基于贝叶斯网络的电动垂直起降航空器运行风险研究

张晓全， 马晗

(中国民航大学安全科学与工程学院， 天津 300300)

近年来，航空技术的进步为城市中引入新型的交通概念提供了前提条件，其中广受关注是城市空中交通(urban air mobility，UAM)。城市空中交通是城市内适用于载人飞行器和无人飞行器系统的安全高效交通运作模式，即利用客运无人机和货运无人机进行货物交付、医疗救援、城市内或城市间的乘客等方面的运输[1]。

目前，空客(Airbus)[2]、优步(Uber)[3]、美国国家航空航天局(National Aeronautics and Space Administration，NASA)[4]、中国亿航[5]等机构均对城市空中交通的概念进行了讨论并做出初步构想，同时指出电动垂直起降(electric vertical takeoff and landing,eVTOL)航空器是城市空中交通的主要组成部分。5G网络、分布式电力推进技术及相关技术极大地推动了eVTOL的发展，eVTOL是一种介于无人机(unmanned aerial vehicle,UAV)和传统飞机之间的交通工具。eVTOL具有垂直起飞和着陆(VTOL)能力、升力和推力电气化(用电机旋转螺旋桨/转子)和控制自动化，主要应用包括用作空中出租车、应急响应(急救、警察、救援)和休闲活动。根据eVTOL News网站的分类，目前eVTOL重点分为矢量推力型(Tilt-X)、升力+巡航型(Lift+Cruise)和多旋翼型(Multi-copters)[6]。世界各地均展开了eVTOL的研发与试运行工作，部分企业已经向当局提交了适航申请，而作为无人机系统的一个分支，现在的eVTOL技术水平已经超越了监管水平，欧洲的“特定”无人机操作规范、美国的第107部以及中国的《特定类无人机试运行管理规程》已不再完全适用。制定新的监管法规的前提是对其进行风险分析，小型无人机的发展为该行业提供了许多基础性技术，eVTOL是将这些技术进一步扩展得到的。

关于无人机风险分析，中外学者开展了大量研究。Rubio-Hercas等[7]使用基于高斯过程的函数对随即环境因子进行了数据驱动的建模，用于评估无人机在常见的民用应用环境中的风险。Jeong等[8]使用深度神经网络，为城市地区运行的小型无人机开发了危险区域预测系统，用来支持风险评估和安全轨迹规划。Washington等[9]全面审查了33种模型，用于评估无人机给地面带来的风险。李新飞[10]利用改进REICH模型，针对物流无人机执行配送任务过程中的安全性风险进行了分析研究。闫少琨[11]使用概率评价法对无人机运行风险进行了评价，确定了中国无人机安全评价指标和安全目标。eVTOL是无人机种类中新出现的一类，当前针对eVTOL的研究集中在机体的设计与开发[12]、电池与材料技术的研究[13]以及eVTOL的建模[14]，还未有研究进行风险分析，同时eVTOL在质量、体积和应用场景等方面与当前无人机风险分析有很大不同，所以有必要对eVTOL的运行风险进行研究。对中国城市空中交通发展来说，可以延长其平均无故障工作时间，降低事故发生概率，提升电动垂直起降航空器行业的安全水平，提高处理突发事故的效率，为中国制定相关法规、行业规定提供理论支持和技术指导。

在风险分析过程中，由于贝叶斯网络在分析不确定性和相关性方面具有明显优势[15-16]，现拟根据eVTOL运行场景以及系统构成，结合小型无人机和小型飞机运行数据，利用贝叶斯网络分析eVTOL运行中可能存在的风险。根据eVTOL行业发展趋势[17]，多旋翼型eVTOL会最早投入使用，因此仅针对多旋翼型eVTOL开展研究。

城市空中交通主要提供乘客运输服务，可以将eVTOL执行一次完整服务的过程分为三个阶段[17]：准备阶段、起飞与巡航阶段和进近与着陆阶段。

1.1 准备阶段

首先，eVTOL运营商收到乘客发出的请求，然后开始识别可用的eVTOL，同时评估着陆平台的可用性、航线、天气状况以及其他信息。识别和评估完成后，eVTOL运营商通过向监管机构提交飞行请求来申请飞行授权，飞行请求包括起飞地点、目的地和起飞时间等信息。收到飞行请求后，监管机构开始寻找最佳航线，尽可能确保eVTOL在高水平的通信导航监视能力的走廊内飞行，同时还需要和出发地和目的地的着陆平台运营商进行协商，确保着陆平台在指定的出发和到达时间处于可用状态。

