智能轨道快运系统功能安全研究

肖 磊，郭洋洋，李文波，杨 勇，张陈林

（中车株洲电力机车研究所有限公司，湖南 株洲 412001）

0 引言

智轨电车的出现颠覆了传统轨道交通的概念，其通过轨迹控制技术进行路径感知，依靠无轨导向控制技术保证车辆转向的精度，具有行驶灵活、载客量大及通行效率高等优势，解决了城市轨道交通发展中的必须依靠钢轨的难题。作为一种轨道交通新制式，依托于原有的轨道交通制式的安全性分析证明和实现其安全性是轨道交通发展过程中必然选择。

目前，国外发达国家的城市轨道交通系统已经形成了一套比较完善的安全评估和安全管理体系，并制定了一系列切实可行的安全技术标准[1]，如轨道交通的安全标准EN 50126《RAMS规范和示例》和道路交通的安全标准ISO 26262《道路车辆功能安全》；此外，有关功能安全的CSM认证、TSI认证及CER认证等标准也已被大多数国家所接受，甚至被作为强制认证要求。为了更好地为新型轨道交通系统建立系统的安全分析和评估方法，通过借鉴国外成熟的功能安全标准[2]，结合相关方要求和技术水平设定适宜的安全目标，建立了产品安全保障管理过程，使风险降低到可接受的水平。在产品安全保障过程中，首先确定分析对象，包括环境条件、接口要求和功能性能；然后对分析对象进行安全应用场景分析和风险识别；最后通过原因和后果分析，制定风险的控制措施和策略，实现最终安全需求。为此，本文针对智轨电车类轨道运行和道路车辆司机驾驶控制的特点，开展了安全应用场景和范围分析，建立了列车故障隐患分析列表，给出常见安全实现的举证和安全证明的策略，为智轨电车安全性的实现和证明提供依据。

1 应用场景和范围分析

智能轨道快运系统(autonomous-rail rapid transit，ART)安全应用场景分析是进行功能安全研究的基础[3]，需要基于列车的运行环境和操作模式完成。ART主要由车辆、站台（包括屏蔽门）、虚拟轨迹、信号设备和运营控制中心组成，各个系统通过接口进行相应信息传输和控制；智轨电车采用自动循迹和多轴协同转向功能在具有虚拟轨迹的道路上进行类轨道运行，有人工模式和辅助驾驶模式；辅助驾驶模式下达到智能驾驶Level 2级别，可在混合路权或独立路权的道路上运行。通过ART内外部接口、车辆功能等定义，结合车辆风险所在位置和车辆状态进行判断[4]；分析对象需涵盖车辆、司乘人员、维修人员、公众以及运营人员，以其不能接受的危害行为作为分析的基础，本文划分以下9种应用场景进行安全分析：

场景1 车辆运行中。分析对象为车辆不可接受的行为。

场景2 车辆内部。分析对象为司机和乘客在车辆内部受到伤害或其他可能引起司机和乘客危险的不能接受的行为。

场景3 列车-站台接口。分析对象为上下车的乘客所受到伤害或其他可能导致上下车乘客危险的不能接受的行为。

场景4 列车-运营控制中心接口。分析对象是列车和运营控制通信故障引起的车辆处于危险状态的不能接受的行为。

场景5 列车-信号灯接口。分析对象是列车和信号灯通信故障引起的列车处于危险状态的不可接受的行为。

场景6 维修。分析对象是维修工人在维修过程中受到的伤害。

场景7 环境。分析对象是外部环境引起的车辆不可接受的行为。

场景8 外部入侵。分析对象是外部人员或异物入侵导致列车不可接受的行为。

场景9 紧急疏散。分析对象是在发生紧急情况下的影响乘客紧急疏散的行为。

完成ART的应用场景分析后，按照城市轨道交通和道路交通的特点进行整车危害判别，划定不同安全分析范围，并对危害进行分组。危害识别需对顶层事故隐患对象进行以自顶向下安全分析为主、各分系统功能安全为辅的分析，以保证系统不会出现大的隐患点。分析过程配合车辆设计阶段分析，使安全分析的范围、目标和要求融入到车辆总体设计目标和方案中[5]，并建立子系统安全目标和安全措施。表1示出通过对应用场景进行分析确定的8种智轨电车的安全分析类型。

