基于STAMP-PageRank 的铁路危险品运输事故分析方法

尹德志，帅 斌，黄文成

（1. 西南交通大学，交通运输与物流学院，成都 611756；2. 综合交通运输智能化国家地方联合工程实验室，成都 611756；3. 综合交通大数据应用技术国家工程实验室，成都 611756）

0 引 言

近年来，随着我国铁路危险品运量持续增长，铁路危险品运输事故也时有发生[1-3]。从已发生事故中分析问题，依据分析结果提出具有针对性的事故预防措施，有助于减少铁路危险品运输事故发生，提高铁路危险品运输系统的安全性、可靠性与稳定性[1-3]。

事故树[4]、瑞士奶酪模型[5]等传统事故分析模型只能简单、线性的描述事故发生的内在原因，对于由若干错综复杂因素共同引起的事故，以及事故发生所处系统的动态性、不确定性不能很好地描述，将其应用于现今许多复杂系统事故时效果不佳。系统理论事故模型与过程[6]（Systems Theoretic Accident Model and Processes，STAMP）是一种系统性事故分析模型，其分析事故时重点关注系统各组件之间的交互耦合作用，强调事故发生所处的自然环境以及社会环境，能够挖掘导致复杂系统事故的深层次因素，更准确地解释事故产生原因[7]。STAMP 模型应用领域广泛，如Leveson[8,9]将其用于分析飞机爆炸事故；Kim[10]将其用于分析渡轮事故；Min[11]将其用于分析铁路事故；Düzgün[12]和祝楷[13]将其用于分析煤矿事故等。总结发现，上述应用STAMP 模型分析事故时，只定性分析事故产生原因，并根据各控制器的控制缺陷提出事故预防措施，但是在面对铁路危险品运输系统这样的复杂社会技术系统时，很难指明系统防治重点从而快速提高系统的安全性、可靠性与稳定性。因此，考虑采用PageRank算法定量评价各控制器对于事故产生的贡献程度，从而可更清晰地解释铁路危险品运输系统中的薄弱控制环节，指明系统防治重点。

文中首先对铁路危险品运输过程进行描述，分析铁路危险品运输安全的影响因素；然后给出STAMP-PageRank 事故分析方法的具体实施步骤；最后基于本文提出方法分析1994 年发生的一起铁路危险品运输事故，提出相关管理措施，旨在为我国铁路危险品运输的安全事故预防控制和安全生产提供一定的理论支撑和实践指导。

1 铁路危险品运输过程及系统风险类别划分

1.1 铁路危险品运输过程

铁路危险品运输与普通货物运输核心环节基本一致，都分为始发作业、途中作业和终到作业，具体如图1 所示。其中，为保障铁路危险品运输系统安全需重点注意的环节包括以下5 个：

（1）受理。受理重点内容包括：① 审核托运人、经办人资质；② 检查到站的营业办理和能力是否有限制；③ 检查货物运单上记载的货物品名、编号、种类等内容是否与《危险货物品名表》一致；④ 检查危险品包装种类是否符合《危规》的规定。

（2）验货。验货重点内容包括：① 检查实际货物及其件数是否与运单记载的内容一致；②对托运人确认重量的货物进行认真核对，必要时进行抽查；③对货物的包装进行严格的检查；④贴有包装储运图示标志的货物，应检查标志是否符合货物性质和作业需要。

图1 铁路危险品运输流程

（3）装车。装车重点内容包括：①合理装载危险品，不超载、偏载；②确保危险品在运输过程中不发生移动、倒塌、倾覆等；③危险品装载后的宽度及高度不得超过铁路规定限界；④危险品总重量不得超过货车最大载重量。

（4）换装整理。经过检查后若发现货物撒出或渗漏，货车偏载、超载时应由当前车站及时进行换装整理。

（5）卸货。货物到达后要及时进行卸货并通知收货人取货，在货物未被取走前，承运人应按照危险品的特性和要求分别存放在指定地点，以免发生意外，当收货人取走货物后应及时清理货位。需要注意的是，当专用线公司自装货物时，验货及装车流程由公司内部负责。掌握上述环节有助于运用STAMP 分析事故过程。

