龔喜盈王春生張 琳

（1.西安愛生技術集團公司，陜西 西安 710062；2.中航工業(yè)綜合技術研究所，北京 100028）

軍用無人機系統(tǒng)安全性定量指標研究

龔喜盈1王春生2張 琳1

（1.西安愛生技術集團公司，陜西 西安 710062；2.中航工業(yè)綜合技術研究所，北京 100028）

以美國有人機地面災難性事故的統(tǒng)計數(shù)據(jù)為依據(jù)，建立災難性事故可能性與碰撞動能的函數(shù)關系，借助飛機的重量、翼展、操縱速度、操縱高度數(shù)據(jù)以及預期測試情況（人口密度情況）計算出不同類型無人機系統(tǒng)的安全性指標要求（災難性事故發(fā)生的可能性要求）。最后采用國外5型無人機數(shù)據(jù)進行了驗證。

軍用無人機系統(tǒng)；等效安全水平；安全性指標；碰撞動能

當前，軍用無人機技術迅猛發(fā)展，已經(jīng)成為現(xiàn)代局部戰(zhàn)爭和軍事行動中不可或缺的組成部分，已不可避免地改變了軍事斗爭的方式以及軍事行動的樣式。但是，由于無人機的事故率遠高于民用航空器，無人機只能在空中禁區(qū)（在試驗和訓練的范圍）或戰(zhàn)爭地區(qū)中飛行，并必須最大程度的避免與有人機發(fā)生沖突。此外，從戰(zhàn)斗力保持的角度來看，無人機的高災難性事故率無疑嚴重影響其戰(zhàn)斗力。

目前，我國軍用無人機事故率非常高，在軍用無人機研制中急需全面引入系統(tǒng)安全性以提高安全水平，而安全性定量指標要求極為關鍵。由于無人機的尺寸和特征存在很大差異，以及無人機依賴機上飛控系統(tǒng)和/或數(shù)據(jù)鏈路操作會帶來額外的失效模式，即使無人機（飛機自身）采用了與有人機相同的安全性要求，也會具有更高的事故率。因此，無人機系統(tǒng)不能直接使用尺寸類似的有人機的安全性風險參考系統(tǒng)，需要采用其他的方法制定定量的安全性指標要求。

在無人機系統(tǒng)安全性要求制定方面，歐洲聯(lián)合航空局/歐控無人機系統(tǒng)任務組（也包括歐洲航空安全局（EASA））提出的“無人機系統(tǒng)”（UAS）適航性標準制定原則為：無人機系統(tǒng)的適航性標準應不低于現(xiàn)行同類型有人航空器使用的要求，也不應該簡單地因為技術原因懲罰性地要求UAS符合更高的標準要求。因此，本文將本著等效有人機安全水平的方式確定無人機的安全性指標（災難性事故發(fā)生可能性）要求。

1 有人機安全水平

對于有人機來說，針對不同的航空器類型，適航性標準中給出了不同的安全水平要求。只要滿足適航性標準的要求就可以確保有人機的系統(tǒng)/部件足夠可靠，符合設定的“安全性目標水平”（TLS）。下面將按照民機和軍機分別介紹有人機的安全水平。

1.1 民機安全性要求

對于民機而言，安全性目標包含在適航規(guī)章第23、25、27、29部的第1309條，按照失效的嚴重程度和可能發(fā)生的最大可能性矩陣建立風險系統(tǒng)進行管理。表 1為按照民機適航規(guī)章CCAR-25-R4《運輸類飛機適航規(guī)章》第25.1309條建立的安全風險系統(tǒng)，按照該系統(tǒng)要求，對于整架飛機而言，其發(fā)生災難性事故的可能性應該是極其微小的（也就是通常所說的整機設計的單個災難性失效可能性應小于10-7h-1）；此外，對于飛機的系統(tǒng)而言，由于存在多個災難性失效，單個災難性失效的可能性要求為10-9h-1或更小。此外，事故調(diào)查結果表明有人機的主要事故是由人為錯誤引起。因此，可靠性高的設備僅對整個航空安全帶來部分影響。1999年，F(xiàn)AA發(fā)布的AC 23.1309-1C《23部飛機的系統(tǒng)安全分析及評估》將基于FAR-23《正常類、實用類、特技類和通勤類飛機適航規(guī)定》審定的飛機定義為4類，每一類飛機可接受的失效概率是不同的，如表2所示。

