航班显示系统风险管理与控制教材

航班显示系统风险管理与控制

南京禄口国际机场航显系统SMS小组航班显示系统风险管理与控制教材第1页一、概述1、系统架构航班显示系统风险管理与控制教材第2页功效说明：（1）数据库服务器

（2）应用服务器（3）与信息集成系统接口（4）显示终端（5）配置管理主机

（6）运行监控主机（7）航班信息维护主机

航班显示系统风险管理与控制教材第3页2、本文引用标准文件

《民用航空主要信息系统灾难备份与恢复管理规范》MH-T0026-《民用机场航站楼航班信息显示系统工程设计规范》MH/T5015-3、航班显示系统危险源定义

危险源界定是风险管理前提，因为当前学术界还未对设备危险源形成

统一概念，依据中国民用航空总局《民用航空主要信息系统灾难备份

与恢复管理规范》文件，结合机场实际运行情况，将航班显示系统危险源

定义为：在系统运行过程中可能造成设备损害，经济损失，工作环境破坏

等，影响正常航班保障不安全原因。航班显示系统风险管理与控制教材第4页二、小组概况和活动计划安排科室弱电系统科课题名称航显系统SMS管理课题小组组员名单：序号姓名组内职务岗位技术情况年纪1石晓梅组长系统责任人高级工程师462赵春风付组长科长工程师343贺辉组员弱电科工程师344王晓瑾组员弱电科助工285王毅组员弱电科助工321、小组概况航班显示系统风险管理与控制教材第5页2、活动计划：为确保此轮风险控制工作顺利开展，小组结合部门总

体安排，制订了此次风险管理与控制详细活动进度表：课题小组活动计划安排：序号活动阶段时间安排责任人1编制风险指数分级表，可能性、严重度分级表3.1-3.30石晓梅、赵春风2查找危险源4.1-5.31全体人员3风险评定6.1-6.15赵春风、王毅4制订控制方法6.16-7.30赵春风、王毅5控制方法效果验证8.1-10.30石晓梅、贺辉6控制方法实施验证评定11.1-11.15石晓梅、王晓瑾7控制方法标准化11.16-11.30赵春风、王毅8编制课题公布材料12.1-12.30石晓梅、王晓瑾航班显示系统风险管理与控制教材第6页三、航班显示系统风险管理与控制步骤航班显示系统风险管理与控制教材第7页四、危险源识别1、危险源识别标准：（1）正当（规范）性标准（2）预防性标准（3）真实（现实）性标准（4）时效性标准：航班显示系统风险管理与控制教材第8页2、危险源识别方法