1.2 铁路危险品运输系统风险类别划分

影响铁路危险品运输系统安全的风险因素主要有五个方面，即人、设备、货物、环境、管理因素。这些风险因素之间存在复杂的交互耦合关系，且动态、非线性地影响系统安全[1,2]，这使得铁路危险品运输事故本身具有较高的复杂性。因此，为提高铁路危险品运输系统安全，需厘清各类风险因素，以便进一步认识现有铁路危险品运输过程中管理与控制的不足，为后续 STAMPPageRank 事故分析方法的建立及结果分析奠定基础。下面将对5 类风险因素进行逐一介绍：

（1）人。铁路危险品运输系统主要包括托运人、押运人、承运人、收货人等。其中，托运人对危险品的生产、储存及包装，押运人及承运人的身体状况、心理状况、工作能力、工作态度，收货人的取货时间及方式都会影响铁路危险品运输安全。

（2）设备。铁路危险品运输设备可分为运输安全技术设备和运输基础设备。运输安全技术设备主要指对线路、车辆、货场等的监控及救援设备；运输基础设备主要指线路、车辆、车站及信联闭设备。除上述设备外，还需特别注意危险品包装，在铁路危险品运输过程中不符合国家有关规定的危险品包装易引起危险品的挥发、渗漏，从而酿成重大事故。

（3）货物。危险品可分为爆炸品、气体、易燃液体、易燃固体、氧化性和有机过氧化物、毒性和感染性物质、放射性物质、腐蚀性物质、杂项危险物质9 大类。危险品与普通货物相比具有特殊的性质，如：爆炸性、辐射性、易燃性等，使得铁路危险品运输的危险性远高于普通货物运输。

（4）环境。环境因素主要可分为危险品的储存环境以及工作人员的工作环境。例如：危险品所处环境温度过高将导致危险品挥发、燃烧甚至爆炸；危险品所处环境温度过低或潮湿将导致危险品变质，失去原有特性；工作人员所处工作环境照明条件不好或周围嘈杂将导致操作失误等。

（5）管理。影响铁路危险品运输安全的管理因素主要分为6 个方面：组织管理，如铁路危险品运输系统组织结构建立、责任划分等；法制管理，如铁路危险品运输相关法律法规、作业标准等；信息管理，如运输指令传递、相关信息反馈等；技术管理，如技术装备的研发与改进等；教育管理，如工作人员的岗位培训、考核、路外宣传等；资金管理，如运输收益管理、投资管理、员工工资发放等。

2 STAMP-PageRank 事故分析方法

2.1 STAMP 模型

在STAMP 模型中，安全性被视为控制问题，由社会技术系统中的控制结构（见图2）来管理。控制结构层级之间存在通信信道，向下的通信信道提供对下级施加约束所需的信息，向上的通信信道提供如何有效实施约束的反馈。

图2 社会技术系统控制结构

在此框架中，了解事故发生的原因需要确定控制结构为何无效，由于控制回路中的每个组件都可能导致控制不足，因此需检查控制回路中每个组件并对控制缺陷进行分类。控制缺陷具体分类如下：

（1）控制器可能发出不充分或不恰当的安全约束，包括：① 存在的风险未被识别；② 存在的风险已被识别，但未能实施正确的安全约束，如有缺陷的控制算法（系统设计时控制算法存在缺陷、系统某些环节更新但控制算法未做出相应更改、控制算法做出了不正确修改等）、控制算法与受控对象运行模型的不一致或不正确的过程模型（系统设计时过程模型存在缺陷、系统某些环节更新但过程模型未做出相应更改、存在时间上的延迟和不准确的测量等）；③ 多个控制器之间的协调不足等（当存在多个控制器时，控制动作可能不充分协调，包括决策或动作的意外副作用或冲突的控制动作）。

