徐吉輝，王曉琳，王 瑛，章 磊，陳玉金

（空軍工程大學(xué)裝備管理與無(wú)人機(jī)工程學(xué)院，西安 710051）

0 引言

安全是航空業(yè)永恒的主題，航空活動(dòng)往往伴隨著高風(fēng)險(xiǎn)、高隱患、事故后果嚴(yán)重等特點(diǎn)，為有效緩解與控制安全風(fēng)險(xiǎn)，航空風(fēng)險(xiǎn)分析工作備受關(guān)注［1-3］。

近年來(lái)，針對(duì)航空風(fēng)險(xiǎn)分析進(jìn)行了廣泛的研究，王永剛［4］等在事故樹(shù)分析法（FTA）的基礎(chǔ)上結(jié)合貝葉斯網(wǎng)絡(luò)（BN）建立風(fēng)險(xiǎn)模型；Cui［5］在安全性指標(biāo)的基礎(chǔ)上，提出一種基于不確定性的安全性功能函數(shù)，結(jié)合Bow-tie 模型進(jìn)行給定嚴(yán)酷度條件下的風(fēng)險(xiǎn)評(píng)估；李巖［6］等提出一種基于Kriging 和蒙特卡羅半徑外重要抽樣混合的結(jié)構(gòu)概率風(fēng)險(xiǎn)評(píng)估方法；施志堅(jiān)［7］等引入多元聯(lián)系數(shù)集對(duì)分析理論進(jìn)行航空維修風(fēng)險(xiǎn)態(tài)勢(shì)評(píng)估。相較于其他安全風(fēng)險(xiǎn)分析方法，Bow-tie 分析是一種能夠全面整合定性與定量信息、聯(lián)系事因和后果的系統(tǒng)性風(fēng)險(xiǎn)分析方法。目前關(guān)于航空風(fēng)險(xiǎn)的Bow-tie 分析應(yīng)用主要集中于定性分析。孫殿閣等［8］利用Bow-tie 模型對(duì)民用機(jī)場(chǎng)的日常運(yùn)行安全風(fēng)險(xiǎn)進(jìn)行了分析；高揚(yáng)［9］等在Bow-tie 模型量化中引入結(jié)構(gòu)重要度，識(shí)別需要重點(diǎn)控制的基本事件。

然而，實(shí)際航空活動(dòng)中存在的大量認(rèn)知不確定會(huì)導(dǎo)致理論分析與實(shí)踐結(jié)果存在明顯差異，解決不確定條件下的航空風(fēng)險(xiǎn)評(píng)估定量化分析不足越來(lái)越成為研究的重點(diǎn)與難點(diǎn)。按照不確定性的來(lái)源及其對(duì)不確定性認(rèn)知水平的不同，不確定性分為隨機(jī)不確定性（Aleatory uncertainty） 和認(rèn)知不確定性（Epistemic uncertainty）兩大類，隨機(jī)不確定性為系統(tǒng)固有屬性，難以處理或消除［10-11］。針對(duì)認(rèn)知不確定性，模糊理論、證據(jù)理論、云模型等都是有效的解決手段。Faisal 等［12］利用模糊理論解決Bow-tie 分析中的不確定性，從而實(shí)現(xiàn)對(duì)風(fēng)險(xiǎn)的定量評(píng)價(jià)；Refaul 等［13］提出了基于證據(jù)理論的Bow-tie 分析方法，比較而言，證據(jù)理論對(duì)認(rèn)知不確定性的處理更具優(yōu)勢(shì)，能夠直接表達(dá)“不確定”的信息和“不知道”的信息。

因此，為充分利用專家信息，解決Bow-tie 模型對(duì)航空風(fēng)險(xiǎn)進(jìn)行評(píng)估過(guò)程中存在大量認(rèn)知不確定性的問(wèn)題，本文考慮引入D-S 證據(jù)理論，一方面有效處理了Bow-tie 分析中數(shù)據(jù)及模型不確定性，另一方面通過(guò)靈敏度分析，得到危害度較大的關(guān)鍵事件，最后，結(jié)合某型航空器輪胎爆破事故進(jìn)行實(shí)例分析，驗(yàn)證了本文方法的有效性。

1 Bow-tie 方法

Bow-tie 分析法（Bow-tie Analysis）是由事故樹(shù)分析（FTA）和事件樹(shù)分析（ETA）通過(guò)頂事件結(jié)合產(chǎn)生的，能夠直觀地顯示出潛在危險(xiǎn)源與后果事件的內(nèi)在聯(lián)系，主要用于識(shí)別危險(xiǎn)源、評(píng)估及控制風(fēng)險(xiǎn)等［14］。

