基于模糊理论的风险评价方法

2015-05-25赵廷弟

系统工程与电子技术 2015年8期

关键词：权重危险矩阵

赵远，焦健，赵廷弟

（北京航空航天大学可靠性与系统工程学院，北京100191）

基于模糊理论的风险评价方法

赵远，焦健，赵廷弟

（北京航空航天大学可靠性与系统工程学院，北京100191）

针对传统风险评价过程中无法综合多人的评价结果、风险之间难以排序等问题，提出了一种基于模糊理论的风险评价方法。建立模糊风险矩阵，把可能性和严酷度放在同一尺度下讨论，引入层次分析法核心理念确定可能性和严酷度对风险的影响权重，综合多人对可能性和严酷度的评价结果，通过确定的可能性和严酷度对风险的影响权重以及综合的评价结果得到风险值。以飞行控制系统中的具体危险为例采用该方法进行评价。通过该方法确定的不同危险的风险指数可进行详细的风险排序，支持风险决策，验证了该方法的工程实用性和有效性。该方法能够更客观地评价危险，为危险的预防措施制定和管理决策提供依据。

安全；风险；风险评价；模糊理论；决策

0 引言

风险评价是对危险进行评估的过程，为危险的预防措施制定和管理决策提供科学依据。在开展安全性工作过程中，识别到的危险必须通过风险评价来确定风险。经过对风险评估和改进措施的迭代，使得人身伤害或财产损失的风险保持在可接受的水平，系统处于相当安全的状态。

风险评价方法直接影响对危险的判定，风险的评价结果不但影响系统的安全而且还直接关系到后续决策的制定和安全性工作的开展。对危险相对客观准确的评价对安全性工作的开展有着重要的意义。

风险评价是从危险的两个方面展开：危险转变为事故的可能性以及带来损失的严酷度。风险评估矩阵是进行风险评价的工具［1－3］，有多种类型的风险评估矩阵。在GJB900中介绍了2种风险评估矩阵［1］，在GEIA-STD－0010中介绍了5种风险评估矩阵［2］。在GJB／Z 99－97中介绍了总风险暴露指数方法［4］，危险的总风险暴露指数可由严重性指数和暴露指数相加得到。但是，在型号的风险评价过程中遇到了几个问题：风险之间无法充分比较大小、无法考虑到可能性与严酷度相对于风险的影响权重和无法综合多人的风险评价结果。

针对上述在风险评价过程中遇到的问题，本文提出了一种基于模糊理论的风险评价方法，以考虑危险的严酷度和可能性对风险的影响权重，综合多人对危险的综合评价，并且将不同的风险能够以图形化的形式对比排序。最后，以飞行控制系统中的具体危险为例，应用该评价方法进行风险评价，并且将评价结果与传统的风险评价结果进行了对比，验证了该方法在风险评估过程中的有效性和实用性。

1 风险评价中存在的问题

在实际型号的风险评价过程中，遇到了以下3个问题。

在风险评价过程中，不同风险之间无法充分比较大小。以GJB900中的风险评价矩阵［1］为例，通过发生可能性和后果严酷度的组合，共有20种风险指数，它们又被进一步划分为4个风险等级，处于同一等级中的风险通常采用相同的处理策略。但在实际工作中，同一等级中的风险指数的风险水平并不相同。例如，1D、2D、2C、3B和3C同属于第二类风险等级，但是2C的风险水平显然高于2D和3C。这种将它们视为同等风险等级的方式导致了难以有效地分配资源来消除或控制风险水平较高的危险。并且，即使属于同一风险指数的不同风险也往往存在差异。以飞机为例，在设计中通常要评价成百上千多个危险。由于风险评价矩阵中只有20个风险指数，因此必然会有众多风险水平不同的危险属于相同的风险指数。按照现有评价原则，认为它们的风险水平完全相同，分配同等的资源来消除或控制风险。为合理地分配资源来消除或控制风险，应该对其区别对待。

