上海地铁乘客被屏蔽门夹住后身亡，有关部门已介入，事件原因是什么？车站是否需要担责？ 第1页

一方面，站务有责任

另一方面，软件可能有漏洞

楼上 @Enzo Jiang 已经解释的很清楚了

不过我看了一下评论区的风气

这帮小丑知道这是法国技术之后就高潮了

一下子就这也不行那也不行了

不过这里面有谁知道屏蔽门是法国人发明的呢

又有谁知道自己每天坐的地铁没准就是阿尔斯通的呢

谁敢说自己没坐过阿尔斯通的车呢

哦，对，这帮人估计连阿尔斯通都不知道，也不会承认了

十个里面九个是乳法小鬼

评论区里大概就是这样的：

责任全在法方。

行，站务一点责任也没有。

有一说一，自动驾驶这方面法国确实是当之无愧的第一

国内除apm的自动驾驶线路，十个有九个是法国的

等到时候中车捣鼓出来的自动驾驶出事了，评论区里那必然是：

责任全在站务。

出现这个事故大概率信号商的安全设计存在漏洞

15号线是GoA4级别的无人驾驶线路，这条线好像是国内第一条直接开通就以无司机方式运营的GoA4线路，本来这是一个技术突破，意味着这条线拥有极高的安全性和可靠性，然而悲剧发生。

对于GoA4的线路其安全逻辑设计是核心，因为列车是全电脑控制的，对于各种失效状况必须能够做到识别并且有对应逻辑处理才能确保安全。在此类项目中有专门的团队和工程师以列举的方式列出所有可能的情况并且设计兜底操作，相关的设计书可以厚达几百页。

我查了下这条线的信号商是卡斯柯，用的是阿尔斯通的urbalis信号系统，不知道安全这一块是法国团队还是中国团队设计的。

如果这个事故去追究车站和乘客自己的责任，那么以后这样的悲剧就会重演。因为站务受到的培训再充分，也有可能处理失当，而这个时候安全设计不能兜底的话，就是人命。

讽刺的是，玻璃屏蔽门最初是为了实现此类地铁无人驾驶而发明出来的安全设备，嗯，法国人发明的。

愿死者安息，看到视频中的小姑娘哭我心都碎了。

但是我个人对于GoA4级别的系统还是非常信赖的，目前欧洲下一代的通用铁路信号设备设计采用巴黎14号线的设计方法进行设计。而巴黎14号线作为在地铁无人驾驶领域具有里程碑意义的代表工程，开通24年未曾出过一起乘客人身事故，而且其利用数学工具进行设计和实现的设计方法，巴黎14线采用的信号系统程序没有发现过任何安全相关的bug和缺陷。

上海15号线出现这样的事故，只能说安全设计中存在漏洞。信号系统分为车地两部分，列车的发车信号是地面部分发给列车的，而出问题的从目前的信息看只能是地面部分在屏蔽门被切除后直接给了发车信号。事实上这一逻辑在有司机值守的线路上是没有问题的，但不适用于无司机值守的线路，因为没有对误操作进行兜底。

铁路信号系统的安全性是以SIL等级划分的，最高等级是SIL4，其失效概率是十亿分之一到一亿分之一，但是有一个反直觉的事情就是，两个都是SIL4的子系统放在一个工作，凑出来的系统的SIL级别可以依然是SIL4也可以是SIL0，其原理在于，两个各自工作都很可靠安全的系统，可能设计出来是为了匹配其他系统的，而这两个系统放在一起虽然因为接口统一可以一起工作，但是却不匹配。

而SIL等级是要考虑人为因素的。

这件事，申通地铁、设计方、生产方加起来至少有99%的锅，站务员最多1%的锅，不能再多了。

我相信，只要是涉及安全的，不管你是流水线的、开飞机的、当医生的，都能支持这么一个结论：

无论站务员的操作多么错误，站务员单独一个人切除屏蔽门后，没有经过任何（其他人或他自己的）检查确认，车就能立刻自己开走，是非常离谱的一件事。

这个车立刻开走，我已经不想讨论设备为什么不报警，站务员为什么违规操作之类的问题了，没什么可讨论的。站务员一定会犯错误，屏蔽门也一定会夹人，这就是整个系统逻辑设计不合理，也没做任何防呆。

