重慶與紐約兩種軌道交通互聯(lián)互通CBTC系統(tǒng)安全評估的對比研究*

馮浩楠 黃蘇蘇＊＊ 莫小凡 宋 明， 王 逸 孫建國

(1.中國鐵道科學(xué)研究院集團有限公司通信信號研究所，100081，北京;2.國家鐵路智能運輸系統(tǒng)工程技術(shù)研究中心，100081，北京;3.中國鐵道科學(xué)研究院集團有限公司標準計量研究所，100081，北京;4.中鐵檢驗認證中心有限公司，100081，北京∥第一作者，副研究員)

互聯(lián)互通信號系統(tǒng)的安全性是城市軌道交通領(lǐng)域信號系統(tǒng)研究首要考慮的問題之一［1-2］。結(jié)合城市軌道交通互聯(lián)互通CBTC(基于通信的列車控制)系統(tǒng)新的應(yīng)用場景，如何快速準確地識別風(fēng)險并對其進行評估，是地鐵運營者和信號系統(tǒng)供應(yīng)商應(yīng)重點關(guān)注和研究的問題［2］。本文在對重慶與紐約2個典型城市的軌道交通互聯(lián)互通CBTC系統(tǒng)的架構(gòu)和特點進行綜述的基礎(chǔ)上，重點從安全評估標準、風(fēng)險評估方法、安全評估過程及活動等3個關(guān)鍵方面對2個城市的軌道交通互聯(lián)互通CBTC系統(tǒng)進行了對比分析，對其安全評估的特點和差異進行了總結(jié)。

1 典型城市軌道交通互聯(lián)互通CBTC系統(tǒng)

1.1 重慶軌道交通互聯(lián)互通CBTC系統(tǒng)

重慶軌道交通互聯(lián)互通CBTC系統(tǒng)功能分解為74個功能點，通過對接口的設(shè)計，完成系統(tǒng)互聯(lián)互通功能的全覆蓋。重慶軌道交通互聯(lián)互通CBTC系統(tǒng)的架構(gòu)［3-4］如圖1所示。圖1中，實線為物理接口，虛線為功能接口，通過對功能接口和物理接口制定規(guī)范，實現(xiàn)車輛跨區(qū)運行的互聯(lián)互通功能。

圖1 重慶軌道交通互聯(lián)互通CBTC系統(tǒng)的架構(gòu)Fig.1 Interoperation CBTC system structure in Chongqing rail transit

1.2 紐約軌道交通互聯(lián)互通CBTC系統(tǒng)

紐約軌道交通(NYCT)是世界第5大地鐵系統(tǒng)。NYCT互聯(lián)互通CBTC系統(tǒng)是在既有線路上升級，除了車地之間能夠互聯(lián)互通外，還需考慮未改造的信號系統(tǒng)，保障二者兼容正常運行。NYCT系統(tǒng)制定了I2S(互聯(lián)互通接口規(guī)范)，建立了試驗線路用作對軌道交通互聯(lián)互通信號系統(tǒng)的測試。NYCT互聯(lián)互通CBTC系統(tǒng)的架構(gòu)［5］如圖2所示。

圖2 NYCT互聯(lián)互通CBTC系統(tǒng)的架構(gòu)Fig.2 Interoperation CBTC system in NYCT

2 系統(tǒng)安全評估標準

2.1 重慶軌道交通互聯(lián)互通CBTC系統(tǒng)安全評估標準

為了確保互聯(lián)互通CBTC系統(tǒng)安全運行，中國城市軌道交通協(xié)會制定了T/CAMET 04013.2—2018《城市軌道交通基于通信的列車運行控制系統(tǒng)(CBTC)互聯(lián)互通工程規(guī)范 第2部分:安全評估規(guī)范》［6］。重慶軌道交通既有線和延伸線互聯(lián)互通通用產(chǎn)品遵照T/CAMET 04013《城市軌道交通基于通信的列車運行控制系統(tǒng)(CBTC)互聯(lián)互通工程規(guī)范系列技術(shù)》的要求進行評估;延伸線特定應(yīng)用的安全評估基于GB/T 21562.2—2015《軌道交通 可靠性、可用性、可維護性和安全性規(guī)范及示例 第2部分:安全性的應(yīng)用指南》、GB/T 28808—2012《軌道交通通信、信號和處理系統(tǒng) 控制和防護系統(tǒng)軟件》及GB/T 28809—2012《軌道交通 通信、信號和處理系統(tǒng) 信號用安全相關(guān)電子系統(tǒng)》進行評估［7］。

