基于FIS-CREAM方法的人为差错风险评估

郭云东，孙有朝

（南京航空航天大学民航学院，南京210016）

机载设备和自动化技术的不断发展大大提高了飞机的可靠性和安全性，但人为差错造成的航空事故并没有得到明显的抑制。依据国际民航组织安全调查报告数据统计，民航运输过程中超过75%的飞行风险与人为差错有直接或间接的关系[1-2]。在复杂的驾驶舱人机系统中，由于不友好的环境和物理限制等因素的影响，飞行员往往会有一些操作过失或错误[3-4]。在飞行任务执行过程中，如果某一操作动作的差错概率很高，并且此差错对飞机系统安全性有很大的负面影响，则此操作就是一个高风险人为差错。为了有效地预防和控制高风险人为差错的发生，有必要对人为差错的风险进行量化，并进一步识别关键的人为差错，以提高飞行安全性。

人因可靠性分析方法是识别和确定人为差错的最有效技术手段之一。典型的人因可靠性分析方法主要涉及THERP（Technique for Human Error Rate Prediction）、HCR（Human Cognitive Reliability）、HEART（Human Error Assessment and Reduction Technique）、CREAM（Cognitive Reliability and Error Analysis Method）、ATHEANA（A Technique for Human Error Analysis）等方法，这些方法关注焦点在于量化人为差错发生概率，已在航空、核电、海事等领域得到了广泛应用[5-8]。然而，他们均没有考虑到人为差错对系统可能产生的负面影响或严重后果，不能直接用于飞机驾驶人为差错风险评估。

人为差错风险评估的目的是控制飞机操纵过程中人为差错的风险水平，以便进一步制定人机交互优化策略。评估结果的有效性在很大程度上取决于已建立的风险模型和输入数据的准确性[9]。但是，分析人员通常会遇到一些问题。例如，数据不足、不确定性、过于依靠专家主观判断来确定人为差错的可能性等[10]。此外，由于飞机驾驶舱人机系统的复杂功能和交互作用，很难明确评估人为差错对系统风险的影响。因此，有必要提出一种考虑飞行情境环境的飞机驾驶人为差错风险量化方法，以对不确定性人为差错进行建模并识别关键的人为差错。

基于以上事实，本文引入模糊推理（Fuzzy Inference System，FIS）方法，模糊逻辑在表达具有清晰边界的定性知识和经验方面具有明显优势[11]。隶属度函数的概念用于区分模糊集，处理输入和输出变量之间的模糊关系。模糊逻辑方法提供了一种使用定性术语来评估风险因素的有效工具，并且该方法已广泛用于许多领域的系统安全性和风险评估。但这些研究忽略了与人为差错有关的风险以及人为差错对系统的影响。综上所述，考虑到人为差错及差错对系统可能产生的负面影响，本文提出一种基于FIS-CREAM方法的人为差错风险评估模型。通过CREAM方法确定人为差错概率，以人为差错概率、差错影响概率及后果严重性为风险指标，引入FIS 方法对人为差错风险进行量化计算，从而识别关键人为差错风险，确保航空飞行安全。

1 基于FIS-CREAM 方法的人为差错风险评估模型

为了降低专家判断的主观性，解决数据不足造成的人为差错风险识别的不确定性和模糊性问题，本文提出了基于模糊推理系统的驾驶舱人为差错风险量化方法，其结构框架见图1。该方法包括3 个阶段：①任务分析；②人为差错风险指标识别；③人为差错风险量化。

图1 人为差错风险评估方法的结构框架Fig.1 Framework of human error risk assessment

1.1 任务分析

任务分析阶段共有5 个实施步骤：识别具体的分析对象、信息收集整理、关键任务选择、任务分析和确定可能的人为差错。

1）应该选择有价值的分析对象并定义分析对象的边界。本文选择进近任务作为具体的分析对象，因为在长时间持续飞行过程中，进近阶段的操作任务相对于起飞、巡航、下降阶段的人为差错率更高，更容易导致灾难性的事故[12]。

