列车自动化运行故障时的人机协作潜力

1研究背景

铁路运输自动化进程始于数十年前。列车运行自动化主要指驾驶功能的自动化，如今已经通过连续式列车自动控制系统（LZB）和自动驾驶与制动控制系统（AFB）实现。

近几年来，在欧洲范围内开展了一系列以欧洲列车控制系统（ETCS）为基础的列车半自动运行测试，即列车运行自动化等级2级（GoA 2）测试。测试中，列车驾驶员的任务是在驾驶室中监视行车路线，并随时对列车的牵引和制动控制进行干预，但无需对运行程序进行任何重大改变。而在 GoA 4（自动化最高等级，即全自动运行）中无需驾驶员操作。这依托于包含新功能和新组件的新型系统架构的开发。GoA 4的新组件除了现有驾驶技能外，还将具有人类的某些能力，如感知、认知和交流能力，具体如下。

（1） 感知能力是指监控行车线路和识别危险的能力，通过感知组件（即传感器）实现。

（2） 认知能力是指数据分析、计划和决策能力，通过认知组件实现。认知组件的功能有：①分析传感器收集的数据，从而识别自动运行车辆在建筑接近限界中的当前位置;②对行驶环境中的重要元素进行分类和定位。

（3） 交流能力是指与相关联的系统和机构（主要指控制中心）进行连续数据交换的能力，通过通信组件实现。

由于这些能力所需的部分组件目前尚未成功开发，因此难以估算预期成本。

在列车自动化运行中，鉴于技术故障不可避免，因此必须通过冗余和故障后备方案来确保设备的可用性。GoA 4的故障后备方案之一是，当列车发生故障时，控制中心操作员远程接管控制。这种方案必须以设备（如列车上的传感器）的高可用性以及通信的低延迟性为基础（这2点通过冗余实现）。因此，若列车在全自动运行中出现因通讯故障而停车的情况，就必须让专人登车接管控制，但由于登车人员与列车的距离不确定，所以登车时间也不确定，这将严重影响铁路基础设施的可用性。

为了实现更经济有效的列车运营，可以考虑采用GoA 3。采用GoA 3时，列车上至少有1名列车员，他负责处理紧急情况以及操作车门。通过让列车员参与故障后备方案，可以不安装GoA 4所需的某些组件。因此，本文将重点研究GoA 3在故障情况下的适用性。故障情况下，列车员干预列车运行时需要与控制中心操作员、车站值班员、调度员等相关工作人员协作，在某些情况下甚至需要与机器合作，所以本文的目的是描述GoA 3故障后备方案中可能的人机协作方式，并从技术和人员成本及对运营的影响方面对其进行比较。

2 列车自动化运行故障后备方案中的人机协作

铁路交通是多人（如驾驶员、车站值班员、调度员）根据操作程序对列车运行进行外部控制的系统。每个参与者都有特定的职责和一个共同目标，即保障铁路运营的安全。在自动化运行中，机器也通过承担任务为实现上述共同目标出力。协作是指人与人之间有目的的互动，因此铁路交通中人与机器之间为达到共同目标的互动与合作也可以称为人机协作。

人机协作可以用人类信息处理的4阶段模型来描述。该模型描述了人类信息处理的4个任务，即信息收集、情况分析、决策和执行。这4个任务之间是相互依存、相继执行的关系。

图1显示了故障后备方案中人机交互的阶段。阶段1

为请求接管或连接阶段，在此阶段，自动化系统检测到列车故障，向人发出接管请求。阶段2为人机协作阶段，此阶段包含上述人类信息处理的4个任务，图中使用滑块描述故障后备方案中人机之间的任务分配。阶段3为从故障后备方案过渡到正常运行阶段，在此阶段，人在保证列车安全运行的前提下，将列车运行控制权重新交还给机器。

图1中人机交互的自动化等级可高可低。自动化程度由分配给列车自动驾驶系统（ATO）任务的多少决定。如果所有4个任务都实现了完全自动化，则自动化等级为最高;相反，如果任务完全由人接管，则自动化等级最低。正如研究背景中所提到的，经济原因阻碍了前者的发展。因此，在分配自动化运行中涉及的任务时，应将人类智能的灵活性与机器智能的速度相结合，以期获得最大的运行收益。

3 故障后备方案中的人机协作方式

在未来，车站值班员将继续负责列车运行的安全，调度员将继续确保列车运行过程的平稳顺畅，驾驶员将从列车驾驶室转移到控制中心，列车员将负责在列车故障后、启用后备方案时与机器一起参与和执行列车的控制。由于故障后备方案的参与者众多，因此协作方式也多种多样。协作方式的选择取决于故障的类型以及采用故障后备方案继续控制列车所需的系统元件。由于ATO系统、ETCS系统以及通信链路会对运营管理起决定性作用，因此其可用性对于协作方式的选择至关重要。根据系统元件的可用性以及对于各个参与者操作权限有限的假设（例如不允许调度员独立控制列车），故障后备方案中的协作基本上可以通过6种方式实现，其中方式3和方式5可各分为3个子项，如图2 所示。