监管机构批准飞行请求后，将飞行授权发送给eVTOL运营商，飞行授权包括航线、起飞时间、到达时间、空中走廊入口地点以及指定的着陆平台。如果飞行请求存在问题，监管机构会建议eVTOL运营商对其进行更改，或者驳回飞行请求。

1.2 起飞与巡航阶段

起飞之前，eVTOL在起飞平台等待乘客，eVTOL运营商接受飞行授权，然后将其输入到eVTOL的导航系统中。起飞后，网络会根据飞机的航空电子设备生成的航班起飞时间通知进行更新。着陆平台运营商将查看相关信息，以确保eVTOL着陆时平台保持可用状态，并将此信息共享。

在飞行过程中，航空电子设备、信标和传感器为监管机构和附近的eVTOL提供位置和速度的信息。航空器的探测和规避功能支持对附近航空器和障碍物的态势感知，以确保符合指定航线，并监控其系统的状态以及气象的变化。运营商要根据需要对速度、路线或高度进行微调。

1.3 进近与着陆阶段

当eVTOL接近目的地时，运营商应确保着陆平台和周围空域没有障碍物或阵风。着陆前，起降平台运营商会给eVTOL分配一个特定的着陆平台，供其在指定的时间段内降落在指定的平台上。乘客离机，通过起降平台所属的航站楼离开，运营商清空平台，以便其他航班可以降落在该平台上，并通过网络发送通知，表明航班在目的地安全结束，此信息将通过实时更新与所有网络用户共享。

eVTOL和无人机、小型飞机相似性高，所以系统构成可参考两者的结合，初步分析包括机身系统、基础设施系统、空中走廊系统、通信导航监视系统、微程序系统和空中交通管理系统。

2.1 机体系统

eVTOL可以在城市内或城市间设置的特定点对点路线上进行乘客运输，飞行过程中受到建筑物、植被、人群等因素影响，合理的航空器应满足自动驾驶、高效、体积小、机动性高等特性，还可以垂直起降。该系统是eVTOL机体，其中包括飞控系统、动力系统、通信系统、电气系统和有效载荷[18]。飞控系统是由控制计算机、传感器、执行机构等构成；
动力系统包括螺旋桨、发动机等；
通信系统包括天线、测控设备、收发器等；
电气系统包括电源、配电系统和用电设备。eVTOL用于乘客运输，有效载荷即为乘客。

2.2 基础设施系统

基础设施包括与eVTOL的数量和类型相匹配的起飞和降落区域、停放区域、充电站和维修中心[19]。构建一个完善的垂直起降机场网络需要建造新的基础设施或将现有的基础设施进行改造，如直升机停机坪、大型公共建筑的屋顶和未投入使用的土地。地面基础设施需要结合特定城市的条件进行综合评估和设计，重要的是考虑不同的着陆平台配置，这取决于建造地点的可用性、空间利用率、功能要求等，可以将地面基础设施分为三大类：垂直枢纽 (vertihubs)、垂直港口(vertiports)和垂直车站(vertistations)。

2.3 空中走廊系统

空中走廊是低空中人为划定的三维区域，用于管理高流量空域，空中走廊有许多不同的形状，小型UAV和eVTOL通常进入不同高度的走廊，以达到分离的目的[20]。运营商可以预先的在空中走廊中构建起飞和着陆路线，类似于传统航空使用的进近程序。空中走廊的设计规范因国家和地区而异，小型UAV和eVTOL必须获得相关许可才能进入。空中走廊具有高灵活性，政府可以根据实际情况进行开通或关闭操作，还可以采用必要的形状来安全有效地对小型UAV和eVTOL进行分隔，例如圆锥体、圆柱体、管道或多个连接管道。

2.4 通信导航监视系统

语音通信将作为主要通信手段，通信系统需要安全可靠地传输车辆数据、预测数据、关键导航数据、指挥与控制、天气数据和其他信息。城市空中交通一般利用全球定位系统、伽利略卫星导航系统或中国北斗卫星导航系统提供导航服务，在到达起飞和着陆区域的时候，eVTOL需要精确制导，以安全引导其着陆。除此之外，在能见度低、风力大、人口稠密的地区，尤其是附近有多栋建筑物和其他固定障碍物的地区，精确制导也尤为重要[21]。而目前的监控技术分为合作监控和非合作监控。合作监视需要飞机设备对询问做出反应或自动报告位置。非合作系统依靠电磁反射来检测目标位置。

