基于FDA模型的地铁列车洪淹事故致因分析*

夏侯遐迩，王一凡，陈佳龙，唐令怡，李启明

(东南大学 土木工程学院，江苏 南京 211189)

0 引言

据统计，1960—2017年世界34%的自然灾害与洪水直接相关，平均每年导致1 254人死亡，并造成超过25亿美元的社会经济损失[1]，由于气候变化影响，未来极端降雨事件和洪涝灾害发生概率和危害强度都将进一步增加[2]。作为城市地下基础设施，地铁系统遭遇洪涝灾害会造成生命财产损失[3]，2021年7月，极端特大暴雨袭击河南省，涝水涌入郑州地铁5号线正线区间，造成1列列车被淹，14人遇难[4]。鉴于地铁列车洪淹事故发生次数少、危害大，针对同类型事故研究较少。因此，探究地铁列车洪淹事故致因机理，对提升地铁防汛应急管理水平十分必要。

事故致因模型理论在系统安全管理领域的独特价值已被证实[5-7]。随地铁系统中信息技术的广泛应用和自动化水平的快速提高，王秉等[8]提出FDA(Forecast-Decision-Action)事故致因模型以安全信息流动与转换为主线，涵盖组织内外部因素，更适合地铁列车洪淹事故发生过程解释和致因机理分析。

鉴于此，本文从安全信息角度出发，构建地铁列车洪淹事故FDA致因模型(以下简称FDA模型)，在分析事故致因机理基础上，总结各安全信宿的必要安全信息，提出具体的事故预防措施，并以“郑州地铁5号线7·20事件”为例，实证分析模型的实用性。

1 模型构建

1.1 理论基础

FDA事故致因模型是以管理学、行为学和逻辑学为基础、以安全信息流为媒介、以“安全预测→安全决策→安全执行”的系统安全行为链为逻辑，由个体、自组织、他组织3个事故致因子模型组合而成的事故致因模型[8]。

1.2 构成要素

基于FDA事故致因模型和实际事故致因模式，构建地铁列车洪淹事故FDA致因模型，如图1所示。

图1 地铁列车洪淹事故FDA致因模型Fig.1 FDA accident causation model of subway train flooded accidents

模型主要构成要素解释如下：

1)个体、自组织、他组织。个体、自组织和他组织是系统安全信宿，既是系统安全信息的接收者，也是系统安全行为主体。该模型中，个体是指直接涉事者，即地铁行车人员；自组织是指直接涉事组织，即地铁运营企业；他组织是指对自组织具有主管或安全监管责任的间接涉事组织，即应急主管部门。

2)安全信息、必要安全信息(I)、必要安全信息缺失(M)。安全信息是指保障系统安全运行的信息集合，包括但不限于预警信息、应急指令等；必要安全信息是指足够解决系统安全问题的信息集合；必要安全信息缺失是指安全信宿所接收的信息与必要安全信息之间存在差距，否则，必要安全信息充分。该模型中，Ii(i=1,2,3)分别表示遭遇洪涝灾害时地铁行车人员安全行车、地铁运营企业应急处置、应急主管部门安全监管的必要安全信息；Mi(i=1,2,3)表示必要安全信息缺失；Mi(i=1,2,3)表示必要安全信息充分。

3)安全欺骗(C)。安全欺骗是指在必要安全信息充分情况下，安全信宿仍然做出错误决策的行为。该模型中，Ci(i=1,2,3)分别表示遭遇洪涝灾害时地铁行车人员、地铁运营企业、应急主管部门的安全欺骗行为，具体表现如下：C1表示地铁行车人员违抗上级指令、违反行车制度等；C2表示地铁运营企业安全文化欠缺、违反法律法规等；C3表示应急主管部门安全文化薄弱等。