（2）系统安全约束未得到充分执行，包括：① 控制过程中存在故障或不足；②控制器未能将安全约束充分传达给受控对象，③控制指令传达延迟。

（3）反馈可能缺失或不足，包括：①在系统设计时未包含反馈；②反馈通道存在缺陷；③反馈不及时；④反馈的信息缺失或不正确。

STAMP 模型通过对控制结构的检查识别控制结构中各组件的控制不足，从而确定事故发生的原因，并从系统开发、设计及操作的角度提出改进措施，预防事故的发生。使用STAMP 模型进行事故分析的步骤可概括如下：识别系统风险，包括与单个组件相关的事故、组件相互作用以及外部因素的干扰；识别系统安全约束（系统安全依赖于为控制系统危险而施加的约束，安全约束一般在系统设计和操作中被施加）；确定控制结构并识别各控制器的安全约束、不充分或不安全的控制行为及其产生原因；对系统提出相应的改进措施。

2.2 PageRank 算法

PageRank 是Google 公司对网页重要程度进行排序的一种算法。该算法通过网页之间的链接关系来确定网页的PageRank 值（重要程度值），并不断地迭代来更新每个网页的PageRank 值，直到其稳定为止[14]。网页PageRank 值的具体表达式为：

式中：Pi表示待评价页面；n 表示网页总数；s 表示跳转概率，一般取s=0.15； E ( Pi)表示链入页面 Pi的链接集合； G ( Pj)表示从页面 Pj链接到其他页面的链接集合。由上式可知，PageRank 算法基本原理可概括为两点：（1）指向网页的链接越多，网页越重要；（2）网页的PageRank 值越高，则其通过链接对其他网页的重要程度影响越大。

2.3 STAMP-PageRank 事故分析方法具体步骤

在STAMP 控制结构中各控制器通过通信信道对其他控制器进行控制，同时，又受到其他控制器的反馈。控制器受其他控制器的影响（控制缺陷）越多，控制器的受破坏程度越大，随时间推移，受破坏程度大的控制器会通过通信信道对其他控制器传递更多的影响，即对事故产生的贡献程度越大。故考虑采用PageRank 算法定量评价STAMP 控制结构中各控制器对于事故产生的贡献程度，即将上述PageRank 算法表达式中的 Pi表示为控制结构中控制器；n 表示控制结构中控制器总数； E ( Pi)表示影响 Pi的控制器集合；G ( Pj)表示 Pj影响的其他控制器集合。将STAMP模型、PageRank 算法结合可以得到随时间推移控制器对其他控制器的稳定影响程度，即对事故的贡献程度，PageRank 值越高，控制器对事故产生的贡献程度越大。需要注意的是，确定各控制器对事故产生的贡献程度并不是为了追责，而是为了更具针对性的对相关控制器提出预防措施，防止事故再次发生。使用STAMP-PageRank 事故分析方法的具体步骤如图3 所示。

图3 STAMP-Page Rank 事故分析方法具体步骤

3 案例分析

3.1 事故经过

以1994 年我国发生的一起某托运公司因谎报危险品浓度并使用不合格包装导致的火灾事故为背景进行案例研究[15]。事故经过如下：（1）某省新苑集团委托某托运公司（专用线公司）办理托运。（2）托运公司向承运车站提交货物运单，但其未向承运车站提供实际产品的技术说明资料，货物运单填写的双氧水浓度为40%以下，而其实际浓度大于40%，为铁危编号51001A 的超浓度“强双氧水”。其次，双氧水包装须试验合格，并经铁路局批准，运输时须经铁路总公司批准，但托运公司并未得到上级批准。另外，使用塑料桶作为双氧水包装时，每桶净重应小于等于50kg，容器上要有减压阀或通气口，容器内至少留有10%余量。事后经抽查，容器上通气口多被堵塞，不起通气作用，与托运公司在运单上填写的“出口包装”的要求全然不符。（3）承运车站未对双氧水的包装进行认真确认并按规定逐级报批，擅自承运后向专用线拨配货车（事后调查发现，该棚车未进行认真打扫，残留木屑、纸屑等不明可燃物）。（4）该批货物在专用线自装，车辆中部货物堆码5 个高，未呈阶梯形堆码，也未采取稳固措施。（5）7 月21 日该车编挂于1201次货物列车并于当日15 时40 分到达中途某编组站。该站货运检查员发现该车底板处有液体渗漏并有白色烟雾，立即编制普通记录并通知运转部门摘车整理。（6）当日23 时48 分将该车送该站存放线，22 日送18 道换装整理线，但未予整理。（7）23 日10 时又将该车牵出换装整理线，存放于19 道存车线。（8）23 日18 时15 分，车站工作人员发现该车冒烟并夹带火光，立即报警。15分钟后市消防队出动5 辆消防车灭火，火灾造成货物损失达20 万元，车辆受损严重。

