人为差错导致的可控飞行撞地风险研究

王洁宁，钟 彬

（中国民航大学空中交通管理学院，天津 300300）

在2017—2019年全球航空安全计划中，ICAO 将跑道安全、飞机失控和可控飞行撞地（CFIT,controlled flight into terrain）3 类高风险事件列为全球航空安全的重点。近十年以来，虽然增强型近地警告系统（EGPWS）的全面使用，可控飞行撞地事故得到了有效的预防[1]，但仍然不容忽视。据《2016年中国民航航空安全报告》统计，2007—2016年间可控飞行撞地事故共发生23起，在民用航空类事故中仍占有较大比重，相应的事故征候，如下滑道警告，下降率过大等也时有发生。应安全管理体系（SMS）的要求，安全风险管理不仅要识别并缓解危险，还要找出潜在的不安全状况，从根本上杜绝事故的发生[2]。

国内的研究主要基于早期发生的大量事故，分析CFIT 的事故致因，主要集中于飞行机组的行为差错。普遍采用事故树、Reason-SHEL 模型、功能共振事故模型等对CFIT 事故成因及其之间的逻辑关系做定性分析，此外，用贝叶斯网络等对CFIT 风险进行了定量评价[3-6]。在国外，有学者根据往年发生的CFIT 事故，基于人因分析与分类系统（HFACS）模型对事故致因进行了一个全面的归纳总结[7-9]。以往的研究主要在于找出可控飞行撞地的危险致因以及分析致因的重要性，并基于此给出事故预防的重点。致因因素之间往往只有简单的线性关系，而事故的发生并不是简单的、独立的事件链的过程。

为了清晰地表达组织因素之间的交互关系，应用系统动力学的方法，以因果图的方式表达风险发生的可能过程，借助于系统动力学中灵活的函数关系，建立一个简化的事故模型，实现对影响因素之间交互关系的分析以及风险评价。由于大多数可控飞行撞地事故发生在飞行的进近着陆阶段，研究着重考虑进近着陆阶段的可控撞地风险。

1 可控飞行撞地风险致因分析

虽然造成飞机可控撞地或撞障碍物的原因很多，包括恶劣天气、导航设备故障等，但飞行员差错是大多数CFIT 事故中最主要的原因。飞行员差错最常见的类型有飞行员未能随时掌控飞机的位置及离地高度，丧失高度意识[10]。此外，疲劳也会使经验丰富的飞行人员犯重大错误，最终导致事故发生。

根据往年事故发生的原因统计，主要分为如下4种情况研究CFIT 风险。

1）高度气压表设定错误 由于操作失误或通话信息识别错误导致的气压表设错，且机组交叉检查无效导致的低于安全高度的事故风险。

2）没有调节高度表 由于机组遗忘导致的低于安全高度的事故风险。

3）下降率过大 由于机组操作不当或丧失高度警觉导致的低于安全高度的事故风险。

4）偏离航线 恶劣天气导致的绕飞撞障碍物风险，或由于管制员指挥失误偏离预计航线产生的风险。

基于上述4 类情况需做进一步的原因分析，而其影响因子往往不是单一独立的，在此引入系统动力学方法。系统动力学是系统科学与管理科学交叉融合的一门学科，目前广泛应用于供应链、城市发展、经济、交通等各个领域[11]。系统动力学模型是一种描述性模型，它以动态反馈图结合仿真运行的形式来反映复杂系统的结构和行为，进一步揭示系统状态变化的根本原因，分析不同决策条件下的系统变化趋势。

系统动力学因果关系图是表示系统反馈结构的重要工具[12]，它通过有向箭头来表示信息流动的方向，用“+”、“-”来表示单个变量变化时，与之直接相关的变量的变化趋势。

可控飞行撞地风险事件的因果关系如图1所示。

图1 可控飞行撞地因果关系图Fig.1 Cause-effect diagram of CFIT

其中，“〈飞行员技术水平〉”、“〈飞行员疲劳〉”、“〈惯例违规〉”分别为“飞行员技术水平”、“飞行员疲劳”和“惯例违规”的影子变量，含义与原变量相同。

根据Vensim 软件的统计，图1中关于CFIT 风险共有21 条回路。

环路1CFIT 风险→+培训教育频率→+飞行员技能水平→-操作不规范→+下降率过大→+低于安全高度或距离→+CFIT 风险。

该环路中负因果链的数目为奇数，是负反馈回路，负反馈回路可以自我校正，最终将变化抵消。即CFIT 风险值增加，通过培训增加飞行员的技能水平，降低操作差错的频率从而降低风险。

