王潔寧，鐘 彬

（中國民航大學(xué)空中交通管理學(xué)院，天津 300300）

在2017—2019年全球航空安全計劃中，ICAO 將跑道安全、飛機失控和可控飛行撞地（CFIT,controlled flight into terrain）3 類高風(fēng)險事件列為全球航空安全的重點。近十年以來，雖然增強型近地警告系統(tǒng)（EGPWS）的全面使用，可控飛行撞地事故得到了有效的預(yù)防[1]，但仍然不容忽視。據(jù)《2016年中國民航航空安全報告》統(tǒng)計，2007—2016年間可控飛行撞地事故共發(fā)生23起，在民用航空類事故中仍占有較大比重，相應(yīng)的事故征候，如下滑道警告，下降率過大等也時有發(fā)生。應(yīng)安全管理體系（SMS）的要求，安全風(fēng)險管理不僅要識別并緩解危險，還要找出潛在的不安全狀況，從根本上杜絕事故的發(fā)生[2]。

國內(nèi)的研究主要基于早期發(fā)生的大量事故，分析CFIT 的事故致因，主要集中于飛行機組的行為差錯。普遍采用事故樹、Reason-SHEL 模型、功能共振事故模型等對CFIT 事故成因及其之間的邏輯關(guān)系做定性分析，此外，用貝葉斯網(wǎng)絡(luò)等對CFIT 風(fēng)險進行了定量評價[3-6]。在國外，有學(xué)者根據(jù)往年發(fā)生的CFIT 事故，基于人因分析與分類系統(tǒng)（HFACS）模型對事故致因進行了一個全面的歸納總結(jié)[7-9]。以往的研究主要在于找出可控飛行撞地的危險致因以及分析致因的重要性，并基于此給出事故預(yù)防的重點。致因因素之間往往只有簡單的線性關(guān)系，而事故的發(fā)生并不是簡單的、獨立的事件鏈的過程。

為了清晰地表達組織因素之間的交互關(guān)系，應(yīng)用系統(tǒng)動力學(xué)的方法，以因果圖的方式表達風(fēng)險發(fā)生的可能過程，借助于系統(tǒng)動力學(xué)中靈活的函數(shù)關(guān)系，建立一個簡化的事故模型，實現(xiàn)對影響因素之間交互關(guān)系的分析以及風(fēng)險評價。由于大多數(shù)可控飛行撞地事故發(fā)生在飛行的進近著陸階段，研究著重考慮進近著陸階段的可控撞地風(fēng)險。

1 可控飛行撞地風(fēng)險致因分析

雖然造成飛機可控撞地或撞障礙物的原因很多，包括惡劣天氣、導(dǎo)航設(shè)備故障等，但飛行員差錯是大多數(shù)CFIT 事故中最主要的原因。飛行員差錯最常見的類型有飛行員未能隨時掌控飛機的位置及離地高度，喪失高度意識[10]。此外，疲勞也會使經(jīng)驗豐富的飛行人員犯重大錯誤，最終導(dǎo)致事故發(fā)生。

根據(jù)往年事故發(fā)生的原因統(tǒng)計，主要分為如下4種情況研究CFIT 風(fēng)險。

1）高度氣壓表設(shè)定錯誤 由于操作失誤或通話信息識別錯誤導(dǎo)致的氣壓表設(shè)錯，且機組交叉檢查無效導(dǎo)致的低于安全高度的事故風(fēng)險。

2）沒有調(diào)節(jié)高度表 由于機組遺忘導(dǎo)致的低于安全高度的事故風(fēng)險。

3）下降率過大 由于機組操作不當(dāng)或喪失高度警覺導(dǎo)致的低于安全高度的事故風(fēng)險。

4）偏離航線 惡劣天氣導(dǎo)致的繞飛撞障礙物風(fēng)險，或由于管制員指揮失誤偏離預(yù)計航線產(chǎn)生的風(fēng)險。

基于上述4 類情況需做進一步的原因分析，而其影響因子往往不是單一獨立的，在此引入系統(tǒng)動力學(xué)方法。系統(tǒng)動力學(xué)是系統(tǒng)科學(xué)與管理科學(xué)交叉融合的一門學(xué)科，目前廣泛應(yīng)用于供應(yīng)鏈、城市發(fā)展、經(jīng)濟、交通等各個領(lǐng)域[11]。系統(tǒng)動力學(xué)模型是一種描述性模型，它以動態(tài)反饋圖結(jié)合仿真運行的形式來反映復(fù)雜系統(tǒng)的結(jié)構(gòu)和行為，進一步揭示系統(tǒng)狀態(tài)變化的根本原因，分析不同決策條件下的系統(tǒng)變化趨勢。

