張 鑫,孫有朝
(南京航空航天大學(xué) 民航學(xué)院, 南京 211106)
民用飛機(jī)飛行試驗(yàn)是一項(xiàng)技術(shù)性強(qiáng)、風(fēng)險(xiǎn)大、周期長(zhǎng)、投資大的綜合性系統(tǒng)工程,其最根本的目的就是驗(yàn)證飛機(jī)的安全性[1]。飛行試驗(yàn)需要在諸如舵面卡阻、動(dòng)力裝置失效、液壓系統(tǒng)失效等系統(tǒng)故障下進(jìn)行,這些試驗(yàn)技術(shù)復(fù)雜、風(fēng)險(xiǎn)極高,必須經(jīng)過(guò)科學(xué)的風(fēng)險(xiǎn)識(shí)別并采取有效的風(fēng)險(xiǎn)降低措施,才能安全地執(zhí)行。根據(jù)《航空器型號(hào)合格審定試飛安全計(jì)劃》(AP-21-AA-2014-31R1)要求,民用飛機(jī)在開(kāi)展飛行試驗(yàn)時(shí),必須進(jìn)行試飛風(fēng)險(xiǎn)的評(píng)估和控制。試飛工作的首要任務(wù)是要識(shí)別出飛行試驗(yàn)中的風(fēng)險(xiǎn),明確風(fēng)險(xiǎn)發(fā)生的概率和發(fā)生后果的危害程度,制定出規(guī)避和降低風(fēng)險(xiǎn)的相應(yīng)措施,確保飛行試驗(yàn)?zāi)軌虬踩珜?shí)施。
目前,殷銘[2]闡述了SHEL風(fēng)險(xiǎn)管理模型在民用飛機(jī)試飛中的應(yīng)用價(jià)值?;萆儆耓3]詳細(xì)分析了試飛風(fēng)險(xiǎn)管理體系的風(fēng)險(xiǎn)管理范疇,確立試飛風(fēng)險(xiǎn)評(píng)價(jià)方法與預(yù)防措施,提出試飛風(fēng)險(xiǎn)的應(yīng)對(duì)和應(yīng)急處理策略。張?chǎng)猍4]提出了試飛安全管理體系建設(shè)總方案,并闡述了實(shí)施和評(píng)估步驟。王劍鋒[5]引入了模糊綜合評(píng)價(jià)理論對(duì)試飛風(fēng)險(xiǎn)進(jìn)行評(píng)價(jià)。這些方法大多是采用定性評(píng)估,缺乏定量數(shù)據(jù)的有力支撐,評(píng)估結(jié)果的往往不夠精準(zhǔn)。而貝葉斯網(wǎng)絡(luò)是一種能夠?qū)?zhuān)家經(jīng)驗(yàn)和事故數(shù)據(jù)等結(jié)合在一起的技術(shù),有很強(qiáng)的描述能力,能對(duì)事故進(jìn)行推理診斷,適合用于風(fēng)險(xiǎn)評(píng)估。
本文根據(jù)美國(guó)國(guó)家運(yùn)輸安全委員會(huì)(National Transportation Safety Board,NTSB)關(guān)于灣流G650試飛事故的調(diào)查,建立了試飛風(fēng)險(xiǎn)的故障樹(shù),然后在故障樹(shù)的基礎(chǔ)上建立貝葉斯網(wǎng)絡(luò)模型[6]。采用貝葉斯建模軟件GENIE進(jìn)行正向與反向的概率推理計(jì)算,從而評(píng)估試飛的風(fēng)險(xiǎn)水平,研究試飛風(fēng)險(xiǎn)的關(guān)鍵致因,并提出改進(jìn)的建議。
