徐俊明+張晨

摘要：美國“9.11”事件、倫敦、馬德里等地恐怖襲擊，以及卡特里娜颶風(fēng)等災(zāi)難性氣象條件和全球范圍內(nèi)氣候突變等嚴(yán)峻現(xiàn)實，引發(fā)了各國政府對關(guān)鍵基礎(chǔ)設(shè)施和重大安全性行業(yè)如何具備持續(xù)服務(wù)能力問題的高度重視?？展茏鳛閲谊P(guān)鍵安全系統(tǒng)之一，如何確保其在各類不利條件下的服務(wù)安全性和業(yè)務(wù)連續(xù)性受到愈加廣泛關(guān)注。該文從風(fēng)險評估、部署方式和運行維護三方面研究大型空管機構(gòu)災(zāi)備策略，可為各地管制中心的災(zāi)備系統(tǒng)規(guī)劃與建設(shè)提供借鑒。

關(guān)鍵詞：容災(zāi)備份；管制中心；規(guī)劃

Abstract：More and more countries have paid attentions to the continuous serviceability of critical facilities in the industry as for the nations safety and security after they met the problems caused by terrorist attacks in U.S.， London， and Madrid， severe weather such as hurricane Katrina， and abrupt climate changes in the whole world. ATM facility is one of the important components of nations safety and security system. Therefore， the service safety and continuity of the ATM facility under various adverse conditions are getting more and more attentions. The paper reviewed strategies of the disaster backup and recovery as for the main ATM facilities from the aspects of risk evaluation， deployment mode， and maintenance mode， which proposes the reference for planning and constructing new disaster backup and recovery system of ATM control centers in different areas.

Keywords：Disaster backup and recovery；Air traffic control centers；Plan

引言

2007年，《關(guān)于印發(fā)全國高空管制區(qū)規(guī)劃調(diào)整方案的通知》下發(fā)，明確了建設(shè)沈陽、北京、上海、廣州、三亞、成都、西安、烏魯木齊8個高空管制區(qū)，同時全面深入推進各地區(qū)域管制中心建設(shè)?！笆濉逼陂g，隨著成都、西安和沈陽完成區(qū)域管制中心建設(shè)，全國已建成并陸續(xù)運行6個區(qū)域管制中心?！笆濉逼陂g，空管系統(tǒng)將加快烏魯木齊區(qū)域管制中心建設(shè)，加快上海、廣州終端管制中心建設(shè)，繼續(xù)推進空域管理中心、運行管理中心和航空情報中心建設(shè)，以及亞洲航空氣象中心建設(shè)，初步形成大區(qū)域、高度集成和自動化運行的空管機構(gòu)及其基礎(chǔ)設(shè)施網(wǎng)絡(luò)。然而，為了銜接“空管全球一體化”的發(fā)展趨勢，實現(xiàn)中國現(xiàn)代化空管系統(tǒng)的建設(shè)戰(zhàn)略，在大都市圈、高密度和復(fù)雜運行環(huán)境下如何評價和維系眾多空管機構(gòu)和大量基礎(chǔ)設(shè)施的安全運行和持續(xù)服務(wù)能力，開始成為空管系統(tǒng)規(guī)劃和建設(shè)的關(guān)鍵命題。同時，隨著航班量的進一步躍升和空防安全性要求的進一步提高，如何應(yīng)對大型災(zāi)害和黑天鵝事件的影響，也成為空管持續(xù)發(fā)展必須面對和解決的問題。本文從風(fēng)險評估、部署方式和運行維護三個方面，系統(tǒng)分析了空管機構(gòu)及設(shè)施的災(zāi)備策略。

一、風(fēng)險評估

需求方面，俄羅斯在2003年第11次航行會議上向國際民航組織提交的《在全球和國家層面對空中交通安全水平進行評估的問題》中指出，不同國家空中交通安全目標(biāo)水平及其評估方法可能不同，國際民航組織有必要制定一個統(tǒng)一的、標(biāo)準(zhǔn)化的空中交通安全指標(biāo)及其確定方法[1]。美國聯(lián)邦航空管理局在2004年印發(fā)的《國家航空研究計劃》中提出：要開展安全數(shù)據(jù)分析方面的數(shù)據(jù)搜集和發(fā)布研究；要在航空安全分析方法研究中，針對安全等級如何確定提出更有效的方法，降低系統(tǒng)差錯造成的后果；要研發(fā)風(fēng)險管理決策支持系統(tǒng)，用以建立識別風(fēng)險、危害和事故的數(shù)學(xué)模型，并基于這些模型使用系統(tǒng)工程方法開發(fā)下一代安全評估方法和風(fēng)險指示系統(tǒng)[1]。

