崔利杰 ，丁 野 ，孫 超 ，任 博

（1.空軍工程大學(xué)裝備管理與安全工程學(xué)院，西安 710051；2.解放軍95910部隊，甘肅 酒泉 735018）

0 引言

隨著軍用航空器技術(shù)復(fù)雜程度不斷提升，軍用航空器發(fā)生事故的故障模式也愈發(fā)復(fù)雜，由此導(dǎo)致的軍用航空事故愈發(fā)嚴(yán)重，影響也越來越大。當(dāng)前，適航是提升航空器安全水平的重要途徑，軍用適航標(biāo)準(zhǔn)是飛機(jī)的最低安全性要求，無論在飛機(jī)的設(shè)計制造過程中，還是飛機(jī)的使用維護(hù)階段都需要選取合理、準(zhǔn)確的適航條款與要求。軍機(jī)適航條款的選取，既要避免過多、過濫導(dǎo)致安全性成本的盲目增大，更要防止不足與缺項而導(dǎo)致出現(xiàn)安全性問題。由于在任務(wù)特點、管理方式、目標(biāo)定位、進(jìn)度要求等方面與民機(jī)存在很大不同，軍機(jī)適航條款應(yīng)根據(jù)實際需求開展選取和裁剪。因此，如何理清導(dǎo)致航空事故發(fā)生的危險要素以及分析事故發(fā)生可能導(dǎo)致的不同后果，進(jìn)而有針對性地選取相關(guān)條款開展設(shè)計與預(yù)防，是軍用航空器設(shè)計和使用人員所關(guān)注的重要問題。針對航空事故建模與分析這一現(xiàn)實問題，2004年美國聯(lián)邦航空局（FAA）下屬的專業(yè)科研技術(shù)團(tuán)隊開發(fā)出了一套“領(lǐng)結(jié)圖”技術(shù)，英文原稱Bow-Tie，并以此作為事故分析的主要機(jī)制。此套技術(shù)亦被其他負(fù)責(zé)航空安全管理及高危性產(chǎn)業(yè)的安全管理機(jī)構(gòu)所推薦使用［1-3］。

目前，Bow-Tie模型已經(jīng)在工業(yè)界風(fēng)險分析管理領(lǐng)域得到了廣泛的應(yīng)用［4-5］。Refaul Ferdous和Faisal Khan等人建立了在不確定條件下的系統(tǒng)安全性和風(fēng)險分析的Bow-Tie模型，并針對2005年英國石油公司（BP）在美國德克薩斯州的精煉廠爆炸事故的Bow-Tie風(fēng)險分析模型，給出了預(yù)防事故的針對性措施［6］；Celeste Jacinto和 Cristina Silva運用了半量化的Bow-Tie方法針對船舶故障模式構(gòu)建了風(fēng)險分析評價模型，也取得了不錯的分析效果［7］；而Nima Khakzad等人結(jié)合貝葉斯網(wǎng)絡(luò)，建立了針對熱交換器蒸汽點燃事故的Bow-Tie分析模型［8］。在國內(nèi)，賈朋美和於孝春等人將Bow-Tie技術(shù)引入到城鎮(zhèn)燃?xì)夤艿赖娘L(fēng)險管理中，通過定性分析導(dǎo)致燃?xì)夤艿佬孤┑脑蚝秃蠊?，針對性地提出預(yù)防減緩措施［9］。鄭衛(wèi)東等人統(tǒng)計了美軍航母艦載機(jī)的161起飛行事故，采用Bow-Tie模型進(jìn)行了風(fēng)險分析，提出了防范措施和對策［10］。上述研究證明了Bow-Tie模型能夠有效解決傳統(tǒng)事故分析模型量化不足、條塊分割和直觀性、針對性不強的問題［11-12］，為事故分析領(lǐng)域提供了新的思路和方法，目前已在事故分析和風(fēng)險評估中成為了研究熱點。

Bow-Tie模型在工業(yè)風(fēng)險分析中的廣泛應(yīng)用，證實了這種分析方法具有獨到的優(yōu)勢。本文將采用這種方法作為分析工具，以航空機(jī)輪為例，建立起航空器輪胎爆破事故的Bow-Tie模型，進(jìn)而針對模型中的具體環(huán)節(jié)給出預(yù)防措施。根據(jù)模型中的故障模式以及改進(jìn)建議，進(jìn)一步選取與航空機(jī)輪相關(guān)的適航條款，探究通過Bow-Tie模型的適航條款生成方法。