2.5 微服务系统

又称为交互软件系统，微服务是基于计算机程序为执行一些功能而构建的软件，可提供乘客在线下单与支付、共享航空器实时信息以及处理紧急情况等服务。随着行业的发展，会出现新的需求，可以创建新的微服务。政府和监管机构可以根据其功能对这些服务进行认证。

2.6 空中交通管理系统

NASA和FAA认为无人机交通管理系统的发展将确定服务、职责、信息框架、数据交换协议、基础设施、性能要求，从而可以进一步对低空不受控无人机的运行进行管理[22]。文献[5]中提出的集中式平台管理是指在计算机程序和远程集群管理技术的协助下，同时控制上千架航空器，对飞行任务进行登记、授权、执行和监督，以确保安全有效地完成飞行。对于城市内的管理来说，一个城市往往只需要一个平台即可预防事故和交通拥堵的情况发生，同时还能提升政府的行政管理水平。集中式调度平台确保了航空器的统一控制，并按照计算机预先设置的路线飞行。

贝叶斯网络是基于概率论中的贝叶斯公式[式(1)]，用一个有向无环图表示的网络框架。贝叶斯网络包含一组离散的概率节点，这些节点通过指定其因果依赖关系的箭头连接，箭头起始端的节点为父节点，指向的节点为子节点[23-24]。离散概率节点的概率是其父节点状态的函数，用条件概率(CPT)表示。每个节点的条件概率表包括其父节点的所有可能组合。概率计算和推导依靠贝叶斯定理进行，其中条件概率可通过专家或从历史数据中获得。节点的值仅取决于父节点的值，网络的表示所有条件概率分布的乘积为联合概率分布，联合概率分布如式(2)所示。

(1)

式(1)中：P为事件发生概率；
P(A|B)为条件概率；
P(A)、P(B)为先验概率；
P(B|A)为后验概率。

(2)

式(2)中：Xi为节点；
i为节点编号，i=1,2,…,n；
πi为Xi在网络中的父节点。

利用贝叶斯网络分析eVTOL事故的优势在于可以同时进行定性和定量分析，而且在eVTOL历史数据不足和不确定的情况下，贝叶斯网络具有极高的有效性和灵活性。

3.1 电动垂直起降航空器事故诱因分析

eVTOL系统结构复杂，每个系统出现故障都有可能导致eVTOL发生事故，同时在城市内载人运输过程中，建筑物、强风、雨雪天气、电磁干扰等都会引发eVTOL系统意外故障，导致伤人事故发生。现在以无人机和小型飞机事故库为基础，从人为因素、设备因素、环境因素和其他因素4个角度对 eVTOL 事故诱因进行分析[25-27]。

3.1.1 人为因素

eVTOL的基本任务是在城市内和城市间安全运送乘客，虽然早期阶段可能需要飞行员，但随着自主化的提升，飞行员将会被取代，只会保留地面指挥中心的监管人员及相关维修人员。因此，eVTOL 发生事故的人为因素主要由乘客、监管人员和地面维修人员。

由于机上既没有飞行员，也没有操作员，乘客需要在飞行前、飞行中和飞行后与交互软件系统进行交互，错误的人机沟通与协调会向系统下达错误指令，使人机交互界面崩溃，除此之外，乘客在机上的一些不安全行为也有可能造成事故发生。监管人员的主要职责是监控eVTOL按预设路径平稳飞行，以及在遇到突发事故和紧急情况下，对eVTOL进行远程干预以缓解不良和不安全系统行为。一名监管人员通过远程监控的方式对多名乘客和多架eVTOL负责，要同时确保eVTOL的飞行状态处于正常值的范围，这有可能会分散监管人员的注意力，遇到突发事故时会影响其干预的准确性，同时要避免不必要的干预和过度干预。地面维修人员主要是因为检查或维修失误导致事故发生，检修的效果会直接影响eVTOL的安全性，最常见的失误是对系统硬件的检修，例如旋翼检修失误、电池检修失误等，这些失误会增加相应部件发生故障的危险。特殊失误是对通信设备的对频失误，使地面指挥中心无法实时监控eVTOL运行，对突发事故无法进行干预，导致事故的进一步扩大。

