無人機系統的安全性與危險源分析

連婷婷，崔利杰

(1.上海飛機客戶服務有限公司 飛行運行支援部， 上海 200241)(2.空軍工程大學 裝備管理與無人機工程學院， 西安 710051)

0 引 言

自1917年英國研制出第一架無人機以來，迄今為止無人機系統的發展已歷經百余年[1]。無人機系統在近些年的幾次高技術局部戰爭中大顯身手，例如2003年的伊拉克戰爭，美英聯軍使用無人機執行情報收集、偵察監視、火力引導、對地打擊及效果評估等重要任務。無人機在現代戰爭中具有很多優勢，其主要作戰特點為成本低、隱蔽性好、生命力強、不懼傷亡且易于補充、起降簡單、操作靈活、支持多重任務類型等，成為影響作戰進程的重要乃至關鍵性力量[2-4]。隨著科學技術和軍事理論的發展，無人機系統的技術與戰術性能越來越先進，其在現代戰爭中的地位也越來越突出。不僅如此，鑒于無人機系統的諸多優點和其在軍事領域中的應用日趨成熟，無人機系統也正在成為民用航空中的新興領域和新的增長點[5-7]。伴隨著無人機的發展和廣泛應用，無人機事故和不安全事件時有發生，無人機的事故特點和致因機理成為無人機研制和應用領域的重要關注點。

安全性是飛行器設計必須要滿足的首要特性，其定義為飛行器在規定的條件下，以可接受的風險執行其功能的能力[8]。百余年來，有人駕駛飛行器(簡稱有人機)的安全性分析、設計和安全管理技術發展迅速，大致包括四個階段：20世紀40年代之前的飛行事故記錄和調查階段，20世紀40～60年代的飛行事故預防階段，20世紀60～80年代的實施系統安全階段(包括制定系統安全大綱[9-10]，安全性設計要求，系統安全性分析、設計、驗證以及系統安全培訓等)，20世紀80年代之后的綜合預防階段(包括人為因素分析、軟/硬件安全性、風險管理、定量的概率風險評估[11-12]等)。隨著飛行器系統安全工程的實施，有人機的安全性水平顯著提高，災難性事故率不斷下降。

由于無人機獨特的飛行事故特點，使得目前成熟的有人機安全性分析與管理措施不能完全適用于無人機系統。為了使無人機系統盡快與國家空域集成，開展針對無人機系統的安全風險管理工作是十分必要的。R.A.Clothier等[13]建立了民用無人機的飛行風險矩陣，以風險控制驅動無人機適航框架的建立；許云紅等[14]根據無人機航跡建立了多種防撞控制策略，并給出了相應的多目標代價函數模型及最優決策方法；劉學業等[15]針對小型艦載固定翼無人機執行任務的特點，基于故障模式及影響分析法對其進行了安全性分析；賀強等[16]設計了民用無人機系統飛行安全風險評估與控制系統，以滿足無人機風險控制的需求。

上述有關無人機系統安全風險分析方面的研究主要針對特定用途無人機的某項關鍵環節來開展，并未綜合考慮無人機全壽命周期或全任務階段的風險分析及危險源分析。基于此，本文從無人機事故統計分析出發，總結無人機系統事故的特點，借鑒有人機的安全管理，定義無人機的安全性并進行嚴酷度等級劃分，識別其危險源并制定改進措施，以期為無人機安全管理框架的構建奠定基礎。

1 無人機系統事故特點分析

美軍在無人機應用方面領先世界，但同時也伴隨著無人機的高事故發生率及造成的大量經濟損失。據《華盛頓郵報》統計，2001～2015年，美國空軍共發生236架次的大型無人機墜毀或造成200萬美元以上經濟損失的A類飛行事故，如圖1所示。

圖1 美軍無人機墜毀事故統計

從事故統計數據(圖1)及事故的分析報告可以看出：與有人機相比，無人機系統事故呈現出以下三個特點：

(1) 無人機系統的事故率高于有人機

將無人機與現役有人機的事故率進行對比，發現無人機系統的事故率水平高于有人機，尤其是A類飛行事故。

RQ-1 “Predator”無人機，在使用期1994～2007年共發生A類事故34起，A類事故萬時率1.24；發生B類事故3起，B類事故萬時率0.109；飛機損毀27架，飛機損失萬時率0.985；即便到了技術相對成熟期(2002～2007年)，平均A類事故萬時率也為0.913。MQ-1 “Predator”無人機在2009～2018年共發生A類事故77起，MQ-9 “Reaper”無人機在2009～2018年共發生A類事故45起，主要發生在伊拉克、阿富汗等地。大型無人偵察機RQ-4 “Global Hawk”，在其使用期1999～2018年間發生A類事故9起，B類事故4起，飛機損毀8架，其A類事故萬時率、B類事故萬時率、飛機損失萬時率也分別達到3.092，0.344和2.747。

