作者 |蔡喁上海控安可信軟件創(chuàng)新研究院副院長

版塊 |鑒源論壇 · 觀擎

01

民用飛機(jī)有多安全

眾所周知，民航飛機(jī)是一種安全便捷的出行方式。然而，對民航飛機(jī)的安全關(guān)注卻從未停息。特別是民航飛機(jī)一旦發(fā)生災(zāi)難性事故，將會(huì)造成大量人員生命安全威脅與財(cái)產(chǎn)損失，往往會(huì)引起公眾的廣泛關(guān)注。當(dāng)今全世界范圍內(nèi)，民用飛機(jī)的事故率保持在百萬分之一（每飛行小時(shí)）的預(yù)期之下。根據(jù)可比數(shù)據(jù)統(tǒng)計(jì)，人一生中遇到空難事故造成死亡的概率遠(yuǎn)遠(yuǎn)低于汽車交通事故，甚至低于遭遇雷擊致死的概率。

圖1各種原因致死概率比較

02

保證安全的方法

取得如此之高的安全水平，與民航飛機(jī)研制、生產(chǎn)、使用環(huán)節(jié)的一系列措施是分不開的。相比于其他關(guān)注安全的應(yīng)用領(lǐng)域，民航飛機(jī)的安全通過以下四種關(guān)鍵措施得以保證：一）嚴(yán)密的功能定義；二）精確的架構(gòu)設(shè)計(jì)；三）嚴(yán)格的過程控制；四）嚴(yán)苛的驗(yàn)證。

2.1 嚴(yán)密的功能定義

民航領(lǐng)域?qū)︼w機(jī)及其系統(tǒng)的功能均進(jìn)行嚴(yán)密的定義，這種功能定義包括了對功能的范圍和限定條件的精確分析。在飛機(jī)功能定義之初，設(shè)計(jì)人員就已經(jīng)對飛機(jī)飛行的速度、高度、轉(zhuǎn)彎的最大角度、加速減速的最大速率等都進(jìn)行了范圍規(guī)定。所有定義的功能與其可能的操作場景之間建立嚴(yán)格的對應(yīng)關(guān)系，并對功能的效果進(jìn)行精確的分析。這一系列行為確保了飛機(jī)功能定義中不會(huì)出現(xiàn)模糊空間，飛機(jī)所有對外部條件以及操作的響應(yīng)均在預(yù)先設(shè)定好的范圍內(nèi)。

得益于嚴(yán)格的飛行人員選拔和培養(yǎng)程序，飛行人員對飛機(jī)的操作也可以進(jìn)行精確的衡量。在選拔過程中，不但對飛行人員的體型（涉及到駕駛艙操作器件的布局）以及反應(yīng)速度等進(jìn)行考核以及大量的訓(xùn)練，確保在出現(xiàn)不同場景條件下，飛行人員對飛機(jī)的操作處于預(yù)期的范圍內(nèi)。飛行員的選拔和訓(xùn)練以及其長期的能力保持活動(dòng)，最終確保其與飛機(jī)自身及其系統(tǒng)功能設(shè)計(jì)一同形成了相對嚴(yán)密的功能操作閉環(huán)，降低了飛機(jī)功能定義的不確定性。此外，飛機(jī)的運(yùn)行程序、管制規(guī)范、航路設(shè)計(jì)以及維修程序等，無不是沿用上述思路確保飛機(jī)及其系統(tǒng)功能的定義更加精確，對各種外部條件和輸入的變化條件的響應(yīng)更加可預(yù)期。筆者認(rèn)為，民航飛機(jī)能夠取得相比其他領(lǐng)域更高的安全水平，長期以來民航領(lǐng)域一系列航空運(yùn)行的規(guī)范起到了非常重要的作用。下表列舉了民航運(yùn)行規(guī)章中針對潛在的對危險(xiǎn)場景進(jìn)行的使用限制措施。

表1 危險(xiǎn)場景使用限制措施

通常，飛機(jī)在其研制過程中需要經(jīng)歷飛機(jī)級功能定義、飛機(jī)級功能危害評估、系統(tǒng)級功能定義及其危害評估等反復(fù)迭代的過程，最終確保飛機(jī)上每一項(xiàng)功能、失效條件以及其影響均被精確地定義。

