基于系統韌性理論的城市軌道交通信號系統設計

高 翔 張凌翔

(1.上海電氣泰雷茲交通自動化系統有限公司，201206，上海;2.上海申通地鐵集團有限公司，201103，上海∥第一作者，高級工程師)

受到元器件、材料、工藝及成本的限制，單體設備的可靠性存在上限。在系統層面上，對于超過單體設備可靠性上限要求的，可以通過冗余技術來滿足可靠性指標要求。鐵路行業有一系列的可靠性標準，通過量化指標對系統性能進行評估，指導系統架構及軟硬件設計。MTBF(平均故障間隔時間)是最常使用的可靠性指標之一。按照EN 50126標準[1]， MTBF被定義成系統保持工作狀態的平均持續時間，其本質上是指MTBSF(運營服務的平均無故障間隔時間)。通過冗余設計，可保障單點故障不影響系統服務(即實現故障容錯)，系統保持持續服務以滿足MTBSF。

對安全的傳統定義是“免于不可接受的風險”。安全完整性SIL(Safety Integrity Level)是與可靠性相關的一個概念，定義為“安全相關系統在所申明的運行環境中和所申明的時間段內的條件下完成所要求安全功能的能力”[1]。安全完整性和可靠性是對城市軌道交通(以下簡稱“城軌”)信號系統的兩大性能要求。基于安全完整性和可靠性的系統設計對單點設備故障進行容忍。這類故障需要在設計之初明確定義，故障場景是限定的，容錯能力有限。在城軌逐步由全自動運行向自主運行發展過程中，信號系統已不能滿足更高的可靠性要求。

系統韌性理論是將韌性概念引入復雜系統的研究成果[2-3]。系統韌性理論立足于運營的角度來對系統容錯能力進行觀察，與基于設備RAM(可靠性、可用性、可維護性)指標提升來間接提升容錯能力不同，系統韌性理論要求系統從容錯本身來尋求改善措施，要求系統對故障、擾動、風險進行實時監督，基于監督結果動態采取相匹配的容錯響應。本文對系統韌性理論在城軌信號系統設計中的應用進行研究，并以城軌智能調度系統為案例來說明這一方法的有效性。

1 系統韌性理論

韌性(Resilience，中文研究者也采用“彈性”)一詞來源與拉丁語動詞resilire(彈回)，指物體在被擠壓發生變形后，恢復到其正常尺寸和形狀的能力。其內涵就是在受到擾動后恢復正常的能力[4]。研究者將這一力學概念首先引入生態系統，后來又廣泛應用于社會領域、經濟領域和安全工程領域[5]。一個源自國防領域的韌性定義是：一個實體(資產、組織、社區或地區)的能力，能預測、抵制、吸收、應對、適應和從自然或人為干擾活動中恢復。這就要求具有韌性的系統應該具備3種能力：擊退、抵抗、吸收破壞的能力(自然或人為破壞)，從破壞中恢復的能力(災難或災難事件)，適應新的或變化的條件(人為威脅或自然災難)的能力[3]。本文認為，還應具備的第4個能力是預測能力，即對發生的破壞、擾動進行監督識別，并預測其影響的能力。

在安全苛求領域，文獻[5]提出了韌性工程的概念，通過系統韌性來實現系統的安全，并將韌性定義為：系統所具備的在發生變化和擾動前/時/后調整其功能的自有能力，由此系統能夠在預期的條件和非預期的條件下都能保持運行[5]。既有的安全觀是想辦法減少系統發生故障的概率，而韌性工程的安全觀則將安全工作的目標調整為想辦法增加系統正常工作的概率，這樣即能保障安全，又能提升系統的效能，實現對系統安全與效能的兼顧。

