航空四站氣體保障過程的STAMP建模與STPA安全性分析

胡劍波，李俊，鄭磊

(空軍工程大學 裝備管理與無人機工程學院，西安 710051)

航空四站氣體保障過程的STAMP建模與STPA安全性分析

胡劍波，李俊，鄭磊

(空軍工程大學 裝備管理與無人機工程學院，西安 710051)

航空四站氣體保障裝備的可靠性在不斷提高，而氣體保障過程中的事故仍有發生，需要一種新的方法系統地去識別新的危險因素，從而提高系統的安全性。從控制的角度結合STAMP和STPA對航空四站氣體保障過程進行安全性分析。首先，介紹STAMP/STPA的工作機理；然后，對航空四站氣體保障過程構建STAMP模型，采用STPA安全分析方法對航空四站氣體保障過程的安全性進行分析，識別不安全控制行為，對生成的不安全控制行為進行場景分析；最后，與事故樹分析法(ATA)進行分析結果的比較，從而證實了該方法的優越性。結果表明：采用STAMP模型和STPA安全分析法可以更加全面地識別出不安全控制行為及其原因，更有利于保證航空四站氣體保障過程的安全。

安全性；安全分析方法；STAMP；STPA；航空四站氣體保障過程

0 引 言

航空四站保障[1-2]是空軍航空兵部隊戰斗力生成的關鍵環節，是空軍飛機能夠及時飛行執行任務的基礎。航空四站保障包含熱工、電力電子、機械、化學、控制等多學科，是一個多領域交叉的復雜系統工程，并且其保障任務繁重，完成質量要求高，保障的質量直接影響著飛行安全。隨著系統的復雜性和耦合性不斷增強，尤其是計算機、人工智能等新技術的大范圍使用，使現在事故致因不僅有組件失效、操作違規，并且出現了一些傳統方法無法識別的原因。因此，需要構建新的方法系統去識別新的危險因素，從而提高系統的安全性。

傳統的事故模型有多米諾模型[3]和瑞士奶酪模型[4]，這兩個模型假設事故存在單一或根本原因，基于該假設，傳統的預防事故的最常用的技術為斷開事件鏈，而該假設是不符合實際的。傳統的安全性分析方法(例如事故樹分析法(ATA)[5]、故障樹分析法(FTA)[6-7]、失效模式與影響分析法(FMEA)[8-9])認為事故是由組件失效引起的一連串的失效，并且認為選擇高可靠性的器件就能減少事故的發生。雖然傳統的安全分析方法在分析簡單系統時取得了很好的效果，但對復雜系統[10]顯得力不從心。傳統的安全性分析方法在分析復雜系統故障時需要投入大量的人力物力，但卻依然無法避免因為組件交互、系統本身設計缺陷、人機交互等引起的事故發生[11]。因此，無論從經濟性還是安全性的需求出發，基于可靠性的分析方法都是不可取的。

針對傳統的安全分析方法面臨的難題，N.G.Leveson等提出了新事故模型(Systems-Theoretic Accident Modeling and Processe’s，簡稱STAMP)[12-13]，并把STAMP模型成功地應用在航空[12]、交通運輸[14]和組織管理[15]等安全問題上。國內也已經開始對STAMP進行研究，鄭磊等[16]成功用STAMP對機輪剎車系統建模，用STPA(Systems-Theoretic Process Analysis)方法分析了不安全的控制行為以及導致不安全控制行為的原因，仿真說明了人為因素對剎車系統安全的影響；王起全等[17]根據STAMP原理針對地鐵突發事件引起人群恐慌而導致擁擠踩踏事故設計了應急聯動系統，對地鐵人群密度進行監控，以便在事故發生之前對人群進行應急疏散，從而降低了事故發生的可能性；李娟等[18]用STAMP/STPA對艦載軟件設計的安全性進行了分析，對開發滿足系統安全需求的艦載作戰系統軟件具有積極的指導意義。