这就像是你家空气开关跳闸了，你把短路的电器拔掉，那个开关自己就合上了。（感谢评论区置顶的那位童鞋 @MarioXY ）

我讲三个类似的事故吧。

一个数控机床出了问题，卡住了，工程师把卡着的东西掏出来，铡刀瞬间动了起来，把工程师的头切了下来。

一架飞机的左侧攻角传感器出了问题，自动驾驶根本不校对右侧另一个传感器的输入，就按左侧传感器的错误数据自动操作飞机，摔了，人死光了。

一个护士走到33床边，也不问上面的人是谁，就给他打针，结果那是病人家属而不是病人，药物过敏，死掉了。

很好笑是不是？怎么会发生这么蠢的事呢？小编也不明白为什么大家都这么蠢。

请注意，以上三件事都是真实发生过的，业内人士100%听自己的老师讲过。

这就是为什么，数控机床为了防止有傻子脑袋还在铡刀下面就单手启动，要双手同时按两个离得很远的按钮；飞机的自动驾驶仪必须校对多个传感器的数值，发现不太可能的数值时要报错，把飞机交给飞行员控制，飞行员也要经常校对左右两侧仪表盘的数据；护士给人打针前要问你叫什么名字，而且必须由病人回答自己的名字，不能问你是不是XXX。

性命攸关的时候，发生故障或可能发生故障，一定要多次反复确认，设计多重保险，确保其中任何一处失效，整体仍然有效。发生故障报错，排除后必须手工确认，不能自动开始运行。自从工业化以来我们经历了无数血的教训，这申通地铁，（哔——）怎么就学不会呢？？？

这起事故里，正确的表现应该是：哪怕站务员A就是这么违规操作了，车也不会启动。需要另一个站务员（或车站长）B去确认A的操作正确，由B按下确认按钮，车才能动。而B手里的确认按钮的密码（钥匙）应该在C（调度等高权限人员）手里，或者由C远程授权。

航空业有个“笑话”，说拧一个钉子需要几个人？答案是三个，一个人负责拧钉子，一个人看着他拧，一个人确认他拧得没错。这其实不是个笑话，而是为了安全，必须牺牲效率。几百条人命，不能掌握在一个拧钉子的人手里，所以要掌握在互相监督的三个人手里。一个人犯错很常见，但三个人同时犯错不常见。

在这件事里，为了行车效率就不要安全了，一个小小的站务员的一个非常简单的错误，就会产生人亡事故，完全是重大设计缺陷，属于系统性风险。会发生这种事故，跟站务员本人的关系非常小。

