CN115994362B - 用于全自动运行系统的安全分析方法及装置 - Google Patents

Abstract

本申请公开了一种用于全自动运行系统的安全分析方法及装置，涉及列车安全分析技术领域，主要目的在于为全自动运行系统涉及的运行场景提供对应的缓解措施；主要技术方案包括：确定待安全分析的运行场景涉及的目标子系统和介入人员；目标子系统为全自动运行系统中与运行场景相关的子系统；运行场景为与列车运行相关且需要介入人员介入的场景；基于所确定的目标子系统和介入人员之间的关联关系，确定运行场景涉及的失效模式；每一个所确定的失效模式均存在对应的介入人员和目标子系统；失效模式用于描述对应的介入人员对关联的目标子系统执行的异常操作；基于每一个所确定的失效模式匹配的缓解措施，形成针对运行场景的安全分析结果。

Description

用于全自动运行系统的安全分析方法及装置

技术领域

本申请涉及安全分析技术领域，特别是涉及一种用于全自动运行系统的安全分析方法及装置。

背景技术

全自动运行系统，是基于现代计算机、通信、控制、综合监控和系统集成等技术，实现列车运行过程自动化的新一代城市轨道交通系统，其通常由多家不同供应商提供的子系统联动实现。

列车正常运行时通常由全自动运行系统来实现，但是在降级或应急等运行场景下需要人员介入来保证列车运行安全。目前，安全分析通常是针对全自动运行系统中的单个子系统进行的，缺少依据运行场景来对全自动运行系统中与运行场景相关的子系统进行安全分析的手段，导致难以提供出运行场景下人员介入所需的缓解措施。因此，如何为全自动运行系统涉及的运行场景提供对应的缓解措施成为一个亟待解决的问题。

发明内容

有鉴于此，本申请提出了一种用于全自动运行系统的安全分析方法及装置，主要目的在于为全自动运行系统涉及的运行场景提供对应的缓解措施。

为了达到上述目的，本申请主要提供了如下技术方案：

第一方面，本申请提供了一种用于全自动运行系统的安全分析方法，该用于全自动运行系统的安全分析方法包括：

确定待安全分析的运行场景涉及的目标子系统和介入人员；其中，所述目标子系统为全自动运行系统中与所述运行场景相关的子系统；所述运行场景为与列车运行相关且需要介入人员介入的场景；

基于所确定的目标子系统和介入人员之间的关联关系，确定所述运行场景涉及的失效模式；其中，每一个所确定的失效模式均存在对应的介入人员和目标子系统；所述失效模式用于描述对应的介入人员对关联的目标子系统执行的异常操作；

基于每一个所确定的失效模式匹配的缓解措施，形成针对所述运行场景的安全分析结果。

在本申请一些实施例中，在确定出每一个所确定的失效模式匹配的缓解措施之后，该用于全自动运行系统的安全分析方法还包括：对于每一个所确定的失效模式：确定所述失效模式将会引发的事故对应的严重性等级；基于所述严重性等级确定所述事故对应的第一事故频率；基于所述第一事故频率和风险降级系数，确定采取缓解措施后的第二事故频率；基于所述第二事故频率判断采取缓解措施后的剩余风险是否可接受；其中，所述风险降级系数是基于所述失效模式匹配的缓解措施而得的系数。

在本申请一些实施例中，该用于全自动运行系统的安全分析方法还包括：若判定采取缓解措施后的剩余风险不可接受，则针对所述失效模式发出完善缓解措施的提示；若判定采取缓解措施后的剩余风险可接受，则将可接受的判定结果与所述缓解措施对应的添加至所述安全分析结果。

在本申请一些实施例中，确定待安全分析的运行场景涉及的目标子系统和介入人员，包括：基于所述运行场景对应的字段从所述全自动运行系统的场景文件中，获取所述运行场景对应的目标数据；其中，所述目标数据用于描述所述运行场景中需要介入人员介入的操作以及操作涉及的子系统；从所述目标数据中提取所述运行场景涉及的目标子系统以及目标子系统关联的介入人员。

在本申请一些实施例中，基于所确定的目标子系统和介入人员之间的关联关系，确定所述运行场景涉及的失效模式，包括：对于每一对存在关联关系的目标子系统和介入人员：识别介入人员对关联的目标子系统执行的所有可能异常操作；为每一个识别出的可能异常操作生成对应的失效模式。

在本申请一些实施例中，该用于全自动运行系统的安全分析方法还包括：解析所述全自动运行系统的场景文件，获取所述全自动运行系统涉及的运行场景；将所获取的运行场景中被选定的运行场景确定为待安全分析的运行场景。

在本申请一些实施例中，该用于全自动运行系统的安全分析方法还包括：对于每一个所确定的失效模式：查询缓解措施库；将所述缓解措施库中对应于所述失效模式的缓解措施确定为所述失效模式匹配的缓解措施。

第二方面，本申请提供了一种用于全自动运行系统的安全分析装置，该用于全自动运行系统的安全分析装置包括：

第一确定模块，用于确定待安全分析的运行场景涉及的目标子系统和介入人员；其中，所述目标子系统为全自动运行系统中与所述运行场景相关的子系统；所述运行场景为与列车运行相关且需要介入人员介入的场景；

第二确定模块，用于基于所确定的目标子系统和介入人员之间的关联关系，确定所述运行场景涉及的失效模式；其中，每一个所确定的失效模式均存在对应的介入人员和目标子系统；所述失效模式用于描述对应的介入人员对关联的目标子系统执行的异常操作；

