基于FDA模型的地鐵列車洪淹事故致因分析*

夏侯遐邇，王一凡，陳佳龍，唐令怡，李啟明

(東南大學 土木工程學院，江蘇 南京 211189)

0 引言

據統計，1960—2017年世界34%的自然災害與洪水直接相關，平均每年導致1 254人死亡，并造成超過25億美元的社會經濟損失[1]，由于氣候變化影響，未來極端降雨事件和洪澇災害發生概率和危害強度都將進一步增加[2]。作為城市地下基礎設施，地鐵系統遭遇洪澇災害會造成生命財產損失[3]，2021年7月，極端特大暴雨襲擊河南省，澇水涌入鄭州地鐵5號線正線區間，造成1列列車被淹，14人遇難[4]。鑒于地鐵列車洪淹事故發生次數少、危害大，針對同類型事故研究較少。因此，探究地鐵列車洪淹事故致因機理，對提升地鐵防汛應急管理水平十分必要。

事故致因模型理論在系統安全管理領域的獨特價值已被證實[5-7]。隨地鐵系統中信息技術的廣泛應用和自動化水平的快速提高，王秉等[8]提出FDA(Forecast-Decision-Action)事故致因模型以安全信息流動與轉換為主線，涵蓋組織內外部因素，更適合地鐵列車洪淹事故發生過程解釋和致因機理分析。

鑒于此，本文從安全信息角度出發，構建地鐵列車洪淹事故FDA致因模型(以下簡稱FDA模型)，在分析事故致因機理基礎上，總結各安全信宿的必要安全信息，提出具體的事故預防措施，并以“鄭州地鐵5號線7·20事件”為例，實證分析模型的實用性。

1 模型構建

1.1 理論基礎

FDA事故致因模型是以管理學、行為學和邏輯學為基礎、以安全信息流為媒介、以“安全預測→安全決策→安全執行”的系統安全行為鏈為邏輯，由個體、自組織、他組織3個事故致因子模型組合而成的事故致因模型[8]。

1.2 構成要素

基于FDA事故致因模型和實際事故致因模式，構建地鐵列車洪淹事故FDA致因模型，如圖1所示。

圖1 地鐵列車洪淹事故FDA致因模型Fig.1 FDA accident causation model of subway train flooded accidents

模型主要構成要素解釋如下：

1)個體、自組織、他組織。個體、自組織和他組織是系統安全信宿，既是系統安全信息的接收者，也是系統安全行為主體。該模型中，個體是指直接涉事者，即地鐵行車人員；自組織是指直接涉事組織，即地鐵運營企業；他組織是指對自組織具有主管或安全監管責任的間接涉事組織，即應急主管部門。

2)安全信息、必要安全信息(I)、必要安全信息缺失(M)。安全信息是指保障系統安全運行的信息集合，包括但不限于預警信息、應急指令等；必要安全信息是指足夠解決系統安全問題的信息集合；必要安全信息缺失是指安全信宿所接收的信息與必要安全信息之間存在差距，否則，必要安全信息充分。該模型中，Ii(i=1,2,3)分別表示遭遇洪澇災害時地鐵行車人員安全行車、地鐵運營企業應急處置、應急主管部門安全監管的必要安全信息；Mi(i=1,2,3)表示必要安全信息缺失；Mi(i=1,2,3)表示必要安全信息充分。

3)安全欺騙(C)。安全欺騙是指在必要安全信息充分情況下，安全信宿仍然做出錯誤決策的行為。該模型中，Ci(i=1,2,3)分別表示遭遇洪澇災害時地鐵行車人員、地鐵運營企業、應急主管部門的安全欺騙行為，具體表現如下：C1表示地鐵行車人員違抗上級指令、違反行車制度等；C2表示地鐵運營企業安全文化欠缺、違反法律法規等；C3表示應急主管部門安全文化薄弱等。