在风险评估过程中，对严酷度和可能性评价存在分歧时，无法综合多人的评价结果。例如，在飞行控制系统的“预选航向保持功能意外使用或无法终止”危险的评价过程中，对其严酷度的评价有两种不同的结果。一个结果是对于飞机层，无法人工控制航向，飞机的飞行品质将会显著的下降；对于机组人员，将会显著的增加机组工作负担，可能会导致任务延误或无法完成预期任务；该危险的严酷度等级是III类。另一个结果是对于飞机层，无法人工控制航向，将会对飞行安全产生极大的影响，可能导致飞机与障碍物相撞而坠毁；对于机组人员，可能造成机毁人亡的灾难性事故；该危险的严酷度等级是I类。对于不同严酷度的危险通常的决策和要求也是不相同的。对于III类危险，安全性要求是发生的可能性小于10－5／飞行小时；对于I类危险，安全性要求是发生的可能性小于10－9／飞行小时。应综合考虑危险严酷度和可能性的不同评价结果，以得到相对更客观的风险结果，对危险采取恰当的措施。

传统的风险评价过程中，分别考虑严酷度和可能性的评价结果，将它们视为平等地影响风险。事实上，不同危险的可能性和严酷度对风险的影响不同。对于一些危险，从降低可能性方面要比从降低严酷度方面更容易且有效，对于有的危险正好相反，而对于某些危险从可能性和严酷度两方面相差不大。可能性和严酷度对风险的影响权重不同，例如，“直升机在飞行阶段发动机空中停车”危险。发动机为飞机提供动力，并且为燃油系统提供气源、为电源装置提供驱动动力源等。发动机空中停车，就会造成的后果，无法通过设计来降低严酷度，但可以通过冗余或增加预防措施来降低可能性。因此，在评估该危险过程中，可能性相对于严酷度，更多地影响风险的高低。在应用现有风险评价矩阵过程中，无法针对具体危险的特点，考虑到可能性与严酷度相对于风险的影响权重。

2 模糊风险评价方法

2.1 理论基础

风险评价过程中，对严酷度和可能性的评价具有一定模糊性。人对于概念的认知存在模糊性，通常是内涵清楚而外延模糊，因此很难对危险事件发生的概率及其影响给出明确的量化判断，评价过程中经常包含语意模棱两可、不确定和含糊的信息，而这些通常不能够用明确数值来处理。这也就使得传统的风险评价结果之间无法充分地比较大小，同时也就使得无法综合多人的评价结果。模糊集理论能够处理这种模糊性，该理论的提出主要是为了表述对象外延的不确定性和模糊性，并且建立有效地处理不精确问题的工具［5］。在认识模糊性时，是允许有主观性的，即每个人对模糊事物的界限不完全一样，承认一定的主观性是认识模糊性的一个特点。本文通过模糊集理论建立风险评价方法以使得风险评价能够综合多人的评价结果，而且同一等级的风险之间能够进一步进行排序。

文献［6］应用模糊集理论对工厂的安全性进行评价，建立了“安全的”、“有害的”、“可接受的”、“不可接受的”的模糊集。模糊理论已经应用于严酷度和可能性的评价中。在多个文献中都提出了应用模糊集理论建立可能性和严酷度等级的隶属度函数［7－10］。文献［11］建立了基于模糊理论的FMEA分析技术和专家评价系统原型。文献［12－13］分别将模糊理论应用到FMEA中，建立了故障的严酷度和可能性的隶属度函数，并构建了模糊风险优先数。文献［14］提出了一种构建模糊风险矩阵的方法，该方法是将传统风险评估矩阵中的可能性（严酷度）的等级转变为相应的隶属度函数，来构建模糊风险矩阵。本文在定义严酷度和可能性的隶属度函数的基础上，提出基于模糊理论的风险评价方法。

由Saaty提出的层次分析法（analytic hierarchy process，AHP）是用来解决在多准则决策问题中如何确定一组因素的相对重要度［15－17］。该方法使得用定量准则来判断无形的定性因素成为可能［18］。文献［19］通过模糊层次法确定安全因素的权重。本文中采用层次分析法理论中的成对比较方式来确定严酷度和可能性对于风险的影响权重。

2.2 模糊风险评价方法

本文提出的风险评价方法能够考虑可能性和严酷对风险的影响权重，并且综合多人的评价结果。首先，定义了模糊风险矩阵，把可能性和严酷度放在同一尺度下讨论。其次，采用AHP理论中的成对比较的方式确定可能性和严酷度对风险的影响权重。再其次，依据模糊风险评价矩阵，风险评价小组人员对危险的可能性和严酷度进行评价，并进一步综合不同的评价结果。最后，通过确定的可能性和严酷度对风险的影响权重以及综合的评价结果计算危险的风险值。基于模糊理论的风险评价方法原理如图1所示。