3.2 STAMP 分析

由上述事故最终表现形式可知本次事故的系统危险是危险品起火。为防止系统危险的发生，系统应具有的安全约束为：（1）保证危险品在运输过程中不泄露；（2）保证危险品在运输过程中不接触火源；（3）有铁路危险货物运输事故应急处理预案，为救援人员配备必要救援设备和器材。铁路危险品运输系统整体分层控制结构如图4 所示，由于实际铁路危险品运输系统控制结构复杂，为简化分析，由事故过程得到为实施上述安全约束的铁路危险品运输系统局部分层控制结构，如图5 所示。下面分别对图中各层级进行STAMP 分析。

图4 铁路危险品运输系统整体分层控制结构

3.2.1 员工层级

（1）公司运输员

①安全需求和约束：公司运输员应经过铁路专业培训，持有《企业运输员培训合格证》，如工作涉及危险货物时，还需持有《危险货物运输业务培训合格证》；装车前，应对车厢的完整和清洁状况进行检查；需按照铁路相关规定装卸，储存货物，保证货物稳固，不发生倒塌等状况。②环境和行为塑造因素：专用线公司管理松懈。③不充分或不安全的控制动作：发现棚车木底板残留木屑、纸屑等不明可燃杂物仍继续装车；装车时，车辆中部货物堆码5 个高，但未将双氧水呈梯形堆码，也未采取稳固措施。④心智模型缺陷：认为不严格堆码货物以及棚车木底板残留的木屑、纸屑等不明可燃杂物不会产生危险。

图5 本次事故涉及的系统局部分层控制结构

（2）承运站调车人员

① 安全需求和约束：应根据货物性质向专用线拨配合适车辆；应保证拨配车辆状态良好、干净整洁。② 环境和行为塑造因素：承运站管理松懈。③ 不充分或不安全的控制动作：向专用线拨配的车辆未进行认真清扫，残留木屑、纸屑等不明可燃杂物。④ 心智模型缺陷：认为棚车木底板残留的木屑、纸屑等不明可燃杂物不会产生危险。

（3）途中站货运检查员

①安全需求和约束：检查货车施封是否正常、门窗是否紧闭；发现货物损坏、撒漏、泄漏、货车装载状态有异样时应及时确认，必要时换装或整理以保证行车安全；发现货物损坏、撒漏、泄漏或存在装载问题时应查问货物性质和问题发生原因，记录并向领导汇报；倒装或整理后应检查货物是否继续撒漏或渗漏，车辆是否仍存在装载不良问题。②环境和行为塑造因素：途中站管理松懈。③不充分或不安全的控制动作：未查问货物性质和问题发生原因便通知运转部门摘车整理；未检查货物是否经过整理。④心智模型缺陷：认为货物泄漏是意外情况，只需整理即可，无需查问货物性质和泄漏原因，也无需向领导汇报；认为货物送到换装整理线后会进行整理，无需再检查货物是否继续撒漏或渗漏。⑤合作：认为专用线公司、承运站会严格检查货物，货物泄漏是意外情况。

（4）途中站调车人员

①安全需求和约束：应根据货物性质在编组、调车等作业时做出特殊要求，以防车辆冲撞、摩擦产生火花导致危险。②环境和行为塑造因素：途中站放宽编组、调车作业要求。③不充分或不安全的控制动作：频繁调车使车辆在货场内滞留长达50 多个小时且未作特殊要求，车辆冲撞导致货物加速泄漏。④心智模型缺陷：认为频繁调车不会导致货物泄漏。