民機按照飛機類型以及使用特點建立了具有不同失效概率要求的安全風險系統(tǒng)，這些要求是公眾所能接受的最低安全要求。

表1 民用運輸類飛機安全風險系統(tǒng)

表2 FAR-23部飛機可接受的事故嚴重程度和失效概率

1.2 軍機安全性要求

依據(jù)MIL-STD-882D《系統(tǒng)安全性標準實踐》和GJB 900A-2012《裝備安全性工作通用要求》，軍機的安全性要求由訂購方根據(jù)裝備的危險特性和可接受的風險水平，并綜合考慮軍事需求、使用任務、任務剖面、技術基礎、研制進度以及全壽命周期的費用等確定。

上述標準中僅給出了定型的安全性指標要求和方法，具體為：依據(jù)歷史事故信息與相似產(chǎn)品經(jīng)驗教訓，利用初步危險表，故障模式、影響及危害性分析，故障樹分析等方法，綜合考慮硬件、軟件、環(huán)境及使用與維修規(guī)程等因素，識別裝備在整個壽命期內(nèi)所有可能存在的危險；分析每個危險的原因、發(fā)生可能性以及對人員、設施、裝備和環(huán)境等造成的影響，并從危險嚴重性（定性的危險嚴重性等級劃分見表 3）和危險可能性（定性的危險可能性等級劃分見表 4）兩個方面開展風險評價（定性的風險評價方法參見表 5）。

在上述標準中并沒有給出定量的安全性指標要求，但是建立了與民機相似的、定性的安全風險系統(tǒng)（具體接受程度有差別，比民機要求低）。美國空軍適航性通告AWB-13A《風險識別和接受適航性決定》中指出：軍機型號的安全性指標可以按照整個型號所有飛機在全壽命周期發(fā)生一次災難性事故的預估值作為定量要求。但是在實際使用中因為機隊規(guī)模和飛機壽命帶來的影響很大，最終估算的安全性定量要求可能很高，也可能很低。因此，軍用無人機系統(tǒng)需要制定適合自身特點的安全性定量指標要求。

表3 危險嚴重性等級劃分[1]

表4 危險可能性等級劃分[1]

表5 危險的風險指數(shù)參考系統(tǒng)[1]

2 軍用無人機系統(tǒng)安全性定量指標

2.1 軍用無人機系統(tǒng)安全性要求

在保證軍用無人機系統(tǒng)具有與有人機同等安全水平的前提下，類似于有人機安全風險系統(tǒng)要求，無人機安全性要求可以制定成下述定性的系統(tǒng)安全性要求：

a) 無安全影響的失效條件無概率要求；

b) 輕微的失效條件應小于很可能發(fā)生的概率；

c) 輕度的失效條件必須是小于偶然發(fā)生的概率；

d) 危險的失效條件必須是小于很少發(fā)生的概率；

e) 災難性的失效條件必須小于極少發(fā)生的概率。

在具體型號中，對于上述定性的系統(tǒng)安全性要求，可以依據(jù)型號的特征以及預期的使用區(qū)域，確定定量的安全性要求。本文只針對災難性事故的發(fā)生可能性（即，極少發(fā)生的定量指標）進行研究。

2.2 軍用無人機系統(tǒng)安全性定量指標確定

在安全工程中有一種經(jīng)常使用的方法：采用基于最壞結果的預期可能性定義一次特定事故的安全性參數(shù)，可用于確定最大失效概率。對于UAS的運行，多數(shù)事故最壞的結果是發(fā)生一個或更多人員喪命，因此，可以基于上述方法使得無人機具有與有人機“等效的安全水平”（ELOS）。

依據(jù)1983～2006年美國聯(lián)邦交通安全委員會（NTSB）事故數(shù)據(jù)其總的災難性事故率為5.05×10-5h-1。從美國海軍的調(diào)查也是明顯的，海軍的商業(yè)、通用航空和各自的航空器地面災難性事故率為1.8×10-6h-1、7.0×10-7h-1和4.7×10-6h-1。調(diào)查包括1980～1998年的海軍飛行以及1982～1998年的民用航空數(shù)據(jù)。因此，不同事故類型影響之間的主要差別可以被預測，ELOS可以按照事故類型分別求得。

