铁路安全风险控制措施有效性评估方法研究

习年生，王高磊，施 泳，赵云行

(1.中国国家铁路集团有限公司 铁路安全研究中心，北京 100081；2.中国铁道科学研究院集团有限公司 铁道科学技术研究发展中心，北京 100081；3.中国国家铁路集团有限公司 安全监督管理局，北京 100844)

0 引言

我国铁路对安全风险管理越来越重视，安全风险管理在各个专业层面得到稳步推进。然而，作为一个复杂系统，铁路具有设备设施专业性强、作业项目多、时间紧凑、空间跨度大、参与人员众多、环境因素复杂、安全要求严格等特点，安全风险控制仍面临严峻挑战。近十年的高速铁路事故调查研究表明，设备质量、违章违纪、自然灾害、社会治安等是造成事故的几个方面[1]。

在风险管理中，风险控制是重要的环节之一。风险控制(风险应对)是指选择并执行一种或多种改变风险的措施，包括改变风险事件发生的可能性或后果的措施[2]。只有对识别出的安全风险采取有效的控制措施，才能使安全风险得到有效控制[3-4]。实际上，铁路有很多事故或隐患都属于重复、屡次发生的事件，意味着即使是风险已识别，但所采取的风险控制措施还是存在着有效性不足的问题。

2019年8月中国国家铁路集团有限公司颁布实施的铁路《安全双重预防机制工作指南(试行)》(铁办安监〔2019〕22号)[5]，规定了铁路运输企业安全风险控制和隐患排查治理的程序、方法和分级、分类、评价标准，并且指出：风险控制应遵循“分类、分级、分层、分专业”的原则，做到同一风险在不同(管理)层级、不同岗位的控制措施、责任各有侧重，防止“上下一般粗”。这就为铁路安全风险控制措施制定提供了基本原则和思路。

关于措施有效性量化评估，胡泽江等[6]针对指导电网企业制定切实有效的电网风险管控措施的需求，应用模糊决策理论综合评判方法，以控制措施作为因素集，控制措施对电网风险的控制力度“高、中、低、无”作为评价集，对电网风险管控措施的管控力度进行了量化评估，从而为电网风险控制措施的优选制定奠定了基础；郭东军等[7]对信息系统安全措施的有效性分析不仅分析措施布局的整体有效性，还将安全措施实施到具体的对抗风险中去，从实施效果来判断安全措施是否有效，通过对实施了安全措施的信息系统综合风险的评估，来确定安全措施在对抗风险时的实际有效性。

很多文献研究只是涉及有效性的定性判断或案例验证。刘敬辉[8]将故障树分析法(FTA)与层次分析法(AHP)相结合，研究设计基于FTA-AHP 的铁路安全风险综合评估方法，有助于风险控制措施的定性判断。邬春兰等[9]利用事故树分析得到高速铁路列车客运安全风险源并研究其发生概率，从而确定列车客运安全隐患事件并提出相应的风险管控措施建议。逯志国等[10]针对增强新一代运载火箭液体推进剂增压及输送管路，研究提升管路在低温+内压+振动等复合环境试验的有效性及安全性。吴维等[11]为量化评估飞机跑道侵入风险水平，分析了核心致因要素在风险控制网络中的脆弱性特征以及各要素间的相互作用机制，通过建立系统动力学(SD)模型和组合策略分析来提升风险控制网络韧性。孙殿阁等[12]就领结模型(Bow-tie)技术在民用机场安全风险中的实施步骤进行描述，最后给出其在民用机场风险分析中应用的实例，并就其可行性和实际应用进行了讨论。於孝春等[13]引入Bow-tie 模型全面分析燃气管道风险的前因后果，将管道泄漏的故障树与事件树统一到一起对燃气管道进行定量风险评价。胡显伟等[14]综合运用Bow-tie 图、模糊集及德尔菲法，定量分析油气泄漏概率。

