基于ETA和CREAM的跑道侵入风险评价方法研究

袁乐平，孙瑞山，程明

(1.国家空管运行安全技术重点实验室，天津300300;2.中国民航大学 民航安全科学研究所，天津300300)

0 引言

跑道侵入是航空安全的重要课题，跑道侵入造成的后果可能十分严重:1977年西班牙特纳里夫岛两架波音747客机在跑道上相撞，导致583人遇难，造成了除911事件外最惨重的航空事故［1］。与此同时，随着机场飞行量的不断攀升，跑道侵入的风险不断增大。加拿大运输部的研究显示，机场飞行量若增长20%，跑道侵入可能性则增加140%［2］。

鉴于跑道侵入对航空安全的重大影响，国内外学者从不同角度对跑道侵入的安全评估问题开展了广泛的研究。文献［3］利用事件树方法，通过专家给出主观概率对阿姆斯特丹史基浦机场航空器穿越使用跑道的风险进行了量化评估。文献［4］利用多Agent系统建模，采用蒙特卡罗模拟对跑道侵入事件的发生概率进行了分析。许桂梅、黄圣国［5］以飞行员、管制员、车辆驾驶员为跑道侵入的风险指标，在利用认知可靠性和失误分析方法(CREAM)评估人的可靠性的基础上，综合计算了跑道侵入的整体风险。罗军、林雪宁［6］通过建立影响跑道侵入的空管评价指标体系，采用模糊的方法采集各指标评判值，进而计算了整体风险。国外学者的研究只注重跑道侵入事件的建模和模拟，而对这一过程中人的角色和可靠性考量不足。国内对跑道侵入的风险分析仍处于探索阶段，停留在事件本身的综合评价上，未能深入分析跑道侵入发生的过程，并利用适当方法对跑道侵入的过程和结果进行分析。

概率安全评估是一种量化的安全风险评价方法，在核能、电力、航天、航空等行业有着较为广泛的应用［7］，利用概率安全评估对跑道侵入进行分析和评价，对深化跑道侵入研究、防范跑道侵入风险有着十分现实的意义。本文在传统概率安全评估的框架下，从跑道侵入事件的发展演化逻辑出发，利用事件树方法分析了跑道侵入潜在风险的发展及结果，并合理选用人的可靠性模型计算了侵入事件发生的概率值。

1 跑道侵入的事件树分析

1.1 跑道侵入的类型和原因分类

跑道侵入通俗的可以理解为航空器或地面车辆/人员出现在不应该出现的地方，导致碰撞风险增加。跑道侵入事件包括4种典型类型:(1)滑行穿越使用跑道，约占33%;(2)同一跑道上起飞与落地航空器冲突，约占11%;(3)起飞或落错跑道，约占13%;(4)交叉跑道上同时落地或起飞航空器冲突，约占13%［8］。考虑到跑道侵入存在不同程度的安全影响，本文对存在潜在冲突的情况进行分析，起飞落错跑道且没有造成冲突的情况不在分析的范围。

造成跑道侵入的原因可能是飞行员、管制员或者地面车辆驾驶员(或场道工作人员)，为此美国联邦航空局将跑道侵入的原因分为如下3类:飞行员偏离、(管制)运行差错、地面车辆驾驶员偏离［8］。对跑道侵入事件的研究离不开对上述3类人员的分析。

1.2 跑道侵入的逻辑表示

现行的空中航行运行机制是一种以空管引导为主，飞行员、驾驶员响应的模式，因此跑道侵入的风险分析从运行态势的管理者——空中交通管制员开始。管制员通过对飞行计划、航空器位置等信息的获取，掌握运行动态、发现交通冲突、形成调配预案、指挥航空器或车辆避开冲突。这一过程中，存在若干可能失效的情况:(1)管制员未能发现冲突，或者冲突调配失败;(2)冲突中的A方(航空器或地面车辆)或B方(航空器或地面车辆)未采取有效措施;(3)管制员未能及时纠正;(4)管制员未发现冲突的前提下，冲突中的 A，B双方未能及时发现冲突风险。

