基于貝葉斯網絡的電動垂直起降航空器運行風險研究

張曉全， 馬晗

(中國民航大學安全科學與工程學院， 天津 300300)

近年來，航空技術的進步為城市中引入新型的交通概念提供了前提條件，其中廣受關注是城市空中交通(urban air mobility，UAM)。城市空中交通是城市內適用于載人飛行器和無人飛行器系統的安全高效交通運作模式，即利用客運無人機和貨運無人機進行貨物交付、醫療救援、城市內或城市間的乘客等方面的運輸[1]。

目前，空客(Airbus)[2]、優步(Uber)[3]、美國國家航空航天局(National Aeronautics and Space Administration，NASA)[4]、中國億航[5]等機構均對城市空中交通的概念進行了討論并做出初步構想，同時指出電動垂直起降(electric vertical takeoff and landing,eVTOL)航空器是城市空中交通的主要組成部分。5G網絡、分布式電力推進技術及相關技術極大地推動了eVTOL的發展，eVTOL是一種介于無人機(unmanned aerial vehicle,UAV)和傳統飛機之間的交通工具。eVTOL具有垂直起飛和著陸(VTOL)能力、升力和推力電氣化(用電機旋轉螺旋槳/轉子)和控制自動化，主要應用包括用作空中出租車、應急響應(急救、警察、救援)和休閑活動。根據eVTOL News網站的分類，目前eVTOL重點分為矢量推力型(Tilt-X)、升力+巡航型(Lift+Cruise)和多旋翼型(Multi-copters)[6]。世界各地均展開了eVTOL的研發與試運行工作，部分企業已經向當局提交了適航申請，而作為無人機系統的一個分支，現在的eVTOL技術水平已經超越了監管水平，歐洲的“特定”無人機操作規范、美國的第107部以及中國的《特定類無人機試運行管理規程》已不再完全適用。制定新的監管法規的前提是對其進行風險分析，小型無人機的發展為該行業提供了許多基礎性技術，eVTOL是將這些技術進一步擴展得到的。

關于無人機風險分析，中外學者開展了大量研究。Rubio-Hercas等[7]使用基于高斯過程的函數對隨即環境因子進行了數據驅動的建模，用于評估無人機在常見的民用應用環境中的風險。Jeong等[8]使用深度神經網絡，為城市地區運行的小型無人機開發了危險區域預測系統，用來支持風險評估和安全軌跡規劃。Washington等[9]全面審查了33種模型，用于評估無人機給地面帶來的風險。李新飛[10]利用改進REICH模型，針對物流無人機執行配送任務過程中的安全性風險進行了分析研究。閆少琨[11]使用概率評價法對無人機運行風險進行了評價，確定了中國無人機安全評價指標和安全目標。eVTOL是無人機種類中新出現的一類，當前針對eVTOL的研究集中在機體的設計與開發[12]、電池與材料技術的研究[13]以及eVTOL的建模[14]，還未有研究進行風險分析，同時eVTOL在質量、體積和應用場景等方面與當前無人機風險分析有很大不同，所以有必要對eVTOL的運行風險進行研究。對中國城市空中交通發展來說，可以延長其平均無故障工作時間，降低事故發生概率，提升電動垂直起降航空器行業的安全水平，提高處理突發事故的效率，為中國制定相關法規、行業規定提供理論支持和技術指導。

在風險分析過程中，由于貝葉斯網絡在分析不確定性和相關性方面具有明顯優勢[15-16]，現擬根據eVTOL運行場景以及系統構成，結合小型無人機和小型飛機運行數據，利用貝葉斯網絡分析eVTOL運行中可能存在的風險。根據eVTOL行業發展趨勢[17]，多旋翼型eVTOL會最早投入使用，因此僅針對多旋翼型eVTOL開展研究。

1 運行場景

城市空中交通主要提供乘客運輸服務，可以將eVTOL執行一次完整服務的過程分為三個階段[17]：準備階段、起飛與巡航階段和進近與著陸階段。

1.1 準備階段

首先，eVTOL運營商收到乘客發出的請求，然后開始識別可用的eVTOL，同時評估著陸平臺的可用性、航線、天氣狀況以及其他信息。識別和評估完成后，eVTOL運營商通過向監管機構提交飛行請求來申請飛行授權，飛行請求包括起飛地點、目的地和起飛時間等信息。收到飛行請求后，監管機構開始尋找最佳航線，盡可能確保eVTOL在高水平的通信導航監視能力的走廊內飛行，同時還需要和出發地和目的地的著陸平臺運營商進行協商，確保著陸平臺在指定的出發和到達時間處于可用狀態。