4)安全预测(F)、安全决策(D)、安全执行(A)。安全预测是指安全信宿根据安全信息揣度和评估系统未来的安全状态；安全决策是指安全信宿基于安全预测结果判断需要采取的安全控制策略或优化方案；安全执行是指安全信宿实施安全决策得出的策略或方案。该模型中，Fi(i=1,2,3)分别表示遭遇洪涝灾害时地铁行车人员、地铁运营企业、应急主管部门的安全预测，D(i=1,2,3)，Ai(i=1,2,3)分别表示安全决策和安全执行，具体表现如下：F1表示地铁行车人员预估地铁行车的不安全状态；F2表示地铁运营企业对灾情险情的预判估计；F3表示应急主管部门分析地铁防汛中存在的问题；D1表示地铁行车人员判断应对方式、做出调度指令；D2表示地铁运营企业拟定应急策略；D3表示应急主管部门制定地铁防汛应急管理制度；A1表示地铁行车人员执行命令；A2表示地铁运营企业开展应急处置；A3表示应急主管部门落实地铁防汛应急制度体系。

5)安全行为结果正确(Y)、错误(N)。安全行为结果正确与否是指安全信宿安全预测、安全决策、安全执行的结果正确与否。该模型中，Yij(i=1,2,3)分别表示地铁行车人员、地铁运营企业、应急主管部门的安全行为结果正确；Nij(j=1,2,3)分别表示安全信宿安全预测、安全决策、安全执行的安全行为结果错误。

6)安全(S)。安全是指系统内既无事故发生，也无事故隐患。该模型中，Si(i=1,2,3)分别表示遭遇洪涝灾害时地铁行车人员、地铁运营企业、应急主管部门的安全状态，具体表现如下：S1表示地铁处于安全行车状态；S2表示地铁运营企业应急处置及时有效、安全文化建设良好；S3表示应急主管部门健全的应急制度、有效的应急监管。

7)其他说明。该模型中，W表示不安全物态，例如设备设施故障、防洪设计问题等；Gi(i=1,2,3)分别表示地铁列车洪淹事故发生或扩大、地铁运营企业应急管理存在问题、应急主管部门应急监管存在漏洞。

2 模型分析

2.1 个体事故致因子模型

地铁行车人员的安全行为和地铁设备设施的安全状态是列车安全运营的重要保证。单条地铁线路行车作业在运营指挥中心(Operating Control Center，OCC)的统一指挥下展开，地铁行车人员主要包括运营调度员、行车值班员、列车司机等[9]。为保障地铁乘客在防汛应急过程中的生命安全，全体行车人员应各司其职，积极履行安全预测义务并及时反馈，OCC运营调度员主要负责安全决策并下达调度指令，列车司机主要负责安全执行。当区间隧道发生水灾时，运营过程中的列车应尽量驶入前方车站并迅速疏散乘客，若列车被迫停在区间隧道内，则应立即启动隧道通风系统以提供必要的新鲜空气，紧急疏散乘客并迅速组织救援。根据上述分析和FDA模型可知，个体层面事故域如式(1)所示：

(1)

1)地铁行车人员行为错误模式(N1)和不安全物态(W)同时存在，则会直接导致事故发生或扩大(G1)，地铁行车人员行为错误模式(N1)有3种具体表现形式，即安全预测错误(N11)、安全决策错误(N12)和安全执行错误(N13)。

2)必要安全信息缺失(M1)和安全欺骗(C1)是地铁行车人员行为错误模式(N1)的根本原因。因此，必要安全信息充分(M1)是避免事故发生的前提条件，而杜绝安全欺骗(C1)是安全行车的必要保证。

3)地铁行车人员行为正确模式(Y1)只有在其安全预测正确(Y11)、安全决策正确(Y12)、安全执行正确(Y13)同时满足情况下才能实现，进而表现为地铁处于安全行车状态(S1)。地铁行车人员必要安全信息具体见表1。

表1 地铁行车人员必要安全信息Table 1 Necessary safety information of subway operation personnel