4)安全預測(F)、安全決策(D)、安全執行(A)。安全預測是指安全信宿根據安全信息揣度和評估系統未來的安全狀態；安全決策是指安全信宿基于安全預測結果判斷需要采取的安全控制策略或優化方案；安全執行是指安全信宿實施安全決策得出的策略或方案。該模型中，Fi(i=1,2,3)分別表示遭遇洪澇災害時地鐵行車人員、地鐵運營企業、應急主管部門的安全預測，D(i=1,2,3)，Ai(i=1,2,3)分別表示安全決策和安全執行，具體表現如下：F1表示地鐵行車人員預估地鐵行車的不安全狀態；F2表示地鐵運營企業對災情險情的預判估計；F3表示應急主管部門分析地鐵防汛中存在的問題；D1表示地鐵行車人員判斷應對方式、做出調度指令；D2表示地鐵運營企業擬定應急策略；D3表示應急主管部門制定地鐵防汛應急管理制度；A1表示地鐵行車人員執行命令；A2表示地鐵運營企業開展應急處置；A3表示應急主管部門落實地鐵防汛應急制度體系。

5)安全行為結果正確(Y)、錯誤(N)。安全行為結果正確與否是指安全信宿安全預測、安全決策、安全執行的結果正確與否。該模型中，Yij(i=1,2,3)分別表示地鐵行車人員、地鐵運營企業、應急主管部門的安全行為結果正確；Nij(j=1,2,3)分別表示安全信宿安全預測、安全決策、安全執行的安全行為結果錯誤。

6)安全(S)。安全是指系統內既無事故發生，也無事故隱患。該模型中，Si(i=1,2,3)分別表示遭遇洪澇災害時地鐵行車人員、地鐵運營企業、應急主管部門的安全狀態，具體表現如下：S1表示地鐵處于安全行車狀態；S2表示地鐵運營企業應急處置及時有效、安全文化建設良好；S3表示應急主管部門健全的應急制度、有效的應急監管。

7)其他說明。該模型中，W表示不安全物態，例如設備設施故障、防洪設計問題等；Gi(i=1,2,3)分別表示地鐵列車洪淹事故發生或擴大、地鐵運營企業應急管理存在問題、應急主管部門應急監管存在漏洞。

2 模型分析

2.1 個體事故致因子模型

地鐵行車人員的安全行為和地鐵設備設施的安全狀態是列車安全運營的重要保證。單條地鐵線路行車作業在運營指揮中心(Operating Control Center，OCC)的統一指揮下展開，地鐵行車人員主要包括運營調度員、行車值班員、列車司機等[9]。為保障地鐵乘客在防汛應急過程中的生命安全，全體行車人員應各司其職，積極履行安全預測義務并及時反饋，OCC運營調度員主要負責安全決策并下達調度指令，列車司機主要負責安全執行。當區間隧道發生水災時，運營過程中的列車應盡量駛入前方車站并迅速疏散乘客，若列車被迫停在區間隧道內，則應立即啟動隧道通風系統以提供必要的新鮮空氣，緊急疏散乘客并迅速組織救援。根據上述分析和FDA模型可知，個體層面事故域如式(1)所示：

(1)

1)地鐵行車人員行為錯誤模式(N1)和不安全物態(W)同時存在，則會直接導致事故發生或擴大(G1)，地鐵行車人員行為錯誤模式(N1)有3種具體表現形式，即安全預測錯誤(N11)、安全決策錯誤(N12)和安全執行錯誤(N13)。

2)必要安全信息缺失(M1)和安全欺騙(C1)是地鐵行車人員行為錯誤模式(N1)的根本原因。因此，必要安全信息充分(M1)是避免事故發生的前提條件，而杜絕安全欺騙(C1)是安全行車的必要保證。

3)地鐵行車人員行為正確模式(Y1)只有在其安全預測正確(Y11)、安全決策正確(Y12)、安全執行正確(Y13)同時滿足情況下才能實現，進而表現為地鐵處于安全行車狀態(S1)。地鐵行車人員必要安全信息具體見表1。

表1 地鐵行車人員必要安全信息Table 1 Necessary safety information of subway operation personnel

