基于STAMP的試飛安全指標(biāo)體系構(gòu)建方法*

陳浩然，崔利杰，任 博，張賈奎

（1.空軍工程大學(xué)研究生院，西安 710051；2.空軍工程大學(xué)裝備管理與無人機(jī)工程學(xué)院，西安 710051）

0 引言

試飛是航空器研制的一個(gè)必經(jīng)階段，主要包括科研試飛、生產(chǎn)交付試飛、適航審定試飛以及與之相關(guān)的飛行試驗(yàn)和地面功能試驗(yàn)［1］。由于試飛特別是首飛或科研試飛的目的是驗(yàn)證飛行邊界，因此，具有高風(fēng)險(xiǎn)性，被人們稱為“刀尖上的舞蹈”。一個(gè)科學(xué)、系統(tǒng)、完備的試飛安全指標(biāo)體系，能夠有效提升試飛工作的事前安全預(yù)測、事中安全決策的效率和準(zhǔn)確性，也能為試飛事故事后調(diào)查提供依據(jù)和指導(dǎo)。

目前國內(nèi)外鮮有針對(duì)試飛安全的專門指標(biāo)體系，但很多學(xué)者對(duì)航空安全開展了大量研究和探索，提出了一系列不同的航空安全指標(biāo)體系，這能夠?yàn)闃?gòu)建試飛安全指標(biāo)體系提供有益參考。如端木京順等［2］經(jīng)多年研究，提出了基于Reason理論的航空事故飛行因素指標(biāo)體系；劉軍等［3］基于模糊綜合評(píng)價(jià)模型，提出了針對(duì)影響飛行安全人為因素的指標(biāo)體系；張曉燕等［4］基于物元分析理論，確定了空管危險(xiǎn)源指標(biāo)體系及權(quán)重；王永剛等［5］基于風(fēng)險(xiǎn)管理理論，從事故、事故癥候及危險(xiǎn)源和行為差錯(cuò)3方面構(gòu)建了機(jī)場五級(jí)安全目標(biāo)指標(biāo)體系；另外，部分學(xué)者［6-8］基于傳統(tǒng)人、機(jī)、環(huán)、管系統(tǒng)理論和航空事故危險(xiǎn)源分析，構(gòu)建了航空系統(tǒng)人員、飛機(jī)、空管與環(huán)境、組織管理等4個(gè)方面的安全指標(biāo)體系，為航空事故預(yù)警和風(fēng)險(xiǎn)評(píng)估提供依據(jù)。

這些研究成果，雖然能夠在不同方面有效監(jiān)控航空風(fēng)險(xiǎn)因素，但仍然具有一些局限性。體現(xiàn)在一方面是傳統(tǒng)試飛安全預(yù)測評(píng)估方法應(yīng)用領(lǐng)域的局限性，另一方面這些指標(biāo)多是基于Reason模型［9］、多米諾模型［10］等傳統(tǒng)安全分析理論，分離導(dǎo)致事故發(fā)生的人、機(jī)、環(huán)、管等因素，對(duì)系統(tǒng)交互行為影響考慮十分有限，加之近年來隨著技術(shù)的進(jìn)步，新型航空器部件可靠性水平大幅度提升，以軟件為代表的復(fù)雜邏輯系統(tǒng)應(yīng)用廣泛，由系統(tǒng)交聯(lián)、人機(jī)交互、空地協(xié)同方面引發(fā)的試飛事故或事故征候劇增，因此，基于系統(tǒng)理論構(gòu)建新的適用于試飛安全的指標(biāo)體系勢在必行。

本世紀(jì)初，Leveson基于系統(tǒng)思維提出了STAMP（Systems-Theoretic Accident Modeling and Processes）理論［11-12］。STAMP理論將事故視為控制失效問題，應(yīng)同時(shí)考慮系統(tǒng)失效和部件交互、外界擾動(dòng)等問題，通過對(duì)系統(tǒng)組件、組件交互、環(huán)境條件等施加安全約束控制系統(tǒng)安全；基于STAMP模型，能夠充分識(shí)別組件失效、組織漏洞、需求遺漏、設(shè)計(jì)缺陷、人為差錯(cuò)和組件交互等控制要素，涵蓋所有事故致因因素［13］。目前，該理論已經(jīng)成功應(yīng)用于航空航天［14］、交通運(yùn)輸［15］、核設(shè)施［16］、軍用航空［17］等諸多領(lǐng)域，并取得了較好的工程效果。基于此，本文將結(jié)合STAMP理論，構(gòu)建試飛安全控制模型，探索試飛安全指標(biāo)體系的構(gòu)建方法。