3.2.2 公司及车站层级

（1）新苑集团

①安全需求和约束：国内运输危险货物禁止委托托运公司代理。②环境和行为塑造因素：铁路局对托运公司监督、管理不到位。③不充分或不安全的控制动作：委托托运公司代理危险品运输。④反馈：托运公司接受新苑集团委托。⑤心智模型缺陷：认为委托托运公司代理危险品运输不会产生危险。

（2）托运公司

①安全需求和约束：具有铁路危险品托运人资质；禁止代理危险品运输；向车站如实提交相关证明文件及货物运单；按要求包装危险品；对公司运输员进行严格的监督、管理。②环境和行为塑造因素：铁路局对专用线公司监督、管理不到位；长期未出现重大事故以致管理松懈。③不充分或不安全的控制动作：接受新苑集团委托；未向承运车站提供实际产品的技术说明资料，货物运单填写的双氧水浓度为40%以下，而其实际浓度大于40%；对双氧水的包装并未得到上级批准；使用塑料桶作为双氧水包装，但容器上通气口多被堵塞，不起通气作用，与托运公司在运单上填写的“出口包装”的要求全然不符；对公司运输员管理松懈，致使违规装车现象长期存在。④反馈：承运站擅自承运。⑤心智模型缺陷：认为代理危险品运输不会产生危险；低估错误包装产生的危险；认为公司运输员会按照规定装车。

（3）承运站

①安全需求和约束：具有铁路危险品承运资质；不得擅自承运运输条件未经上级许可的货物；对车站人员进行严格的监督、管理。②环境和行为塑造因素：铁路局对承运站监督、管理不到位；长期未出现重大事故以致管理松懈。③不充分或不安全的控制动作：未对双氧水的包装进行认真确认并按规定逐级报批，擅自承运该货物；对调车人员管理松懈，致使违规拨配车辆现象长期存在；将存有安全隐患的危险品运送出站。④心智模型缺陷：认为危险品运输条件无需认真确认并按规定逐级报批，不会产生危险；认为调车人员会按照规定拨配车辆。

（4）途中站

①安全需求和约束：建立健全的货检监控体系；对车站人员进行严格的监督、管理。②环境和行为塑造因素：铁路局对途中站监督、管理不到位；长期未出现重大事故以致管理松懈。③不充分或不安全的控制动作：对货运检查员管理松懈，致使不严格检查货物现象长期存在；放宽在编组、调车作业过程中的要求。④反馈：货运检查员检查货物泄漏后未向途中站汇报。⑤心智模型缺陷：认为货运检查员会严格检查货物；认为放宽编组、调车作业要求不会产生危险。

3.2.3 铁路局层级及中国铁路总公司层级

（1）铁路局集团有限公司

①安全需求和约束：监督管理下辖车站和专用线公司；严格发放危险品托运人、承运人资质证书；对各站和专用线公司的管理人员进行安全教育及相关知识培训，要求其掌握各自岗位的相关知识并熟悉有关规定。②环境和行为塑造因素：铁路局管理体系复杂；长期未出现重大事故以致管理松懈。③不充分或不安全的控制动作：缺乏对各车站和专用线公司的监督管理；缺乏对各车站和专用线公司管理人员的安全教育及相关知识培训；对已有资质的托运人及承运人在运输中的实际完成情况审查不足。④反馈：承运站未对货物的运输条件进行认真确认并按照规定逐级报批。

（2）中国铁路总公司

①安全需求和约束：监督管理各铁路局，确保铁路局安全完成生产任务；对铁路局管理人员进行安全教育及相关知识培训，要求其掌握各自岗位的相关知识并熟悉有关规定。②环境和行为塑造因素：长期未出现重大事故以致管理松懈；铁路体系庞大且复杂。③不充分或不安全的控制动作：对下辖各铁路局缺乏充分的监督管理；缺乏对各铁路局职工的安全教育及相关知识培训。

