基于系統(tǒng)韌性理論的城市軌道交通信號(hào)系統(tǒng)設(shè)計(jì)

高 翔 張凌翔

(1.上海電氣泰雷茲交通自動(dòng)化系統(tǒng)有限公司，201206，上海;2.上海申通地鐵集團(tuán)有限公司，201103，上海∥第一作者，高級(jí)工程師)

受到元器件、材料、工藝及成本的限制，單體設(shè)備的可靠性存在上限。在系統(tǒng)層面上，對于超過單體設(shè)備可靠性上限要求的，可以通過冗余技術(shù)來滿足可靠性指標(biāo)要求。鐵路行業(yè)有一系列的可靠性標(biāo)準(zhǔn)，通過量化指標(biāo)對系統(tǒng)性能進(jìn)行評(píng)估，指導(dǎo)系統(tǒng)架構(gòu)及軟硬件設(shè)計(jì)。MTBF(平均故障間隔時(shí)間)是最常使用的可靠性指標(biāo)之一。按照EN 50126標(biāo)準(zhǔn)[1]， MTBF被定義成系統(tǒng)保持工作狀態(tài)的平均持續(xù)時(shí)間，其本質(zhì)上是指MTBSF(運(yùn)營服務(wù)的平均無故障間隔時(shí)間)。通過冗余設(shè)計(jì)，可保障單點(diǎn)故障不影響系統(tǒng)服務(wù)(即實(shí)現(xiàn)故障容錯(cuò))，系統(tǒng)保持持續(xù)服務(wù)以滿足MTBSF。

對安全的傳統(tǒng)定義是“免于不可接受的風(fēng)險(xiǎn)”。安全完整性SIL(Safety Integrity Level)是與可靠性相關(guān)的一個(gè)概念，定義為“安全相關(guān)系統(tǒng)在所申明的運(yùn)行環(huán)境中和所申明的時(shí)間段內(nèi)的條件下完成所要求安全功能的能力”[1]。安全完整性和可靠性是對城市軌道交通(以下簡稱“城軌”)信號(hào)系統(tǒng)的兩大性能要求。基于安全完整性和可靠性的系統(tǒng)設(shè)計(jì)對單點(diǎn)設(shè)備故障進(jìn)行容忍。這類故障需要在設(shè)計(jì)之初明確定義，故障場景是限定的，容錯(cuò)能力有限。在城軌逐步由全自動(dòng)運(yùn)行向自主運(yùn)行發(fā)展過程中，信號(hào)系統(tǒng)已不能滿足更高的可靠性要求。

系統(tǒng)韌性理論是將韌性概念引入復(fù)雜系統(tǒng)的研究成果[2-3]。系統(tǒng)韌性理論立足于運(yùn)營的角度來對系統(tǒng)容錯(cuò)能力進(jìn)行觀察，與基于設(shè)備RAM(可靠性、可用性、可維護(hù)性)指標(biāo)提升來間接提升容錯(cuò)能力不同，系統(tǒng)韌性理論要求系統(tǒng)從容錯(cuò)本身來尋求改善措施，要求系統(tǒng)對故障、擾動(dòng)、風(fēng)險(xiǎn)進(jìn)行實(shí)時(shí)監(jiān)督，基于監(jiān)督結(jié)果動(dòng)態(tài)采取相匹配的容錯(cuò)響應(yīng)。本文對系統(tǒng)韌性理論在城軌信號(hào)系統(tǒng)設(shè)計(jì)中的應(yīng)用進(jìn)行研究，并以城軌智能調(diào)度系統(tǒng)為案例來說明這一方法的有效性。