而隨著航空材料、機械電子領域研究的發展，飛行機組訓練水平的提高，有人機的事故率近些年來持續下降。2018年民航領域重大航空事故(A類事故)的萬時率僅為0.156，甚至連F-16、F-117等戰斗機的A類事故萬時率都小于1。

(2) 無人系統的事故類型異于有人機

無人機系統由于沒有人員在飛行器平臺上，不會發生因為墜機而導致的飛行機組或乘員傷亡事件，無人機事故造成的人員傷害往往是墜機等造成的地面附帶損傷。

對于無人機系統而言，最應避免的是與其他飛行器的相撞事故。2019年2月，兩架無人機突然出現，差點撞上正準備在希斯羅機場著陸的英國維珍航空客機，險些上演一起空難事故。由于無人機失控、斷鏈而造成的無人機平臺被誘捕、截獲、失聯、擊毀等應作為無人機系統應避免的第二類事故。例如，美軍“掃描鷹”、RQ-170等多架無人機被伊朗軍方誘捕，以及伊朗擊毀美軍RQ-4的最新驗證機等，這類事件不僅會引起外交糾紛，還極有可能造成泄密。第三類是同有人機類似，無人機平臺在可控條件下發生的不可恢復原因的墜機，這類事件通常僅會造成機體損毀。第四類是由于機體或地面站原因造成的機體損傷、地面人員受傷、環境嚴重污染等不安全事件。第五類是由于無人機系統原因造成的任務中止事件。當然，還有一些由于無人機系統原因造成的機組負擔加重、環境輕度污染、地面人員職業損傷等無人機系統不安全事件。

(3) 無人系統的事故致因多于有人機

傳統的飛行事故發生原因主要集中在飛行員、飛機系統、環境等方面。盡管無人機系統的飛行器上沒有人員，但由于地面站操控員的操作失誤等導致的飛行事故也時有發生。同時，除飛行器平臺外，無人機系統還包括任務系統、任務規劃與地面控制站、特定的起降設備和數據鏈路等，這些系統的故障及交互問題都會導致無人機系統事故的發生。

從發生事故的飛行階段來看，有人機在起飛和著陸階段發生事故數量占比較高，而無人機空中飛行階段事故發生的占比突出，其次才是起飛和著陸階段。從導致事故發生的系統來看，有人機占比最大的致因系統為飛機結構件、操縱系統和燃油系統；而無人機占比最大的致因因素為動力系統、飛控系統、通信系統和供電系統(如圖2所示)，究其原因，一是無人機結構相對簡單，任務剖面相對單一，因而結構件、操縱系統等造成飛行事故的可能性較小；二是無人機對動力系統的可靠性要求、對空地通信鏈路的要求和對電源電路的要求相對苛刻。

圖2 美軍1999～2013年無人機飛行事故統計情況(按功能劃分)

2 無人機安全性的定義

安全是指不因人-機-環相互作用而導致系統損失、人員傷亡、任務受影響或造成時間的損失[17-18]。傳統的航空安全首要考慮的是乘員或機組面臨的風險，即與安全相關的管理首要限制或消除對機上乘員或機組的危害，其次是限制對地面人員的危害，最后才是經濟損失、環境損壞、任務終止、時間延誤等。用公式來表示航空安全如下[19]

R|S=P{P|S<[P|S]}

(1)

式中：下標“|S”表示給定的不可接受后果的條件；R|S為給定嚴酷度后果的航空器安全度，即一定嚴酷度下不安全事件超過人們預期的可能性；P|S為給定嚴酷度下不安全事件發生概率；[P|S]為給定嚴酷度下不安全事件發生概率閾值，即人們的可接受程度。

有人機對不安全事件的嚴酷度及發生概率有著明確的定義(如表1所示)，如CCAR-25.1309條款[20]“設備、系統和安裝”的(b)中規定：“飛機系統與有關部件的設計，在單獨考慮以及與其他系統一同考慮的情況下，必須符合下列規定

(1) 發生任何妨礙飛機繼續安全飛行與著陸的失效狀態的概率為極不可能；

(2) 發生任何降低飛機能力或機組處理不利運行條件能力的其他失效狀態的概率為不可能。”