目前，對航空四站氣體保障過程的安全性分析的研究較少。本文從控制的角度結合STAMP和STPA對航空四站氣體保障過程進行安全性分析。首先根據航空四站氣體保障過程建立STAMP模型，然后采用STPA方法對飛機氣體保障過程中不安全的控制行為以及可能導致的危險進行闡述，最后對產生不安全控制行為的場景進行進一步分析，以期為提高航空四站氣體保障過程的安全性提供新的方法和思路。

1 STAMP/STPA工作機理

STAMP的三個基本概念是安全約束、分層安全控制結構和過程模型。STAMP認為安全性是系統的涌現性，把復雜系統用層次模型表示，構建分層安全控制結構，高層次對低層次的控制行為施加安全約束，低層次執行完畢后給高層次提供反饋，高層次根據反饋進行調整，循環進行。每個層次都對應著一個或多個過程模型，層次之間約束的有效執行和反饋的及時準確實現了系統安全的動態平衡。STAMP把安全性看作是一個控制問題，認為事故是在組件失效、外部干擾以及組件的異常交互沒有得到合理的控制時可能發生。

STPA[19]方法是一種建立在STAMP事故模型基礎上的危險性分析方法，包含STAMP識別出的、傳統的技術無法處理的新的致因因素，它可以識別涵蓋整個事故的事故場景，例如軟件設計錯誤(包括軟件缺陷)、組件交互事故、人為因素、組織因素以及環境因素。

STPA方法對事故、危險、不安全控制行為(UCA)和UCA的場景分別進行了定義：

(1) 事故是指導致損失的意外的、不期望的事件，損失包括人員生命損失或者受傷、財產損毀、環境污染以及任務失效等；

(2) 危險是指潛在的與某一特定環境條件相結合，可能導致事故(損失)的某一系統狀態或者情形的集合；

(3) STPA方法定義了四種不安全控制行為：①沒有提供需要的安全控制行為；②提供的不安全控制行為；③安全控制行為太遲、太早或失序；④提供的安全控制行為過早結束或作用的時間太長；

(4) UCA的場景是指導致每一個不安全控制行為發生的潛在的不安全情況和原因的集合。

STPA方法主要有兩個步驟：

(1) 識別不安全控制行為(UCA)；

(2) 產生UCA的場景分析。

在具體分析時，需要建立合理的控制/反饋回路(如圖1所示)。

事故致因主要分為三類：控制器、執行器、控制過程以及傳感器本身的設計不合理或者失效；信息的傳遞過程中出現了丟失、延遲、被錯誤的理解等問題；不合理的外界干擾。當出現危險征兆時能否及時準確地發出合理的控制指令是預防事故發生的關鍵。

2 航空四站氣體保障過程的STAMP模型

航空四站氣體保障主要分為生產、存儲、運輸和充氣四個部分。氣體保障主要包括氧氣和氮氣，結合部隊實際，通過調查發現常見的事故主要出現在充氧部分。因此，本文主要對充氧過程的安全性進行分析。

航空四站氣體保障過程是充氣員和機務人員配合進行氣體保障，根據指揮層任務指示、工作安排以及保障現場實際及時將所需氣體運輸到指定地點進行氣體保障，在充氣時要嚴格按充氣規定進行操作，根據機組維護保障流程在合適的時機充氣，充氣員控制進氣閥，機務人員負責把接頭連接上飛機，固定后進行充氣，根據座艙儀表變化告知充氣員調整充氣速度，機務人員需有一定的提前量打手勢提示充氣完畢，充氣完畢后需要先關閉進氣閥，而后才能拔出接頭，防止發生人員意外受傷。

根據上述邏輯關系搭建航空四站氣體保障過程的STAMP模型，如圖2所示。

從圖2可以看出：指揮層同時控制著兩個STPA回路，一個是由充氣員、進氣閥、氧氣車以及儀表(包括氣壓表、溫度表)、壓力報警信號燈組成的，另一個是由機務人員、接頭、飛機以及氧氣氣壓表、氧氣壓力報警信號燈組成的，兩個回路之間相互溝通。只有當兩個STPA回路運行正常、溝通正常、反饋及時以及指揮層對兩個STPA回路的指揮準確無誤的情況下，整個氣體保障過程才能確保安全。

