基于證據(jù)理論的Bow-tie 航空風(fēng)險(xiǎn)評估方法及應(yīng)用*

徐吉輝，王曉琳，王 瑛，章 磊，陳玉金

（空軍工程大學(xué)裝備管理與無人機(jī)工程學(xué)院，西安 710051）

0 引言

安全是航空業(yè)永恒的主題，航空活動往往伴隨著高風(fēng)險(xiǎn)、高隱患、事故后果嚴(yán)重等特點(diǎn)，為有效緩解與控制安全風(fēng)險(xiǎn)，航空風(fēng)險(xiǎn)分析工作備受關(guān)注［1-3］。

近年來，針對航空風(fēng)險(xiǎn)分析進(jìn)行了廣泛的研究，王永剛［4］等在事故樹分析法（FTA）的基礎(chǔ)上結(jié)合貝葉斯網(wǎng)絡(luò)（BN）建立風(fēng)險(xiǎn)模型；Cui［5］在安全性指標(biāo)的基礎(chǔ)上，提出一種基于不確定性的安全性功能函數(shù)，結(jié)合Bow-tie 模型進(jìn)行給定嚴(yán)酷度條件下的風(fēng)險(xiǎn)評估；李巖［6］等提出一種基于Kriging 和蒙特卡羅半徑外重要抽樣混合的結(jié)構(gòu)概率風(fēng)險(xiǎn)評估方法；施志堅(jiān)［7］等引入多元聯(lián)系數(shù)集對分析理論進(jìn)行航空維修風(fēng)險(xiǎn)態(tài)勢評估。相較于其他安全風(fēng)險(xiǎn)分析方法，Bow-tie 分析是一種能夠全面整合定性與定量信息、聯(lián)系事因和后果的系統(tǒng)性風(fēng)險(xiǎn)分析方法。目前關(guān)于航空風(fēng)險(xiǎn)的Bow-tie 分析應(yīng)用主要集中于定性分析。孫殿閣等［8］利用Bow-tie 模型對民用機(jī)場的日常運(yùn)行安全風(fēng)險(xiǎn)進(jìn)行了分析；高揚(yáng)［9］等在Bow-tie 模型量化中引入結(jié)構(gòu)重要度，識別需要重點(diǎn)控制的基本事件。

然而，實(shí)際航空活動中存在的大量認(rèn)知不確定會導(dǎo)致理論分析與實(shí)踐結(jié)果存在明顯差異，解決不確定條件下的航空風(fēng)險(xiǎn)評估定量化分析不足越來越成為研究的重點(diǎn)與難點(diǎn)。按照不確定性的來源及其對不確定性認(rèn)知水平的不同，不確定性分為隨機(jī)不確定性（Aleatory uncertainty） 和認(rèn)知不確定性（Epistemic uncertainty）兩大類，隨機(jī)不確定性為系統(tǒng)固有屬性，難以處理或消除［10-11］。針對認(rèn)知不確定性，模糊理論、證據(jù)理論、云模型等都是有效的解決手段。Faisal 等［12］利用模糊理論解決Bow-tie 分析中的不確定性，從而實(shí)現(xiàn)對風(fēng)險(xiǎn)的定量評價(jià)；Refaul 等［13］提出了基于證據(jù)理論的Bow-tie 分析方法，比較而言，證據(jù)理論對認(rèn)知不確定性的處理更具優(yōu)勢，能夠直接表達(dá)“不確定”的信息和“不知道”的信息。

因此，為充分利用專家信息，解決Bow-tie 模型對航空風(fēng)險(xiǎn)進(jìn)行評估過程中存在大量認(rèn)知不確定性的問題，本文考慮引入D-S 證據(jù)理論，一方面有效處理了Bow-tie 分析中數(shù)據(jù)及模型不確定性，另一方面通過靈敏度分析，得到危害度較大的關(guān)鍵事件，最后，結(jié)合某型航空器輪胎爆破事故進(jìn)行實(shí)例分析，驗(yàn)證了本文方法的有效性。

1 Bow-tie 方法

Bow-tie 分析法（Bow-tie Analysis）是由事故樹分析（FTA）和事件樹分析（ETA）通過頂事件結(jié)合產(chǎn)生的，能夠直觀地顯示出潛在危險(xiǎn)源與后果事件的內(nèi)在聯(lián)系，主要用于識別危險(xiǎn)源、評估及控制風(fēng)險(xiǎn)等［14］。

