空防安全对机场空侧捷运信号系统功能的影响分析

王 野 谢 斌 赵 磊

上海富欣智能交通控制有限公司 上海 201203

捷运系统是机场内部的旅客运输系统，根据其应用区域的不同，可以细分为空侧捷运系统和陆侧捷运系统，空侧与陆侧以安全检查和隔离管制为界进行划分。空侧捷运系统为安检后的旅客提供运输服务，此类型系统对可靠性、可用性要求高，对服务水平有具体要求，同时需满足24 h不间断运营需求，一般多应用于集中式航站楼模式（航站楼＋卫星厅）的空侧连接[1]。

1 空侧捷运系统空防安全理念及安全管控措施

空侧捷运系统空防安全的目标是为了防止蓄意或意外通过捷运系统侵入航站楼、飞行区等机场隔离区域，给旅客组织和航空设备带来安全隐患。安全管控一方面应通过执行机场相关隔离区管理标准对旅客和运维人员进行隔离，另一方面，应采用科学的方法论对旅客运输过程中影响空防安全的危害源进行分析，评估其对空防安全的影响程度，制定有效的危害规避或缓解措施。捷运系统由土建、供电、车辆、信号、站台门、火灾等多个专业构成，空防安全技术需求应由一个专业或多个专业承接实现，本文着重于捷运信号系统及关联专业承接的空防安全技术需求分析。

2 空防安全需求对捷运信号系统危害分析影响

2.1 捷运系统危害识别方法论

故障树分析（Fault Tree Analysis，简称FTA）又称事故树分析，是安全系统工程中最重要的分析方法。事故树分析从一个可能的事故开始，自上而下、一层层地寻找顶事件的直接原因和间接原因事件，直到基本原因事件，并利用逻辑图把这些事件之间的逻辑关系表达出来。在故障树图中最基本的构造单元为逻辑门和事件。图1给出了故障树分析中经常使用到的故障树图图例。

图1 故障树图图例

通过故障树分析识别出的系统危害需要进行风险评估，风险评估综合考虑事件的发生频率以及事件发生后造成的后果严重度等级，这种结合在一起的评估方法便于建立一个危害事件的风险等级。表1提供了“危害发生频率及后果严重度等级”风险矩阵的定义（符合EN50126标准4.6节推荐的风险矩阵）。表2定义了对每一种风险所采取的措施，特别地，捷运系统定性风险等级需要得到民航机场管理部门的确认。

表1 风险评估矩阵

表2 定性风险等级

根据风险矩阵定义，每一个危害都分析了其危害发生频率和危害后果严重度等级，评估过程依赖于相类似项目的事故报告和其他类似系统的经验教训。评估结果通常采用表格方式进行汇总记录，如表3所示。

表3 初步危害分析结果

2.2 空防安全危害识别与评估

根据机场空防安全的目标，本章节将人员非法侵入定义为空防安全的风险识别与评估源头，并以上海浦东国际机场空侧捷运系统为实例，分析人员非法侵入对空侧捷运信号系统设计的影响。

人员非法侵入包含非捷运旅客侵入捷运系统、运营维护人员非法侵入捷运系统以及捷运旅客混流，这些情况轻则扰乱捷运系统的运输秩序，重则破坏机场安全检查流程，造成重大的财产损失以及不可挽回的政治影响。人员非法侵入故障树参见图2，其中，非捷运旅客和运营维护人员非法侵入捷运系统风险，可以通过捷运系统安全检查流程进行缓解或消除，捷运旅客混流应由捷运系统自身通过技术手段进行缓解或消除。

图2 人员非法侵入（PH01）故障树

如图3所示，捷运旅客混流故障树包含国内旅客和国际旅客混流、国际到达旅客和反流旅客混流（注：反流旅客是指误搭乘捷运系统的国际出发旅客，需要利用专用的反流车厢返回出发站台）、国内出发和到达旅客混流、国际出发和到达旅客混流，根据搭乘捷运系统的旅客走行路线，混流需要考虑站台和车厢。

