基于BPMN和故障樹的管制交接班認知危險分析

王潔寧，曹雪梅，周 沅

（1.中國民航大學天津市空管運行規劃與安全技術重點實驗室，天津 300300；2.中國民用航空華東地區管理局，上海 200335）

基于BPMN和故障樹的管制交接班認知危險分析

王潔寧1，曹雪梅1，周 沅2

（1.中國民航大學天津市空管運行規劃與安全技術重點實驗室，天津 300300；2.中國民用航空華東地區管理局，上海 200335）

在業務流程建模與標注的基礎上結合故障樹分析方法對區域管制員交接班過程中的危險項進行定性/定量分析，根據業務流程建模與標注的要求，對區域管制工作任務進行分析，建立了交接班過程模型，結合故障樹分析方法，對過程中的每一項任務進行危險識別。計算結果表明，該方法可有效識別空管交接班中危險項，為管制交接工作提供科學合理的風險定量計算具有指導意義。

交接班任務；認知流程；BPMN；故障樹

空中交通管制是保障空管運行安全的重要環節，空中交通管制的安全性受多種因素影響，如設備運行狀況、天氣情況、空域限制和空中交通管制員人為差錯等[1]，其中人為差錯占有較大比重。霍志勤等[2]采用修正的REASON模型，結合空管運行的實際情況，構建了事故調查分析分解框架，為空管安全管理中的危險識別提供了依據。閆少華[3]在Wickens人類信息加工模型的基礎上，加入注意功能、情景意識、內部和外部操作成形因素，建立了管制員信息處理模型，模型從認知角度對空中交通管制人為差錯進行分類，進一步確定差錯的心理致因。事實上，空管系統是一個高度分布式、具有聯合認知特征的社會-技術系統，且人為差錯往往是嵌套在特定的空管業務流程之中[4]。2000年，歐控提出了管制員認知流程模型[5]，該模型在管制員訪談、管制運行過程觀察及空管運行仿真分析的基礎上，采用自定義符號建立了管制員認知流程模型，是本文重要的參考基礎。充分考慮國內管制工作的實際情況，通過業務流程建模語言構建包括任務流、信息流和控制流等為一體的管制認知流程能夠為風險分析提供幫助。

從20世紀60年代開始，針對化工系統中風險分析的復雜性，人們從化工工藝流程出發，提出了過程危險分析（PHA,process hazard analysis）概念化模型，模型包括HAZOP[6-7]、FMEA[8-10]等在內的一系列風險分析方法。過程危險分析方法將傳統的方法嵌入到管道儀表流程圖（PID）中，從而能夠在特定的節點針對特定的危險子節點開展分析。

本文依據區域管制員工作任務及各個任務之間的邏輯關系，引入業務流程建模與標注(BPMN,business process modelling and notation)[11]構建區域管制交接班流程模型，同時，提出將BPMN模型與故障樹模型相結合的方法，識別出流程中可能存在的危險項，實現風險的定性/定量分析。

1 區域管制工作任務分析

區域管制單位主要為航路（航線）或指定范圍內飛行的航空器提供空中交通管制服務和告警服務，同時還可為部分航空器提供飛行情報服務。區域管制員不僅需要具有宏觀的計劃、預測、協調、組織能力，同時還要具有良好的管制工作節奏感和發送指令與解決沖突時機的把握能力[12]。

根據“集成任務分析方法”[13]，結合某區域管制中心SMS手冊，并經過訪談調研，確定了以下3種工作任務：

1）管制活動（controller’s action） 管制員實施管制指揮的基本工作任務。主要包括以下子任務：①交接班，管制員工作席位交接，并建立當前空域態勢的情景意識；②監控，管制員保持對當前空域運行情況的監視；③處理常規請求，管制員處理如飛行器高度、速度改變等一些常規情況；④處理請求/協助飛行員，管制員處理其他空管人員的請求，并協助飛行員實施飛行活動；⑤解決沖突，管制員在預計將要發生飛行沖突時，通過協調和發布指令等方式解決沖突。

2）認知活動（cognitive task） 管制員在執行管制活動時，對信息進行加工處理的行為活動。主要包括以下子任務：①準備工作，管制員在交接班前需熟悉和觀察當前的交通狀況；②更新心理圖，管制員在完成一個任務后需重新建立對當前空域態勢的情景意識；③檢查，管制員對設備的簡單檢查，及對實時信息的掌握；④查找沖突，管制員需預測是否存在潛在沖突，預判當前空域運行態勢是否符合安全規則；⑤發布指令，管制員向飛行員發布調配指令。