获取模块，用于基于每一个所确定的失效模式匹配的缓解措施，获得针对所述运行场景的安全分析结果。

第三方面，本申请提供了一种计算机可读存储介质，所述存储介质包括存储的程序，其中，在所述程序运行时控制所述存储介质所在设备执行第一方面的用于全自动运行系统的安全分析方法。

第四方面，本申请提供了一种电子设备，所述电子设备包括：存储器，用于存储程序；处理器，耦合至所述存储器，用于运行所述程序以执行第一方面的用于全自动运行系统的安全分析方法。

本申请提供的用于全自动运行系统的安全分析方法及装置，在确定出待安全分析的运行场景后，确定全自动运行系统中与待安全分析的运行场景相关的子系统，这里的运行场景为与列车运行相关且需要介入人员介入的场景。确定待安全分析的运行场景涉及的介入人员。基于所确定的目标子系统和介入人员之间的关联关系，确定运行场景涉及的失效模式。这里的每一个所确定的失效模式均存在对应的介入人员和目标子系统。失效模式用于描述对应的介入人员对关联的目标子系统执行的异常操作。基于每一个所确定的失效模式匹配的缓解措施，形成针对待安全分析的运行场景的安全分析结果。可见，本申请提供的方案中只要是待安全分析的运行场景涉及的子系统，便将其作为目标子系统纳入到安全分析的范围，这样可以综合考虑运行场景涉及的所有子系统来进行安全分析。另外，基于目标子系统与介入人员之间的关联关系，确定出了运行场景下所有可能的失效模式，并匹配出所有失效模式对应的缓解措施。这样能够为全自动运行系统涉及的运行场景提供更有效、更具体的缓解措施。

上述说明仅是本申请技术方案的概述，为了能够更清楚了解本申请的技术手段，而可依照说明书的内容予以实施，并且为了让本申请的上述和其它目的、特征和优点能够更明显易懂，以下特举本申请的具体实施方式。

附图说明

为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1示出了本申请一个实施例提供的一种用于全自动运行系统的安全分析方法的流程图；

图2示出了本申请一个实施例提供的一个待安全分析的运行场景涉及的目标子系统以及目标子系统关联的介入人员的示意图；

图3示出了本申请另一个实施例提供的一种用于全自动运行系统的安全分析方法的流程图；

图4示出了本申请另一个实施例提供的一个待安全分析的运行场景涉及的目标子系统以及目标子系统关联的介入人员的示意图；

图5示出了本申请一个实施例提供的一种用于全自动运行系统的安全分析装置的结构示意图；

图6示出了本申请另一个实施例提供的一种用于全自动运行系统的安全分析装置的结构示意图。

具体实施方式

下面将参照附图更加详细地描述本公开的示例性实施例。虽然附图中显示了本公开的示例性实施例，然而应当理解，可以以各种形式实现本公开而不应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更透彻地理解本公开，并且能够将本公开的范围完整的传达给本领域的技术人员。

全自动运行系统通常由多家不同供应商提供的子系统联动实现。全自动运行系统至少可以包括但不限于如下子系统：信号系统、车辆系统、站台门系统、综合监控系统、专用通信系统、车库门系统、洗车机系统。信号系统用于实现列车防护与自动控制。车辆系统负责实施牵引制动与车门控制。站台门系统控制站台门开关及状态检测。综合监控系统监控关键设备状态。专用无线通信系统用于实现列车的广播及中心与乘客的应急通信。车库门系统用于控制车库门开关及状态检测。洗车机系统用于实现控制洗车机开关及状态检测。

列车正常运行时通常由全自动运行系统来实现，但是在降级或应急（包括但不限于列车区间运行、列车休眠、站台门故障、区间火灾等场景）等需要介入人员介入的运行场景下需要人员介入来保证列车运行安全。目前，全自动运行系统中的子系统由不同的供应商提供，安全分析通常是针对全自动运行系统中的单个子系统进行的。因此，当前缺少依据运行场景来对全自动运行系统中与运行场景相关的子系统进行安全分析的手段，导致难以提供出运行场景下人员介入所需的缓解措施。

发明人经过研究发现，基于运行场景来对全自动运行场景进行安全分析，可以打破不同供应商之间的限制。只要是运行场景涉及的子系统是运行场景涉及的子系统，便将其纳入到安全分析的范围，这样可以综合考虑运行场景涉及的所有子系统来为运行场景提供更有效、更具体的缓解措施。

基于上述考虑，本申请实施例提供了一种用于全自动运行系统的安全分析的技术方案。具体为：确定全自动运行系统中与待安全分析的运行场景相关的子系统，这里的运行场景为与列车运行相关且需要介入人员介入的场景。确定待安全分析的运行场景涉及的介入人员。基于所确定的目标子系统和介入人员之间的关联关系，确定运行场景涉及的失效模式。这里的每一个所确定的失效模式均存在对应的介入人员和目标子系统。失效模式用于描述对应的介入人员对关联的目标子系统执行的异常操作。基于每一个所确定的失效模式匹配的缓解措施，形成针对待安全分析的运行场景的安全分析结果。可见，本申请实施例提供的方案中只要是待安全分析的运行场景涉及的子系统，便将其作为目标子系统纳入到安全分析的范围，这样可以综合考虑运行场景涉及的所有子系统来进行安全分析。另外，基于目标子系统与介入人员之间的关联关系，确定出了运行场景下所有可能的失效模式，并匹配出所有失效模式对应的缓解措施。这样能够为全自动运行系统涉及的运行场景提供更有效、更具体的缓解措施。