貝葉斯網(wǎng)絡(luò)(Bayesian Network,BN)是一個(gè)有向無(wú)環(huán)圖,由表示變量的網(wǎng)絡(luò)節(jié)點(diǎn)和節(jié)點(diǎn)的有向邊組成,BN是進(jìn)行不確定性表達(dá)和推理的有效工具。在BN模型里,節(jié)點(diǎn)表示隨機(jī)變量,有向弧表示不同變量間的關(guān)系。在BN中,如果有向邊由節(jié)點(diǎn)X指向節(jié)點(diǎn)Y,那么X為Y的父節(jié)點(diǎn),Y為X的子節(jié)點(diǎn),沒(méi)有任何導(dǎo)入箭頭的節(jié)點(diǎn)稱為根節(jié)點(diǎn),沒(méi)有子節(jié)點(diǎn)的節(jié)點(diǎn)稱為葉節(jié)點(diǎn)[7]。每個(gè)子節(jié)點(diǎn)都有在不同父節(jié)點(diǎn)取值組合下的條件概率分布,相應(yīng)的條件概率表可以用來(lái)描述子節(jié)點(diǎn)與父節(jié)點(diǎn)之間的關(guān)系。
在BN中,利用聯(lián)合概率分布即可求得頂事件T發(fā)生的概率。
(1)
式(1)中,Xi為子節(jié)點(diǎn),F(xiàn)(xi)為父節(jié)點(diǎn),n為貝葉斯網(wǎng)絡(luò)中節(jié)點(diǎn)的數(shù)目。
根據(jù)BN對(duì)于條件概率的定義
(2)
假設(shè)A為某個(gè)變量,其存在著n種狀態(tài)a1,a2,…,an,由全概率公式可以求得:
P(B)=∑P(B|A=ai)P(A=ai)
(3)
從而可以由BN得到后驗(yàn)概率P(B/A)。
在民機(jī)試飛風(fēng)險(xiǎn)評(píng)估的過(guò)程中經(jīng)常會(huì)使用故障樹(shù)分析(Fault Tree Analysis,F(xiàn)TA)方法,首先將可能發(fā)生的危險(xiǎn)事件作為頂層輸入,然后找出導(dǎo)致頂事件發(fā)生的各方面的因素,并根據(jù)不同因素之間的邏輯關(guān)系選用相應(yīng)的邏輯門(mén)來(lái)連接它們,最后對(duì)試飛風(fēng)險(xiǎn)因素進(jìn)行定性和定量的評(píng)估。
將故障樹(shù)(Fault Tree,FT)轉(zhuǎn)化為BN,需要確定二者之間的對(duì)應(yīng)關(guān)系。試飛風(fēng)險(xiǎn)評(píng)估BN建模包括兩份部分,需要建立BN網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)并確定BN中各個(gè)節(jié)點(diǎn)的條件概率。網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)的構(gòu)造以及局部的條件概率可以由試飛員、專(zhuān)家或者查詢相應(yīng)的事故調(diào)查報(bào)告來(lái)設(shè)定。將FT轉(zhuǎn)化為試飛風(fēng)險(xiǎn)評(píng)估BN的具體步驟:
1) BN中的根節(jié)點(diǎn)即為FT中所有的底事件,并且FT中重復(fù)出現(xiàn)的底事件僅需在BN中添加一個(gè)根節(jié)點(diǎn)。
2) FT中底事件發(fā)生的概率即為其對(duì)應(yīng)BN中的根節(jié)點(diǎn)的先驗(yàn)概率。
3) FT的每個(gè)邏輯門(mén)輸出的中間事件都對(duì)應(yīng)著B(niǎo)N的一個(gè)中間節(jié)點(diǎn),該節(jié)點(diǎn)的取值由對(duì)應(yīng)邏輯門(mén)輸出事件來(lái)決定。
4) 按照FT中邏輯門(mén)與底事件的關(guān)系來(lái)確定BN中各節(jié)點(diǎn)間的邏輯關(guān)系,并按照FT中事件發(fā)生順序來(lái)連接各個(gè)節(jié)點(diǎn)。
5) BN中節(jié)點(diǎn)的條件概率FT中的邏輯關(guān)系來(lái)確定。
圖1與圖2給出了將FT中邏輯或/與門(mén)的輸入和輸出分別等價(jià)轉(zhuǎn)換為相應(yīng)BN節(jié)點(diǎn)的實(shí)例,表1和表2則分別給出了邏輯或/與門(mén)的條件概率。
