左博睿,帅 斌,赏珂祺,黄文成，杨泽坤

(1.西南交通大学 交通运输与物流学院，四川 成都 611756；2.西南交通大学 综合交通运输智能化国家地方联合工程实验室，四川 成都 611756；3.西南交通大学 综合交通大数据应用技术国家工程实验室，四川 成都 611756)

近年来，城市公交系统事故频发，公共交通安全问题受到了社会各界的广泛关注[1]，以重庆公交坠江事故为例：事故发生后，各方信息迅速在网络中扩散，引发了大众极大的反响并在传播过程中形成了诸多不利于社会稳定的舆论倾向[2]，此现象体现出公交事故具有影响大、易扩散，容易引起市民恐慌和对政府不信任等一系列问题的特性。为促进交通事业的安全发展，我国《交通强国建设纲要》中特别提出“完善交通安全生产体系”的要求，城市公交系统作为综合交通体系的重要组成部分，也是城市公共事业的重要组成之一，如何有效提升公交系统的安全性已成为政府管理部门的关注焦点[3]。

公交系统同时受到人员、设备、管理、环境等多方因素影响，是典型的复杂社会技术系统[4]。通过对公交事故的调查分析发现，现阶段学者更多关注事故发生的直接原因，重视“人-车-路”的瞬态不良交互，对于系统整体内在深度的致因机理关注不足[5]。由于各国公交体系迥异，国内研究方面目前仅有张缔等[6]基于模糊综合评价对公共汽车火灾事故进行风险评估，并建立了三级评价指标体系；邓红星等[7]基于事故树结构分析了燃气公交车事故致因；苏杭等[8]通过定性分析公交系统子系统故障影响因素，为公交系统故障排查提供思路；鲁梓宏等[9]基于FTA探究了快速公交系统的运营风险，并提出了管控手段；卢文刚等[10]基于应急管理周期模型，对广州公交纵火事故的不同阶段展开研究，提出改善建议。上述研究虽然已有基于系统角度探究我国公交系统安全性的初步实践，但对于公交系统内部各因素之间的关联及互相作用规律少有研究和涉及，更无针对系统层面的公交事故致因分析研究。

此外，由于公交系统子系统间作用关系相对离散，系统参与者间基本以目标导向维持系统的正常运转，故迫切需要契合公交系统事故现状的事故分析模型。鉴于此，本文借鉴基于利益相关者驱动的Tropos目标风险框架，建立Tropos公交事故分析模型，通过构建目标层、事件层、处理层的方式有层次地深入探究公交事故核心致因，最后以重庆坠江事故为例进行案例分析，旨在为公交系统运输安全管理、事故预防等提供理论和实践参考。

1 公交运输系统风险类别分析

公交运输作为服务于居民城市内公共出行的主要运输方式，狭义的公交运输特指城市公交集团运营的公共汽电车业务[11]。公交运输过程的核心环节基本一致，为乘客自设定站点上车，通过汽运方式运输及中转换乘，最终到达目的地附近设定站点下车的过程。从乘客视角看，运输过程可分为上车前、中途运输及到站下车3个阶段；从公交运营视角看，运输过程还涵盖车辆选型、驾驶员培训、线路规划、站点设置、客流预测、调度排班等因素。此外，一些外部因素，如乘客心理、拥堵问题、气候环境等也是公交运输过程中难以避免的影响因素。综合上述分析，可将影响公交系统安全的风险因素划分为人、技术设备、管理及环境因素[6-11]4个方面，下面将详细介绍4类风险因素。

1)人。公交系统涉及人员较多，如驾驶员、公交调度员、乘客、设备管理员等，其工作能力、生理状态、心理压力、昼夜节律等都可能使公交系统偏离正常运转状态。

2)技术设备。公交系统技术设备主要有车辆、调度设备、公交站台电子标识及安全护栏等；车辆设备又包含驾驶系统、驾驶员防护设备、乘客座椅、扶手等，不良的设备配置会引起安全隐患或加重事故后果。

3)管理。管理因素主要是指公交系统运营层面的组织管理，主要包含3个方面：安全管理组织，如公交集团安全管理组织的建立、组织责任划分等；安全文化建设，如建立安全的企业文化、增加安全投入认识等；安全管理体系，如人员培训、规章制度建立及驾驶员安全教育等。

4)环境。环境因素主要存在于系统外部，如运输线路地理环境(桥面、山地、地质灾害)、气象条件(暴雨、台风等)、市区拥堵等，也包含一般性的政治、经济、文化等因素。

公交事故发生过程中往往同时包含以上4种风险因素，且风险因素之间存在动态、非线性耦合关系：风险因素产生后可从不同方面对系统内各种实际参与者，如乘客、驾驶员、车辆等造成影响，不良影响依附于参与者，并通过参与者间的相互依赖关系产生风险的传递及叠加，最终，风险累加至高风险状态后产生突变并导致不同程度的公交系统事故发生。这也使得分析公交系统事故存在较高的复杂性，需借助系统事故-风险分析方法来整体把握事故致因，并采用综合防控措施。

