基于故障树分析地铁反恐体系中的人为因素
谭 坤，虞乔木
（中国人民公安大学管理学院，北京 100038)
摘要： 人员作为影响轨道交通安全四要素之一，人为因素往往导致操作失误，增加系统风险。将系统安全分析中的故障树分析理论引入地铁公共安全研究，分析在地铁反恐体系过程中，人为因素在恐怖袭击事件中的致因关系。并通过定性分析，提出人为因素应对策略。
关键词： 故障树；地铁；反恐；人为因素
1 概述
地铁恐怖袭击事件的影响具有全局性与连续性，是公共安全部门研究的重点[1]。此外，地铁日益成为城市的文明符号与区域文化风向标，这种标志性地位使得地铁系统在诸多“软目标”中更容易成为恐怖主义选中的目标。据统计，自2010 年以来，在恐怖袭击的目标中，地铁等交通枢纽占比高达约30%[2]。且由于公共交通人员密集、场所封闭，一旦发生恐怖袭击，极易造成严重后果。
表1 近10年来地铁站恐怖袭击事件汇总
Tab.1 Summary for terrorist attacks at subway station in ten years
从防御者角度而言，地铁的恐怖袭击风险防范策略有主动出击策略（proactive）和构筑防御措施（defensive）两种策略[3]。基于“敌暗我明”的大背景，对于地铁防御者而言，构筑防御措施是主要的策略选择。在地铁防御的“人-机-环境系统”中，信息感知、收集、分析、决策、反馈过程中，人的作用最为突出。系统中的“人”是指作为地铁工作主体的人，包含地铁安检员、质检员乃至地铁乘务员与管理人员。有学者指出，80%左右的事故是由于人为因素导致，人员操作失误增加了系统风险[4]。如表1 所示，近十年来多起恐怖袭击事件，多次与地铁运人员失误相关。城市地铁立体防控反恐体系，作为一个复杂系统，极可能因人为因素导致的一个或是多个子系统失灵，超过系统安全冗余设计上限，最终无法成功预警应对恐袭事件。因此本文选择故障树等系统论分析方法，分析地铁反恐体系中的人为因素，为采取相应的措施提供理论依据。
2 故障树基本理论与构建
2.1 故障树分析简介
故障树分析又称事故树分析，是由Watson 与Haasl 基于导弹系统控制质量研究而提出，并逐步运用于航天、化工等系统工程分析工具。故障树通过图形演绎方式，将系统内故障事件逻辑性展现出来，直观性强，便于分析。通过将逻辑关系转化为逻辑树图，兼顾系统工程的定性分析与定量分析[5]。
故障树分析大致可以划分为5 个步骤：第一，定义研究对象。不同的研究对象适用于不同的方法论，因此第一步应明确研究对象，并分析研究对象是否适应于故障树分析法。在地铁反恐体系体系中，可大体划分“人-设备-环境”等几个维度，因此确定系统中人为因素重要度，是提高系统安全性的前提；第二，分析研究对象。在绘制故障树前，对系统故障成因及其发生机率进行分析，梳理系统因果关系逻辑，将影响系统因素进行罗列，避免遗漏故障成因。第三，绘制故障树。在对研究对象分析后，通过事件符号、逻辑门符号和转移符号描述研究对象，绘制成故障树图。第四，评估故障树。通过对故障树定量的处理，估算整个系统的故障率，求得基本事件的概率，将定性分析与定量分析相结合。第五，完善系统故障应对措施。分析故障树的最小割集与最小径集，采取应对措施，提高地铁反恐体系的可靠性[6]。
2.2 故障树模型分析
本文以“恐怖袭击事件”为顶事件向下展开构建故障树。根据各个职能部门具体职能，可以将各职能部门构成反恐策略确定、预测分析反恐事件、恐怖袭击事件减少策略和反馈4 个阶段。根据Wickens 提出的信息加工模型，该模型认为，地铁工作人员主要承担4 个类型任务：操作型、通讯型、记录型和监视型任务，如图1 所示。
图1 信息加工模型示意图[7]
Fig.1 schematic diagram for information machining model
操作型任务主要指对安检设备的操作与控制，对地铁线路与地铁站台的检修与维护，对地铁车辆与车辆基地管理，对供电系统操作等。确保地铁系统的照明、通风、排气、通信、信号等基础职能，是地铁正常运转的前提。