2.2 自組織事故致因子模型

地鐵運營企業集團層面防汛專項應急預案的健全完善和應急管理體系的高效運行是避免事故發生和減少損失的重要保證。地鐵運營企業應急管理體系可分為OCC和地鐵公司應急管理中心2個層級。在FDA模型中，OCC運營調度員作為地鐵行車人員被歸為個體層面，而應急管理中心屬于地鐵運營企業被納入自組織層面。當地鐵所在城市出現極端降雨或地鐵線路周邊區域出現洪澇現象時，地鐵公司應急管理中心應密切關注氣象部門有關災情報道，緊密部署對于安全隱患的排查，時刻監控脆弱站點及線路險情，及時了解OCC值守人員的接警情況并準確上報，按照應急預案和有關規定啟動相應應急處置。必要時應有領導在OCC或現場一線，以確保統一應急指揮和高效應急處置。根據上述分析和FDA模型可知，自組織層面事故域如式(2)所示：

(2)

1)地鐵運營企業安全預測(N21)、安全決策(N22)、安全執行(N23)任一環節出錯，都屬于自組織層面行為錯誤模式(N2)，直接導致應急管理存在問題(G2)，間接導致地鐵行車人員行為錯誤模式(N1)。鑒于應急管理的特殊性，自組織層面的原因雖然是地鐵列車洪淹事故發生的間接原因，但往往也是主要原因。

2)與個體層面類似，必要安全信息缺失(M2)和安全欺騙(C2)是地鐵運營企業行為錯誤模式(N2)的根本原因。在防汛應急過程中，科學及時的安全預測(Y21)、精準高效的安全決策(Y22)、周密落實的安全執行(Y23)是地鐵運營企業開展有效應急處置、建設良好安全文化(S2)的基本保證。地鐵運營企業必要安全信息具體見表2。

表2 地鐵運營企業必要安全信息Table 2 Necessary safety information of subway operation enterprise

2.3 他組織事故致因子模型

諸多研究和實踐表明，他組織層面的有效監管對自組織的內部安全十分重要[10-12]。在防汛應急監管方面，地鐵運營企業的主管部門包括城市防汛辦公室、市交通運輸局、市應急管理局。其中，城市防汛辦公室的職能主要包括組織編制城市防汛應急預案，及時將預警信息發布至地鐵運營企業、市交通運輸局、市應急管理局等成員單位；市交通運輸局的職能主要包括督促指導地鐵運營企業落實防汛安全隱患排查；市應急管理局的職能主要包括研究起草應急管理的地方性法規、指導應急預案體系建設和預案演練、審核專項和部門應急預案等。根據上述分析和FDA模型可知，他組織層面事故域如式(3)所示：

(3)

1)應急主管部門安全預測(N31)、安全決策(N32)、安全執行(N33)任一環節出問題，均屬于他組織層面行為錯誤模式(N3)，直接導致應急監管存在漏洞(G3)，間接導致地鐵運營企業行為錯誤模式(N2)。他組織層面的原因是地鐵列車洪淹事故發生的間接原因。

2)與個體、自組織層面類似，必要安全信息缺失(M3)和安全欺騙(C3)是應急主管部門行為錯誤模式(N3)的根本原因。對于應急主管部門，分析歸納地鐵防汛應急管理中存在的問題(Y31)、研究制定合理的監管制度體系(Y32)、積極落實應急監管責任和有效推動應急管理制度建設(Y33)，是構建完善應急制度和開展扎實監管工作(S33)的保證。應急主管部門必要安全信息具體見表3。

表3 應急主管部門必要安全信息Table 3 Necessary safety information of emergency management department

3 安全管理重要環節及預防措施

根據FDA模型和式(1)～(3)可得整體事故致因主鏈如式(4)所示：

(4)

整體事故致因子鏈如式(5)所示：

(5)

式中：Ni=Ni1∨Ni2∨Ni3,i=1,2,3。

結合式(4)～(5)可知，地鐵列車洪淹事故發生或擴大(G1)的直接原因是地鐵行車人員行為錯誤模式(N1)和不安全物態(W)，間接原因是地鐵運營企業行為錯誤模式(N2)導致的應急管理問題(G2)以及應急主管部門行為錯誤模式(N3)和應急監管漏洞(G3)，根本原因是個體、自組織、他組織層面的必要安全信息缺失Mi(i=1,2,3)或安全欺騙行為Ci(i=1,2,3)。