图1 基于模糊理论的风险评价方法原理

该风险评价方法由以下步骤组成：

（1）定义模糊风险评估矩阵

为了综合可能性和严酷度，本文采用模糊风险矩阵来将严酷度和可能性放在同一尺度下讨论。

定义1 记M＝（a，b，c，d），其中a≤b≤c≤d，有相应的隶属度函数

与其对应，称M为梯形模糊数。假设梯形模糊数A＝（a1，a2，a3，a4）和B＝（b1，b2，b3，b4），其相应的运算定义［20］如下：

（1）A＋B＝（a1＋b1，a2＋b2，a3＋b3，a4＋b4）；

（2）A－B＝（a1－b1，a2－b2，a3－b3，a4－b4）；

（3）λA＝（λa1，λa2，λa3，λa4），λ∈R。

结合模糊风险矩阵的构建方法，本文中使用的模糊风险矩阵见表1［11，13］，其相应的隶属度函数见图2。在此基础上确定了风险的5个基准值，如表1所示，其隶属度函数如图3所示。

依据图3中的5个风险值，可以将风险分为4个等级：

①如果RH＜R≤RVH，风险是高；

②如果RM＜R≤RH，风险是严重；

③如果RL＜R≤RM，风险是中等；

④如果RVL≤R≤RL，风险是低。

其中，R是风险的梯形模糊数，RVL、RL、RM、RH、RVH是表1中5个风险值得梯形模糊数。

表1 模糊风险矩阵和风险水平

图2 风险矩阵的隶属度函数

图3 风险值

（2）确定可能性和严酷度对风险的影响权重

在AHP理论的因素对比过程中，一般采用9个标度等级，如表2所示［21］。设计人员依据相似产品危险控制的工程经验，采用标度等级确定严酷度和可能性的对比矩阵。通过AHP理论的成对比较方式，能够确定危险的严酷度和可能性相对于风险值的影响权重。

表2 对比矩阵标度

按照成对比较的方式，构建对比矩阵X：

式中，x11和x22是它们与其自身的对比，x11＝x22＝1；x12是可能性与严酷度对比的标度；x21是严酷度与可能性对比的标度，x21＝1／x12。

该对比矩阵只涉及两个因素，对比矩阵的阶是2，该矩阵满足一致性检验［22］。

在成对比较矩阵的基础上，按照以下公式来计算可能性和严酷度相对于风险的影响权重：

权重系数向量W＝［wp，ws］。

（3）依据模糊风险评估矩阵进行评价

通常评价的危险，尤其是系统层的危险，往往都涉及多个事件并且与多个分系统以及部件相关。传统的风险评估过程中，是由单个安全性人员或系统层的设计人员从其专业角度对危险的可能性和严酷度给出评估结果。这就造成评估人员很难全面地评价危险，可能对可能性和严酷度的评价过于严苛或宽松。采用多领域人员的评估小组，能够从多专业知识角度覆盖危险［23］，能够更全面更客观地评价可能性和严酷度。

该方法中引入了多人评估危险的方式，危险的严酷度和可能性分别由若干领域的设计人员以及安全性（可靠性）人员给出结果。如果风险评估小组有k位人员，危险严酷度和可能性的综合评价结果可由以下公式得到：

（4）计算模糊风险

通过危险的严酷度和可能性相对于风险的权重向量W

以及它们的模糊评价向量F，风险由下式得出：

为了便于风险的排序，将模糊风险R通过式（6）进行去模糊化［16］：

式中，R＝（a，b，c，d）是梯形模糊数。

依据风险评价结果，可以采取以下的决策：

①RH＜R≤RVH，风险是不可接受的，必须对危险采取措施；

②RM＜R≤RH，风险是可容忍－不可接受的，应对危险采取一定的消减措施，不希望有的，需要订购方决策；

③RL＜R≤RM，风险是可容忍－可接受的，在合理可行最低原则下采取措施以达到合理可行的风险水平，评审即可接受；

④RVL≤R≤RL，风险是可接受的，无需采取措施。

3 应用示例

以“直升机飞行控制系统的预选航向保持功能在飞行过程中意外使用或无法终止”危险为例，进行风险评价。

3.1 风险计算

首先，确定可能性和严酷度相对于风险的权重。在确定该危险的可能性和严酷度权重过程中，安全性人员需要与设计人员进行协调共同确定。通过表2中标度，建立可能性与严酷度的对比矩阵，见表3。通过式（1）～式（3），得到它们对风险的影响权重，如表3所示。