圖1 所示為Bow-tie 模型的結(jié)構(gòu)示意圖，包括基本事件（BE）、中間事件（IE）、邏輯門、頂事件（CE）、控制事件（E）和結(jié)果事件（OE）等元素。其中，基本事件為可能導(dǎo)致事故發(fā)生的危險(xiǎn)源，頂事件為事故本身，控制事件為緩解和補(bǔ)救措施，結(jié)果事件則為事故可能會(huì)造成的一系列后果［15-16］。

圖1 Bow-tie 模型示意圖

在進(jìn)行Bow-tie 模型定量化分析時(shí)，以基本事件和控制事件的發(fā)生概率作為輸入變量，通過(guò)相應(yīng)路徑的邏輯運(yùn)算計(jì)算得到輸出變量，即頂事件的發(fā)生概率以及結(jié)果事件的發(fā)生概率。由于確定的輸出事件能夠限定其嚴(yán)重程度，因此，可以用該事件發(fā)生的可能性描述其風(fēng)險(xiǎn)水平，進(jìn)一步地，表示評(píng)價(jià)對(duì)象或活動(dòng)的安全性。

2 證據(jù)理論

D-S 證據(jù)理論是Dempster 和Shafer 提出的描述認(rèn)知不確定性的重要理論，利用上下概率（即信任函數(shù)與似然函數(shù)）代替精確概率值來(lái)描述研究變量的不確定性［17-19］。

信任函數(shù)與似真函數(shù)構(gòu)成的信度區(qū)間［Bel（A），Pl（A）］用于描述變量發(fā)生可能性的取值范圍。當(dāng)存在多個(gè)證據(jù)時(shí)，就需要進(jìn)行證據(jù)合成計(jì)算，Sentz 總結(jié)了證據(jù)理論合并規(guī)則，并指出Dempster 合成規(guī)則是最為應(yīng)用廣泛規(guī)則［17］：

設(shè)m1，m2為可獲取的獨(dú)立證據(jù)，則

3 基于證據(jù)理論的Bow-tie 分析流程

3.1 構(gòu)造基于證據(jù)理論的Bow-tie 模型

Bow-tie 模型定量化分析過(guò)程中存在大量的不確定問(wèn)題，如由于樣本量不足或數(shù)據(jù)缺失所導(dǎo)致的數(shù)據(jù)不確定性問(wèn)題，或由于同一類元素之間相互依賴影響在模型中無(wú)法體現(xiàn)所導(dǎo)致的模型不確定性問(wèn)題。本文利用D-S 證據(jù)理論來(lái)解決此類不確定問(wèn)題，具體的模型構(gòu)造及證據(jù)理論的應(yīng)用如圖2 所示。

圖2 引入證據(jù)理論的Bow-tie 模型分析流程

3.2 建立辨識(shí)框架

Bow-tie 分析中，不確定信息主要來(lái)源于基本事件BE、控制事件E 及節(jié)點(diǎn)依賴系數(shù)，利用D-S 證據(jù)理論處理事件及節(jié)點(diǎn)依賴程度的不確定性時(shí)，首先要針對(duì)不確定參數(shù)建立辨識(shí)框架，在此基礎(chǔ)上收集專家證據(jù)。

1）對(duì)事件變量（BE 和E 發(fā)生概率P）進(jìn)行的證據(jù)描述主要針對(duì)的是數(shù)據(jù)不確定性問(wèn)題。一般而言，在Bow-tie 模型中，基本事件的狀態(tài)對(duì)應(yīng)“發(fā)生”或“不發(fā)生”，控制事件則具有“成功”或“失敗”雙重分支，因此，事件辨識(shí)框架可以定義為Θ{S，F(xiàn)}，對(duì)應(yīng)冪集P 為{Φ，{S}，{F}，{S，F(xiàn)}}。

2）對(duì)節(jié)點(diǎn)變量（依賴系數(shù)Cd）進(jìn)行證據(jù)描述主要針對(duì)的是模型不確定性問(wèn)題。Refaul［13］認(rèn)為節(jié)點(diǎn)所連接的事件之間存在相互影響，提出了依賴系數(shù)描述這種影響程度的大小?；诖?，本文結(jié)合相關(guān)度9 級(jí)評(píng)語(yǔ)，論域由1～9 分別為非常低、很低、低、較低、中等、較高、高、很高、非常高，將節(jié)點(diǎn)依賴系數(shù)的辨識(shí)框架定義為Θ{1，2，3，4，5，6，7，8，9}。