1 系統(tǒng)韌性理論

韌性(Resilience，中文研究者也采用“彈性”)一詞來源與拉丁語動(dòng)詞resilire(彈回)，指物體在被擠壓發(fā)生變形后，恢復(fù)到其正常尺寸和形狀的能力。其內(nèi)涵就是在受到擾動(dòng)后恢復(fù)正常的能力[4]。研究者將這一力學(xué)概念首先引入生態(tài)系統(tǒng)，后來又廣泛應(yīng)用于社會(huì)領(lǐng)域、經(jīng)濟(jì)領(lǐng)域和安全工程領(lǐng)域[5]。一個(gè)源自國防領(lǐng)域的韌性定義是：一個(gè)實(shí)體(資產(chǎn)、組織、社區(qū)或地區(qū))的能力，能預(yù)測、抵制、吸收、應(yīng)對、適應(yīng)和從自然或人為干擾活動(dòng)中恢復(fù)。這就要求具有韌性的系統(tǒng)應(yīng)該具備3種能力：擊退、抵抗、吸收破壞的能力(自然或人為破壞)，從破壞中恢復(fù)的能力(災(zāi)難或?yàn)?zāi)難事件)，適應(yīng)新的或變化的條件(人為威脅或自然災(zāi)難)的能力[3]。本文認(rèn)為，還應(yīng)具備的第4個(gè)能力是預(yù)測能力，即對發(fā)生的破壞、擾動(dòng)進(jìn)行監(jiān)督識(shí)別，并預(yù)測其影響的能力。

在安全苛求領(lǐng)域，文獻(xiàn)[5]提出了韌性工程的概念，通過系統(tǒng)韌性來實(shí)現(xiàn)系統(tǒng)的安全，并將韌性定義為：系統(tǒng)所具備的在發(fā)生變化和擾動(dòng)前/時(shí)/后調(diào)整其功能的自有能力，由此系統(tǒng)能夠在預(yù)期的條件和非預(yù)期的條件下都能保持運(yùn)行[5]。既有的安全觀是想辦法減少系統(tǒng)發(fā)生故障的概率，而韌性工程的安全觀則將安全工作的目標(biāo)調(diào)整為想辦法增加系統(tǒng)正常工作的概率，這樣即能保障安全，又能提升系統(tǒng)的效能，實(shí)現(xiàn)對系統(tǒng)安全與效能的兼顧。

系統(tǒng)容錯(cuò)的概念是指在出現(xiàn)故障時(shí)系統(tǒng)能夠繼續(xù)實(shí)現(xiàn)其既定功能的能力[6]。容錯(cuò)、安全完整性和韌性的概念比較如表1所示。

由表1可見，韌性概念涵蓋的范圍最大，其次是容錯(cuò)，最小的是安全完整性。可以通過韌性或容錯(cuò)設(shè)計(jì)來滿足完全完整性要求。韌性實(shí)現(xiàn)的目標(biāo)是“恢復(fù)并適應(yīng)新的或變化的條件”，既有恢復(fù)到既有功能的能力，也有適應(yīng)外部條件變化而產(chǎn)生新的功能的能力。而容錯(cuò)則是實(shí)現(xiàn)既定功能的能力，安全完整性則僅要求完成安全功能。對于運(yùn)行條件而言，韌性也更加寬泛，包含了預(yù)期與非預(yù)期的條件；安全完整性則是在所申明的運(yùn)行環(huán)境和所申明的時(shí)間段內(nèi)，能保證系統(tǒng)會(huì)做出安全的響應(yīng)，而在非所申明的運(yùn)行環(huán)境(非預(yù)期的條件)中并不能保證。

表1 容錯(cuò)、完全完整性和韌性概念比較

另外，安全完整性沒有對系統(tǒng)持續(xù)工作能力的直接要求，系統(tǒng)的可持續(xù)工作能力間接地由“所申明的運(yùn)行環(huán)境和所申明的時(shí)間段”這一與可靠性性能直接相關(guān)的要求所決定。

為指導(dǎo)設(shè)計(jì)，系統(tǒng)韌性應(yīng)通過量化的手段進(jìn)行評(píng)估[7]，對系統(tǒng)韌性進(jìn)行度量。系統(tǒng)韌性的量化評(píng)估示意圖如圖1所示。

圖1 系統(tǒng)韌性的量化評(píng)估示意圖Fig.1 Diagram of quantitatively estimated system resilience

1) 保護(hù)時(shí)間Tip：是系統(tǒng)容忍故障i而不導(dǎo)致能力降低的持續(xù)時(shí)間。Tip=tid-ti0。

2) 退化時(shí)間Tid：是在受到故障i的影響后系統(tǒng)在能力最低狀態(tài)持續(xù)的時(shí)間。Tid=tim-ti0。一般情況下，假設(shè)Tid為0。

