無人機(jī)地面撞擊風(fēng)險評估體系構(gòu)建及趨勢展望

韓 鵬，趙嶷飛，劉 宏

（中國民航大學(xué)空中交通管理學(xué)院，天津 300300）

近年來，隨著無人機(jī)在農(nóng)林植保、搜尋救援、環(huán)境監(jiān)測和物流配送等多個領(lǐng)域的成功應(yīng)用，中國無人機(jī)保有量和飛行小時數(shù)增勢迅猛。截至2018年底，民航全行業(yè)無人機(jī)有效駕駛員執(zhí)照達(dá)44 573 本，無人機(jī)達(dá)28.7 萬架，無人機(jī)經(jīng)營性飛行活動達(dá)37 萬小時[1]。據(jù)美國國家航空航天局（NASA，National Aeronautics and Space Administration）和美國聯(lián)邦航空管理局（FAA,Federal Aviation Administration）聯(lián)合成立的無人機(jī)研究團(tuán)隊預(yù)估，無人機(jī)數(shù)量將持續(xù)大幅增加，并有可能在2035年超過有人駕駛航空器。但與此同時，無人機(jī)運行風(fēng)險事件也時有發(fā)生，無人機(jī)系統(tǒng)失效對地面人員和財物造成了嚴(yán)重?fù)p失，危害國家安全和普通民眾生命財產(chǎn)安全。在迎來無人機(jī)數(shù)量爆發(fā)性增長之前，開展無人機(jī)運行風(fēng)險研究工作具有前瞻性意義。

1 無人機(jī)地面撞擊風(fēng)險及事故誘因

無人機(jī)數(shù)量和應(yīng)用的迅猛增加導(dǎo)致干擾航班和墜毀傷人等諸多問題的發(fā)生。近年來國內(nèi)外已發(fā)生多起無人機(jī)地面撞擊事故，造成重大的人員傷亡和經(jīng)濟(jì)損失。

2017年，無人機(jī)規(guī)章制定聯(lián)合體（JARUS,Joint Authorities for Rulemaking of Unmanned Systems）針對無人機(jī)運行場景發(fā)布了特許運行風(fēng)險評估指導(dǎo)材料（SORA，specific operations risk assessment）并給出了無人機(jī)運行風(fēng)險評估的研究要素。如圖1所示，SORA 將無人機(jī)運行安全風(fēng)險分為3 類：對空中第三方的傷害、對地面第三方的傷害、對地面關(guān)鍵基礎(chǔ)設(shè)施的破壞，明確將后兩者定義為無人機(jī)運行的主要風(fēng)險，并提出無人機(jī)地面撞擊風(fēng)險評估的主要指標(biāo)。

圖1 無人機(jī)地面撞擊風(fēng)險評估要素Fig.1 Key points of UAV ground impact accident research

中國民用航空局2019年無人機(jī)云數(shù)據(jù)統(tǒng)計顯示，中國無人機(jī)主要在1 000 m 以下的低空空域運行，3.4%的無人機(jī)在120～1 000 m 空域內(nèi)運行，96.5%在120 m以下空域運行。由于航線中載人飛機(jī)的運行高度通常在3000 m 以上，在低空空域內(nèi)，無人機(jī)墜落對地面撞擊點附近人員安全造成威脅的事故已成為低空空域無人機(jī)運行的首要風(fēng)險。

同時，對無人機(jī)安全事故的統(tǒng)計[2]也印證了上述結(jié)論。機(jī)上無人的特性決定著無人機(jī)運行的安全風(fēng)險已由對機(jī)上人員安全的影響轉(zhuǎn)移到對地面人員和財物的安全威脅。

因此，近年來學(xué)界研究方向聚焦于無人機(jī)地面撞擊風(fēng)險評估[3-5]，包括無人機(jī)地面撞擊概率和地面危害程度的評估。就地面撞擊概率而言，無人機(jī)對某一區(qū)域地面造成的影響主要有兩方面：①無人機(jī)之間、無人機(jī)與有人機(jī)、無人機(jī)與障礙物之間發(fā)生碰撞后，無人機(jī)或其碎片墜落到地面，對地面造成危害；②無人機(jī)系統(tǒng)發(fā)生故障，直接墜落。如圖2所示，無人機(jī)在某區(qū)域內(nèi)的地面撞擊事故發(fā)生概率為各因素之和。