1 Bow-Tie模型方法簡介

Bow-Tie模型結(jié)合了故障樹分析和事件樹分析，第一次把事故的預(yù)防以及事故發(fā)生后的應(yīng)急反應(yīng)統(tǒng)一到一起［13-14］，它以一種可視化的方式，呈現(xiàn)出事故的前因后果。其原理［15-16］如圖1所示。

該模型左邊為故障樹，主要通過故障樹的分析方法從事故出發(fā)向前推導(dǎo)，尋找導(dǎo)致事故發(fā)生的底事件，作為事故發(fā)生的危險源。模型右邊為事件樹，分析該事故可能產(chǎn)生的所有后果。Bow-Tie模型的引入目的是為了進(jìn)行風(fēng)險安全評估，一個完整的風(fēng)險評估過程應(yīng)當(dāng)包含以下4個步驟：

1）對于危險源的識別；

2）對于后果的分析；

3）對于可能性的評估；

4）對于風(fēng)險的評價。

通過建立故障樹實現(xiàn)了對于危險源的識別，通過事件樹實現(xiàn)了對于事件結(jié)果的分析，但是還要對風(fēng)險和結(jié)果建立評價，并給出針對性的預(yù)防解決措施。因此，完整的Bow-Tie模型還應(yīng)當(dāng)包含風(fēng)險管理措施。在Bow-Tie模型中，應(yīng)當(dāng)含有防止頂層風(fēng)險事件發(fā)生的保護(hù)性或前瞻性屏障，其在頂層事件的左邊，同時，糾正或體現(xiàn)控制機(jī)構(gòu)，其在頂層事件的右邊。這些機(jī)構(gòu)用于防止頂層事件導(dǎo)致產(chǎn)生不必要的結(jié)果或減輕該結(jié)果的嚴(yán)重影響程度［1］。

2 航空機(jī)輪的Bow-Tie事故模型研究

機(jī)輪作為航空器起落系統(tǒng)中的重要部件，對于飛機(jī)能否安全起降起著至關(guān)重要的作用，一旦飛機(jī)輪胎發(fā)生爆破，將會嚴(yán)重影響飛機(jī)的安全性水平。通過統(tǒng)計歷史上發(fā)生由于機(jī)輪產(chǎn)品導(dǎo)致的軍用航空事故，發(fā)現(xiàn)導(dǎo)致輪胎爆破是導(dǎo)致飛機(jī)發(fā)生嚴(yán)重事故的主要原因。該事件發(fā)生的危險源涵蓋面廣，基本包括了人為、環(huán)境以及機(jī)械原因中的要素。另外，輪胎爆破所產(chǎn)生的后果也比較復(fù)雜，如果控制不當(dāng)，甚至?xí)?dǎo)致機(jī)毀人亡的嚴(yán)重事故。因此，本文主要針對輪胎爆破事故構(gòu)建航空機(jī)輪的Bow-Tie事故模型，研究導(dǎo)致事故的各類風(fēng)險和事故后果，并提出針對性的風(fēng)險控制建議。

2.1 危險源分析

要建立起以輪胎爆破為頂事件的故障樹，首先就要確定可能導(dǎo)致頂事件發(fā)生的危險源，也就是通過統(tǒng)計確定故障樹的底事件，分析危險源之間的關(guān)系，為故障樹的構(gòu)建提供資料的支撐。

直接造成輪胎爆破的原因有輪胎故障、剎車系統(tǒng)故障以及機(jī)輪故障。導(dǎo)致輪胎故障的原因有充氣壓力低、充氣嘴斷裂、機(jī)輪磨損和輪胎本身的質(zhì)量問題等，在這幾個因素中，充氣壓力低主要是由于維護(hù)不當(dāng)導(dǎo)致，輪胎質(zhì)量問題則是制造廠商的問題，這些都是人為原因?qū)е聶C(jī)械故障的發(fā)生；機(jī)輪磨損既會直接導(dǎo)致機(jī)輪的失效，也會對輪胎造成直接的影響。導(dǎo)致機(jī)輪故障的因素中，由于人為的維護(hù)不當(dāng)造成剎車片誤裝，進(jìn)而造成機(jī)輪損壞。剎車盤掉塊則是由于剎車系統(tǒng)的問題而對機(jī)輪造成不良影響。在導(dǎo)致剎車系統(tǒng)故障的因素中，沙塵導(dǎo)管內(nèi)的異物是由于機(jī)務(wù)人員檢查時疏漏導(dǎo)致，同樣是人為因素導(dǎo)致機(jī)械故障的發(fā)生。異物的存在同時還會對放氣活門以及慣性傳感器造成不利影響，而放氣活門和慣性傳感器故障也會直接對剎車系統(tǒng)造成影響。由于環(huán)境原因?qū)е碌妮喬ミ^熱漏氣，如果不及時維護(hù)，同樣會造成輪胎爆破。各種因素之間相互作用，層層遞進(jìn)共同導(dǎo)致事故發(fā)生。