当然，上述6种方式是在以下3个假设的前提下得出的：①车辆控制系统（如牵引和制动控制系统）在所有情况下都正常工作;②至少有1名列车员可参与后备方案的实施;③ATO系统、ETCS系统和通信链路3个系统元件不会同时不可用。表1显示了6种方式中系统元件可用或不可用的情况。

在列车与控制中心之间存在通信连接的所有情况下，控制中心操作员都将与机器及列车员协作，积极参与故障后备方案的实施。在有列车员参与的所有方式中，都遵循一個假设，即列车员会以及时且安全的方式参与故障后备方案的实施过程。下面将简要介绍这6种方式。

3.1 方式 1：传统的人-人协作

传统的人-人协作是指控制中心操作员与车上列车员之间的协作。在这种方式中，ETCS系统和ATO系统不可用，只有列车与控制中心之间的通信链路可用。由控制中心操作员发出操作指令，列车员负责信息收集及车辆现场情况分析。列车员将情况分析的结果报告给控制中心操作员，然后由操作员与车站值班员一起决定采取下一步的措施。操作指令由列车员手动执行，例如操作牵引杆或制动杆。

3.2 方式 2：采用 ETCS 系统、无需 ATO 系统的列车员自主驾驶

该方式是列车员与ETCS系统的直接协作，没有控制中心人员的参与。列车员负责车辆现场情况分析，以及根据操作程序决定下一步应采取的措施;而ETCS系统负责收集信息并操控车辆控制系统。

3.3 方式 3：有控制中心操作员参与、无需 ATO 系统的人机协作

3.3.1 方式 3 a：控制中心操作员远程控制

此方式中，控制中心操作员会与车辆上的ETCS系统协作。当出现故障时，ETCS系统会请求控制中心操作员接管对列车的控制。接管和远程控制通过无线电实现。车辆信息的收集通过车辆上安装的、可用性高的传感器实现。控制中心操作员还可以从调度员或车站值班员处获取更多必要信息。后续流程由控制中心操作员执行。此种协作方式可用于GoA 3和GoA 4。

3.3.2 方式 3 b：借助列车员信息反馈的远程控制

此方式与方式3a相似。不同的是，列车员也参与了故障后备方案的实施。这种情况下，控制中心操作员负责控制ETCS系统，他有2个信息源：①列车员，负责提供视觉信息;②ETCS系统，负责提供列车实时速度、位置等其他重要数据。列车员在控制中心操作员进行情况分析和决策时起辅助作用。

3.3.3 方式 3 c：人-人-机器协作

方式3c与方式3a、3b的不同点在于：列车员在后备方案中要承担更多的任务。控制中心操作员不再直接控制ETCS系统，而是向列车员提供关于ETCS系统的控制指导。由于信息收集和现场情况分析由列车员负责，因此列车上不需安装可用性高的传感器。列车员将情况分析的结果报告给控制中心操作员，然后由操作员与车站值班员一起决定采取下一步的措施。

3.4 方式 4：采用 ATO 系统，无需 ETCS 系统的列车员自主驾驶

此方式与方式2相似。不同点在于，此方式中ATO系统可用，而ETCS系统不可用。ATO系统可以通过加工海量数据来分析现场情况。

3.5 方式 5：有控制中心操作员参与、无需 ETCS 系统的人机协作

3.5.1 方式 5 a：控制中心操作员远程控制

此方式中，控制中心操作员会与车辆上的ATO系统协作。当出现故障时，ATO系统会请求控制中心操作员接管对列车的控制。接管和远程控制通过无线电实现。车辆信息的收集通过车辆上安装的、可用性高的传感器实现。接下来的流程与方式3a相同。此种协作方式可用于GoA 3和GoA 4。

3.5.2 方式 5 b：借助列车员信息反馈的远程控制

此方式中，列车员会参与故障后备方案的实施，并与控制中心操作员和ATO系统协作。控制中心操作员负责控制ATO系统，列车员负责为控制中心操作员提供视觉信息。ATO系统的任务是通过加工海量数据来分析现场情况。

3.5.3 方式 5 c：人-人-机器协作

此方式中，由列车员负责控制ATO系统。控制中心操作员将向其提供必要的指导。由于信息收集和现场情况分析由列车员负责，因此车上不需安装可用性高的传感器。列车员还要将情况分析结果报告给控制中心操作员。

3.6 方式 6：同时采用 ETCS 系统和 ATO 系统的列车员自主驾驶

在此方式中，由ETCS和ATO系统操控列车，列车员从旁辅助，并可随时干预。ATO系统的任务与方式4中相同，即通过加工海量数据来分析现场情况。ETCS系统的任务是监控，在危及列车安全的情况下（如列车超速）进行干预，实施制动。而列车员与方式2中一样具有采取下一步措施的决定权。

总之，当通信链路故障时，可采用方式2、方式4和方式6;若列车与控制中心的通信链路正常，协作方式的选择则取决于ETCS和ATO系统的可用性。由于车上的列车员和控制中心操作员都可用，因此方式3和方式5还可以通过不同的形式实现。