圖2 無人機(jī)地面撞擊事故誘因Fig.2 Inducements of UAV ground impact accident

當(dāng)前無人機(jī)運行密度較低，且多數(shù)國家對無人機(jī)進(jìn)入有人機(jī)的空域采取嚴(yán)格管控，一般采用無人機(jī)在隔離空域獨立運行的模式。因此，發(fā)生無人機(jī)與有人機(jī)或其他無人機(jī)相撞的事故較少，極少出現(xiàn)由無人機(jī)空中相撞導(dǎo)致的對地面安全的威脅，無人機(jī)系統(tǒng)故障成為無人機(jī)地面危害的首要誘因。無人機(jī)發(fā)生地面撞擊事故的概率在大部分情況可以用無人機(jī)故障導(dǎo)致失控墜落的概率估算。因此，計算事故概率的首要工作就是建立無人機(jī)系統(tǒng)故障模型，確定無人機(jī)系統(tǒng)常見的高風(fēng)險失效模式。

就危害程度而言，無人機(jī)對人體的傷害主要有兩類：①因無人機(jī)動能造成的撞擊傷害；②因無人機(jī)旋翼造成的割裂傷害。傷害類型與無人機(jī)和人體相撞的位置和姿態(tài)有關(guān)。目前交通事故中普遍以每小時傷亡人數(shù)作為評價指標(biāo)。據(jù)統(tǒng)計[5]，目前汽車運輸風(fēng)險（包括駕駛員）概率為1.5×10-7人/h，航空運輸風(fēng)險概率為1×10-6人/h，各研究機(jī)構(gòu)普遍將1×10-8人/h 作為無人機(jī)運行的可接受風(fēng)險程度。

為便于梳理，在國內(nèi)外學(xué)者相關(guān)研究基礎(chǔ)上，對無人機(jī)地面撞擊風(fēng)險相關(guān)術(shù)語進(jìn)行歸納和解釋，如表1所示。

表1 無人機(jī)地面撞擊風(fēng)險相關(guān)術(shù)語Tab.1 Terms related to UAV Ground impact risk

2 地面撞擊風(fēng)險評估模型

根據(jù)上述無人機(jī)地面撞擊事故的研究要點和分析流程，以地面撞擊事故造成的人員傷亡為核心，建立無人機(jī)系統(tǒng)失效模型、撞擊區(qū)域預(yù)測模型、地面人口分布模型和危害評估模型。

2.1 無人機(jī)系統(tǒng)失效模型

建立無人機(jī)系統(tǒng)失效模型的目標(biāo)是描述無人機(jī)系統(tǒng)在特定系統(tǒng)配置、運行環(huán)境條件和任務(wù)剖面下出現(xiàn)故障的不確定性。如圖3所示，模型輸入為一系列可能出現(xiàn)的失效形式（如推力損失、動力損失、人因差錯、鳥擊事件等）、失效原因（如環(huán)境和任務(wù)因素）、失效持續(xù)性（如突發(fā)故障或持續(xù)失效等），模型輸出為不同失效模式的風(fēng)險概率及對人員和財產(chǎn)的傷害程度。