因此，研究铁路风险控制措施有效性评估方法，有助于在理论和实践方面深化铁路安全风险管理，强化双重预防机制的可操作性，切实解决铁路安全风险控制不到位的问题。

1 制定铁路安全风险控制措施的规章要求

1.1 控制措施的一般要求

当前，各铁路局集团公司基于风险分级管制和隐患排查治理的铁路双重预防信息系统正在建设中。《安全双重预防机制工作指南(试行)》对风险控制措施主要有：针对风险特点和分析研判结果，按照全员、全方位、全过程控制和人防、物防、技防综合施策、源头防范的原则，依据风险的不同级别、所需控制资源、控制能力、控制措施复杂及难易程度等因素，针对每个风险点分别研究保证风险可控、受控的控制措施，确定不同控制层级的风险控制方式和控制责任。

1.2 控制措施的分类要求

当前，人防、物防、技防“三位一体”的安全风险控制措施已在铁路双重预防机制建设中推广应用。为此，将控制措施分为人防、物防和技防3 类。人防措施是指执行安全防范的具有相应素质人员或人员群体的一种有组织的防范行为，包括人、组织和管理；物防措施指用于铁路安全防范目的，能预防、延迟风险事件发生的各种实体防护手段，包括防范外部侵袭的建筑物、屏障、装置、器材和警示标志等；技防措施是指综合运用各种安全防范技术和其他科学技术，具有防范外部侵袭和安全检查等功能(或其组合)的系统。

根据铁路实际情况[15]，将人防、物防、技防的定义进行进一步细分，铁路安全风险控制措施分类如表1 所示。按照这种控制措施分类，有利于对控制效果进行分类评定并依据措施类型进行基础分值赋值。

表1 铁路安全风险控制措施分类Tab.1 Classification of safety risk control measures in railway

1.3 风险等级划分

《安全双重预防机制工作指南(试行)》规定了风险等级划分及划分标准。铁路安全风险等级从高到低依次划分为重大、较大、一般、低共4 个风险等级。

风险控制措施制定过程中，要做到风险等级越高、控制措施越丰富、越完善、越强化。对重大、较大、一般风险须统筹考虑人防、物防、技防相结合的综合控制措施；对低风险根据实际需要有针对性、选择性地采取人防、物防或技防措施。

控制措施的强度要求为确定有效性判定标准提供了基本原则和思路。

2 控制措施有效性影响因素研究

按照风险控制措施的技术优先、效果优先、实用性强、可用性高、相互独立的选用原则，控制措施有效性影响因素可以归结为措施类型、措施实用性、措施可用性和措施独立性4个方面。

2.1 措施类型

不同类型的风险控制措施，对风险的控制效果可能不同。风险控制措施的设置原则之一，就是技术措施(物防、技防)优先原则，这意味着人防措施对风险的控制效果相对较弱。

在控制措施有效性评估中，可以通过对不同控制措施类型对风险的控制效果进行分类评定来加以考虑。

2.2 措施实用性和措施可用性

本研究中，措施实用性是指所采取的措施能够在风险控制中实施和使用，并且能够产生积极效果；措施可用性是指所采取的控制措施在铁路运营环境下具有管理和技术方面的合理性，并且能够产生主观上和效果上的满意度。

在控制措施有效性评估中，需要对措施实用性、措施可用性进行2 个维度的综合考虑。其中，措施实用性包括针对性、相关性和可行性3 个基本特性，措施可用性包括符合性、适用性和可靠性3 个基本特性，这6 个基本特性需结合风险分析结果来分别判定。根据铁路行业特点，分别定义了针对性、相关性、可行性、符合性、适用性和可靠性，以便于实用操作。

针对性是指控制措施应是针对风险的致因与演化后果而提出的。在Bow-tie 模型中，针对重大风险、较大风险的事件链的控制措施是最有针对性的。相关性是指控制措施应充分考虑铁路行业特点，包括管理现状、技术设备、人员素质等方面。可行性是指控制措施对于设计、建设、维修、运营等落实控制措施的单位和人员，在经济、技术、时间上是可行的，是能够落实和实施的。

符合性是指控制措施应符合相关法律法规、规章制度、标准规范等。适用性是指控制措施是已在国内或国外的铁路行业或类似行业得到认可的良好实践，即该控制措施已得到成功应用。可靠性是指控制措施经过研究、分析、验证，在技术上是可靠的，在管理上是能够保证质量的。

2.3 措施独立性

独立性是指应用于风险控制的各个控制措施之间，在措施类型、措施实用性、措施可用性、措施设置环节的某个或者多个方面存在本质不同。其中，措施设置环节是指控制措施在Bow-tie 模型各事件链中的位置。