圖1 FT或門(mén)的BN轉(zhuǎn)換
圖2 FT與門(mén)的BN轉(zhuǎn)換
ABP(C|A,B))000011101111
表2 與門(mén)條件概率表
2011年4月2日,美國(guó)當(dāng)?shù)貢r(shí)間9時(shí)34分左右,灣流宇航公司一架編號(hào)為N652GD的G650試驗(yàn)機(jī)在起飛時(shí)墜毀。事故發(fā)生在美國(guó)新墨西哥州的羅斯維爾國(guó)際飛行中心,試驗(yàn)機(jī)在進(jìn)行單發(fā)起飛時(shí)右機(jī)翼外側(cè)失速,產(chǎn)生不可控的滾轉(zhuǎn)力矩,導(dǎo)致飛機(jī)右翼尖擦到跑道并偏離至跑道右側(cè)。最終飛機(jī)撞到一個(gè)混凝土建筑和機(jī)場(chǎng)氣象站,導(dǎo)致飛機(jī)出現(xiàn)嚴(yán)重的結(jié)構(gòu)損傷,并被大火吞沒(méi),機(jī)上兩名試飛員和兩名試飛工程師不幸身亡。按照民航規(guī)則以及國(guó)內(nèi)外的實(shí)踐經(jīng)驗(yàn),與試飛風(fēng)險(xiǎn)相關(guān)的因素一般分為人、機(jī)、環(huán)境和管理4類(lèi)。根據(jù)航空專(zhuān)家給出的建議以及NTSB對(duì)此次事故的調(diào)查分析,將試飛風(fēng)險(xiǎn)發(fā)生作為FT的頂事件,構(gòu)建如圖3所示的FT,整個(gè)FT共有7個(gè)邏輯門(mén),12個(gè)底事件,6個(gè)中間事件。假設(shè)FT中的底事件均相互獨(dú)立,并存在正常、失效兩種狀態(tài),利用專(zhuān)家信息以及事故數(shù)據(jù),設(shè)定各底事件即根節(jié)點(diǎn)的失效概率如表3所示。
圖3 試飛風(fēng)險(xiǎn)的故障樹(shù)
節(jié)點(diǎn)(失效)概率/%A1試飛員能力1.8A2試飛員身體情況1.6A3試飛工程師能力1.8A4試飛工程師身體情況1.6B1動(dòng)力系統(tǒng)0.5B2導(dǎo)航系統(tǒng)0.4B3電子設(shè)備0.7B6安全檢查與監(jiān)管1.5B7試飛計(jì)劃合理性2.0B8試飛安全管理體系3.2B9自然環(huán)境0.5B10意外事件0.5
將圖3的FT轉(zhuǎn)換為試飛風(fēng)險(xiǎn)評(píng)估的BN。首先FT的所有的底事件(A1、A2、A3、A4、B1、B1、B2、B3、B6、B7、B8、B9、B10)對(duì)應(yīng)轉(zhuǎn)換為BN中的根節(jié)點(diǎn),并將底事件的先驗(yàn)概率賦值給BN中對(duì)應(yīng)的根節(jié)點(diǎn)作為它的先驗(yàn)概率,并按照?qǐng)D1和圖2的邏輯門(mén)轉(zhuǎn)換方法,將FT輸出事件轉(zhuǎn)換為BN中的中間節(jié)點(diǎn),連接節(jié)點(diǎn)的有向邊的方向和FT中輸入/輸出關(guān)系相對(duì)應(yīng)。利用匹茲堡大學(xué)決策實(shí)驗(yàn)室開(kāi)發(fā)的GENIE軟件,構(gòu)建試飛風(fēng)險(xiǎn)評(píng)估的BN模型如圖4所示[8]。由于篇幅原因,省去邏輯門(mén)轉(zhuǎn)換為BN節(jié)點(diǎn)的條件概率表。
圖4 試飛風(fēng)險(xiǎn)評(píng)估的貝葉斯網(wǎng)絡(luò)模型
