图3所示。

图3 改进ISM-FRAM事故致因分析网络

2.2 ISM-FRAM网络功能结构重要度计算

基于分层网络图确定不同层级结构重要度，并根据有向图网络节点出入度计算各功能模块结构重要度。

1)模型改进指在ISM-FRAM分层网络中，假设系统为N层，各层级用L表示，L∈{1,2,3,…,N}。假设ISM-FRAM模型各层级权重大小为ML，如式(2)所示：

(2)

2)基于节点出入度引入功能模块出入度，计算各层级功能模块结构重要度。入度功能指向待计算功能，待计算功能指向功能为出度功能。待计算功能模块认为，非输出端和输出端具有同等级网络结构重要程度，各层级功能模块结构重要度如式(3)所示：

(3)

2.3 功能模块可变性定量方法

功能模块可变性指功能模块在FRAM网络结构中变化程度，直观表现为功能模块输出端变化差异性大小。假设某功能模块输出结果与正常输出结果偏差较大，认为该功能模块可变性较大，反之较小。

表4 功能变化评分

对已发生事故功能变化，根据功能模块实际输出情况确定；对正常运行FRAM网络，难以确定各功能变化程度概率。因此，本文通过改进区间值犹豫模糊熵[15]计算功能模块变化程度概率。主要包括以下4个步骤：

2)专家K对任一功能模块i评分，得到功能模块i时间变化范围犹豫模糊元和精度变化范围犹豫模糊元，如式(4)～(5)所示：

(4)

(5)

(6)

(7)

(8)

(9)

功能模块功能可变性Ai如式(10)所示：

(10)

定义功能耦合损失度，描述模块发生功能耦合造成损失程度，结合ISM-FRAM结构重要度与功能可变性，Bi如式(11)所示：

(11)

3 案例研究

3.1 改进ISM-FRAM模型分析

列车运行控制系统CTCS是轨道交通运输基础设备，包括运输管理层、通信传输层、地面设备层和车载设备层，CTCS系统组成如图4所示。本文基于CTCS-2系统层级完成基本功能划分，并结合事故报告和案例分析需求，进一步完善功能模块。功能模块F1～F21分别代表车站终端、行车环境、列车运行环境条件检查、列车运行环境条件二次检查、调度中心终端、牵引供电、轨道电路信息传输、STM轨道电路信息接收、识别区间轨道占用、地面应答器信息传输、BTM应答器信息接收、 GSM-R无线通讯、列车调度控制、车站联锁、进路控制、人员培训、D301列车出站、D301列车运行、D3115列车出站、D3115列车运行及D3115列车制动，新增环境功能模块F2。利用FRAM可视化工具FRAM Model Visualiser，将FRAM功能网络图转换为有向图，采用ISM划分有向图结构层次，建立改进ISM-FRAM模型事故分层网络结构图，如图5所示。

图4 CTCS系统组成

图5 改进ISM-FRAM模型事故分层网络分析图

表5 功能模块变化概率

由表6可知，环境模块F2，人员模块F3、F4，技术模块F12和组织模块F16可变性程度较大。其中，环境模块F2变化不易观测、输出精度差异性较大，功能可变性最高；F3、F4可变性较高，说明工作人员安全意识与操作需进一步规范化；F16可变性高，说明需提高人员组织与培训保障力度。当系统正常运行时，上述功能模块易与相连模块发生功能共振，造成功能链接断裂引发交通事故，需加强事故功能变化分析，设置有效功能屏障。将改进ISM-FRAM模型结构分层代入式(2)，得到网路层级重要度，见表7。将层级重要度与功能节点出入度代入式(3)，得到功能模块结构重要度，见表8。

表6 功能模块可变性

表7 网络层级重要度

表8 功能模块结构重要度

由图5可知，事故根源层中，行车环境(环境)、车站终端(设备)和人员培训(人员、组织)对事故发生有根源性质影响。事故网络第8层中，行车运行环境检查与2次检查模块是列车安全运行基础条件，事故第1次检查忽视和2次检查失效，导致未能及时发现设备损坏，事故预防屏障失效，第8层环境检查信息向第7层列车调度中心传递时，功能链接断裂；事故网络第5层车站终端发现轨道电路功能未恢复时，两列车均已驶入事故区间；事故网络第4层，列车与车站间无法正常通讯，D301列车轨道电路发码异常，按照目视行车模式在区间内运行；事故网络第3层，D3115列车按照调度中心指示发车，行车至接近D301列车所在事故区间时，车站通过通讯设备GSM-R联系司机，但无回应；事故网络第2层，D3115次列车接收轨道电路信息显示前方无车辆，识别区间轨道电路占用功能与下游列车制动功能间链接断裂，D3115列车未采取刹车制动；事故表象层中，车站终端通过GSM-R联系到司机并通知前方区间有车，D3115次列车司机采取紧急制动不及时，导致事故发生。根据事故致因分析，确定功能模块功能共振，得到事故功能共振影响及功能链接失效，见表9。将表5和表7计算结果带入式(11)，计算功能变化对FRAM网络结构耦合损失度，见表10。

表9 功能共振影响及功能链接失效表

表10 功能耦合损失度

由表10可知，F2、F3、F4、F13和F16功能耦合损失度较大，说明上述模块发生功能耦合时风险较大。

3.2 有效功能屏障设置

根据功能可变性与耦合损失度，筛选出铁路事故重点关注功能模块F2、F3、F4、 F13、F16，针对上述功能模块设置有效功能屏障。

进一步重视高速铁路技术设备研发工作，严格遵循“事故导向安全”技术原则，进一步加大高铁设备研发至设备使用过程的监管力度。

行车环境功能模块可变性与耦合损失度相对较高。铁路工作人员更依赖设备带来的安全保障，忽视环境变化对运输系统影响；雷暴天气难以进行人为控制，直接针对环境模块设置功能屏障效果不佳，为尽量避免雷电与轨道电路功能耦合，可通过调度列车绕过雷击区域线路等方式规避功能耦合。

列车运行环境条件检查、列车运行环境条件二次检查及列车调度控制属于比较重要的人员功能模块，模块中人员操作受人员培训输出结果直接影响。需进一步加强人员培训力度，重点培养人员操作安全意识。

4 结论

1)改进FRAM模型能直观展示环境变化及环境变化与其它功能模块交互耦合作用。

2)ISM划分改进FRAM功能网络，可得到清晰事故流程层次，有助于进一步理清事故发生根本原因及表象原因。

3)改进区间值犹豫模糊熵计算功能可变性及耦合损失度，可弥补FRAM风险评估定量分析不足；有效功能屏障设置，可提高资源利用率。