环路2CFIT 风险→+培训教育频率→+飞行员技能水平→-复诵不严谨→+通话误差（指令听错、理解错）→+高度气压表设定错误→+低于安全高度或距离→+ 察觉风险→+有效措施→-CFIT 风险。

该环路中负因果链的数目为偶数，是正反馈回路，正回路在扰动传播的过程中将增强原来的变化。回路中CFIT 风险降低，每月仅例行培训，长时间按部就班仍会出现差错导致出现风险的趋势，但若飞行员较早察觉及时纠正仍能降低风险值。

2 系统动力学建模

2.1 CFIT 系统动力学模型

因果关系图描述了系统的结构，但是并不能表示系统的行为，它只是相邻两变量之间的简单关系。在系统的行为表达上，应该是所有变量相互作用的结果，如此需要建立风险系统的动态流图，并用仿真的方式分析回路中占主导地位的因素[13]。构建CFIT 风险系统的流量存量图，如图2所示。

模型采用时间步长为月，按风险评估周期，确定模型模拟总时间为1年，风险值用风险发生的频率和严重度来衡量。根据可靠系统对安全余度的考量，将风险严重度等级的评定按有没有达到地形警告级别和采取有效措施两方面综合考虑，如表1所示。

图2 CFIT 风险流量存量图Fig.2 Flow-stock diagram for CFIT risk

表1 风险严重度等级划分Tab.1 Risk severity level

表1间接反映了可控飞行撞地事故风险是随时间逐渐增大的，在风险出现的初始，若机上飞行人员感知或察觉较早就可以有效防止事故的发生。

按严重度等级1 ～4 制定风险的分值分别为25、50、75 和100。采用概率风险评价法（PRA）：风险=频率×严重度，计算出CFIT 的风险值，其中，CFIT 风险发生频率由流量存量图中的风险增加的直接影响因素确定为

其中：n1～n4分别代表下降率过大、偏离航线、没有调高度表、气压高度表设定错误4 种情况发生的次数。

通过仿真可以得到12 个月的累计风险值。根据海因里希安全法则，生产过程中存在着大量的隐患，无伤害事件或未遂事故∶轻伤害事故∶死亡及重伤害事故的比值约为300 ∶29 ∶1。对于不同的生产过程，不同的事故类型，该比例关系虽然不一定相同，但本质上却表明了无数次意外事件，才会导致重大伤亡事故发生的必然规律。由此分析考虑，将累积的风险值划分为4 个等级，其等级及含义如表2所示。

表2 风险等级划分Tab.2 Risk level

以风险大小衡量系统的安全程度，判断安全程度是否在可接受的范围内，并据此决定是否采取措施改善安全状态。在系统动力学反馈图中可判别哪项条件对风险的影响较大，以确定从哪方面入手加以管理。

为方便对CFIT 风险进行定量评价，还需对流量存量图中的其他变量关系进行定义，其中主要的动力学关系如表3所示。

表3 模型中主要的动力学关系Tab.3 Main dynamical relation

2.2 模型检验

模型完成后，还需进行模型测试，以验证模型是否符合基本的物理规律，前后量纲是否一致以及在输入条件发生极端变化时，模型是否依然适用[14]。利用Vensim 软件本身的检验功能对模型进行检验并修正模型，保证模型量纲一致且能够运行。对运行中的模型进行敏感性测试及极限情况测试，调节模型中的常量，随着常量取值变化，观察系统中所有变量的值是否变化、是否超出指定的取值范围，且根据变化的快慢，可检测出哪几个变量对风险的影响最大[15]。经检验，模型整体的变化趋势符合常理，且变量取极限值时，相关变量的值也在合理的范围内，如表4所示。