1 STAMP基本理論

2004年，Leveson在系統(tǒng)控制論的基礎(chǔ)上提出了STAMP模型。該模型將安全性視為系統(tǒng)的涌現(xiàn)性，認(rèn)為安全性是系統(tǒng)中各組件及其交互行為相關(guān)的一系列約束限制，而事故正是由于系統(tǒng)各層次的行為缺乏約束所導(dǎo)致的［13］。由此，STAMP將安全性看作是控制問題而不是組件失效問題，在組件失效、環(huán)境干擾和組件交互無法及時(shí)、準(zhǔn)確、有效得到控制時(shí)事故往往發(fā)生。

STPA（System Theoretic Process Analysis）方法是基于STAMP事故模型的危險(xiǎn)分析方法，通過構(gòu)建如圖1所示的系統(tǒng)自適應(yīng)反饋控制結(jié)構(gòu)圖，來對(duì)系統(tǒng)的安全性進(jìn)行全面、系統(tǒng)的分析。

圖1 典型STAMP反饋控制回路

圖中系統(tǒng)主要包括控制器、執(zhí)行器、被控對(duì)象和傳感器4個(gè)部分，系統(tǒng)可以被看作相互關(guān)聯(lián)的一系列組件，通過反饋控制回路保持在一個(gè)動(dòng)態(tài)的平衡狀態(tài)，而安全是系統(tǒng)的涌現(xiàn)特性，當(dāng)系統(tǒng)及其組件的行為滿足適當(dāng)?shù)募s束時(shí)，即可保持這一特性。因此，在系統(tǒng)設(shè)計(jì)時(shí)，必須對(duì)系統(tǒng)行為實(shí)施適當(dāng)約束以安全運(yùn)行。同樣，在修改和完善系統(tǒng)設(shè)計(jì)時(shí)，也必須持續(xù)實(shí)施安全約束。而事故可以被描述為帶有缺陷過程的結(jié)果，可能會(huì)涉及到導(dǎo)致違反系統(tǒng)安全約束的人、軟件、硬件、環(huán)境間的相互作用及導(dǎo)致違反系統(tǒng)安全約束的物理系統(tǒng)組件失效等。

圖中控制邏輯可以看出：通過過程模型可以識(shí)別被違反的安全約束并確定為何控制行為不能恰當(dāng)實(shí)施安全約束，確定導(dǎo)致不安全事件發(fā)生的原因以及實(shí)施不安全控制的需求，并將其轉(zhuǎn)化為安全約束和設(shè)計(jì)需求，為設(shè)計(jì)出更安全的系統(tǒng)提供保證。

2 試飛STAMP模型與安全性分析

依據(jù)STAMP原理及安全分析過程，結(jié)合試飛作業(yè)流程和信息交互狀況，構(gòu)建完整試飛系統(tǒng)STAMP模型，進(jìn)而開展STPA安全性分析。

2.1 試飛系統(tǒng)模型構(gòu)建

按照試飛工作中涉及的各類人員要素和工作流程，可將其分為試飛執(zhí)行系統(tǒng)和試飛保障系統(tǒng)，兩系統(tǒng)均圍繞試飛飛機(jī)開展工作。試飛執(zhí)行系統(tǒng)主要包括：以試飛指揮員為主的飛行指揮系統(tǒng)，以飛行員為主的試飛機(jī)組，以及伴飛飛機(jī)、監(jiān)控雷達(dá)、導(dǎo)航通信等各類傳感監(jiān)測設(shè)備構(gòu)成的飛行狀態(tài)信息監(jiān)測系統(tǒng)。試飛保障系統(tǒng)主要包括：以保障指揮員為主的保障指揮系統(tǒng)，以保障機(jī)組為主的保障人員及相關(guān)裝（設(shè)）備，以安全監(jiān)察和質(zhì)量控制為主的數(shù)據(jù)收集與信息反饋系統(tǒng)。根據(jù)上述邏輯關(guān)系和系統(tǒng)控制理論，構(gòu)建飛機(jī)試飛控制模型如圖2所示。

圖2 試飛安全系統(tǒng)STAMP模型

不難發(fā)現(xiàn)，試飛系統(tǒng)可由兩個(gè)控制回路組成，即試飛執(zhí)行系統(tǒng)和試飛保障系統(tǒng)。在試飛執(zhí)行系統(tǒng)中，以試飛指揮員為主的飛行指揮系統(tǒng)構(gòu)成控制器，飛行機(jī)組作為執(zhí)行器，試飛飛行器為被控對(duì)象，而伴飛飛機(jī)、監(jiān)測雷達(dá)和機(jī)上的通信設(shè)備執(zhí)行監(jiān)測反饋功能，作為反饋器傳輸飛機(jī)狀況信息。