通過以上分析，不難看出在導(dǎo)致輪胎爆破的各種危險因素中，包含了人為因素、機(jī)械因素以及環(huán)境因素。因此，在探討對于危險源的風(fēng)險控制時，要從人、機(jī)、環(huán)3個完整的角度入手，從各個環(huán)節(jié)入手預(yù)防危險源狀態(tài)的轉(zhuǎn)移。

表1 輪胎爆破故障樹基本事件

2.2 后果分析

輪胎爆破事件發(fā)生后，飛機(jī)由于無法掌控方向，很容易出現(xiàn)沖出跑道、飛機(jī)側(cè)翻以及飛行員由于操作慌亂而導(dǎo)致二次事故的情況。人們針對事故所采取的不同的動作會導(dǎo)致不同后果的發(fā)生。根據(jù)對歷史上飛機(jī)輪胎爆破事件后果的統(tǒng)計，主要有以下幾類不安全后果：

1）由于輪胎爆破碎片造成人員傷亡；

2）輪胎爆破后，由于飛行員操縱失誤，處置不當(dāng)所導(dǎo)致的飛機(jī)失控；

3）由于地面指揮失誤而導(dǎo)致的飛機(jī)失控；

4）由于地面準(zhǔn)備不充分而導(dǎo)致的二次事故的發(fā)生。

通過對以上后果的分析，不難發(fā)現(xiàn)，對于輪胎爆破這起事件而言，不安全后果大多數(shù)都是由于人為的因素所造成的。因此，控制不安全事件向不好的方向發(fā)展，主要的控制措施應(yīng)當(dāng)從人員的控制入手。

2.3 Bow-Tie模型的建立

前文中，研究分析了導(dǎo)致飛機(jī)輪胎爆破事故發(fā)生的危險源以及該事故可能造成的后果。根據(jù)積累的資料［17-18］，能夠建立起關(guān)于輪胎爆破事故的Bow-Tie模型，如圖2所示。表1列出了故障樹的基本事件。通過Bow-Tie模型的建立，比較清晰地呈現(xiàn)了輪胎爆破的危險源以及不同的后果。下面將對識別出的風(fēng)險進(jìn)行分析，給出預(yù)防措施。

3 基于Bow-Tie模型適航條款選取方法

3.1 風(fēng)險控制分析

前文基于輪胎爆破事故建立了Bow-Tie分析模型，確定危險源和研究事故后果，根本目的還是為了對風(fēng)險進(jìn)行防范，減少不期望的事故后果出現(xiàn)。因此，在圖2的基礎(chǔ)上，針對危險事件和時間后果，對輪胎爆破事故進(jìn)行風(fēng)險控制分析。

從故障樹中不難發(fā)現(xiàn)，導(dǎo)致頂事件發(fā)生的各級事件之間的邏輯運算都是或門，這就意味著每一個底事件都可能單獨導(dǎo)致頂事件的發(fā)生。因此，在進(jìn)行風(fēng)險控制時，必須綜合考慮每個危險源可能導(dǎo)致的后果，阻斷危險源向頂事件轉(zhuǎn)化的路徑。建立基于風(fēng)險控制的Bow-Tie航空機(jī)輪事故模型所圖3所示。

根據(jù)前文中建立的輪胎爆破事故分析Bow-Tie模型，針對每一種危險源提供風(fēng)險預(yù)防控制建議，反映到Bow-Tie結(jié)構(gòu)圖上，就是防止危險源向事故發(fā)展的控制手段。進(jìn)一步針對事故可能導(dǎo)致的后果給出預(yù)防措施。