系統容錯的概念是指在出現故障時系統能夠繼續實現其既定功能的能力[6]。容錯、安全完整性和韌性的概念比較如表1所示。

由表1可見，韌性概念涵蓋的范圍最大，其次是容錯，最小的是安全完整性。可以通過韌性或容錯設計來滿足完全完整性要求。韌性實現的目標是“恢復并適應新的或變化的條件”，既有恢復到既有功能的能力，也有適應外部條件變化而產生新的功能的能力。而容錯則是實現既定功能的能力，安全完整性則僅要求完成安全功能。對于運行條件而言，韌性也更加寬泛，包含了預期與非預期的條件；安全完整性則是在所申明的運行環境和所申明的時間段內，能保證系統會做出安全的響應，而在非所申明的運行環境(非預期的條件)中并不能保證。

表1 容錯、完全完整性和韌性概念比較

另外，安全完整性沒有對系統持續工作能力的直接要求，系統的可持續工作能力間接地由“所申明的運行環境和所申明的時間段”這一與可靠性性能直接相關的要求所決定。

為指導設計，系統韌性應通過量化的手段進行評估[7]，對系統韌性進行度量。系統韌性的量化評估示意圖如圖1所示。

圖1 系統韌性的量化評估示意圖Fig.1 Diagram of quantitatively estimated system resilience

1) 保護時間Tip：是系統容忍故障i而不導致能力降低的持續時間。Tip=tid-ti0。

2) 退化時間Tid：是在受到故障i的影響后系統在能力最低狀態持續的時間。Tid=tim-ti0。一般情況下，假設Tid為0。

3) 識別時間Tii：是系統識別出故障i的時間。Tii=tii-ti0。這一時間不一定會大于Tid。系統可以在能力降到最低前就識別出故障。

4) 恢復時間Tir：是系統從故障i發生到恢復正常運行所需的時間。Tir=tir-tis。一般情況下，假設Tir為0。

5) 能力退化量Pid：Pid=P0-Pi。

Pil越小，系統韌性越好。需要注意的是，這里的Pil僅考慮了單次故障，如果要綜合衡量一段工作周期內多次故障的綜合損失，則需要將每個故障導致的Pil進行求和，即∑Pil。Pil還可以用于評估不同故障導致的能力損失，從而對故障進行分級。可靠性標準強調的是延長MTBF并縮短MTTR(平均修復時間)。在修復期間(tir-ti0)，系統是處于下線狀態，即Pi為0，如果套用Pil的計算方法，應該盡可能地縮短MTTR的時間。此外，可靠性標準考慮的故障偏向于硬故障，即故障后能力立即降低到0(Tid=0)。

2 基于系統韌性理論的城市軌道交通信號系統設計模型

既有的城軌信號系統是容錯的“故障-安全”系統。當發生影響安全的故障時，這樣的系統可以采取“故障-持續運行”“故障-降級”和“故障-停機”3種不同的響應形式。

1) “故障-持續運行” 響應形式：當出現故障時，系統繼續工作，提供能力不損失。

2) “故障-降級”響應形式：當出現故障時，系統繼續工作，提供能力有一定損失，但能夠保持安全狀態。

3) “故障-停機”響應形式：當出現故障時，系統停止工作，提供能力全部損失，轉換到一個確定狀態以維持安全。

從“故障-安全”角度考慮，一個韌性的信號系統應避免“故障-停機”的響應形式。如果沒有人工的介入，“故障-停機”會導致Pil→∞。如果按照RAM設計思路，信號系統設計應設法降低單體設備的MTTR，并延長MTBSF、控制∑Pil。MTBSF和MTTR受到基礎技術條件和現場工作條件限制，提升有限。然而，按照系統韌性理論，信號系統可通過增強系統韌性的技術手段來控制Pil，這樣的技術手段組合構成了新的韌性系統設計模型(見圖2)，其中包括：①識別故障擾動——對導致能力損失的故障或擾動進行識別；②影響預測——對故障和擾動進行分類，并依據歷史數據和狀態信息綜合預測其影響，例如預測故障的處理時間；③故障抵制——在系統中留有能力補償的空間或容錯機制，一旦發生故障或擾動，系統利用補償空間或容錯機制對故障進行抵制：④恢復控制——通過自恢復或遠程恢復技術，恢復系統能力；⑤能力損失評估——對發生的能力損失進行在線評估，并對恢復措施進行評價。