（1）系统与行业标准规范对照法（2）工作任务分析法（系统功效梳理法）（3）现场观察法（4）故障树分析法航班显示系统风险管理与控制教材第9页序号参数或性能标准规范要求本系统是否存在风险1环境温度室内0-40℃机房22-28℃终端5-35℃，机房26℃无2设备选型有质检部门认定有资质单位设计，设备经过质检认定无3网络类型各种显示终端和对应若干个终端控制计算机服务器和其它网络辅助设备组成一个计算机局域网-LAN。由服务器计算机工控机网络设备LCD，PDP组成局域网无4控制方法既能集中控制，又能单独控制对终端设备能够全部、区域、单独控制无5安全性应有安全方法和防病毒方法安装了诺顿防病毒软件。定时升级无6开放性采取开放互联协议技术支持各种国际标准协议采取TCP/IP,UDP,RS232符合国际标准无7可靠性主机系统应含有冗余、备分功效有双机热备，冷备，交换机热备无8可扩展性依据用户需要方便增加终端控制计算机或显示设备，并由网络管理人员进行再设置；能够随时增加终端和显示设备，重新分配权限无9终端显示内容对候机楼各部位显示有详细字段要求一一对照，显示字段全方面无10显示终端可视距离2-15M在5-15M内可视无11防雷与接地设计应有有效防雷方法，机房应有接地设计航站楼有统一防雷和接地设计无3、危险源识别方法1：系统与行业标准规范对照法表(《民用机场航站楼航班信息显示系统工程设计规范》MH/T5015-)结论：系统符合规范，此方法未发觉危险源！航班显示系统风险管理与控制教材第10页序号工作任务功效危险源查找过程（测试）危险源1地调接口航显数据库与AODB中对应数据同时，即从集成数据库读取信息，存放在航显数据库过程：在地调系统中输入非常规数据模拟工作人员误操作情形，看航显系统容错性程序中有BUG2应用服务读取数据库服务器消息；向终端分发消息过程：在数据库服务器中产生消息，看终端响应情况暂未发觉危险3广播接口定时从航班显示系统提取动态数据库转换成广播系统需要.DBF文件过程：在航显系统航班动态库中输入非常规字符2个系统兼容性差4监控模块对终端运行状态及画面进行监控，同时对终端进行控制比如开关机过程：对远程工控机重复开关UDP协议缺点5配置管理能够对整个系统显示设备、显示参数、用户、权限等进行集中管理，并能公布旅客须知、紧急通知等消息过程：权限检验，因为东航深航和机场运输都需要对办票柜台做配置，而权限是分配到办票岛，所以权限有重合之处配置管理中权限有冲突6航班维护与地调联接中止时在本系统内维护动态航班信息过程：输入非常规数据测试软件容错性暂未发觉危险7终端显示负责接收来自应用服务器航班及配置数据，并转换成设备支持显示格式过程：终端显示内容和服务器数据库内容对照暂未发觉危险方法2：工作任务分析表（系统功效梳理法）结论：系统存在危险源。航班显示系统风险管理与控制教材第11页

下面对以上危险源进行分析：序号危险源危险情景及后果诱发原因1地调接口中有BUG航显系统不能读取动态数据，影响整个系统显示，造成航班延误程序设计容错性差：当某个航班值机时间字段为空时程序不能识别。2广播和航显兼容性差广播和航显兼容性差当航班号中包含汉字时广播系统不能判别。3监控模块中远程开机成功率低局部不能开机，旅客看不到信息UDP协议本身缺点：因为远程唤醒是使用UDP协议，存在掉包现象，造成开机成功率不能抵达100%。4配置管理中权限有冲突柜台显示不准确，旅客误解程序设计不严谨：国际柜台不固定，东航和运输都有权限管理，当2台管理机同时对一个柜台信息进行编辑时，引发冲突航班显示系统风险管理与控制教材第12页序号类别名称危险源观察危险源1设备服务器已经采取双机备份暂未发觉危险2交换机已经采取双机备份暂未发觉危险3管理机有备份机暂未发觉危险4楼层交换机有备份机暂未发觉危险5终端显卡能正常显示暂未发觉危险6环境温度和湿度温度湿度在标准范围暂未发觉危险7人员维修能力对维修人员进行口试、笔试及现场操作考评维修人员技术水平不达标方法3：现场观察法表结论：系统存在危险源。航班显示系统风险管理与控制教材第13页

下面对以上危险源进行分析：序号危险源危险情景及后果诱发原因1维修人员技术水平不达标出现单点故障不能及时维修培训考评不严格；缺乏操作实战经验航班显示系统风险管理与控制教材第14页方法4：故障树分析法在系统使用中，查阅工作人员故障维修统计航班显示系统风险管理与控制教材第15页发觉终端显示设备有黑屏现象，一个月内出现了12次，为此使用故障树分析法对此故障进行分析以下：航班显示系统风险管理与控制教材第16页结论：系统存在危险源。航班显示系统风险管理与控制教材第17页

下面对以上危险源进行分析：序号危险源危险情景及后果诱发原因1工控机内存接触不良该工控机不能开机，航班不能显示厂家在安装过程中工艺不过关2显示器锁定该区域航班不能显示，影响旅客登机值机厂家在程序中设定PC状态下，主机关闭15分钟后自锁。必须人工按键解锁航班显示系统风险管理与控制教材第18页