一个正常的设计应该是：只有一个站务员、一个车站长、一个调度、一系列传感器都失效了，才有可能发生人亡事故。

我们就不看这件事的操作，看看这个设计还有什么别的风险：

a) 屏蔽门夹到了东西，但屏蔽门自己切除了自己，没有给列车停止信号。站务员跑步到紧急停车按钮前，但列车已经自动发车，乘客被拖入轨道死亡。

b) 屏蔽门坏了，站务员确实需要切除屏蔽门。但站务员被车门夹住，车门未报警。列车自动启动，将站务员拖入轨道，站务员死亡。

c) 屏蔽门没夹住人，但车门坏了，车门夹住了乘客。站务员跑步到紧急停车按钮前，但列车已经自动发车，乘客落入轨道死亡。

d) 站务员想故意搞个大新闻，或者故意杀一个人，于是按以上方法操作，乘客死亡。

申通这个风险不是一天两天了，我其实挺好奇的，他为什么到今天才发生事故啊？？？

我天天哔哔叨叨空中浩劫，来看看史上死亡人数最多的特内里费跑道相撞事故有几个因素共同影响：

a) 机场关闭，交通拥堵，荷航加油，泛美被荷航阻挡不能起飞（否则，两架飞机不需要在短时间内先后起飞）

b) 泛美机组不熟悉机场，走错了路，塔台要求泛美机组转弯，但该机型难以转弯（否则，泛美在荷航起飞前可转弯离开跑道）

c) 大雾（否则，荷航机组和空管都可看见跑道上的泛美飞机）

d) 荷航机长此前三个月一直在飞模拟机，模拟机里没有空管，习惯性自己给自己发起飞许可（否则，荷航机长会等待空管明确的起飞许可）

e) 空管错误使用"在起飞后，……"指令，易使机组误以为已发出起飞许可（否则，荷航机长不会误以为空管给他发了起飞许可）

f) 该机场没有地面雷达（否则，空管可知道泛美飞机仍在跑道上）

g) 最后一次通信时，荷航机组说“我们已经在起飞了”。泛美机组马上说“我还在跑道上”，空管说“好的，你等一下”。但泛美和空管同时说话，荷航机组只听到“好的”，其余均为干扰杂音，因此以为空管允许他起飞。（否则，荷航会明确知道泛美还在跑道上，可以立刻中断起飞）

h) 当时没有CRM概念，机长在公司的职位高，权威较大（否则，荷航机长不会简单忽略机械师关于泛美机组是否还在跑道上的警告）

i) 荷航机组时间不够，需要尽快起飞（否则，荷航机长可能不会那么着急，而着急可能使他更容易忽略一些必要步骤和警告）

对比一下申通这起事故：

a) 站务员操作错误，切除屏蔽门

你还不如1977年那几个人啊？？？

都2022年了啊，就连郑州暴雨人亡事故，都不是单因素的，怎么到申通这里还能发生单因素人亡事故啊？？？

对于站务员的操作，这一看就是有人驾驶的习惯跟无人驾驶不一样。。。

不知道你们坐过老的1、2号线没？站务员手上捏着一个遥控器，站台靠近尾端有一个信号灯。关门后站务员确认无夹人夹物，要按遥控器把信号灯按绿。（以前是旗语放行）

屏蔽门内侧还有一个灯条，如果屏蔽门和地铁门之间有东西，灯条就会被遮挡。

司机是要瞭望信号灯绿，灯条都能看得见，才能回司机室。你去看老线路司机的工作，他们进司机室之前，会先看站台信号灯绿，手指口呼；在屏蔽门和地铁门中间看一眼，手指口呼；进司机室，确认面板上信号也是绿的，手指口呼。（当然他们从来不口呼，只手指。我这里略过了确认道岔、行车方向等无关过程）

我有一阵子没坐这两条线路了，不知道现在这个流程还在不在。

如果夹人了，站务员有的是时间处置。只要不按绿灯不给旗语，司机根本不会进司机室，车是不会动的。即使司机准备进司机室，他瞭望发现中间有东西也不会发车。

但是15号线根本没有司机，是很纯粹的无人驾驶。所以灯条和站台信号灯都没有了。站务员能阻止发车的只有紧急停车按钮。一旦把屏蔽门切除，车自己就发出去了。

本来由司机复核站务员的操作，现在没有复核员，一个人的误操作就导致了事故。

而且，这里明明有三种简单的防呆设计就能避免错误操作导致事故，他们分别是：

a) 切除操作与手动开关门操作分开，或转动钥匙时需要先经过手动位才能到达切除位

b) 转到切除位时，切除暂时不起效，视为手动模式，自动触发紧急停车。调度或车站长二次确认后，切除方可生效，恢复发车。

c) 屏蔽门触发报警后，自动触发紧急停车，站务员排除故障后，由车站长二次确认，方可恢复发车。

但是三种设计都没有，站务员的操作是完全没有保护的。

这里的逻辑问题在于，列车因故障停在站台上，默认是发车还是停车？显然，应该是停车，而不是没人干涉就自动发车。屏蔽门出现故障已经是不安全的因素，肯定是要二次手工确认安全，交叉验证，才能发车，不能切除屏蔽门就发车。你可以不要司机，但是不能把人工允许发车这个动作也扔掉。不然你要列控调度这些人干嘛？干脆连列控调度都下岗，根据客流全自动安排发车班次，自动确定运行速度，自动探测轨道里进没进水好了。什么？隧道被淹了地铁停了人淹死了？那是设计方缺陷，我申通肯定没责任的咯。