圖2 韌性系統設計模型Fig.2 Resilience system design model

在韌性系統設計模型中，能力損失的在線評估是與傳統的系統設計模型差異最大的部分。在傳統的可靠性設計模型中，由操作人員完成能力損失評估，因此需要大量的人工介入以保持運營；能力損失評估之后，再對故障進行調查分析，并針對性提出改進措施，以提升系統MTBSF。本文以城軌智能調度系統為案例來驗證韌性系統設計模型的有效性。

3 基于系統韌性理論的智能調度系統設計案例

當前FAO(全自動運行)實現了從列車喚醒、運行到休眠的全過程自動化，但并未實現全過程無人化，工作人員還需要對故障或應急事件進行介入處理。為滿足未來城軌發展需求，信號系統要從更高層面上來滿足安全要求。為此，系統設計考慮的邊界更大，要能夠更多地站在“滿足運營需求”的高度來考慮故障問題，實現最低限度的人工介入，達到“運營無人化”的最終目標。

3.1 系統能力指標

首先定義關鍵運營服務質量(即系統能力)指標：車站到發間隔失衡率βs和發車間隔損失率σs。在運營恢復期間，從故障發生后第一個扣車的車站至終點(或小交路折返)車站的各個車站(受影響車站集合S)，列車到站時間間隔a的最大值與最小值之差與二者之和的比值即為βs(s∈S)。βs越大，則對應車站的到發間隔越不平衡。其計算公式為：

(1)

式中：

Tr——運營恢復時間段。

Tr從故障發生的時刻td開始計算，直到由該故障所引發的車站扣車、跳停、趕點不再發生時刻tr為止，即所有列車都恢復正常運營為止。

(2)

由此可得服務質量損失值Pl：

[Wβ×(1-βs)+Wσ×(1-σs)]}Tr/To

Wβ+Wσ=1

(3)

式中：

Ws——車站權重，客流較密集的車站、換乘站和終點站的權重較大；

Wβ和Wσ——分別為車站βs權重和σs權重值。

To——全天運營時長。

計算時，為避免Pl對Tr過于敏感，對Tr相對于To進行了歸一化處理。

列車運行中，如發生影響運營的故障，例如在區間運行中發生車門關好并鎖閉狀態信號丟失的故障，既有信號系統基于 “運行”安全，會立即控制列車區間停車，即采用“故障-停機”響應形式來滿足安全完整性要求，然后由人工處理故障并保證運營安全。故障導致的晚點影響則會在線路上快速傳遞，尤其是在高峰運營期間，傳遞速度更快，影響更為顯著。為恢復運營，調度人員需要人工調整線路上的多列列車的運行。

以上海軌道交通某條線路的一個具體故障為例，90號班次列車在區間發生車門故障時正值晚高峰(18:20)，為平衡故障車前后列車的運行間隔，調度員對故障列車所在區間的前后9個車站進行連續扣車。故障列車以20 Km/h速度進站，在站臺進行清客后列車切除ATP(列車自動保護)回庫。該故障造成故障列車后的第一列列車晚點510 s。調度員逐步取消扣車，并讓故障列車后的第一列列車連續跳停，并將另一列列車的小交路改為大交路，同時取消了2列列車的運行班次。1 h后，運營基本恢復。

列車發生故障后，通過人工調整手段，可使服務質量逐步從擾動中得到恢復，根據式(3)計算，這次故障導致的服務質量損失值Pl為3.2%。如果把調度人員作為系統的一部分，則包含調度人員的大系統的韌性也可以通過能力損失進行量化評估。而智能調度系統則能替代或部分替代調度人員的工作，對于類似上述案例中的運營擾動，會自動識別、預測、獲取恢復控制策略。本文將智能調度系統作為信號系統的一部分，構建新的韌性信號系統。