按照層次劃分，飛行機(jī)組與飛行器也構(gòu)成了一個(gè)小的反饋控制回路，主要表現(xiàn)在機(jī)組對(duì)飛行器的直接操縱和飛行員通過感官以及機(jī)載儀表設(shè)備等得到的反饋信息。同時(shí)，試飛執(zhí)行系統(tǒng)中也存在外部擾動(dòng)因素，如天氣情況、空管狀況、鳥類災(zāi)害等。對(duì)于試飛保障系統(tǒng)，以保障指揮員為主的保障指揮系統(tǒng)構(gòu)成控制器，保障機(jī)組構(gòu)成執(zhí)行器，試飛飛行器為執(zhí)行對(duì)象，而安全監(jiān)察、質(zhì)量控制、工程控制等信息收集系統(tǒng)構(gòu)成反饋系統(tǒng)。

本實(shí)驗(yàn)在確定進(jìn)樣口溫度、檢測器溫度、載氣流速及其他相關(guān)條件一致的情況下，實(shí)驗(yàn)中采用HP-5(30 m×0.25 mm×0.25μm)柱子無法使其中的某些化合物分開。經(jīng)過多次試驗(yàn)，試驗(yàn)中采用DB-1701(30 m×0.25 mm×0.25μm)的色譜柱可以使所有化合物達(dá)到很好的分離，并且在保證分離效果的前提下，改變升溫程序還可以縮短分析樣品所需時(shí)間。所得色譜最佳分離條件如前所述，色譜分離效果見圖2。

同樣，保障機(jī)組與飛行器之間構(gòu)成一個(gè)完整回路，而保障工具、設(shè)施設(shè)備、航材備件等保障要素可構(gòu)成保障的外部因素。對(duì)于兩個(gè)控制回路中的控制器，都有相應(yīng)的控制模型，為改善人員的心智模型，飛行機(jī)組和保障機(jī)組也要經(jīng)過相應(yīng)的培訓(xùn)，這些培訓(xùn)等措施也可以單獨(dú)構(gòu)成反饋控制回路。

2.2 試飛系統(tǒng)安全性分析

根據(jù)STPA分析方法，造成系統(tǒng)事故發(fā)生或危險(xiǎn)出現(xiàn)的原因分為4類，即組件失效、系統(tǒng)外部干擾、系統(tǒng)組件之間的交互作用和單個(gè)系統(tǒng)組件的危險(xiǎn)行為［18］，事故致因的具體類型如圖3所示。

圖3 導(dǎo)致危險(xiǎn)的控制缺陷種類

根據(jù)圖3所示系統(tǒng)安全約束傳遞過程，可將上述4類原因進(jìn)行進(jìn)一步細(xì)化分解，其中組件失效可以分為控制器、執(zhí)行器、被控對(duì)象和傳感器失效，而系統(tǒng)外部干擾主要包括系統(tǒng)外部擾動(dòng)和多控制器交叉控制產(chǎn)生的沖突控制行為，組件間交互可以從4類組件之間的相互關(guān)系進(jìn)行分析，最后要注意導(dǎo)致危險(xiǎn)狀態(tài)的單個(gè)系統(tǒng)組件的行為。下面結(jié)合圖2逐一進(jìn)行分析。

2.2.1 組件失效

1）控制器失效

控制器操作主要包括3部分：控制輸入及其他相關(guān)外部信息源、控制算法和過程模型。系統(tǒng)安全控制行為的失當(dāng)、失效及缺失，都是由這3個(gè)部分中控制缺陷所致。

對(duì)于圖1所示的試飛安全控制模型而言，典型的控制器有兩個(gè)，即飛行指揮系統(tǒng)和保障指揮系統(tǒng)。當(dāng)前，兩類控制器都還是以人（飛行指揮員或保障指揮員）為主，輔之以一定的計(jì)算機(jī)輔助決策系統(tǒng)構(gòu)成。因此，需重點(diǎn)考慮的外部輸入有任務(wù)類型、天氣狀況、空管因素、機(jī)場航線等；控制算法主要體現(xiàn)在各指揮員的經(jīng)驗(yàn)水平、決策能力、安全意識(shí)等，也要考慮所用輔助決策系統(tǒng)的先進(jìn)程度；與在控制模型相關(guān)的因素有各類計(jì)劃方案和應(yīng)用預(yù)案等，指揮員的心智模型不能包含在內(nèi)，主要通過其經(jīng)驗(yàn)水平、培訓(xùn)經(jīng)歷、考核成績等要素來體現(xiàn)。

