昨天香港地铁的四线前后长达6小时的故障，实属罕见。

具体报道：

今早6时许，港铁疑因信号故障，宣布荃湾线、观塘线及港岛线3线列车延误，由于正值上班高峰时间，大量市民滞留地铁站，排起长龙，就出现了上图呈现的情况。其后，港铁又于早上10时表示，将军澳线信号系统也发生故障。要知道，这四条线可是香港早高峰最重要的线路!

http://china.huanqiu.com/gangao/2018-10/13278581.html

http://hk.on.cc/hk/bkn/cnt/news/20181016/bkn-20181016114401826-1016_00822_001.html

目前，香港地铁还在对具体的事故原因进行调查。但是报道有相关的消息：

消息人士透露，今天罕见的“四线齐瘫”惨况极可能与更换信号系统测试有关，怀疑在进行新旧系统转换时，部分车站未能完成重置(reset)，以致列车信号未能正常传送。

对此，港铁车务总监刘天成在事后面对记者询问时表示，3条列车线同时出现故障时首次发生，最晚荃湾线曾进行信号更新，至于观塘线及港岛线是否与信号更新有关，需要进一步调查。

作为轨道交通系统安全的学习及研究者，我进一步查找了相关的材料，并进行了个人观点的解读。本文只是从系统安全的学术角度进行分析，不涉及到其他的因素。

港铁（原为香港地铁）自1979年起一直致力于为常客提供即安全又快捷可靠的市区列车服务。2007年12月，地铁公司与九广铁路公司的车务运作正式合并，成立为港铁公司。合并后的港铁网络成为亚洲其中一个最优效率及地区覆盖最广的铁路系统。目前，整个铁路系统共有91个车站和68个轻铁站。港铁共运营十条铁路线，网络覆盖香港岛、九龙和新界。港铁被公认为世界级的公共交通运输机构，无论在可靠性、安全性还是效率方面，均一直保持在国际最高水平。港铁乘客百分之九十九的旅程均会准时到达目的地。

港铁的机场线、东涌线、迪士尼线、荃湾线、港岛线、观塘线、将军澳线都是位于青衣的“超级”运行控制进行控制，并且这个中心在2007年的时候还收录了东部铁路&马鞍山线和西部铁路火炭到锦田段的控制。

由于，地铁线路的信号系统的老旧（部分设备已经使用20-30年），功能不能满足当前的客流需求。在出现了多起的因信号设备故障造成的列车延误事件之后，2013年-2015年对地铁系统中的信号系统进行全面升级展开的相关的论证和方案设计；2015年3月份进行了完整的方案设计和竞标，法国的Alstom公司获得了竞标；整个项目耗资30亿港元，整个工期将逐步在2018年到2026年完成。

据港铁向香港政府立法委交通分委提交材料，称此次升级项目已经通过了充分而完整的风险评估。

表1 涉事线路信号设备升级计划（2017年12月份材料）

其中，荃湾线与港岛线原有的信号设备是同一型号，也运用了相同的运行模式。因此，港岛线的改造计划直接借鉴了荃湾线的前期的测试资料进行计划制定。观塘线单独的信号设备，鉴于2017年8月份的事故，先进行了远程数据传输线的改造，为安装新的信号设备，控制室进行了相应的空间改造。

港铁去年全年发生10次31分钟以上的延误，一共被罚款2250万港元。去年2017年8月5日观塘线事故，罚款按照最长延误列车（83分钟）进行罚款，罚款200万港元。

事发当时，地铁是在凌晨2点进行停运，整个的测试是2点到4点，早上5点半左右系统发生故障，控制中心无法发出列车运行指令，现场转人工运行，并持续进行恢复。但是整个的恢复过程涉及到将近20个站的相关控制计算机，以及中心控制室。整个的恢复过程长达6小时之久。

更加详细的原因和事故发生过程还需等官方正式报告才能得以知晓。下面的内容是笔者根据自己的系统知识及安全知识进行的自我分析。

如过如报道所示，事故的可能诱因是某些测试车站在转换到旧的系统时忘记进行系统重启，造成了系统的瘫痪。

则会有一下几种因素促成了整个事故的发生以及后续恢复迟缓：

1. 测试计划的不合理。给与的测试时间较为紧张（凌晨2点到4点），对于整个需要协调沿线多个车站设备的测试，从系统的切换，配置和统一测试，两个小时的测试时间是相当紧张，而且时间紧迫造成复杂工序就更容易出错；

2. 测试安全管理不到位。没有针对测试中的所有岗位提供全面而准确的危险提示。从港铁的通报中可以看出，这样的测试已经持续了一段时间，以前没有出现类似的错误，是因为岗位人员的自我提醒比较到位。这次是在熟悉相关工作后的心理放松，造成了相应关键操作步骤的遗失。全凭人员的对任务的记忆和自我提醒进行安全防护，其可靠性时比较低的。提供书面的流程，将会起到检查列表的作用，防止人员的遗忘错误。因此，整个测试管理应该给关键岗位的关键人员配备相应的操作流程及安全提示。

3. 安全应对不到位。鉴于延误罚款的规定，我们可以有理由推测整个港铁不愿意造成不可预知的列车延误结果，所以不想重启中心控制设备，权衡之下只能在人工运行的同时，进行全线的各个车站设备控制分机的单独重启；这样的处理方式未能消除中央控制器对相关设备状态的判断，因此，整个系统的重启并不成功；这样的故障在中央控制系统产生了联锁反应，影响了在同一个控制中心的其他线路的运行。这在施工前的风险分析中未能考虑到。

4. 施工前的风险分析有缺陷。港铁向立法委提交的材料声称已经进行了升级项目的全面风险评估。但是，针对测试中沿线设备没有完全重启的明显的故障模式（这里不能说影响严重，因为影响严重是事后之明的评判语言）并没有得到全的风险评估。所以，可以合理推断，整个项目的风险评估有一定的缺陷。可能是使用方法的问题，但是评估方法总是有优缺点，其发挥的效果还是跟使用者的安全观点和意识有很大关系。笔者认为更多的是风险分析者头脑中的安全观念的问题。所以，他们的风险分析团队需要增加有系统理论知识基础和人因失误理论背景的分析人员。
   

以上四点，是笔者根据自己所学进行的简单分析。详细而准确的原因还需等官方的调查结果之后才能做进一步的分析和确定。