基于贝叶斯网络的可控飞行撞地事故原因分析方法

1、文章编号：1009-6094(2009)05-0000-00基于贝叶斯网络的可控飞行撞地事故原因分析方法*杜红兵，王雪莉中国民航大学安全科学与工程学院，天津300300)摘要：由可控飞行撞地造成的死亡人数在民航运输飞行事故中占第1位，因而研究可控飞行撞地的原因并采取预防措施对保障飞行安全有重要意义。论文介绍了事故树模型和贝叶斯网络之间的内在转换关系，采用事故树分析了可控飞行撞地事故发生的主要原因是人为因素和技术因素，其中人为因素包括机组、管制员和维修人员的失误，技术因素包括燃油重量、风速风向、能见度、飞机速度、偏离航线等，最后将事故树转化为贝叶斯网络。以人为因素中的机组人员失误为例，用贝叶斯网

2、络模型对失误原因进行了分析，并计算出机组人员失误概率。关键词：安全管理工程；可控飞行撞地；贝叶斯网络；事故分析；概率计算中图分类号：V37,X9文献标识码：A0引言可控飞行撞地(ControlledFlightIntoTerrain，CFIT)是指一架完全满足适航条件的飞机，在非失效、可控的状态下撞到地面、山体、水面或其它障碍物而导致的事故。统计显示，可控飞行撞地死亡人数在各类空难事故中位居第1。目前，航空公司对CFIT事故的预防管理措施主要基于事故致因理论1，民航界部分学者也对CFIT事故原因进行了积极探索，贾大壮探讨了飞机可控撞地的人为因素2T,孙瑞山以事故树模型对导致CFIT事故原因的最

3、小割集、最小径集及结构重要度进行了定性分析5，但没有对这些原因进行定量的概率计算。事故树本身的一些假设，如对事件作正常或失效两态假设、各事件之间为独立关系等，对人为因素起主导作用的CFIT的描述是不准确的。如机组人员的操作技能不仅是好和差两种状态，更多情况是介于两者之间，而事故树难以描述这种多态性事件。另外，事故树用逻辑门表示事件间确定的逻辑关系，然而当系统中存在上一层事件和下一层事件之间没有确定的因果关系时，采用概率的方法进行描述更为合理，逻辑门没有这种描述功能6。基于事故树对CFIT分析存在的局限性，本文采用贝叶斯网络对其进行改进。从推理机制和系统状态描述上来看，贝叶斯网络和事故树有很大的

4、相似性。而且，贝叶斯网络还具有描述事件多态性和故障逻辑关系非确定性的能力，因此适用于对系统安全性进行分析。目前，贝叶斯方法以其独特的不确定性知识表示形式和丰富的概率表达能力，已成为不确定知识表示和推理的典型工具。贝叶斯网络的这些特点弥补了事故树在分析CFIT时的不足，因此本文采用贝叶斯网络对事故树模型进行转化，并且用贝叶斯网络方法对CFIT进行原因分析。1贝叶斯网络对事故树的转化1.1贝叶斯网络的理论基础贝叶斯网络(BayesianNetwork，BN)是一种表示变量之间依赖关系的图形模型。贝叶斯网络是每个节点都带有一张概率表的有向无环图，一般由两部分组成：贝叶斯网络拓扑结构图和条件概率表7。

5、贝叶斯拓扑结构图中的节点集合x=x1,x2.x表示变量集合，而节点变量可以是任何问题的抽象，如测试值，12n观测现象，征询意见等。有向边(xi,xj)表示变量之间的依赖关系，其依赖程度用条件概率进行定量表示。其中兔称为x.的父节点，x.为x的子节点，没有父节点的节点称为根节点。jji每个节点X都有一个条件概率表，用来表示同其父节点F(X；)的关系，即P(x.|F(x.)。如果给定根节点的先iiii验概率和条件概率分布，可以得到所有节点的联合概率分布P(x,x.Xn),其表达式为12ii1)图1为一典型的贝叶斯网络，其联合分布概率为收稿日期：2009-03-26作者简介：杜红兵，博士，副教授，从