以構(gòu)建的BN拓?fù)浣Y(jié)構(gòu)和底事件先驗(yàn)概率得到的試飛風(fēng)險(xiǎn)評(píng)估模型如圖5所示。從圖5中各個(gè)節(jié)點(diǎn)的條件概率計(jì)算結(jié)果可得,試飛過(guò)程正常進(jìn)行的概率P=86%(T為Normal),試飛風(fēng)險(xiǎn)發(fā)生的概率為P=14%(T為Failure)。
圖5 試飛風(fēng)險(xiǎn)評(píng)估的貝葉斯網(wǎng)絡(luò)模型
當(dāng)設(shè)定試飛風(fēng)險(xiǎn)發(fā)生的概率P=1(T為Failure)時(shí),通過(guò)BN模型的反向推理,可以得到如圖6所示各節(jié)點(diǎn)導(dǎo)致試飛風(fēng)險(xiǎn)發(fā)生的條件概率值[9]。當(dāng)試飛風(fēng)險(xiǎn)發(fā)生時(shí),由于事件A1、A2、A3、A4、B1、B2、B3、B6、B7、B8、B9、B10導(dǎo)致的概率分別為13%、11%、13%、11%、4%、3%、5%、11%、14%、23%、1%、1%??梢钥闯鲈囷w風(fēng)險(xiǎn)發(fā)生的主要原因是人的因素以及灣流宇航公司在管理上的問(wèn)題。
假設(shè)導(dǎo)致試飛風(fēng)險(xiǎn)發(fā)生的底事件的概率為pi,令p=(p1,p2,…,pn),則ψ(p)=ψ(p1,p2,…,pn)是試飛故障樹(shù)的概率組成函數(shù)。
圖6 BN模型的反向推理結(jié)果
如果一組底事件的取值能夠使P=1(T為failure),則這組底事件組合成為一個(gè)割集,試飛故障樹(shù)的最小割集是導(dǎo)致試飛風(fēng)險(xiǎn)發(fā)生的最少數(shù)量底事件的集合。通過(guò)下行法可以求得最小割集為:{A1}、{A2}、{A3}、{A4}、{B1}、{B2}、{B3}、{B6}、{B7}、{B8}、{B9,B10}。
通過(guò)最小割集可以求得頂事件T發(fā)生的概率,設(shè)Ci(i=1,2,…,n)是試飛故障樹(shù)的第i個(gè)最小割集,由最小割集可以求得試飛風(fēng)險(xiǎn)發(fā)生的概率為
(4)
概率重要度為底事件發(fā)生時(shí)試飛故障樹(shù)頂事件發(fā)生的概率,通過(guò)概率重要度可以分析底事件概率的增減對(duì)于試飛風(fēng)險(xiǎn)的影響程度,事件xi的概率重要度為
(5)
因此,可以求得各底事件的概率重要度,對(duì)試飛風(fēng)險(xiǎn)影響較大的底事件為A1、A2、A3、A4、B6、B7、B8,其概率重要度分別為86.7%、86.5、86.7%、86.5%、86.4%、86.9%、88.1%,即人的因素與灣流宇航公司管理的因素對(duì)試飛風(fēng)險(xiǎn)的影響最大。
將傳統(tǒng)的故障樹(shù)分析方法與基于貝葉斯網(wǎng)絡(luò)模型的方法相比較,兩種方法均對(duì)可有效的進(jìn)行試飛風(fēng)險(xiǎn)評(píng)估,并且得到的試飛風(fēng)險(xiǎn)發(fā)生概率分析結(jié)果相同。在分析底事件的影響程度方面,兩種方法均可以定量的給出底事件對(duì)于試飛風(fēng)險(xiǎn)的影響程度,并且均得到了試飛風(fēng)險(xiǎn)的關(guān)鍵致因,便于對(duì)試飛風(fēng)險(xiǎn)的控制與管理。
與傳統(tǒng)的故障樹(shù)相比,貝葉斯網(wǎng)絡(luò)模型的優(yōu)點(diǎn)在于它能夠通過(guò)推理表達(dá)試飛風(fēng)險(xiǎn)與影響因素間的不確定關(guān)系,進(jìn)行相關(guān)性分析,并且借助GENIE軟件采用圖形化的方法來(lái)描述數(shù)據(jù)間的關(guān)系,更直觀且易于理解。