序号危险源危险源描述（诱发原因）后果影响1地调接口中有BUG当某个航班值机时间字段为空时程序不能识别。与地调系统动态数据交互不能继续，全部主机不能显示正确航班动态旅客看不到实时信息，影响旅客判断，造成投诉和航班误点2广播和航显接口兼容性差数据库在转换时犯错：当航班号中包含汉字时广播系统不能判别。广播系统不能正常广播旅客听不到正常信息广播，引发误机和投诉。3配置管理中权限有冲突国际值机柜台不固定，东航和运输都有权限管理，当2台管理机同时对一个柜台信息进行编辑时，引发冲突。柜台信息显示不准确不准确信息引发旅客误解4监控模块中远程开机成功率低因为远程唤醒是使用UDP协议，存在掉包现象，造成开机成功率不能抵达100%该区域不能正常开机旅客看不到信息，引发不便5LG显示器自锁厂家在程序中设定PC状态下，主机关闭15分钟后自锁。必须人工按键解锁。晚上关机后第二天不能打开LG显示器，造成该区域不能正常显示。显示器黑屏，旅客得不到及时航班信息。6工控机在组装过程中内存接触不良厂家组装过程中工艺不过关该终端内存松动造成工控机不能正常开机该处显示设备不能正常使用，旅客和工作人员看不到航班信息。7维修人员技术水平不达标维修人员在值班时技术不熟练出现单点故障不能及时维修影响该点航班显示4、危险源汇总表将以上四种方法得到危险源进行汇总，得到以下危险源汇总表航班显示系统风险管理与控制教材第19页

可能性（Likehood）现实危险潜在危险1极不可能近1年内航显系统未发生可预见，实际不会发生2不太可能近1年内航显系统发生1-2次可预见，极难发生3可能性很小航显系统每个月发生1-2次可预见，会发生4相对可能航显系统每个月发生3到12次可预见，轻易发生5经常航显系统每个月发生12次以上可预见，即将发生五、风险评定风险管理小组针对上述7个危险源，采取专业技术和操作员工相结合，定性分析和定量分析相结合方式，广泛搜集相关数据、信息，确定隐患起源和可能产生情景，对情景结果可能性、严重度进行评定，计算出对应风险指数。1、风险指数分级可能性分级表航班显示系统风险管理与控制教材第20页

严重度分级表严重度（Severity）：已经发生了一连串事件，其后果严重程度1可容忍人员：没有受伤设备：造成设备直接损失在1000元（含1000元）以内系统运行：单点设备故障，一天内能够处理。经过广播和工作人员及时通知旅客，不影响系统整体运行，不影响航班保障。公众信心：没有影响到公众信心2普通人员：抢救受伤，没有残疾，但造成工作延误设备：造成设备直接损失在1000元—10000元（含1万元）之间系统运行：局部设备故障，1天内处理。不影响系统整体运行，影响局部运行。比如因为楼层交换机故障影响国内进港显示，不影响航班整体保障。公众信心：可能会降低，但公众以为情况能够接收3中等人员：人员受伤，需要住院养护，造成直接损失，但没有些人员残疾设备：造成设备直接损失在1万元—5万元（含5万元）之间系统运行：主要设备故障，一周内处理。影响系统整体运行，不过启用应急后不影响系统运行。公众信心：公众因为等候时间较长，造成信心显著降低。4主要人员：造成人员残疾或严重受伤设备：造成设备直接损失在5万元—50万元（含50万元）之间系统运行：主要设备（服务器，主交换机）故障，应急无法开启。影响系统整体运行2小时以内。公众信心：公众对机场服务质量造成怀疑，并表示不满。5灾难性人员：死亡或旅客受伤，公众生命受威胁设备：接损失在50万元以上系统运行：主要设备故障，系统整体瘫痪，应急无法开启。影响旅客出行。公众信心：众表现出对机场强烈抵制情绪。航班显示系统风险管理与控制教材第21页