方法工具方面，安全系統(tǒng)工程領(lǐng)域的風(fēng)險評估方法較為經(jīng)典，但在定量描述空管安全狀態(tài)、識別系統(tǒng)風(fēng)險、建立關(guān)鍵指標(biāo)，以及軟件研發(fā)等方面的研究相對欠缺，有關(guān)災(zāi)難、風(fēng)險及其對空管業(yè)務(wù)的影響的研究總體處于起步階段[2]。目前，國外風(fēng)險評估方面的研究主要側(cè)重對空管運行狀態(tài)的定性描述，重點研究飛行過程中的事故風(fēng)險，如H.H. de Jong等最早歸納了空管運行中可能發(fā)生的災(zāi)難類型[3]，S.H. Stroeve等提出了空管運行中的事故風(fēng)險評估方法和一般流程[4]。國內(nèi)學(xué)者盡管作了一些工程化結(jié)合，但距離應(yīng)用仍有差距，例如朱艷蕓等對適合空管系統(tǒng)的風(fēng)險評估方法進行了歸納[5]。李小鵬等對如何在空管設(shè)施、設(shè)備運行保障中應(yīng)用風(fēng)險管理流程進行了研究[6]。丁松濱等提出一種管制員風(fēng)險評價的證據(jù)理論模型[7]。曾敬等提出風(fēng)險勢能概念，提出了通航管制的風(fēng)險評估方法[8]。文興忠等提出基于灰色理論的空管安全風(fēng)險評價方法[9]。高楊提出航空安全風(fēng)險評估的層次分析方法[10]。1996年，民航總局航空安全辦公室啟動“民用航空安全評估系統(tǒng)”建設(shè)，并于1998年基于“航空公司安全評估系統(tǒng)”和“民用機場安全評估系統(tǒng)”提出進一步開發(fā)“空中交通服務(wù)安全評估系統(tǒng)”的設(shè)想。“民用航空安全評估系統(tǒng)”的研發(fā)在建設(shè)民航安全管理體系方面取得了初步成效，但在災(zāi)備功能的實現(xiàn)方面未做深入考慮，無法支持空管業(yè)務(wù)的災(zāi)難影響分析等科學(xué)風(fēng)險評估的進一步需求。

因此，盡管航空發(fā)達(dá)國家早已在需求層面對空管業(yè)務(wù)的風(fēng)險評估范疇和要點進行了闡述，但在大型空管機構(gòu)的災(zāi)備方面，傳統(tǒng)的風(fēng)險評估方法無法滿足空管現(xiàn)實的運行需要，有必要引入和提出新的方法工具，加快重視空管業(yè)務(wù)領(lǐng)域災(zāi)備風(fēng)險的評估方法研究。

二、部署方式

選擇合適的災(zāi)備部署方式的對大型空管機構(gòu)的整體規(guī)劃與建設(shè)起到重要影響。由于運行模式不盡相同，各國和地區(qū)空管系統(tǒng)的容災(zāi)能力參差不齊。因此，歐洲航行安全組織推薦了6種部署方式，包括：同址式、多用式、中央式、共享式、委托式和混合式[11]。

（一）同址式。

災(zāi)備系統(tǒng)與主用系統(tǒng)同址建設(shè)，其管制應(yīng)用終端、數(shù)據(jù)處理模塊和網(wǎng)絡(luò)日?？捎?，并在進行仿真訓(xùn)練和開發(fā)升級時與主用系統(tǒng)共享硬件資源，滿足管制員應(yīng)急演練和設(shè)備維護的需要。這種災(zāi)備方式下，人員、后勤等遷移難度較小，通過使用冗余或淘汰系統(tǒng)實施“應(yīng)急凈空”可以使災(zāi)備處置相對快速和簡便，共享硬件設(shè)施也可降低設(shè)備管理等維護成本。利用軍用設(shè)備實現(xiàn)部分空管機構(gòu)的同址災(zāi)備還可以增強軍民航的協(xié)同水平。但這種災(zāi)備方式對管制員有額外培訓(xùn)要求，一般無法提供高密度或長時間管制服務(wù)，在地震、洪水等重大災(zāi)難中也無法提供應(yīng)急服務(wù)，不利于“單一天空計劃”和“功能空域區(qū)塊”等運行新概念的部署和實施。隨著時間推移和災(zāi)備能力下降，可能還需要重新劃分扇區(qū)應(yīng)對席位資源的持續(xù)喪失。