從阻斷事故致因主鏈形成角度來看，各安全信宿層面均應保證各自安全狀態，相關責任單位防止不安全物態發生。一方面，應急主管部門嚴堵應急監管漏洞，地鐵運營企業防范應急管理問題，地鐵行車人員避免出現行為失誤；另一方面，相關設計單位不得擅自更改防汛設計標準，相關施工單位嚴格按圖施工，謹防不安全物態發生。

從阻斷事故致因子鏈形成角度來看，各安全信宿層面既要確保安全信息的真實可靠，也要杜絕安全欺騙行為。應急主管部門應建立健全應急預案體系，落實監督檢查制度；地鐵運營企業應完善防汛專項預案編制，加強應急演練工作；地鐵行車人員應加強專業技能學習和應急操作訓練，培養安全和責任意識。

4 案例分析

2021年7月17日起，河南省遭遇歷史罕見特大暴雨，引發嚴重洪澇災害。2021年7月20日，鄭州地鐵5號線04502次列車行駛至海灘寺站-沙口路站上行區間時，遭遇澇水灌入、失電迫停，953人安全撤離、14人死亡[13]。據國務院調查組調查認定，作為整體“天災”中的具體“人禍”，“鄭州地鐵5號線7·20事件”為典型責任事件，因此適用于FDA事故致因模型。此外，調查報告關于該事件起因、過程的復盤和闡述，為模型分析提供重要參考。

4.1 個體層面事故致因分析

根據FDA模型，個體層面因素是事故的直接原因。

安全決策階段行車調度指揮失誤：1)列車放行錯誤指令。2021年7月20日下午17時左右，列車因道岔發生故障報警而被扣停車后，OCC運營調度員在未查明原因、不了解險情情況下，做出列車放行的錯誤指令，造成事故發生。2)列車退行錯誤指令。2021年7月20日下午17時47分，澇水淹過列車軌面，列車司機按照規定制動停車，但OCC運營調度員在未研判現場、未掌握險情情況下，做出列車退行的錯誤指令，導致列車在退行過程中失電迫停，車內水深上漲、乘客險情加劇。上述2次錯誤指令直接導致地鐵行車人員行為錯誤模式，其主要原因是OCC運營調度員必要安全信息缺失，前者造成事故發生，后者加重事故險情。

4.2 自組織層面事故致因分析

根據FDA模型，自組織層面的因素是事故的間接原因和主要原因。

1)安全預測階段應急管理混亂。①未編制集團層面防汛專項應急預案。專項預案編制和演練的缺失是鄭州地鐵集團有限公司防汛應急混亂的直接原因。②未部署檢查巡視和隱患排查。在氣象部門多次發布暴雨紅色預警情況下，鄭州地鐵集團有限公司未按有關預案要求加強檢查巡視和隱患排查。③未及時采取應急響應。從澇水沖垮五龍口停車場臨時圍擋灌入運營區間，到列車失電迫停的3 h期間，鄭州地鐵集團有限公司始終沒有發布列車停運指令和啟動應急響應。④未執行重大險情報告制度。從2021年7月20日18時37分乘客疏散被迫中斷，到2021年7月20日19時48分公司值班室接到報告的1 h期間，鄭州地鐵集團有限公司始終未上報事故險情，嚴重貽誤救援時機。事故暴露出鄭州地鐵集團有限公司嚴重的應急管理問題，其主要原因是在必要安全信息充分情況下的安全欺騙行為。

2)違規設計和建設施工引起的不安全物態。①違規變更設計。鄭州地鐵集團有限公司違反相關規定，擅自將五龍口停車場運用庫移至自然排水條件差的低洼地帶。②擋水墻質量問題。設計方面，停車場圍墻按“百年一遇內澇水深0.24 m”設計，但實際“百年一遇”為0.5 m；施工方面，圍墻未按圖做基礎，不符合工程建設基本程序，擅自用幾乎沒有擋水功能的臨時圍擋代替停車場西側圍墻。③明溝排澇功能受損。由于300 m3左右的建設棄土未及時清理，且部分溝段被違規加裝了長約58 m的蓋板，五龍口停車場明溝的正常排水受到嚴重阻礙。上述3處違規設計和建設施工引起的不安全物態，加重事故險情。

