基于貝葉斯網(wǎng)絡(luò)的試飛風(fēng)險(xiǎn)評估方法研究

張 鑫,孫有朝

(南京航空航天大學(xué) 民航學(xué)院， 南京 211106)

民用飛機(jī)飛行試驗(yàn)是一項(xiàng)技術(shù)性強(qiáng)、風(fēng)險(xiǎn)大、周期長、投資大的綜合性系統(tǒng)工程，其最根本的目的就是驗(yàn)證飛機(jī)的安全性[1]。飛行試驗(yàn)需要在諸如舵面卡阻、動力裝置失效、液壓系統(tǒng)失效等系統(tǒng)故障下進(jìn)行，這些試驗(yàn)技術(shù)復(fù)雜、風(fēng)險(xiǎn)極高，必須經(jīng)過科學(xué)的風(fēng)險(xiǎn)識別并采取有效的風(fēng)險(xiǎn)降低措施，才能安全地執(zhí)行。根據(jù)《航空器型號合格審定試飛安全計(jì)劃》(AP-21-AA-2014-31R1)要求，民用飛機(jī)在開展飛行試驗(yàn)時(shí)，必須進(jìn)行試飛風(fēng)險(xiǎn)的評估和控制。試飛工作的首要任務(wù)是要識別出飛行試驗(yàn)中的風(fēng)險(xiǎn)，明確風(fēng)險(xiǎn)發(fā)生的概率和發(fā)生后果的危害程度，制定出規(guī)避和降低風(fēng)險(xiǎn)的相應(yīng)措施，確保飛行試驗(yàn)?zāi)軌虬踩珜?shí)施。

目前，殷銘[2]闡述了SHEL風(fēng)險(xiǎn)管理模型在民用飛機(jī)試飛中的應(yīng)用價(jià)值。惠少勇[3]詳細(xì)分析了試飛風(fēng)險(xiǎn)管理體系的風(fēng)險(xiǎn)管理范疇，確立試飛風(fēng)險(xiǎn)評價(jià)方法與預(yù)防措施，提出試飛風(fēng)險(xiǎn)的應(yīng)對和應(yīng)急處理策略。張霆霆[4]提出了試飛安全管理體系建設(shè)總方案，并闡述了實(shí)施和評估步驟。王劍鋒[5]引入了模糊綜合評價(jià)理論對試飛風(fēng)險(xiǎn)進(jìn)行評價(jià)。這些方法大多是采用定性評估，缺乏定量數(shù)據(jù)的有力支撐，評估結(jié)果的往往不夠精準(zhǔn)。而貝葉斯網(wǎng)絡(luò)是一種能夠?qū)＜医?jīng)驗(yàn)和事故數(shù)據(jù)等結(jié)合在一起的技術(shù)，有很強(qiáng)的描述能力，能對事故進(jìn)行推理診斷，適合用于風(fēng)險(xiǎn)評估。

本文根據(jù)美國國家運(yùn)輸安全委員會(National Transportation Safety Board,NTSB)關(guān)于灣流G650試飛事故的調(diào)查，建立了試飛風(fēng)險(xiǎn)的故障樹，然后在故障樹的基礎(chǔ)上建立貝葉斯網(wǎng)絡(luò)模型[6]。采用貝葉斯建模軟件GENIE進(jìn)行正向與反向的概率推理計(jì)算，從而評估試飛的風(fēng)險(xiǎn)水平，研究試飛風(fēng)險(xiǎn)的關(guān)鍵致因，并提出改進(jìn)的建議。

1 貝葉斯網(wǎng)絡(luò)