基于上述提供的用于全自动运行系统的安全分析的技术方案，本申请实施例提供了一种用于全自动运行系统的安全分析方法及装置。下面对本申请实施例提供的用于全自动运行系统的安全分析方法及装置进行具体说明。

如图1所示，本申请实施例提供了一种用于全自动运行系统的安全分析方法，该用于全自动运行系统的安全分析方法主要包括如下步骤101至103：

101、确定待安全分析的运行场景涉及的目标子系统和介入人员；其中，目标子系统为全自动运行系统中与运行场景相关的子系统；运行场景为与列车运行相关且需要介入人员介入的场景。

全自动运行系统的运行过程涉及到的运行场景众多，为了能够对各运行场景进行有针对的安全分析，则需要确定当前待安全分析的运行场景。确定待安全分析的运行场景的具体过程可以包括如下步骤101A至101B：

101A、解析全自动运行系统的场景文件，获取全自动运行系统涉及的运行场景。

全自动运行系统存在对应的场景文件。场景文件中记录有全自动运行系统涉及的所有运行场景。这里的运行场景均为与列车运行相关且需要介入人员介入的场景。

在获取全自动运行系统涉及的运行场景时，可通过目标接口调取全自动运行系统的场景文件，使用用于提取运行场景标识的正则表达式查询场景文件。将正则表达式查询到的运行场景标识对应的运行场景获取为全自动运行系统涉及的运行场景。

101B、将所获取的运行场景中被选定的运行场景确定为待安全分析的运行场景。

在获取到全自动运行系统涉及的运行场景之后，将所获取的运行场景中被选定的运行场景确定为待安全分析的运行场景。被选定的运行场景的确定方法包括如下两种：

第一种，通过交互界面展示所获取的运行场景对应的运行场景标识。若存在被选中的运行场景标识，则将被选中的运行场景标识对应的运行场景确定为被选定的运行场景。

展示运行场景标识的目的是为了使得安全分析人员能够基于安全分析需求灵活选取待安全分析的运行场景。若存在被选中的运行场景标识，则说明分析人员需要对该被选中的运行场景标识对应的运行场景进行安全分析，因此将被选中的运行场景标识对应的运行场景确定为被选定的运行场景。

第二种，确定所获取的各运行场景的安全分析顺序，以便依照安全分析顺序对各运行场景依次进行安全分析；将当前遍历到的运行场景确定为被选定的运行场景。

考虑到列车的运行安全，需要全面对全自动运行系统涉及的所有的运行场景进行安全分析，因此为了保证所有的运行场景均能够被分析到，因此基于运行场景的安全分析顺序依次对各运行场景进行安全分析。当前遍历到的运行场景即为当前需要安全分析的运行场景，因此将当前遍历到的运行场景确定为被选定的运行场景。

在确定出全自动运行系统中当前待安全分析的运行场景之后，需要确定待安全分析的运行场景涉及的目标子系统和介入人员。确定待安全分析的运行场景涉及的目标子系统和介入人员的具体过程可以包括如下步骤101C至101D：

101C、基于运行场景对应的字段从全自动运行系统的场景文件中，获取运行场景对应的目标数据；其中，目标数据用于描述运行场景中需要介入人员介入的操作以及操作涉及的子系统。

全自动运行系统的场景文件中除了包括有全自动运行系统涉及的运行场景之外，还会记录有每一个运行场景的基本流程。基本流程用于描述对应的运行场景中的异常需要何种介入人员操作何种系统才能排除。因此待安全分析的运行场景涉及的目标子系统和介入人员均可从场景文件中获得。

基于运行场景对应的字段从全自动运行系统的场景文件中，获取运行场景对应的目标数据的具体过程可以为：将目标任务对应的目标字段和关键步骤对应的目标字段确定为运行场景对应的字段。这里的目标任务为需要人为操作的任务。这里的关键步骤为目标任务中需要人为操作的步骤。基于目标任务对应的目标字段构建用于提取目标任务对应的第一数据的第一正则表达式。使用第一正则表达式查询场景文件，得到目标任务对应的第一数据。基于关键步骤对应的目标字段构建用于提取关键步骤对应的第二数据的第二正则表达式。使用第二正则表达式查询第一数据，得到关键步骤对应的第二数据。将第二数据获取为运行场景对应的目标数据。

101D、从目标数据中提取运行场景涉及的目标子系统以及目标子系统关联的介入人员。

目标数据描述了运行场景中需要介入人员介入的操作以及操作涉及的子系统，也就是，目标数据描述了每一个介入人员在何种情况下操作了何种子系统。在目标数据中介入人员与其操作的子系统存在关联关系。

在确定出的目标数据中，通过预设的用于提取目标子系统以及目标子系统的介入人员的正则表达式，从目标数据中提取出运行场景涉及的目标子系统以及目标子系统关联的介入人员。需要说明的是，这里的介入人员具有的角色基于介入人员关联的子系统而定。示例性的，介入人员可包括运营人员、操作人员、值班员、车站人员、调度人员等。

示例性的，如图2所示，图2示出了一个待安全分析的运行场景涉及的目标子系统以及目标子系统关联的介入人员的示意图。图2可以看出，运行场景涉及的目标子系统包括子系统A至E。子系统A至C为主要执行系统。子系统D和E为辅助系统。运行场景涉及的介入人员包括运行人员A、操作人员B以及值班人员C。运行人员A、操作人员B以及值班人员C与子系统A至E之间的关联关系通过箭头在图2中示出。

102、基于所确定的目标子系统和介入人员之间的关联关系，确定运行场景涉及的失效模式；其中，每一个所确定的失效模式均存在对应的介入人员和目标子系统；失效模式用于描述对应的介入人员对关联的目标子系统执行的异常操作。