（二）多用式。

多用式災(zāi)備系統(tǒng)建立在相關(guān)高?；蚺嘤?xùn)機構(gòu)中，或在大型區(qū)管中心附近構(gòu)建國家級容災(zāi)備份中心。與同址式相似，多用式災(zāi)備系統(tǒng)也具有人員、后勤等遷移難度較小，可以使用冗余或淘汰系統(tǒng)實施“應(yīng)急凈空”任務(wù)，以及共享基礎(chǔ)設(shè)施降低設(shè)備維護成本等優(yōu)勢。但在災(zāi)難出現(xiàn)初期，這種災(zāi)備方式需要對應(yīng)急系統(tǒng)進行重新配置和相關(guān)調(diào)試，管理和協(xié)調(diào)難度較大。此外，這種方式在規(guī)劃時需要考慮兩用基礎(chǔ)設(shè)施在空管系統(tǒng)內(nèi)部的共享方案，異址建設(shè)還需考慮選址問題。

（三）中央式。

統(tǒng)一容災(zāi)備份中心覆蓋全國或多個空管單元，通過規(guī)模經(jīng)濟降低各地分散建設(shè)災(zāi)備系統(tǒng)的總體成本。中央式災(zāi)備系統(tǒng)兼顧了同址和多用式災(zāi)備系統(tǒng)的特點，如作為模擬和訓(xùn)練中心與培訓(xùn)院校、管理機構(gòu)同址建設(shè)，或與一個區(qū)域管制中心同址規(guī)劃，避免重復(fù)建設(shè)。統(tǒng)一容災(zāi)備份中心可從各管制中心招募運行和工程人員作為中心和失效管制單位的支持人員，并籍由“最小差異”原則，協(xié)調(diào)統(tǒng)一各管制中心在資源利用和培訓(xùn)方面的認(rèn)識，減少或避免程序協(xié)調(diào)以及大規(guī)模演練等問題。主要困難在于為防止全國性流行病或恐怖襲擊，中心選址比較困難；招募各管制中心員工長期留在容災(zāi)備份中心存在一定難度；中心仍然存在無法應(yīng)對的場景，如多個管制單位同時失效等。

（四）共享式。

隨著“單一天空計劃”和“功能空域區(qū)塊”運行新概念的推進實施，歐洲航行安全組織建議相鄰國家建設(shè)共享的災(zāi)備系統(tǒng)，減少各國單獨建設(shè)和維護相關(guān)設(shè)施的巨額費用。建設(shè)方案一是共同出資建設(shè)一個災(zāi)備中心，二是選擇某國設(shè)施作為所有參與國的災(zāi)備中心。共享方式下，相關(guān)協(xié)議涉及政策、管理和技術(shù)各個方面，需要獲得參與國家相關(guān)部門許可。為實現(xiàn)快速接管，參與單位的相關(guān)系統(tǒng)需要進行重構(gòu)，并涉及運行和工程人員的短期調(diào)動。反饋機制十分關(guān)鍵，災(zāi)備中心激活和失效機構(gòu)恢復(fù)后，相關(guān)信息均需告知參與各方。國家間“統(tǒng)一語言”有助于提高運行的透明度，增加安全性，尤其在應(yīng)對潛在恐怖襲擊活動方面增加決策的協(xié)同水平和減少費用支出。然而，考慮到國家主權(quán)，尤其在政治和安保方面，法規(guī)問題（如許可和認(rèn)證等）十分復(fù)雜，管制員在災(zāi)備中心的工作難度較大。參與方的運行系統(tǒng)要有較高的相似性，共享式災(zāi)備中心才能體現(xiàn)規(guī)模經(jīng)濟。但目前各國的運行模式仍有不少差異，要滿足參與各方需求的總體費用較高，分?jǐn)傎M用的方式也缺乏標(biāo)準(zhǔn)，單一災(zāi)備中心應(yīng)對參與各方變化需求的靈活度也遠(yuǎn)遠(yuǎn)不夠。