3 航空四站氣體保障過程的STPA安全性分析

3.1 系統級事故的確定

STPA安全性分析方法的第一步是確定系統可能發生的事故和不可接受的損失。航空四站氣體保障過程可能造成的事故和損失(包括人員受傷或死亡、影響飛行安全、火災或爆炸)如表1所示。

表1 航空四站氣體保障過程的系統級事故

人員受傷或死亡(A-1)主要包括司機、充氣員、機務人員等其他人員吸入氧氣中毒、凍傷以及設備運行超過限制引起爆炸從而導致人員受傷或死亡。飛行員受傷或飛機墜毀(A-2)是指飛行員無法在高空中正常吸氧，容易導致飛行員受傷，甚至引起飛機墜毀。火災或爆炸(A-3)主要是指氧氣在遇到電火花、明火或者設備運行超過限制等情況時發生的嚴重事故。

3.2 系統級危險的確定

系統級危險是可能導致系統級事故發生的子集，系統級的危險可能會導致多個系統級事故的發生。航空四站氣體保障過程的系統級危險如表2所示。

表2 航空四站氣體保障過程的系統級危險

氧氣外泄(H-1)是指氧氣外泄到空氣中，空氣中氧氣濃度高于40%也會發生氧中毒，同時液氧屬于低溫高壓物質，工作人員容易被凍傷，氧氣可以與可燃物形成火災或爆炸。輸氣管道壓力過低(H-2)會引起氧氣殘余在輸氣管道中，如果殘余的氧氣沒有及時處理，遇到電火花等其他易燃物會導致火災或爆炸、地面人員受傷或死亡等意外情況。輸氣管道壓力過高(H-3)是指輸氣管道中氧氣壓力過高導致充氣接頭以及管道運行超過限值，極易造成人員傷害或死亡、火災或爆炸等意外的發生。飛機氧氣壓力過低(H-4)容易影響飛行員在高空中吸氧，可能會引起飛行員受傷甚至飛機墜毀。飛機氧氣壓力過高(H-5)主要分為兩種情況：一是在地面飛機氧氣壓力過高的情況下持續充氣，會引起飛機氧氣存儲裝置超限，從而導致火災或爆炸、地面人員受傷或死亡事故的發生；二是在飛機氧氣壓力過高的情況下繼續執行飛行任務，在高空需要供氧時氧氣壓力過高，會導致飛行員受傷，嚴重時會直接使飛行員無法正常操控飛機，從而導致飛機墜毀。

3.3 識別不安全控制行為(UCA)

根據建立的航空四站氣體保障過程的STAMP模型，結合保障的流程，識別潛在的危險控制。執行層最主要的控制是打開進氣閥、關閉進氣閥和連接接頭、拔出接頭。

根據STPA方法定義的四種不安全控制行為，可以列出執行層潛在的不安全控制行為，如表3所示。

表3 潛在的不安全控制行為

3.4 產生UCA的場景分析

確定好不安全的控制行為以及該行為導致的危險后，根據STPA分析方法的控制/反饋模型，得到控制行為導致危險的主要原因有兩個方面：①不正確、不及時等不恰當的控制行為導致的危險；②不及時不完整等不合理的信息反饋導致的危險。