失效模式用于描述对应的介入人员对其关联的目标子系统执行的异常操作，这些异常操作是由介入人员失效而导致的。人员失效是指人员疏忽、人员意识问题或操作失误导致介入人员对其关联的目标子系统执行了异常操作，从而使得目标子系统出现了影响列车安全运行的问题。这里的异常操作可以包括但限于对目标子系统执行了如下操作：错误确认、未确认、提前确认、延迟确认、错误激活、未激活等。

基于所确定的目标子系统和介入人员之间的关联关系，确定运行场景涉及的失效模式的具体过程可以包括：确定存在关联的目标子系统和介入人员。对于每一对存在关联关系的目标子系统和介入人员：识别介入人员对关联的目标子系统执行的所有可能异常操作；为每一个识别出的可能异常操作生成对应的失效模式。也就是，每一种可能异常操作均会对应产生一个失效模式。

示例性的，介入人员1关联目标子系统A。识别出介入人员1对其关联的目标子系统A执行的可能异常操作包括错误确认、未确认、提前确认、延迟确认。则对应上述的四种异常操作，生成对应的四个失效模式。

103、基于每一个所确定的失效模式匹配的缓解措施，形成针对运行场景的安全分析结果。

为了保证全自动运行系统的运行安全，需要确定出每一个失效模式的缓解措施。这里缓解措施用于描述在对应的失效模式下何种介入人员需要进行何种接入操作才能保证全自动运行系统的运行安全。

缓解措施的具体确定过程可以为：对于每一个所确定的失效模式均执行：查询缓解措施库；将缓解措施库中对应于失效模式的缓解措施确定为与失效模式匹配的缓解措施。

这里查询缓解措施库的具体过程可以为：确定失效模式对应的失效原因。然后基于失效原因查询对应的缓解措施库中是否存在对应于失效原因和失效模式的缓解措施。

若在缓解措施库中查找到失效模式匹配的缓解措施，则将缓解措施添加到针对待安全分析的运行场景的安全分析结果中。若在缓解措施库中未查找到失效模式匹配的缓解措施，则说明缓解措施库中没有能够缓解该失效模式的缓解措施，则发出提示，以使安全分析人员基于该提示为该失效模式设置对应的缓解措施，并将所设置的缓解措施补充至缓解措施库中。

当待安全分析的运行场景涉及的所有失效模式均匹配到缓解措施之后，即形成了针对该运行场景的安全分析结果。该安全分析结果可提供给安全分析的相关责任方，以便相关责任方依据安全分析结果中的缓解措施来处理相关的失效模式。

本申请实施例提供的用于全自动运行系统的安全分析方法，在确定出待安全分析的运行场景后，确定全自动运行系统中与待安全分析的运行场景相关的子系统，这里的运行场景为与列车运行相关且需要介入人员介入的场景。确定待安全分析的运行场景涉及的介入人员。基于所确定的目标子系统和介入人员之间的关联关系，确定运行场景涉及的失效模式。这里的每一个所确定的失效模式均存在对应的介入人员和目标子系统。失效模式用于描述对应的介入人员对关联的目标子系统执行的异常操作。基于每一个所确定的失效模式匹配的缓解措施，形成针对待安全分析的运行场景的安全分析结果。可见，本申请实施例提供的方案中只要是待安全分析的运行场景涉及的子系统，便将其作为目标子系统纳入到安全分析的范围，这样可以综合考虑运行场景涉及的所有子系统来进行安全分析。另外，基于目标子系统与介入人员之间的关联关系，确定出了运行场景下所有可能的失效模式，并匹配出所有失效模式对应的缓解措施。这样能够为全自动运行系统涉及的运行场景提供更有效、更具体的缓解措施。

在本申请一些实施例中，在确定出每一个所确定的失效模式匹配的缓解措施之后，该用于全自动运行系统的安全分析方法还可以包括如下内容：对于每一个所确定的失效模式均执行如下步骤104至107：

104、确定失效模式将会引发的事故对应的严重性等级。

确定失效模式将会引发的事故对应的严重性等级的具体过程为：确定失效模式可能产生的影响，这里的影响用于描述失效模式可引发的直接事件。确定影响将会引发的事故。获取所确定的事故对应的严重性等级。

确定失效模式可能产生的影响的具体过程包括如下两种：一是，展示出失效模式，并提示安全分析人员输入对应的影响；在获取到输入的影响时，将所输入的影响确定为失效模式可能产生的影响。二是，从记录影响的数据库中提取失效模式对应的影响，并将所提取的影响确定为失效模式可能产生的影响。

示例性的，展示出的失效模式为失效模式1，安全分析人员经过判定，该失效模式会导致定位失效，因此将“乘客被夹在站台门与车门之间”对应的字符串作为失效模式1对应的影响进行输入，则将“乘客被夹在站台门与车门之间” 确定为失效模式1可能产生的影响。

确定影响将会引发的事故的具体过程包括如下两种：一是，展示多个事故标识，将被选中的事故标识对应的事故确定为影响将会引发的事故；二是，从记录事故的数据库中提取该影响对应的事故，并将所提取的事故确定为该影响将会引发的事故。

示例性的，针对失效模式1对应的影响展示出如下事故的事故标识：乘客受伤、死亡、列车相撞、脱轨、疏散延迟、火灾。当乘客受伤被选中时，将乘客受伤确定为失效模式1对应的影响将会引发的事故。

在确定出失效模式将会引发的事故之后，通过查询严重性等级表的方式确定失效模式将会引发的事故对应的严重性等级。该严重性等级表格记录有多个严重性等级以及每一个严重性等级对应的事故。