（五）委托式。

這種災(zāi)備方式是以協(xié)議形式委托鄰國承擔(dān)國內(nèi)部分管制中心失效條件下的災(zāi)備任務(wù)。委托方式下，一個或多個管制中心可以根據(jù)水平范圍劃分承擔(dān)援助任務(wù)（根據(jù)扇區(qū)、飛行情報區(qū)等），也可以為指定高度或高度層以上/以下飛行提供災(zāi)備服務(wù)。與共享方式類似，委托災(zāi)備方式可以相對低成本地最大化利用現(xiàn)有設(shè)施資源。但由于涉及國際協(xié)議，跨國商討較為復(fù)雜，受參與各方國家政策的影響較大。此外，在有季節(jié)性波動情況下，或在高密度運行期間，援助單位的系統(tǒng)容量和冗余度不足可能造成協(xié)議履行的穩(wěn)定性變差，受托方無法提供長時間的災(zāi)備保障。由此造成的互不信任將導(dǎo)致委托方式無法持續(xù)推行。

（六）混合式。

混合災(zāi)備方式是指多種災(zāi)備方式的互補應(yīng)急，如某國空管單位建立了中央式災(zāi)備中心，同時與鄰國簽訂委托協(xié)議書，并與其他使用類似軟件的國家進行共享式備份?；旌戏绞降亩鄻有栽斐蓪嶋H運行的復(fù)雜性，但可針對不同范圍和程度的安保威脅和災(zāi)害提供不同的解決方案，靈活性和適應(yīng)性較好，為安全生產(chǎn)和業(yè)務(wù)連續(xù)提供力更大應(yīng)變空間。盡管歐洲航行安全組織為了推進“單一天空計劃”和“功能空域區(qū)塊”運行新概念，更傾向于共享災(zāi)備方式，但相比單一策略，混合方式允許但不完全依賴國際合作，兼顧了各種災(zāi)備方式的優(yōu)點，為應(yīng)對多區(qū)和多樣失效場景提供了更加可靠的縱深防御手段。

綜上，6種災(zāi)備部署方式各有利弊，根據(jù)不同合作層面提供了建設(shè)災(zāi)備中心的可能路徑?？梢钥吹?，確定災(zāi)備部署方式的主要因素涉及安保和防恐形勢、現(xiàn)有設(shè)施和運行方式的相似程度、人員培訓(xùn)與調(diào)動、成本總額和分?jǐn)倶?biāo)準(zhǔn)，以及相關(guān)協(xié)議的履約難度。歐洲航行安全組織在泛歐國家間定義和推薦這些部署方式，對比我國目前初步實現(xiàn)一體化運行的空管系統(tǒng)，在標(biāo)準(zhǔn)不統(tǒng)一、成本難核算、人員素質(zhì)差異大等關(guān)鍵因素方面仍有較多相似之處。隨著單個空管單位保障飛行量的逐年提升，以及設(shè)施設(shè)備復(fù)雜程度和規(guī)模越來越大，有必要借鑒歐洲的災(zāi)備部署思路，盡早確定我國重要空管機構(gòu)的災(zāi)備方式，規(guī)劃相關(guān)災(zāi)備中心的立項建設(shè)。