通讯型任务主要是通过地铁交通信号系统、地铁通讯系统（ATC）、无线集群系统、广播系统、专用电话与CCTV（闭路电视）系统，将地铁管理部门与各运营控制部门联系起来，确保反恐情报传输通讯。
记录型任务主要指对地铁内安保人员、操控人员、调度人员等的安检操作记录、调度指令与其他安全指令的完整存储。通过对相关操作与数据的几率，可以为各级管理人员提供准确、及时的分析数据，在应对反恐等紧急情况时，可以第一时间有章可循，提高应对效率。
监视型任务，主要是通过对综合监控系统（ISCS）系统，集成地铁主要情报获取系统，形成统一的监控层硬件与软件平台，实现对地铁反恐情报集中监控、传输与管理功能，并协调其他相关系统，如火灾自动报警系统（FAS），屏蔽门系统（PSD）等，有效的监管地铁系统运转状况，成为反恐系统神经中枢。
3 故障树模型建立
3.1 确立人为影响因素的基本事件
5）时间限制。在地铁反恐任务中，通讯任务的时长及频率需清晰而明确以及稳定。未在规定时间内完成情报反馈，或者故意积压情报故不上报，导致决策者未能掌握一线情况。
因此，针对地铁反恐体系中的人为因素基本事件进行计算排序，得：
2）程序规程认识错误。在培训或工作过程中，并未掌握系统运行的规律，系统程序错误导致系统运行死机，或是造成事故。通常是在程序运转过程中，人为的漏掉处理步骤或漏掉程序的前提条件，导致系统异常或对程序优先级认定错误状态。
4）决策错误。地铁反恐决策时未能及时掌握反馈的相关情报信息，对决策情况掌握缺调查研究和论证。或缺乏科学的决策方法，凭个人的主观臆断。
3）诊断错误。在流程过程中，对是否属于恐怖袭击行为的诊断、是否进入反恐应急预案、是否紧急疏散方案优先级高于封锁地铁系统防止恐怖袭击扩散等诊断过程，诊断出现程序性错误。
人为因素是一门涉及心理学、生理学、人体测量学、工程学、医学、社会学和统计学等学科的边缘科学[8]。通过对专家访谈和对相关资料查询，将人为影响因素分为以下12 个方面。
建国初期，化肥企业主要享有购销差价和经营亏损补贴。改革开放后，政府对化肥一度实施统购和直接奖励政策，后又由实物补贴转为现金补贴。[1]为了扶持农业发展，我国很长一段时间都对化肥进行了限价管理。2009年国家发改委将国产化肥出厂价格改为市场调节价(发改价格〔2009〕268号)，至此化肥限价政策彻底退出了历史舞台。在对化肥进行限价管理的同时，为了鼓励化肥产业发展，国家在化肥的生产、流通等环节都给予了相关企业大量的财政优惠政策，这些优惠主要是以隐性补贴的方式存在。
6）自信过度。调度任务或日常通讯任务中，由于自身疏忽或过于自信，认为通讯内容已被掌握或记录，从而未发出通讯信息。或在临时通讯任务时，由于过度自信，忽视了口头通讯或临时性通讯指令的歧义性。
7）认识方式错误。在反恐情报收集、汇总与处理过程中，认知方式存在个体差异的影响，如“熟虑——冲动”认知模式中，冲动认知模式中，对反恐情报不敏感，行为参考依据失常，导致行动出现偏差。
8）记忆错误。工作人员连续工作或精神状态不佳时，易出现对信息记忆出现误差。并且错误记忆影响到行为，做出错误的调度命令、决策指令等。
9）辨识错误。纪录型任务过程中，对情报汇总分类、对反恐危险源分类判断过程中，出现归类错误，降低了情报质量，增加了情报研判难度。
10）观察错误。在地铁反恐的监视型任务过程中，未能正确监视路线监控器，对地铁列车位置与地铁站运转情况等信息观察错误，从而导致情报出现偏差。
11）注意力不集中。因注意力不集中导致地铁异常情况未能第一时间发现、处理、反馈，无法判断突发事件发展形势以制定合理策略。
本文的数据来源于长春市公安局现场勘查系统2014—2016年各类刑事案件立案数据统计。通过数据统计，结合长春市各区人口构成、经济发展情况及地理位置等因素分析出入室盗窃案件案发的高峰时段、高发月份及高发区域等发案规律，并结合犯罪学相关理论尝试解释入室盗窃发案规律形成的原因，提出针对长春市入室盗窃案件治理的对策与策略。