航班显示系统风险指数分级表风险指数（可能性×严重度=风险指数）风险指数措

施1—4（低）最低风险，航班显示系统正常运行5—9（中）中等风险，但必须采取风险控制方法>9（高）高风险，不能够接收。必须采取方法才能正常运行评定风险标准---评定风险结果用风险指数（RISK）表示：风险指数（Risk）=可能性（Likelihood）×严重度（Severity）。依据危险源可能性和造成严重性来确认风险存在等级。航班显示系统风险管理与控制教材第22页

2、航班显示系统风险评定及分级表序号危险源风险指数评定依据等级可能性严重性风险指数1工控机在组装过程中内存接触不良414依据故障次数统计，对照可能性表，可能性为“相对可能”；不过因为是单点设备故障，所以严重度为“1”。低2维修人员技术水平不达标313依据危险实际发生次数，对照可能性表，可能性为3，不过因为是单点故障，严重度为1低3地调接口中有BUG248因为该故障只有在工作人员误操作情形下发生，发生1次，可能性为“2”，但影响整个系统运行，故严重度为“4”中4广播和航显接口兼容性差248因为该故障只有在工作人员误操作情形下发生，发生1次，可能性为“2”，但影响广播系统运行，故严重度为“4”中5配置管理中权限有冲突326依据该情形发生次数，可能性为“3”，因为影响单台运行，严重度为“2”中6监控模块中远程开机成功率低428依据该情形发生次数，可能性为“4”，因为影响单台运行，严重度为“2”中7LG显示器自锁428依据该情形发生次数，可能性为“4”，因为影响单台运行，严重度为“2”中航班显示系统风险管理与控制教材第23页六、风险控制办法

1、在制订航班显示系统风险控制办法时，主要考虑以下标准：（1）利用技术进步，实施控制办法。（2）对不符合规范设备要进行更新换代。（3）对重大危险源要有应急预案。2、针对两类风险对航显系统影响程度，我们采取不一样控制办法航班显示系统风险管理与控制教材第24页低等风险危险源管理一览表序号危险源风险指数控制方法责任人或监督人完成时间1工控机在组装过程中内存接触不良4因为工控机尚在保修期，要求厂家提供多台备机赵春风-07-302维修人员技术水平不达标3加强培训，定时考评石晓梅-07-30对低等风险（风险指数1-4），加强制度建设、日常巡视检验和维保工作，将风险控制在可接收范围内，并纳入培训内容和危险源管理历史资料库内。航班显示系统风险管理与控制教材第25页中等风险危险源管理一览表序号危险源风险指数控制方法应急方法责任人或监督人完成时间1地调接口中有BUG8对接口程序进行测试，找出程序问题，修改程序在指挥中心和运输各增加一台航班维护管理机，接口不能正常运行时，用管理机对航班动态进行维护赵春风石晓梅-06-172广播和航显接口兼容性差8广播接口中增加对航班号字段类型判别，出现汉字字段时跳过该航班统计，同时发出警告。发觉汉字字段后，电话通知指挥中心，进行修改石晓梅贺辉-06-253配置管理中权限有冲突6经过修改程序将原来权限分配到岛修改为权限详细到柜台，要求运输在分配柜台时将东航柜台相对固定，各自对自己柜台进行操作；同时在柜台需要变更使用时由动力部重新分配权限。做到各自为政，互不干扰固定各柜台使用权限，使用部门不得随意变更。石晓梅王晓瑾-07-054监控模块中远程开机成功率低8因为当前远程唤醒只能使用UDP协议，在程序中发送唤醒数据包时一次发送6个唤醒包，增加可靠性天天开机时监控各台终端状态，对状态“离线”终端，现场开机贺辉王晓瑾-07-105LG显示器自锁8经测试与检验，发觉显示器能够经过RS232口控制开关，编写程序进行自动控制在机房对各显示器进行监控，对状态为“关”显示器，现场解锁石晓梅贺辉-06-20对中等风险（风险指数5-9），制订专门控制方案，将这些方案付诸实施。航班显示系统风险管理与控制教材第26页七、办法实施（针对中高危险源）1、地调接口中有BUG:当某个航班值机时间字段为空时造成与地调系统动态

数据交互不能继续。

技术办法：错误是因为在字段为空时转换犯错引发，经过修改接口程序，增

加为空时处理消除危险源.