圖1 所示為Bow-tie 模型的結(jié)構(gòu)示意圖，包括基本事件（BE）、中間事件（IE）、邏輯門、頂事件（CE）、控制事件（E）和結(jié)果事件（OE）等元素。其中，基本事件為可能導(dǎo)致事故發(fā)生的危險(xiǎn)源，頂事件為事故本身，控制事件為緩解和補(bǔ)救措施，結(jié)果事件則為事故可能會造成的一系列后果［15-16］。

圖1 Bow-tie 模型示意圖

在進(jìn)行Bow-tie 模型定量化分析時，以基本事件和控制事件的發(fā)生概率作為輸入變量，通過相應(yīng)路徑的邏輯運(yùn)算計(jì)算得到輸出變量，即頂事件的發(fā)生概率以及結(jié)果事件的發(fā)生概率。由于確定的輸出事件能夠限定其嚴(yán)重程度，因此，可以用該事件發(fā)生的可能性描述其風(fēng)險(xiǎn)水平，進(jìn)一步地，表示評價(jià)對象或活動的安全性。

2 證據(jù)理論

D-S 證據(jù)理論是Dempster 和Shafer 提出的描述認(rèn)知不確定性的重要理論，利用上下概率（即信任函數(shù)與似然函數(shù)）代替精確概率值來描述研究變量的不確定性［17-19］。

信任函數(shù)與似真函數(shù)構(gòu)成的信度區(qū)間［Bel（A），Pl（A）］用于描述變量發(fā)生可能性的取值范圍。當(dāng)存在多個證據(jù)時，就需要進(jìn)行證據(jù)合成計(jì)算，Sentz 總結(jié)了證據(jù)理論合并規(guī)則，并指出Dempster 合成規(guī)則是最為應(yīng)用廣泛規(guī)則［17］：

設(shè)m1，m2為可獲取的獨(dú)立證據(jù)，則

3 基于證據(jù)理論的Bow-tie 分析流程

3.1 構(gòu)造基于證據(jù)理論的Bow-tie 模型

Bow-tie 模型定量化分析過程中存在大量的不確定問題，如由于樣本量不足或數(shù)據(jù)缺失所導(dǎo)致的數(shù)據(jù)不確定性問題，或由于同一類元素之間相互依賴影響在模型中無法體現(xiàn)所導(dǎo)致的模型不確定性問題。本文利用D-S 證據(jù)理論來解決此類不確定問題，具體的模型構(gòu)造及證據(jù)理論的應(yīng)用如圖2 所示。

圖2 引入證據(jù)理論的Bow-tie 模型分析流程

3.2 建立辨識框架

Bow-tie 分析中，不確定信息主要來源于基本事件BE、控制事件E 及節(jié)點(diǎn)依賴系數(shù)，利用D-S 證據(jù)理論處理事件及節(jié)點(diǎn)依賴程度的不確定性時，首先要針對不確定參數(shù)建立辨識框架，在此基礎(chǔ)上收集專家證據(jù)。

1）對事件變量（BE 和E 發(fā)生概率P）進(jìn)行的證據(jù)描述主要針對的是數(shù)據(jù)不確定性問題。一般而言，在Bow-tie 模型中，基本事件的狀態(tài)對應(yīng)“發(fā)生”或“不發(fā)生”，控制事件則具有“成功”或“失敗”雙重分支，因此，事件辨識框架可以定義為Θ{S，F(xiàn)}，對應(yīng)冪集P 為{Φ，{S}，{F}，{S，F(xiàn)}}。

2）對節(jié)點(diǎn)變量（依賴系數(shù)Cd）進(jìn)行證據(jù)描述主要針對的是模型不確定性問題。Refaul［13］認(rèn)為節(jié)點(diǎn)所連接的事件之間存在相互影響，提出了依賴系數(shù)描述這種影響程度的大小?；诖?，本文結(jié)合相關(guān)度9 級評語，論域由1～9 分別為非常低、很低、低、較低、中等、較高、高、很高、非常高，將節(jié)點(diǎn)依賴系數(shù)的辨識框架定義為Θ{1，2，3，4，5，6，7，8，9}。