事件树分析是安全系统工程中常用的一种演绎推理分析方法［9］。交通冲突调配是一个多方协同、交互的过程，图1利用事件树分析方法对跑道侵入的形成和演化过程进行了描述。

图1 跑道侵入潜在风险的事件树分析Fig.1 Event tree analysis of potential runway incursion risks

2 人的可靠性评估的CREAM方法

2.1 CREAM方法的基本步骤

认知可靠性和失误分析方法(Cognitive Reliability and Error Analysis Method，CREAM)由 瑞 典Linköping大学Erik Hollnagel教授于1998年提出，该方法以COCOM模型(Contextual Control Model)为基础，将认知功能归纳为观察、解释、计划和执行4类，每一个认知功能包括若干失效模式，每种模式对应一个认知失效概率(Cognitive Failure Probability，CFP)，利用人所处工作环境和条件的优劣去修正失效概率［10-12］。

采用该方法进行人的可靠性计算的步骤为:

(1)确定任务所包括的认知行为

CREAM方法将人的认知行为分为协调、通信、比较、诊断、评估、识别、执行、保持、监视、观察、计划、记录、调整、扫视、检验共计15个类别，不同的认知行为需要不同的认知功能。CREAM提供了认知行为和认知功能之间的对应关系(见表1)，以及认知功能的失效模式和失效概率的基本值(见表2)。

表1 认知行为与认知功能关系Table 1 Cognitive behavior and cognitive functions

表2 认知功能失效模式和失效概率基本值Table 2 Cognitive function failure mode and probability

(2)确定最可能的认知失效模式

CREAM提供了4种认知功能下的13种认知功能失效模式，表2中每一认知功能对应若干失效模式。利用CREAM对人的可靠性进行分析时，需要确定最可能的失效模式。

(3)共同绩效条件评估

人的可靠性评估通常需要根据作业人员所处的工作环境和条件来评价作业环境对可靠性的影响并对其进行修正，在CREAM方法中是通过确定共同绩效条件 (Common Performance Condition，CPC)来完成的。CPC从组织完善性、工作条件、人机界面与运行支持的完善性、规程/计划的可用性、同时出现目标数量、可用时间、工作时段、培训和经验的充分性、班组成员的合作质量等共计9个方面进行综合考虑，给出了认知功能失效基本概率值的修正方法(见表3)。

(4)计算失效概率

将认知失效基本概率值和权重因子相乘，即可得到最终的人因失效概率PCF，其计算公式如下式所示:

式中:PG为表2中对应的认知失效概率基本值;φi为第i个CPC的影响权重。

表3 CPC及其权重因子Table 3 CPC and weight factors

2.2 利用CREAM方法计算跑道侵入中人的可靠性

根据图1中的分析，跑道侵入过程中的人因失效表现为两种情况:一种是未发现冲突，另一种是未正确响应。下面以第1种失效模式为例，应用CREAM方法进行分析。

飞行员、管制员、车辆驾驶员发现冲突的过程为:态势感知-冲突判断-预案形成-指挥(或通报)-实施操作，对应的认知行为是观察、诊断、计划、通信、执行。每一认知行为对应的认知功能及其最可能的失效模式见表4。

以一般的工作环境为想定，假设其CPC绩效水平如表5所示。

可以通过计算得到:

同理可计算出失效模式2的失效概率为:

表4 失效模式1的人误概率Table 4 Human failure probability of failure mode 1

表5 失效模式1的影响权重Table 5 Impact factors of failure mode 1

3 计算与讨论

3.1 后果发生概率的计算

事件树的计算中，每一阶段互斥的两种状态其概率计算可以由此及彼，各发展途径的概率等于自初始事件开始的各事件发生概率的乘积。上文中已经通过CREAM方法计算得到了关键节点的概率值，根据事件树的计算法则，带入各节点概率值，得到的计算结果如图1所示。