貝葉斯網(wǎng)絡(luò)(Bayesian Network,BN)是一個(gè)有向無環(huán)圖，由表示變量的網(wǎng)絡(luò)節(jié)點(diǎn)和節(jié)點(diǎn)的有向邊組成，BN是進(jìn)行不確定性表達(dá)和推理的有效工具。在BN模型里，節(jié)點(diǎn)表示隨機(jī)變量，有向弧表示不同變量間的關(guān)系。在BN中，如果有向邊由節(jié)點(diǎn)X指向節(jié)點(diǎn)Y，那么X為Y的父節(jié)點(diǎn)，Y為X的子節(jié)點(diǎn)，沒有任何導(dǎo)入箭頭的節(jié)點(diǎn)稱為根節(jié)點(diǎn)，沒有子節(jié)點(diǎn)的節(jié)點(diǎn)稱為葉節(jié)點(diǎn)[7]。每個(gè)子節(jié)點(diǎn)都有在不同父節(jié)點(diǎn)取值組合下的條件概率分布，相應(yīng)的條件概率表可以用來描述子節(jié)點(diǎn)與父節(jié)點(diǎn)之間的關(guān)系。

在BN中，利用聯(lián)合概率分布即可求得頂事件T發(fā)生的概率。

(1)

式(1)中，Xi為子節(jié)點(diǎn)，F(xiàn)(xi)為父節(jié)點(diǎn)，n為貝葉斯網(wǎng)絡(luò)中節(jié)點(diǎn)的數(shù)目。

根據(jù)BN對于條件概率的定義

(2)

假設(shè)A為某個(gè)變量，其存在著n種狀態(tài)a1,a2,…,an，由全概率公式可以求得：

P(B)=∑P(B|A=ai)P(A=ai)

(3)

從而可以由BN得到后驗(yàn)概率P(B/A)。

2 基于BN的試飛風(fēng)險(xiǎn)評估建模

在民機(jī)試飛風(fēng)險(xiǎn)評估的過程中經(jīng)常會使用故障樹分析(Fault Tree Analysis，F(xiàn)TA)方法，首先將可能發(fā)生的危險(xiǎn)事件作為頂層輸入，然后找出導(dǎo)致頂事件發(fā)生的各方面的因素，并根據(jù)不同因素之間的邏輯關(guān)系選用相應(yīng)的邏輯門來連接它們，最后對試飛風(fēng)險(xiǎn)因素進(jìn)行定性和定量的評估。

將故障樹(Fault Tree,FT)轉(zhuǎn)化為BN，需要確定二者之間的對應(yīng)關(guān)系。試飛風(fēng)險(xiǎn)評估BN建模包括兩份部分，需要建立BN網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)并確定BN中各個(gè)節(jié)點(diǎn)的條件概率。網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)的構(gòu)造以及局部的條件概率可以由試飛員、專家或者查詢相應(yīng)的事故調(diào)查報(bào)告來設(shè)定。將FT轉(zhuǎn)化為試飛風(fēng)險(xiǎn)評估BN的具體步驟：

1) BN中的根節(jié)點(diǎn)即為FT中所有的底事件，并且FT中重復(fù)出現(xiàn)的底事件僅需在BN中添加一個(gè)根節(jié)點(diǎn)。

2) FT中底事件發(fā)生的概率即為其對應(yīng)BN中的根節(jié)點(diǎn)的先驗(yàn)概率。

3) FT的每個(gè)邏輯門輸出的中間事件都對應(yīng)著BN的一個(gè)中間節(jié)點(diǎn)，該節(jié)點(diǎn)的取值由對應(yīng)邏輯門輸出事件來決定。

4) 按照FT中邏輯門與底事件的關(guān)系來確定BN中各節(jié)點(diǎn)間的邏輯關(guān)系，并按照FT中事件發(fā)生順序來連接各個(gè)節(jié)點(diǎn)。

5) BN中節(jié)點(diǎn)的條件概率FT中的邏輯關(guān)系來確定。

圖1與圖2給出了將FT中邏輯或/與門的輸入和輸出分別等價(jià)轉(zhuǎn)換為相應(yīng)BN節(jié)點(diǎn)的實(shí)例，表1和表2則分別給出了邏輯或/與門的條件概率。