表4 模型变量取值分布Tab.4 Variable value distribution

3 模型仿真分析

在做敏感性测试时发现对风险影响较为显著的变量为每月飞行时间和惯例违规，所以对这2 项进行着重分析。

每月飞行时间主要影响的是飞行员疲劳，疲劳对飞行员的操作和判断影响较大，对风险有较明显的影响。将初始数据输入模型，利用Vensim 软件进行仿真，表4中6 个常数参数分别设定输入为（0.005，RANDOM UNIFORM（0，0.1，0.05），0.05，0.01，RANDOM NORMAL（40，100，70，3，70），RANDOM UNIFORM（0，5，2））。调节飞行员每月飞行时间，考察疲劳对风险的影响：考虑每月平均飞行时间分别为60 h、70 h、80 h、90 h 的情况。仿真预测结果如图3所示。

图3 CFIT 风险的仿真预测值Fig.3 The simulation predicted value of CFIT risk

图3表示的是以月为单位，1年累计的风险状态。以每月平均70 h 为例，到12月，风险累计值为273.426，对照表2的等级划分，表明系统中虽然存在风险但仍在可接受的范围内。每月飞行时间不同，飞行员的疲劳程度不同，对CFIT 风险的影响也不同。图中可看出，每月飞行不超过70 h 时，CFIT 的风险等级还处于可以接受的状态。当平均飞行时间超过80 h，风险较大，需要管理部门加强管理调节，改善安全状态。由此可见，飞行员的疲劳对CFIT 风险的影响较大，相关部门需要综合飞行的工作量和航班流量对飞行员进行合理的排班。

飞行员月平均飞行时间除直接影响飞行员疲劳外，还表现为飞行经验直接影响飞行的技能水平，如图4所示。

图4 飞行员技能仿真Fig.4 Simulation predicted value by pilot risk

飞行员技能与CFIT 风险相互影响，飞行员技能受飞行时间、疲劳、飞行员自身状态等的影响会有所下降，当每月风险累计到一定程度，会加强培训管理，飞行员技能加强，月风险值降低，累计风险趋势渐缓。结合图3，平均飞行时间不超过2 级风险限定值时，对风险的影响其实是较小的。但在这个限定值以下，平均飞行时间越长，飞行经验增加，飞行员的技能水平也越高，如图4（b）。所以一个变量对系统的影响并不是单一的，有利有弊，在管理上需要综合考虑，把握好度。

此外，由仿真所得的其他变量的预测图，可得飞行时间间接对机组的有效检查、操作执行错误、通话误差及飞行员反应决策时间有较大影响。

惯例违规是飞行员的个人态度问题，可通过教育等方式修正，模型设计之初，为便于分析它的影响，将它作为一个常量。该项与飞行员的技能水平有直接的负相关关系，该项的概率值增大时，由仿真输出结果可知飞行员的技能水平下降，而CFIT 风险值增大。

综合考虑每月飞行时间、惯例违规两项指标，共设计7 种方案，如表5所示，分析这7 种方案下的风险值的变化[16]。

表5 模型调整方案Tab.5 Model adjustment scheme

图5 不同方案下的风险值对比Fig.5 Risk comparison under different scenarios

结果显然，两项指标的影响相互交错，且其对风险的影响趋势是一样的。考虑每月飞行时间为70 h 的情况（基准方案、方案1、方案4），当惯例违规出现的概率由0.005 增加到0.05，再到0.1 时，风险值由266.263 到308.159，再到358.042，是很明显的上升趋势。其中方案2 与方案4，以及方案3 与方案5 风险结果相似，而方案6 已经上升到了高风险的级别。由此表明，风险管理需全方位把控，不能只看到运行状况良好的一面，在不利状态下的高风险是比较好察觉的，但若处于安全的状态下，也要能察觉潜藏的隐患。

4 结语

1）CFIT 因果关系图清晰表达了事故发生可能的每一条链路，因素之间的逻辑关系直观明了，能够较好地反映事故发生的深层原因。

2）研究表明飞行员的每月飞行时间和惯例违规对风险的影响较为明显，即飞行员疲劳和习惯性违规应该是被关注的重点。但变量的约束不能以单个因素独立考虑，在变量的交互影响下，显然组合方案的风险要比只考虑某个变量的风险大得多，因此，对于安全的监控要综合全面。CFIT 风险模型从系统的角度出发，可以监控到各因素对风险的综合影响，且组合方案的设定可提高决策管理的有效性。

3）基于系统动力学对CFIT 风险的研究，可验证该方法在某种既定的关系上，研究事故风险是可行的。在实际应用中，可经过真实数据拟合及经验判断推出合适的变量关系方程，设计恰当的模型进行仿真预测分析，结合实际情况进行事故预防。