示例性的，严重性等级表中记录了如下四个严重性等级：S1灾难性的、S2重大的、S3次要的、S4无关紧要的。经过查询严重性等级表确定失效模式1将会引发的事故1对应的严重性等级为S3次要的，则将“S3次要的”确定为失效模式1将会引发的事故1对应的严重性等级。

105、基于严重性等级确定事故对应的第一事故频率。

每种事故均有对应的第一事故频率。第一事故频率用于表示对应的事故在单位时间内出现的次数，其能够表示对应的事故出现的频繁程度，其也是衡量全自动运行系统的安全性的一个重要因素。

基于严重性等级确定事故对应的第一事故频率的具体执行过程可以为：通过查询第一事故频率表的方式确定失效模式将会引发的事故的第一事故频率。该第一事故频率表记录有多个第一事故频率以及每一个第一事故频率对应的严重性等级。

示例性，第一事故频率表中记录了如下六个等级对应的第一事故频率：A频繁、B可能、C偶然、D很少、E不可能、F高度不可能。经过查询第一事故频率表，确定失效模式将会引发的事故的第一事故频率为“D很少”对应的频率。

106、基于第一事故频率和风险降级系数，确定采取缓解措施后的第二事故频率。

风险降级系数是基于失效模式匹配的缓解措施而得的系数，其具体的确定过程可以为：通过查询风险降级系数表的方式确定失效模式对应的风险降级系数。该风险降级系数表记录有多个风险降级系数以及每一个风险降级系数对应的缓解措施。

在确定出第一事故频率和风险降级系统之后，可通过如下公式确定采取缓解措施后的第二事故频率：F=f/RRF。其中，F表示采取缓解措施后的第二事故频率；f表示第一事故频率；RRF表示风险降级系数。

107、基于第二事故频率判断采取缓解措施后的剩余风险是否可接受。

基于第二事故频率判断采取缓解措施后的剩余风险是否可接受的具体过程可以为：将第二事故频率与风险接收矩阵比对，其中风险接收矩阵包括多个频率区间以及每一个频率区间对应的接受等级。确定第二事故频率对应的接受等级。若比对所确定的接受等级未达到预设的目标接受等级，则判定采取缓解措施后的剩余风险可接受。若比对所确定的接收等级达到预设的目标接受等级，则判定采取缓解措施后的剩余风险不可接受。

若判定采取缓解措施后的剩余风险可接受，则说明采取缓解措施后，全自动运行系统出现影响列车运行安全的风险在可接受的范围内，则将可接受的判定结果与缓解措施对应的添加至安全分析结果，以使相关责任方能够知晓缓解措施执行后的全自动运行系统的风险情况。

若判定采取缓解措施后的剩余风险不可接受，则说明现有的缓解措施不能达到要求，需要对该缓解措施进行补充或更新，因此针对失效模式发出完善缓解措施的提示。

示例性的，风险接受矩阵中包括有多个频率区间，且这些频率区间具有其各自对应的接受等级，且这些接受等级涉及到如下四个：R1不可容忍的、R2不希望的、R3可容忍的、R4可忽略的。经过判定第二事故频率对应的接受等级为“R2不希望的”。“R2不希望的”达到了预设的目标等级“R2不希望的”，则判定采取缓解措施后的剩余风险不可接受，因此针对失效模式发出完善缓解措施的提示。

在本申请一些实施例中，下面以一个具体的待安全分析的运行场景为例，对本申请实施例提供的用于全自动运行系统的安全分析方法进行具体说明，如图3所示，该用于全自动运行系统的方法具体包括如下步骤201至215：

201、确定待安全分析的运行场景涉及的目标子系统和介入人员。

示例性的，待安全分析的运行场景为列车探测到障碍物场景（无司机值守）。列车探测到障碍物场景为：中心调度员收到全自动运行系统的综合监控子系统报警后通过综合监控工作站联动对应摄像头查看现场障碍物情况。若需要排除该列车探测到障碍物场景涉及的安全隐患，需要派遣车站人员确认障碍物情况，车站人员处置后复位障碍物检测装置后列车才可继续运行。

经过识别，如图4所示，确定运行场景“列车探测到障碍物场景”涉及的全自动运行系统中的目标子系统包括：车辆障碍物探测系统（用于探测轨道上的障碍物）、信号系统（用于检测到障碍物后施加紧急制动），综合监控系统（用于接收障碍物报警信息）、通信系统。确定运行场景“列车探测到障碍物场景”涉及的介入人员包括中心调度员和车站人员。从图4中可以看出，车辆障碍物探测系统和信号系统为主要执行系统。通信系统和综合监控系统为辅助系统。中心调度员和车站人员与上述各目标子系统之间的关联关系通过箭头在图4中示出。

202、基于所确定的目标子系统和介入人员之间的关联关系，确定待安全分析的运行场景涉及的失效模式。

具体为：对于每一对存在关联关系的目标子系统和介入人员：识别介入人员对关联的目标子系统执行的所有可能异常操作；为每一个识别出的可能异常操作生成对应的失效模式。

经过确定，确定出运行场景“列车探测到障碍物场景”涉及到如下几个失效模式：中心调度员未通过综合监控系统的摄像头查看现场情况、未派遣车站人员去现场处理、派遣工作人员处理前未采取合理的措施让列车保持不动、工作人员未正确处置该情况即复位障碍物检测装置。