图3 捷运系统旅客混流故障树

3 基于空防安全的空侧捷运信号系统功能设计

根据上海浦东国际机场捷运系统空防安全初步危害分析结果，表4“措施编号”列中Req-04/Req-07/Req-09/Req-11安全需求应由捷运信号系统承接。综合考虑捷运旅客运输组织规程和空防安全技术需求，捷运信号系统应具备“穿梭模式”下车门自动控制功能（图4）。

图4 浦东机场客室区车门和回流区车门控制方式

1）列车以“穿梭模式”从T2航站楼到达S2卫星厅对位停车，系统激活下客侧客室区及回流区的车门使能。

表4 上海浦东机场空防安全初步危害分析结果

2）系统自动打开下客侧客室区及回流区的车门及对应的站台门，启动乘客下客计时，向视频清客系统发送清客开始命令，视频清客系统启动，乘客下车。

3）乘客下客计时结束后，系统自动关闭下客侧客室区的车门及对应的站台门。

4）车门关闭，A端司机观察视频清客系统显示屏，确认没有人员或物品滞留，按压视频清客系统触摸屏上的清客确认软按钮，接着按压驾驶台上清客确认硬按钮，清客确认完成，视频清客系统关闭。

5）系统检测到清客确认完成后，取消下客侧客室区的车门使能，同时激活上客侧客室区的车门使能，自动打开上客侧客室区的车门及对应的站台门。

6）系统控制列车自动换端，列车由A端车头激活转换为B端车头激活。

7）停站时间结束后，系统自动关闭上客侧客室区的车门及对应的站台门，并自动关闭下客侧回流区的车门及对应的站台门，给出发车授权。

8）B端司机按压驾驶台上ATO启动按钮发车，列车以“穿梭模式”正常驶出站台。

3.1 站台门接口设计

根据Req-04，回流区的开、关门单独进行控制。如图5所示，站台左、右侧（对应上客侧和下客侧）分配配置站台门，分开独立进行控制，同时，单侧站台（左侧或右侧）回流区的站台门和客室区的站台门分开独立进行控制，对一个运营服务站台，共有4组标准站台门接口。

3.2 客室区车门控制

根据Req-07和Req-09，捷运列车客室区（包含国内区和国际区）两侧车门应该独立进行控制，应先开下客侧车门，再开上客侧车门，安全完整度等级需达到SIL4。因此，除了满足上客侧和下客侧车门开/关门指令不能同时给出的要求外，上客侧和下客侧车门使能信号也不能同时给出（图6、表5）。

图5 站台门接口示意

图6 客室区车门使能控制状态机

表5 客室区车门使能迁移条件

根据Req-04，国际到达旅客登乘捷运列车的站台和从捷运列车下客的站台，同侧的回流区列车门不能打开，以免发生混流，安全完整度应该达到SIL4。列车停站时，回流区单侧开门，车门控制方式参考图6，不考虑迁移条件7和8。

3.3 视频清客系统联动

根据Req-11，列车停靠站台后，下客侧车门打开，视频清客系统启动，只有在国际区旅客下客完毕，清客系统给出车厢内无人确认信号后，国际区上客侧车门才允许打开，安全完整度等级为SIL4。清客系统有效作用范围为国际区车厢（含过道），并应与信号开关门控制逻辑联动，同时，考虑清客系统的可靠性指标和失效概率，增加了司机针对清客结果进行确认的过程，清客确认纳入到信号车门使能逻辑（图7）。

图7 视频清客系统联动控制流程

4 结语

本文以上海浦东国际机场旅客捷运系统（空侧）为实例，采用安全系统工程分析的方法论，给出了空防安全对捷运信号系统及关联专业功能的影响分析，基于产品自主化的业务能力，进行了适配性的设计调整。同样地，国内每一个提出捷运系统建设规划的机场，空防安全均是一个必须审慎分析的课题，希望能够通过本文，为相关机场捷运系统的建设，提供一定程度上的借鉴。