三、運行維護

災(zāi)備系統(tǒng)運維對災(zāi)難發(fā)生后運維人員的快速響應(yīng)和關(guān)鍵業(yè)務(wù)的快速恢復(fù)起到更加決定性的作用。然而，隨著航班流量的急劇增加，世界范圍大型空管機構(gòu)的飛行保障壓力越來越大，災(zāi)備系統(tǒng)的運維普遍遭遇以下瓶頸。一是運維能力的科學(xué)規(guī)劃比較薄弱。相關(guān)崗位設(shè)置不合理、人員數(shù)量有限、工作任務(wù)繁重、運維質(zhì)量不高的情況無法滿足系統(tǒng)規(guī)模增加后的運維需求。二是運維人員的業(yè)務(wù)素養(yǎng)有待提高。在空管系統(tǒng)不斷更新和完善的情況下，缺乏對新業(yè)務(wù)的系統(tǒng)培訓(xùn)和運維專業(yè)知識的及時更新，高效運維就無從談起。三是運維手段落后。當(dāng)前空管系統(tǒng)的信息系統(tǒng)架構(gòu)日益復(fù)雜，運維線路逐漸延伸，涉及面更加寬泛，客戶端、服務(wù)器、機房環(huán)境、網(wǎng)絡(luò)等設(shè)施的監(jiān)控和管理手段尚未全面實現(xiàn)信息化，不能及時、高效應(yīng)對突發(fā)事件及各類災(zāi)難。各類空管系統(tǒng)的安裝、更新和調(diào)試、軟件故障恢復(fù)、信息網(wǎng)絡(luò)及信息系統(tǒng)安全防護等均對災(zāi)備系統(tǒng)的運維提出全新要求。

為了應(yīng)對這種嚴(yán)峻形勢，20世紀(jì)70年代，隨著銀行、證券、保險、醫(yī)療和政府部門對災(zāi)難備份需求的不斷增加，美國災(zāi)難備份行業(yè)得到迅猛發(fā)展。民航領(lǐng)域借鑒其他行業(yè)的既有經(jīng)驗，開始著手針對民航關(guān)鍵基礎(chǔ)設(shè)施的災(zāi)備系統(tǒng)運維研究[12]。作為階段性成果，2009年，美國聯(lián)邦航空局印發(fā)了《機場應(yīng)急規(guī)劃》[13]，對機場各類運行人員在發(fā)生航空器事故、恐怖襲擊、火災(zāi)、暴風(fēng)雨、地震、龍卷風(fēng)、火山爆發(fā)和洪水等災(zāi)難時應(yīng)提供的應(yīng)急服務(wù)進行了描述，并對各自職責(zé)和任務(wù)范圍進行了界定，以確保機場開展順利和高效的應(yīng)急保障。2012年，美國聯(lián)邦航空局印發(fā)了《空中交通技術(shù)培訓(xùn)》，對可能發(fā)生的空管事件中各類人員應(yīng)提供的應(yīng)急服務(wù)進行了總體描述[14]。2013年，美國聯(lián)邦航空局印發(fā)了《空管業(yè)務(wù)應(yīng)急規(guī)劃》，對空中交通管制系統(tǒng)指揮中心、航路管制中心、系統(tǒng)運行服務(wù)部門、洋區(qū)/終端服務(wù)部門和技術(shù)服務(wù)部門各類人員在應(yīng)急服務(wù)過程中應(yīng)扮演的角色和職責(zé)進行了分工，為維持空管業(yè)務(wù)的可持續(xù)性提供了強有力指導(dǎo)[15]。歐洲航行安全組織印發(fā)了《空中導(dǎo)航服務(wù)應(yīng)急規(guī)劃綱要》，對成員國的航行服務(wù)提供商和各國行業(yè)管理監(jiān)督機構(gòu)在應(yīng)急和風(fēng)險管理中的業(yè)務(wù)流程和職責(zé)劃分進行了詳細(xì)描述[11]。目前，歐美在空管災(zāi)備系統(tǒng)運維方面的主要舉措仍然集中在針對各類危險事件的應(yīng)急預(yù)案體系建設(shè)方面。

因此，盡管現(xiàn)代空管系統(tǒng)作為大型復(fù)雜系統(tǒng)牽涉越來越的生產(chǎn)運行環(huán)節(jié)，災(zāi)備系統(tǒng)的運維隨之達(dá)到空前規(guī)模，但在具體的運維理念、方法和手段工具方面仍然捉襟見肘。美國在應(yīng)急層面提出了相關(guān)服務(wù)的分工描述，歐洲航行安全組織在規(guī)劃層面提出了概略要求。隨著各類系統(tǒng)本身級聯(lián)程度和關(guān)聯(lián)網(wǎng)絡(luò)的進一步復(fù)雜化，災(zāi)備系統(tǒng)的運維效能將更難判斷、評估。亟需在風(fēng)險評估的基礎(chǔ)上，從成本和效能的角度，加大對于災(zāi)備系統(tǒng)運維措施的審慎考量，才能更順暢和有效地發(fā)揮災(zāi)備系統(tǒng)的建設(shè)目標(biāo)。