圖1 FT或門的BN轉(zhuǎn)換

圖2 FT與門的BN轉(zhuǎn)換

ABP(C|A,B))000011101111

表2 與門條件概率表

3 案例分析

3.1 案例描述

2011年4月2日，美國當(dāng)?shù)貢r(shí)間9時(shí)34分左右，灣流宇航公司一架編號為N652GD的G650試驗(yàn)機(jī)在起飛時(shí)墜毀。事故發(fā)生在美國新墨西哥州的羅斯維爾國際飛行中心，試驗(yàn)機(jī)在進(jìn)行單發(fā)起飛時(shí)右機(jī)翼外側(cè)失速，產(chǎn)生不可控的滾轉(zhuǎn)力矩，導(dǎo)致飛機(jī)右翼尖擦到跑道并偏離至跑道右側(cè)。最終飛機(jī)撞到一個(gè)混凝土建筑和機(jī)場氣象站，導(dǎo)致飛機(jī)出現(xiàn)嚴(yán)重的結(jié)構(gòu)損傷，并被大火吞沒，機(jī)上兩名試飛員和兩名試飛工程師不幸身亡。按照民航規(guī)則以及國內(nèi)外的實(shí)踐經(jīng)驗(yàn)，與試飛風(fēng)險(xiǎn)相關(guān)的因素一般分為人、機(jī)、環(huán)境和管理4類。根據(jù)航空專家給出的建議以及NTSB對此次事故的調(diào)查分析，將試飛風(fēng)險(xiǎn)發(fā)生作為FT的頂事件，構(gòu)建如圖3所示的FT，整個(gè)FT共有7個(gè)邏輯門，12個(gè)底事件，6個(gè)中間事件。假設(shè)FT中的底事件均相互獨(dú)立，并存在正常、失效兩種狀態(tài)，利用專家信息以及事故數(shù)據(jù)，設(shè)定各底事件即根節(jié)點(diǎn)的失效概率如表3所示。

圖3 試飛風(fēng)險(xiǎn)的故障樹

節(jié)點(diǎn)(失效)概率/%A1試飛員能力1.8A2試飛員身體情況1.6A3試飛工程師能力1.8A4試飛工程師身體情況1.6B1動力系統(tǒng)0.5B2導(dǎo)航系統(tǒng)0.4B3電子設(shè)備0.7B6安全檢查與監(jiān)管1.5B7試飛計(jì)劃合理性2.0B8試飛安全管理體系3.2B9自然環(huán)境0.5B10意外事件0.5

3.2 貝葉斯網(wǎng)絡(luò)模型的推理計(jì)算

將圖3的FT轉(zhuǎn)換為試飛風(fēng)險(xiǎn)評估的BN。首先FT的所有的底事件(A1、A2、A3、A4、B1、B1、B2、B3、B6、B7、B8、B9、B10)對應(yīng)轉(zhuǎn)換為BN中的根節(jié)點(diǎn)，并將底事件的先驗(yàn)概率賦值給BN中對應(yīng)的根節(jié)點(diǎn)作為它的先驗(yàn)概率，并按照圖1和圖2的邏輯門轉(zhuǎn)換方法，將FT輸出事件轉(zhuǎn)換為BN中的中間節(jié)點(diǎn)，連接節(jié)點(diǎn)的有向邊的方向和FT中輸入/輸出關(guān)系相對應(yīng)。利用匹茲堡大學(xué)決策實(shí)驗(yàn)室開發(fā)的GENIE軟件，構(gòu)建試飛風(fēng)險(xiǎn)評估的BN模型如圖4所示[8]。由于篇幅原因，省去邏輯門轉(zhuǎn)換為BN節(jié)點(diǎn)的條件概率表。

圖4 試飛風(fēng)險(xiǎn)評估的貝葉斯網(wǎng)絡(luò)模型

以構(gòu)建的BN拓?fù)浣Y(jié)構(gòu)和底事件先驗(yàn)概率得到的試飛風(fēng)險(xiǎn)評估模型如圖5所示。從圖5中各個(gè)節(jié)點(diǎn)的條件概率計(jì)算結(jié)果可得，試飛過程正常進(jìn)行的概率P=86%(T為Normal)，試飛風(fēng)險(xiǎn)發(fā)生的概率為P=14%(T為Failure)。