表1 飛機失效狀態影響等級的劃分及概率要求

然而，現有的用于保護有人機乘員與機組的設計或措施與無人機系統無關，因此必須有區別地進行無人機系統的安全性和危險分析。

結合第1節對無人機系統事故的分析，可按照損失程度和不期望無人機系統發生不安全事件的程度對其事故進行歸類。第一類危險是無人機發生空中相撞；第二類危險是無人機發生失控、失聯而導致的無人機被誘捕、捕獲、墜機等；第三類危險是在可控條件下無人機系統的墜毀；第四類危險是無人機系統飛行活動發生事故或不安全事件所造成的環境污染、任務終止等；第五類危險是造成無人機系統地面機組或空管人員工作負擔加重等情況。

基于這五類危險，提出無人機系統事故的嚴酷度等級及相應的危險可接受程度。與表1所示的有人機失效狀態影響等級及概率要求相比，后三類(即第三、四、五類)危險是相同的，所不同的只是前兩類危險，故可以將無人機系統發生第三類危險作為可接受的一個基點，即定義發生不導致人員傷亡條件下的飛機損毀的可接受概率為10-5。借鑒民航對飛行事故的接受程度，設置無人機系統發生第一類危險的可接受概率為10-7，發生第二類危險的可接受概率為10-6，發生第四類危險的可接受概率為10-4，發生第五類危險的可接受概率為10-3。將無人機系統的五類危險劃分為四級嚴酷度，如表2所示。

表2 無人機系統事故的嚴酷度等級

顯然，按照目前對民航事故率的要求，災難級危險是最不能接受的，即無人機系統發生災難級事故概率的閾值應為10-6，即所有原因導致的無人機災難性事故率為1×10-6/fh。據統計由系統原因造成無人機發生災難級事故的比例占80%，則僅由系統原因引起的災難級事故率為

80%×1×10-6=8×10-7/fh

假設無人機系統具有100個潛在的災難級事故危險源，則每個潛在危險源出現的概率應該等于8×10-7/100=8×10-9，即無人機系統潛在的每種災難性故障事件出現的概率應小于8×10-9。根據民航領域對各類危險發生可能性的數量級進行劃分，則無人機系統不安全事件發生可能性等級劃分如圖3所示。

圖3 無人機系統事故的危害度矩陣

3 無人機系統的危險源分析

危險源的存在是事故發生的根本原因，無人機系統的安全性就是要識別危險源，并進一步消除或控制系統中的危險源。無人機系統的設計人員、機組人員、維修人員和管理者等對無人機系統的安全飛行起著重要作用。因此，對無人機系統的危險源分析主要從設計、機組訓練、使用操作三個領域進行闡述。

3.1 設計領域

無人機的設計除了飛機的所有部件和系統設計外，還需要延伸到參與飛行器控制的外部系統，如地面站、指揮控制通信鏈路、特定發射和回收系統以及任務載荷系統等。因此，在無人機系統的設計領域，除了與有人機相同的飛機部件及系統的危險源分析，還需要考慮以下五方面。

(1) 指揮控制鏈路

對于無人機來說，指揮控制鏈路故障會導致無人機操控員失去對飛機的控制。指揮控制鏈路可能會發生中斷、延遲和數據衰減等故障，從而造成飛行控制鏈路的中斷，這就要求無人機系統在設計時必須提供處理鏈路中斷的手段和措施，以有效恢復鏈路暢通。此外，設計時還要避免指揮控制鏈路被有意或無意干擾。

(2) 第三方通信系統

除軍用無人機可使用軍方提供或批準的導航和通信系統外，其他無人機主要依賴于第三方的通信系統，此時為飛行控制功能提供通信的第三方通信系統的可靠性和可用性極其重要。

(3) 地面站環境

需要考慮無人機地面站存在煙、火、毒、易燃等危險，以及其他會直接影響地面站或無人機系統操控員、工作人員的危險，如地震、臺風等。此外，地面站的安保也是需要考慮的。

(4) 共享資源

無人機在進行安全性分析時應充分評估飛行器平臺與載荷之間的潛在交互關系影響。當飛行控制與載荷存在資源共享時，共享資源的管理十分必要，比如載荷和飛行關鍵系統需要共享電力和冷卻系統。

(5) 任務載荷

多數無人機系統需要將載荷與飛行器平臺進行整合，而有效的載荷設計可以為避免或緩解無人機失效提供有效的手段和措施，比如載荷信息(獲取的熱信號)可用于支持飛行關鍵功能。