3.2 智能調度系統功能模塊

按照韌性系統設計模型，智能調度系統應包含以下功能模塊：

1) 故障識別模塊：主要根據采集到的實時多源信息對出現的故障進行識別。多源信息來自信號系統及與信號系統有接口的外部系統(例如車輛系統)。故障識別任務包含獲取故障類型、故障發生的地點和時間等信息，明確故障源。

2) 初始策略生成模塊：當故障處理時間不能預測時，通過初始策略對列車運營進行調整以避免運營危害并減小影響。初始策略的判斷依據是故障識別結果、線路站型和當前運營間隔等條件，并通過扣車[8]、速度等級調整等組合措施調整故障列車前后列車的運行。

3) 故障恢復預測模塊：對故障列車完成現地處理(如故障隔離)后，有條件地預測故障恢復時間。預測的依據包括故障源、故障列車低速進站距離、故障列車清客時間和故障列車回車輛基地/存車線路徑等。如果是與列車運行相關的故障，預測結果則是故障列車退出運營的路徑及退出的運行速度曲線；如果是地面的固定設備故障，則直接進行恢復策略生成。

4) 恢復策略生成模塊：依據預測結果，對扣車、跳停、備車替開、速度等級調整和變更交路這五種措施不同組合下[9]的Pl進行最優化計算，然后確定Pl最小的恢復策略。

5) 服務質量評估模塊：對恢復策略實施的效果按照服務質量進行評估，并積累數據形成經驗庫；當數據量達到一定要求后，通過經驗庫挖掘算法對恢復策略算法進行參數(例如Pl計算公式中權相關參數的重值)優化，以提升策略生成效率。

3.3 仿真驗證

在實驗室環境下，采用測試平臺(見圖3)對智能調度系統進行設計驗證。其中，ATS(列車自動監控)中加載了該線90號班次列車(見3.1節)故障當天的真實時刻表數據，并模擬當天的真實故障。采用人工調度和智能調度的列車運行圖如圖4所示。

圖3 智能調度系統測試平臺示意圖

圖4 人工調度與智能調度下的列車運行圖截圖

在所述故障情況中，s15為第一個發生扣車的車站，s28為小交路折返車站。該列車發生故障后的服務質量損失計算結果見表2。由表2可見：采用智能調度的βs，除車站s15、s26、s27和s28外，多數車站的都大大小于人工調度下的βs，也就是智能調整能得到很好的到發均衡性；由于案例中沒有采用加車的策略，因此智能調度下的σs與人工調度下的σs差異不大。按運營時間17 h計算，Wβ和Wσ采用等值，通過智能調度下的智能調整，根據式(3)計算，故障導致的服務質量損失值Pl減小到2.5%(主要貢獻來自于故障列車退出運營)。由此可見，與人工調度相比，智能調度系統具備更高的韌性，大大減輕了人工的工作強度。

表2 列車發生故障后的服務質量損失計算結果

4 結語

城軌信號系統的自動化等級越來越高，系統管控能力及范圍越來越大，人參與的操作越來越少，系統處理非預期事件或故障的能力需要支撐這樣的變化，以確保故障下安全持續運行。本文基于韌性系統設計模型進行系統設計，從擾動的識別、預測，以及通過最小化損失值為目標進行優化計算獲得恢復控制策略等幾個方面進行系統構建，開發出智能調度系統。仿真計算驗證了該方法的有效性。

本文只是應用韌性理論指導系統開發的初步探索，為開發更強壯的韌性系統，還需進行更多的研究工作。例如：對多源信息進行時間校準及對信息可信度進行交叉檢查；發展人機友好系統，使系統操作更便利及易學易用，并能有效防止人為錯誤；核心設備的健康狀態自診斷及故障自修復，等等。