3）注意力轉換（attention） 管制員需將注意力轉移到更高優先級任務上。

區域管制工作任務中管制活動、認知活動和注意力轉換這3種任務過程并非孤立存在，三者之間可能存在依賴關系、關聯關系、聚合關系等多種關系，為了更好地說明，本文采用UML方法[14]刻畫三者之間關系，如圖1所示。

由圖1可知：認知活動類，由準備工作、更新心理圖、檢查、查找沖突和發布指令5種子任務構成，同樣地，管制活動由交接班、監控、處理常規請求、處理請求/協助飛行員和解決沖突5種子任務聚合而成；管制活動與認知活動存在“一對多”的關聯關系，如交接班任務關聯到4種認知活動，分別是準備工作、更新心理圖、檢查、查找沖突。

圖1 區域管制工作任務關系類圖Fig.1 Relationship class diagram of en-route control task processes

通過UML構建區域管制工作任務關系類圖，有助于明確管制工作任務之間的層次關系，及各個任務之間的關聯關系。“交接班”過程是區域管制員進行基本工作任務的始端，同時是實現其他任務的重要基礎，故本文以交接班過程作為研究對象。

2 “管制交接班”任務分析及建模

2.1 “管制交接班”任務分析

管制交接班是為避免交班管制員工作時間過長，導致身體和心理勞累、注意力松懈的崗位輪換制度。中國交接班任務是強制執行的工作任務，在交班管制員講解信息、管制意圖等過程時，有助于接班管制員盡快從非工作狀態轉入高度集中的工作狀態。良好交接班為后續管制指揮和解決沖突奠定了堅實的基礎。

通過第1節關于管制工作任務的分析可知：交接班任務包含的4種認知活動，分別是準備工作、檢查、查找沖突和更新心理圖。表1是對每個認知活動存在的認知行為分析。

2.2 基于BPMN的“管制交接班”流程建模

從2.1節關于管制交接班認知行為的分析可知，管制交接班過程是一種時序流程，其中具體認知活動中包含一些并行或復雜事件等。鑒于管制交接班過程存在流程特點，故采用業務流程建模與標注，這是一種以圖形化的方式表述業務流程的建模語言，可給用戶提供一種容易理解的表示方式，同時可用于描述業務流程中的任務流、信息流和控制流[11]。

BPMN2.0中含有5種核心元素集合，分別是任務集合（T）、事件集合（E）、網關集合（G）、池（P）和流集合（F）。核心元素的圖形如圖2所示，關于每種核心元素的定義、表示符號具體參見Cameo Business Modeler 18.3專業軟件手冊[15]，本文不再贅述。

表1 管制交接班認知活動任務Tab.1 Cognitive task of‘taking over position’

圖2 核心BPMN元素Fig.2 Core element of BPMN

在BPMN2.0中，為了得到標準的流程模型，需對流程作出以下邏輯約束定義：

定義1 BPMN=（T，E，G，P，F），其中，集合T、E、G、P互不相交。

定義2 業務流程中的邏輯約束條件，如

條件1 ?e∈ES：in（e）=?∧ out（e） =1

條件2 ?e∈EE：in（e）=?∧ in（e）=1

條件3 ?t∈T：ou（tt）=1

其中：ES表示開始事件；EE表示結束事件。

因此，在符合BPMN2.0邏輯約束的前提下，應用Cameo Business Modeler 18.3專業軟件構建如圖3所示的管制交接班過程模型，及檢查任務內嵌套的認知流程，如圖4所示。

圖3 區域管制員交接班認知流程模型Fig.3 Cognitive process model of en-route controllers’taking over position

圖4 基于BPMN的區域管制員"檢查"過程模型Fig.4 En-route controllers’checking process model based on BPMN