監管機構批準飛行請求后，將飛行授權發送給eVTOL運營商，飛行授權包括航線、起飛時間、到達時間、空中走廊入口地點以及指定的著陸平臺。如果飛行請求存在問題，監管機構會建議eVTOL運營商對其進行更改，或者駁回飛行請求。

1.2 起飛與巡航階段

起飛之前，eVTOL在起飛平臺等待乘客，eVTOL運營商接受飛行授權，然后將其輸入到eVTOL的導航系統中。起飛后，網絡會根據飛機的航空電子設備生成的航班起飛時間通知進行更新。著陸平臺運營商將查看相關信息，以確保eVTOL著陸時平臺保持可用狀態，并將此信息共享。

在飛行過程中，航空電子設備、信標和傳感器為監管機構和附近的eVTOL提供位置和速度的信息。航空器的探測和規避功能支持對附近航空器和障礙物的態勢感知，以確保符合指定航線，并監控其系統的狀態以及氣象的變化。運營商要根據需要對速度、路線或高度進行微調。

1.3 進近與著陸階段

當eVTOL接近目的地時，運營商應確保著陸平臺和周圍空域沒有障礙物或陣風。著陸前，起降平臺運營商會給eVTOL分配一個特定的著陸平臺，供其在指定的時間段內降落在指定的平臺上。乘客離機，通過起降平臺所屬的航站樓離開，運營商清空平臺，以便其他航班可以降落在該平臺上，并通過網絡發送通知，表明航班在目的地安全結束，此信息將通過實時更新與所有網絡用戶共享。

2 系統劃分

eVTOL和無人機、小型飛機相似性高，所以系統構成可參考兩者的結合，初步分析包括機身系統、基礎設施系統、空中走廊系統、通信導航監視系統、微程序系統和空中交通管理系統。

2.1 機體系統

eVTOL可以在城市內或城市間設置的特定點對點路線上進行乘客運輸，飛行過程中受到建筑物、植被、人群等因素影響，合理的航空器應滿足自動駕駛、高效、體積小、機動性高等特性，還可以垂直起降。該系統是eVTOL機體，其中包括飛控系統、動力系統、通信系統、電氣系統和有效載荷[18]。飛控系統是由控制計算機、傳感器、執行機構等構成；動力系統包括螺旋槳、發動機等；通信系統包括天線、測控設備、收發器等；電氣系統包括電源、配電系統和用電設備。eVTOL用于乘客運輸，有效載荷即為乘客。

2.2 基礎設施系統

基礎設施包括與eVTOL的數量和類型相匹配的起飛和降落區域、停放區域、充電站和維修中心[19]。構建一個完善的垂直起降機場網絡需要建造新的基礎設施或將現有的基礎設施進行改造，如直升機停機坪、大型公共建筑的屋頂和未投入使用的土地。地面基礎設施需要結合特定城市的條件進行綜合評估和設計，重要的是考慮不同的著陸平臺配置，這取決于建造地點的可用性、空間利用率、功能要求等，可以將地面基礎設施分為三大類：垂直樞紐 (vertihubs)、垂直港口(vertiports)和垂直車站(vertistations)。

2.3 空中走廊系統

空中走廊是低空中人為劃定的三維區域，用于管理高流量空域，空中走廊有許多不同的形狀，小型UAV和eVTOL通常進入不同高度的走廊，以達到分離的目的[20]。運營商可以預先的在空中走廊中構建起飛和著陸路線，類似于傳統航空使用的進近程序。空中走廊的設計規范因國家和地區而異，小型UAV和eVTOL必須獲得相關許可才能進入。空中走廊具有高靈活性，政府可以根據實際情況進行開通或關閉操作，還可以采用必要的形狀來安全有效地對小型UAV和eVTOL進行分隔，例如圓錐體、圓柱體、管道或多個連接管道。

2.4 通信導航監視系統

語音通信將作為主要通信手段，通信系統需要安全可靠地傳輸車輛數據、預測數據、關鍵導航數據、指揮與控制、天氣數據和其他信息。城市空中交通一般利用全球定位系統、伽利略衛星導航系統或中國北斗衛星導航系統提供導航服務，在到達起飛和著陸區域的時候，eVTOL需要精確制導，以安全引導其著陸。除此之外，在能見度低、風力大、人口稠密的地區，尤其是附近有多棟建筑物和其他固定障礙物的地區，精確制導也尤為重要[21]。而目前的監控技術分為合作監控和非合作監控。合作監視需要飛機設備對詢問做出反應或自動報告位置。非合作系統依靠電磁反射來檢測目標位置。