3.3 確定基本概率賦值

假定專家意見(jiàn)相互獨(dú)立，依據(jù)相應(yīng)的辨識(shí)框架，通過(guò)德?tīng)柗品ǐ@取專家評(píng)語(yǔ)，根據(jù)經(jīng)驗(yàn)對(duì)Bow-tie 分析中涉及的輸入變量的各種情況作出判斷，其判斷結(jié)果用概率表示，即為冪集P 中情況的基本概率賦值。對(duì)于事件變量而言，冪集P{Φ，{S}，{F}，{S，F(xiàn)}}為全部假設(shè)；對(duì)于節(jié)點(diǎn)變量而言，全部假設(shè)為{{1}，{2}，{3}，{4}，{5}，{6}，{7}，{8}，{9}，{Θ}}?；靖怕寿x值（BPA，Basic Probability Assignment）表示專家對(duì)某一假設(shè)發(fā)生的信任程度，也可以認(rèn)為是證據(jù)對(duì)該假設(shè)下輸入變量發(fā)生可能性的支持度。

3.4 合成專家證據(jù)

對(duì)于兩個(gè)或多個(gè)專家提供的證據(jù)，通常需要利用合成規(guī)則，計(jì)算出一個(gè)mass 函數(shù)。通常采用Dempster 合成規(guī)則，但當(dāng)證據(jù)存在高度沖突時(shí)，Dempster 合成規(guī)則得到的組合結(jié)果可能存在悖論，本文引進(jìn)Yager 合成規(guī)則計(jì)算存在融合悖論時(shí)的組合mass 函數(shù)：

3.5 計(jì)算輸入變量的信度區(qū)間

在合成得到mass 函數(shù)后，需要依據(jù)事件及節(jié)點(diǎn)依賴系數(shù)，計(jì)算相應(yīng)的信度區(qū)間。信度區(qū)間表示對(duì)某一假設(shè)的支持力度，區(qū)間下限為信任函數(shù)Bel（A），區(qū)間上限為似真函數(shù)Pl（A）。

1）事件變量信度區(qū)間的計(jì)算主要是依據(jù)定義法，根據(jù)式（1）計(jì)算得到。對(duì)于基本事件BE 關(guān)注其發(fā)生故障（S 假設(shè)）的信度區(qū)間，對(duì)于控制事件則關(guān)注其措施失效（F 假設(shè)）的信度區(qū)間。

2）對(duì)于節(jié)點(diǎn)變量信度區(qū)間的計(jì)算，一方面與節(jié)點(diǎn)變量本身的專家證據(jù)有關(guān)，另一方面與假設(shè)情況的固有取值區(qū)間有關(guān)，其計(jì)算公式如下：

3.6 計(jì)算輸出變量的信度區(qū)間

在FTA 中，以基本事件發(fā)生概率和節(jié)點(diǎn)依賴系數(shù)的信度空間為基礎(chǔ)輸入變量，結(jié)合不同的邏輯門算法傳導(dǎo)至頂事件；在ETA 中，以控制事件概率和節(jié)點(diǎn)依賴系數(shù)的信度空間為基礎(chǔ)輸入變量，按照生效或失效路徑傳導(dǎo)至結(jié)果事件。表1 所示為計(jì)算頂事件和結(jié)果事件的發(fā)生概率的信度區(qū)間的公式。

圖3 依賴程度評(píng)語(yǔ)等級(jí)的上下限

表1 輸出變量發(fā)生概率信度區(qū)間的計(jì)算公式

3.7 確定精確取值

計(jì)算得到輸出變量的信度區(qū)間后，需要進(jìn)一步精確化處理，得到描述其發(fā)生可能性大小的取值，直觀地表示出輸出事件的風(fēng)險(xiǎn)水平，其估算公式如下：

其中，N（Pi）為假設(shè)Pi中所包含的元素個(gè)數(shù)。

3.8 靈敏度分析

對(duì)Bow-tie 模型進(jìn)行靈敏度分析的主要作用是可以評(píng)估各基本事件對(duì)頂事件的影響程度差異，查找導(dǎo)致事故發(fā)生的基本事件中的系統(tǒng)薄弱環(huán)節(jié)，從而制定針對(duì)性的安全水平提升措施。

首先，分別計(jì)算基本事件對(duì)不同后果事件的Birnbaum 重要度：

根據(jù)重要度數(shù)值對(duì)輸入事件進(jìn)行排序，對(duì)不同后果事件得到的重要度排序進(jìn)行綜合排序，從而更加合理地識(shí)別得到重要度大的輸入事件即為需要關(guān)鍵事件。

4 案例分析

輪胎是航空器起落系統(tǒng)中的重要部件，對(duì)于飛機(jī)正常起降活動(dòng)產(chǎn)生至關(guān)重要的作用，一旦故障可能會(huì)導(dǎo)致嚴(yán)重的后果。本文以某型航空器輪胎爆破事故為例，分析導(dǎo)致事故發(fā)生的原因及其后果事件，并對(duì)故障實(shí)施控制措施，具體分析過(guò)程如下。