系統(tǒng)動力學(xué)因果關(guān)系圖是表示系統(tǒng)反饋結(jié)構(gòu)的重要工具[12]，它通過有向箭頭來表示信息流動的方向，用“+”、“-”來表示單個變量變化時，與之直接相關(guān)的變量的變化趨勢。

可控飛行撞地風(fēng)險事件的因果關(guān)系如圖1所示。

圖1 可控飛行撞地因果關(guān)系圖Fig.1 Cause-effect diagram of CFIT

其中，“〈飛行員技術(shù)水平〉”、“〈飛行員疲勞〉”、“〈慣例違規(guī)〉”分別為“飛行員技術(shù)水平”、“飛行員疲勞”和“慣例違規(guī)”的影子變量，含義與原變量相同。

根據(jù)Vensim 軟件的統(tǒng)計，圖1中關(guān)于CFIT 風(fēng)險共有21 條回路。

環(huán)路1CFIT 風(fēng)險→+培訓(xùn)教育頻率→+飛行員技能水平→-操作不規(guī)范→+下降率過大→+低于安全高度或距離→+CFIT 風(fēng)險。

該環(huán)路中負因果鏈的數(shù)目為奇數(shù)，是負反饋回路，負反饋回路可以自我校正，最終將變化抵消。即CFIT 風(fēng)險值增加，通過培訓(xùn)增加飛行員的技能水平，降低操作差錯的頻率從而降低風(fēng)險。

環(huán)路2CFIT 風(fēng)險→+培訓(xùn)教育頻率→+飛行員技能水平→-復(fù)誦不嚴謹→+通話誤差（指令聽錯、理解錯）→+高度氣壓表設(shè)定錯誤→+低于安全高度或距離→+ 察覺風(fēng)險→+有效措施→-CFIT 風(fēng)險。

該環(huán)路中負因果鏈的數(shù)目為偶數(shù)，是正反饋回路，正回路在擾動傳播的過程中將增強原來的變化?；芈分蠧FIT 風(fēng)險降低，每月僅例行培訓(xùn)，長時間按部就班仍會出現(xiàn)差錯導(dǎo)致出現(xiàn)風(fēng)險的趨勢，但若飛行員較早察覺及時糾正仍能降低風(fēng)險值。

2 系統(tǒng)動力學(xué)建模

2.1 CFIT 系統(tǒng)動力學(xué)模型

因果關(guān)系圖描述了系統(tǒng)的結(jié)構(gòu)，但是并不能表示系統(tǒng)的行為，它只是相鄰兩變量之間的簡單關(guān)系。在系統(tǒng)的行為表達上，應(yīng)該是所有變量相互作用的結(jié)果，如此需要建立風(fēng)險系統(tǒng)的動態(tài)流圖，并用仿真的方式分析回路中占主導(dǎo)地位的因素[13]。構(gòu)建CFIT 風(fēng)險系統(tǒng)的流量存量圖，如圖2所示。

模型采用時間步長為月，按風(fēng)險評估周期，確定模型模擬總時間為1年，風(fēng)險值用風(fēng)險發(fā)生的頻率和嚴重度來衡量。根據(jù)可靠系統(tǒng)對安全余度的考量，將風(fēng)險嚴重度等級的評定按有沒有達到地形警告級別和采取有效措施兩方面綜合考慮，如表1所示。

圖2 CFIT 風(fēng)險流量存量圖Fig.2 Flow-stock diagram for CFIT risk

表1 風(fēng)險嚴重度等級劃分Tab.1 Risk severity level

表1間接反映了可控飛行撞地事故風(fēng)險是隨時間逐漸增大的，在風(fēng)險出現(xiàn)的初始，若機上飛行人員感知或察覺較早就可以有效防止事故的發(fā)生。

按嚴重度等級1 ～4 制定風(fēng)險的分值分別為25、50、75 和100。采用概率風(fēng)險評價法（PRA）：風(fēng)險=頻率×嚴重度，計算出CFIT 的風(fēng)險值，其中，CFIT 風(fēng)險發(fā)生頻率由流量存量圖中的風(fēng)險增加的直接影響因素確定為