例如，提供推力是飛機(jī)的一項(xiàng)基本功能。在功能定義過程中會(huì)對提供推力的階段、程度以及推力控制規(guī)則進(jìn)行逐一定義。喪失一側(cè)推力（以雙發(fā)飛機(jī)為例）是該功能一項(xiàng)典型的失效條件。在功能分析過程中，需要根據(jù)不同飛行階段（滑行、起飛、爬升、平飛、下降、進(jìn)近和著陸）以及潛在的影響場景（如測風(fēng)、濕滑跑道）等對喪失一側(cè)推力將產(chǎn)生的后果以及飛行人員將采取的動(dòng)作（應(yīng)急飛行程序）進(jìn)行設(shè)計(jì)，在確認(rèn)功能設(shè)計(jì)正確以后并以此作為整個(gè)飛機(jī)設(shè)計(jì)的基礎(chǔ)。

功能危害分析將對飛機(jī)中所有的功能可能的失效條件進(jìn)行窮舉，并結(jié)合飛行階段和場景，具體分析功能失效產(chǎn)生的后果。在長期的民航飛機(jī)設(shè)計(jì)過程中，適航規(guī)章及其相關(guān)標(biāo)準(zhǔn)，對飛機(jī)中的功能危害進(jìn)行了分級管理。這使得我們在后續(xù)設(shè)計(jì)過程中能夠更加有針對性地聚焦?jié)撛谝饑?yán)重后果的功能及其失效場景。

表2 民用飛機(jī)功能危害影響等級劃分

2.2 精確的架構(gòu)設(shè)計(jì)

民航飛機(jī)的研制遵循典型的結(jié)構(gòu)化設(shè)計(jì)方法，在預(yù)先設(shè)定好的抽象層次上自頂向下逐步細(xì)化。通常來說，在確定了飛機(jī)的功能和架構(gòu)后，進(jìn)一步需要對系統(tǒng)、設(shè)備乃至零組件的功能逐級細(xì)化。

在功能和架構(gòu)細(xì)化過程中，民用飛機(jī)遵循嚴(yán)格的追溯關(guān)系管理。也就是下一個(gè)層級的功能和設(shè)計(jì)必須與上一個(gè)層級的功能設(shè)計(jì)相匹配。在這一過程中，任何超出或者不符合上級需求的設(shè)計(jì)都將被識別并且分析。于此同時(shí)，功能的失效條件也會(huì)與下一級的失效場景關(guān)聯(lián)起來。根據(jù)上下級追溯關(guān)系，定位可能引起推力喪失的系統(tǒng)、設(shè)備以及零組件及其具體的失效場景，最終形成完整的失效鏈路。這種分析往往可以定位到潛在產(chǎn)生失效的具體器件上，并結(jié)合功能危害分析確定當(dāng)前架構(gòu)和設(shè)計(jì)的可行性和準(zhǔn)確性。

在這一過程中，有多種安全性分析方法被使用，包括故障樹分析（FTA）、失效模式及影響分析（FMEA）、共模影響分析（CMA）、區(qū)域安全分析（ZSA）、特殊風(fēng)險(xiǎn)評估（PRA）等。其中很多方法在航空以外的其他領(lǐng)域也被廣泛使用。然而，得益于民用航空器設(shè)計(jì)過程中嚴(yán)格的功能及其邊界定義，上述分析相較其他領(lǐng)域精確度往往更高。最重要的是，上述基于架構(gòu)和設(shè)計(jì)的安全性分析依據(jù)結(jié)構(gòu)化設(shè)計(jì)過程中的層次劃分進(jìn)行，與相應(yīng)的設(shè)計(jì)過程保持高度同步。每一層功能和架構(gòu)設(shè)計(jì)均對應(yīng)相應(yīng)的安全性分析，從而確保安全性分析也呈現(xiàn)出明顯的層次結(jié)構(gòu)。