多可笑啊。

你不能为了自动驾驶的“高效率”就放弃安全。何况，没有司机也不见得多高效率，因为上海地铁列车在站台上主要是上下客花时间，司机手指口呼要不了几秒钟的。倒是安全问题越发显著，司机一般不会在上下客没完成时就关门，除非高峰2号线根本上不完，再不关门发车后面的车就堵上了。这个（哔——）自动驾驶真的会在还有人没下去，站台上还有人要上的时候，就硬关门。

我去年有事坐过15号线，还特意注意过关门时间，似乎就是单纯的读秒，时间到了就关门，因为每站关门时间一样长。而且，在小站关门时间很短。行动不便的老年人，被夹到是迟早的事。

既然有站务员的，不如还是让站务员手里捏个信号遥控器，手动确认发车，如何？这样无论怎么操作都不会出问题了，站务员总不能荒谬到在夹到人的情况下，先给绿灯信号再把屏蔽门切除吧？

如果站务员手边就有一个能给红灯信号叫停列车的遥控器，就比墙上那个不一定来得及够得着的紧急停车按钮好得多。你还要考虑到列车门信号出故障，夹人了也自动放行的可能性。本来这个校验是司机和站务员共同来做的，没有司机了，站务员要是也不方便做或者做错了，那可真是一点容错都没有了。

你不能让某一个人单独来决定是否安全，在这里就是当事站务员。人会犯错误的，只有一个人，就没有补救措施。两个人加机械，除非三个都犯错误，否则不会发生事故，如此才能最大限度确保安全。

我觉得我们既然强调安全生产，那么，不仅要允许自动系统出错，也要允许人出错。你得有这个双保险来确保只有多个系统同时失败了，才有小概率发生事故。如果仅仅站务员失误就必然会导致事故，而且站务员按照有司机的线路运营方式来操作就可能会发生事故，那么这个系统设计是有问题的。

这种系统非常的不安全。

车停在站台上，最多是运营效率低一点，不会产生人员伤亡事故。但是车动起来了，就有可能会出问题。所以必须默认车是不能动的，需要人批准才能动。这个逻辑明明非常简单，我是完全无法理解上海地铁铁了心要搞这些高风险自动驾驶的。可能司机是有编制的，站务员不是吧。

固有习惯的力量是很强大的。站务员如果原本是在有人驾驶的线路上运行，刚调到无人驾驶线路上，就可能出现这种操作错误。有人驾驶线路默认红灯，需要给绿灯才放行。无人驾驶线路默认绿灯，但习惯告诉站务员，只要不按绿灯车就不动，即使绿灯，司机看到我在排障也不会发车。于是排障的时候就不会先给红灯再去排障，而是直接去排障了。绿灯信号加上没有司机就会让车动起来。

如果这件事把锅推给站务员，我作为上海人绝对不答应。

记者从上海地铁获悉，1月22日下午4点30分左右，15号线祁安路站一名老年女乘客下车时被屏蔽门夹住，工作人员急速上前，试图帮助脱困，后经送医抢救该乘客仍不幸身亡。

事故具体原因有关部门已介入，正在进一步调查中，运营方对该乘客的不幸离世深感痛惜，将全力配合调查工作，并做好家属安抚及后续相关事宜。

1月25日上午，@上海地铁shmetro官微针对女乘客被屏蔽门被夹身亡发布声明：

当天下午4点30左右，15号线祁安路站一名老年女乘客下车时被屏蔽门夹住，工作人员急速上前帮助脱困，后经送医抢救该乘客仍不幸身亡。【事故具体原因有关部门正在进一步调查中】运营方对该乘客的不幸离世深感痛惜，将全力配合调查，并做好家属安抚善后及后续相关事宜，同时进一步保障线路安全运营。【安全提示】为了您和地铁运营安全，当列车车门、屏蔽门（安全门）门灯闪烁、警示声鸣响时，切勿强行上下车。