根據上述導致危險的主要原因，將航空氣體保障過程的STAMP模型分成兩個部分，即控制和反饋，如圖3所示。

3.4.1 不正確、不及時等不恰當的控制行為導致的危險

圖3控制/反饋回路中的上半部分1和3是主動控制部分，分析導致不正確不及時等不恰當的控制行為的關鍵原因如下：

(1) 充氣員

①充氣員沒有通過崗前培訓，無證上崗，導致了危險。

②充氣員業務能力很強，但是由于當天身體狀態不佳，導致了不合理的操作。

③充氣員由于長時間休假，剛回單位就匆忙上崗，導致錯誤的控制行為。

④充氣員在打開進氣閥和連接接頭時沒有按照規定次序打開。

⑤充氣員在飛機沒有完成液壓檢測就進行充氣。

⑥充氣員沒有和機務人員做好交流，同時也沒有進行復查，在不知道接頭沒有固定好的情況下，打開充氣閥門。

⑦充氣員在進行充氧的時，打開進氣閥的速度過快。

⑧充氣員在沒有機務人員在場的時候，在對飛機狀態不了解的情況下，擅自充氣。

⑨充氣員錯誤的理解了機務人員的意思，從而導致了錯誤的控制行為。

⑩充氣員在受到多重工作指示，導致工作思維混淆，造成錯誤控制行為。

(2) 進氣閥

①進氣閥設計不合理。

②進氣閥沒有設置安全操作提示。

③進氣閥沒有做好定期檢查。

(3) 機務人員

①充氧達到飛機需求時，機務人員沒有向充氣員打手勢，導致充氣員沒有能夠及時關閉充氣閥門。

②飛機沒有完成液壓系統檢測時，機務人員沒有告知充氣員。

③充氧前應當把接頭與飛機的連接固定好，在沒有固定好接口時就通知充氣員可以充氧，從而導致危險。

④在充氧過程中發現充氣接口沒有固定好，違規操作，從而導致危險。

⑤在沒有達到充氣需求量時，就打手勢提示充氣員關閉充氣閥，從而對飛行安全造成影響。

⑥機務人員給充氣員提供了錯誤的氧氣需求量，導致充氣員錯誤的控制行為。

(4) 接頭

①接頭和輸氣管道的連接松動。

②接頭的質量不合格。

③接頭上有油脂。

④接頭的設計不合理。

(5) 外界干擾

①指揮層對充氣工作的安排不合理。

②在工作過程指揮層或在場的其他人員的臨時干擾，對控制指令的下達有著較大影響。

③工作區域有人違規用火。

3.4.2 不及時不完整等不合理的信息反饋導致的危險

圖3控制/反饋回路中的下半部分2和4是反饋部分，分析導致不及時不完整等不合理的信息反饋的關鍵原因如下：

(1) 反饋信息的產生

①氧氣車的壓力報警信號燈參數設計太高。

②氧氣車的測量氧氣壓力的儀表設計不合理，不能得到及時準確的數據。

③氧氣車的測量氧氣溫度的儀表設計不合理，不能得到及時準確的數據。

④氧氣車的測量氧氣輸出量的儀表設計不合理，不能給出正確的氣體輸出數據。

⑤氧氣車的車載軟件設計不合理，不能及時地把氧氣的實時狀態顯示出來。

⑥飛機氣壓儀表測量氣體壓力的方法設計不合理。

⑦飛機氣體壓力報警器設計不合理，當氣體超過飛行限定的值時，沒有能夠及時報警。

(2) 反饋信息的傳輸

①氧氣車測量氧氣輸出量的數據在傳輸的過程中有丟失或者延遲。

②氧氣車測量氧氣壓力的數據在傳輸的過程中有丟失或者延遲。

③飛機測量氧氣壓力數據在傳輸的過程中有丟失或者延遲。

④機務人員對氧氣是否達到需求量的反饋不準確、延遲或者丟失。

⑤機務人員對充氣接頭是否連接好的信息反饋不及時、延遲或者丟失。

(3) 外界因素的影響

①由于外場霧比較濃，導致機務人員看飛機氧氣氣壓表時產生誤判，過早或過晚通知充氣員關閉充氣閥門，從而對飛行安全造成影響。

②外場的噪音太大，影響充氣員和機務人員之間的溝通。

4 比較分析

采用事故樹分析法(ATA)對航空四站氣體保障過程安全性進行分析，得到導致火災或爆炸事故的原因[20]共19種，包含壓力管道不合格、壓力管道未檢驗、壓力表不合格、氧氣瓶不合格、作業人員違章操作、閥門沾油脂等。

綜上所述，采用基于可靠性的事故樹分析法(ATA)考慮了組件故障、人員違章、人員業務能力以及安全檢查不到位等對安全的影響，沒有考慮軟件的設計，人機之間的交互、組件之間的交互，外界的干擾以及工作制度的合理性，更沒有考慮員工的身體狀況。采用STPA得到的不安全行為的場景分析結果更全面，更有利于保證航空四站氣體保障過程的安全。