3.3 確定基本概率賦值

假定專家意見相互獨(dú)立，依據(jù)相應(yīng)的辨識框架，通過德爾菲法獲取專家評語，根據(jù)經(jīng)驗(yàn)對Bow-tie 分析中涉及的輸入變量的各種情況作出判斷，其判斷結(jié)果用概率表示，即為冪集P 中情況的基本概率賦值。對于事件變量而言，冪集P{Φ，{S}，{F}，{S，F(xiàn)}}為全部假設(shè)；對于節(jié)點(diǎn)變量而言，全部假設(shè)為{{1}，{2}，{3}，{4}，{5}，{6}，{7}，{8}，{9}，{Θ}}?；靖怕寿x值（BPA，Basic Probability Assignment）表示專家對某一假設(shè)發(fā)生的信任程度，也可以認(rèn)為是證據(jù)對該假設(shè)下輸入變量發(fā)生可能性的支持度。

3.4 合成專家證據(jù)

對于兩個或多個專家提供的證據(jù)，通常需要利用合成規(guī)則，計(jì)算出一個mass 函數(shù)。通常采用Dempster 合成規(guī)則，但當(dāng)證據(jù)存在高度沖突時，Dempster 合成規(guī)則得到的組合結(jié)果可能存在悖論，本文引進(jìn)Yager 合成規(guī)則計(jì)算存在融合悖論時的組合mass 函數(shù)：

3.5 計(jì)算輸入變量的信度區(qū)間

在合成得到mass 函數(shù)后，需要依據(jù)事件及節(jié)點(diǎn)依賴系數(shù)，計(jì)算相應(yīng)的信度區(qū)間。信度區(qū)間表示對某一假設(shè)的支持力度，區(qū)間下限為信任函數(shù)Bel（A），區(qū)間上限為似真函數(shù)Pl（A）。

1）事件變量信度區(qū)間的計(jì)算主要是依據(jù)定義法，根據(jù)式（1）計(jì)算得到。對于基本事件BE 關(guān)注其發(fā)生故障（S 假設(shè)）的信度區(qū)間，對于控制事件則關(guān)注其措施失效（F 假設(shè)）的信度區(qū)間。

2）對于節(jié)點(diǎn)變量信度區(qū)間的計(jì)算，一方面與節(jié)點(diǎn)變量本身的專家證據(jù)有關(guān)，另一方面與假設(shè)情況的固有取值區(qū)間有關(guān)，其計(jì)算公式如下：

3.6 計(jì)算輸出變量的信度區(qū)間

在FTA 中，以基本事件發(fā)生概率和節(jié)點(diǎn)依賴系數(shù)的信度空間為基礎(chǔ)輸入變量，結(jié)合不同的邏輯門算法傳導(dǎo)至頂事件；在ETA 中，以控制事件概率和節(jié)點(diǎn)依賴系數(shù)的信度空間為基礎(chǔ)輸入變量，按照生效或失效路徑傳導(dǎo)至結(jié)果事件。表1 所示為計(jì)算頂事件和結(jié)果事件的發(fā)生概率的信度區(qū)間的公式。

圖3 依賴程度評語等級的上下限

表1 輸出變量發(fā)生概率信度區(qū)間的計(jì)算公式

3.7 確定精確取值

計(jì)算得到輸出變量的信度區(qū)間后，需要進(jìn)一步精確化處理，得到描述其發(fā)生可能性大小的取值，直觀地表示出輸出事件的風(fēng)險(xiǎn)水平，其估算公式如下：

其中，N（Pi）為假設(shè)Pi中所包含的元素個數(shù)。

3.8 靈敏度分析

對Bow-tie 模型進(jìn)行靈敏度分析的主要作用是可以評估各基本事件對頂事件的影響程度差異，查找導(dǎo)致事故發(fā)生的基本事件中的系統(tǒng)薄弱環(huán)節(jié)，從而制定針對性的安全水平提升措施。

首先，分別計(jì)算基本事件對不同后果事件的Birnbaum 重要度：

根據(jù)重要度數(shù)值對輸入事件進(jìn)行排序，對不同后果事件得到的重要度排序進(jìn)行綜合排序，從而更加合理地識別得到重要度大的輸入事件即為需要關(guān)鍵事件。

4 案例分析

輪胎是航空器起落系統(tǒng)中的重要部件，對于飛機(jī)正常起降活動產(chǎn)生至關(guān)重要的作用，一旦故障可能會導(dǎo)致嚴(yán)重的后果。本文以某型航空器輪胎爆破事故為例，分析導(dǎo)致事故發(fā)生的原因及其后果事件，并對故障實(shí)施控制措施，具體分析過程如下。