在地铁人为因素故障树基本事件集合N 中，存在合集Z，合集Z={X1，X2……Xj}，j ∈[1，10]，当缺少集合Z 中事件，则顶层事件T 不会发生。同时不发生就能防止顶上事件发生的最低数量基本事件组成的集合Z，称为最小径集。集合Z 可以视作顶级事件T 的阈值，若Z 未符合则T 一定不会发生。如集合Z 中元素较少，则可以视为事件T 阈值较高，在控制较少基本事件前提下则可以确保地铁系统安全。如集合Z 中元素较多，则事件T 阈值较低，需在兼顾众多基本事件都不发生前提，才可以确保地铁系统安全性。根据布尔代数法则，最小径集与最小割集具有对偶性，满足：
3.2 模型构建
根据上述分析，构建模型如图2、表2 所示。
4 故障树定性分析
4.1 最小割集
在地铁恐怖袭击事件人为因素故障树中，共有基本事件11 件。设N 为人为因素故障树基本事件合集，N={X1,X2,X3,X4……X10}。在集合N 中，存在集合M，集合M={X1,X2……Xi}，i ∈[1,10]，若集合M 中事件都发生时，则顶事件T 一定发生，则成集合M 为最小割集。最小割集M 内基本事件越多，则代表需要众多人为因素作用下，作为顶事件的恐袭事件才会发生，系统安全度较高。最小割集M 内基本事件越少，则也说明了系统容错率较低，系统安全度较低。
图2 地铁恐怖袭击事件人为因素故障树
Fig.2 human factors fault treeumination
表2 事件代号与事件名称
Tab.2 Event code and event name
求最小割集的方法主要有两种，上行法与下行法。本文则采取上行法，求系统最小割集。根据上行法集合运算法则，基本事件表达式为：
上一级基本事件表达式为：
顶事件为：
求得系统共8 个最小割集，分别为：{X1,X4,X7, X8,X9},{X1,X5,X6,X7,X8,X9},{X2,X3,X4,X7,X8,X9},{X2,X5,X6, X7,X8,X9},{X1,X4,X7,X8,X10},{X1,X5,X6,X7,X8,X10}, {X2,X3,X4,X7,X8,X10},{X2,X5,X6,X7,X8,X10}。
企业的发展离不开高效管理的方法，因此将柔性管理应用在企业的经济管理中，是一种必然的趋势。在社会发展的过程中，企业的柔性可以从员工的柔性中体现出来，企业传统的经济管理模式存在一定的弊端，尤其是垂直型的管理模式，容易导致部门之间因为信息不畅而出现工作失误等问题。当企业逐渐认识到传统经济管理模式存在的问题，就会开始考虑采用柔性管理的方法，逐渐建立一个网络型的组织结构，去掉企业中多余的组织成分，将经济管理的步骤简单化，可以进一步提高企业工作的效率，保证信息传递的准确性，提高企业高效决策的能力。在柔性管理的过程中，企业的整体反应灵敏度也会提高，促进部门之间的协作，为企业的健康发展提供保障。
4.2 最小径集
12）推理错误。监控地铁安全运营情况中，受限于有限监控信息或缺乏相关经验时，对可疑行为推理认定为正常行为，忽视了危险源。
即将事故故障树转化为事故成功树，求解成功树下的最小割集，则可求得故障树的最小径集。
由此可得，系统的成功树共7 项最小割集，根据布尔代数法对偶变换后，求得系统最小径集为：{X1,X2}，{X1,X3}，{X4,X5}，{X4,X6}，{X7}，{X8}，{X9,X10}。
事故成功树的基本表达式为：
4.3 故障树结构重要度
在其他基本事件状态保持不变时，当一基本事件（Xi）的发生导致顶事件（T）的发生时，说明了基本事件（Xi）对顶事件（T）的状态有影响，因此该基本事件对系统可靠性和安全性评估方面影响越大，重要性越强。
合集N 中，共有基本事件10 个，每个基本事件共有两个状态：发生（状态0）；不发生（状态1）。在确定了某一事件（Xi）后，当Xi 状态由0 变成1 后，顶事件状态由0 变成1，则存在：