其中：n1～n4分別代表下降率過大、偏離航線、沒有調(diào)高度表、氣壓高度表設(shè)定錯誤4 種情況發(fā)生的次數(shù)。

通過仿真可以得到12 個月的累計風(fēng)險值。根據(jù)海因里希安全法則，生產(chǎn)過程中存在著大量的隱患，無傷害事件或未遂事故∶輕傷害事故∶死亡及重傷害事故的比值約為300 ∶29 ∶1。對于不同的生產(chǎn)過程，不同的事故類型，該比例關(guān)系雖然不一定相同，但本質(zhì)上卻表明了無數(shù)次意外事件，才會導(dǎo)致重大傷亡事故發(fā)生的必然規(guī)律。由此分析考慮，將累積的風(fēng)險值劃分為4 個等級，其等級及含義如表2所示。

表2 風(fēng)險等級劃分Tab.2 Risk level

以風(fēng)險大小衡量系統(tǒng)的安全程度，判斷安全程度是否在可接受的范圍內(nèi)，并據(jù)此決定是否采取措施改善安全狀態(tài)。在系統(tǒng)動力學(xué)反饋圖中可判別哪項條件對風(fēng)險的影響較大，以確定從哪方面入手加以管理。

為方便對CFIT 風(fēng)險進行定量評價，還需對流量存量圖中的其他變量關(guān)系進行定義，其中主要的動力學(xué)關(guān)系如表3所示。

表3 模型中主要的動力學(xué)關(guān)系Tab.3 Main dynamical relation

2.2 模型檢驗

模型完成后，還需進行模型測試，以驗證模型是否符合基本的物理規(guī)律，前后量綱是否一致以及在輸入條件發(fā)生極端變化時，模型是否依然適用[14]。利用Vensim 軟件本身的檢驗功能對模型進行檢驗并修正模型，保證模型量綱一致且能夠運行。對運行中的模型進行敏感性測試及極限情況測試，調(diào)節(jié)模型中的常量，隨著常量取值變化，觀察系統(tǒng)中所有變量的值是否變化、是否超出指定的取值范圍，且根據(jù)變化的快慢，可檢測出哪幾個變量對風(fēng)險的影響最大[15]。經(jīng)檢驗，模型整體的變化趨勢符合常理，且變量取極限值時，相關(guān)變量的值也在合理的范圍內(nèi)，如表4所示。

表4 模型變量取值分布Tab.4 Variable value distribution

3 模型仿真分析

在做敏感性測試時發(fā)現(xiàn)對風(fēng)險影響較為顯著的變量為每月飛行時間和慣例違規(guī)，所以對這2 項進行著重分析。

每月飛行時間主要影響的是飛行員疲勞，疲勞對飛行員的操作和判斷影響較大，對風(fēng)險有較明顯的影響。將初始數(shù)據(jù)輸入模型，利用Vensim 軟件進行仿真，表4中6 個常數(shù)參數(shù)分別設(shè)定輸入為（0.005，RANDOM UNIFORM（0，0.1，0.05），0.05，0.01，RANDOM NORMAL（40，100，70，3，70），RANDOM UNIFORM（0，5，2））。調(diào)節(jié)飛行員每月飛行時間，考察疲勞對風(fēng)險的影響：考慮每月平均飛行時間分別為60 h、70 h、80 h、90 h 的情況。仿真預(yù)測結(jié)果如圖3所示。

圖3 CFIT 風(fēng)險的仿真預(yù)測值Fig.3 The simulation predicted value of CFIT risk

圖3表示的是以月為單位，1年累計的風(fēng)險狀態(tài)。以每月平均70 h 為例，到12月，風(fēng)險累計值為273.426，對照表2的等級劃分，表明系統(tǒng)中雖然存在風(fēng)險但仍在可接受的范圍內(nèi)。每月飛行時間不同，飛行員的疲勞程度不同，對CFIT 風(fēng)險的影響也不同。圖中可看出，每月飛行不超過70 h 時，CFIT 的風(fēng)險等級還處于可以接受的狀態(tài)。當(dāng)平均飛行時間超過80 h，風(fēng)險較大，需要管理部門加強管理調(diào)節(jié)，改善安全狀態(tài)。由此可見，飛行員的疲勞對CFIT 風(fēng)險的影響較大，相關(guān)部門需要綜合飛行的工作量和航班流量對飛行員進行合理的排班。