表1 智轨电车安全分类Tab.1 Safety classi fi cation of autonomous-rail rapid tram

2 故障隐患分析

智轨电车故障隐患分析是最终实现ART安全性的先决条件。通过对ART与车辆的接口功能以及整车功能进行切分，除满足城市轨道交通和道路交通车辆的牵引、制动、控制、检测以及信息传输等基本功能要求外，整车还增加了循迹和多轴转向功能，即基于已确定的9种安全应用场景和8种安全类型，识别智轨电车基本功能和特定功能的故障模式，使用FMECA（故障模式影响和危害分析）进行原因和后果分析，确定可引起智轨电车安全问题的相关功能失效。在进行智轨电车危害的判别中，参照轨道交通车辆的隐患清单[6]进行整车危害的对比，识别了智轨电车的主要危害，包括脱轨（虚拟轨迹）、碰撞、触电、爆炸、着火、人员受伤、夹人及车辆延误等（表2），分析对象涵盖ART基本功能、环境和接口的失效（表3）。

表2 智轨电车常见故障类别及危害形式Tab.2 Common failures and hazards of autonomous-rail rapid tram

表3 ART常见接口和环境危害形式Tab.3 Common interfaces and environment hazards of ART

3 安全的实现

基于ART接口和整车功能危害识别、危害分析和风险评估，建立安全性目标和要求，并融入到总体和各系统的设计中去，最终实现安全需求。

3.1 功能安全的实现

按照“故障-安全”的原则[7]实现ART功能安全，确定安全功能以及功能的安全完整性（SIL等级），要求单一失效不会导致非安全状态；如果单一失效与随后的失效组合导致非安全状态，则在随后的失效发生前，单一失效应能以极高的概率被检测到并使系统进入安全状态。按照此原则，对智轨电车进行了表4所示的安全架构、功能安全技术及可靠性的设计和安全合格性测试。

表4 功能安全的实现Tab.4 The realization of function safety

3.2 其他安全性的实现

ART除功能安全的需求，其他安全需求还包括碰撞安全、高压电气安全、维修安全、主动安全和被动安全。针对上述安全性要求基本上是有相对完备的安全标准进行检测[8]，按照相应标准，如GB/T 31498-2015《电动汽车碰撞后安全要求》和GB 18384-2015《电动汽车安全要求第三部分：人员触电要求》等进行第三方检测并出具检测报告即可证明整车的安全性。针对智轨电车，目前已完成相关仿真和测试工作。

除此之外，在智轨电车上还设置了主动和被动安全系统，主要包括360°环视摄像头、周界视频监控车辆预警、GPS预警、车辆碰撞的吸能装置以及用于紧急情况逃生的破窗按钮及电动车门的机械安全旁路等，在极大程度上保障了整车的安全性。

3.3 安全证明策略

按照轨道交通安全性标准GB/T 21562《可靠性、可用性、可维护性和安全性规范和示例》的要求，安全证明是提高城市轨道交通安全置信度的主要过程，首先需进行安全举证，然后需形成安全论据。针对智轨电车，通过整车功能模块的划分，按照新型系统、类似系统和相同系统确定3种主要的策略[9]（表5）并在设计实现过程中进行安全举证。

表5 智轨电车证明策略Tab.5 Proven strategies of autonomous-rail rapid tram

安全例证[10]（safe case）是最终论述ART是否符合规定安全需求的证明文件，包括质量管理报告、安全管理报告和技术安全报告，涉及可靠性、可用性、可维护性和安全性（RAMS）要求。安全论据与法律案例类似，其目的在于为判决时宣告无罪给出充分的证据。为了建立ART的安全例证，我们公司的产品安全保障过程（RAMS过程）通过了国际第三方认证机构的审核；智轨电车整车安全架构和多重主动与被动安全性设计已通过多场景下的测试；首条ART线路（宜宾智轨T1线）在试运行阶段通过了专家的工程安全评估，并且按照轨道交通维保要求建立了ART的“日检+5级修”的维保规程，从产品设计实现、生产和供应链管理以及运营维护过程保障了ART的安全性。

4 结语

为了解决ART作为一个城市轨道交通系统在安全实现和证明过程中缺乏输入条件和规范要求的问题，本文以轨道交通安全性（特别是功能安全）为理论基础，通过分析智轨电车的基本功能、运行环境、操作模式以及ART各接口关系，确定了特定安全应用场景和范围；并且利用安全应用场景、安全类别、故障隐患、安全架构、功能安全设计和安全证明的描述，提供了一套完整的分析论证思路。ART在保留轨道交通车辆和接口的高安全性和高可靠性的基础上，不仅建立了多层次的主动安全和被动安全技术，而且符合功能安全的设计标准[11]。其下一步工作重点将以不同应用场景下的安全证明为中心，引导ART安全性的设计提升，并不断增强安全隐患状态检测、预警和自动化控制的能力，以此来提高智轨电车安全性的置信度。