2.2 自组织事故致因子模型

地铁运营企业集团层面防汛专项应急预案的健全完善和应急管理体系的高效运行是避免事故发生和减少损失的重要保证。地铁运营企业应急管理体系可分为OCC和地铁公司应急管理中心2个层级。在FDA模型中，OCC运营调度员作为地铁行车人员被归为个体层面，而应急管理中心属于地铁运营企业被纳入自组织层面。当地铁所在城市出现极端降雨或地铁线路周边区域出现洪涝现象时，地铁公司应急管理中心应密切关注气象部门有关灾情报道，紧密部署对于安全隐患的排查，时刻监控脆弱站点及线路险情，及时了解OCC值守人员的接警情况并准确上报，按照应急预案和有关规定启动相应应急处置。必要时应有领导在OCC或现场一线，以确保统一应急指挥和高效应急处置。根据上述分析和FDA模型可知，自组织层面事故域如式(2)所示：

(2)

1)地铁运营企业安全预测(N21)、安全决策(N22)、安全执行(N23)任一环节出错，都属于自组织层面行为错误模式(N2)，直接导致应急管理存在问题(G2)，间接导致地铁行车人员行为错误模式(N1)。鉴于应急管理的特殊性，自组织层面的原因虽然是地铁列车洪淹事故发生的间接原因，但往往也是主要原因。

2)与个体层面类似，必要安全信息缺失(M2)和安全欺骗(C2)是地铁运营企业行为错误模式(N2)的根本原因。在防汛应急过程中，科学及时的安全预测(Y21)、精准高效的安全决策(Y22)、周密落实的安全执行(Y23)是地铁运营企业开展有效应急处置、建设良好安全文化(S2)的基本保证。地铁运营企业必要安全信息具体见表2。

表2 地铁运营企业必要安全信息Table 2 Necessary safety information of subway operation enterprise

2.3 他组织事故致因子模型

诸多研究和实践表明，他组织层面的有效监管对自组织的内部安全十分重要[10-12]。在防汛应急监管方面，地铁运营企业的主管部门包括城市防汛办公室、市交通运输局、市应急管理局。其中，城市防汛办公室的职能主要包括组织编制城市防汛应急预案，及时将预警信息发布至地铁运营企业、市交通运输局、市应急管理局等成员单位；市交通运输局的职能主要包括督促指导地铁运营企业落实防汛安全隐患排查；市应急管理局的职能主要包括研究起草应急管理的地方性法规、指导应急预案体系建设和预案演练、审核专项和部门应急预案等。根据上述分析和FDA模型可知，他组织层面事故域如式(3)所示：

(3)

1)应急主管部门安全预测(N31)、安全决策(N32)、安全执行(N33)任一环节出问题，均属于他组织层面行为错误模式(N3)，直接导致应急监管存在漏洞(G3)，间接导致地铁运营企业行为错误模式(N2)。他组织层面的原因是地铁列车洪淹事故发生的间接原因。

2)与个体、自组织层面类似，必要安全信息缺失(M3)和安全欺骗(C3)是应急主管部门行为错误模式(N3)的根本原因。对于应急主管部门，分析归纳地铁防汛应急管理中存在的问题(Y31)、研究制定合理的监管制度体系(Y32)、积极落实应急监管责任和有效推动应急管理制度建设(Y33)，是构建完善应急制度和开展扎实监管工作(S33)的保证。应急主管部门必要安全信息具体见表3。

表3 应急主管部门必要安全信息Table 3 Necessary safety information of emergency management department

3 安全管理重要环节及预防措施

根据FDA模型和式(1)～(3)可得整体事故致因主链如式(4)所示：

(4)

整体事故致因子链如式(5)所示：

(5)

式中：Ni=Ni1∨Ni2∨Ni3,i=1,2,3。

结合式(4)～(5)可知，地铁列车洪淹事故发生或扩大(G1)的直接原因是地铁行车人员行为错误模式(N1)和不安全物态(W)，间接原因是地铁运营企业行为错误模式(N2)导致的应急管理问题(G2)以及应急主管部门行为错误模式(N3)和应急监管漏洞(G3)，根本原因是个体、自组织、他组织层面的必要安全信息缺失Mi(i=1,2,3)或安全欺骗行为Ci(i=1,2,3)。