3.2.4 事故的动态过程分析

铁路运输系统最初设计的监管及检查制度是可以保证系统提前发现问题并防止事故发生的，但随着铁路货物运输需求量增加，各部门都越来越关注运输效益，工作人员的劳动强度不断加大。因此，安全控制结构、控制措施等需重新评估，但本次事故中安全控制结构并未加强控制措施，控制结构各层反而降低了控制能力。图6为事故发生时的铁路危险品运输系统缺陷控制结构，其中虚线箭头表示已经出现问题的控制或反馈渠道。

图6 事故发生时的缺陷控制结构

3.3 确定各控制器的事故贡献程度

上述图6 显示了控制器间的影响关系，在此基础上，可根据PageRank 算法计算各控制器的事故贡献程度。由图6 可知，n=11，其中危险品及车辆控制器不能产生反馈，属于终端节点，为防止其消耗掉系统的全部PageRank 值，将终端节点虚拟指向其他各节点。各控制器PageRank值及排序结果如表1 所示。

表1 控制器PageRank 值及其排序结果

从控制结构角度出发，事故发生的根本原因无疑是铁路危险品运输系统一线工作人员的直属管理层控制不足引起的；其次，作为直接与危险品和车辆接触的一线工作人员也应因工作不力担负相应责任；最后，高级管理层缺乏对低级管理层的监管，但其没有直接管理一线工作人员，所以对事故产生的贡献程度应排在最后。在PageRank 值排序结果中，直属管理层托运公司、承运站、途中站、铁路局集团有限公司排在前四名；货运检查员、途中站调车人员、公司运输员、承运站调车人员排在中间位置；铁路总公司排在最后。可见，采用PageRank 算法计算控制器对于事故产生的贡献程度较为合理。

3.4 事故预防措施提出

为预防事故发生，快速有效提高系统安全性、可靠性与稳定性，基于STAMP 分析及PageRank算法的排序结果，提出如下针对性改进措施：

（1）加大对公司及车站层级、铁路局层级的整顿力度。具体包括：①铁路局应对危险货物包装、车辆使用等加强监管；②托运公司不得代理危险品运输，托运货物时应如实提供产品的技术说明书；③承运站应认真审核托运人资质，确定产品的运输条件并按照规定逐级报批，不得擅自承运；④途中站应完善货检监控体系，要求员工严格执行编组、调车等作业过程的规定；⑤铁路局、各车站及专用线公司应加强人员培训，强调铁路安全文化。

（2）一线工作人员应认真学习专业知识，培养专业技能，努力提高自身能力以胜任各自职责，并高度优先遵守安全规章制度。

（3）铁路总公司和各铁路局集团有限公司要充分监督安全管理，发生事故后应采用适当方法分析原因，添加或完善控制结构中各部门的安全约束、反馈及控制通道，避免事故再次发生。

4 结束语

本文采用了STAMP-PageRank 方法分析铁路危险品运输事故。该模型可分为四个步骤：收集和整理相关事故材料，以书面语言详细记录事故相关过程；找出事故的最终表现形式并将其作为系统危险，分析为控制系统危险而必须施加的系统安全约束，绘制系统整体及局部控制结构图，分析各层控制结构为防范系统危险所需要遵循的相关安全约束、不充分或不安全的控制行为及不充分或不安全控制行为的产生原因；采用PageRank 算法计算控制器对事故产生的贡献程度；根据事故分析结果，提出系统改进方案。

以1994 年我国发生的一起某托运公司因谎报危险品浓度并使用不合格包装导致的火灾事故为背景进行案例研究，将事故中涉及的公司运输员、承运站调车人员、途中站货运检查员、途中站调车人员、新苑集团、托运公司、承运站、途中站、铁路局集团有限公司、中国铁路总公司分为四个层级，分别进行 STAMP 分析并依据PageRank 算法计算各控制器对事故产生的贡献程度，最后基于事故发生时铁路危险品运输系统中存在的控制缺陷问题，为相关部门提供了针对性的改进意见。PageRank 算法的加入能够更清晰地解释铁路危险品运输事故产生的原因，为事故分析人员提供了一种新的事故分析方法，有效提高了事故分析效率。