4.1 構(gòu)建輪胎爆破事故的Bow-tie 模型

對(duì)輪胎爆破事故進(jìn)行Bow-tie 分析要以模型為基礎(chǔ)，因此，通過(guò)識(shí)別事件元素、節(jié)點(diǎn)元素，分析事故原因及發(fā)展路徑，構(gòu)建事故Bow-tie 模型如下頁(yè)圖4 所示，底層故障模式為基本事件，頂事件CE 為輪胎爆破，控制事件E1為啟動(dòng)應(yīng)急剎車系統(tǒng)、E2為避讓飛機(jī)及建筑物、E3為增設(shè)隔離網(wǎng)、E4為啟動(dòng)應(yīng)急消防措施，結(jié)果事件OE1為停留在跑道、OE2為機(jī)體輕度損傷、OE3為機(jī)體嚴(yán)重?fù)p傷、OE4為飛機(jī)起火且人員傷亡，N-1 至N-15 為節(jié)點(diǎn)。

圖4 輪胎爆破事故的Bow-tie 模型

4.2 計(jì)算輸入變量發(fā)生概率的信度區(qū)間

由兩位相互獨(dú)立的專家分別對(duì)輸入變量提供證據(jù)，節(jié)點(diǎn)依賴系數(shù)的證據(jù)見(jiàn)表2，基本事件和控制事件的發(fā)生概率的證據(jù)見(jiàn)下頁(yè)表3，根據(jù)Dempster合成規(guī)則進(jìn)行計(jì)算，表4 為輸入變量經(jīng)過(guò)證據(jù)合成后的結(jié)果。

4.3 計(jì)算輸出變量發(fā)生概率的精確描述值

根據(jù)輸入變量合成后的信度區(qū)間，根據(jù)表1 中給出的公式計(jì)算輸出變量發(fā)生概率的信度區(qū)間，結(jié)果見(jiàn)表5。

對(duì)輸出變量的信度區(qū)間進(jìn)行解模糊化處理，得到相對(duì)精確的描述值：

表2 輸入節(jié)點(diǎn)變量的專家證據(jù)

表3 輸入事件變量的專家證據(jù)

4.4 靈敏度分析

分別以O(shè)E1、OE2、OE3和OE4為輸出變量，計(jì)算輸入事件的重要度，具體排序結(jié)果及綜合重要度見(jiàn)下頁(yè)表6。

根據(jù)表6 中計(jì)算結(jié)果可知，對(duì)于不同的后果事件所需要重點(diǎn)關(guān)注的基本事件略有差異，通過(guò)加權(quán)平均后得到的綜合重要度在一定程度上能夠代表基本事件的排序。因此，本例中得到，需要在工作過(guò)程中重點(diǎn)關(guān)注的基本事件為BE1、BE4、BE6，在工程實(shí)踐中應(yīng)采取相應(yīng)的措施對(duì)其所對(duì)應(yīng)的危險(xiǎn)源進(jìn)行控制。

5 結(jié)論

本文利用證據(jù)理論處理航空風(fēng)險(xiǎn)Bow-tie 分析中的認(rèn)知不確定問(wèn)題，一方面Bow-tie 分析圖能夠清晰表示事故的原因與后果，另一方面定量化分析又能有效地計(jì)算事故及其引起的后果發(fā)生的可能性，具有較強(qiáng)的實(shí)際應(yīng)用價(jià)值。

表4 證據(jù)合成后輸入變量的信度區(qū)間

表5 輸出變量發(fā)生概率的信度區(qū)間

1）引入證據(jù)理論的Bow-tie 分析能夠有效解決當(dāng)前航空風(fēng)險(xiǎn)評(píng)估工作中量化難、專家信息利用率不高的問(wèn)題。

表6 靈敏度分析結(jié)果

2）專家經(jīng)驗(yàn)解決了量化過(guò)程中由于數(shù)據(jù)缺失所導(dǎo)致的數(shù)據(jù)不確定性問(wèn)題，節(jié)點(diǎn)依賴系數(shù)的引入則解決了模型變量間影響的不確定問(wèn)題。

3）通過(guò)基于Birnbaum 重要度的靈敏度分析，確定了實(shí)際工程中需要重點(diǎn)關(guān)注的關(guān)鍵事件。

4）通過(guò)輪胎爆破事故實(shí)例，驗(yàn)證了本文方法的可行性，同時(shí)，靈敏度分析得到對(duì)后果事件影響較大的事故原因，為安全性指標(biāo)的預(yù)計(jì)與分配、預(yù)防措施和控制措施的制定提供了決策依據(jù)。