圖3 無人機(jī)系統(tǒng)失效模型Fig.3 Failure model of UAV system

無人機(jī)系統(tǒng)常見高風(fēng)險失效模式有以下4 類：

1）墜落，無人機(jī)系統(tǒng)失去維持安全高度或保持與人員及物體安全距離的能力；

2）失控，無人機(jī)系統(tǒng)故障導(dǎo)致無人機(jī)與地面人員及物體高速相撞的可能性；

3）操作失誤導(dǎo)致的無人機(jī)撞地，可靠的無人機(jī)系統(tǒng)由于駕駛員失誤出現(xiàn)的撞地情景；

4）系統(tǒng)組件掉落，無人機(jī)組件或吊掛貨物掉落。

無人機(jī)系統(tǒng)失效模型可看作無人機(jī)系統(tǒng)整體或各子系統(tǒng)及相關(guān)組件的可靠性模型。無人機(jī)系統(tǒng)應(yīng)用時間較短，歷史事故數(shù)據(jù)掌握程度較低，故采用建模方法模擬無人機(jī)系統(tǒng)失效概率，建模方法包括可靠性框圖法（RBD,reliability block diagram）、故障樹分析（FTA,fault tree analysis）、事件樹分析和失效模式（ETAFM,event tree analysis and failure mode）、影響度分析（EA,effects analysis）、貝葉斯網(wǎng)絡(luò)（BBN,Bayesian belief networks）等。現(xiàn)有文獻(xiàn)中具有代表性的無人機(jī)系統(tǒng)失效模型如表2所示，多為針對單一故障模式，缺乏對多種故障模式組合工況的研究，建模依據(jù)較多采用常規(guī)載人飛機(jī)的歷史數(shù)據(jù)，較少根據(jù)無人機(jī)系統(tǒng)可靠性模型估算故障概率。

表2 無人機(jī)系統(tǒng)失效代表性模型Tab.2 Typical UAV system failure model

2.2 撞擊區(qū)域預(yù)測模型

無人機(jī)系統(tǒng)失效后，其撞擊區(qū)域不能簡單當(dāng)作質(zhì)點來處理，需根據(jù)飛行軌跡及失效模式來確定。撞擊區(qū)域預(yù)測模型描述了時間域與空間域內(nèi)失效事件發(fā)生的不確定性。簡言之，即無人機(jī)故障后受撞擊區(qū)域的概率分布。撞擊區(qū)域預(yù)測模型通過無人機(jī)系統(tǒng)特性（如最大滑翔距離等）確定無人機(jī)失效的最大撞擊區(qū)域，并給出該區(qū)域邊界內(nèi)產(chǎn)生撞擊的時空域概率。

具體考慮因素如下：

1）故障發(fā)生時的初始條件，如位置、速度及姿態(tài)等；

2）無人機(jī)系統(tǒng)失效模式，如無人機(jī)失效、失控、人為操作失誤等；

3）無人機(jī)類型，如固定翼、多旋翼等；

4）無人機(jī)操縱方式，如遠(yuǎn)程操作、預(yù)設(shè)飛行計劃等；

5）有無應(yīng)急設(shè)備，如降落傘、自毀裝置等；

6）環(huán)境因素，如氣象風(fēng)、地形等。

現(xiàn)有文獻(xiàn)對撞擊區(qū)域預(yù)測模型的建模方法包括：①數(shù)值預(yù)測算法，依據(jù)空氣動力學(xué)模型和幾何模型建立無人機(jī)平面運動、滑翔運動及垂直運動模型，利用概率分布函數(shù)計算無人機(jī)失效后的撞擊區(qū)域范圍；②經(jīng)驗估算法，依據(jù)無人機(jī)的重量、尺寸及類別，參考載人飛機(jī)或無人機(jī)歷史失事數(shù)據(jù)，估算無人機(jī)失效后的撞擊區(qū)域。撞擊區(qū)域預(yù)測模型具體假設(shè)和內(nèi)容如表3所示。

分析表3可知，撞擊區(qū)域與其類型及失效后的航跡有關(guān)。建模假設(shè)中應(yīng)考慮無人機(jī)失效后的墜落航跡是垂直墜落還是存在水平運動。

表3 撞擊區(qū)域預(yù)測代表性模型Tab.3 Typical forecast model for the impact area

2.3 地面人口分布模型

地面人口分布模型描述了地面人員在特定位置和時間分布的可能性。在航空風(fēng)險管理中，應(yīng)首先關(guān)注人員的傷害，航空器系統(tǒng)和地面財物的損壞放在次要位置。

