轨道交通全自动驾驶车辆独立安全评估实施方案

王子煜

(铁科院(北京)工程咨询有限公司,北京 100081)

0 引 言

北京、上海、成都、武汉等城市多条全自动运行地铁线路业已开通并稳定运营,相比于传统地铁线路,全自动地铁线路在节能增效方面优势较明显,契合国家“十四五”规划的发展要求,全自动运行线路的建设将成为国内轨道交通发展的重点之一[1-2]。

为提高全自动运行系统核心设备的稳定性及安全性,国内轨道交通相关机构联合发布全自动运行线路建设及运营规范,建议由具备相关资质的第三方评估单位对车辆、信号等全自动核心设备开展独立安全评估工作[3-4]。

鉴于车辆系统的独立安全评估起步较晚,基础较薄弱,以北京地铁11号线全自动驾驶车辆安全评估过程为切入点,研究并建立全自动驾驶车辆系统独立安全评估工作思路及实施方案,同时也为国内其他全自动运行线路设备系统开展独立安全评估工作提供参考。

1 工程概况

北京地铁11号线西段工程北起石景山区模式口站,过阜石路、大台铁路后设置金安桥站,出金安桥站后线路由北辛安路转向首钢北区,沿规划的修理厂西路向南,在长安街西延北侧设置首钢站,出站后沿规划二炼钢南路南行,在工程终点设置地下临时停车区[5-6]。

北京地铁11号线西段工程车辆系统采用全自动驾驶模式,合同要求对车辆系统进行独立第三方安全评估[7]。

2 评估范围

安全评估工程实施方案的基础是确定评估范围,根据EN5012X系列及国家有关规范要求,结合车辆生命周期各阶段要求,从实际情况出发,对11号线全自动驾驶车辆提出具体的安全工作内容及要求[8-9],具体有以下几点。

(1)制定车辆系统安全评估工作计划及管理方案。

(2)制定评估系统接口安全管理方案,确保系统间的接口危害识别和危害分析包含系统/设备及接口危害消除、控制或减轻等内容。接口评估范围不仅包含系统间的接口,还包含预留的与延伸工程的接口。

(3)安排相关的评估活动,评估服务重点围绕安全主题,涵盖设计、制造、安装、测试/调试、试运行、开通试运营等工程全过程。

(4)编制阶段工程安全评估报告,按工程实际及项目需求提供带有结论性、负责任的授权证书及报告。

(5)针对车辆系统建立整套安全管理体系,指导承包商全生命周期安全工作,形成安全管理文件。

(6)充分考虑工程分段、甩站、延期的不确定性。按工程实际节点及项目需求要求进行车辆独立安全评估,按时提供工程安全评估报告和安全授权书。

3 评估团队配置

全自动驾驶车辆系统不仅集成机械加工、电气控制、通信信号等多行业的核心技术[10],在运营组织筹划方面也有新的变化,对评估人员的技术能力及从业经验要求较高,11号线车辆系统评估团队配置清单见表1。

表1 北京地铁11号线车辆系统安全评估团队配置清单

4 评估工作方案

评估工作方案主要围绕行车安全以及风险管理而制定,包括风险分析、框架、安全性策略以及评估工具等内容。

4.1 安全风险及安全措施概述

安全评估工作的第一步,需要针对全自动驾驶车辆系统进行安全风险分析[11-13]。

为保障在全自动驾驶车辆行车时出现的所有安全风险都能考虑到,将事先进行风险分析,风险分析考虑到自动化等级、现场特殊条件和故障模式等因素组合条件下可能出现的所有危害状况。

11号线全自动驾驶车辆系统的主要安全风险及安全措施说明如下。

(1)火灾。

车辆系统依据相关轨道车辆和基础设施防火规范进行设计,如防止燃烧、火灾及烟气扩散、有毒气体的产生和提供灭火设备。

(2)系统和设备。

全自动驾驶车辆系统的事件/故障反应时间充分考虑在无人值守时的安全风险,与安全相关的功能将触发安全措施自动执行,由此产生的信息和反应都将保持有效直至触发危害状况的因素不再存在。

4.2 评估框架

在掌握国际全自动运行系统评估方法、流程和核心技术的基础上,分析国内包括北京和上海在内的全自动运行系统建设、运营和评估的情况,总结出适合北京地铁11号线全自动驾驶车辆系统的安全评估策略[14-15]。

在车辆厂、正线和全线不同阶段测试、调试工作中,评估工作关注要点见表2。

表2 安全评估工作关注要点

4.3 安全性策略

安全评估团队工作的要求是恪守评估机构质量方面的承诺,以交付“安全、可靠和高品质”的服务为目标。安全评估团队通过执行一系列措施,尽可能识别风险,把风险控制在工程和系统的安全方针允许的范围内,以避免危害安全的事故发生。