表3 可能性和严酷度的成对比较矩阵和影响权重

其次，对危险的可能性和严酷度进行评价。在对该危险的严酷度进行评价过程中存在较大的分歧。飞行控制系统设计人员认为该严酷度是中等的，即对飞机造成无法人工控制航向，飞机的飞行品质将会显著的下降；对机组人员造成显著地增加机组工作负担，可能会导致任务延误或无法完成预期任务。直升机总体设计人员认为该严酷度是灾难的，即对飞机造成无法人工控制航向，将会对飞行安全产生极大的影响，可能导致飞机与障碍物相撞而坠毁；对机组人员造成可能造成机毁人亡的灾难性事故。

风险评价小组的人员依据模糊风险矩阵来对可能性和严酷度进行评价。初始的评价结果见表4和表5。将可能性的初始评价结果记作向量形式如（0，7，3，0，0），其中5个分量对应“不可能的”、“极少的”、“偶然的”、“很可能的”、“频繁的”的评价人数；同样的，将严酷度的初始评价结果记作向量形式如（0，0，5，1，4），其中5个分量对应“可忽略的”、“轻微的”、“中等的”、“严重的”、“灾难的”的评价人数。

最后，在初始评价结果的基础上计算风险值。根据表4和表5的初始评价结果，通过式（4）得到可能性和严酷度的综合评价结果，如表6所示。在此基础上，通过式（5）结合可能性与严酷度相对于风险的影响权重和它们的综合评价结果能够得到风险值，如表6所示。可以看出风险是在低和中等之间。

表4 可能性的初始评价结果

表5 严酷度的初始评价结果

表6 评价结果和风险值

3.2 对比讨论

将该方法的评价结果与传统风险评价结果进行对比。

（1）与风险评价矩阵对比

依据GJB900和GEIA-STD－0010中的风险评价矩阵，危险的风险指数是10，风险等级是第三类。通过本文介绍的风险评价方法，危险的风险值是在低和中等之间，如图4所示，其风险等级也第三类。但是，通过风险评价矩阵得到的风险指数非常接近第二等级（第二等级的指数范围是6～9），而通过该风险评价方法，距第二等级还有一定距离，如图4所示。

有两个原因导致了这种差异。一个是该方法考虑了危险的可能性和严酷度对风险的影响权重。通过考虑两者的不同权重，它显示了危险的具体特征，使决策更加有效地减少风险。另一个是在风险评价过程中使用模糊风险矩阵，这样有两个优点：①将多人对可能性和严酷度的评价结果进行综合。以可能性为例，综合后的评价结果，也就不仅只有频繁的、很可能的、偶然的等5种结果。②将危险的可能性和严酷度综合，将可能性和严酷度放在同一个尺度，得到的风险能够容易地比较大小。

图4 模糊风险评价结果

（2）与主观事故风险评价矩阵对比

依据GEIA-STD－0010和MIL－STD－882E中的主观事故风险评价矩阵，该危险的风险指数是IID，风险等级是中等的。在主观事故风险评价矩阵的风险评价单元中，IE、IID、IIE、IIIC、IIID、IVB、IVC的风险等级都是中等的，它们之间的风险大小无法比较。通过该方法得到的风险值都能够以曲线的展现，能够很容易地将相同风险等级中不同的风险进行排序，如图4所示。对于相同风险等级中风险高的危险将采取恰当的决策并分配更多的资源来消除或控制危险。

3.3 多个风险评价结果分析

进一步对飞行控制系统中识别的20个II类危险应用本文提出的方法，风险评价结果见表7。序号1中的危险是案例中的危险，其他危险主要包括“丧失俯仰轴控制增稳功能”、“俯仰舵机急偏”、“丧失横滚轴控制功能”、“左横滚舵机急偏”、“航向舵机急偏”、“丧失总距轴控制功能”、“丧失平尾手动控制”、“丧失俯仰角限制”、“俯仰角限制比预期要大”、“丧失垂直下降速率限制”，“自动复飞功能意外使用或无法终止”，由于篇幅等原因，没有将文中的危险全部列举。