由于UAS機上沒有人員，在確定無人機系統(tǒng)地面碰撞后的災難性事故率時只需考慮地面上的災難數(shù)。由表6可知，地面上的災難數(shù)僅占總災難數(shù)的很小比例，約為6%。因此，地面災難事故率可通過10-6h-1計算。

美國海軍調(diào)查報告提出的UAS災難事故率為10-7h-1或者更低（其要求包括戰(zhàn)損），因此允許更高的災難事故率。北約（NATO）STANG 4671《無人機系統(tǒng)適航性條例（USAR）》采用的重大UAS事故TLS為10-6h-1，與本文對應的安全水平要求相比，相當或更低。雖然更嚴格的要求非常吸引人，但也會嚴重妨礙UAS的發(fā)展。因此，從表現(xiàn)出的危險來保守估計更好，因為它可以隨著飛行時間的累計和危險評估才能增加可信度。

由于ELOS已被定義，基于災難性事故率（fF）的TLS可以定義成最大容許地面碰撞事故頻率fGI：

表6 基于1983～2006年NTSB的事故統(tǒng)計數(shù)據(jù)分析的災難性事故率

在式（1）中，E( fatalities ground impact)這一項要計算，它是幾個參數(shù)的函數(shù)，包括在碰撞位置的人數(shù)和碰撞的能量。飛機地面碰撞后的傷亡人數(shù)可以如下確定：

式中，Nexp為碰撞區(qū)域的人數(shù)。

假定一個人口密度，Nexp可以按照碰撞面積（Aexp）乘以人口密度（ρ）確定：

基于碰撞特點有很多方法來確定Aexp。對于一個垂直撞擊，這一區(qū)域大約為飛機頭部面積加上一小塊緩沖區(qū)用以考慮人的平均寬度，而對于滑翔下降可以用式（4）近似，式中翼展和機長都已加上正常人的半徑：

其結果是，當碰撞中的人數(shù)已知時，暴露出的災難可能性需要計算。災難事故可能性可以用碰撞動能的函數(shù)來估計，盡管其它的參數(shù)也會影響它。不巧的是，這種函數(shù)如何定義在文獻中沒有一致的說法。根據(jù)RCC323[3]的研究結果，一個1lb重動能為50 J的物體引起災難性事故的可能性為10%，而同樣的物體動能超過200 J時這種可能性就超過90%。根據(jù)RCC321[4]的研究結果，對應的1 000 lb重的物體碰撞動能分別為40 kJ和115 kJ，比之前的模型有3個數(shù)量級的差別。這樣的差別可以歸因于動能與通過事故數(shù)據(jù)估計的災難事故可能性之間的沒有很強的關聯(lián)。因此，不同質(zhì)量的物體的碰撞可能會產(chǎn)生不同的效果，即使在參與碰撞的動能是相同的時候。然而，基于碰撞動能的一條對數(shù)曲線一般認為是災難事故估計的一個良好模型。

同樣也應指出，前述的模型是基于一個物體對人的直接碰撞，沒有把在碰撞過程中碰撞能量會被建筑物、樹、車輛或其它物體吸收的影響考慮在內(nèi)。災難事故可能性可作為滲透系數(shù)給出，這一系數(shù)取決于UAS的特征，并且將保護措施考慮在內(nèi)。但是觀察Weibel和Hansman給出的4個滲透參數(shù)的例子，如圖1所示（進行對比），可以看出Weibel的模型對較小的車輛的估計過于保守，因為給一個重量小于100 g的車輛分配了災難性事故可能性為5%，而與此同時，該模型卻低估了大型車輛的殺傷力?，F(xiàn)在還沒有提出一個一致的方法來估計其它UAS的滲透系數(shù)。

圖1 災難性事故可能性與碰撞動能的函數(shù)關系（Weibel和Hansman采用RCC321和RCC323中的模型估計）[2]