2）執(zhí)行器失效

如果控制器能發(fā)出及時(shí)準(zhǔn)確的控制指令而未被執(zhí)行，其中一個(gè)很可能的原因?yàn)閳?zhí)行器失效。由于本模型中的執(zhí)行器為飛行機(jī)組和保障機(jī)組，兩者均由單人或多人構(gòu)成，因此，可進(jìn)一步細(xì)化為由其心智模型決定的人工控制器發(fā)生問題。心智模型又可經(jīng)培訓(xùn)、療養(yǎng)、考核、實(shí)踐等培塑，同時(shí)，應(yīng)該特別注意由人組成的執(zhí)行器，特別容易受外部干擾引起情緒波動(dòng)而導(dǎo)致失誤。

3）被控對(duì)象失效

被控對(duì)象在本模型中為試飛飛行器，整個(gè)模型都圍繞飛行器的受控狀態(tài)進(jìn)行調(diào)整，因此，這里被控對(duì)象不發(fā)生超過控制范圍的事件或現(xiàn)象，均可被系統(tǒng)控制或防范。

4）反饋系統(tǒng)失效

由于STAMP理論構(gòu)建的模型是一個(gè)正反饋控制模型，反饋系統(tǒng)一旦失效將難以向控制器提供準(zhǔn)備完整的輸入，控制器無法根據(jù)執(zhí)行情況調(diào)整指令，進(jìn)而導(dǎo)致整個(gè)控制過程失效。因此，本模型中試飛執(zhí)行系統(tǒng)重點(diǎn)關(guān)注監(jiān)測雷達(dá)、伴飛飛機(jī)及機(jī)載導(dǎo)航設(shè)備、通信設(shè)備的工作情況，而試飛保障系統(tǒng)應(yīng)重點(diǎn)關(guān)注安全監(jiān)察、質(zhì)量控制和工程控制系統(tǒng)的工作情況。

2.2.2 外部干擾

擾動(dòng)往往導(dǎo)致安全約束在傳遞過程中丟失、延誤或錯(cuò)誤，進(jìn)而引發(fā)系統(tǒng)事故或危險(xiǎn)發(fā)生。本模型外部干擾因素主要有兩類，一是試飛執(zhí)行系統(tǒng)中對(duì)試飛機(jī)組的和飛行器飛行階段的擾動(dòng)（如鳥類災(zāi)害、積雨云層、雷暴天氣等），二是試飛保障系統(tǒng)在外場保障環(huán)節(jié)存在保障工具是否充分、保障裝（設(shè)）備是否完整、航材備件是否滿足要求、保障任務(wù)的頻度和強(qiáng)度，以及天氣的惡劣程度對(duì)保障工作的影響等，這兩類因素共同構(gòu)成了外部干擾因素安全性分析的重要對(duì)象。

2.2.3 組件間交互

STAMP模型與其他致因模型的一個(gè)重要區(qū)別在于不是把事故歸咎于組件失效，而是要尋找引起失效或事故的原因（包括系統(tǒng)性因素），也就是確定專門用于防止此類失效發(fā)生的控制為何缺失或不足。

本模型中組件交互因素可以從圖2發(fā)現(xiàn)，如試飛執(zhí)行系統(tǒng)中的指令傳遞、操作信息完整性、反饋信息準(zhǔn)確性等，試飛保障系統(tǒng)中保障工卡指令和操作指令下達(dá)與實(shí)施準(zhǔn)確及時(shí)程度、工卡單指令單故障單及時(shí)準(zhǔn)確上報(bào)情況等。其次，控制器之間的邊界區(qū)域交叉沖突、重疊或遺漏也容易造成安全事故，如試飛過程或保障過程中指令的唯一性問題。

2.2.4 單個(gè)組件危險(xiǎn)行為

模型中還存在一類致因因素，即在各組件均保持不失效的情況下，組件的某一行為導(dǎo)致危險(xiǎn)狀態(tài)，如試飛人員違規(guī)操作、飛行器意外不工作、保障人員遺漏工具等。由于此類因素與組件行為密切相關(guān)，也可視作組件失效行為。