2）分析人员应收集整理并着重分析与具体研究对象相关的信息，主要包括飞行程序和情境环境、历史数据和文档、专家和操作员访谈的数据等。

3）确定关键任务，区分那些可能危害乘客生命和财产安全，造成严重后果（如飞机坠毁和环境污染）的事件。

4）任务分析，目的是将所分析的任务详尽地分解为一系列子任务单元，直到无法分解为止，引入任务层次分析方法（Hierarchical Task Analysis，HTA）[13]，构造飞行任务事件序列。

5）通过上述信息确定最可能的人为差错。

1.2 人为差错风险指标

人为差错是影响系统安全主要风险因素之一。许多研究学者主要是基于人因可靠性来构建人为差错风险的量化模型。而在系统概率风险评估过程中，不仅要考虑人为差错概率，还应考虑人为差错对系统的影响以及系统损失程度。因此，本文引入人为差错概率（Human Error Probability，HEP）、差错影响概率（Error Impact Probability，EIP）和人为差错后果（Human Error Consequence，HEC）作为人为差错风险的量化指标，并考虑各指标的相对权重进而计算驾驶舱人为差错风险水平。

1.2.1 风险指标的模糊集

基于CREAM方法和MIL-STD-1629A标准，分别给出3个风险指标的取值范围，结合专家判断，给出其对应的定性描述水平，并构建各风险指标的模糊集合，结果如表1 所示。其中，HEP={非常低，低，中等，高，非常高}，EIP={几乎没影响，可能有影响，极有可能影响，绝对影响}，HEC={非常低，低，中等，高，非常高}。

表1 风险指标取值范围及对应的定性描述Tab.1 Qualitative description and the value range of risk indexes

为解决计算过程中专家判断的不确定性以及人为差错数据不足造成的结果不精确性等问题，本文引入模糊逻辑方法构建驾驶舱人为差错风险评估模型。隶属函数是表示模糊集的数学工具，常用的隶属函数主要有高斯型隶属函数、钟形隶属函数、梯形隶属函数和三角形隶属函数等。其中，三角形隶属函数是人因可靠性评估过程中较为合理和有效的选择[14-15]。因此，本文引入三角形隶属函数，用区间某个数表示一个精确风险指标值属于某个模糊集合的程度。

图2 显示了HEP、EIP 和HEC 的模糊集合对应的隶属函数。其中，由于HEP 值范围跨度较大，为了便于图形化显示，对其采用对数化处理，EIP和HEC值范围跨度较小，可根据其范围直接确定三角形隶属函数。

图2 HEP、EIP和HEC的三角形隶属函数Fig.2 Triangular membership function of HEP，EIP，HEC

1.2.2 风险指标的计算

1）人为差错概率。人为差错概率指的是在规定的时间和规定的条件下，操作员没有完成指定任务的概率[16]。CREAM方法是被研究学者已广泛认可的人为差错概率量化方法，且有很多改进的CREAM方法，并成功应用于核电、航空、海事等行业。

本文引入一种SCREAM（Simplified CREAM）方法，该方法用于量化进近任务操作单元的人为差错概率，其计算表达式为[17]：

式（1）中：CFP0代表标定的人的认知失效概率；ρi代表第i 个因素的绩效影响指数，即第i 个任务情境影响因素对人为差错的影响。

通过SCREAM 方法可知影响进近阶段飞行员绩效的情境因素主要包括9 个类别：地面支持、机组负荷、机组训练和经验、程序质量、程序数量、时间压力、人机界面适宜性、组织适应性和工作条件。如表2 所示，通过专家判断给出每个绩效影响因素的水平，结合绩效影响指数[17]和式（1），可计算得出每个操作单元的人为差错概率。