203、设置所确定的各失效模式对应的安全分析顺序，按照安全分析顺序依次将各失效模式选取为当前失效模式。

204、确定当前失效模式对应的失效原因。

示例性，经过确定，失效模式A“未派遣车站人员去现场处理”的失效原因为人员疏忽。这里失效原因是用于确定当前失效模式对应的缓解措施的重要依据。

205、确定当前失效模式可能产生的影响。

示例性的，经过确定，失效模式A可能产生的影响为“障碍物未得到处理”。这里的影响是用于确定当前失效模式将会引发的事故的重要依据。

206、基于当前失效模式可能产生的影响，确定当前失效模式将会引发的事故。

示例性的，经过确定，失效模式A可能产生的影响为“障碍物未得到处理”，则确定失效模式A将会引发的事故为“列车撞击障碍物”。

207、确定当前失效模式匹配的缓解措施。

具体为，对于当前失效模式：查询缓解措施库；将缓解措施库中对应于失效模式的缓解措施确定为当前失效模式匹配的缓解措施。

示例性的，经过查询缓解措施库，为失效模式A确定的缓解措施为：1）收到综合监控系统障碍物报警后，中心调度员应立即查看相关区域的摄像头并及时激活列车附近的防护区域，确保列车保持不动，激活此区间的人员防护开关，安排工作人员进入现场处理。2）当工作人员进入区间处理障碍物报警时，运营人员应确保所有的人员、工具或障碍物已出清线路，才能复位障碍物检测设备，避免人员、工具或障碍物遗留在轨道区域。3）若障碍物探测装置无法恢复，应采取适当的防护措施让列车低速运行至下一站清客。

208、确定当前失效模式将会引发的事故对应的严重性等级。

在确定出当前失效模式将会引发的事故之后，通过查询严重性等级表的方式确定当前失效模式将会引发的事故对应的严重性等级。该严重性等级表格记录有多个严重性等级以及每一个严重性等级对应的事故。严重性等级表中各严重性等级的定义如表-1所示，需要说明的是，各严重性等级的定义可以为用户自定义的，也可以是EN50126标准定义的。

表-1

示例性的，失效模式A为“障碍物未得到处理”，其属于障碍物处理不当，最严重情况下可能造成列车脱轨，进而导致多人死亡，因此确定失效模式A将会引发的事故对应的严重性等级为“S1”。

209、基于严重性等级确定事故对应的第一事故频率。

示例性的，可通过表-2来确定事故对应的第一事故频率。由于考虑到列车在每天运营前均会低速巡道，因此失效模式A将会引发的事故“列车撞击障碍物”发生的概率极低，因此通过表-2确定事故“列车撞击障碍物”对应的第一事故频率为表-2中D等级对应的参考频率。

表-2

210、基于第一事故频率和风险降级系数，确定采取缓解措施后的第二事故频率；其中，风险降级系数是基于当前失效模式匹配的缓解措施而得的系数。

在确定采取缓解措施后的额第二事故频率时，首先需要确定出风险降级系数。该风险降级系数可通过表-3来确定。

表-3

经过确定，由于考虑到对车站人员培训后，可以规范车站人员的操作行为，因此基于当前失效模式匹配的缓解措施而得的风险降级系数得到d级，即RRF=10³。

在确定出当前失效模式的风险降级系数之后，可通过如下公式确定采取缓解措施后的第二事故频率：F=f/RRF。其中，F表示采取缓解措施后的第二事故频率；f表示第一事故频率；RRF表示风险降级系数。示例性的，经过上述公式的计算，第二事故频率为表-2中E等级对应的参考频率。

211、基于第二事故频率判断采取缓解措施后的剩余风险是否可接受；若判定采取缓解措施后的剩余风险可接受，执行步骤212； 若判定采取缓解措施后的剩余风险不可接受，执行步骤213。

在确定出当前失效模式的第二事故频率之后，将第二事故频率与风险接受矩阵比对。确定第二事故频率在风险接受矩阵中对应的接受等级。如表-4，表-4为风险接受矩阵。

表-4

示例性的，失效模式A将会引发的事故对应的严重性等级为“S1”，第二频率为表-2中E等级对应的参考频率。通过表-4判定，采取缓解措施后的剩余风险的接受等级为“不希望的”。

经过比对，判定所确定的接受等级“不希望的”达到预设的目标接受等级“不希望的”，则判定采取缓解措施后的剩余风险不可接受。

212、将可接受的判定结果与缓解措施对应的添加至安全分析结果，并执行步骤214。

若判定采取缓解措施后的剩余风险可接受，则说明采取缓解措施后，全自动运行系统出现影响列车运行安全的风险在可接受的范围内，则将可接受的判定结果与缓解措施对应的添加至安全分析结果，以使相关责任方能够知晓缓解措施执行后的全自动运行系统的风险情况。

213、针对当前失效模式发出完善缓解措施的提示。

若判定采取缓解措施后的剩余风险不可接受，则说明现有的缓解措施不能达到要求，需要对该缓解措施进行补充或更新，因此针对失效模式发出完善缓解措施的提示。

214、判断当前失效模式是否为最后一个失效模式；若否，继续执行步骤203；若是，执行215。

215、整合各失效模式的安全分析结果。

将安全分析结果整合成册，以使相关责任方能够查看相应的缓解措施，并基于缓解措施进行相关的处理。

进一步的，依据上述方法实施例，本申请的另一个实施例还提供了一种用于全自动运行系统的安全分析装置，如图5所示，该用于全自动运行系统的安全分析装置包括：

第一确定模块31，用于确定待安全分析的运行场景涉及的目标子系统和介入人员；其中，所述目标子系统为全自动运行系统中与所述运行场景相关的子系统；所述运行场景为与列车运行相关且需要介入人员介入的场景；