从阻断事故致因主链形成角度来看，各安全信宿层面均应保证各自安全状态，相关责任单位防止不安全物态发生。一方面，应急主管部门严堵应急监管漏洞，地铁运营企业防范应急管理问题，地铁行车人员避免出现行为失误；另一方面，相关设计单位不得擅自更改防汛设计标准，相关施工单位严格按图施工，谨防不安全物态发生。

从阻断事故致因子链形成角度来看，各安全信宿层面既要确保安全信息的真实可靠，也要杜绝安全欺骗行为。应急主管部门应建立健全应急预案体系，落实监督检查制度；地铁运营企业应完善防汛专项预案编制，加强应急演练工作；地铁行车人员应加强专业技能学习和应急操作训练，培养安全和责任意识。

4 案例分析

2021年7月17日起，河南省遭遇历史罕见特大暴雨，引发严重洪涝灾害。2021年7月20日，郑州地铁5号线04502次列车行驶至海滩寺站-沙口路站上行区间时，遭遇涝水灌入、失电迫停，953人安全撤离、14人死亡[13]。据国务院调查组调查认定，作为整体“天灾”中的具体“人祸”，“郑州地铁5号线7·20事件”为典型责任事件，因此适用于FDA事故致因模型。此外，调查报告关于该事件起因、过程的复盘和阐述，为模型分析提供重要参考。

4.1 个体层面事故致因分析

根据FDA模型，个体层面因素是事故的直接原因。

安全决策阶段行车调度指挥失误：1)列车放行错误指令。2021年7月20日下午17时左右，列车因道岔发生故障报警而被扣停车后，OCC运营调度员在未查明原因、不了解险情情况下，做出列车放行的错误指令，造成事故发生。2)列车退行错误指令。2021年7月20日下午17时47分，涝水淹过列车轨面，列车司机按照规定制动停车，但OCC运营调度员在未研判现场、未掌握险情情况下，做出列车退行的错误指令，导致列车在退行过程中失电迫停，车内水深上涨、乘客险情加剧。上述2次错误指令直接导致地铁行车人员行为错误模式，其主要原因是OCC运营调度员必要安全信息缺失，前者造成事故发生，后者加重事故险情。

4.2 自组织层面事故致因分析

根据FDA模型，自组织层面的因素是事故的间接原因和主要原因。

1)安全预测阶段应急管理混乱。①未编制集团层面防汛专项应急预案。专项预案编制和演练的缺失是郑州地铁集团有限公司防汛应急混乱的直接原因。②未部署检查巡视和隐患排查。在气象部门多次发布暴雨红色预警情况下，郑州地铁集团有限公司未按有关预案要求加强检查巡视和隐患排查。③未及时采取应急响应。从涝水冲垮五龙口停车场临时围挡灌入运营区间，到列车失电迫停的3 h期间，郑州地铁集团有限公司始终没有发布列车停运指令和启动应急响应。④未执行重大险情报告制度。从2021年7月20日18时37分乘客疏散被迫中断，到2021年7月20日19时48分公司值班室接到报告的1 h期间，郑州地铁集团有限公司始终未上报事故险情，严重贻误救援时机。事故暴露出郑州地铁集团有限公司严重的应急管理问题，其主要原因是在必要安全信息充分情况下的安全欺骗行为。

2)违规设计和建设施工引起的不安全物态。①违规变更设计。郑州地铁集团有限公司违反相关规定，擅自将五龙口停车场运用库移至自然排水条件差的低洼地带。②挡水墙质量问题。设计方面，停车场围墙按“百年一遇内涝水深0.24 m”设计，但实际“百年一遇”为0.5 m；施工方面，围墙未按图做基础，不符合工程建设基本程序，擅自用几乎没有挡水功能的临时围挡代替停车场西侧围墙。③明沟排涝功能受损。由于300 m3左右的建设弃土未及时清理，且部分沟段被违规加装了长约58 m的盖板，五龙口停车场明沟的正常排水受到严重阻碍。上述3处违规设计和建设施工引起的不安全物态，加重事故险情。