直观的数据一览表。实时显示当日门诊挂号接诊信息（当前挂号数、接诊人数、叫号人数），能统计分析并以图表形式直观展现。支持用户自主选择查询时间段来统计分析出门诊各科室各号别的挂号数，并以图表形式展现。支持手术通知推送、合理用药信息推送、会诊信息等推送。领导可查询查看门诊就诊人数、病房住院数、手术台数等（见图3）。
教师激励机制还需进一步体现科技成果转化分量 目前，江苏师范大学科技成果的应用转化，主要影响因素包括以论文及科研项目为核心的晋升机制、相应的一些奖励机制和考核机制。关于学校的激励机制，主要是以论文及科研项目为核心的一系列晋升与奖励机制，在这其中最为主要的是所重视的并非应用性，而更多重视的是科技成果的学术性。正是由于这种激励方式，最终导致的结果就是一旦有成果，大家都重视发表论文，而不是进行实际的推广以及相应的一系列应用。这就使得科技资源没有得到有效利用，同时科技成果也会流失。此外，激励对象没有重视那些科研管理人员。
在210-1个事件组合中，符合上式的事件组合占总事件组合的比例大小，则称之为该事件的结构重要系数。因此，结构重要系数用
公式表示为：
随着大型零部件的机器人自动抛光、打磨和装配需求的日益增大，作业工具或待装配工件的质量越来越大，传统力控末端执行器输出力已难以满足使用要求，因此机器人力控末端执行器势必向重载化方向发展，即大输出力和大工作范围。
从图1可以看出：河道两侧的两块绿地分别被划分为多个不规则小三角形块。小三角形块的划分是由指定区域的形状规则程度所决定。整体计算边界为规则的矩形时，三角网呈现出比较一致的小三角形块；而计算边界形状极为不规则时，三角网则由差异较大的不同形状、不同大小三角形组成。
1）认知偏好。对地铁中控制系统进行操作过程中，对客观环境与情报的认知过程中，存在偏好。如在面对可能的恐怖袭击风险时，风险规避行为的偏好影响防御水平，并最终影响在对地铁安防系统操控。
4.4 故障树顶事件概率计算
在故障树明确后，通过收集、分析与明确基本事件发生概率后，可计算得到顶事件发生概率。但基于人为因素的地铁安全反恐的数据库尚未建立，基本事件的发生概率主要取决于相关经验估计。结合系统安全实际，采用事件频率代替事件概率，计算系统安全性。通过专家访谈，综合公安学教授、地铁管理人员、地铁安检人员的相关打分，统计得数据如表3 所示。
为此，在上述零件配套最优生产问题中，可设第i类生产设备在一个工作日内用于生产第j种零件的时间为xij(i=1,2,…,n;j=1,2,…,m,下同),则对每一类生产设备，被分配用于生产全部零件的时间总和必为1(即一个工作日)，于是有约束条件:
表3 基本事件发生概率统计表
Tab.3 Statistical table for occurrence probability of basic event
当得到事故树最小割集和，顶事件概率Q 公式为：
公式（9）中，i 为基本事件编号树，i ∈[1，10]；Xi∈ki，是指基本事件Xi 属于第j 个最小割集；j、s 是指最小割集序数；k 是最小割集的个数；Xi∈kj∪ks，指事件Xi 属于第j 个最小割集，或者属于第s 个最小割集。s 的取值范围满足：1 ≤j ＜s ≤k-j。
网站的动态性、安全性和强大的数据分析功能等都增加了网站操作的复杂性，老师在一定时间内很难适应这种新的授课模式，如果操作不顺利反而影响教学进度，部分老师因操作不下去而放弃使用，这使得网站教学平台的推广举步维艰。
顶事件概率Q简化为：
证明 因为G中不含4-圈或弦6-圈,所以3-面不能与3-面、4-面、5-面相邻,故3-面只能与6+-面相邻。
Q=F1-F2+F3…+(-1)k-1Fk
由于F1＞＞F2＞＞F3＞＞…Fk，因此将上式简化为：
则顶上事件发生概率为：
5 基于故障树的人为因素应对策略