5 結束語

(1) 采用STAMP理論對航空氣體保障過程進行建模，并用STPA進行分析，識別了氣體保障過程中人工控制器的不安全控制行為，識別了人員之間的溝通缺陷、軟件設計等事故致因，并對其產生原因進行了全面分析，對提高航空氣體保障過程的安全性具有重要意義。

(2) 采用STAMP模型和STPA安全分析法可以更加全面地識別出不安全控制行為及其原因，更有利于保證航空四站氣體保障過程的安全。

(3) ATA注重組件故障，難以全面對復雜系統進行分析，STPA注重識別不安全控制行為以及不安全控制行為產生的原因，能夠擴大致因結果同時彌補ATA的不足。但STPA缺乏定量的方法以及復雜系統的控制結構難以刻畫，是影響其發展的重要因素，有待于進一步研究。

[1] 范紅軍, 楊中書, 陳友龍, 等. 航空四站綜合保障能力的灰色評估[J]. 數據采集與處理, 2010, 25(增刊1): 207-210.

Fan Hongjun, Yang Zhongshu, Chen Youlong, et al. Capacity evaluation of aviation four-station integrate providing with grey method[J]. Journal of Data Acquisition amp; Processing, 2010, 25(S1): 207-210.(in Chinese)

[2] 王亞東, 魏曉斌, 李德權. 基于SE-DEA和Malmquist模型的四站保障安全評價[J]. 海軍航空工程學院學報, 2016, 31(5): 547-553, 594.

Wang Yadong, Wei Xiaobin, Li Dequan. Assessment on security efficiency of aviation four stations guarantee based on SE-DEA and Malmquist model[J]. Journal of Naval Aeronautical and Astronautical University, 2016, 31(5): 547-553, 594.(in Chinese)

[3] Jehring J. Industrial accident prevention: a scientific approach by H.W.Heinrich[J]. Industrial amp; Labor Relations Review, 1959, 4(4): 609-609.

[4] Ahmad M, Pontiggia M. Modified swiss cheese model to analyse the accidents[J]. Chemical Engineering Transactions, 2015, 43: 1237-1242.

[5] 李琳, 趙劍. 事故樹分析法在城鎮燃氣系統安全監控中的應用[J]. 遼寧化工, 2017, 46(2): 173-176.

Li Lin, Zhao Jian. Application of fault tree analysis method in city safety monitoring system[J]. Liaoning Chemical Industry, 2017, 46(2): 173-176.(in Chinese)

[6] Peter Neumann. Safeware: system safety and computers[J]. Acm Sigsoft Software Engineering Notes, 1995, 20(5): 90-91.

[7] 胡劍波, 鄭磊. 綜合火/飛/推控制系統復雜任務的STAMP建模和STPA分析[J]. 航空工程進展, 2016, 7(3): 309-315.

Hu Jianbo, Zheng Lei. STAMP modeling and STPA analysis for complex tasks of integrated fire, flying and propulsion control systems[J]. Advances in Aeronautical Science and Engineering, 2016, 7(3): 309-315.(in Chinese)

[8] Fullwood R R. Probabilistic safety assessment in the chemical and nuclear industries[M]. Boston: Butterworth-Heinemann, 2000: 97-122.

[9] 郭鵬. 基于Petri網的飛機復雜系統可靠性分析方法研究[J]. 航空工程進展, 2016, 7(2): 174-180.

Guo Peng. Research on the reliability analysis method of the complex aircraft system based on the Petri net[J]. Advances in Aeronautical Science and Engineering, 2016, 7(2): 174-180.(in Chinese)

[10] Jianbo Hu, Lei Zheng. Functional control structure model for the complex systems and its application in system safety analysis[J]. Journal of Measurement in Engineering, 2016, 4(2): 70-81.

[11] Nancy G Leveson. Engineering a safer world: systems th-inking applied to safety[D]. Cambridge: MIT, 2012.

[12] Leveson N G. A systems-theoretic approach to safety in software-intensive systems[J]. IEEE Trans. on Dependable and Secure Computing, 2004, 1(1): 66-68.