上述標準均是基于EN 50126和EN 50219的理念，從城市軌道交通信號系統(tǒng)全生命周期出發(fā)，對該系統(tǒng)的可靠性、可用性、可維護性和安全性(RAMS)進行規(guī)范和驗證。城市軌道交通信號系統(tǒng)的安全架構(gòu)和處理流程，通過SIL(安全完整等級)實現(xiàn)定量的安全評估。

2.2 NYCT互聯(lián)互通CBTC系統(tǒng)安全評估標準

NYCT安全評估標準是基于FRA(聯(lián)邦鐵路管理局)發(fā)布的CFR(美國聯(lián)邦法規(guī))第49部分中的209、234、236節(jié)內(nèi)容制定的。該標準是針對基于處理器的信號和列車控制系統(tǒng)的應(yīng)用。

CFR第49部分中的236節(jié)要求建立RSPP(鐵路安全計劃流程)和PSP(產(chǎn)品安全計劃)。其中，PSP要求進行風(fēng)險評估，用于證明待評估的系統(tǒng)不會出現(xiàn)超過預(yù)設(shè)先決條件的風(fēng)險;與待替換的舊系統(tǒng)相比，新系統(tǒng)的MTTHE(平均危險事件時間)更長。該標準中的風(fēng)險評估方法推薦采用ASCAP(公理化安全苛求評估流程)方法。

在安全評估過程方面，PSP需包括:產(chǎn)品描述，操作環(huán)境，操作理念，安全需求，安全架構(gòu)，風(fēng)險日志，風(fēng)險評估，風(fēng)險減低措施評估，安全V＆V(驗證和確認)，安全保證原則，人因分析，培訓(xùn)，測試步驟和設(shè)備安裝計劃，安全警告，施工測試步驟，后期運行測試步驟，可用性和備份，增加和預(yù)定義變化等內(nèi)容。

2.3 重慶與紐約的互聯(lián)互通CBTC系統(tǒng)安全評估標準對比

重慶與紐約的軌道交通互聯(lián)互通安全評估標準的相同之處為:①基于風(fēng)險的安全管理;②采用系統(tǒng)方法進行風(fēng)險識別、評估和管控;③多場景下的驗證和確認;④第三方評估和最終批準。兩者的差異如表1所示。

表1 重慶與紐約的軌道交通互聯(lián)互通CBTC系統(tǒng)性能指標對比Tab.1 Comparison of performance indicators of Chongqing-New York interoperation CBTC systems

3 風(fēng)險評估方法

風(fēng)險評估的重要作用是為了評估系統(tǒng)的脆弱部分，以及風(fēng)險對系統(tǒng)造成的損害。風(fēng)險評估可分為定量和定性兩種。前者依賴于專家經(jīng)驗;后者通過設(shè)定定量的參數(shù)，如將危害或THR(可容忍危險概率)作為定量評估風(fēng)險的指標。風(fēng)險評估方法有很多類型，其具體應(yīng)用由工程性質(zhì)、承包商偏好等因素決定［8］。重慶軌道交通互聯(lián)互通CBTC系統(tǒng)的風(fēng)險評估方法推薦風(fēng)險圖方法。NYCT互聯(lián)互通CBTC系統(tǒng)的風(fēng)險評估方法推薦ASCAP方法。

3.1 風(fēng)險圖

風(fēng)險圖是一種基于危險源的風(fēng)險因素，通過概率形式描述系統(tǒng)組件故障模式之間的邏輯關(guān)系，常用的描述風(fēng)險程度指標為SIL，具有后果嚴重程度、暴露在危險中的時間、避免危險的概率和危險發(fā)生概率等4個維度［9］。風(fēng)險圖是一個定性和定量結(jié)合的影響分析手段，在IEC 61508中將其作為示例方法推薦。

3.2 ASCAP方法

ASCAP方法由弗吉尼亞大學(xué)鐵路安全中心開發(fā)。該方法是基于蒙特卡羅模擬的一種風(fēng)險評估算法，針對復(fù)雜系統(tǒng)建模并能夠評估系統(tǒng)部件變化產(chǎn)生的影響［10］。ASCAP方法的原理是以列車為中心，評估列車與其他系統(tǒng)交互過程中的小概率風(fēng)險事件。ASCAP方法支持CFR中第49部分的209、234、236節(jié)規(guī)范，被NYCT在安全認證中推薦使用。