评估机构协助车辆系统承包商设计、生产和交付一个符合规范要求、符合标准和技术要求的系统。车辆系统能够在安全的模式下操作,能在同等安全水平的模式下维护。

评估机构根据ISO9001的要求建立质量管理体系,是11号线车辆系统安全评估的安全性策略实施依据,主要包括一个作业指导书,其中定义了安全评估工程师工作中需要遵循的安全流程描述。

(1)安全性执行原则。

①技术要求中的规定和技术参考的应用,包括规范、指导和特殊的技术规范;

②根据EN5012X系列标准制定的危害识别和缓解流程的应用;

③车辆系统根据对操作、维护和其他接口实体的限制来验收;

④危害识别和缓解流程。

当这种危害缓解的争论或定性、定量的分析不能决定某个功能或设备可以达到的安全等级,评估机构和车辆系统承包商需一起来确认和接受减少风险的解决方案,该方案的成本与得到的改善成比例。目标是为识别出的风险或隐患定义缓解这个风险的“可接收的”水平。

(2)安全性目标。

①通过使用严格安全的子系统来避免不安全的情况;

②执行限制性的指导书来保证安全操作。在大多数情况下,如果得到中央控制操作员的允许,车辆操作员在非全自动模式可以忽略停车条件,使车辆在一个限制的车速下继续行驶,直到问题被解决;

③识别、评估、解决系统相关的危害,或者通过减少有危害的意外事件和(或)减少危害事件的发生频率,把相关的危害减少到可以接受的水平;

④对设计、配置或操作要求的更改符合可接受的危害水平。

(3)安全性标准。

以下针对车辆系统设计和操作流程的安全性标准能确保系统的安全性目标在整个开发生命周期内都能被考虑到。作为最低要求,这些标准包括以下几点。

①分析中已经识别的危害按照优先级次序进行消除或控制;

②从安全关键的子系统的一个或多个故障引发的危害必须属于“可接受”的种类;

③安全关键的子系统必须使用安全性设计原则,必须设置冗余(控制的安全)或者故障安全机制,使得任何故障都不会造成不安全的状态;

④如果安全受影响,一个子系统或设备故障的发现将引起限制状态的执行;

⑤地铁员工和乘客绝对不能处于“不可接受”的危害环境下。

(4)安全性要求。

如果存在任何与危害相关的外部装置和操作环境,由车辆系统承包商提供相应的缓解措施,并编写安全操作流程。

根据各阶段的接口风险分析以及运营与支持风险分析来决定这些需要“提交给用户”的需求。危害日志将记录可能影响列车司机、中央控制操作员和车辆系统承包商的要求。

评估机构将告知客户对车辆操作流程、车辆维护人员等的限制。

(5)核对冗余原则。

全自动驾驶车辆系统的冗余设计是保障行车安全的重点,核对冗余原则由几个复合型故障-安全的安全表决通道组成,以确认内容。

①核对过程自身是故障-安全或核对冗余的;

②核对过程做到足够的频繁,以确保在安全检查时间间隔内出现冗余单元中同样的错误或故障是不可能的或者不可信的;

③核对过程足够灵敏,以检测到所有在单一单元中的重大错误;

④按照预定的方式检测故障并在发生故障时及时反应以保证安全;

⑤冗余单元有足够的独立性,以确保在安全核对时间间隔中,由于共模导致的危害性故障不可能发生或不可信;以及一路核对冗余通道的一个故障将被及时检测到,以确保进入安全状态。

(6)安全检查差异性原则。

车辆系统是通过车载网络系统软件与信号系统软件进行信息交互以实现全自动驾驶模式的,安全检查差异性是安全型软件设计的关键,要求软件开发过程能够保证以下几方面。

①安全关键设备的软件和数据库是正确的;

②软件设计保证安全检查分层的逻辑;

③软件按照足够的频率强制进行所有的安全检查;

④安全信息在潜在的干扰情况下,通过有效的保护机制来保证安全信息得以传输。

4.4 评估工具

(1)评估意见。

评估意见是独立安全评估过程中的重要文件,此工具文件在评估方与工程团队间建立起双向对话通道:评估方就对被评估文档中的问题记录在评估意见中,工程团队就问题在评估意见中做出回复并提供证据。

(2)审查和见证。

审查和见证是为了验证系统保障团队的计划和安排是否被有效的实施,所提供的安全证据是否遵循计划且满足计划要求,同时可以现场对工作证据进行抽查。

(3)评估报告。

评估团队将根据合同要求向监管公司和承包商提供项目状态报告。根据项目进展情况,在项目进度发生偏差前,或安全证据存在或可能存在较大缺陷时,及时向业主报告项目状态,并提出可能的建议和意见,以保证项目最终目标的实现。

5 结 语

在北京地铁11号线车辆系统独立安全评估的工程实施过程中,严格按照评估实施方案中的安全及风险管理策略执行,确保11号线车辆系统达到全自动驾驶等级要求。