表2 绩效影响因素水平和指数Tab.2 Level and index of performance shaping factors

2）差错影响概率和人为差错后果。本文基于模糊理论中的去模糊方法确定EIP 和HEC 的精确值。EIP是条件概率，即在特定的人为差错情况下，该差错对系统不同状态影响的概率。人为差错后果（HEC）是指特定的人为差错发生导致系统损失的严重程度。在本研究中，根据系统的成本损失比例来划分人为差错的后果，其定性描述和取值范围如表1 所示。一般情况下，需要工程师或分析人员根据他们的知识和经验来衡量这些风险指标。他们可以提供精确值，数字范围，也可以给出定性描述或三角模糊值等。如果信息足够，并且指标是定量指标，则专家或工程师可以提供准确的值。但是，当信息不足且不确定时，专家有时不容易提供准确的值。此时，采用定性水平或模糊值可能更合适；然后，使用三角形重心的去模糊化方法来获得精确的值，其表达式为[18]：

1.3 基于模糊推理的人为差错风险量化

考虑到飞机驾驶人为差错风险的模糊性和不确定性，引入模糊推理方法对飞机驾驶人为差错风险进行建模。通过分析飞机驾驶人为差错及差错对系统产生的负面影响，以人为差错概率、差错影响概率和人为差错后果作为模型的输入参数，人为差错风险作为模型输出结果。输出变量风险严重性（Risk Severity，RS）共有10个等级，定性术语描述如下：极低（U）、较低（Mi）、非常低（V-L）、低（L）、适中（Mo）、稍高（SH）、高（M-H）、非常高（V-H）、极高（E-H）、绝对（AH）。构建的模糊集合为RS={极低，较低，非常低，低，适中，稍高，高，非常高，极高，绝对}，其三角隶属函数如图3所示。

图3 RS的三角形隶属函数Fig.3 Triangular membership function of RS

上述3个风险指标参数对人为差错风险影响程度不同。其中，人为差错发生概率和人为差错后果的严重性可能导致人为风险最强，差错影响概率较弱。因此，根据专家评估给出上述3 个参数的权重值（0.4、0.2、0.4），并将其融合到构建的模型中，其形式化表达式为：

模型具体求解过程如下：首先，通过1.2.2 部分给出的风险指标计算方法可以获取3 个参数的精确值，将其输入到构建的模糊逻辑模型中；其次，通过IFTHEN规则生成模糊规则库，以逻辑AND运算符作为构造模式，共形成5×4×5=100 条规则；最后，采用重心法解模糊化求得人为差错风险的精确值。

2 结果与讨论

2.1 人为差错风险计算结果

本文基于波音737 标准操作程序（SOP），选择进近阶段操作任务为目标任务，通过HTA方法客观系统地分析了任务及其子任务的关系。首先，将进近阶段操作任务分解为起始进近和最终进近；然后，分别将这2 个子任务进一步分解为一系列操作单元，直至不能分解为止；最后，确定操作过程中可能的人为差错，结果如图5 所示。图5 中的操作单元按照从左到右，从上到下的顺序依次执行。

图4 基于HTA的进近任务分析结果Fig.4 Analysis result of approach mission based on HTA method

以操作单元1.1 为例，基于风险量化模型分别计算出HEP、EIP、HEC 3 个风险指标值。操作单元1.1“设置着陆灯开关”的认知活动是“执行（Execute）”，相应的认知功能为“执行（Execution）”，潜在的差错类型为“错失动作（E5）”，表明其标定的人为差错概率CFP0为3.0E-2[13]。那么操作单元1.1的人为差错概率为：

为了便于计算，本文对HEP 值进行了取对数处理。“设置着陆灯开关”潜在的人为差错类型为“E5”，它导致系统损失的程度被评估为“低”。根据3名专家的判断，给出一个三角模糊数（0.5，0.6，0.4），通过式（2）计算得出EIP 的精确值为0.5，这表示差错类型“E5”可能影响系统损失。类似地，针对人为差错后果（HEC），基于专家知识和经验给出的三角模糊数为（0.2，0.4，0.4），其精确值通过式（2）计算可得为0.333，这表明该人为差错导致的系统成本损失比是“低”。将3个风险指标值-2.12，0.5，0.333 输入到构造的模糊推理系统中，可得出操作单元1.1 的人为差错风险严重度为RS=0.64 ，其推理过程如图5 所示。类似地，可依次计算得出其他所有操作单元的风险指标值，并根据构造的人为差错模糊推理系统得出每个操作单元的人为差错风险严重度，计算结果如表3所示。