3.3 風(fēng)險評估方法對比

兩種風(fēng)險評估方法對比如表2所示。由表2可知，風(fēng)險圖在適應(yīng)性、復(fù)雜性、重復(fù)性和風(fēng)險參數(shù)方面有優(yōu)勢，而ASCAP方法在適應(yīng)性、成本效益、工具支持及視覺表達方面具有優(yōu)勢。

表2 兩種風(fēng)險評估方法對比表Tab.2 Comparison of two risk assessment methods

4 互聯(lián)互通CBTC系統(tǒng)的安全認證

NYCT和重慶軌道交通都將互聯(lián)互通的CBTC系統(tǒng)定義為子系統(tǒng)級別的互聯(lián)互通，即來自一個承包商的VOBC(車載控制器)能夠在其他承包商的VOBC和ZC(區(qū)域控制器)的系統(tǒng)內(nèi)安全運行。同樣，每個供應(yīng)商的ZC能夠在其他供應(yīng)商提供的CI系統(tǒng)下安全運行。在這些情況下，CBTC系統(tǒng)可能由不同供應(yīng)商的互聯(lián)互通子系統(tǒng)組成，因此需要確保系統(tǒng)級別的安全。

NYCT和重慶軌道交通均定義互聯(lián)互通的安全認證為系統(tǒng)級。為了實現(xiàn)互聯(lián)互通CBTC系統(tǒng)的安全保障，二者在安全要素、危害日志、測試環(huán)境、安全認證步驟和電子地圖等5個方面進行安全認證制度的制定。

4.1 安全要素

4.1.1 重慶軌道交通互聯(lián)互通CBTC系統(tǒng)的安全要素

根據(jù)重慶軌道交通互聯(lián)互通CBTC系統(tǒng)的架構(gòu)，對該系統(tǒng)進行分解。其中，承載安全功能的系統(tǒng)安全元素包括車載ATP(列車自動防護)系統(tǒng)、ZC系統(tǒng)、CI系統(tǒng)、互聯(lián)互通公用電子地圖、應(yīng)答器系統(tǒng)、互聯(lián)互通接口規(guī)范等。

4.1.2 NYCT互聯(lián)互通CBTC系統(tǒng)的安全要素

為了對不同設(shè)備供應(yīng)商的子系統(tǒng)組成的互聯(lián)互通CBTC系統(tǒng)進行安全認證，NYCT將CBTC系統(tǒng)劃分成9個安全要素，為模塊化安全認證方法做基礎(chǔ)。9個安全要素包括:互聯(lián)互通規(guī)范(要素1)、車載ATP系統(tǒng)(要素2)、ZC系統(tǒng)(要素3)、ZC電子地圖(要素4)、車載ATP系統(tǒng)電子地圖和ATS電子地圖(要素5)、應(yīng)答器系統(tǒng)(要素6)、預(yù)留CBTC接口的CI系統(tǒng)(要素7)、接入CBTC系統(tǒng)的CI系統(tǒng)(要素8)、互聯(lián)互通CBTC系統(tǒng)(要素9)。

與重慶軌道交通相比，NYCT互聯(lián)互通CBTC系統(tǒng)的安全要素涉及范圍更廣，細化程度更深，包含互聯(lián)互通規(guī)范和各種類型的子系統(tǒng);特別是，NYCT在電子地圖等方面分解得更細致。這是由于NYCT建立的互聯(lián)互通CBTC系統(tǒng)是在既有線路上升級的，因此安全因素中須兼顧原有控制系統(tǒng)功能。

4.2 互聯(lián)互通CBTC系統(tǒng)危害日志

4.2.1 重慶軌道交通互聯(lián)互通CBTC系統(tǒng)的危害日志

依據(jù)GB/T 21562—2008中的生命周期模型，確定重慶軌道交通互聯(lián)互通CBTC系統(tǒng)的安全需求。在識別系統(tǒng)邊界的基礎(chǔ)上，參考GB 21562.2—2015中的危害清單和軌道交通行業(yè)的經(jīng)驗，將互聯(lián)互通CBTC系統(tǒng)可能產(chǎn)生的事故分為撞擊、脫軌、人員跌落、觸電、火災(zāi)、有毒物質(zhì)或氣體、爆炸、輻射、干擾、環(huán)境、惡意破壞、意外和災(zāi)難等若干類。重慶軌道交通互聯(lián)互通CBTC系統(tǒng)的基本危害包括:71種系統(tǒng)危害，31種接口危害，55種運營危害。將安全需求分解到各個CBTC子系統(tǒng)，其中，車載ATP系統(tǒng)有36條安全需求，ZC系統(tǒng)有14條安全需求，CI系統(tǒng)有26條安全需求，數(shù)據(jù)準備有17條安全需求，應(yīng)答器有10條安全需求，互聯(lián)互通協(xié)議有44條安全需求［11］。