第二确定模块32，用于基于所确定的目标子系统和介入人员之间的关联关系，确定所述运行场景涉及的失效模式；其中，每一个所确定的失效模式均存在对应的介入人员和目标子系统；所述失效模式用于描述对应的介入人员对关联的目标子系统执行的异常操作；

获取模块33，用于基于每一个所确定的失效模式匹配的缓解措施，获得针对所述运行场景的安全分析结果。

本申请实施例提供的用于全自动运行系统的安全分析装置，在确定出待安全分析的运行场景后，确定全自动运行系统中与待安全分析的运行场景相关的子系统，这里的运行场景为与列车运行相关且需要介入人员介入的场景。确定待安全分析的运行场景涉及的介入人员。基于所确定的目标子系统和介入人员之间的关联关系，确定运行场景涉及的失效模式。这里的每一个所确定的失效模式均存在对应的介入人员和目标子系统。失效模式用于描述对应的介入人员对关联的目标子系统执行的异常操作。基于每一个所确定的失效模式匹配的缓解措施，形成针对待安全分析的运行场景的安全分析结果。可见，本申请实施例提供的方案中只要是待安全分析的运行场景涉及的子系统，便将其作为目标子系统纳入到安全分析的范围，这样可以综合考虑运行场景涉及的所有子系统来进行安全分析。另外，基于目标子系统与介入人员之间的关联关系，确定出了运行场景下所有可能的失效模式，并匹配出所有失效模式对应的缓解措施。这样能够为全自动运行系统涉及的运行场景提供更有效、更具体的缓解措施。

在本申请一些实施例中，如图6所示，该用于全自动运行系统的安全分析装置还包括：

判断模块34，用于对于每一个所确定的失效模式：确定所述失效模式将会引发的事故对应的严重性等级；基于所述严重性等级确定所述事故对应的第一事故频率；基于所述第一事故频率和风险降级系数，确定采取缓解措施后的第二事故频率；基于所述第二事故频率判断采取缓解措施后的剩余风险是否可接受；其中，所述风险降级系数是基于所述失效模式匹配的缓解措施而得的系数。

在本申请一些实施例中，如图6所示，判断模块34，还用于若判定采取缓解措施后的剩余风险不可接受，则针对所述失效模式发出完善缓解措施的提示；若判定采取缓解措施后的剩余风险可接受，则将可接受的判定结果与所述缓解措施对应的添加至所述安全分析结果。

在本申请一些实施例中，如图6所示，第一确定模块31，具体用于基于所述运行场景对应的字段从所述全自动运行系统的场景文件中，获取所述运行场景对应的目标数据；其中，所述目标数据用于描述所述运行场景中需要介入人员介入的操作以及操作涉及的子系统；从所述目标数据中提取所述运行场景涉及的目标子系统以及目标子系统关联的介入人员。

在本申请一些实施例中，如图6所示，第二确定模块32，具体用于对于每一对存在关联关系的目标子系统和介入人员：识别介入人员对关联的目标子系统执行的所有可能异常操作；为每一个识别出的可能异常操作生成对应的失效模式。

在本申请一些实施例中，如图6所示，该用于全自动运行系统的安全分析装置还包括：

第三确定模块35，用于解析所述全自动运行系统的场景文件，获取所述全自动运行系统涉及的运行场景；将所获取的运行场景中被选定的运行场景确定为待安全分析的运行场景。

在本申请一些实施例中，如图6所示，该用于全自动运行系统的安全分析装置还包括：

第四确定模块36，用于对于每一个所确定的失效模式：查询缓解措施库；将所述缓解措施库中对应于所述失效模式的缓解措施确定为所述失效模式匹配的缓解措施。

本申请实施例提供的用于全自动运行系统的安全分析装置中，各个功能模块运行过程中所采用的方法详解可以参见上述用于全自动运行系统的安全分析方法实施例的对应方法详解，在此不再赘述。

进一步的，本申请的一个实施例还提供了一种计算机可读存储介质，所述存储介质包括存储的程序，其中，在所述程序运行时控制所述存储介质所在设备执行上述的用于全自动运行系统的安全分析方法。

进一步的，本申请的一个实施例还提供了一种电子设备，所述电子设备包括：存储器，用于存储程序；处理器，耦合至所述存储器，用于运行所述程序以执行上述的用于全自动运行系统的安全分析方法。

在上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详述的部分，可以参见其他实施例的相关描述。

可以理解的是，上述方法及装置中的相关特征可以相互参考。另外，上述实施例中的“第一”、“第二”等是用于区分各实施例，而并不代表各实施例的优劣。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统，装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

在此提供的算法和显示不与任何特定计算机、虚拟系统或者其它设备固有相关。各种通用系统也可以与基于在此的示教一起使用。根据上面的描述，构造这类系统所要求的结构是显而易见的。此外，本申请也不针对任何特定编程语言。应当明白，可以利用各种编程语言实现在此描述的本申请的内容，并且上面对特定语言所做的描述是为了披露本申请的优选实施方式。

此外，存储器可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)，存储器包括至少一个存储芯片。

本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质（包括但不限于磁盘存储器、CD-ROM、光学存储器等）上实施的计算机程序产品的形式。

本申请是参照根据本申请实施例的方法、设备（系统）、和计算机程序产品的流程图和／或方框图来描述的。应理解可由计算机程序指令实现流程图和／或方框图中的每一流程和／或方框、以及流程图和／或方框图中的流程和／或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据割接设备的处理器以产生一个机器，使得通过计算机或其他可编程数据割接设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和／或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据割接设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和／或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据割接设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和／或方框图一个方框或多个方框中指定的功能的步骤。