危险的评价结果如图5（a）所示，梯形的虚线为案例危险的评价结果。为了更直观地展现风险，应用式（6），将风险评价结果去模糊化，风险的去模糊化如图5（b）所示。图5（b）中8.33、6.5、4.5、2.5和0.67分别是RVH、RH、RM、RL和RVL去模糊化的结果，该图中的4个区域对应了风险的4个等级，风险等级从上到下依次为“高”、“严重”、“中等”、“低”。由图5（b）可知，在这个20个Ⅱ类危险中，16号“自动复飞功能意外使用或无法终止”危险的风险水平要高于其他危险，去模糊化后的风险值为5.83；7号“丧失垂直下降速率限制”的风险水平低于其他危险，风险值为3.7。通过进一步的排序，可以为风险决策提供更加详细的信息，有利于在有限的时间进度和经费成本范围内，集中力量解决更为重要的问题。

表7 危险评价结果

图5 风险值的排序

4 结论

本文提出的基于模糊理论的风险评价方法在评价过程中采用成对比较的方式确定危险的可能性和严酷度对风险的影响权重，通过使用模糊风险矩阵综合评估小组对可能性和严酷度的评价结果，最后得到危险的风险值。该风险评价方法有以下几个优点：

（1）对于具体的危险，通过考虑可能性和严酷度对风险的权重，更能够反映危险的特点。设计人员可以更有针对性地对影响权重高的因素采取相应的消减措施，以更有效地降低风险。

（2）该模型能够综合各领域设计人员对危险的评价结果。通过评估小组人员的综合评价，能够从多领域全面地评价严酷度和可能性；并且危险的可能性和严酷度不只是局限在已知模糊风险矩阵中的确定等级，能够更加客观地评估严酷度和可能性。

（3）风险以曲线的形式描述，能够将多个风险进行排序。传统的风险评估中，将风险分为20个等级，相同等级的风险无法对比；而采用本文中介绍的风险评价方法，风险都可以用曲线描绘出，能够对所有评估的风险进行排序。通过对风险的排序，有利于将资源更合理地分配到危险控制过程中。

（4）计算过程工程实用性强，常用的办公软件（如Excel）就能计算。

该方法为评价危险提供了一种新的思路和模式，其评价结果更加合理和客观。在传统的风险评价后，对于属于前2类风险等级的危险，可以通过该方法进行评价，以更加客观地反映危险的风险，并且将这些风险进行排序。从而，对危险采取合理的决策，更有效地分配资源来消除或控制危险。

［1］GJB 900－90.General program for system safety［S］.Beijing：Commission of Science，Technology and Industry for National Defense，1990.（GJB 900－90.中华人民共和国国家军用标准系统安全性通用大纲［S］.北京：国防科学技术工业委员会，1990.）

［2］GEIA-STD－0010.Standard best practices for system safety program development and execution［S］.Washington：Information Technology Association of America，2008.

［3］MIL－STD－882E.Department of defense standard practice system safety［S］.Arlington：Department of Defense，2012.

［4］GJB／Z 99－97.Engineering handbook for system safety［S］.Beijing：Commission of Science，Technology and Industry for National Defense，1998.（GJB／Z 99－97.中华人民共和国国家军用标准系统安全工程手册［S］.北京：国防科学技术工业委员会，1998.）

［5］Kahraman C，Cebeci U，Ulukan Z.Multi-criteria supplier selection using fuzzy AHP［J］.Logistics Information Management，2003，16（6）：382－394.

［6］McKone T E，Deshpande A W.Can fuzzy logic bring complex environmental problems into focus？［J］.Environmental Science＆Technology，2005，39（2）：42－47.

［7］Ni H，Chen A，Chen N.Some extensions on risk matrix approach［J］.Safety Science，2010，48（10）：1269－1278.

［8］Markowski A S，Mannan M S，Siuta D.Uncertainty aspects in process safety analysis［J］.Journal of Loss Prevention in the Process Industries，2010，23（3）：446－454.