4.2.2 NYCT互聯(lián)互通CBTC系統(tǒng)的危害日志

NYCT根據(jù)I2S編制系統(tǒng)級危害日志，即I2S危害日志(包含識別的系統(tǒng)級別危害)，然后再將危害分配給相關(guān)子系統(tǒng)，從而制定控制措施。設(shè)備供應(yīng)商將安全需求納入各個子系統(tǒng)危害日志，并提供相應(yīng)的安全證據(jù)，以此證明提供的子系統(tǒng)具有保護措施，且能夠緩解在I2S危害日志中列舉的危害。I2S危害日志的管理和設(shè)備供應(yīng)商安全文件的審查由NYCT的SSWG(系統(tǒng)安全工作組)在ISA(獨立安全審核員)的協(xié)助下完成。

I2S的危害日志類型按照由工程階段劃分的CBTC系統(tǒng)的系統(tǒng)級別進行分組，如表3所示。

表3 I2S危害日志類型匯總Tab.3 Summary of I2S hazard log types

重慶軌道交通在T/CAMET 04010.4—2018《城市軌道交通基于通信的列車運行控制系統(tǒng)(CBTC)互聯(lián)互通系統(tǒng)規(guī)范-第4部分:互聯(lián)互通危害分析》中對危害日志的危害項劃分較為細致，并將危害因素和系統(tǒng)的安全要素逐一對應(yīng)。NYCT的危害日志僅確定危害類別，而后由各個承包商按照分類編制并匯總。

4.3 互聯(lián)互通CBTC系統(tǒng)的測試環(huán)境

4.3.1 重慶互聯(lián)互通CBTC系統(tǒng)的測試環(huán)境

重慶軌道交通搭建了互聯(lián)互通CBTC系統(tǒng)集成測試實驗室，用于設(shè)備供應(yīng)商進行系統(tǒng)自測、互聯(lián)互通接口測試和模擬跨線測試。測試平臺須至少包含互聯(lián)互通連接的2條試驗線路［12-13］。實驗室測試完成后，列車還需在試驗線路中進一步補充未覆蓋的測試項目。在單車測試和混合追蹤驗證完成后，系統(tǒng)即可具備互聯(lián)互通單線和跨線運行的能力。

4.3.2 NYCT互聯(lián)互通CBTC系統(tǒng)的測試環(huán)境

NYCT的互聯(lián)互通測試環(huán)境包括系統(tǒng)的ITF(集成測試實驗室)和測試軌道Culver線兩部分，用以測試互聯(lián)互通CBTC系統(tǒng)的功能。ITF除了進行系統(tǒng)互聯(lián)互通功能測試外，還關(guān)注故障對整個互聯(lián)互通CBTC系統(tǒng)的影響分析和評估。測試軌道Culver線用于對車地信息的交互測試［5］。

經(jīng)對比可知，重慶軌道交通和NYCT互聯(lián)互通CBTC系統(tǒng)都須通過實驗室的集成測試和現(xiàn)場測試環(huán)節(jié)后才能正式運營，測試環(huán)境是互聯(lián)互通CBTC系統(tǒng)功能安全有效的重要保障。

4.4 互聯(lián)互通CBTC系統(tǒng)的安全認證

4.4.1 重慶軌道交通互聯(lián)互通CBTC系統(tǒng)的安全認證

根據(jù)工程實施的不同階段，重慶軌道交通互聯(lián)互通CBTC系統(tǒng)的安全認證流程可分為3個階段:生命周期階段的文檔審核，測試見證，質(zhì)量安全審核［6］。

4.4.2 NYCT互聯(lián)互通CBTC系統(tǒng)的安全認證

NYCT互聯(lián)互通CBTC系統(tǒng)的安全認證流程如圖3所示。

圖3 NYCT互聯(lián)互通CBTC系統(tǒng)的安全認證流程圖Fig.3 Safety certification flow chart in NYCT

為了實現(xiàn)安全認證，NYCT制定了詳細的安全評估過程，評估步驟如下:

步驟1:批準承包商的最終安全報告;

步驟2:批準ISA最終安全評估報告和建議書;

步驟3:批準MTTHE分析;

步驟4:批準和關(guān)閉所有相關(guān)危險;

步驟5:批準成功完成系統(tǒng)測試(包括現(xiàn)場測試、集成測試和功能測試，以及工廠和分包商/供應(yīng)商測試);