2 Tropos 公交事故分析模型

Tropos模型是将i*目标模型和面向Agent的思想相结合，用于构建面向主体的软件需求模型方法，框架建立之初仅能对单个参与者的过程性风险进行分析评估[12-13]。在其后的探索中：Asnar等[14]考虑到组织环境中参与者之间的相互依赖关系，提出多参与者的建模方法，将模型扩展为系统风险模型；在此基础上，Deng等[15]以城市突发公共事件为研究对象，运用Tropos目标-风险框架探究了宏观系统层面的风险传播机制。至此，现阶段Tropos目标风险框架已能够较好地适应社会技术系统风险建模分析，形式化地展现事故过程中系统内的复杂交互，并针对因素依赖关系建立系统层面上的安全管控策略，是系统性研究公交事故的有力手段。

Tropos公交事故分析模型自上而下由3个层次的概念结构组成，分别为目标层、事件层和处理层，不同层次之间由不同的节点与关系构成(见图1)。

图1 Tropos公交事故分析模型

2.1 不同层次间的节点构成

1)参与者：为完成某种目标的系统内部利益相关者[16-17]，与其他利益相关者相互依赖共同推动整体目标的执行，在公交系统中可理解为司机、乘客、公交调度机构；

2)目标：参与者在系统中需要达成的目标；

3)任务：为达成目标参与者需采取的行动；

4)资源：参与者实现目标需借助的物理手段；

5)事件：可理解为对目标或任务执行产生负面不确定影响的具体因素；

6)处理：为缓解风险事件，管理者所采取的针对性措施。

2.2 不同层次间的关系构成

1)依赖关系:不同参与者之间的交互关系；

2)和分解/或分解：指节点可有效拆分为更细化结构，子节点间存在的替代关系和同时实现上层节点才可实现的逻辑关系；

3)目标-手段关系：目标如何由任务实现的逻辑联系；

4)影响-缓和关系：指事件或处理节点对上层节点的影响关系，通常为负面影响。

2.3 Tropos公交事故分析框架主要步骤

公交系统运转过程可理解为多个参与者深度交互的运行过程[18]，不同参与者通过目标、任务、资源相互连接，共同维护公交系统的正常运行；系统层面的事故分析可基于各类影响关系将参与者内部复杂目标或任务拆解为易于理解的简单事件元素，通过对各类元素事件的深入剖析可整体性理解事故发生的核心致因。Tropos公交事故分析框架建立的主要步骤为：

1)构建Tropos目标-风险框架，识别事故公交系统内部参与者同参与者间的依赖关系，其后识别各参与者完成目标需执行的任务，建立对应目标及任务节点；

2)依据参与者依赖关系建立对应任务和目标的精细化依赖，以及目标-手段关系;

3)识别系统内部风险事件建立事件层，进而分析因素间的影响-贡献关系，并构建整体事故网络；

4)针对公交事故网络中导致任务失效事件构建处理层，并通过以下3类方式建立处理节点：针对性抑制风险事件;抑制风险事件对任务节点的影响途径;增强任务节点鲁棒性。通过此3类方式建立处理节点，抑制任务失效。

3 案例探究

重庆公交坠江事故是近年来影响最恶劣的公交事故之一，事故发生后引起社会对公交系统安全的强烈担忧，本文通过构建Tropos公交事故分析模型来分析此次具有代表性的复杂事故。

3.1 事故情况

2018年10月28日重庆万州长江二桥22路公交客车与小轿车相撞后坠入江中，事发时出现了乘客抢夺司机方向盘、司机错误操作等异常事件。事故信息来源于实地调查查证、官方新闻报道与政府通报。

3.2 Tropos模型建立

在城市公交运输系统内部，参与运输过程的因素可分为两大类实体，即公交公司与乘客[19]。基于Tropos目标-风险框架，建立事故网络：

1)识别参与运输的每个参与者，并确定目标关系，如表1所示；

表1 模型中参与者设置目标说明

2)识别目标层任务节点并判断节点依赖关系，如表2所示；

表2 目标层任务节点设置

3)构建事件层，识别公交系统潜在风险事件及本次事故出现的风险事件，如表3所示。

表3 事件层设置

逐次识别各参与者任务节点具体设置，如表2所示；基于任务节点参考事故及文献[6-8,11]所述，逐次识别潜在风险事件，并观察事故中显现的风险事件，具体如表3所示；建立的重庆坠江事故Tropos目标风险模型如图2所示。