3) 識(shí)別時(shí)間Tii：是系統(tǒng)識(shí)別出故障i的時(shí)間。Tii=tii-ti0。這一時(shí)間不一定會(huì)大于Tid。系統(tǒng)可以在能力降到最低前就識(shí)別出故障。

4) 恢復(fù)時(shí)間Tir：是系統(tǒng)從故障i發(fā)生到恢復(fù)正常運(yùn)行所需的時(shí)間。Tir=tir-tis。一般情況下，假設(shè)Tir為0。

5) 能力退化量Pid：Pid=P0-Pi。

Pil越小，系統(tǒng)韌性越好。需要注意的是，這里的Pil僅考慮了單次故障，如果要綜合衡量一段工作周期內(nèi)多次故障的綜合損失，則需要將每個(gè)故障導(dǎo)致的Pil進(jìn)行求和，即∑Pil。Pil還可以用于評(píng)估不同故障導(dǎo)致的能力損失，從而對故障進(jìn)行分級(jí)。可靠性標(biāo)準(zhǔn)強(qiáng)調(diào)的是延長MTBF并縮短MTTR(平均修復(fù)時(shí)間)。在修復(fù)期間(tir-ti0)，系統(tǒng)是處于下線狀態(tài)，即Pi為0，如果套用Pil的計(jì)算方法，應(yīng)該盡可能地縮短MTTR的時(shí)間。此外，可靠性標(biāo)準(zhǔn)考慮的故障偏向于硬故障，即故障后能力立即降低到0(Tid=0)。

2 基于系統(tǒng)韌性理論的城市軌道交通信號(hào)系統(tǒng)設(shè)計(jì)模型

既有的城軌信號(hào)系統(tǒng)是容錯(cuò)的“故障-安全”系統(tǒng)。當(dāng)發(fā)生影響安全的故障時(shí)，這樣的系統(tǒng)可以采取“故障-持續(xù)運(yùn)行”“故障-降級(jí)”和“故障-停機(jī)”3種不同的響應(yīng)形式。

1) “故障-持續(xù)運(yùn)行” 響應(yīng)形式：當(dāng)出現(xiàn)故障時(shí)，系統(tǒng)繼續(xù)工作，提供能力不損失。

2) “故障-降級(jí)”響應(yīng)形式：當(dāng)出現(xiàn)故障時(shí)，系統(tǒng)繼續(xù)工作，提供能力有一定損失，但能夠保持安全狀態(tài)。

3) “故障-停機(jī)”響應(yīng)形式：當(dāng)出現(xiàn)故障時(shí)，系統(tǒng)停止工作，提供能力全部損失，轉(zhuǎn)換到一個(gè)確定狀態(tài)以維持安全。

從“故障-安全”角度考慮，一個(gè)韌性的信號(hào)系統(tǒng)應(yīng)避免“故障-停機(jī)”的響應(yīng)形式。如果沒有人工的介入，“故障-停機(jī)”會(huì)導(dǎo)致Pil→∞。如果按照RAM設(shè)計(jì)思路，信號(hào)系統(tǒng)設(shè)計(jì)應(yīng)設(shè)法降低單體設(shè)備的MTTR，并延長MTBSF、控制∑Pil。MTBSF和MTTR受到基礎(chǔ)技術(shù)條件和現(xiàn)場工作條件限制，提升有限。然而，按照系統(tǒng)韌性理論，信號(hào)系統(tǒng)可通過增強(qiáng)系統(tǒng)韌性的技術(shù)手段來控制Pil，這樣的技術(shù)手段組合構(gòu)成了新的韌性系統(tǒng)設(shè)計(jì)模型(見圖2)，其中包括：①識(shí)別故障擾動(dòng)——對導(dǎo)致能力損失的故障或擾動(dòng)進(jìn)行識(shí)別；②影響預(yù)測——對故障和擾動(dòng)進(jìn)行分類，并依據(jù)歷史數(shù)據(jù)和狀態(tài)信息綜合預(yù)測其影響，例如預(yù)測故障的處理時(shí)間；③故障抵制——在系統(tǒng)中留有能力補(bǔ)償?shù)目臻g或容錯(cuò)機(jī)制，一旦發(fā)生故障或擾動(dòng)，系統(tǒng)利用補(bǔ)償空間或容錯(cuò)機(jī)制對故障進(jìn)行抵制：④恢復(fù)控制——通過自恢復(fù)或遠(yuǎn)程恢復(fù)技術(shù)，恢復(fù)系統(tǒng)能力；⑤能力損失評(píng)估——對發(fā)生的能力損失進(jìn)行在線評(píng)估，并對恢復(fù)措施進(jìn)行評(píng)價(jià)。