在控制措施有效性评估中，仅计入具有独立性的控制措施。

3 控制措施有效性量化评估研究

对控制措施有效性的影响因素加以综合考虑，通过对措施类型基础分值、措施有效性评分系数进行赋值，设计控制措施有效性评分计算方法，确定有效性判定标准，从而构建铁路控制措施有效性评估模型。

3.1 措施类型基础分值(M0)

不同的人防措施、物防措施、技防措施，对风险控制的效果是不同的。铁路控制措施类型基础分值如表2 所示。在此，考虑辅助性的、非完全硬件的技防措施，作为一个标准的控制措施，赋值为1.0；其他措施类型与标准控制措施类型进行“效果属性”对比，按0.5分级进行等差赋值。

表2 铁路控制措施类型基础分值Tab.2 Basic scores for railway control measure types

在表2 中，“效果属性”是针对Bow-tie 模型中事件序列的成因控制或者后果控制而言的。

3.2 措施有效性评分系数(R)

在措施有效性评分系数确定过程中，对于措施实用性的3 个属性“针对性/相关性/可行性”，采用“强”“弱”进行判定。由此，根据组合关系，措施实用性的等级由高到低分为P1(强强强)、P2(强强弱)、P3(强弱弱)、P4(弱弱弱)4 个等级。类似地，对于措施可用性的3 个属性“符合性/适用性/可靠性”，采用“高”“低”进行判定，得到措施可用性的等级由高到低分为U1(高高高)、U2(高高低)、U3(高低低)、U4(低低低)4个等级。

措施有效性评分系数R在0～1 之间离散正态分布变化，措施实用性等级由高到低分别赋值0.5，0.33，0.16，0，同理措施可用性等级由高到低分别赋值0.5，0.33，0.16，0。措施的有效性评分即为措施实用性和措施可用性相加，可以得到铁路控制措施有效性评分系数矩阵如图1所示。

图1 铁路控制措施有效性评分系数矩阵Fig.1 Scoring coefficient matrix for effectiveness of safety risk control measures in railway

3.3 控制措施有效性分值计算方法

对于n个相互独立的风险控制措施，控制措施有效性分值(M)可用下式计算。

式中：Mi为第i项控制措施有效性分值；M0i为第i项控制措施分类基础分值；Ri为第i项控制措施有效性评分系数；M为综合控制措施有效性分值。

3.4 有效性判定标准

根据国际铁路最佳实践的建议，在Bow-tie 模型中，重大风险的每一侧(成因侧、后果侧)都至少应设置3 个独立、标准的控制措施(3+3=6 分)。在这里，为了简化判断和作为初步实践，对成因控制措施、后果控制措施不加区分。

针对不同等级的风险，应采取不同强度的风险控制措施。以重大风险的综合控制措施分值M≥ 6为基准，以每2 分为级差，分别确定了较大风险、一般风险、低风险的综合控制措施分值要求。控制措施有效性判定标准如表3 所示，将控制措施有效性状态分为受控和受控不足2种。

表3 控制措施有效性判定标准Tab.3 Criteria for judging the effectiveness of safety risk control measures

4 措施有效性评估方法的步骤与应用验证

4.1 有效性评估方法步骤

有效性评估方法是建立在安全风险分析已经完成的基础上。

（1）安全风险相关信息收集整理。主要是利用安全风险分析成果，收集整理相关信息，主要包括安全风险的识别方法、致因和发生可能性、后果类型、风险等级。

（2）安全风险Bow-tie 分析。重点在于找出安全风险的各种成因、各种后果，以及相应的在各个事件链上的控制措施。输出Bow-tie 模型图；列表给出相互独立的各个控制措施的名称、类型、实用性(针对性、相关性、可行性)判断、可用性(符合性、适用性、可靠性)判断。

（3）措施有效性量化评估。结合Bow-tie分析，按照表2 确定各个控制措施分类基础分值(M0i)，通过图1 确定控制措施有效性评分系数(Ri)，按照公式⑴计算单项控制措施有效性分值(Mi)，按照公式⑵计算综合控制措施有效性分值(M)。