6、事民航安全管理研究，hongbin_du。基金项目：中国民航大学科研基金资助(05QD08S)P(xx,x,x,x,x)=n6P(xIF(x)1,23456iii=1=P(x|x)P(x|x,x)P(x|x)P(x|x,x)P(x|x)P(x)6553242321211图1典型的贝叶斯网络Fig.1TypicalBayesiannetwork1.2事故树转化为贝叶斯网络的基本原理要将事故树转化为贝叶斯网络，就要建立起两者构造要素之间的对应关系，即事故树的事件(顶事件，中间事件以及基本事件)和逻辑门与贝叶斯网的节点及连接强度之间的映射关系8,9。为方便起见，以一双态部件C为例进行分析，并以C=1

7、表示部件处于失效状态，C=0表示部件处于正常工作状态。图2表示了事故树中与门和或门事件向贝叶斯网转化的基本原理,其中A、B表示基本事件，C为顶事件，Q表示事件处于失效状态的概率。P(C=1|A=0,B=1)=0P(C=1|A=0,B=0)=0P(C=1|A=1,B=0)=0P(C=1|A=1,B=1)=1正常率0.99正常率0.95(a)与门事故树转化为贝叶斯网络原理图P(C=1|A=0,B=1)=1P(C=1|A=0,B=0)=0P(C=1|A=1,B=0)=1P(C=1|A=1,B=1)=1正常率0.99正常率0.95(b)或门事故树转化为贝叶斯网络原理图图2事故树转化为贝叶斯网络的基本原

8、理图Fig.2PrincipleofBayesiannetworktransformfromfaulttreeanalysis从上面的推理过程和对系统状态的描述过程可以看出，事故树中的事件和贝叶斯网中的节点是一一对应的，而描述其父子事件之间逻辑关系的逻辑门则可用贝叶斯网中不同的连接强度加以表示。从而将事故树转化为贝叶斯网的基本过程如下：(1)将事故树中的基本事件作为贝叶斯网中的根节点，并且将重复出现的相同基本事件合并为1个根节点。(2)将事故树中基本事件发生概率(一般经统计或专家提供可得)作为贝叶斯网络根节点的先验概率。通过事故树中事件的逻辑门关系，建立贝叶斯网中相应的节点，并用有向弧连接以表

9、明父子事件的关系。根据事故树中逻辑门关系确定贝叶斯网络中的连接强度值。2CFIT事故实例分析根据CFIT事故的发生机理以及对大量CFIT事故的剖析可知，CFIT事故是飞机在可控的前提下，由于距地形高度小于最低安全高度并且在没有及时采取有效纠正措施的情况下发生的。用事故树对CFIT事故的原因进行初步分析，如图3所示。图中的阴影块图表示事故发生进程，这部分内容本不属于事故树分析模型中，只是为了清晰的表示事故发生各阶段的原因，同时，也可计算出各阶段的发生概率，便于人们对CFIT事故的认识10。CFIT厂、76X10-8/PFCFIT即将发生地形告警失效1.1X10-5/PF6.9X10-3/PCFI

10、T111可控的飞行趋于撞地空管告警失效目视告警失败GPWS告警失败1.4X10FPFC7.2X10-i/PCFITB1.1X10-i/PCFITA4.4X10-2/PCFIT注：图中的数字表示该事件发生的概率，底层框中的数字表示该事件的分配概率，其余的事件未标注分配概率均为1.00。图中字母分别代表：PF-每飞行架次；PCFIT每可控飞行撞地事故；FMS-飞行管理系统；GPW-近地警告系统。图3CFIT事故树分析图Fig.3CFITcausesanalysisbasedonfaulttreemodel按照上述事故树转化为贝叶斯网络的基本步骤，将CFIT事故树转化为如图4所示的贝叶斯网络模型。经

11、归类分析，导致CFIT事故的原因可归结为人为因素和技术因素，这两方面都是导致事故发生的直接原因2-5,10。人为因素包括：机组人员、管制人员以及维修人员，而技术因素是指导致CFIT事故发生的飞机状态以及操作程序等，包括当时的燃油重量、风速风向、能见度、机组技术灵敏度、飞机速度、偏离航线等。这些因素都会对CFIT事故的发生产生影响，因此还需要对这些因素进行再分析直到找到发生的根本原因所在。为了后续的分析和计算，以机组人员失误为例进行分析。机组在操作过程中需要获取大量的飞行信息，并对信息进行决策、处理，在这个过程中，机组人员不仅有内部的机组间系统，还需要和管制人员、设备界面等外部系统保持紧密联系。