在一个典型的配置中，计算设备包括一个或多个处理器 (CPU)、输入/输出接口、网络接口和内存。

存储器可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)。存储器是计算机可读介质的示例。

计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存 (PRAM)、静态随机存取存储器 (SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器 (RAM)、只读存储器 (ROM)、电可擦除可编程只读存储器 (EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘 (DVD) 或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。

还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括要素的过程、方法、商品或者设备中还存在另外的相同要素。

本领域技术人员应明白，本申请的实施例可提供为方法、系统或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质（包括但不限于磁盘存储器、CD-ROM、光学存储器等）上实施的计算机程序产品的形式。

以上仅为本申请的实施例而已，并不用于限制本申请。对于本领域技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本申请的权利要求范围之内。

Claims (8)

1.一种用于全自动运行系统的安全分析方法，其特征在于，所述方法包括：

确定待安全分析的运行场景涉及的目标子系统和介入人员；其中，所述目标子系统为全自动运行系统中与所述运行场景相关的子系统；所述运行场景为与列车运行相关且需要介入人员介入的场景；

基于所确定的目标子系统和介入人员之间的关联关系，确定所述运行场景涉及的失效模式；其中，每一个所确定的失效模式均存在对应的介入人员和目标子系统；所述失效模式用于描述对应的介入人员对关联的目标子系统执行的异常操作；

基于每一个所确定的失效模式匹配的缓解措施，形成针对所述运行场景的安全分析结果；

确定待安全分析的运行场景涉及的目标子系统和介入人员，包括：基于所述运行场景对应的字段从所述全自动运行系统的场景文件中，获取所述运行场景对应的目标数据；其中，所述目标数据用于描述所述运行场景中需要介入人员介入的操作以及操作涉及的子系统；从所述目标数据中提取所述运行场景涉及的目标子系统以及目标子系统关联的介入人员；

所述方法还包括：解析所述全自动运行系统的场景文件，获取所述全自动运行系统涉及的运行场景；将所获取的运行场景中被选定的运行场景确定为待安全分析的运行场景。

2.根据权利要求1所述的方法，其特征在于，在确定出每一个所确定的失效模式匹配的缓解措施之后，所述方法还包括：

对于每一个所确定的失效模式：确定所述失效模式将会引发的事故对应的严重性等级；基于所述严重性等级确定所述事故对应的第一事故频率；基于所述第一事故频率和风险降级系数，确定采取缓解措施后的第二事故频率；基于所述第二事故频率判断采取缓解措施后的剩余风险是否可接受；其中，所述风险降级系数是基于所述失效模式匹配的缓解措施而得的系数。

3.根据权利要求2所述的方法，其特征在于，所述方法还包括：

若判定采取缓解措施后的剩余风险不可接受，则针对所述失效模式发出完善缓解措施的提示；

若判定采取缓解措施后的剩余风险可接受，则将可接受的判定结果与所述缓解措施对应的风险情况添加至所述安全分析结果；其中，所述风险情况为解措施执行后的全自动运行系统的风险情况。

4.根据权利要求1所述的方法，其特征在于，基于所确定的目标子系统和介入人员之间的关联关系，确定所述运行场景涉及的失效模式，包括：

对于每一对存在关联关系的目标子系统和介入人员：识别介入人员对关联的目标子系统执行的所有可能异常操作；为每一个识别出的可能异常操作生成对应的失效模式。

5.根据权利要求1-4中任一项所述的方法，其特征在于，所述方法还包括：

对于每一个所确定的失效模式：查询缓解措施库；将所述缓解措施库中对应于所述失效模式的缓解措施确定为所述失效模式匹配的缓解措施。

6.一种用于全自动运行系统的安全分析装置，其特征在于，所述装置包括：

第一确定模块，用于确定待安全分析的运行场景涉及的目标子系统和介入人员；其中，所述目标子系统为全自动运行系统中与所述运行场景相关的子系统；所述运行场景为与列车运行相关且需要介入人员介入的场景；

第二确定模块，用于基于所确定的目标子系统和介入人员之间的关联关系，确定所述运行场景涉及的失效模式；其中，每一个所确定的失效模式均存在对应的介入人员和目标子系统；所述失效模式用于描述对应的介入人员对关联的目标子系统执行的异常操作；

获取模块，用于基于每一个所确定的失效模式匹配的缓解措施，获得针对所述运行场景的安全分析结果；

第一确定模块，具体用于基于所述运行场景对应的字段从所述全自动运行系统的场景文件中，获取所述运行场景对应的目标数据；其中，所述目标数据用于描述所述运行场景中需要介入人员介入的操作以及操作涉及的子系统；从所述目标数据中提取所述运行场景涉及的目标子系统以及目标子系统关联的介入人员；

所述装置还包括：第三确定模块，用于解析所述全自动运行系统的场景文件，获取所述全自动运行系统涉及的运行场景；将所获取的运行场景中被选定的运行场景确定为待安全分析的运行场景。

7.一种计算机可读存储介质，其特征在于，所述存储介质包括存储的程序，其中，在所述程序运行时控制所述存储介质所在设备执行权利要求1至权利要求5中任意一项所述的用于全自动运行系统的安全分析方法。

8.一种电子设备，其特征在于，所述电子设备包括：

存储器，用于存储程序；

处理器，耦合至所述存储器，用于运行所述程序以执行权利要求1至权利要求5中任意一项所述的用于全自动运行系统的安全分析方法。

Images