圖2 韌性系統(tǒng)設(shè)計(jì)模型Fig.2 Resilience system design model

在韌性系統(tǒng)設(shè)計(jì)模型中，能力損失的在線評(píng)估是與傳統(tǒng)的系統(tǒng)設(shè)計(jì)模型差異最大的部分。在傳統(tǒng)的可靠性設(shè)計(jì)模型中，由操作人員完成能力損失評(píng)估，因此需要大量的人工介入以保持運(yùn)營；能力損失評(píng)估之后，再對故障進(jìn)行調(diào)查分析，并針對性提出改進(jìn)措施，以提升系統(tǒng)MTBSF。本文以城軌智能調(diào)度系統(tǒng)為案例來驗(yàn)證韌性系統(tǒng)設(shè)計(jì)模型的有效性。

3 基于系統(tǒng)韌性理論的智能調(diào)度系統(tǒng)設(shè)計(jì)案例

當(dāng)前FAO(全自動(dòng)運(yùn)行)實(shí)現(xiàn)了從列車喚醒、運(yùn)行到休眠的全過程自動(dòng)化，但并未實(shí)現(xiàn)全過程無人化，工作人員還需要對故障或應(yīng)急事件進(jìn)行介入處理。為滿足未來城軌發(fā)展需求，信號(hào)系統(tǒng)要從更高層面上來滿足安全要求。為此，系統(tǒng)設(shè)計(jì)考慮的邊界更大，要能夠更多地站在“滿足運(yùn)營需求”的高度來考慮故障問題，實(shí)現(xiàn)最低限度的人工介入，達(dá)到“運(yùn)營無人化”的最終目標(biāo)。

3.1 系統(tǒng)能力指標(biāo)

首先定義關(guān)鍵運(yùn)營服務(wù)質(zhì)量(即系統(tǒng)能力)指標(biāo)：車站到發(fā)間隔失衡率βs和發(fā)車間隔損失率σs。在運(yùn)營恢復(fù)期間，從故障發(fā)生后第一個(gè)扣車的車站至終點(diǎn)(或小交路折返)車站的各個(gè)車站(受影響車站集合S)，列車到站時(shí)間間隔a的最大值與最小值之差與二者之和的比值即為βs(s∈S)。βs越大，則對應(yīng)車站的到發(fā)間隔越不平衡。其計(jì)算公式為：

(1)

式中：

Tr——運(yùn)營恢復(fù)時(shí)間段。

Tr從故障發(fā)生的時(shí)刻td開始計(jì)算，直到由該故障所引發(fā)的車站扣車、跳停、趕點(diǎn)不再發(fā)生時(shí)刻tr為止，即所有列車都恢復(fù)正常運(yùn)營為止。

(2)

由此可得服務(wù)質(zhì)量損失值Pl：

[Wβ×(1-βs)+Wσ×(1-σs)]}Tr/To

Wβ+Wσ=1

(3)

式中：

Ws——車站權(quán)重，客流較密集的車站、換乘站和終點(diǎn)站的權(quán)重較大；

Wβ和Wσ——分別為車站βs權(quán)重和σs權(quán)重值。

To——全天運(yùn)營時(shí)長。

計(jì)算時(shí)，為避免Pl對Tr過于敏感，對Tr相對于To進(jìn)行了歸一化處理。

列車運(yùn)行中，如發(fā)生影響運(yùn)營的故障，例如在區(qū)間運(yùn)行中發(fā)生車門關(guān)好并鎖閉狀態(tài)信號(hào)丟失的故障，既有信號(hào)系統(tǒng)基于 “運(yùn)行”安全，會(huì)立即控制列車區(qū)間停車，即采用“故障-停機(jī)”響應(yīng)形式來滿足安全完整性要求，然后由人工處理故障并保證運(yùn)營安全。故障導(dǎo)致的晚點(diǎn)影響則會(huì)在線路上快速傳遞，尤其是在高峰運(yùn)營期間，傳遞速度更快，影響更為顯著。為恢復(fù)運(yùn)營，調(diào)度人員需要人工調(diào)整線路上的多列列車的運(yùn)行。