圖5 試飛風(fēng)險(xiǎn)評估的貝葉斯網(wǎng)絡(luò)模型

當(dāng)設(shè)定試飛風(fēng)險(xiǎn)發(fā)生的概率P=1(T為Failure)時(shí)，通過BN模型的反向推理，可以得到如圖6所示各節(jié)點(diǎn)導(dǎo)致試飛風(fēng)險(xiǎn)發(fā)生的條件概率值[9]。當(dāng)試飛風(fēng)險(xiǎn)發(fā)生時(shí)，由于事件A1、A2、A3、A4、B1、B2、B3、B6、B7、B8、B9、B10導(dǎo)致的概率分別為13%、11%、13%、11%、4%、3%、5%、11%、14%、23%、1%、1%。可以看出試飛風(fēng)險(xiǎn)發(fā)生的主要原因是人的因素以及灣流宇航公司在管理上的問題。

3.3 與故障樹分析法對比

假設(shè)導(dǎo)致試飛風(fēng)險(xiǎn)發(fā)生的底事件的概率為pi，令p=(p1,p2,…,pn)，則ψ(p)=ψ(p1,p2,…,pn)是試飛故障樹的概率組成函數(shù)。

圖6 BN模型的反向推理結(jié)果

如果一組底事件的取值能夠使P=1(T為failure)，則這組底事件組合成為一個(gè)割集，試飛故障樹的最小割集是導(dǎo)致試飛風(fēng)險(xiǎn)發(fā)生的最少數(shù)量底事件的集合。通過下行法可以求得最小割集為：{A1}、{A2}、{A3}、{A4}、{B1}、{B2}、{B3}、{B6}、{B7}、{B8}、{B9,B10}。

通過最小割集可以求得頂事件T發(fā)生的概率，設(shè)Ci(i=1,2,…,n)是試飛故障樹的第i個(gè)最小割集，由最小割集可以求得試飛風(fēng)險(xiǎn)發(fā)生的概率為

(4)

概率重要度為底事件發(fā)生時(shí)試飛故障樹頂事件發(fā)生的概率，通過概率重要度可以分析底事件概率的增減對于試飛風(fēng)險(xiǎn)的影響程度，事件xi的概率重要度為

(5)

因此，可以求得各底事件的概率重要度，對試飛風(fēng)險(xiǎn)影響較大的底事件為A1、A2、A3、A4、B6、B7、B8，其概率重要度分別為86.7%、86.5、86.7%、86.5%、86.4%、86.9%、88.1%，即人的因素與灣流宇航公司管理的因素對試飛風(fēng)險(xiǎn)的影響最大。

將傳統(tǒng)的故障樹分析方法與基于貝葉斯網(wǎng)絡(luò)模型的方法相比較，兩種方法均對可有效的進(jìn)行試飛風(fēng)險(xiǎn)評估，并且得到的試飛風(fēng)險(xiǎn)發(fā)生概率分析結(jié)果相同。在分析底事件的影響程度方面，兩種方法均可以定量的給出底事件對于試飛風(fēng)險(xiǎn)的影響程度，并且均得到了試飛風(fēng)險(xiǎn)的關(guān)鍵致因，便于對試飛風(fēng)險(xiǎn)的控制與管理。

與傳統(tǒng)的故障樹相比，貝葉斯網(wǎng)絡(luò)模型的優(yōu)點(diǎn)在于它能夠通過推理表達(dá)試飛風(fēng)險(xiǎn)與影響因素間的不確定關(guān)系，進(jìn)行相關(guān)性分析，并且借助GENIE軟件采用圖形化的方法來描述數(shù)據(jù)間的關(guān)系，更直觀且易于理解。