對(duì)于底事件A1、A2試飛員的能力、試飛員的身體情況:試飛員在試飛前要完成必要的身體檢查。在飛行試驗(yàn)執(zhí)行中,試飛員要根據(jù)飛行中出現(xiàn)的不安全情況和存在影響飛行安全因素等情況隨時(shí)終止試驗(yàn)。在這次試飛過(guò)程中,試飛員對(duì)于單發(fā)起飛過(guò)程中的抬前輪技術(shù)掌握得不夠成熟,降低了實(shí)際的安全起飛速度以縮短起飛距離,降低安全起飛速度意味著飛機(jī)更早的離地,使飛機(jī)離地時(shí)的速度更接近失速,從而導(dǎo)致事故發(fā)生。因此建議在試飛前,通過(guò)飛行仿真平臺(tái)加強(qiáng)試飛員對(duì)抬前輪試飛技術(shù)的訓(xùn)練,使試飛員確定安全的起飛速度。
對(duì)于底事件A3、A4試飛工程師的能力和試飛工程師的身體情況:試飛前,試飛工程師同樣要完成必要的身體檢查。試飛工程師在原型機(jī)的飛行試驗(yàn)階段,以空勤人員的身份參與到整個(gè)飛行試驗(yàn)過(guò)程,是試飛工作開(kāi)展的核心力量,同時(shí)也是試飛安全關(guān)鍵的負(fù)責(zé)人。在試飛過(guò)程中,試飛工程師要能夠?qū)崟r(shí)把控試飛動(dòng)作的安全性,實(shí)時(shí)分析飛機(jī)響應(yīng),實(shí)時(shí)確認(rèn)試飛動(dòng)作的有效性并把握試飛進(jìn)程。試飛工程師如果發(fā)現(xiàn)不具備試驗(yàn)條件、無(wú)法獲取有效數(shù)據(jù)、采集器故障等情況,可以協(xié)商試飛員終止試驗(yàn)。在這次試飛過(guò)程中,試飛工程師雖然考慮了地面效應(yīng)對(duì)飛機(jī)起飛性能的影響,但是預(yù)估的失速攻角高于實(shí)際值。因此,飛機(jī)失速告警觸發(fā)的攻角閾值以及相應(yīng)的姿態(tài)限制顯示器的設(shè)定值均過(guò)高,從而導(dǎo)致在真實(shí)失速發(fā)生前,機(jī)組成員未收到告警提示,最終產(chǎn)生了試飛風(fēng)險(xiǎn)事故。建議試飛工程師要運(yùn)用飛行仿真技術(shù)對(duì)地面效應(yīng)下的失速迎角進(jìn)行預(yù)測(cè),并將最新的預(yù)測(cè)結(jié)果用于改進(jìn)試飛方法并更新機(jī)載設(shè)備中迎角裕度的設(shè)置。從而確保失速前能得到有效的告警提示。
對(duì)于底事件B6安全檢查與監(jiān)管:試飛事故發(fā)生前,G650試飛項(xiàng)目就已出現(xiàn)過(guò)兩次類(lèi)似的不可控滾轉(zhuǎn)現(xiàn)象,但是灣流公司沒(méi)有意識(shí)到這兩次不可控滾轉(zhuǎn)事件是由失速引起的,因此并沒(méi)有進(jìn)行深入的氣動(dòng)分析,導(dǎo)致沒(méi)有完整地識(shí)別出潛在的風(fēng)險(xiǎn)。試飛過(guò)程中所遭遇的風(fēng)險(xiǎn)沒(méi)有得到有效的監(jiān)督,因此建議設(shè)立安全監(jiān)管員,負(fù)責(zé)確保灣流公司為飛行試驗(yàn)和飛行活動(dòng)制定的安全程序能夠嚴(yán)格落實(shí)。
對(duì)于底事件B7試飛計(jì)劃合理性:灣流公司為了能在2011年第3季度完成對(duì)G650的取證,制定了過(guò)于激進(jìn)的項(xiàng)目計(jì)劃。受到試飛項(xiàng)目進(jìn)度的壓力,灣流公司為了確保項(xiàng)目節(jié)點(diǎn),避免拖延項(xiàng)目進(jìn)展,對(duì)試飛過(guò)程中飛機(jī)的異常表現(xiàn)沒(méi)有進(jìn)行深入的分析,導(dǎo)致沒(méi)有發(fā)現(xiàn)地面效應(yīng)影響下理論攻角偏高的問(wèn)題。在沒(méi)有明確危險(xiǎn)源以及不確定因素的情況下,灣流公司繼續(xù)執(zhí)行既定的飛行計(jì)劃,最終導(dǎo)致了試飛事故的發(fā)生。應(yīng)該為項(xiàng)目制定更合理的試飛計(jì)劃,按照柔性的試飛進(jìn)度表來(lái)完成各項(xiàng)試飛科目,而不是帶著潛在的危險(xiǎn)源來(lái)試飛。