图2 重庆坠江事故Tropos目标风险模型

3.3 事故分析

基于事故报告可知本次事故直接致因是乘客刘某因车辆过站未停与司机发生激烈争执，并欲逼停行驶于桥面的公交车；其后司机在争执中情绪失控，错误控制车辆，擦挂正常行驶车辆后坠入江中。然而基于模型系统剖析，事故发生实质是整体公交系统偏移所产生的严重后果。

通过对目标层顶层目标与子目标迭代关系分析可知，所有子目标的共同良好达成才可使公共交通系统高安全性运转，然而由于事件层中显现的诸多风险事件以致对应任务节点蕴含较大风险，并通过参与者间依赖关系传播风险，最终在T5任务执行过程中使风险累加，突变为严重坠江事故。

1)事件层风险遍历显示22路公交在事故发生前某月内连续发生两起乘客过站与司机争执，并致使车辆行驶被迫中断事故，由于并无人员伤亡故未能引起安全管理部门重视，未能对司机驾驶室采取防护措施，从而造成了驾驶员与乘客争执的放任心理，产生E8，E12风险事件，并造成T3.2，T5.1.1任务未能较好达成，目标G1-3，G2-2受到影响。

2)通过对22路公交日常运行环境分析可知，公交为环线公交，途经3座跨江大桥，桥面存在潜在失效驾驶严重事故后果；大桥附近站点设置距离长，乘客过站折返条件复杂；公交经过万州城区道路狭窄，车流集中以致日常堵塞严重，22路公交车站点到达时间紊乱，上述因素产生E7，E9，E10，E18，E19风险事件，并对任务T3.2，T6及目标G1-3，G2-1，G2-3产生负面影响。

3)通过对乘客分析可知乘客刘某预计下车站点为桥前的某临近站，而由于站点道路维修22路公交绕行不再经过，车辆上桥后乘客意识到错过站点，且由于折返条件困难产生心理偏差,持续逼停车辆要求下车，风险事件E4，E15.1产生,任务节点T2.2，T5.2及目标G2-2，G1-2受到负面影响。

4)通过对公交系统分析可知，由于疏于管理，公交发车时间存在较大波动性，E10风险事件产生，任务T4.2及目标G2-1受到不良影响。

受到风险事件影响后顶层目标实现程度较差，且任务节点间由于相互依赖关系发生风险传递。

1)任务T5.1.1受风险因素E12影响，通过风险传递至参与者A1-1中，以致任务T1携带风险，即公交集团车辆选型中并不重视驾驶员防护功能，仅基于车辆车况选用上路车辆，在运输途中物理干扰驾驶员的风险事件导致E12风险因素出现，间接导致目标G1-1受到影响；

2)T2.2未能有效达成，风险传递至T6，并与T6内部风险因素产生风险叠加后通过乘客资源风险传递至T5；

3)T4受风险事件影响并通过风险传递与T5.2内部风险叠加；

4)T3受T2任务不良达成及内部风险事件影响，并通过风险传递致使T5.1.2产生风险。

以上风险因素通过参与者间依赖关系相互传递后部分作用于T5任务，并最终导致事故发生：公交司机在类似事故先例中未能引起足够重视，且加深了放任意识；公交车没有装备相应的司机防护措施；调度中心未能合理调整班次；站点设置缺陷等影响因素随时间聚合后风险不断累加，导致系统高风险运转，此时与失效驾驶潜在严重后果风险事件耦合，导致了区别于其它类似事故的重大事故后果。因此，若仍基于传统事故处理模式，片面强调事故瞬态的“人车路”关系可能无法起到安全防控效果，故应避免传统个人追责的事故处理方式，基于处理层设置有针对性的提升系统安全措施，从而有效避免事故的再次发生。

4 风险控制

合理切断依赖关系是抑制风险演化的重要途径[19]，由于公交系统内节点依赖关系必要且不可切断，故为有效控制公交系统内部风险，安全管理策略应重点落实，保证在可控水平上各节点所附带的风险后果最低。基于Tropos目标风险框架，通过构建处理层的方式缓解风险事件的负面影响，公交系统一般屏障设置如表4所示，其中可直接提升本次事故安全性的措施为C5，C7，C8，C9，C10，C11,对应作用途径如图2所示。此外，针对不同事故合理选用上述11项屏障措施可有效降低公交事故发生，进一步保障乘客安全。

表4 处理层屏障措施设置

5 结 语

将Tropos目标-风险框架应用于公交系统事故分析中，并以重庆坠江事故为例进行案例。表明基于Tropos目标风险框架的公交事故分析模型可全面合理识别公交系统风险，并进行有效事故分析，弥补了公交事故分析系统性不足的缺陷。重庆坠江事故分析结果表明：薄弱的公交系统安全管理水平、乘客不稳定状态与外部危险环境等因素的深度交互是本次事故发生的根本原因，基于系统层面采取措施提升公交系统安全性可有效防止事故的再次发生。此外，深入探讨Tropos定量风险传递机制，构建量化的Tropos模型也是未来的研究重点。