从上海地铁屏蔽门夹人事故谈功能安全
                                                                    CC-Link协会 （中国）C小C
       1月22日下午，上海地铁15号线祁安路站一位65岁的女乘客在下车时被屏蔽门夹住，工作人员帮助其脱困，但依旧发生了人身伤亡事故。从现场的视频和现阶段的报道来看，操作人员在操作时可能误操作，隔离了屏蔽门，而没有按下紧急停止开关导致了事故的发生。事故的原因目前尚在调查中，但不论事故的责任方在哪里，这起事故都应该引起电气系统设计者对功能安全的重视和对安全设备、安全网络使用的重视。
       我们都知道，随着大量可编程设备、自动化系统和软件产品的使用，在增加了设备自动化运转效率的同时，由于设计中的缺失以及开发制造中风险管理意识的不足，使得可能造成人身安全、财产损失和环境危害等事故的风险也暴露出来。为此，在工业自动化领域，电子、电气及可编程电子安全控制系统相关的技术逐渐发展为一套成熟的产品安全设计技术，即“功能安全”技术，并由IEC61508标准来定义，对应的国标是GB/T20438。IEC 61508将安全完整性等级（SIL）分成4级，第4级为最高完整性。
       在类似于以上地铁屏蔽门普遍使用的SIL3等级的安全回路中，可以由安全继电器来搭建，也可以使用由安全PLC和其他安全从站构成的安全网络来实现，比如CC-Link Safety、CC-Link IE Safety。无论使用哪种方法，都必须要满足以下几点：
      1 采用冗余结构设计
      2 必须要有传感器监测来作为同步输入监测
      3 具备回路监测
                                安全相关系统在设计时，须要遵循IEC61508所遵循的“故障导向安全”，认为人员操作总是会失误的，并且任何小概率发生的失误最终都会发生，必须将其导向至可以接受的风险。同时，我们认为机器总是比人可靠，因此对于安全功能的分配，能让机器完成的功能当然要让机器完成，并不断提升安全系统的裕度，比如通过并联和表决的方式来实现安全系统的冗余。
以实际使用中最常用的紧急停止开关为例，（以上地铁事故中的屏蔽门和列车停止互锁系统也可以简单类比），如果故障设备被修复或者被旁路，紧急停止控制装置断开且反馈回路已经闭合，此时可以按下“复位”按钮，重新启动设备，在设备重启前必须先确认运行环境安全，再进行复位，即只有进行复位后，重启功能才能执行。至于何种情况下应采用何种复位方式（自动复位、手动复位、可监控复位），视具体行业的具体工艺要求而定。需要注意的是：采用自动复位，必须对现场运行环境进行大量且全面的评估，确认自动复位后，整个系统并不会产生任何危险，在实际应用中需要慎之又慎。
       在现场运行的自动化系统中，实际构建安全网络的情况往往又会比较复杂，虽然各个子系统单独运行均能达到SIL3甚至SIL4等级，但我们可能需要这些子系统整合后进行联动，例如上述地铁运行时的列车运行控制系统需要和屏蔽门控制系统进行联动，整合后的安全系统由于没有充分考虑到人为因素的影响，可能就无法到达相应的安全等级了，因此在设计时需要穷举所有可能发生的故障和风险，编制详尽的安全手册，并依次将其导向为可接受风险。
       由于现代化的的自动化系统高度复杂，可编程器件和软件大量应用，很多场合可能的风险隐患也呈几何级数增加，已不再适合使用安全继电器等来构建可靠的安全回路，在现场，电气工程师会普遍使用安全PLC，并通过安全网络来实现，比如CC-Link Safety和CC-Link IE Safety。作为中国国家标准，CC-Link Safety和CC-Link IE Safety在设计时已经进行了相关规范的安全设计，包括冗余双回路的设计、传输信号的表决机制、信号传输过程中的差错交叉校验等，保证了电气工程师能够以最大的便利性来设计和构建安全回路，同时，也能够有效防止人为误操作而造成的安全隐患，在使用时只要将兼容的安全设备接入网络，即可实现SIL3等级的安全系统。
       从本次地铁事故来看，功能安全在目前的自动化系统中已经起到了举足轻重的作用，未来也会成为自控领域的一个热点，必定也必须要引起所有系统工程师的重视，使用安全网络构建系统也将逐渐成为主流，从而保证现场设备运行更加安全。

上海地铁夹人事件我看视频有多方责任
1.安全员处事违规，没有第一时间启动安全报警，可能他寄托与司机了。
2.地铁方，安全员少，他距离处事车厢有2个车厢。
3.作业流程，司机除了看信号灯，没有个车厢闸口视频？不看安全员放行手势？请参看北京地铁司机操作流程。
4.设计，如何解决车门，闸机门，门与问之间的安全检测。地铁门目前不能做到完全自动化作业，否则地铁运转时刻表基本就是废纸。
5.宣传与实际，你只是让乘客不要这样不要那样，这位乘客上了年纪，是在下车阶段，人还没下到站台呢，车咋就开了？晚点了为了抢时间？像当年高铁？
6.自动化驾驶？在人员众多的城市地铁，上下车阶段适合全自动模式吗？