4 协作方式 3 和方式 5 的定性评估

协作方式3和方式5是基于可用的通信连接以及控制中心操作员的参与而实现的，本节仅以它们作为评估对象。采用的评估方法是Pugh矩阵。Pugh矩阵适用于将多个概念与基本概念进行比较，从而对其进行定性评估。此处设定的基本概念是具有自动驾驶功能的GoA2、正常运行的ETCS 2级系统，以及目前操作程序的故障后备方案。

要对上述方式进行评估，需要首先根据基本概念定义和评价评估标准。基本概念是用作参考的，在所有评估标准中都将其赋值为“0”。如果某一协作方式对评估标准的符合程度比基本概念高，则其评估值为“1”;如果与基本概念相同，则为“0”;如果低于基本概念，则为“-1”。评估标准有2条，具体如下。

（1）经济支出。此评估标准包括为实施协作方案而进行必要技术升级的支出，以及对列车员进行培训和继续教育所需的支出。其中，技术升级包括实现ATO或ETCS系统分析和决策的智能化，实现ETCS系统的牵引控制功能，以及安装用于信息收集的高可用性硬件元件（传感器）。

（2）运行效果（时间耗费）。此评估标准包含2个部分：①列车员参与故障后备方案所需的时间;②人员退出故障后备方案的时间。

在经济支出方面，方式3a和方式5a中由于列车上没有人员参与到后备方案中，因此需要实现ETCS或ATO系统分析和决策的智能化。此外，为确保ETCS或ATO系统的良好分析能力，需要安装可用性高且可靠的传感器，以收集现场信息。因此，这2种方式对技术的要求很高，也导致其成本高;其优点在于不需要对列车员进行培训和继续教育。相反，方式3b和方式5b在经济上有优势，原因在于：①列车员仅负责为控制中心操作员提供视觉信息，即使没有经過培训或继续教育也应具有这种能力，因此列车员的培训和继续教育费用较低;②控制中心操作员所需的视觉信息由列车员提供，因此不需要安装可用性高的传感器;③列车由控制中心操作员控制，因此不必实现ETCS或ATO系统的分析和决策智能化。方式3c和方式5c需要人员培训方面的花费。由于列车员需要与调度员和ETCS/ATO系统协作，因此需要对其进行培训，使其能够在故障后备方案中支持甚至完全取代控制中心操作员。此外，列车员对ETCS和ATO系统不熟悉，也使实现这2种系统的分析和决策智能化成为必要。如果故障后备方案（方式3a～c）中ATO系统不可用，则必须扩展ETCS系统的牵引控制功能。

在运行效果方面，方式3a和方式5a，由于控制中心与车载ETCS/ATO系统的无线电连接速度快，远程控制效率高，且无需列车员参与，从而使运行程序的延迟少，因此其运行效果被整体评估为“1”。其中，由于控制中心操作员与车站值班员之间需要进行通信，因此人员参与时间的评估值为“0”;由于这2种方式中没有列车员的参与，也无需退出，因此人员退出故障后备方案时间的评估值为“1”。其他4种方式都需要列车员参与，他们在过渡到正常运行时（阶段3）必须退出。在退出故障后备方案的过程中，列车员要花费一定的时间输入ETCS或ATO系统正常运行所需的数据，这意味着故障后备方案（阶段1～3）总体上可能会花费更长的時间。如果列车员仅在控制中心操作员收集信息、分析情况和做出决策的过程中起辅助作用，则其退出故障后备方案的时间不会太长，因为他不直接与系统进行交互，故障排除后可以迅速回到原来的工作中。

通常，人的操作容易出错，尤其是在操作复杂系统时。每种方案应至少具有与目前相同的安全级别，这是必须遵循的前提。在直接与ETCS/ATO系统或列车控制系统进行交互的方式中，由于列车员不仅需要了解现场情况，而且要掌握系统相关的知识，因此应接受相应的培训或继续教育。在信息获取、情况分析和决策等领域，使列车员成为控制中心操作员的支持者，可以实现更高的安全增益。

5 总结和展望

本文揭示了列车自动化运行发生故障时人机协作的潜力。为了确保列车高效稳定地运行，随着自动化程度的提高，应更多地考虑人的因素。在故障后备方案中，列车上人员的参与可以减少对所需组件的智能化要求，并且能够以较低的成本确保列车可靠稳定地运行。本文为GoA 3设计出6种协作方式。协作方式的选择取决于故障的类型以及采用故障后备方案继续控制列车所需要的系统元件。如果ETCS和ATO系统同时故障，则采用方式1。由于列车系统需满足可靠性和可用性要求，所以2个系统同时发生故障的可能性非常低。事实上，更可能发生的是列车与控制中心之间的通信链路故障。此时可采用方式2、方式4和方式6。对方式3和方式5的定性评估表明，方式5b是最好的协作方式，因为列车员可以在认知方面辅助控制中心操作员。如果ATO系统不可用，则适合采用方式3b。

参考文献

[1]Bilal ?yümez. Potenziale einer Mensch-Maschine Kooperation bei St?rungen im automatisierten Betrieb[J]. Eisenbahntechnische Rundschau，2019，68（10）：18-24.

苏靖棋 编译

收稿日期 2019-01-05