程序流程分析：航班显示系统风险管理与控制教材第27页

应急办法：在指挥中心和运输各增加一台航班维护管理机，接口不能正常运行时，用管理机对航班动态进行维护航班显示系统风险管理与控制教材第28页2、广播和航显接口兼容性差：当航班号中包含汉字时数据库在转换时犯错，广播系统不能判别。

技术办法：广播接口中增加对航班号字段类型判别，出现汉字字段时跳过该航班统计，同时发出警告。应急办法：发觉汉字字段后，电话通知指挥中心，进行修改。航班显示系统风险管理与控制教材第29页3、配置管理权限有冲突：配置管理中国际值机柜台不固定，东航和运输都有

权限管理，当2台管理机同时对一个岛同一柜台信息进行编辑时，引起冲突。

技术办法：修改程序将原来权限分配到岛修改为权限详细到柜台，要求运

输在分配柜台时将东航柜台相对固定，各自对自己柜台进行操作；同时在柜台需要变更使用时由动力部重新分配权限。做到各自为政，互不干扰。应急办法：固定各柜台使用权限，使用部门不得随意变更。航班显示系统风险管理与控制教材第30页4、监控模块中远程开机成功率低：因为远程唤醒是使用UDP协议，存在掉包现象，造成开机成功率低。技术办法：在唤醒程序中，一次发出6个唤醒包，提升唤醒可靠性。应急办法：天天开机时监控各台终端状态，对状态“离线”终端，现场

开机。航班显示系统风险管理与控制教材第31页5、LG显示器自锁：LG厂家在程序中设定PC状态下，主机关闭15分钟后显示器自锁。必须人工按键解锁。

技术办法：经测试与检验，发觉显示器能够经过RS232口控制开关，编写程序

进行自动控制。

原理图管理机上监控程序逐一往终端显示程序发送开关机指令，终端显示程序收到指令后，往串口发送开、关屏指令。应急办法：在机房对各显示器进行监控。对状态为“关”显示器，现场解锁。航班显示系统风险管理与控制教材第32页

序号危险源风险等级评定依据可能性严重性风险等级1地调接口中有BUG111测试各种非正常数据时航班信息容错性好2广播和航显接口兼容性差111接口修改后测试运行一段时间正常3配置管理中权限有冲突111对每个屏分配使用权限，细化管理，不会引发冲突4监控模块中远程开机成功率低212重复发送开机命令后，经测试成功率提升5LG显示器自锁111现场观察监控控制显示器程序有效八、办法实施后效果评定航班显示系统风险管理与控制教材第33页九、控制办法标准化