以上海軌道交通某條線路的一個(gè)具體故障為例，90號(hào)班次列車在區(qū)間發(fā)生車門故障時(shí)正值晚高峰(18:20)，為平衡故障車前后列車的運(yùn)行間隔，調(diào)度員對故障列車所在區(qū)間的前后9個(gè)車站進(jìn)行連續(xù)扣車。故障列車以20 Km/h速度進(jìn)站，在站臺(tái)進(jìn)行清客后列車切除ATP(列車自動(dòng)保護(hù))回庫。該故障造成故障列車后的第一列列車晚點(diǎn)510 s。調(diào)度員逐步取消扣車，并讓故障列車后的第一列列車連續(xù)跳停，并將另一列列車的小交路改為大交路，同時(shí)取消了2列列車的運(yùn)行班次。1 h后，運(yùn)營基本恢復(fù)。

列車發(fā)生故障后，通過人工調(diào)整手段，可使服務(wù)質(zhì)量逐步從擾動(dòng)中得到恢復(fù)，根據(jù)式(3)計(jì)算，這次故障導(dǎo)致的服務(wù)質(zhì)量損失值Pl為3.2%。如果把調(diào)度人員作為系統(tǒng)的一部分，則包含調(diào)度人員的大系統(tǒng)的韌性也可以通過能力損失進(jìn)行量化評(píng)估。而智能調(diào)度系統(tǒng)則能替代或部分替代調(diào)度人員的工作，對于類似上述案例中的運(yùn)營擾動(dòng)，會(huì)自動(dòng)識(shí)別、預(yù)測、獲取恢復(fù)控制策略。本文將智能調(diào)度系統(tǒng)作為信號(hào)系統(tǒng)的一部分，構(gòu)建新的韌性信號(hào)系統(tǒng)。

3.2 智能調(diào)度系統(tǒng)功能模塊

按照韌性系統(tǒng)設(shè)計(jì)模型，智能調(diào)度系統(tǒng)應(yīng)包含以下功能模塊：

1) 故障識(shí)別模塊：主要根據(jù)采集到的實(shí)時(shí)多源信息對出現(xiàn)的故障進(jìn)行識(shí)別。多源信息來自信號(hào)系統(tǒng)及與信號(hào)系統(tǒng)有接口的外部系統(tǒng)(例如車輛系統(tǒng))。故障識(shí)別任務(wù)包含獲取故障類型、故障發(fā)生的地點(diǎn)和時(shí)間等信息，明確故障源。

2) 初始策略生成模塊：當(dāng)故障處理時(shí)間不能預(yù)測時(shí)，通過初始策略對列車運(yùn)營進(jìn)行調(diào)整以避免運(yùn)營危害并減小影響。初始策略的判斷依據(jù)是故障識(shí)別結(jié)果、線路站型和當(dāng)前運(yùn)營間隔等條件，并通過扣車[8]、速度等級(jí)調(diào)整等組合措施調(diào)整故障列車前后列車的運(yùn)行。

3) 故障恢復(fù)預(yù)測模塊：對故障列車完成現(xiàn)地處理(如故障隔離)后，有條件地預(yù)測故障恢復(fù)時(shí)間。預(yù)測的依據(jù)包括故障源、故障列車低速進(jìn)站距離、故障列車清客時(shí)間和故障列車回車輛基地/存車線路徑等。如果是與列車運(yùn)行相關(guān)的故障，預(yù)測結(jié)果則是故障列車退出運(yùn)營的路徑及退出的運(yùn)行速度曲線；如果是地面的固定設(shè)備故障，則直接進(jìn)行恢復(fù)策略生成。

4) 恢復(fù)策略生成模塊：依據(jù)預(yù)測結(jié)果，對扣車、跳停、備車替開、速度等級(jí)調(diào)整和變更交路這五種措施不同組合下[9]的Pl進(jìn)行最優(yōu)化計(jì)算，然后確定Pl最小的恢復(fù)策略。