3.4 關(guān)鍵致因分析與改進(jìn)措施

對于底事件A1、A2試飛員的能力、試飛員的身體情況：試飛員在試飛前要完成必要的身體檢查。在飛行試驗(yàn)執(zhí)行中，試飛員要根據(jù)飛行中出現(xiàn)的不安全情況和存在影響飛行安全因素等情況隨時(shí)終止試驗(yàn)。在這次試飛過程中，試飛員對于單發(fā)起飛過程中的抬前輪技術(shù)掌握得不夠成熟，降低了實(shí)際的安全起飛速度以縮短起飛距離，降低安全起飛速度意味著飛機(jī)更早的離地，使飛機(jī)離地時(shí)的速度更接近失速，從而導(dǎo)致事故發(fā)生。因此建議在試飛前，通過飛行仿真平臺加強(qiáng)試飛員對抬前輪試飛技術(shù)的訓(xùn)練，使試飛員確定安全的起飛速度。

對于底事件A3、A4試飛工程師的能力和試飛工程師的身體情況：試飛前，試飛工程師同樣要完成必要的身體檢查。試飛工程師在原型機(jī)的飛行試驗(yàn)階段，以空勤人員的身份參與到整個(gè)飛行試驗(yàn)過程，是試飛工作開展的核心力量，同時(shí)也是試飛安全關(guān)鍵的負(fù)責(zé)人。在試飛過程中，試飛工程師要能夠?qū)崟r(shí)把控試飛動作的安全性，實(shí)時(shí)分析飛機(jī)響應(yīng)，實(shí)時(shí)確認(rèn)試飛動作的有效性并把握試飛進(jìn)程。試飛工程師如果發(fā)現(xiàn)不具備試驗(yàn)條件、無法獲取有效數(shù)據(jù)、采集器故障等情況，可以協(xié)商試飛員終止試驗(yàn)。在這次試飛過程中，試飛工程師雖然考慮了地面效應(yīng)對飛機(jī)起飛性能的影響，但是預(yù)估的失速攻角高于實(shí)際值。因此，飛機(jī)失速告警觸發(fā)的攻角閾值以及相應(yīng)的姿態(tài)限制顯示器的設(shè)定值均過高，從而導(dǎo)致在真實(shí)失速發(fā)生前，機(jī)組成員未收到告警提示，最終產(chǎn)生了試飛風(fēng)險(xiǎn)事故。建議試飛工程師要運(yùn)用飛行仿真技術(shù)對地面效應(yīng)下的失速迎角進(jìn)行預(yù)測，并將最新的預(yù)測結(jié)果用于改進(jìn)試飛方法并更新機(jī)載設(shè)備中迎角裕度的設(shè)置。從而確保失速前能得到有效的告警提示。

對于底事件B6安全檢查與監(jiān)管：試飛事故發(fā)生前，G650試飛項(xiàng)目就已出現(xiàn)過兩次類似的不可控滾轉(zhuǎn)現(xiàn)象，但是灣流公司沒有意識到這兩次不可控滾轉(zhuǎn)事件是由失速引起的，因此并沒有進(jìn)行深入的氣動分析，導(dǎo)致沒有完整地識別出潛在的風(fēng)險(xiǎn)。試飛過程中所遭遇的風(fēng)險(xiǎn)沒有得到有效的監(jiān)督，因此建議設(shè)立安全監(jiān)管員，負(fù)責(zé)確保灣流公司為飛行試驗(yàn)和飛行活動制定的安全程序能夠嚴(yán)格落實(shí)。