3.2 機組領域

無人機機組包括地面站的飛行操控員、任務載荷等機載設備的操作員。由于機組與飛行器平臺是分離的，造成了一系列新的危險，從而對機組人員的訓練提出了新的要求。

(1) 飛行操控員的物理形式感知能力弱化

無人機系統飛行操控員無法通過直觀地看、聞、摸等感覺來感知某種危險形勢，如設備失效或天氣變化等，因此需要研制或配置一些設備，以便發揮上述功能并能夠最大程度滿足無人機飛行操控員感知外界形勢的需求，達到無人機操控員對系統的監控和有效緩解所面臨風險的目的。此外，通信鏈路的時延、自動化和無人機機組的接口關系等也需要重點考慮。

(2) 多機組控制的訓練

對于地面控制站還可能面臨單個飛行操控員同時控制多架無人機的情況，尤其是在軍用無人機的使用過程中。不僅使飛行操控員的工作負擔加重，還需要確保多個操控員的相互協調。為了避免發生無人機提供信息混淆的危險，需要開展這種情況下的特種訓練。

(3) 裝備失效訓練

飛行器平臺存在著由無人機裝載設備失效所引發的危險。由于無人機操控員不能夠從物理上或視覺上識別諸如火災、煙霧和擾動等危險，無法采用直接手段緩解這些失效，需要通過訓練無人機機組和提供特定程序來進行遠程操作。

(4) 地面環境危險訓練

地面站存在著許多與地面環境有關的危險，如火災、地震、臺風等。飛行機組也應該開展應對這些危險的訓練，以便建立在面臨這些危險時的臨時處置意識或方案。

3.3 使用操作領域

民用航空的空域包括有限個飛行器的靜態(限制)空域或動態(在空管分配的飛行器之間的保護性隔離區載)空域。而現有的無人機系統可能會對目前這種空管服務提出規則上的挑戰。以下討論與無人機使用操作相關的危險。

(1) 地面操作的形勢感知

無人機系統地面操作范圍非常廣泛，包括飛行操控員啟動、起飛或發射、遠程遙控任務執行、返航及回收等。由于無人機飛行操控員并不清楚飛行器周圍的人員和障礙物，形勢感知能力弱，可能會造成飛行器出現意料之外的突然移動。

(2) 地面操作的安全區間

一般飛行器的安全區間標準在地面要比在空中小得多。例如，飛行器在空中飛行時，安全區間的間隔會有幾英里遠，而在機場地面上飛行器之間間隔只有數十英尺。如果無人機以這種規則進行停放，可能不利于飛行操控員指揮控制無人機進行移動。

(3) 進入控制空域

多數情況下，有人機可以從相對相鄰的一些區域(如機場)進入控制空域，而無人機除了通過這些空域外，還可以通過非控制空域進入。這就導致無人機在起飛、發射、著陸和回收時有更多的路徑，從而影響空域管理和空域安全。

(4) 飛行終止

無人機不用考慮乘員安全就可以直接終止其持續飛行。然而，這些飛行終止可能會危害到地面人員的安全。為確保地面人員不受影響，飛行終止應盡量置于無人區或者人煙稀少的地方，還需要考慮無人機攜帶的危險性物資的影響。

(5) 額外的空管工作負擔加重

如果無人機與飛行操控員通信喪失或中斷，空管可以將無人機平臺態勢向無人機飛行操控員報告。空管發揮的這種重要作用，顯然會加重空管人員的工作負擔。

危險源分析是控制和降低危險發生的有效手段，對無人機系統在設計、機組訓練、使用操作方面的危險源分析，可以為后期對危險源導致事故發生的可能性和嚴重程度的定量評估奠定基礎。

4 結束語

無人機系統的事故發生率、事故類型和事故致因因素等方面均與有人機的飛行事故不同，因而現有的用于保護有人機機上乘員與機組安全的手段和措施不完全適用于無人機。針對無人機系統的安全性，其飛行事故的嚴酷度等級劃分及相應的危險可接受度也與有人機不同。借鑒有人機的安全管理，圍繞無人機系統的事故特點，定義無人機系統的安全性及嚴酷度等級劃分，此外，還從設計、機組訓練及使用操作三方面進行無人機系統的危險源分析。本文所開展的無人機系統安全性和危險源分析，屬于定性分析范疇，可以為后續的無人機安全管理方針政策的制定奠定基礎。在此基礎上開展無人機系統的定量安全性分析及風險評估將是下一步的研究重點。