对跑道侵入潜在风险分析的两类后果进行合并计算，得到的发生侵入的概率为0.001 26。

3.2 计算结果的讨论

(1)图1的分析中，跑道侵入冲突解脱的最常见情况(结果概率最大)是管制员及时发现并正确指挥，因此增强管制员的防范意识，强化其在跑道侵入预防中的作用是关键。

(2)增加跑道侵入的防范手段，比如采取设置场面监视设备(ASDE-X)、跑道状态灯(RWSL)等措施，能够增加防御纵深，降低侵入风险。

(3)CREAM模型中CPC的选择对人的可靠性计算有一定影响，这也从另一个方面显示了防范跑道侵入事件中人因风险的途径，例如合理安排管制班组人员搭配、加强培训等。

4 结论

本文利用安全系统工程方法对跑道侵入的发生过程进行了分析，采用人因可靠性分析方法对其中的人因失效问题进行了计算，给出了量化的风险评估结果，结论如下:

(1)以事件树为构架，对跑道侵入风险进行分析，利用CREAM方法计算了人的失效概率，得到了飞行冲突调配失败的概率，这是空中航行系统概率安全评估的探索和尝试。

(2)由于机场场面监视设备并未普及，同时也为了便于理论分析和建模，未考虑大型复杂机场装备场面监视设备的情况，但从计算分析过程可以认为增加相关设备对防范跑道侵入风险是有益的。

(3)利用CREAM方法计算人因失效的过程表明，该方法在航空领域人的可靠性分析中具有建模简便、可操作性好等优点。但本文中管制员、飞行员的人因失效概率计算仅就一般情况进行了考虑，未考虑个体因素，未来研究应考虑结合航空交通运行的实际来改进CREAM方法，进一步考虑过程中的个体因素，以获得更为精确的结果。

［1］ 祁元福.世界航空安全与事故分析(第3集)［M］.北京:中国民航出版社，1998:116-117.

［2］The Transport Canada.National civil aviation safety committee subcommittee on runway incursion final report［R］.Ottawa，Ontario，Cnanda:The Transport Canada，2000.

［3］ De Jong H H，Tump R S，Blom H A P，et al.Qualitative safety risk assessment of a RIASS based operation at schiphol airport including a quantitative model:crossing of departures on 10L/19R under good visibility conditions［R］.Amsterdam，the Netherlands:National Aerospace Laboratory NLR，2001.

［4］ Stroeve S，Blom H，Bakker B.Safety risk impact analysis of an ATC runway incursion alert system［C］//Proceedings of the Eurocontrol Safety R＆D Seminar.Barcelona，Spain，2006:1-33.

［5］ 许桂梅，黄圣国.基于人因可靠性的跑道侵入风险定量分析研究［J］.科学技术与工程，2010，10(19):4715-4719.

［6］ 罗军，林雪宁.基于模糊集和改进TOPSIS方法的跑道侵入风险评估［J］.中国安全科学学报，2012，22(12):116-121.

［7］ 周经伦，龚时雨，颜兆林.系统安全性分析［M］.长沙:中南大学出版社，2003:186-204.

［8］ 马平.跑道侵入研究［D］.天津:中国民航大学，2008.

［9］ 汪元辉.安全系统工程［M］.天津:天津大学出版社，1999:198-207.

［10］Hollnagel E.Reliability analysis and operator modeling［J］.Reliability Engineering and System Safety，1996，52(3):327-337.

［11］ Kima M C，Seonga P H，Hollnagel E.A probabilistic approach for determining the control mode in cream［J］.Reliability Engineering and System Safety，2006，91(2):19l-199.

［12］王遥，沈祖培.CREAM——第二代人的可靠性分析方法［J］.工业工程与管理，2005，10(3):17-21.