3.1.2 设备因素

飞行过程中防止机体系统的子系统发生故障是保证城市空中交通安全的重要要素。机体子系统故障(如结构、飞控、电气)可能会在eVTOL运行中造成连锁反应，导致整个系统出现问题。机体系统结构复杂且相对独立，不同子系统出现故障所导致的事故形式也有明显区别。此外，基础设施故障也是需要考虑的因素，垂直起降机场中的充电设备损坏可能给电池带来潜在风险，还需考虑高流动城市的机场维护时间不足导致eVTOL无法降落的问题。

3.1.3 环境因素

环境因素导致的eVTOL发生事故主要与运行时的天气条件有关，当天气条件超出eVTOL所能承受的极限时，其运行会受到较大影响。例如，强风天气会影响eVTOL的整个飞行过程，在起飞和降落阶段，强风有可能导致eVTOL侧倾，致其与起降平台发生刮蹭，巡航阶段的强风可能打破eVTOL的飞行平衡，使其飞行姿态发生改变，偏离预设路径，造成与建筑物或地形发生碰撞和乘客伤亡的事故。而雨雪天气可能会增加eVTOL的重量造成旋翼形变，也可能会使电力系统发生短路。同时，恶劣的天气条件会增大eVTOL电池的损耗，降低最大航程。

此外，城市内部复杂的地形与建筑环境加大了eVTOL的飞行难度，若城市海拔较高，空气密度低，则旋翼需要更高的转速来提供足够的升力，同时密集的建筑群减小了eVTOL缓解突发事故的裕量。自然环境和社会环境的相互作用，形成了复杂的eVTOL运行环境，为其飞行带来潜在风险。

3.1.4 其他因素

除上述3种不同种类的因素外，还有支持 eVTOL 运行的外部系统因素，如全球定位系统(global positioning system,GPS)信号、5G信号衰减，导致对eVTOL的远程操控和通信丢失；
空中交通管理的故障会直接影响到空中走廊内小型无人机和eVTOL的飞行限制和优先顺序、机场起飞和降落空域拥堵加剧，甚至在空中发生相撞；
空中走廊的开放与关闭决定了是否要改变eVTOL的既定路线，临时关闭空中走廊的某一段会造成局部空中交通混乱，走廊内eVTOL的安全间距减小，引发事故。

3.2 贝叶斯网络模型构建

3.2.1 贝叶斯网络结构的确定

通过对eVTOL可能的运行场景和系统构成分析，以eVTOL意外事故发生的因果关系为依据，将其事故后果与事故诱因通过有向无环图表示。如图1所示。

3.2.2 贝叶斯网络参数的确定

由于eVTOL还处于研发或试运行阶段，相关子系统或部件的故障率及失误率可使用传统无人机和传统航空的概率代替。通过在美国国家运输安全委员会(NTSB)和eVTOL News网站的信息收集，部分先验概率如表1所示。

图1 eVTOL事故贝叶斯网络模型Fig.1 Bayesian network model of eVTOL accident

表1 部分故障或失误的概率Table 1 Probability of partial failure or error

(3)

图2 三角模糊数的隶属度函数Fig.2 Membership function of triangular fuzzy

(4)

式(4)中：a1、a2分别为两个三角模糊数较低的最有可能的值；
b1、b2分别为两个三角模糊数较高的最有可能的值；
m1、m2分别为两个三角模糊数最有可能的值。

在传统的贝叶斯网络模型中，节点的失效概率通常是确定的。然而，由于数据的缺乏和系统环境的变化，很难确定准确的失效概率。Zhang等[29]将模糊集合理论应用于贝叶斯网络，并提出了模糊贝叶斯网络。研究表明，在相同的模型和输入数据的情况下，模糊贝叶斯网络不仅可以获得一致的结果，而且更具通用性和准确性[30]。模糊贝叶斯规则可表示为

(5)

式(5)中：xi为根节点的状态变量；
t为叶节点；
T和X分别为叶节点和根节点。

结合式(4)，可以实现基于模糊贝叶斯网络的推理分析。

P(X=xi|T=t)=

(6)

在无法获得精确的事件状态概率的情况下，通常需要借助群决策的方法依据专家经验得出结果。这种方法不仅可以减少专家之间的误差，也可以减少专家不确定性的影响。为了将专家对事件发生概率的评判结果与模糊数联系起来，需要引入“非常低”“低”“偏低”“中等”“偏高”“高”“非常高”7个语言变量[30]。每个语言变量与三角模糊数的对应关系如表2所示。