安全员处理是合规的,无论在哪都是那么操作.
地铁门夹人的事情,每天都有发生.一般就是自动开门,放行,再尝试关上(关不上再开).按急停按钮,那是很少的.如果夹人就按急停,那地铁基本不要开了.
我在天津的某站,看到服务人员手动推门(外面的防护门),门有故障.还看到过一次,两侧门都显示绿灯可以本侧下车.好在这只是灯错误,如果真是灯和门联动,可想到站没站台的那侧门打开...当时告诉站台安全员了,安全员还很负责,马上上报了.
大家说这地铁是自动驾驶的.但是门没关,就自动启动的地铁,应该是设计失误.也就是说,运行工程师的逻辑错误,安全工程师的逻辑错误,自动化工程师的程序设计错误.
所以,自动化工程师的工作也是人命关天的.不是写好运行动作就万事大吉,而是要考虑1/3甚至一半的异常处理.
使用什么再高级再严密再安全的硬件,没有软件支撑,没有设计人员安全的意识,也是白搭.

引用 知道一点 在 2022/1/28 8:15:46 发言【内容省略】

1、15号线无人驾驶.
2、站台工作人员离站台上的紧急停止开关相当的远。如果乘客在车厢内按得话，那么事情就来了，那个开关擅动要负法律责任的。
3、地铁方一定有管理责任，先下后上型同虚设。
4、2030年才能达到的客流量2015年就达到了，地铁设备检修调试时间都不够。

如果这地铁是自动化运行,包括内外门也都是按程序自动开闭,那安全员的操作就不对,他先跑去处理,似乎发现车启动了,在跑回来按的急停.
而且不管乘客是否正在上下就定时关门,这设计也是没水了,即便客源亮提前到来,调整这个时间很难吗,除非设计开始就失算.
如果车厢内有人发现情况,真希望有人按急停,目前看没人按,也可能是不敢按,毕竟不在车内.
门碰到障碍,不可能一直试关下去,试2-3?次就硬关了(有抖音视频,某广告,一级这次事故为证).
北京地铁开闭门都是司机操作,到站司机在机头内操作,关门在车外,他关门前还要扫视监控画面(每个门有检视探头),个位安全员在确认安全后面向车头方向站立(可参看火车站台安全员),司机开车前还要检视一遍仪表指示灯,还同时做了一个手指示,好像一个一个点名.

高峰地铁时段夹住情况非常多，下车慢腾腾，上车急吼吼，冲门等情况时有发生，一般都是乘客自己拉拉就出来了，按动紧急停车包括站长报告有的写了，万一按了，乘客自己出来了，然后走掉了。。。。
调整时间？这涉及到全网车辆的运营时间，不要说15号线，连申通也要打报告搞验证。
车厢里只有1个安全员，如果不在事发的车厢内的话，很难察觉到发生事情，至于其他乘客，这个按钮擅自按下，到时候警察问你为什么按时怎么回答？有人证明不？找申通调录像？申通跟你说要警察来看，警察问你有人证明么，然后慢慢的被踢皮球，要么你是外籍，那么可以毫不犹豫地按下去。
最早的地铁是一直会尝试关门，像地铁1号线，后来因为客流量实在太大，这样做车子不用开了，后来才改成会强制关门的。
上海地铁除了浦江线和15号线外，其他线路驾驶员一样会停站后出来，发车前要做手势操。
Good Luck~

现在好了，总有人要担责，有可能就是视屏中的那个来回跑的安全员，钱也是少不了的。
客流量的暴增，还按固定时间关门出事是早晚的。
这件事，请不要指望车厢内的人按报警器。

引用 知道一点 在 2022/1/28 13:54:34 发言【内容省略】

随意调用停站时间目前看来是不可能的，以后会更加困难，但是限制来上海也不可能，担责？赔偿到位担什么责，下次改进而已，屏蔽门事故又不是第一次，2号线也有，基调很早就说过了，屏蔽门，不是保障安全，只是隔除进站噪音。
Good Luck~

屏蔽门不为安全？头一次听说，那就叫隔音门好了，北京地铁全都安装了，报警60年代建的，就为安全。
这次伤人，如果没有屏蔽门，她可能来活着。
以前出事故死人了？好吧钱是万能的。但愿以后别再出人命。
深圳地铁电梯故事，然后北京地铁电梯死人了，最后责任出来了…
这个自动化线路如果连开关门时间列车启动时间都交给机器，不要说外地人，本地人也难报安全，因为你不知道它何时启动，此门不保安全还夹住你不放。
神的设计

这个逻辑还真不好处理。
前两天早高峰，我挤进去，屁股还在外面，工作人员推了我几把，还是进不去，大吼：超时了，超时了，下一班。
下一班，一个女乘客，第一次关门衣服还在外面，工作人员又往里推。第二次关门，头发还在外面。第三次才关上。