【注意！】

当我们在乘坐电梯的时候

有时候电梯的门快要关闭，快赶不上时

我们总会用各种物品：手、脚、包包......阻挡电梯门关闭

当我们在赶地铁、高铁时

有时也会带上这种习惯

为了让自己（或同伴）赶上这趟地铁

在车门开始关闭的瞬间

用手中的物品阻挡车门关闭

以为这样就可以顺利挤进车厢

这个动作，很危险！

大家对于地铁屏蔽门的认知存在很多误区

我们整理了四个大家容易产生的误区

↓↓↓

• 误区一：以为屏蔽门遇阻就会弹开

通常人们在上下电梯的时候，如果电梯门即将关闭，人们会将手伸到两扇门之间，电梯门感应到物体就会重新打开。但地铁屏蔽门只有遇到厚度超过限定的被夹物体才会弹开。地铁的屏蔽门跟电梯门还是有很大不同！

由于手的大小及触碰面积大小的不同，当我们伸出手去阻隔屏蔽门时，地铁屏蔽门可不一定会有所感应，这时屏蔽门非但不会弹开，反而会执着地继续关闭，造成不必要的伤害。

所以千万不要把手伸到屏蔽门之间，千万不要把手伸到屏蔽门之间千万不要把手伸到屏蔽门之间重要的事情说三遍！！！大家要记住啦！

• 误区二：以为屏蔽门遇阻后会完全打开

想象一下，如果屏蔽门感应到物体后就完全打开，附近的乘客就可能“趁机”进入列车，再打开，再进入。在客流量较大的车站，这样的开开合合可能会反复多次，导致列车延误，危害运营安全。

所以，在遇到障碍物时，地铁屏蔽门会再次进行开关门，在保证人能及时移开障碍物的同时，也保证列车能够按照计划及时出站。

• 误区三：不了解屏蔽门的开合模式

屏蔽门和地铁门有两次防夹缓冲，反复弹开三次后，如再碰到障碍物，屏蔽门会完全打开。只要有一扇门没有全部关上，列车就不会启动，一直停在站台，直至所有车门、屏蔽门全部关闭。

所以，在客流高峰期，抢上、抢下行为，反而会增加大家的出行时间。

• 误区四：以为挤进屏蔽门就能安全上车

有些乘客认为，只要挤进了屏蔽门，就一定能够顺利的挤进车厢。但这恰恰是最危险的，因为你很有可能被困在屏蔽门与车门的中间。

虽然在各车站的屏蔽门都有加装障碍物探测保护装置，以防止人员被困在屏蔽门和车门中间。但是，这个举动实在是太危险啦！所以， 当车门发出“滴滴”的警报声，且黄灯闪烁时表示车门即将打开或关闭，请不要靠近车门。

所以在此，我们也提醒大家：车门即将关闭时，如果上不了车请耐心等候下一趟车不要强行阻挡屏蔽门关闭上车安全出行从自身做起！

来源：澎湃新闻、深圳市轨道交通、微博等

按目前推测的问题来看，运行逻辑有问题，设备提供商肯定要背锅的，算个数的话，大概七成的锅吧，两成车站背，违规使用钥匙隔离屏蔽门的车务人员一成。

这个逻辑就是：隔离操作和重运行操作是完全不同的两个软件流程，要分开到两个操作点，甚至得两波人操作，但是事件中的隔离门貌似是把两个操作合在一个地方了。

隔离操作把屏蔽门隔离出系统，系统的安全检测置为安全档位，但是这个安全档位不等于要自动开始主流程，而是要置于停止运行状态，等待一个运行命令才能继续发车。

也就是说，当安全检测流程发生改变时，系统的初始状态必须归零，也就是停止状态，等待新的开始命令才能按照新的安全检测流程运行，而这个开始命令必须要在另一个地方发出。

这是个很低级的设计错误，很多做机械的知友都指出来了。

这种事情本来是可以通过软硬件设计避免的，但是这个漏洞并没有堵住。

不要过于苛责人在其中的作用，人永远是会犯错的，机械和自动化的使命本来就是代替人执行任务，如果这么低级的错误都需要人通过严格训练严格按流程使用去弥补，那就失去了自动化的意义。