4.3 他组织层面事故致因分析

根据FDA模型，他组织层面的因素是事故的间接原因。

安全执行阶段防汛应急监管问题。1)突发事件应急预案体系不健全。应急主管部门未发布统一的突发事件应急预案管理办法，我国应急预案体系尚存在链接机制不健全、部分应急预案针对性和可操作性不强、动态管理机制不到位等问题。2)地铁防汛隐患排查监管不当。市交通运输局对地铁运营安全隐患排查督促指导不力，郑州市工程质量监督站轨道交通科对违规设计和建设施工监管审查不严。3)主管部门安全文化缺失。市城市防汛办公室未认真履行城市防汛职责，一方面，既未向公众发布预警信息、启动市城防指应急响应，也未将预警信息及时发布至地铁集团有限公司、市交通运输局、市应急管理局等成员单位；另一方面，组织编制的应急预案未明确成员单位地铁集团有限公司地铁运营防汛工作职责。综上，应急主管部门应急监管存在诸多漏洞，其主要原因是必要安全信息缺失。

4.4 综合致因分析及预防建议

根据FDA模型和上述分析可知，“郑州地铁5号线7·20事件”是1起由极端暴雨引发严重城市内涝，涝水冲毁五龙口停车场挡水围墙、灌入地铁隧道，地铁行车人员调度指挥失误、郑州市地铁集团有限公司应急处置不力、主管部门应急监管不严、相关责任单位违规设计和建设施工因素共同造成的重大人员伤亡责任事件。其中，直接原因是地铁行车人员调度指挥失误和违规设计施工；间接原因是地铁运营企业应急处置不力和应急主管部门应急监管不严；主要原因是地铁运营企业未及时采取预警响应行动；根本原因是安全信宿必要安全信息缺失和安全欺骗行为。“郑州地铁5号线7·20事件”事故链如图2所示。

图2 “郑州地铁5号线7·20事件”事故链Fig.2 Accident chains of “7·20 event of Zhengzhou Metro Line 5”

相较于事故分析调查报告，基于地铁列车洪淹事故FDA致因模型和事故链的“郑州地铁5号线7·20事件”致因分析，在安全信息流动的逻辑框架下，将事故因素和发生过程统一起来，并明确事故的直接、间接、主要及根本原因。

由此可见，安全信息对于分析和预防地铁列车洪淹事故至关重要。在事故预防方面，针对各安全信宿建议如下：应急主管部门应加强监管，积极推动预案体系编制及应急演练工作，加强安全文化建设；郑州市地铁集团有限公司应建立健全防汛应急专项预案，加强应急管理制度、企业安全文化建设；地铁行车人员应严格按规操作，精进专业技能和安全意识，提升应急处置能力；相关设计、施工单位应遵章守法、按图施工，谨防不安全物态的发生。

5 结论

1)以安全信息为研究视角，构建由地铁行车人员、地铁运营企业、应急主管部门3条事故致因子链组成的地铁列车洪淹事故FDA致因模型。根据该模型分析，地铁列车洪淹事故的直接原因是地铁行车人员行为错误模式和不安全物态，间接原因是地铁运营企业应急管理问题和应急主管部门应急监管漏洞，根本原因是必要安全信息缺失和安全欺骗行为。

2)从阻断事故致因主链、子链2个角度，分别针对地铁行车人员、地铁运营企业、应急主管部门、相关责任单位4个层面，阐述地铁列车洪淹事故安全管理重要环节并提出预防建议。

3)以“郑州地铁5号线7·20事件”为案例，分别从个体、自组织和他组织3个层面对该事故进行致因分析，在阐述事故原因构成、描绘事故致因链基础上，提出相应整改建议。基于地铁列车洪淹事故FDA致因模型的实证研究，可为责任认定和事故处理提供科学依据、为事故预防提出建议措施、为地铁运营安全管理提供新的思路。