观察基本事件重要性排序可得，事件X7、X8 在基本事件合集N 中最为重要，事件X1、X4重要性次之，事件X2、X3、X5、X6、X9、X10重要性最低。其中，基本事件重要性X7、X8说明了认识方式偏差与记忆错误等人为因素对地铁反恐体系影响大。在影响地铁反恐安全体系的人为因素基本事件中，认知方式偏差等基本事件较大的影响力，证明了如果主观领域的方法论出现问题，行为参考依据失常，会造成反恐体系出现极大漏洞。记忆错误则难以及时发现偏差并纠正，往往是在错误记忆或记录造成负面效应时，才意识到记忆错误，因此对系统可靠性影响极大。事件X1、X4重要性居中，X1代表认知偏好，X4代表自信过度，这组事件说明了主观偏好对系统安全性影响一般。当主观偏好作用到系统人员行为时，影响其到对当前情境判断，最终在方案的选择与实施中，存在强烈的主观偏好。事件X2、X3、X5、X6、X9、X10在事件集合中的重要性较低，这些事件较多的都是操作失误或者违反操作手册的行为，基于系统自身安全冗余设计，此类事件对系统安全性影响较小。通过加强技术培训与安全教育，提高操作人员的素质与安全意识，此类事件重要性会不断减小。
通过分析顶事件概率，事件X7、X8对顶事件概率影响最大，敏感性较强，是事故树中关键基本事件。事件X1、X4对顶事件概率影响也较大，当通过反恐专项演练培训、提高情报研判水平等，可有效的降低认知偏好失误概率。若将认知偏好概率降低一个数量级，即将事件X1与X4的概率由10-2有效的降低到10-3，恐怖主义成功袭击地铁的概率为由7.9×10-9/h 降低为4.7×10-9/h，系统安全度可以提高40.5%。
“这不是真正的地球，只是一个实验基地。我们都是实验品，我们的生活圈都是规划好的，有的人在我们的世界里扮演了好几个角色，这就是为什么我们总感觉某个陌生人很面熟的原因。我们就是一群被监视的小丑……
6 结论
已知恐怖主义成功袭击地铁的概率为7.9× 10-9/h，即系统工作时长达109 h 后，则可以成功实施8 次恐怖袭击事件。以北京市地铁公交系统为例进行计算，地铁系统每日工作运营约20 h，在职员工15 000 名，一年工作时长约1.09×109 h，则北京地铁每年约1 起恐袭事件能够成功实施。因此，当前人为因素对反恐体系影响的处于较低的水平。但地铁系统承载客流量日益增多，封闭地下系统应对风险的能力与危机后的恢复能力差，仍应坚持最高标准应对暴恐危机。
水库盈亏状况取决于收入与支出之比，如果收支比大于1，说明水库盈利，反之则为亏损。可以看出，浙江省大中型水库收入成本比平均为101.5%，其中：丽水市最高，为232.3%；其次为温州市，为100.6%；最低的是绍兴市，为43.52%。总体上看，丽水市水库能维持日常正常运转，温州市水库基本能维持日常正常运转，而绍兴等地市水库如果没有政府补贴，则难以维持日常正常运转。从调查的具体水库来看，盈利的水库仅有14个，占31.1%，亏损的水库有31个，占68.9%，这说明大多数水库靠自身收入难以维持日常正常运转。
在加强地铁安全管理制度等宏观和理论方向开展研究，完善地铁反恐体系的物防技防系统的同时。通过系统故障树理论，识别对系统安全性和危险性影响较大基本事件，认识方式偏差与记忆错误等人为因素，从而针对性的实现事故的预测与预防，寻求解决地铁恐怖袭击事件的最佳途径。故障树结构重要度也证明了除完善管理体制外，地铁安保人员仍应解决思想认识缺乏危机意识、反恐专业知识掌握不熟练、情报贡献与研判深度不够等人为因素对地铁整体安全性仍有一定程度影响，为管理人员指出了改进地铁安全系统的可能性与消除隐患的入手处。
参考文献
[1]陈文彪.地铁反恐应急处置[M].北京：中国人民公安大学出版社，2017.
[2]倪春乐.城市地铁系统恐怖爆炸立体化防控研究[J].中国刑警学院学报，2017（6）：84-91.
Ni Chunle.Study on Three-dimensional Prevention and Control of Terrorist Explosion in Urban Subway System[J].Journal of China Criminal Police College，2017（6）：84-91.
[3]Schneider F，Brück T，Meierrieks D.The Economics of Counterterrorism：A Survey[J].Journal of Economic Surveys，2015，29（1）：131-157.