對于底事件B7試飛計(jì)劃合理性：灣流公司為了能在2011年第3季度完成對G650的取證，制定了過于激進(jìn)的項(xiàng)目計(jì)劃。受到試飛項(xiàng)目進(jìn)度的壓力，灣流公司為了確保項(xiàng)目節(jié)點(diǎn)，避免拖延項(xiàng)目進(jìn)展，對試飛過程中飛機(jī)的異常表現(xiàn)沒有進(jìn)行深入的分析，導(dǎo)致沒有發(fā)現(xiàn)地面效應(yīng)影響下理論攻角偏高的問題。在沒有明確危險(xiǎn)源以及不確定因素的情況下，灣流公司繼續(xù)執(zhí)行既定的飛行計(jì)劃，最終導(dǎo)致了試飛事故的發(fā)生。應(yīng)該為項(xiàng)目制定更合理的試飛計(jì)劃，按照柔性的試飛進(jìn)度表來完成各項(xiàng)試飛科目，而不是帶著潛在的危險(xiǎn)源來試飛。

對于B8底事件試飛安全管理體系：按照試飛安全管理體系的要求，在試飛過程中若出現(xiàn)意外情況，在試飛結(jié)束后應(yīng)該召開試飛安全評審會議。然而在發(fā)生兩次不可控滾轉(zhuǎn)之后，灣流公司并沒有召開相應(yīng)的試飛安全評審會議。因此，灣流公司的試飛安全管理體系也存在著嚴(yán)重的問題。建議成立由安全專家組成的安全委員會，在每次試飛結(jié)束后召開會議檢查相應(yīng)的試飛結(jié)果，評估該試驗(yàn)機(jī)的安全風(fēng)險(xiǎn)水平。

3.5 NTSB事故調(diào)查結(jié)論分析

根據(jù)NTSB的事故調(diào)查報(bào)告顯示，此次試飛事故的直接原因是試飛過程中的空氣動力學(xué)失速以及不可控的滾轉(zhuǎn)運(yùn)動，由以下3點(diǎn)導(dǎo)致：

1) 灣流公司沒有能夠開發(fā)驗(yàn)證用于飛行試驗(yàn)的起飛速度并且沒有識別和糾正之前飛行試驗(yàn)中V2的錯(cuò)誤。

2) G650試飛團(tuán)隊(duì)為了達(dá)到安全起飛速度進(jìn)行了持續(xù)并且激進(jìn)地嘗試，錯(cuò)誤地低估了安全起飛速度。

3) 灣流公司沒有充分調(diào)查之前飛行試驗(yàn)過程中G650不可控滾轉(zhuǎn)事件，這表明飛機(jī)處于地面效應(yīng)的過程中，失速攻角設(shè)置得過高。

進(jìn)一步分析試飛風(fēng)險(xiǎn)的關(guān)鍵致因：灣流公司沒有制定合理的試飛任務(wù)時(shí)間表來有效地管理飛行試驗(yàn)計(jì)劃，未能確保試飛團(tuán)隊(duì)的能力達(dá)到要求、試飛前沒有進(jìn)行充分的技術(shù)訓(xùn)練、未能確定所有潛在的危險(xiǎn)并采用適當(dāng)有效的風(fēng)險(xiǎn)控制措施。

通過對比可以發(fā)現(xiàn)，NTSB在灣流G650試飛事故調(diào)查報(bào)告中總結(jié)的風(fēng)險(xiǎn)致因與通過貝葉斯網(wǎng)絡(luò)推理所找出的風(fēng)險(xiǎn)致因相符合，證明了本文提出的基于貝葉斯網(wǎng)絡(luò)的試飛風(fēng)險(xiǎn)評估方法的有效性。

4 結(jié)論

利用BN模型對試飛風(fēng)險(xiǎn)因素進(jìn)行評估分析，找出了試飛風(fēng)險(xiǎn)的主要致因。運(yùn)用故障樹的方法與BN模型對比，體現(xiàn)了BN模型的正確性和優(yōu)越性。對比分析NTSB在此次試飛事故調(diào)查報(bào)告中的風(fēng)險(xiǎn)致因與BN模型找到的風(fēng)險(xiǎn)致因無差異，驗(yàn)證了基于BN模型的風(fēng)險(xiǎn)評估方法的有效性。并針對主要致因提出了改進(jìn)措施，從而降低了試飛科目的風(fēng)險(xiǎn)，提高試飛的安全性，有利于試飛計(jì)劃的完成。