从表3 中可以看出，最关键的人为差错类型是“E5”（错失动作），涉及操作单元1.2、2.1、2.9、2.11、2.12、2.13和2.16，风险值均为0.9。主要原因是飞行员在短时间内执行大量任务时容易忽略某些动作，如果发生这些错失的动作，后果将非常严重。因此，航空公司应更加注意针对这些操作单元采取一些改进措施，以减少错失动作数量。第二个严重差错类型是操作单元2.5 中的“E1”（错误操作），其风险值为0.892。在这种情况下的诊断是基于经验的操作，诊断的差错概率可能很高，航空公司或组织管理部门可以考虑在这些操作过程中增加辅助决策设备，提高诊断准确性，降低人为差错风险。操作单元2.3、2.4和2.10中的差错类型“O2”（错误标识）也是严重的人为差错。其他差错类型的风险值可以在表3中查询。根据这些风险值，可以确定每个操作单元的风险严重度。此外，航空公司可以根据这些操作单元的风险优先级来制定适当的规则和管理措施，以防止发生人为差错。

表3 飞机驾驶人为差错风险评估结果Tab.3 Results of human error risk assessment for aircraft operating

2.2 SCREAM方法与FIS-CREAM方法对比分析

为验证本文提出的FIS-CREAM方法的可信性和有效性，将基于SCREAM 方法与FIS-CREAM 方法得到的人为差错结果进行对比分析，结果见图6。依据人因可靠性分析方法观点，SCREAM方法仅通过人为差错概率来识别关键人为差错风险，而FIS-CREAM方法综合了人为差错概率、差错影响概率和人为差错后果3 个指标来确定人为差错风险。由图6 可知，依据SCREAM 方法和FIS-CREAM 方法执行，其人为差错排序结果是不同的。其中，前者结果显示最重要的人为差错出现在操作单元2.2、2.3、2.4、2.6、2.10、2.14、2.20，而后者结果显示最重要的人为差错出现在操作单元1.2、2.1、2.9、2.11、2.12、2.13、2.16。出现此差异性结果的主要原因是通过人为差错概率值识别出的关键人为差错没有充分考虑这些差错对驾驶舱系统的影响，不能系统且全面地评估人为差错对驾驶舱系统造成的航空安全风险。结合表3 和图6 结果分析可知，人为差错风险值不仅考虑了人为差错概率，而且考虑了差错影响概率及人为差错后果，得出的结果能够综合评估飞机操纵过程中人为差错风险并识别出关键的人为差错，且可以对这些人为差错进行风险优先排序，为改善交互界面设计及提高驾驶舱人机交互绩效提供建议和指导。

图6 基于SCREAM和FIS-CREAM方法的人为差错结果对比分析Fig.6 Results comparison based on SCREAM and FIS-CREAM

3 结论

人为差错是导致不安全事件或航空事故的最重要风险因素之一。本文提出了一种基于FIS-CREAM方法的人为差错风险量化评估方法，以识别关键人为差错类型及差错风险，进而评估飞机操纵过程中的航空飞行安全。进近阶段任务的人为差错风险评估实验结果表明，“错失动作”是任务执行过程中发生人为差错最重要的差错类型，主要体现在操作单元1.2、2.1、2.9、2.11、2.12、2.13 和2.16 中。此外，可以根据得出的风险值识别每个操作单元的风险优先级，这为航空公司或组织管理部门加强飞行安全管理和提升飞行员技能提供了理论支持。本研究提出的飞机驾驶人为差错风险定量评估方法引入了HEP、EIP 和HEC 3 个风险指标作为模糊推理系统的输入参数，它不仅考虑了人为差错的概率，还考虑了人为差错对系统的影响，同时，3个风险指标的相对权重也被纳入模糊规则库中，确保了评估结果的准确性和有效性。该方法能够用于任务执行过程中飞行员的人为差错风险量化及航空飞行安全评估。