系统安全的机遇（中）

刘卓军中国科学院研究员

有問题，就要找寻解决问题的方法。在与自然界长期共存的过程中，人类已经习惯于使用模拟方法，既通过设计与自然现象或过程相似的模型来认识、理解和解决问题。系统安全之所以重要且有意义，不仅仅因为它引入了恰当的概念和综合关联的理念，更因为它造就了一种具有可实施特征的方法，这是一种结构化的方法。结构化方法研究事物或系统的各个组成部分或要素以何种方式组合成为整体，进而明确问题并解决问题。它不把事物或系统的性质和功能看作是各构成部分或要素的性质和功能的简单“加总”，而是看作由它们构成的整体的、融合起来的性质和功能。结构化方法与系统方法有着密切联系，系统方法的基本原则如整体性、最优化、模型化，也是结构化方法的基本原则。结构化方法是认识事物或系统的规律、性质、功能的基本方法，是模拟方法的基础，有利于思维的符号化、形式化、公理化和算法化。结构化方法有着一步一步可遵循和可操作的重要特点。

仍然以雨天积水问题为例，淹死人是不可避免的吗？危险要素的触发机制因素已经呈现到了临界状态，这时地铁一定要运行吗？

人们常说，“温故知新”和“以史为鉴”，对已经发生的事件进行回顾性分析，过去需要、现在需要、今后也需要。如果把这种做法看成是“放马后炮”，就未免太狭隘了。分析不在于去指责，主要为的是吸取教训，这也是诠释“失败是成功之母”的必然举措。

作为一种常识，人们都知道，高层建筑在发生火灾和地震时，电梯是禁止使用的。这当然主要是以生命和伤亡代价换来的“教训”。比较容易理解，火灾和地震很可能引发高温、烟雾、电气线路损毁、电梯箱体变形等，这些都会造成搭乘人员受到伤亡的威胁，后果可想而知。地震无情，水火无情，但管理智慧和标准规范却能避免或减缓伤亡和损失。

大暴雨天，地铁真就不能、不应该运行吗？这的确是无法确切回答的问题。要看情况！完全可以理解，做出继续运营决定的着眼点和初衷是好的：毕竟在地面公共交通几近瘫痪的情况下，地铁还是能够解决一部分乘客急切需求的手段。问题是结局很悲惨。

从风险管理和应对的角度看，在千变万化的世界里，对于任何一件不希望发生的事件，至少要分析两个方面，一是该事件发生的可能性;二是该事件一旦发生，造成的损失程度如何。对于发生的可能性极大，并且会造成损失的;以及发生的可能性不是很肯定，可一旦发生就会造成非常巨大损失的，这样的高风险类事件，社会必须高度重视并积极应对。就运行地铁发生车厢灌水并致乘客溺水死亡这类事件来说，过去几乎就没有发生过，尽管想象中其发生的可能性极低，但它还是发生了，并且造成了重大伤亡和损失。这是一次全社会都应牢记的重大教训，更说明加强系统安全意识的重要性和必要性。换句话，如果系统安全的理念和方法得以普及，已经发生的悲剧就可以避免。

不妨粗略地按照构成危险要素的三个成分做一番讨论。对于地铁车厢灌水造成人员伤亡的重大恶性事件来说，危险要素源是，地铁列车运行在不能根本防范高处水源灌入的地下隧道中。设想一下，如果不是地铁而是行驶在地面高架上的轻轨，恶劣条件可能会造成其它不希望事件的发生，但雨再大也不会导致车厢灌水以致淹死乘客的事件;危险要素的触发机制是持续不停的大暴雨和由于地势低洼汇集了来自它处的更多积水，以及在恶劣条件下还要列车运行的安排;危险要素所威胁到的目标是车上的人，车上的乘客。容易理解，若该事件危险要素三项内容的任何一项被消除，悲剧就不会发生。比如，空车行驶（回库）当然不会有人伤亡，即便有危险情形，车上的司乘人员由于具有的职业能力也应当能有惊无险地躲过一劫。再比如，若列车不运行，危险要素根本就不会被触发，就更不会有人员伤亡了，至多是一些人想要搭乘的需求得不到满足而已。至于地铁隧道大量灌水，就要从工程设计的合理性，建设质量的达标性，防范预案的周密性等方面进行严肃追查，需要纠正的必须实事求是地面对。

伴随社会的发展，安全问题将始终是一个挑战

事实上，地铁交通系统在安全管理上是有相当高要求的。对隧道进水且水面达到一定高度时，列车是否应继续运行是有规范可循的。问题是，这样的规范是否合理，特别地现有规范是否得到了严格执行，这些都是必须回答和不可回避的问题。而且出了危机情况，也应有逃逸措施和方式。同样关键的是，这种避险机制是否启动了，为什么没有发挥出作用？痛定思痛，亡羊补牢，如果十几条鲜活的生命还换不来社会在系统安全管理上上一个台阶，那真是不可思议、不可原谅。

伴随社会的发展，安全问题将始终是一个挑战。由于技术的繁荣和进步，就安全特性问题来说，各种产品和人们所处在其中的系统，不是变得简单了，而是变得更复杂了。产品的生产和系统的建造与产品和系统的使用往往是分开的，而安全事件则更多地是发生在使用阶段。上述地铁车厢灌水造成人员伤亡的事件可以解释成是地铁运营机构和部门在使用地铁系统向乘客提供交通运输服务过程中发生的悲剧，乘客是接受交通服务的弱势一方，他们可以对地铁系统的安全特性完全不了解，只要你运营我就可以搭乘。所以，地铁系统的使用方，包括地铁系统的建设方，是根本的责任方。怎么建能保证安全，如何使用能不造成伤害，是需要解决的关键问题，是先决条件。根据系统安全的理念，要把安全要素通过设计植入系统。系统建造的设计阶段要考虑安全，系统使用流程的设计阶段也要考虑安全。其中，一个切实可行和有效的方式就是制定和实施系统安全规划方案（SSPP）。

系统的建造通常是一个复杂而综合的过程，往往需要多方参与。发包方或总包方必须明确阐述系统安全的总体需求，做出详细说明，包括对各参与方的人员要求，如责任、资质和业务能力;对参与过程的要求，如将要执行的任务和使用的技术等;对参与方提供产品的要求，如以什么样的形式和进度完成所承担的任务。各参与方则要根据自己所承担的任务，制定出相应的规划方案以满足总包方提出的系统安全要求。一个非常典型的系统安全任务是能够有效地辨识出危险要素。至少要提供基本危险要素列表，如历史数据，相关的事故信息，以及所学习和了解到的教训。随着系统开发的进展，危险要素列表的内容将不断添加，对于列表中的每一项危险要素都要做出分析和应对的处置方案。这些内容在必要时，要以适当的形式在系统如何使用的说明中呈现。

系统是“物”是“综合体”，有功能。系统安全是结构化方法是流程，旨在通过使用各种工具，包括技术的、工程的、标准的甚至法规的，以保证系统和产品的使用以及民众在接受各种相关联的服务过程中不产生伤害和损毁事件，产品和系统的功能得以保持。

人与产品、系统、流程及环境高度融合，安全问题也就变得异常复杂，而系统安全的价值将越发显现并深入人心。