在區域管制交接班認知流程模型中，本文將交接班過程中包含的4種認知活動定義為子過程（即用帶有加號的矩形框表示），子過程意味該過程內包含更具體的流程。圖4顯示的是管制交接班檢查活動的認知流程模型，其他3種認知活動同樣存在具體的流程模型。在管制交接班進程中，每進行一項認知活動，就可能產生一定危險，隨著每項認知活動的進行，認知活動中的危險也會相應的累加，即準備工作任務中產生的危險會對信息檢查任務產生影響。隨著過程發展的進程，危險累加，最終會導致管制交接班失敗，甚至造成不良后果。因此，可將管制交接班過程劃分為合理的分析節點，以便較全面地分析每項認知活動中存在的危險，從而降低管制員交接班存在隱患的可能性。

本文應對管制交接班過程中存在的4種認知活動分別進行基于BPMN的故障樹分析，但由于篇幅限制，僅以檢查認知活動為例進行分析。

3 故障樹定量風險分析

故障樹分析法是一種通過演繹推理的方式，用樹形圖表示系統可能發生的某種事故與導致事故發生的各種原因之間的邏輯關系[16]。很多學者直接將故障樹分析方法用于分析系統故障，這樣分析存在的缺點是分析較大型系統時，無法保證所構建故障樹的完整性，也給定量分析增加了難度。為了構建較為完整的故障樹，本文在HAZOP和FMEA過程危險分析方法基礎上，將系統劃分為合理的分析節點，再針對每個分析節點進行故障樹定性/定量分析。圖5所示的就是將故障樹用于BPMN模型中任務節點的分析模型，即基于BPMN的故障樹模型[17]。

從圖5可知，導致任務故障的原因不僅僅來自于任務本身的致因因素，還有上一任務的危險輸入，故在使用該模型進行過程危險分析時，不應忽視關聯任務之間的相互影響。以“檢查”認知活動為例進行定性分析，對于進行掃視雷達屏幕或提示信息行為時，可能出現視頻信息超出視界、視頻信息干擾、錯誤等差錯。進而得到如表2中列舉導致檢查信息不全面的致因因素，其中還包含準備工作不充分產生的危險因素。

圖5 基于BPMN的故障樹模型Fig.5 FTA model based on BPMN

表2 檢查信息不全面危險致因因素Tab.2 Causing factors of incomplete information checking

表2中的致因因素是導致活動故障的直接因素。這些直接致因因素就構成了故障樹的基本事件，再通過樹狀結構的節點互聯，形成了完整的信息檢查不全面的故障樹，本文在Fault Tree+軟件中構建了如圖6所示故障樹。圖中的節點代表了故障或失效路徑，并通過布爾邏輯和符號連接起來。基本事件概率是根據某空管局2009—2012年度不安全事件報告統計得到，如表3所示。為使用Fault Tree+軟件對管制交接班中檢查認知過程進行定量分析，需將基本事件發生頻率轉換為故障率（即每百萬小時失效率），代入軟件計算，得到圖7所示的關于信息檢查不全面的結果報告，及圖8所示的人為差錯重要度分析結果。

圖6 信息檢查不全故障樹Fig.6 Fault tree of incomplete information checking

表3 某空管局2009—2012年度不安全事件報告統計Tab.3 2009—2012 unsafe event report of one sub-bureau of CAAC

圖7 信息檢查故障樹結果報告Fig.7 Fault tree result report of incomplete information checking

從信息檢查結果報告中明顯可以看出，管制交接班過程中，信息檢查不全面的故障率為5.048E-08每百萬小時，不可用度為1.262E-14。從圖8可得知，在信息檢查認知活動中，管制員信息檢查的人為差錯問題主要受管制員檢查時間不充足影響。從一線了解到中國管制交接班時間一般為10 min左右，這期間不僅要了解、熟悉交通態勢，還需要聽交班管制員講解，對可能的沖突進行調配等活動，因此檢查信息時間不充分對導致管制員信息檢查不全面影響較為顯著。進而提醒管理者對管制員進行培訓、考核時，應對合理分配交接班時間給予足夠重視，使得管制員可以高效地完成交接班任務。

圖8 信息檢查重要度分析Fig.8 Importance analysis of incomplete information checking

同理，可使用基于BPMN的故障樹方法對其余的3種認知活動進行故障樹構建和重要度分析。

4 結語

高效交接班是管制員正常流暢工作的重要保障，這是一個不能出現任何紕漏的環節，任何一個空中動態的遺忘移交都可能形成潛在的隱患。本文將業務流程建模工具BPMN引入到空中交通管制員認知風險分析中，結合故障樹分析方法對流程模型中的任務節點進行最小割集、最小徑集和重要度的定性/定量分析。本方法可較為準確地識別出管制員交接班過程中的危險項，并計算出相應的故障率，對于一些重要度較高的危險項，應引起管理者和管制員的足夠重視，為實現區域管制交接班精細化管理打下堅實的基礎。本文后續工作將進一步細化認知過程，通過大量的實際數據進行驗證。

[1]隋 東,韓明良,董襄寧,等.空中交通管制員認知可靠性研究[J].南京航空航天大學學報,2007,39(3):384-387.