3.2 基于Bow-Tie模型的輪胎爆破適航條款選取

通過基于Bow-Tie模型的輪胎爆破風(fēng)險控制分析，不難看出導(dǎo)致該類事故發(fā)生主要是由機(jī)輪故障、輪胎失效以及剎車系統(tǒng)所導(dǎo)致。因此，預(yù)防輪胎爆破事故的發(fā)生，就要從這3個主要因素入手，結(jié)合相對應(yīng)的適航標(biāo)準(zhǔn)［19］，即可有針對性地選取相關(guān)條款。其中，關(guān)于機(jī)輪有如下可選取以下條款要求：

1）每一機(jī)輪的最大靜載荷額定值，不得小于如下情況對應(yīng)的地面靜反作用力。

a）設(shè)計最大重量；

b）臨界重心位置。

2）每一機(jī)輪的最大限制載荷額定值，必須不小于按本部中適用的地面載荷要求確定的最大徑向限制載荷。

3）過壓爆裂保護(hù)。每一機(jī)輪必須提供防止機(jī)輪和輪胎組件因過度壓力引起機(jī)輪失效和輪胎爆裂的措施。

4）剎車機(jī)輪。每一剎車機(jī)輪必須滿足適用要求。

由于輪轂裂紋、機(jī)輪破裂等是進(jìn)一步導(dǎo)致輪胎爆破的重要危險源之一。生產(chǎn)廠家和維護(hù)單位應(yīng)當(dāng)貫徹適航要求，對于機(jī)輪強度進(jìn)行試驗和校核。

關(guān)于輪胎應(yīng)選取的條款有：

1）當(dāng)起落架輪軸上裝有單個機(jī)輪和輪胎的組件時，機(jī)輪必須配以合適的輪胎，其速度額定值應(yīng)經(jīng)批準(zhǔn)，且在臨界條件下不會被超過，其載荷額定值應(yīng)經(jīng)適航當(dāng)局批準(zhǔn)，且不會被下列載荷超過：

a）主輪輪胎上的載荷，對應(yīng)于飛機(jī)重量（直到最大重量）和重心位置的最臨界組合；

b）前輪輪胎上的載荷，應(yīng)按照對應(yīng)的地面反作用力分析。

2）對于最大起飛重量超過34 050 kg的飛機(jī)，裝在有剎車的機(jī)輪上的輪胎必須用干燥氮氣或表明為惰性的其他氣體充氣，使輪胎內(nèi)混合氣體的氧體積含量不超過5%，除非能表明輪胎襯墊材料在受熱后不會產(chǎn)生揮發(fā)性氣體或采取了防止輪胎溫度達(dá)到不安全程度的措施。

對于輪胎正常承受的載荷和輪胎充氣量，均應(yīng)做出明確的規(guī)定，嚴(yán)格遵守標(biāo)準(zhǔn)要求，能夠減少不必要事件的發(fā)生。

根據(jù)CCAR 25.735條，關(guān)于剎車有以下要求：

1）每一包含機(jī)輪和剎車的組件都必須經(jīng)批準(zhǔn)。

2）剎車系統(tǒng)能力剎車系統(tǒng)及其相關(guān)系統(tǒng)必須設(shè)計和構(gòu)造成。

如果任何電氣、氣動、液壓或機(jī)械連接元件或傳動元件損壞，或者任何單個液壓源或其他剎車能源失效，能使飛機(jī)停下且滑行距離不超過規(guī)定的滑行距離的兩倍。

3）過熱爆裂保護(hù)。對于每個帶剎車的機(jī)輪，必須提供措施防止由于剎車溫度升高導(dǎo)致的機(jī)輪失效和輪胎爆裂。并且，所有機(jī)輪必須滿足要求。

關(guān)于輪胎爆破的適航條款基本覆蓋了對于危險源的識別，并給出了相應(yīng)的預(yù)防方法。因此，通過對適航條款的貫徹，能夠?qū)崿F(xiàn)對于危險源的控制。

4 結(jié)論

作為一種新生的分析理論，Bow-Tie模型能夠直觀清晰地反映出導(dǎo)致飛機(jī)發(fā)生事故的危險源以及危險后果，形成對特定事故一種“前因后果”式的分析模式。通過對各類危險源的識別，人們能夠針對導(dǎo)致事故的成因和后果采取控制措施，實現(xiàn)了從問題認(rèn)識到問題解決的完整過程。