（4）措施有效性等级评定。依据量化评估结果，按表3评定措施有效性状态。

4.2 措施有效性评估应用验证

根据某事故案例，采用事故类比方法，收集“施工维修人员违规穿越普速铁路线路”安全风险分析相关信息，并进一步开展措施有效性验证。

4.2.1 信息收集整理

某铁路局集团公司工务段在V型天窗内，对某普速铁路双线的下行线某些区段进行线路机械施工维修作业，作业负责人在组织作业人员转场跨越铁路线路上行线时发生铁路交通事故。

作业人员在转场跨线过程中，有关人员指挥不当、联控不彻底、现场防护失效、违章跨越线路是事故发生的直接原因。事故暴露出铁路施工维修“现场作业标准执行不到位”“现场作业安全风险控制不到位”“维修作业管理不到位”的问题。

4.2.2 事件链分析

以“施工维修人员违规穿越普速铁路线路”为顶事件，建立Bow-tie 模型，向前分析成因事件及其控制措施，向后分析后果事件及其控制措施，并将已经通过独立性研判的控制措施列出。其中，所列控制措施，主要来源于《中华人民共和国安全生产法》《铁路安全管理条例》《铁路技术管理规程(普速铁路部分)》《铁路营业线施工安全管理办法》《普速铁路工务安全规则》等相关法律法规、规章制度。“施工维修人员违规穿越普速铁路线路”Bow-tie 模型图如图2 所示。“施工维修人员违规穿越普速铁路线路”的风险控制措施如表4所示。

图2 “施工维修人员违规穿越普速铁路线路”Bow-tie模型图Fig.2 Bow-Tie model diagram of “maintenance personnel illegally crossing the conventional railway line”

表4 “施工维修人员违规穿越普速铁路线路”的风险控制措施Tab.4 Safety risk control measures of “maintenance personnel illegally crossing the conventional railway line”

从图2 中可以看出，该“施工维修人员违规穿越普速铁路线路”事故有5 个方面的原因。其中，A1，A2是直接原因，A3，A4，A5是间接原因。

4.2.3 措施有效性量化评估

利用研究确定的铁路控制措施有效性评估模型和方法，以事故案例为背景，邀请专家对该风险事件的措施有效性进行研判，“施工维修人员违规穿越普速铁路线路”措施有效性量化评估如表5所示。

表5 “施工维修人员违规穿越普速铁路线路”措施有效性量化评估Tab.5 Quantitative evaluation on the effectiveness of measures for “maintenance personnel illegally crossing the conventional railway line”

表5中C4共出现2次，分别为C4(B4)和C4(B7)，其中C4(B4)是针对B4 的成因控制措施，C4(B7)是针对B7 的成因控制措施，2 个控制措施具备独立性。

从表5 可以看出，对于“施工维修人员违规穿越普速铁路线路”来说，当时的控制措施只有人防管理措施，缺乏物防、技防措施；尽管绝大部分措施具有很高的符合性、适用性，但在可靠性、可行性方面很不理想，在相关性、针对性方面也有所欠缺。

根据《安全双重预防机制工作指南(试行)》中规定的风险等级划分及划分标准，可以判定该“施工维修人员违规穿越普速铁路线路”为较大风险等级。

对照控制措施有效性判定标准，从综合控制措施有效性分值(M)可知：对于D1(违规上道作业人员伤亡)的较大风险后果，“施工维修人员违规穿越普速铁路线路”的风险控制措施有效性状态为“受控不足”(3.38 <4)。

初步应用验证表明，风险控制措施有效性评估方法可行、实用。

5 结论

（1）铁路安全风险控制在控制措施制定、控制措施分类、风险等级划分等方面在双重预防机制建设中有了明确的指导要求，奠定了铁路风险控制措施有效性评估的基础。

（2）铁路安全风险控制措施有效性影响因素可以归结为措施类型、措施实用性、措施可用性和措施独立性4 个方面。其中，措施实用性包括了针对性、相关性和可行性；措施可用性包括了符合性、适用性和可靠性。

（3）结合铁路实际，通过对措施类型基础分值和措施有效性评分系数进行赋值，设计控制措施有效性评分计算方法，确定了有效性判定标准，从而构建了操作性强的铁路安全风险控制措施有效性评估方法。

（4）通过措施有效性评估初步验证应用，展示了铁路安全风险控制措施有效评估方法和步骤，验证了评估方法的实用性、可操作性，有效性评估结果符合实际。