4.1 構(gòu)建輪胎爆破事故的Bow-tie 模型

對輪胎爆破事故進(jìn)行Bow-tie 分析要以模型為基礎(chǔ)，因此，通過識別事件元素、節(jié)點(diǎn)元素，分析事故原因及發(fā)展路徑，構(gòu)建事故Bow-tie 模型如下頁圖4 所示，底層故障模式為基本事件，頂事件CE 為輪胎爆破，控制事件E1為啟動應(yīng)急剎車系統(tǒng)、E2為避讓飛機(jī)及建筑物、E3為增設(shè)隔離網(wǎng)、E4為啟動應(yīng)急消防措施，結(jié)果事件OE1為停留在跑道、OE2為機(jī)體輕度損傷、OE3為機(jī)體嚴(yán)重?fù)p傷、OE4為飛機(jī)起火且人員傷亡，N-1 至N-15 為節(jié)點(diǎn)。

圖4 輪胎爆破事故的Bow-tie 模型

4.2 計(jì)算輸入變量發(fā)生概率的信度區(qū)間

由兩位相互獨(dú)立的專家分別對輸入變量提供證據(jù)，節(jié)點(diǎn)依賴系數(shù)的證據(jù)見表2，基本事件和控制事件的發(fā)生概率的證據(jù)見下頁表3，根據(jù)Dempster合成規(guī)則進(jìn)行計(jì)算，表4 為輸入變量經(jīng)過證據(jù)合成后的結(jié)果。

4.3 計(jì)算輸出變量發(fā)生概率的精確描述值

根據(jù)輸入變量合成后的信度區(qū)間，根據(jù)表1 中給出的公式計(jì)算輸出變量發(fā)生概率的信度區(qū)間，結(jié)果見表5。

對輸出變量的信度區(qū)間進(jìn)行解模糊化處理，得到相對精確的描述值：

表2 輸入節(jié)點(diǎn)變量的專家證據(jù)

表3 輸入事件變量的專家證據(jù)

4.4 靈敏度分析

分別以O(shè)E1、OE2、OE3和OE4為輸出變量，計(jì)算輸入事件的重要度，具體排序結(jié)果及綜合重要度見下頁表6。

根據(jù)表6 中計(jì)算結(jié)果可知，對于不同的后果事件所需要重點(diǎn)關(guān)注的基本事件略有差異，通過加權(quán)平均后得到的綜合重要度在一定程度上能夠代表基本事件的排序。因此，本例中得到，需要在工作過程中重點(diǎn)關(guān)注的基本事件為BE1、BE4、BE6，在工程實(shí)踐中應(yīng)采取相應(yīng)的措施對其所對應(yīng)的危險(xiǎn)源進(jìn)行控制。

5 結(jié)論

本文利用證據(jù)理論處理航空風(fēng)險(xiǎn)Bow-tie 分析中的認(rèn)知不確定問題，一方面Bow-tie 分析圖能夠清晰表示事故的原因與后果，另一方面定量化分析又能有效地計(jì)算事故及其引起的后果發(fā)生的可能性，具有較強(qiáng)的實(shí)際應(yīng)用價(jià)值。

表4 證據(jù)合成后輸入變量的信度區(qū)間

表5 輸出變量發(fā)生概率的信度區(qū)間

1）引入證據(jù)理論的Bow-tie 分析能夠有效解決當(dāng)前航空風(fēng)險(xiǎn)評估工作中量化難、專家信息利用率不高的問題。

表6 靈敏度分析結(jié)果

2）專家經(jīng)驗(yàn)解決了量化過程中由于數(shù)據(jù)缺失所導(dǎo)致的數(shù)據(jù)不確定性問題，節(jié)點(diǎn)依賴系數(shù)的引入則解決了模型變量間影響的不確定問題。

3）通過基于Birnbaum 重要度的靈敏度分析，確定了實(shí)際工程中需要重點(diǎn)關(guān)注的關(guān)鍵事件。

4）通過輪胎爆破事故實(shí)例，驗(yàn)證了本文方法的可行性，同時，靈敏度分析得到對后果事件影響較大的事故原因，為安全性指標(biāo)的預(yù)計(jì)與分配、預(yù)防措施和控制措施的制定提供了決策依據(jù)。