[13] Leveson N G. A new accident model for engineering safer systems[J]. Safety Science, 2004, 42(4): 237-270.

[14] Fleming C H, Leveson N G. Early concept development and safety analysis of future transportation systems[J]. IEEE Transactions on Intelligent Transportation Systems, 2016, PP(99): 1-12.

[15] Salmon P M, Read G J, Stevens N J. Who is in control of road safety? A STAMP control structure analysis of the road transport system in Queensland, Australia[J]. Accident Analysis amp; Prevention, 2016, 96: 140-151.

[16] 鄭磊, 胡劍波. 基于STAMP/STPA的機輪剎車系統安全性分析[J]. 航空學報, 2017, 38(1): 241-251.

Zheng Lei, Hu Jianbo. Safety analysis of wheel brake system based on STAMP/STPA[J]. Acta Aeronautica et Astronautica Sinica, 2017, 38(1): 241-251.(in Chinese)

[17] 王起全, 吳嘉鑫. 基于STAMP模型的地鐵擁擠踩踏應急聯動系統設計[J]. 中國安全科學學報, 2016, 26(12): 158-162.

Wang Qiquan, Wu Jiaxin. Designing a linkage system for response to subway stampede accidents based on STAMP model[J]. China Safety Science Journal, 2016, 26(12): 158-162.(in Chinese)

[18] 李娟, 汪厚祥, 林海濤. 基于STAMP的艦載作戰系統軟件安全研究[J]. 艦船科學技術, 2010, 32(9): 63-66,75.

Li Juan， Wang Houxiang， Lin Haitao. Study on STAMP-based software safety for ship combat system[J]. Ship Science and Technology, 2010, 32(9): 63-66,75.(in Chinese)

[19] Nancy G Leveson. An STPA primer[EB/OL].(2013-08-01)[2017-07-20].http∥sunnyday.mit.edu/STPA-Primer-v0.pdf.

[20] 袁淑芳. 氧氣瓶安全風險事故樹分析[J]. 長春工業大學學報: 自然科學版, 2009, 30(1): 94-99.

Yuan Shufang. Analysis of accidence tree for oxygen cylinder safety risk[J]. Journal of Changchun University of Technology: Natural Science Edition, 2009, 30(1): 94-99.(in Chinese)

胡劍波(1965-)，男，博士，教授。主要研究方向 ：先進控制理論與應用、安全性工程、信息系統工程。李俊(1991-)，男，碩士研究生。主要研究方向：安全性工程、飛行器適航性管理與驗證。鄭磊(1987-)，男，博士研究生。主要研究方向：安全性工程、飛行器適航性管理與驗證。

(編輯：趙毓梅)

STAMPModelingandSTPASafetyAnalysisofAviationFourStationsGasSupportProcess

Hu Jianbo, Li Jun, Zheng Lei

(College of Material Management and UAV Engineering, Air Force Engineering University, Xi’an 710051, China)

The reliability of aviation four stations gas support equipment is increasing, but the accident in the gas support process still happens. A new method is needed to systematically identify the new risk factors and improve the safety of the system. From the control point of view combined with STAMP(systems theoretic accident modeling and process) and STPA(systems-theoretic process analysis), aviation four stations gas support process safety is analyzed. Firstly, the working mechanism of STAMP/STPA is introduced. Then, the STAMP model is constructed on aviation four stations gas support process. The safety of aviation four stations gas support process is analyzed by STPA safety analysis method. The unsafe control behavior is identified, and the analysis results are compared with that from the accident tree analysis method(ATA). Thus the superiority of the method are confirmed. The results show that the STAMP model and STPA safety analysis method can be used to identify the unsafe control behavior and its cause, and it is more beneficial to ensure the safety of aviation four stations gas support process.

safety; safety analysis method; STAMP; STPA; aviation four stations gas support process

2017-07-21；

2017-09-11

國家社會科學基金(17BGL270)國家重點基礎研究發展計劃(2014CB744900)

李俊,lijun_jiaxing@163.com

1674-8190(2017)04-408-08

X949

A

10.16615/j.cnki.1674-8190.2017.04.007