地面對象可分為以下幾類：

1）甲方，與無人機(jī)操縱直接相關(guān)的人員與財物，如駕駛員、觀察員、運行保障設(shè)備等；

2）乙方，與無人機(jī)操縱無關(guān)，但可從無人機(jī)系統(tǒng)運行中受益的人員與財物，如無人機(jī)作業(yè)任務(wù)受益方、無人機(jī)檢修設(shè)施等；

3）第三方，與無人機(jī)操縱無關(guān)、亦非無人機(jī)運行中受益方的人員和財物。無人機(jī)管理規(guī)則應(yīng)將重點放在第三方的風(fēng)險控制。

以第三方為重點的地面人口分布模型可分為統(tǒng)一模型（uniform exposure models）和全面模型（comprehensive exposure model）兩類。統(tǒng)一模型忽略由時空條件引起的人口密度變化，將人口平均分布在總體區(qū)域中。全面模型則采用聚類分析等方法，解釋人口分布的時空變化，考慮地理位置特點（如體育場、學(xué)校或游樂場等）及時域性特點（如季節(jié)性、晝夜性等），對地面人口分布特性建模。模型的準(zhǔn)確性通常由人口普查數(shù)據(jù)、衛(wèi)星圖像顯示的地理數(shù)據(jù)和專家?guī)鞌?shù)據(jù)進(jìn)行驗證。各類人口分布模型如表4所示。

表4 地面人口分布代表性模型Tab.4 Typical ground object distribution model

2.4 危害評估模型

危害評估模型描述無人機(jī)在特定時間和地點對特定人員傷害或財物損壞的概率。模型主要考慮兩種危險狀況：①無人機(jī)與其他航空器在空中或地面的碰撞或接近碰撞；②無人機(jī)及其組件對地面人員或建筑物的影響。該模型將受損物體類別及受損類型作為風(fēng)險評估依據(jù)，如評估無人機(jī)系統(tǒng)對人體的傷害時，需考慮無人機(jī)動能、動量或能量密度，如圖4所示。

圖4 地面沖擊危害評估模型Fig.4 Ground impact injury evaluation model

影響危害評估模型的因素包括以下幾點：

1）傷害類型及傷害程度，傷害類型與無人機(jī)的類型有關(guān)，傷害程度與傷害方式有關(guān)，對人體的傷害方式包括鈍力、滲透、爆炸、燒傷、撕裂等，如多旋翼無人機(jī)會對人體產(chǎn)生割裂傷害，固定翼無人機(jī)多產(chǎn)生鈍力傷害；

2）受損物體類型，如人員、動物、車輛、建筑物等；

3）墜落位置及墜落時間，如燃油無人機(jī)重量會隨著飛行時間減輕，沖擊傷害也減輕；

4）無人機(jī)設(shè)計特性，如裸露的旋翼、易碎的部件等；

5）無人機(jī)性能及運行軌跡，如通過降落傘改變無人機(jī)故障后的墜落軌跡可有效降低其傷害程度；

6）二次傷害，如爆炸產(chǎn)生的碎片及沖擊波等。

危害評估模型為無人機(jī)超視距飛行提供風(fēng)險評估依據(jù)。通過對不同傷害機(jī)制的研究得出傷害閾值，為監(jiān)管機(jī)構(gòu)對無人機(jī)進(jìn)行限制性飛行管理提供參考。國際現(xiàn)行的無人機(jī)管理規(guī)范大多依據(jù)重量對無人機(jī)進(jìn)行分類管理，所建模型考慮不同重量無人機(jī)失效后動量差異引起不同程度的傷害，從理論上和技術(shù)上支撐了管理規(guī)范，也屬于傷害模型對政策支撐的一部分。危害程度評估同時也為無人機(jī)設(shè)計提供了參考，如多旋翼無人機(jī)保護(hù)罩設(shè)計方案和增加降落緩沖裝置等規(guī)范，都為減輕無人機(jī)傷害提供依據(jù)。