四、小結(jié)

本文從風(fēng)險評估、部署方式、運行維護等方面系統(tǒng)回顧了歐美大型空管機構(gòu)主要的災(zāi)備策略。盡管各個領(lǐng)域的研究進展和已有實踐均不完善，但總體上揭示出空管災(zāi)備系統(tǒng)規(guī)劃和建設(shè)的架構(gòu)思路和主要困難。民航強國，空管先行。隨著我國航空業(yè)務(wù)進一步迅猛發(fā)展，現(xiàn)有空管系統(tǒng)設(shè)施設(shè)備的許多方面已經(jīng)瀕臨效能極限，加快著手災(zāi)備系統(tǒng)的整體規(guī)劃和建設(shè)成為當(dāng)務(wù)之急。此文僅為相關(guān)研究的主要線索，可以為相關(guān)工作的開展提供借鑒。

參考文獻：

[1] 石榮.空中交通管理風(fēng)險分析系統(tǒng)[D].中國民航大學(xué)，2007.

[2] 張旭婧.空管系統(tǒng)安全評價方法及其應(yīng)用研究[D]. 南京航空航天大學(xué)，2009.

[3] H.H. de Jong. Guidelines for the Identification of Hazards[R]. Netherlands： NLR Air Transport Safety Institute， NLR-CR-2004-094， 2004.

[4] SH Stroeve， HAP Blom， HHD Jong. Comparison of Accident Risk Assessment by Event Sequence Analysis Versus Monte Carlo Simulation[C]. Southampton， UK： Eurocontrol Safety R&D Seminar，2008.

[5] 朱艷蕓.空管系統(tǒng)安全風(fēng)險分析方法研究[D].天津：中國民航大學(xué)，2008.

[6] 李小鵬. 風(fēng)險管理方法在空管設(shè)備保障工作中的運用[J]. 民航科技，2005 （4）：1-3.

[7] 丁松濱，石榮.空中交通管制人員風(fēng)險評價的證據(jù)理論模型[J].系統(tǒng)仿真學(xué)報，2007，19（15）：3368-3371.

[8] 曾敬，林靈，閆克斌. 基于通用航空的空中交通管制壓力和風(fēng)險評估方法的探討[J]. 中國民航飛行學(xué)院學(xué)報，2011，22 （5）：14-18.

[9] 文興忠.基于灰色多層次的空中交通管理安全風(fēng)險評價[J].科技導(dǎo)報，2011，29 （32）：47-51.

[10] 高揚，牟德一. 航空安全評估中的層次分析法[J]. 中國安全科學(xué)學(xué)報，2000，10 （3）：39-41.

[11] EUROCONTROL. EUROCONTROL Guidelines for Contingency Planning of Air Navigation Services （including Service Continuity）. EUROCONTROL-GUID-0118.（2009-04-06）. http：//www.eurocontrol.int/sites/default/files/article/content/documents/nm/safety/safety-guidelines-contingency-planning-ans-2009.pdf

[12] 曲曉麗.金融系統(tǒng)災(zāi)難備份技術(shù)研究與部署[D].青島：中國海洋大學(xué)，2007.

[13] FAA.AIRPORT EMERGENCY PLAN[S]. Washington DC： FAA， AC 150/5200-31C， 2010.

[14] FAA. Air Traffic Technical Training[S]. Washington DC： FAA， FAA Order JO 3120.4N， 2013.

[15] FAA. Air Traffic Organization Operational Contingency Plan[S]. Washington DC： FAA， FAA Order JO1900.47C， 2009.

作者簡介：

1.徐俊明（1963年5月），男，漢族，籍貫上海?，F(xiàn)就職于民航華東空管局，職務(wù)局長助理，職稱經(jīng)濟師。本科學(xué)位，主要研究空中交通管理領(lǐng)域的地區(qū)政策、規(guī)劃管理與應(yīng)用技術(shù)。

2.張晨（1980年3月），男，漢族，籍貫江蘇省武進市。現(xiàn)就職于民航華東空管局戰(zhàn)略發(fā)展部，職務(wù)三級行政助理，職稱工程師。博士學(xué)位，主要研究空中交通管理領(lǐng)域的地區(qū)政策、規(guī)劃管理與應(yīng)用技術(shù)。