[4]陆军.影响海上交通安全的船员因素分析与评价[D].上海：上海海事大学，2005.
[5]张春来.人为失误的分析方法及其应用[J].组合机床与自动化加工技术，2000（7）：14-17.
Zhang Chunlai.Analytical Method of Human Error and Its Application[J].Combination Machine Tool and Automatic Processing Technology，2000（7）：14-17.
[6]钱新明，陈宝智.事故致因的突变模型[J].中国安全科学学报，1995（2）：1-4.
Qian Xinming，Chen Baozhi.Catastrophe Model of Accident Cause[J].Chinese Journal of Safety Sciences，1995（2）：1-4.
[7]Isaac A，Shorrock S T，Kirwan B.Human Error in European Air Traffic Management：the HERA project[J].Reliability Engineering & System Safety， 2002，75（2）：257-272.
[8]尹显龙.探析飞机维修中的人为因素[J].工程技术：全文版，2016（7）：318.
Yin Xianlong.Exploring the Human Factors in Aircraft Maintenance[J].Engineering Technology：Full Text Edition，2016（7）：318.
Analysis of Human Factors in Metro Anti-terrorism System Based on Fault Tree
Tan Kun, Yu Qiaomu
（School of Management, People's Public Security University of China, Beijing 100038, China）
Abstract: As one of four factors affecting rail transit safety, human factor often leads to operational errors and increases system risks. This paper introduces fault tree analysis theory of system safety analysis into the study of metro public safety, and analyzes the cause relationship of human factors in the operation of metro anti-terrorism system. Coping strategies of human factors is proposed through qualitative analysis.
Keywords: fault tree; metro; anti-terrorism; human factors
中图分类号： U231
文献标志码： A
文章编号： 1673-4440(2019)10-0051-06
DOI: 10.3969/j.issn.1673-4440.2019.10.012
基金项目： 国家社会科学基金（16CSH011）；2018 年度首都社会安全研究基地研究生项目（CCSS2018ZSS02）
（收稿日期： 2019-07-29）
（修回日期： 2019-08-11）
标签：故障树论文; 地铁论文; 反恐论文; 人为因素论文; 中国人民公安大学管理学院论文;