2.5 微服務系統

又稱為交互軟件系統，微服務是基于計算機程序為執行一些功能而構建的軟件，可提供乘客在線下單與支付、共享航空器實時信息以及處理緊急情況等服務。隨著行業的發展，會出現新的需求，可以創建新的微服務。政府和監管機構可以根據其功能對這些服務進行認證。

2.6 空中交通管理系統

NASA和FAA認為無人機交通管理系統的發展將確定服務、職責、信息框架、數據交換協議、基礎設施、性能要求，從而可以進一步對低空不受控無人機的運行進行管理[22]。文獻[5]中提出的集中式平臺管理是指在計算機程序和遠程集群管理技術的協助下，同時控制上千架航空器，對飛行任務進行登記、授權、執行和監督，以確保安全有效地完成飛行。對于城市內的管理來說，一個城市往往只需要一個平臺即可預防事故和交通擁堵的情況發生，同時還能提升政府的行政管理水平。集中式調度平臺確保了航空器的統一控制，并按照計算機預先設置的路線飛行。

3 基于貝葉斯網絡的風險分析

貝葉斯網絡是基于概率論中的貝葉斯公式[式(1)]，用一個有向無環圖表示的網絡框架。貝葉斯網絡包含一組離散的概率節點，這些節點通過指定其因果依賴關系的箭頭連接，箭頭起始端的節點為父節點，指向的節點為子節點[23-24]。離散概率節點的概率是其父節點狀態的函數，用條件概率(CPT)表示。每個節點的條件概率表包括其父節點的所有可能組合。概率計算和推導依靠貝葉斯定理進行，其中條件概率可通過專家或從歷史數據中獲得。節點的值僅取決于父節點的值，網絡的表示所有條件概率分布的乘積為聯合概率分布，聯合概率分布如式(2)所示。

(1)

式(1)中：P為事件發生概率；P(A|B)為條件概率；P(A)、P(B)為先驗概率；P(B|A)為后驗概率。

(2)

式(2)中：Xi為節點；i為節點編號，i=1,2,…,n；πi為Xi在網絡中的父節點。

利用貝葉斯網絡分析eVTOL事故的優勢在于可以同時進行定性和定量分析，而且在eVTOL歷史數據不足和不確定的情況下，貝葉斯網絡具有極高的有效性和靈活性。

3.1 電動垂直起降航空器事故誘因分析

eVTOL系統結構復雜，每個系統出現故障都有可能導致eVTOL發生事故，同時在城市內載人運輸過程中，建筑物、強風、雨雪天氣、電磁干擾等都會引發eVTOL系統意外故障，導致傷人事故發生。現在以無人機和小型飛機事故庫為基礎，從人為因素、設備因素、環境因素和其他因素4個角度對 eVTOL 事故誘因進行分析[25-27]。

3.1.1 人為因素

eVTOL的基本任務是在城市內和城市間安全運送乘客，雖然早期階段可能需要飛行員，但隨著自主化的提升，飛行員將會被取代，只會保留地面指揮中心的監管人員及相關維修人員。因此，eVTOL 發生事故的人為因素主要由乘客、監管人員和地面維修人員。

由于機上既沒有飛行員，也沒有操作員，乘客需要在飛行前、飛行中和飛行后與交互軟件系統進行交互，錯誤的人機溝通與協調會向系統下達錯誤指令，使人機交互界面崩潰，除此之外，乘客在機上的一些不安全行為也有可能造成事故發生。監管人員的主要職責是監控eVTOL按預設路徑平穩飛行，以及在遇到突發事故和緊急情況下，對eVTOL進行遠程干預以緩解不良和不安全系統行為。一名監管人員通過遠程監控的方式對多名乘客和多架eVTOL負責，要同時確保eVTOL的飛行狀態處于正常值的范圍，這有可能會分散監管人員的注意力，遇到突發事故時會影響其干預的準確性，同時要避免不必要的干預和過度干預。地面維修人員主要是因為檢查或維修失誤導致事故發生，檢修的效果會直接影響eVTOL的安全性，最常見的失誤是對系統硬件的檢修，例如旋翼檢修失誤、電池檢修失誤等，這些失誤會增加相應部件發生故障的危險。特殊失誤是對通信設備的對頻失誤，使地面指揮中心無法實時監控eVTOL運行，對突發事故無法進行干預，導致事故的進一步擴大。