對(duì)于B8底事件試飛安全管理體系:按照試飛安全管理體系的要求,在試飛過(guò)程中若出現(xiàn)意外情況,在試飛結(jié)束后應(yīng)該召開(kāi)試飛安全評(píng)審會(huì)議。然而在發(fā)生兩次不可控滾轉(zhuǎn)之后,灣流公司并沒(méi)有召開(kāi)相應(yīng)的試飛安全評(píng)審會(huì)議。因此,灣流公司的試飛安全管理體系也存在著嚴(yán)重的問(wèn)題。建議成立由安全專(zhuān)家組成的安全委員會(huì),在每次試飛結(jié)束后召開(kāi)會(huì)議檢查相應(yīng)的試飛結(jié)果,評(píng)估該試驗(yàn)機(jī)的安全風(fēng)險(xiǎn)水平。
根據(jù)NTSB的事故調(diào)查報(bào)告顯示,此次試飛事故的直接原因是試飛過(guò)程中的空氣動(dòng)力學(xué)失速以及不可控的滾轉(zhuǎn)運(yùn)動(dòng),由以下3點(diǎn)導(dǎo)致:
1) 灣流公司沒(méi)有能夠開(kāi)發(fā)驗(yàn)證用于飛行試驗(yàn)的起飛速度并且沒(méi)有識(shí)別和糾正之前飛行試驗(yàn)中V2的錯(cuò)誤。
2) G650試飛團(tuán)隊(duì)為了達(dá)到安全起飛速度進(jìn)行了持續(xù)并且激進(jìn)地嘗試,錯(cuò)誤地低估了安全起飛速度。
3) 灣流公司沒(méi)有充分調(diào)查之前飛行試驗(yàn)過(guò)程中G650不可控滾轉(zhuǎn)事件,這表明飛機(jī)處于地面效應(yīng)的過(guò)程中,失速攻角設(shè)置得過(guò)高。
進(jìn)一步分析試飛風(fēng)險(xiǎn)的關(guān)鍵致因:灣流公司沒(méi)有制定合理的試飛任務(wù)時(shí)間表來(lái)有效地管理飛行試驗(yàn)計(jì)劃,未能確保試飛團(tuán)隊(duì)的能力達(dá)到要求、試飛前沒(méi)有進(jìn)行充分的技術(shù)訓(xùn)練、未能確定所有潛在的危險(xiǎn)并采用適當(dāng)有效的風(fēng)險(xiǎn)控制措施。
通過(guò)對(duì)比可以發(fā)現(xiàn),NTSB在灣流G650試飛事故調(diào)查報(bào)告中總結(jié)的風(fēng)險(xiǎn)致因與通過(guò)貝葉斯網(wǎng)絡(luò)推理所找出的風(fēng)險(xiǎn)致因相符合,證明了本文提出的基于貝葉斯網(wǎng)絡(luò)的試飛風(fēng)險(xiǎn)評(píng)估方法的有效性。
利用BN模型對(duì)試飛風(fēng)險(xiǎn)因素進(jìn)行評(píng)估分析,找出了試飛風(fēng)險(xiǎn)的主要致因。運(yùn)用故障樹(shù)的方法與BN模型對(duì)比,體現(xiàn)了BN模型的正確性和優(yōu)越性。對(duì)比分析NTSB在此次試飛事故調(diào)查報(bào)告中的風(fēng)險(xiǎn)致因與BN模型找到的風(fēng)險(xiǎn)致因無(wú)差異,驗(yàn)證了基于BN模型的風(fēng)險(xiǎn)評(píng)估方法的有效性。并針對(duì)主要致因提出了改進(jìn)措施,從而降低了試飛科目的風(fēng)險(xiǎn),提高試飛的安全性,有利于試飛計(jì)劃的完成。