［9］Markowski A S，Mannan M S.Fuzzy logic for piping risk assessment（pfLOPA）［J］.Journal of Loss Prevention in the Process Industries，2009，22（6）：921－927.

［10］Bowles J B，Peláez C E.Fuzzy logic prioritization of failures in a system failure mode，effects and criticality analysis［J］.Reliability Engineering ＆System Safety，1995，50（2）：203－213.

［11］Xu K，Tang L C，Xie M，et al.Fuzzy assessment of FMEA for engine systems［J］.Reliability Engineering ＆System Safety，2002，75（1）：17－29.

［12］Tay K M，Lim C P.Fuzzy FMEA with a guided rules reduction system for prioritization of failures［J］.International Journal of Quality ＆Reliability Management，2006，23（8）：1047－1066.

［13］Sharma R K，Kumar D，Kumar P.Systematic failure mode effect analysis（FMEA）using fuzzy linguistic modelling［J］.International Journal of Quality ＆Reliability Management，2005，22（9）：986－1004.

［14］Markowski A S，Mannan M S.Fuzzy risk matrix［J］.Journal of Hazardous Materials，2008，159（1）：152－157.

［15］Satty，T L.The analytic hierarchy process［M］.New York：McGraw-Hill，1980.

［16］Zheng G，Zhu N，Tian Z，et al.Application of a trapezoidal fuzzy AHP method for work safety evaluation and early warning rating of hot and humid environments［J］.Safety Science，2012，50（2）：228－239.

［17］Saaty T L.Fundamentals of decision making and priority theory with the analytic hierarchy process［M］.Pittsburgh：Rws Publications，2000.

［18］Saaty R W.The analytic hierarchy process-what it is and how it is used［J］.Mathematical Modelling，1987，9（3）：161－176.

［19］Ai Lin Teo E，Yean Yng Ling F.Developing a model to measure the effectiveness of safety management systems of construction sites［J］.Building and Environment，2006，41（11）：1584－1592.

［20］Sadi-Nezhad S，Khalili Damghani K.Application of a fuzzy TOPSIS method base on modified preference ratio and fuzzy distance measurement in assessment of traffic police centers performance［J］.Applied Soft Computing，2010，10（4）：1028－1039.

［21］Ramanathan R.A note on the use of the analytic hierarchy process for environmental impact assessment［J］.Journal of Environmental Management，2001，63（1）：27－35.

［22］Ozdemir M S.Validity and inconsistency in the analytic hierarchy process［J］.Applied Mathematics and Computation，2005，161（3）：707－720.

［23］Ericson C A.Hazard Analysis Techniques for system safety［M］.Hoboken：Wiley，2005.

Risk assessment method based on fuzzy logic

ZHAO Yuan，JIAO Jian，ZHAO Ting-di
（School of Reliability and Systems Engineering，Beihang University，Beijing 100191，China）

According to the problem that different evaluations cannot be integrated and risks are difficult to be sorted，a novel risk assessment method based on the fuzzy theory is proposed.A fuzzy risk matrix is defined in which the possibilities and severities of risks can be discussed in a unified scale，the impact weights of risk possibility and severity are determined using pair-wise comparison；risk evaluations from different analyses are synthesized；the risk level is assessed by the synthesized evaluation and impact weights.An example of the risk assessment in a specific hazard of the flight control system is introduced.The risk index of different hazards determined by the proposed method can be used to make a detail sort to support decision-making，which demonstrates the engineering practicability and effectiveness of the method.The proposed method can assess risks more objectively and supply necessary information for hazard prevention measure determination and decisionmaking.

safety；risk；risk assessment；fuzzy logic；decision-making

X 949

10.3969／j.issn.1001-506X.2015.08.17

赵远（1985－），男，博士研究生，主要研究方向为系统安全、风险评价。

E-mail：happy＿life03＠163.com

焦健（1974－），男，讲师，博士，主要研究方向为系统安全、可靠性仿真。

E-mail：jiaojian＠buaa.edu.cn

赵廷弟（1965－），男，研究员，博士，主要研究方向为系统安全与可靠性工程。

E-mail：ztd＠buaa.edu.cn

1001－506X201508－1825－07

网址：www.sys－ele.com

2014－08－15；