除上述文獻(xiàn)外，還有部分研究成果考慮多種運行因素建立危害評估模型，如表5所示。

表5 危害評估代表性模型Tab.5 Typical ground impact injury evaluation model

現(xiàn)有危害評估普遍僅針對單一風(fēng)險展開，重點包括：①估算無人機(jī)發(fā)生地面撞擊事故的概率；②評估無人機(jī)及其組件墜落導(dǎo)致的地面危害程度。在此基礎(chǔ)上，整合無人機(jī)系統(tǒng)失效模型、撞擊區(qū)域預(yù)測模型、地面人口分布模型和危害評估模型，基于無人機(jī)墜落風(fēng)險多要素考量，提出整體風(fēng)險評估流程，如圖5所示。

圖5 地面撞擊風(fēng)險評估流程Fig.5 Risk assessment process of UAV ground impact accident

3 無人機(jī)運行風(fēng)險研究趨勢

3.1 無人機(jī)運行概念逐漸形成

現(xiàn)有文獻(xiàn)較少考慮無人機(jī)系統(tǒng)運行流程，存在風(fēng)險因素不全面的問題?；跓o人機(jī)服役全流程的風(fēng)險致因完善是風(fēng)險評估的基礎(chǔ)和關(guān)鍵，也是日后研究的趨勢。

在無人機(jī)運行周期中，應(yīng)以時間軸順序，分別考慮飛行前、飛行中和飛行后的運行特點，建立從研發(fā)設(shè)計、生產(chǎn)制造、適航認(rèn)證、運營作業(yè)、檢修維護(hù)、人員培訓(xùn)到運營監(jiān)管，覆蓋各項配套服務(wù)的上下游產(chǎn)業(yè)全鏈條。從任務(wù)規(guī)劃著手，考慮無人機(jī)航跡規(guī)劃、飛行區(qū)域和時間、貨物裝載類型和方式等因素；考慮與飛行任務(wù)相關(guān)的飛行計劃管理、飛行情報服務(wù)、運行空域規(guī)劃、空中交通管制等；地面保障程序應(yīng)考慮機(jī)場起降保障、無人機(jī)調(diào)度與周轉(zhuǎn)，以及檢修與維護(hù)等內(nèi)容。建立無人機(jī)縱向全服役周期運行概念，如圖6所示。

圖6 無人機(jī)服役周期框架Fig.6 Operational conceptual framework for UAV in a full service cycle

3.2 風(fēng)險評估理論體系不斷完善

以無人機(jī)服役周期和運行概念為基礎(chǔ)，圍繞無人機(jī)系統(tǒng)、無人機(jī)運行空域和運行環(huán)境，完善無人機(jī)地面撞擊風(fēng)險評估理論，評估各運營場景安全風(fēng)險，形成無人機(jī)地面撞擊風(fēng)險評估理論與方法。以無人機(jī)地面撞擊概率和危害程度為評估目標(biāo)，通過歷史事故數(shù)據(jù)驗證地面撞擊風(fēng)險評估理論的可靠性。

無人機(jī)地面撞擊風(fēng)險評估體系如圖7所示。該體系充分考慮無人機(jī)系統(tǒng)空中運行風(fēng)險和地面運行風(fēng)險，將無人機(jī)運行相關(guān)的通信、導(dǎo)航和監(jiān)視設(shè)備，以及地面控制站等納入評價體系，融合風(fēng)險識別、風(fēng)險分析、風(fēng)險評估、風(fēng)險預(yù)警和風(fēng)險處置等子系統(tǒng)。

圖7 無人機(jī)地面撞擊風(fēng)險評估體系Fig.7 Ground impact risk assessment system of UAV

除在運行層面提供風(fēng)險緩解方案外，風(fēng)險評估理論已應(yīng)用在無人機(jī)系統(tǒng)設(shè)計層面。大疆無人機(jī)設(shè)計時充分考慮了安全風(fēng)險；谷歌也按照風(fēng)險評估理論設(shè)計了物流無人機(jī)，考慮因素包括自動化地面保護(hù)路徑規(guī)劃、電池系統(tǒng)多重備份、機(jī)載設(shè)備失效監(jiān)視和應(yīng)急管理等。