圖2民用飛機(jī)結(jié)構(gòu)化設(shè)計(jì)及其安全分析

2.3 嚴(yán)格的過程控制

民用航空領(lǐng)域很早就意識到設(shè)計(jì)過程中人為引入的錯(cuò)誤是引起安全問題的重要源頭。為此，民航飛機(jī)安全性的另一個(gè)關(guān)鍵的保證手段，是在其研制過程中進(jìn)行嚴(yán)格的過程管控。這種管控依靠航空行業(yè)內(nèi)長期形成的研制流程體系、工作紀(jì)律以及政府主導(dǎo)的第三方審核等手段得以保證。通過這種管控，在結(jié)構(gòu)化設(shè)計(jì)的多個(gè)層次上實(shí)現(xiàn)對設(shè)計(jì)結(jié)果的反復(fù)確認(rèn)和驗(yàn)證。對本層次以及上一層次設(shè)計(jì)過程中潛在的設(shè)計(jì)缺陷、追溯關(guān)系進(jìn)行逐層分析，最終確保每個(gè)設(shè)計(jì)層次均在上級限定的功能和性能范圍內(nèi)正確的實(shí)現(xiàn)了預(yù)期的功能。

圖3SAE ARP-4754A中描述的

飛機(jī)及其系統(tǒng)研制過程

2.4 嚴(yán)苛的驗(yàn)證

在結(jié)構(gòu)化設(shè)計(jì)框架下，得益于嚴(yán)密的功能和架構(gòu)定義，民航飛機(jī)研制過程中的驗(yàn)證活動(dòng)均基于對應(yīng)層次的需求開展。驗(yàn)證活動(dòng)在不同設(shè)計(jì)層次上反復(fù)開展，從而實(shí)現(xiàn)了對任何一個(gè)功能不同顆粒度上的驗(yàn)證測試。這種與設(shè)計(jì)層次一一對應(yīng)的驗(yàn)證測試，使得整個(gè)飛機(jī)及其系統(tǒng)的研制呈現(xiàn)出“V”型結(jié)構(gòu)，也往往被稱為V模型。與其他領(lǐng)域不同的是，民機(jī)研制過程中的驗(yàn)證活動(dòng)對“依據(jù)需求開展驗(yàn)證”提出了非常明確的要求。驗(yàn)證的目的被確定為：“設(shè)計(jì)正確實(shí)現(xiàn)了需求”以及“設(shè)計(jì)結(jié)果中不存在非預(yù)期功能”這兩個(gè)關(guān)鍵目標(biāo)上。典型的，經(jīng)過飛機(jī)級、系統(tǒng)級、設(shè)備級和軟硬件多個(gè)層次的反復(fù)驗(yàn)證，確保在最終交付產(chǎn)品中殘留的設(shè)計(jì)缺陷保持在非常低的水平上。加上飛機(jī)設(shè)計(jì)過程中的安全原則（如任何單點(diǎn)失效不能引起災(zāi)難級失效影響），使得民用飛機(jī)及其航空產(chǎn)品達(dá)到可接受的安全水平。

圖4SAE ARP4754A中的V模型

03

安全相關(guān)的挑戰(zhàn)

3.1 未知風(fēng)險(xiǎn)

可以看出，民用飛機(jī)的安全性高度依賴對運(yùn)行環(huán)境、場景、功能的精確定義。這一定義實(shí)際上對經(jīng)驗(yàn)積累要求極高。然而，隨著系統(tǒng)復(fù)雜度的提高，人們對環(huán)境、場景、功能的分析容易存在盲區(qū)。任何一種新的設(shè)計(jì)和架構(gòu)的使用，都可能使得以往積累的相關(guān)經(jīng)驗(yàn)變得不再正確。如，2010年冰島火山爆發(fā)造成的高空火山灰使得發(fā)動(dòng)機(jī)運(yùn)行在以往并沒有充分分析和論證的環(huán)境中，偏離了設(shè)計(jì)預(yù)期，對飛機(jī)帶來了實(shí)際的安全風(fēng)險(xiǎn)，從而使得當(dāng)年上百架飛機(jī)被迫停飛。除了功能場景，設(shè)計(jì)過程中也依賴很多經(jīng)驗(yàn)條件。發(fā)生在2018年和2019年的波音737MAX飛機(jī)災(zāi)難事故的根源既有相關(guān)系統(tǒng)設(shè)計(jì)中場景分析不足的原因，也包含在分析過程中根據(jù)經(jīng)驗(yàn)對飛行員在遇到危機(jī)時(shí)的響應(yīng)過于樂觀的因素。