3.1.2 設備因素

飛行過程中防止機體系統的子系統發生故障是保證城市空中交通安全的重要要素。機體子系統故障(如結構、飛控、電氣)可能會在eVTOL運行中造成連鎖反應，導致整個系統出現問題。機體系統結構復雜且相對獨立，不同子系統出現故障所導致的事故形式也有明顯區別。此外，基礎設施故障也是需要考慮的因素，垂直起降機場中的充電設備損壞可能給電池帶來潛在風險，還需考慮高流動城市的機場維護時間不足導致eVTOL無法降落的問題。

3.1.3 環境因素

環境因素導致的eVTOL發生事故主要與運行時的天氣條件有關，當天氣條件超出eVTOL所能承受的極限時，其運行會受到較大影響。例如，強風天氣會影響eVTOL的整個飛行過程，在起飛和降落階段，強風有可能導致eVTOL側傾，致其與起降平臺發生刮蹭，巡航階段的強風可能打破eVTOL的飛行平衡，使其飛行姿態發生改變，偏離預設路徑，造成與建筑物或地形發生碰撞和乘客傷亡的事故。而雨雪天氣可能會增加eVTOL的重量造成旋翼形變，也可能會使電力系統發生短路。同時，惡劣的天氣條件會增大eVTOL電池的損耗，降低最大航程。

此外，城市內部復雜的地形與建筑環境加大了eVTOL的飛行難度，若城市海拔較高，空氣密度低，則旋翼需要更高的轉速來提供足夠的升力，同時密集的建筑群減小了eVTOL緩解突發事故的裕量。自然環境和社會環境的相互作用，形成了復雜的eVTOL運行環境，為其飛行帶來潛在風險。

3.1.4 其他因素

除上述3種不同種類的因素外，還有支持 eVTOL 運行的外部系統因素，如全球定位系統(global positioning system,GPS)信號、5G信號衰減，導致對eVTOL的遠程操控和通信丟失；空中交通管理的故障會直接影響到空中走廊內小型無人機和eVTOL的飛行限制和優先順序、機場起飛和降落空域擁堵加劇，甚至在空中發生相撞；空中走廊的開放與關閉決定了是否要改變eVTOL的既定路線，臨時關閉空中走廊的某一段會造成局部空中交通混亂，走廊內eVTOL的安全間距減小，引發事故。

3.2 貝葉斯網絡模型構建

3.2.1 貝葉斯網絡結構的確定

通過對eVTOL可能的運行場景和系統構成分析，以eVTOL意外事故發生的因果關系為依據，將其事故后果與事故誘因通過有向無環圖表示。如圖1所示。

3.2.2 貝葉斯網絡參數的確定

由于eVTOL還處于研發或試運行階段，相關子系統或部件的故障率及失誤率可使用傳統無人機和傳統航空的概率代替。通過在美國國家運輸安全委員會(NTSB)和eVTOL News網站的信息收集，部分先驗概率如表1所示。

圖1 eVTOL事故貝葉斯網絡模型Fig.1 Bayesian network model of eVTOL accident

表1 部分故障或失誤的概率Table 1 Probability of partial failure or error

(3)

圖2 三角模糊數的隸屬度函數Fig.2 Membership function of triangular fuzzy

(4)

式(4)中：a1、a2分別為兩個三角模糊數較低的最有可能的值；b1、b2分別為兩個三角模糊數較高的最有可能的值；m1、m2分別為兩個三角模糊數最有可能的值。

在傳統的貝葉斯網絡模型中，節點的失效概率通常是確定的。然而，由于數據的缺乏和系統環境的變化，很難確定準確的失效概率。Zhang等[29]將模糊集合理論應用于貝葉斯網絡，并提出了模糊貝葉斯網絡。研究表明，在相同的模型和輸入數據的情況下，模糊貝葉斯網絡不僅可以獲得一致的結果，而且更具通用性和準確性[30]。模糊貝葉斯規則可表示為

(5)

式(5)中：xi為根節點的狀態變量；t為葉節點；T和X分別為葉節點和根節點。

結合式(4)，可以實現基于模糊貝葉斯網絡的推理分析。

P(X=xi|T=t)=

(6)

在無法獲得精確的事件狀態概率的情況下，通常需要借助群決策的方法依據專家經驗得出結果。這種方法不僅可以減少專家之間的誤差，也可以減少專家不確定性的影響。為了將專家對事件發生概率的評判結果與模糊數聯系起來，需要引入“非常低”“低”“偏低”“中等”“偏高”“高”“非常高”7個語言變量[30]。每個語言變量與三角模糊數的對應關系如表2所示。