4.3 他組織層面事故致因分析

根據FDA模型，他組織層面的因素是事故的間接原因。

安全執行階段防汛應急監管問題。1)突發事件應急預案體系不健全。應急主管部門未發布統一的突發事件應急預案管理辦法，我國應急預案體系尚存在鏈接機制不健全、部分應急預案針對性和可操作性不強、動態管理機制不到位等問題。2)地鐵防汛隱患排查監管不當。市交通運輸局對地鐵運營安全隱患排查督促指導不力，鄭州市工程質量監督站軌道交通科對違規設計和建設施工監管審查不嚴。3)主管部門安全文化缺失。市城市防汛辦公室未認真履行城市防汛職責，一方面，既未向公眾發布預警信息、啟動市城防指應急響應，也未將預警信息及時發布至地鐵集團有限公司、市交通運輸局、市應急管理局等成員單位；另一方面，組織編制的應急預案未明確成員單位地鐵集團有限公司地鐵運營防汛工作職責。綜上，應急主管部門應急監管存在諸多漏洞，其主要原因是必要安全信息缺失。

4.4 綜合致因分析及預防建議

根據FDA模型和上述分析可知，“鄭州地鐵5號線7·20事件”是1起由極端暴雨引發嚴重城市內澇，澇水沖毀五龍口停車場擋水圍墻、灌入地鐵隧道，地鐵行車人員調度指揮失誤、鄭州市地鐵集團有限公司應急處置不力、主管部門應急監管不嚴、相關責任單位違規設計和建設施工因素共同造成的重大人員傷亡責任事件。其中，直接原因是地鐵行車人員調度指揮失誤和違規設計施工；間接原因是地鐵運營企業應急處置不力和應急主管部門應急監管不嚴；主要原因是地鐵運營企業未及時采取預警響應行動；根本原因是安全信宿必要安全信息缺失和安全欺騙行為。“鄭州地鐵5號線7·20事件”事故鏈如圖2所示。

圖2 “鄭州地鐵5號線7·20事件”事故鏈Fig.2 Accident chains of “7·20 event of Zhengzhou Metro Line 5”

相較于事故分析調查報告，基于地鐵列車洪淹事故FDA致因模型和事故鏈的“鄭州地鐵5號線7·20事件”致因分析，在安全信息流動的邏輯框架下，將事故因素和發生過程統一起來，并明確事故的直接、間接、主要及根本原因。

由此可見，安全信息對于分析和預防地鐵列車洪淹事故至關重要。在事故預防方面，針對各安全信宿建議如下：應急主管部門應加強監管，積極推動預案體系編制及應急演練工作，加強安全文化建設；鄭州市地鐵集團有限公司應建立健全防汛應急專項預案，加強應急管理制度、企業安全文化建設；地鐵行車人員應嚴格按規操作，精進專業技能和安全意識，提升應急處置能力；相關設計、施工單位應遵章守法、按圖施工，謹防不安全物態的發生。

5 結論

1)以安全信息為研究視角，構建由地鐵行車人員、地鐵運營企業、應急主管部門3條事故致因子鏈組成的地鐵列車洪淹事故FDA致因模型。根據該模型分析，地鐵列車洪淹事故的直接原因是地鐵行車人員行為錯誤模式和不安全物態，間接原因是地鐵運營企業應急管理問題和應急主管部門應急監管漏洞，根本原因是必要安全信息缺失和安全欺騙行為。

2)從阻斷事故致因主鏈、子鏈2個角度，分別針對地鐵行車人員、地鐵運營企業、應急主管部門、相關責任單位4個層面，闡述地鐵列車洪淹事故安全管理重要環節并提出預防建議。

3)以“鄭州地鐵5號線7·20事件”為案例，分別從個體、自組織和他組織3個層面對該事故進行致因分析，在闡述事故原因構成、描繪事故致因鏈基礎上，提出相應整改建議。基于地鐵列車洪淹事故FDA致因模型的實證研究，可為責任認定和事故處理提供科學依據、為事故預防提出建議措施、為地鐵運營安全管理提供新的思路。