可見，當(dāng)飛機(jī)的使用和設(shè)計(jì)進(jìn)入新的領(lǐng)域，民用飛機(jī)的安全性都會(huì)遇到新的挑戰(zhàn)。當(dāng)今隨著一系列新的架構(gòu)技術(shù)、電子技術(shù)等的使用，特別是人工智能方法在民航中使用的呼聲漸高，民航飛機(jī)在今后發(fā)展過程中會(huì)持續(xù)面臨未知風(fēng)險(xiǎn)的挑戰(zhàn)。

3.2 架構(gòu)設(shè)計(jì)的兩面性

在民用飛機(jī)設(shè)計(jì)中，通常會(huì)采用一系列架構(gòu)措施降低某一設(shè)備或者器件失效帶來的影響。這些方法包括功能的冗余配置、功能間的相互監(jiān)控、非相似架構(gòu)等。然而，計(jì)算機(jī)系統(tǒng)以及復(fù)雜系統(tǒng)的設(shè)計(jì)實(shí)踐不斷證明，架構(gòu)措施始終是帶有兩面性的。增加的冗余、監(jiān)控以及非相似架構(gòu)在分散了安全風(fēng)險(xiǎn)的同時(shí)，也必然會(huì)增加系統(tǒng)的復(fù)雜性。復(fù)雜性的提高往往會(huì)使得更多的設(shè)計(jì)缺陷殘留，造成更難徹底分析的場景空間等一系列后果。這也使得當(dāng)今的民用飛機(jī)特別是其中的高安全性、高實(shí)時(shí)性功能往往采用較為簡單直接的架構(gòu)，盡量少包含非必須的功能。這就使得飛機(jī)作為一種產(chǎn)品其現(xiàn)代化程度往往落后于其他工業(yè)產(chǎn)品。當(dāng)今汽車中包含的代碼量往往要高出最新型號的民用飛機(jī)一個(gè)數(shù)量級以上就是一個(gè)例證。如何能夠更好的協(xié)調(diào)功能、架構(gòu)、安全性之間的關(guān)系，是擺在民用飛機(jī)設(shè)計(jì)師們面前的長期話題。

3.3 安全和安保

前文中已經(jīng)反復(fù)討論，當(dāng)前民用飛機(jī)的安全是在嚴(yán)格限制的功能空間內(nèi)可分析可預(yù)期的安全。當(dāng)前民用飛機(jī)考慮的外部風(fēng)險(xiǎn)和威脅主要源自于飛機(jī)運(yùn)行方式及其運(yùn)行的自然環(huán)境本身。并沒有能夠考慮在人為故意破壞情況下保證飛機(jī)的安全。實(shí)際上，徹底杜絕人為惡意行為的風(fēng)險(xiǎn)是不可能的。我們不難想見，盡管操作環(huán)節(jié)中施加了很多的保護(hù)措施，然而任何一個(gè)交通工具的駕駛員如果有意造成事故都是輕而易舉的，對這種危險(xiǎn)行為施加更多保護(hù)卻又可能干擾正常的運(yùn)行。

隨著對機(jī)載計(jì)算機(jī)系統(tǒng)、空地?cái)?shù)據(jù)鏈等技術(shù)依賴程度越來越高，也伴隨著民用航空飛機(jī)和系統(tǒng)研制單位越來越多地通過貨架產(chǎn)品降低成本，大量的地面民用技術(shù)被運(yùn)用于民用飛機(jī)，新的安保風(fēng)險(xiǎn)、網(wǎng)絡(luò)安保風(fēng)險(xiǎn)在民用飛機(jī)領(lǐng)域日益凸顯，這也必將給今后民用飛機(jī)的設(shè)計(jì)和安全運(yùn)行帶來更多的挑戰(zhàn)。

參考資料：

[1] SAE ARP-4754A Guidelines for Development of Civil Aircraft and Systems，2010.

[2] Statistical Summary of Commercial Jet Airplane Accidents Worldwide Operations | 1959 – 2017，Boeing.

[3] Commercial Aviation Accidents 1958-2018，Airbus.

[4] Safety Report 2019 Edition，ICAO.

審核編輯 黃昊宇