3.3 產(chǎn)業(yè)及監(jiān)管技術(shù)趨于成熟

無人機(jī)地面撞擊風(fēng)險評估體系為以下3 項工作提供支撐：①為無人機(jī)制造商提供基于風(fēng)險和性能的無人機(jī)設(shè)計改進(jìn)建議；②為無人機(jī)運行管理方提供緩解無人機(jī)運行風(fēng)險的措施；③為無人機(jī)監(jiān)管機(jī)構(gòu)提供可信的法規(guī)制定依據(jù)。

作為無人機(jī)地面撞擊風(fēng)險評估體系的子模型，無人機(jī)系統(tǒng)失效模型在探究無人機(jī)失效模式和分析系統(tǒng)故障形式中起到關(guān)鍵作用。無人機(jī)制造商根據(jù)系統(tǒng)故障形式重點關(guān)注易引發(fā)故障的模塊或零部件，通過異常狀態(tài)動態(tài)監(jiān)測等手段保證無人機(jī)性能和可靠性在可接受水平。

從無人機(jī)運行管理的角度，目前以美國FAA 發(fā)布的UAM（urban air mobility）規(guī)劃和中國民用航空局發(fā)布的民用無人駕駛航空器綜合管理平臺（UOM，UAS operation management system）為代表。其核心是調(diào)配無人機(jī)運行沖突，緩解無人機(jī)運行風(fēng)險。無人機(jī)地面撞擊風(fēng)險評估體系為后者提供理論依據(jù)，并已應(yīng)用于UOM 前期工作，其重要組成部分——無人駕駛航空器空管信息服務(wù)系統(tǒng)（UTMISS,unmanned aircraft traffic management information service system）已于2018年在深圳地區(qū)啟動運行管理試點工作。經(jīng)中國民用航空局認(rèn)可的無人機(jī)云系統(tǒng)已達(dá)11 家，以運行數(shù)據(jù)為中心的無人機(jī)監(jiān)管體系逐步成形，覆蓋全國各地區(qū)。

從監(jiān)管政策和法規(guī)制定角度，縱觀各國規(guī)章，其要義是通過評估無人機(jī)運行風(fēng)險，降低無人機(jī)地面撞擊概率，減輕地面撞擊危害，保證無人機(jī)運行安全。降低地面撞擊概率的途徑通常是限制無人機(jī)的運行區(qū)域，使無人機(jī)避開人群飛行；減輕地面撞擊危害的途徑是控制無人機(jī)的運行參數(shù)（如質(zhì)量、速度和高度），降低飛越人群的動能和勢能。這些問題實質(zhì)上可歸結(jié)為對無人機(jī)地面撞擊風(fēng)險評估的研究，尤其是對無人機(jī)失效后撞擊區(qū)域預(yù)測和危害評估[27]。歐洲航空安全局依據(jù)運行風(fēng)險頒布了無人機(jī)運營規(guī)章框架，美國運輸部（U.S.DOT）于2019年1月根據(jù)FAA 建議啟動了一項草案（NPRM）以修訂小型無人機(jī)運行規(guī)章，在地面人員風(fēng)險可接受程度內(nèi)，允許小型無人機(jī)系統(tǒng)飛越人群上空。中國民用航空局根據(jù)小型無人機(jī)運行風(fēng)險發(fā)布了特定類無人機(jī)試運行管理規(guī)程（暫行）。

4 結(jié)語

在無人機(jī)應(yīng)用蓬勃發(fā)展的大背景下，無人機(jī)運行概念正在形成，風(fēng)險評估理論體系不斷完善，產(chǎn)業(yè)和監(jiān)管技術(shù)也趨于成熟。然而，現(xiàn)有無人機(jī)地面危害研究存在失效模式和風(fēng)險因素單一、人口分布和致傷模型不統(tǒng)一、缺少風(fēng)險評估體系頂層設(shè)計等問題?？紤]無人機(jī)設(shè)計生產(chǎn)服役全流程及地面危害發(fā)生機(jī)理，多要素、全流程、一體化是今后無人機(jī)監(jiān)管研究的趨勢和重點。