鉴于以上办法有效性，用风险控制单方式将办法标准化，归入资料库和规范化手册，载入史册！！

航班显示系统风险管理与控制教材第34页动力技术部弱电系统科风险控制统计单危险源风险评定控制方法/确定时间控制方法效果验证/确认时间实施后评定控制方法标准化/时间危险源名称地调接口中BUG可能性2预防性控制修改接口程序，增加为空时处理。/确定时间6月预防性方法经测试后有效；应急方法经演练后证实可行。/确定时间10月可能性1控制方法有效，纳入操作手册，进行规范管理。/时间11月发觉时间.4.15严重性1发觉方式运行中出现问题后做测试严重性4风险指数1危险情景及后果航显系统不能取得最新动态数据，航班显示不准确。风险指数8应急控制在指挥中心和运输各增加一台航班维护管理机，当航显系统与地调系统数据交互不能实现时，用管理机对航班动态进行维护。/确定时间6月评定时间11月诱发原因值机时间字段为空时造成与地调系统动态数据交互不能继续评定时间6月风险控制人员：石晓梅、赵春风纳入历史统计时间：11月编号：01航班显示系统航班显示系统风险管理与控制教材第35页动力技术部弱电系统科风险控制统计单危险源风险评定控制方法/确定时间控制方法效果验证/确认时间实施后评定控制方法标准化/时间危险源名称广播和航显兼容性差可能性2预防性控制广播接口中增加对航班号字段类型判别，出现汉字及时通知地调系统修改。/确定时间6月经测试当航班号为汉字时，广播接口报错，通知地调系统及时修改，不影响广播系统数据。/确定时间10月可能性1方法有效，纳入规范化手册。时间11月发觉时间.5.11严重性1发觉方式应急演练时输入特殊航班发觉严重性4风险指数1危险情景及后果广播系统不能继续广播，影响广播系统运行，造成航班延误风险指数8应急控制当发觉航班号为汉字后，电话通知指挥中心，进行修改。/确定时间6月评定时间11月诱发原因当航班号中包含汉字时广播系统不能判别。评定时间6月风险控制人员：贺辉、石晓梅纳入历史统计时间：11月编号：02航班显示系统航班显示系统风险管理与控制教材第36页动力技术部弱电系统科风险控制统计单危险源风险评定控制方法/确定时间控制方法效果验证/确认时间实施后评定控制方法标准化/时间危险源名称对值机柜台权限管理有冲突可能性3预防性控制修改程序将原来权限分配到岛修改为权限详细到柜台，要求运输在分配柜台时将东航柜台相对固定，各自对自己柜台进行操作；同时在柜台需要变更使用时由动力部重新分配权限。做到各自为政，互不干扰。/确定时间7月各航空企业柜台相对固定，只能对自己柜台进行操作，杜绝了错误。/确定时间10月可能性1方法有效，纳入规范化手册。时间11月发觉时间.4．26严重性1发觉方式用户报修，程序检验严重性2风险指数1危险情景及后果当2台管理机同时对一个柜台信息进行编辑时，引发冲突。造成数据显示不准确，影响旅客办票风险指数6应急控制固定各柜台使用权限，使用部门不得随意变更。。/确定时间7月评定时间11月诱发原因配置管理中国际值机柜台不固定，东航和运输都有权限管理。评定时间6月风险控制人员：石晓梅、王晓瑾纳入历史统计时间：11月编号：03航班显示系统航班显示系统风险管理与控制教材第37页动力技术部弱电系统科风险控制统计单危险源风险评定控制方法/确定时间控制方法效果验证/确认时间实施后评定控制方法标准化/时间危险源名称远程唤醒时数据掉包可能性4预防性控制在唤醒程序中，一次发出6个唤醒包，提升唤醒可靠性。/确定时间7月。重复测试及运行2个月以后证实控制方法有效。/确定时间10月。可能性2使用新程序，同时进入资料库备份保留。时间11月发觉时间．5严重性1发觉方式程序测试严重性2风险指数2危险情景及后果造成开机成功率不能抵达100%，不能开机，显示器不能显示航班动态风险指数8应急控制天天开机时监控各台终端状态，对状态“离线”终端，现场开机。/确定时间7月。评定时间11月诱发原因监控模块中因为远程唤醒是使用UDP协议，存在掉包现象评定时间6月风险控制人员：王晓瑾、贺辉纳入历史统计时间：11月编号：04航班显示系统航班显示系统风险管理与控制教材第38页动力技术部弱电系统科风险控制统计单危险源风险评定控制方法/确定时间控制方法效果验证/确认时间实施后评定控制方法标准化/时间危险源名称LG显示器关机后自锁可能性4预防性控制显示器能够经过RS232口控制开关，编写程序进行自动控制，在发出开关机命令时，监控程序逐一往终端显示程序发送指令，终端显示程序收到指令后，往串口发送开、关屏指令。/确定时间6月经方法实施后证实有效。/确定时间10月可能性1使用该应用开关机。程序进入资料库。时间11月发觉时间.5严重性1发觉方式现场检验严重性2风险指数1危险情景及后果早上不能正常打开显示器风险指数8应急控制在机房对各显示器进行监控。对状态为“关”显示器，现场解锁。/确定时间6月评定时间11月诱发原因LG显示器厂家在程序中设定PC状态下，主机关闭15分钟后自锁。必须人工按键解锁。评定时间6月风险控制人员：石晓梅、贺辉纳入历史统计时间：11月