[2]霍志勤,謝孜楠.Reason模型在空中交通管制中的應用[J].中國安全科學學報,2008,18(1):155-159.

[3]閆少華.基于信息加工模型的管制員差錯分類與分析[J].中國安全科學學報,2009,19(8):121-125.

[4]施和平.空管系統安全管理——基于資源、機制、效用模式的理論和實踐[M].北京:中國民航出版社,2015.

[5]EUROCONTROL.Integrated Task and Job Analysis of Air Traffic Controllers Phase 3 Baseline Reference of Air Traffic Controller Tasks and Cognitive Processes in the ECAC Area[R].European Organization for the Safety of Air Navigation,2000:111-128.

[6]盧琳琳,張來斌,梁 偉,等.基于因果依賴圖的HAZOP推理方法研 究[J].中國安全科學學報,2012,22(2):63-68.

[7]郭麗杰,王 楠,康建新.石化裝置HAZOP節點重要度模糊綜合評價研究[J].中國安全科學學報,2015,25(1):98-104.

[8]鄭晶晶,張欽禮,王新民,等.充填管道系統失效模式與影響分析(FMEA)及失效影響模糊評估[J].中國安全科學學報,2009,19(6): 166-171.

[9]胡海濤,高朝暉,何正友,等.基于FTA和FMEA法的地鐵牽引供電系統可靠性評估[J].鐵道學報,2012,34(10):48-54.

[10]李中興,陳國華,李 剛,等.基于PHA-FMEA的電梯安全評估方法及應用[J].2014,24(10):60-64.

[11]OBJECTMANAGEMENTGROUP.Businessprocessmodelandnotation (BPMN)2.0,StandardDocumentformal/2011-01-03[R].Object ManagementGroup,Needham,2011.

[12]杜 實.空中交通監視服務[M].北京:中國民航出版社,2012.

[13]SEAMSTER T L,REDDING R E,KAEMPF L.Applied cognitive task analysis in aviation[J].International Journal of Cognitive Ergonomics, 1999,3(3):377-378.

[14]冀振燕.UML系統分析與設計教程[M].北京:人民郵電出版社, 2009.

[15]OBJECT MANAGEMENT GROUP INC.Cameo Business Modeler User Guide[G].2013.

[16]SINNAMON R M,ANDREWS J D.New approaches to evaluating fault trees[J]．Reliability Engineering&System Safety,1997,58(2):89-96.

[17]LUKE T.HERBERT,R S.Quantitative Analysis of Probabilistic BPMN workflows[C]//Tcyl ASME 2012 International Design Engineering Technical Conference&Computers and Information in Engineering Conrfeence,Chicago,2012.

（責任編輯：黃 月）

Research on controllers’cognitive risk based on BPMN and FTA

WANG Jiening1,CAO Xuemei1,ZHOU Yuan2
（1.Tianjin Key Lab of ATM Operation Planning and Safety Technology,CAUC,Tianjin 300300,China; 2.East China Regional Administration,CAAC,Shanghai 200335,China）

Risk factor analysis of ARTCC controllers’taking over position task is studied based on BPMN model and FTA. En-route controllers’task is analyzed,meanwhile,taking over position process is established according to the requirements of BPMN model.In order to address the safety risk analysis,BPMN model is extended to analyze cognitive risks of every key task element in the model by FTA.Results show that it can help to identify key risk factors of taking over position tasks and to conduct quantitative calculation risk level.

taking over position task;cognitive process;BPMN;FTA

V355

：A

：1674－5590（2016）06－0010－05

2015-12-28；

：2016-03-27

中央高校基本科研業務費專項（3122013P008,3122014D040）；空管科研課題（GKG201410003）

王潔寧（1966—），男，甘肅蘭州人，研究員，博士，研究方向為空管仿真與空管軟件技術.