飛行員月平均飛行時間除直接影響飛行員疲勞外，還表現(xiàn)為飛行經(jīng)驗直接影響飛行的技能水平，如圖4所示。

圖4 飛行員技能仿真Fig.4 Simulation predicted value by pilot risk

飛行員技能與CFIT 風(fēng)險相互影響，飛行員技能受飛行時間、疲勞、飛行員自身狀態(tài)等的影響會有所下降，當(dāng)每月風(fēng)險累計到一定程度，會加強培訓(xùn)管理，飛行員技能加強，月風(fēng)險值降低，累計風(fēng)險趨勢漸緩。結(jié)合圖3，平均飛行時間不超過2 級風(fēng)險限定值時，對風(fēng)險的影響其實是較小的。但在這個限定值以下，平均飛行時間越長，飛行經(jīng)驗增加，飛行員的技能水平也越高，如圖4（b）。所以一個變量對系統(tǒng)的影響并不是單一的，有利有弊，在管理上需要綜合考慮，把握好度。

此外，由仿真所得的其他變量的預(yù)測圖，可得飛行時間間接對機組的有效檢查、操作執(zhí)行錯誤、通話誤差及飛行員反應(yīng)決策時間有較大影響。

慣例違規(guī)是飛行員的個人態(tài)度問題，可通過教育等方式修正，模型設(shè)計之初，為便于分析它的影響，將它作為一個常量。該項與飛行員的技能水平有直接的負相關(guān)關(guān)系，該項的概率值增大時，由仿真輸出結(jié)果可知飛行員的技能水平下降，而CFIT 風(fēng)險值增大。

綜合考慮每月飛行時間、慣例違規(guī)兩項指標(biāo)，共設(shè)計7 種方案，如表5所示，分析這7 種方案下的風(fēng)險值的變化[16]。

表5 模型調(diào)整方案Tab.5 Model adjustment scheme

圖5 不同方案下的風(fēng)險值對比Fig.5 Risk comparison under different scenarios

結(jié)果顯然，兩項指標(biāo)的影響相互交錯，且其對風(fēng)險的影響趨勢是一樣的。考慮每月飛行時間為70 h 的情況（基準方案、方案1、方案4），當(dāng)慣例違規(guī)出現(xiàn)的概率由0.005 增加到0.05，再到0.1 時，風(fēng)險值由266.263 到308.159，再到358.042，是很明顯的上升趨勢。其中方案2 與方案4，以及方案3 與方案5 風(fēng)險結(jié)果相似，而方案6 已經(jīng)上升到了高風(fēng)險的級別。由此表明，風(fēng)險管理需全方位把控，不能只看到運行狀況良好的一面，在不利狀態(tài)下的高風(fēng)險是比較好察覺的，但若處于安全的狀態(tài)下，也要能察覺潛藏的隱患。

4 結(jié)語

1）CFIT 因果關(guān)系圖清晰表達了事故發(fā)生可能的每一條鏈路，因素之間的邏輯關(guān)系直觀明了，能夠較好地反映事故發(fā)生的深層原因。

2）研究表明飛行員的每月飛行時間和慣例違規(guī)對風(fēng)險的影響較為明顯，即飛行員疲勞和習(xí)慣性違規(guī)應(yīng)該是被關(guān)注的重點。但變量的約束不能以單個因素獨立考慮，在變量的交互影響下，顯然組合方案的風(fēng)險要比只考慮某個變量的風(fēng)險大得多，因此，對于安全的監(jiān)控要綜合全面。CFIT 風(fēng)險模型從系統(tǒng)的角度出發(fā)，可以監(jiān)控到各因素對風(fēng)險的綜合影響，且組合方案的設(shè)定可提高決策管理的有效性。

3）基于系統(tǒng)動力學(xué)對CFIT 風(fēng)險的研究，可驗證該方法在某種既定的關(guān)系上，研究事故風(fēng)險是可行的。在實際應(yīng)用中，可經(jīng)過真實數(shù)據(jù)擬合及經(jīng)驗判斷推出合適的變量關(guān)系方程，設(shè)計恰當(dāng)?shù)哪Ｐ瓦M行仿真預(yù)測分析，結(jié)合實際情況進行事故預(yù)防。