5) 服務(wù)質(zhì)量評(píng)估模塊：對恢復(fù)策略實(shí)施的效果按照服務(wù)質(zhì)量進(jìn)行評(píng)估，并積累數(shù)據(jù)形成經(jīng)驗(yàn)庫；當(dāng)數(shù)據(jù)量達(dá)到一定要求后，通過經(jīng)驗(yàn)庫挖掘算法對恢復(fù)策略算法進(jìn)行參數(shù)(例如Pl計(jì)算公式中權(quán)相關(guān)參數(shù)的重值)優(yōu)化，以提升策略生成效率。

3.3 仿真驗(yàn)證

在實(shí)驗(yàn)室環(huán)境下，采用測試平臺(tái)(見圖3)對智能調(diào)度系統(tǒng)進(jìn)行設(shè)計(jì)驗(yàn)證。其中，ATS(列車自動(dòng)監(jiān)控)中加載了該線90號(hào)班次列車(見3.1節(jié))故障當(dāng)天的真實(shí)時(shí)刻表數(shù)據(jù)，并模擬當(dāng)天的真實(shí)故障。采用人工調(diào)度和智能調(diào)度的列車運(yùn)行圖如圖4所示。

圖3 智能調(diào)度系統(tǒng)測試平臺(tái)示意圖

圖4 人工調(diào)度與智能調(diào)度下的列車運(yùn)行圖截圖

在所述故障情況中，s15為第一個(gè)發(fā)生扣車的車站，s28為小交路折返車站。該列車發(fā)生故障后的服務(wù)質(zhì)量損失計(jì)算結(jié)果見表2。由表2可見：采用智能調(diào)度的βs，除車站s15、s26、s27和s28外，多數(shù)車站的都大大小于人工調(diào)度下的βs，也就是智能調(diào)整能得到很好的到發(fā)均衡性；由于案例中沒有采用加車的策略，因此智能調(diào)度下的σs與人工調(diào)度下的σs差異不大。按運(yùn)營時(shí)間17 h計(jì)算，Wβ和Wσ采用等值，通過智能調(diào)度下的智能調(diào)整，根據(jù)式(3)計(jì)算，故障導(dǎo)致的服務(wù)質(zhì)量損失值Pl減小到2.5%(主要貢獻(xiàn)來自于故障列車退出運(yùn)營)。由此可見，與人工調(diào)度相比，智能調(diào)度系統(tǒng)具備更高的韌性，大大減輕了人工的工作強(qiáng)度。

表2 列車發(fā)生故障后的服務(wù)質(zhì)量損失計(jì)算結(jié)果

4 結(jié)語

城軌信號(hào)系統(tǒng)的自動(dòng)化等級(jí)越來越高，系統(tǒng)管控能力及范圍越來越大，人參與的操作越來越少，系統(tǒng)處理非預(yù)期事件或故障的能力需要支撐這樣的變化，以確保故障下安全持續(xù)運(yùn)行。本文基于韌性系統(tǒng)設(shè)計(jì)模型進(jìn)行系統(tǒng)設(shè)計(jì)，從擾動(dòng)的識(shí)別、預(yù)測，以及通過最小化損失值為目標(biāo)進(jìn)行優(yōu)化計(jì)算獲得恢復(fù)控制策略等幾個(gè)方面進(jìn)行系統(tǒng)構(gòu)建，開發(fā)出智能調(diào)度系統(tǒng)。仿真計(jì)算驗(yàn)證了該方法的有效性。

本文只是應(yīng)用韌性理論指導(dǎo)系統(tǒng)開發(fā)的初步探索，為開發(fā)更強(qiáng)壯的韌性系統(tǒng)，還需進(jìn)行更多的研究工作。例如：對多源信息進(jìn)行時(shí)間校準(zhǔn)及對信息可信度進(jìn)行交叉檢查；發(fā)展人機(jī)友好系統(tǒng)，使系統(tǒng)操作更便利及易學(xué)易用，并能有效防止人為錯(cuò)誤；核心設(shè)備的健康狀態(tài)自診斷及故障自修復(fù)，等等。