綜合考慮前面的判斷和觀察結果，并且以圖1中得到的災難事故曲線為基礎，同時把飛機質(zhì)量和保護裝置考慮在內(nèi)，提出了一個變化的對數(shù)增長模型用于估計P( fatalityexposure)，=它是碰撞動能（ Eimp）的函數(shù)。這一模型如式（5）所示，取決于3個參數(shù)（α，β，ps）：

保護參數(shù)ps∈(0，1]，取決于人員暴露在碰撞中的程度，它是飛機碰撞軌跡中可以吸收碰撞能量或使碎片偏轉的物體數(shù)量的函數(shù)，同時也是人在這些物體后采取保護的能力的函數(shù)。取一個平均值0.5，這個值高表示在同樣的動能下更好的保護和更低的災難可能性。參數(shù)α表示ps=0.5災難事故可能性為50%時所需的碰撞能量，β表示當ps=0時引起災難事故所需的碰撞能量界限。對于較小的ps同時適當選取β，式（5）近似于圖1中的曲線。圖 2表示ps不同值時模型所產(chǎn)生的曲線。

圖2 災難事故可能性與碰撞動能的函數(shù)關系（α=106J，β=100J對應不同的ps值）

碰撞動能是碰撞速度的函數(shù)，碰撞速度可能會不同，這取決于UAS和降落特性。一個有效保守的對碰撞速度的估計是最終速度，后者可以依據(jù)式（6）計算。

式中：m表示航空器質(zhì)量；g為重力加速度； ρα為大氣密度；A為飛行器橫截面積；Cd為阻力系數(shù)。

依據(jù)其他研究，為簡化計算，可采用最大操縱速度（vop）的140%來代替最終速度，如式（7）所示：

依據(jù)上述公式，可以對無人機系統(tǒng)災難性事故發(fā)生的可能性進行估計，如式（8）所示：

3 軍用無人機系統(tǒng)安全性指標案例

采用以上方法可以得到不同類型的UAS的安全性定量指標要求。下面用5個固定翼UAS分別進行研究。系統(tǒng)的選擇跨越所有尺寸，它們的基本特征和使用參數(shù)如表7所示。在每種情況下α和β取平均值，分別為106J和102J。測試區(qū)域人口情況如表8所示。依據(jù)上述參數(shù)，按照公式（8）可計算出每種無人機系統(tǒng)對應不同測試情況的災難性事故的概率要求，如表9所示。

表7 美軍5型固定翼無人機的基本特性

表8 每種測試情況的參數(shù)以及相應的方案描述

表9 不同測試情況運行5型固定翼無人機災難性事故概率要求

盡管這些結果會受內(nèi)部參數(shù)和模型本身不確定性的影響，但對于不同類型的UAS的安全性定量指標從數(shù)量級來看是基本準確的。另外，推導出更加詳細的模型尤其是驗證這樣的模型將會是十分困難的，因為缺少事故數(shù)據(jù)。然而，已在所有情況中采用了保守的模型和估計。

4 結論

本文按照等效有人機安全水平的思路，結合無人機的特點，按照民機地面災難性事故統(tǒng)計數(shù)據(jù)，采用飛機自身的重量、尺寸、操縱速度和操縱高度，以及預期的使用區(qū)域人口密度等數(shù)據(jù)，采用碰撞模型可以估算出無人機的災難性失效發(fā)生的可能性要求。采用該方法可以估算各型無人機頂層安全性指標，針對適航性標準中的要求給出定量的安全性指標要求。

[1] GJB 900A-2012 裝備安全性通用要求[S].

[2] K. Dalamagkidis, K.P. Valavanis, L.A. Piegl, On Integrating Unmanned Aircraft Systems into the National Airspace System[M].Springer Science+Business Media, B.V.2009.

[3] U.S. Army White Sands Missile Range, Range safety criteria for unmanned air vehicles – rationale and methodology supplement, Supplement to document 323-99 [R]. Range Safety Group, Range Commanders Council, 1999.

[4] U.S. Army White Sands Missile Range, Common risk criteria standards for national test ranges: Supplement, Supplement to document 321-07[R]. New Mexico: Range Safety Group, Range Commanders Council, 2007.

（編輯：勞邊）

T–65

C

1003–6660（2014）04–0034–05

10.13237/j.cnki.asq.2014.04.009

[收修訂稿日期] 2014-05-17