12、因此，从内部和外部两方面考虑，影响CFIT的机组人员因素包括：机组经验、训练、疲劳、机组搭配、工作负荷、交流、天气影响、安全文化、人机界面、飞行程序、飞行员态度、时间压力(例如延误造成)以及机组人员当天的飞行时间13个因素。图4CFIT的贝叶斯模型Fig.4CFITcauseanalysisbasedonBayesiannetworkmodel3BN模型在CFIT事故中的应用3.1贝叶斯算法原理顶事件发生概率可以通过贝叶斯网的前向预测推理功能来实现，即在节点X上的一系列状态X=(和,X2.Xn)的条件概率描述了给定网络所有其余部分的证据e(在计算机语言中，e表示证据，而且这里的公式来源于7中，

13、不便于改动)的前提下，这些变量之间的相关概率为P(xIe),而顶事件概率的计算公式为P(xIeF)=工P(xIF)FtP(FIe)mniFi3)allFi二1mn式中Fmn为Fn处于状态n的值；|F表示所有父节点的个数；Fi表示父节点的状态；eF表示父节点证据。该式表明顶事件发生概率是父节点先验概率在所有状态上的总和，以及给定父节点时X变量的条件概率之和。3.2算法计算与分析按照贝叶斯的算法，以机组人员失误的几率计算为例，逐步向上便可推导出顶事件发生的概率。要进行定量计算需要的数据是节点的边缘分布以及节点间的连接强度，边缘分布的数据主要来源于日常统计记录和专家判断两种途径，采用这两种途径都需要

14、首先对基本事件的收集内容进行定义。连接强度表示的是各事件之间的依赖程度，需要通过实际的现场调查包括对人员的问讯，问卷调查等来获得。机长的飞行经验指的是机长获得机长资格后的总飞行时间；机组培训是指自上次训练到现在过去的天数；机长的适飞度是指机长在105次的飞行熟练程度测试中失败的次数；天气则主要测定的是降雨率，AE程序是指每105飞行架次机组人员在飞行中参照飞行手册正常和应急程序部分的次数；人为失误是指每105飞行架次导致危险情况发生的概率；另外语言差异是指每105飞行架次中使用不同于母语语言的飞行架次，飞机级别是用14之间的一系列数字，4表示最新级别的飞机。经过对因素的定义及边缘概率的统计和连

15、接强度的调查，便可通过贝叶斯网络进行构图和初步的计算。图5是经过贝叶斯网络计算得到的机组人员人为失误的几率。机组人为失误2.9x1050.430.0080.62机组适飞性语言差异飞机的级别AE程序天气4.2x1036.49.4x1022.7x1043.6机长的适飞性1.1X1030.0420.042副驾驶的培训机长培训副驾驶的适飞性机长的经验1.5x1048.5x1029290副驾驶的经验1.2x104注：以上数据均来源于由荷兰交通运输部支持的风险研究中心空中运输安全的因果模型。图5贝叶斯网络计算的机组人为失误概率Fig.5Aircrewerrorprobabilitycalculatedby

16、Bayesiannetwork贝叶斯网络较事故树的优势在于它的多态性。图5中计算出的是当机长经验为15000h、副驾驶经验为12000h时由于人为失误导致的危险情况为每飞行架次2.9，假设其它基本事件的量值不变，若机长的飞行经验为25000h、副驾驶的飞行经验为18000h，经计算由人为失误导致的危险情况为每飞行架次0.64。因而，这种多态性的计算更适用于实际的运行变化情况。按照上述的分解方法，可以对影响CFIT的其它因素进行分析并计算发生概率，逐级递推便可计算出在基本事件所处状态下，CFIT事故发生的概率。4结论与展望本文通过事故树模型和贝叶斯网络模型对CFIT事故分析和计算的对比，体现出贝