3 安全性指標(biāo)體系構(gòu)建

根據(jù)圖1所構(gòu)建的試飛安全控制模型和上述STPA安全性分析情況，可構(gòu)建試飛安全性指標(biāo)體系如下頁圖4所示。

該指標(biāo)按照系統(tǒng)控制理論從組件失效、外部干擾、組件交互3個(gè)維度構(gòu)建科學(xué)、合理、完整的試飛安全指標(biāo)體系。以各個(gè)組件的航前準(zhǔn)備為例，該指標(biāo)共涉及試飛指揮、試飛機(jī)組、試飛監(jiān)測、保障指揮、保障機(jī)組、保障監(jiān)測等6類組件，試飛指揮航前準(zhǔn)備主要包括熟悉飛行資料、下發(fā)飛行計(jì)劃、飛行空域天氣及航路情況、任務(wù)風(fēng)險(xiǎn)評(píng)價(jià)等；試飛機(jī)組航前準(zhǔn)備主要包括熟悉飛行計(jì)劃及高難度科目、試飛空域、飛機(jī)特性、應(yīng)急處理等；試飛監(jiān)測航前準(zhǔn)備主要包括測試保障設(shè)備、熟悉伴飛計(jì)劃、應(yīng)急風(fēng)險(xiǎn)處理等；保障指揮航前準(zhǔn)備主要為配置保障資源、下發(fā)保障計(jì)劃及維護(hù)標(biāo)準(zhǔn)等；保障機(jī)組航前準(zhǔn)備主要為日前機(jī)務(wù)準(zhǔn)備、熟悉保障任務(wù)內(nèi)容、保障強(qiáng)度及保障環(huán)境等；保障監(jiān)測航前準(zhǔn)備主要包括熟悉保障計(jì)劃、把握保障重點(diǎn)技術(shù)標(biāo)準(zhǔn)、檢查通報(bào)落實(shí)情況等。其他重復(fù)指標(biāo)也根據(jù)所在分類而有所差異，這里不再一一贅述。

4 結(jié)論

從方法層面來講，傳統(tǒng)安全性分析方法如Reason模型，雖然也采用系統(tǒng)思想，但在具體操作過程中分離了導(dǎo)致事故發(fā)生的人、機(jī)、環(huán)、管等因素，無法充分考慮到復(fù)雜的人類行為、組件交互等不安全因素，一定程度上存在安全缺陷；本文基于STAMP模型軍機(jī)試飛控制反饋模型，使用STPA方法系統(tǒng)分析得到各個(gè)系統(tǒng)組件的安全指標(biāo)，且考慮到外部干擾、組件交互的情況，有利于試飛事故風(fēng)險(xiǎn)快速定位，更具針對(duì)性、便捷性、全面性。

從指標(biāo)層面來講，傳統(tǒng)安全性分析方法在機(jī)務(wù)保障、空管指揮、機(jī)組操縱、組管理等因素存在離散化、不精確的問題，不利于事故快速歸因；本文依據(jù)試飛安全系統(tǒng)的STAMP模型，分析得到各個(gè)系統(tǒng)組件失效、外部干擾、組件交互3個(gè)方面因素的安全性指標(biāo)，涵蓋導(dǎo)致事故發(fā)生的所有場景，指標(biāo)全面具體、有針對(duì)性。如針對(duì)航前準(zhǔn)備，該指標(biāo)體系細(xì)分到各個(gè)組件，比傳統(tǒng)安全指標(biāo)更加有針對(duì)性；再如該指標(biāo)體系增加了外部干擾和組件交互因素，相對(duì)傳統(tǒng)指標(biāo)體系更加全面具體。

圖4 基于STAMP的試飛系統(tǒng)安全指標(biāo)

綜上所述，采用STAMP理論構(gòu)建試飛系統(tǒng)指標(biāo)體系構(gòu)建，邏輯過程清晰、指標(biāo)定位準(zhǔn)確且涵蓋范圍廣泛，為構(gòu)建安全指標(biāo)提供一種新思考，能夠更加科學(xué)全面地反映了航空器試飛安全形勢。該指標(biāo)體系將為下一步結(jié)合大數(shù)據(jù)思想和智能預(yù)測理論，為開展飛機(jī)試飛的危險(xiǎn)預(yù)警和事故預(yù)防提供重要依據(jù)。同時(shí)，這項(xiàng)研究得到的試飛安全指標(biāo)體系，經(jīng)過相關(guān)單位實(shí)際驗(yàn)證，為試飛危險(xiǎn)預(yù)警和預(yù)防提供了重要參考。但個(gè)別指標(biāo)仍然不夠精確，指標(biāo)難以量化，有待進(jìn)一步研究。