通过这种方法，可以将专家意见转化为用三角模糊数表示的模糊概率。

表2 事件发生语义值及对应的三角模糊数Table 2 Semantic value of event occurrence and corresponding triangular fuzzy number

3.3 风险分析

作为无人机系统的一个分支，为了评估eVTOL运行风险，Sun等[31]指出，搭载乘客的eVTOL有很大的不同，因为它不受控制地坠落到城市地面将对机上乘客和地面人员构成严重风险，因此，eVTOL乃至整个城市空中交通运营至少要达到传统商业运输航空的安全水平；
Thipphavong等[21]在其对城市空中交通的综述中提出，用于城市空中交通的垂直起降飞机能够对地面人员和财产以及机上人员造成重大伤害。此外，飞机将在城市中心附近飞行，底线是必须是安全的,即可能达到商用运输机所需的水平，甚至更好。目前，普遍接受的传统航空运输风险为10-5每飞行小时，而当前无人机运行的可接受风险为10-8每飞行小时，通过计算eVTOL正常运行时发生安全事故的概率为9.648×10-7，此计算数值高于无人机运行风险阈值，但低于传统航空风险阈值。

3.3.1 不同情况的事故风险

以控制失效为例，计算这种情况下失控坠地、空中碰撞以及中间事件发生概率。在发生控制失效的前提下，各事件发生概率如图3所示。可以看出，在此情况下，失控坠地和空中碰撞发生的概率分别为64.48%和32.09%，导致叶节点发生的中间节点概率最大的是飞控系统断电/故障，为89.70%，其次为飞控系统恢复不足，而eVTOL动力系统失效和旋翼故障发生概率也较大，电力不足发生的概率仅为1.13%。此种情况清晰的展示了该事故诱因向eVTOL失控坠地和空中碰撞底事件发展过程中，各中间事件的发生概率。

图3 控制失效情况下各事件发生概率Fig.3 Probability of occurrence of each event in case of control failure

3.3.2 反向推理分析

根据所构建的贝叶斯网络和条件概率计算失控坠地和空中碰撞发生时各中间事件的后验概率，如图4所示。

从图4可以看出，控制失效、飞控系统断电/故障、飞控系统恢复不足是引发事故的三项主要诱因，而动力系统失效、缺乏可用垂直机场、旋翼故障也有较大可能导致事故发生。因此，在风险缓解的的过程中，可以以此为依据，逐项降低风险概率，提升eVTOL安全运行水平。

图4 失控坠地和空中碰撞诱因概率分布Fig.4 Probability distribution of inducement of uncontrolled falling to the ground and air collision

未来的空域将充满无人机、商用飞机、直升机等飞行器，必须同时确保安全、高率以及与未来技术的兼容性。为了加快eVTOL的普及，延长平均无故障时间，降低事故发生率，需要考虑以下方面。

(1)着重建设空中交通管理系统。空中交通管理系统负责安全引导eVTOL通过人口密集区和敏感地点上空，这表示必须要实现跟踪、识别和远程操纵等功能，负责实现这些功能的eVTOL运营商和相关方需要提供主动风险管理、化解冲突、紧急警报和其他关键服务，而且必须设有紧急和安全响应航空器以便快速到达事故地点[16]。在设计、测试、认证和运行的每一个步骤中，必须始终考虑空域的可用性和完整性。

(2)建立空域服务组织。应当建立空域服务组织，其作用是提供服务以加强和维护行业安全[18]。该组织的安全管理系统应收集实时安全报告，以保持持续安全和改进工作，同时精确监控eVTOL是否遵守飞行授权的情况，此外，这些数据将为政府和行业相关者提供参考，可用于主动改善每个运营商的运营安全性能。这些数据还将使监管机构能够确认，交通复杂性得到了良好的管理，从而支持未来更高容量运营的安全案例。

(1)eVTOL正常运行时发生安全事故的概率为9.648×10-7，此数值低于传统航空运输风险阈值，但高于无人机风险阈值，其中，控制失效、飞控系统断电/故障为主要事故诱因。

(2)通过对控制失效情况下失控坠地和空中碰撞以及中间节点发生概率的计算，说明建立的贝叶斯网络对eVTOL事故分析具有有效性。