17、叶斯网络的优势：1）使用贝叶斯网络计算时节点的多态性，克服了事故树事件“非真即假”的两态假设，更接近与事件发生的真实状况。2）贝叶斯网络对事件发生的联合概率计算是在前面事件概率的条件下，计算结果较精确。在民航事故分析中，若能将事故树和贝叶斯网络融合在一起，事故树发挥对事件逻辑分析的优势，而贝叶斯网络则发挥其事件多态和概率计算的强大功能，通过转化将定性分析和定量计算融合在一起，构建成事故信息收集系统。通过日常运行数据结合信息系统的分析可以为事故预测和机组资源管理等安全管理工作提供科学依据。References（参考文献）：LUOXiaoli（罗晓U）.Categorizationnormforh

18、umanfactoraccidentsandaccidentalsignsandthestatisticsofChinacivilaviationinrecenttwelveyearsJ.ChinaSafetyScienceJournal（中国安全科学学报）,2002,12（5）:55-62.JIADazhuang（贾大壮）.Humanfactorsandcontrolledflightintoterrainstudy（one）J.JournalofCivilAviationFlightCollegeofChina（中国民航飞行学院学报）,2000（1）:7-8.JIADazhuang（贾大壮

19、）.Humanfactorsandcontrolledflightintoterrainstudy（two）J.JournalofCivilAviationFlightCollegeofChina（中国民航飞行学院学报）,2000（2）:12-15.JIADazhuang（贾大壮）.Humanfactorsandcontrolledflightintoterrainstudy（three）J.JournalofCivilAviationFlightCollegeofChina（中国民航飞行学院学报）,2000（3）:13-16.WANGLei（汪磊），SUNRuishan（孙瑞山）.Human

20、factorsinCFITaccidentJ.JournalofCivilAviationUniversityofChina（中国民航大学学报）,2007,25（S1）:80-82.ZHENGHeng（郑恒）,XULiansheng（徐连胜）,WEIJian（韦健）.ABayesiannetworksforsafetyassessmentinharborproductionsystemsJ.Port&WaterwayEngineering水运工程），2007（4）:2427.XIAOQinkun（肖秦琨），GAOSong（高嵩），GAOXiaoguang（高晓光）.DynamicBayesia

21、nnetworksreasoningtheoryandapplication（动态贝叶斯网络推理学习理论及应用）M.Beijing:NationalDefenseIndustryPress,2007.XIEBin（谢斌），ZHANGMingzhu（张明珠），YANYuxian（严于鲜）.ImprovefaultytreeanalysisbyBayesiannetworksJ.JournalofYanshanUniversity燕山大学学报）,2004,28（1）:5658.WANGGuangyan（王广彦）,MAZhijun（马志军）,HUQiwei（胡起伟）.Thefaulttreeanal

22、ysisbasedonBayesiannetworksJ.SystemAnalysisTheoryandPractice（系统分析理论与实践），2004（6）:78-83.BARENGV,BELLAMYL,COOKER,etal.Causalmodelforairtransportsafety,Theseventhprogressreportoftheproject“developmentofaCausalmodelforAirTransportSafety”CATS.Amsterdam：RiskResearchCenteroftheNetherlandsMinistryofTransport

23、.15March2007.AcauseanalysisofthecontrolledflightbumpingintoterrainbasedontheBayesiannetworkDUHong-bing,WANGXue-li（CollegeofSafetyScience&Engineering,CivilAviationUniversityofChina,Tianjin300300,China）Abstract:Thepapertakesitstargettoanalyzethecausesofaccidentswithcontrolledflightbumpingintoterrainan

24、dwaystotakepreventivemeasuressoastoensuretheflightsafetyparticularlyincivilianaviations.Asisknown,accordingtothedeathtollofaircrashes,accidentsduetothecontrolledflightbumpingintoterrainrankNo.1inthedeathtollofaircrashes.Itisjustforthisneedthatwehaveestablishedafaulttreeanalysismodelhopingtomakequant

25、itativeandqualitativeanalysesofthecausesofsuchflightaccidents.Buttherearestillsomeassumptionssayingthatfaulttreeanalysis,forinstance,bi-stateassumption,isnotreliableinanalyzinghumanfactorsintheaccidents.HoweverthecharacteristicfeaturesofBayesiannetworkmodelcansupplyagapoffaulttreeanalysis,suchasdescriptionofmulti-stateinformationofthebasiceventandofindefinitelogicrelationamongtheevents.Inaddition,thetransformationprinciplehasalsobeenintroducedfromthefaultt