步驟6:核準規(guī)則和程序，包括新的和經(jīng)修訂的規(guī)程和公告，確保引進安全程序和實施系統(tǒng)所需的其他程序;

步驟7:批準所需的維護程序;

步驟8:批準培訓(xùn)材料和課程能夠達到培訓(xùn)目標;

步驟9:核準工作組摘要報告;

步驟10:SSCB(系統(tǒng)安全認證委員會)的安全認證，簽署最終安全證書報告。

將NYCT安全認證流程與安全要素關(guān)聯(lián)形成模塊化安全認證方法，如表4所示。

表4 NYCT互聯(lián)互通CBTC系統(tǒng)模塊安全認證方法Tab.4 Safety authentication method of interoperation CBTC module in NYCT

綜上所述，重慶軌道交通按照工程生命周期進行安全活動布局;NYCT則建立了安全要素與安全認證步驟對應(yīng)的模塊認證方法，明確了安全認證的應(yīng)用條件。二者安全認證劃分的過程雖不同，但都形成了一套完整的安全認證流程，保障了互聯(lián)互通CBTC系統(tǒng)的安全。

4.5 電子地圖的研制策略

4.5.1 重慶軌道交通互聯(lián)互通CBTC系統(tǒng)的電子地圖

重慶軌道交通制定了互聯(lián)互通車載電子地圖規(guī)范，將電子地圖數(shù)據(jù)劃分為線路數(shù)據(jù)、軌道區(qū)段數(shù)據(jù)、軌旁設(shè)備數(shù)據(jù)和安全通信協(xié)議數(shù)據(jù)4類［14］。對軌道區(qū)段及其劃分原則、電子地圖方向、坐標位置、CRC(循環(huán)冗余校驗)、道岔區(qū)域、道岔方向進行了約定，同時對電子地圖元素數(shù)據(jù)結(jié)構(gòu)進行了約定。各設(shè)備供應(yīng)商遵照此規(guī)范進行了電子地圖的制作。

4.5.2 NYCT互聯(lián)互通CBTC系統(tǒng)的電子地圖

在CBTC系統(tǒng)部署中，NYCT制定了電子地圖的開發(fā)流程，實現(xiàn)了互聯(lián)互通子系統(tǒng)各種電子地圖內(nèi)容的一致。規(guī)則如下:

1)CBTC供應(yīng)商的軌道勘察應(yīng)根據(jù)I2S協(xié)議的精確度要求進行，勘察數(shù)據(jù)的準確性由執(zhí)行勘察的設(shè)備供應(yīng)商進行保證;

2)由1個CBTC供應(yīng)商開發(fā)車載ATP電子地圖，供所有供應(yīng)商的VOBC使用;

3)每個CBTC供應(yīng)商的ZC電子地圖須基于同一家設(shè)備供應(yīng)商提供的軌道勘察數(shù)據(jù)進行開發(fā);

4)在每個CBTC區(qū)域中，ATS電子地圖與ZC電子地圖的一致性必須進行驗證;

5)ISIM的電子地圖與ATS電子地圖中的CBTC部分的一致性必須進行驗證;

6)每個CBTC供應(yīng)商電子地圖的生成、驗證和確認流程相互補充，確保電子地圖的一致性和準確性。

經(jīng)對比可知，重慶軌道交通通過制定規(guī)范，硬性約束各個設(shè)備供應(yīng)商電子地圖的內(nèi)容;NYCT則是通過數(shù)據(jù)共享、驗證和確認流程確保各個設(shè)備供應(yīng)商電子地圖數(shù)據(jù)的一致性。

5 結(jié)論

1)在安全評估標準方面，重慶軌道交通和NYCT互聯(lián)互通CBTC系統(tǒng)的安全評估標準不同，但二者都對風(fēng)險進行了定量評估。

2)在風(fēng)險評估方法方面，重慶軌道交通采用的風(fēng)險圖專注于SIL設(shè)定，以實現(xiàn)整體系統(tǒng)的安全目標;NYCT的ASCAP方法為一種仿真方法，該方法從以車輛為中心的角度出發(fā)，通過模擬CBTC系統(tǒng)的實際行為來衡量其安全性。兩種方法各有優(yōu)劣，可考慮將二者的優(yōu)勢融合，開發(fā)新的風(fēng)險評估方法。

3)在安全評估過程和評估活動方面，二者在安全要素、互聯(lián)互通危害、測試環(huán)境、安全認證流程和電子地圖等5個環(huán)節(jié)進行規(guī)定，實現(xiàn)各自互聯(lián)互通CBTC系統(tǒng)的安全認證。