通過這種方法，可以將專家意見轉化為用三角模糊數表示的模糊概率。

表2 事件發生語義值及對應的三角模糊數Table 2 Semantic value of event occurrence and corresponding triangular fuzzy number

3.3 風險分析

作為無人機系統的一個分支，為了評估eVTOL運行風險，Sun等[31]指出，搭載乘客的eVTOL有很大的不同，因為它不受控制地墜落到城市地面將對機上乘客和地面人員構成嚴重風險，因此，eVTOL乃至整個城市空中交通運營至少要達到傳統商業運輸航空的安全水平；Thipphavong等[21]在其對城市空中交通的綜述中提出，用于城市空中交通的垂直起降飛機能夠對地面人員和財產以及機上人員造成重大傷害。此外，飛機將在城市中心附近飛行，底線是必須是安全的,即可能達到商用運輸機所需的水平，甚至更好。目前，普遍接受的傳統航空運輸風險為10-5每飛行小時，而當前無人機運行的可接受風險為10-8每飛行小時，通過計算eVTOL正常運行時發生安全事故的概率為9.648×10-7，此計算數值高于無人機運行風險閾值，但低于傳統航空風險閾值。

3.3.1 不同情況的事故風險

以控制失效為例，計算這種情況下失控墜地、空中碰撞以及中間事件發生概率。在發生控制失效的前提下，各事件發生概率如圖3所示。可以看出，在此情況下，失控墜地和空中碰撞發生的概率分別為64.48%和32.09%，導致葉節點發生的中間節點概率最大的是飛控系統斷電/故障，為89.70%，其次為飛控系統恢復不足，而eVTOL動力系統失效和旋翼故障發生概率也較大，電力不足發生的概率僅為1.13%。此種情況清晰的展示了該事故誘因向eVTOL失控墜地和空中碰撞底事件發展過程中，各中間事件的發生概率。

圖3 控制失效情況下各事件發生概率Fig.3 Probability of occurrence of each event in case of control failure

3.3.2 反向推理分析

根據所構建的貝葉斯網絡和條件概率計算失控墜地和空中碰撞發生時各中間事件的后驗概率，如圖4所示。

從圖4可以看出，控制失效、飛控系統斷電/故障、飛控系統恢復不足是引發事故的三項主要誘因，而動力系統失效、缺乏可用垂直機場、旋翼故障也有較大可能導致事故發生。因此，在風險緩解的的過程中，可以以此為依據，逐項降低風險概率，提升eVTOL安全運行水平。

圖4 失控墜地和空中碰撞誘因概率分布Fig.4 Probability distribution of inducement of uncontrolled falling to the ground and air collision

4 建議

未來的空域將充滿無人機、商用飛機、直升機等飛行器，必須同時確保安全、高率以及與未來技術的兼容性。為了加快eVTOL的普及，延長平均無故障時間，降低事故發生率，需要考慮以下方面。

(1)著重建設空中交通管理系統。空中交通管理系統負責安全引導eVTOL通過人口密集區和敏感地點上空，這表示必須要實現跟蹤、識別和遠程操縱等功能，負責實現這些功能的eVTOL運營商和相關方需要提供主動風險管理、化解沖突、緊急警報和其他關鍵服務，而且必須設有緊急和安全響應航空器以便快速到達事故地點[16]。在設計、測試、認證和運行的每一個步驟中，必須始終考慮空域的可用性和完整性。

(2)建立空域服務組織。應當建立空域服務組織，其作用是提供服務以加強和維護行業安全[18]。該組織的安全管理系統應收集實時安全報告，以保持持續安全和改進工作，同時精確監控eVTOL是否遵守飛行授權的情況，此外，這些數據將為政府和行業相關者提供參考，可用于主動改善每個運營商的運營安全性能。這些數據還將使監管機構能夠確認，交通復雜性得到了良好的管理，從而支持未來更高容量運營的安全案例。

5 結論

(1)eVTOL正常運行時發生安全事故的概率為9.648×10-7，此數值低于傳統航空運輸風險閾值，但高于無人機風險閾值，其中，控制失效、飛控系統斷電/故障為主要事故誘因。

(2)通過對控制失效情況下失控墜地和空中碰撞以及中間節點發生概率的計算，說明建立的貝葉斯網絡對eVTOL事故分析具有有效性。