通過統(tǒng)計航空機(jī)輪引起的輪胎爆破歷史事故資料和Bow-Tie模型分析，本文分析了導(dǎo)致事故發(fā)生的人、機(jī)、環(huán)3個層次的危險因素，并分析了在事故發(fā)生后不同行為所導(dǎo)致的危險后果，針對各種風(fēng)險提出了控制措施，通過對適航規(guī)章中相關(guān)條款的分析，構(gòu)建了相應(yīng)的適航條款體系，實現(xiàn)了適航條款與風(fēng)險控制措施的對接，形成了較為完整的定性航空事故分析與預(yù)防研究機(jī)制。在對特定航空事故進(jìn)行分析時，可以將適航分析與Bow-Tie模型相結(jié)合，提出一種航空器適航分析與條款選取的新模式。

參考文獻(xiàn)：

［1］孫殿閣，孫佳，王淼，等.基于Bow-Tie技術(shù)的民用機(jī)場安全風(fēng)險分析應(yīng)用研究［J］.中國安全生產(chǎn)科學(xué)技術(shù)，2010，6（4）：85-89.

［2］COURONNEAU J C，TRIPATHI A.Implementation of the new approach of risk analysis in france［C］//Proceedings of the 41st International Petroleum Conference，Bratislava，Slovakia，2003.

［3］BELLAMY L J.Exploring the relationship between major hazard，fatal and non-fatal accidents through outcomes and causes［J］.Safety Science，2015，71（2）：93-103.

［4］SAUD Y E，ISRANL K，GODDARD J.Bow-tie diagrams in downstream hazard identification and risk assessment［J］.Process Safety Progress，2014，33（1）：26-35.

［5］MARKOWSKI ADAM S，KOTYNIA A.Bow-tie model in layer of protection analysis［J］.Process Safety and Environment Protection，2011，89（4）：205-213.

［6］FERDOUS R，KHAN F，SADIQ R，et al．Analyzing system safety and risks under uncertainty using a bow-tie diagram：an innovative approach［J］.Process Safety and Environmental Protection，2013，91（8）：1-18.

［7］JACINTO C，SILVA C.A semi-quantitative assessment of occupational risks using boe-tie representation ［J］.Safety Science，2010，48（8）：973-979.

［8］KHAKZAD N，KHAN F，AMYOTTE P.Dynamic safety analysis of process systems by mapping boe-tie into Bayesian network ［J］.Process Safety and Environmental Protection，2013，91（1）：46-53.

［9］賈朋美，於孝春，宋前甫.Bow-tie技術(shù)在城鎮(zhèn)燃?xì)夤艿里L(fēng)險管理中的應(yīng)用［J］.工業(yè)安全與環(huán)保，2014，40（2）：14-17.

［10］鄭衛(wèi)東，萬輝，張孝強，等.基于Bow-Tie模型的美軍航母艦載航飛行安全風(fēng)險分析［J］.職業(yè)與健康，2014，30（23）：3352-3355.

［11］DELVOSALLE C，F(xiàn)IEVEZ C，PIPART A，et al.ARAMIS project：a comprehensive methodology for the identification of reference accident scenarios in process industries［J］.J.Hazard.Mater，2006，130（3），200-219.

［12］FERDOUS R，KHAN F，SADIQ R，et al.Analyzing system safety and risks under uncertainty using a Bow-tie diagram：an innovative approach［J］.Process Safety and Environmental Protection，2013，91（1）：1-18.

［13］COCKSHOTT J E.Probability bow-ties a transparent risk management tool［J］.Process Safety and Environmental Protection，2005，83（3）：307-316.

［14］FERDOUS R，KHAN F，SADIQ R，et al.Handling and updating uncertain information in bow-tie analysis［J］.Journal of Loss Prevention in the Process industries，2012，20（1）：8-19.

［15］KHAKZAD N，KHAN F，AMYOTTE P.Dynamic risk analysis using bow-tie approach［J］.Reliability Engineering and System Safety，2012，104（4）：36-44

［16］劉茂.事故風(fēng)險分析理論與方法［M］.北京：北京大學(xué)出版社，2011.

［17］TERRYN W C.Accidents and incidents involving military aircraft（2000-present）［M］.Shenzhen：Cypt Publishing，2011.

［18］DAVID R E.Location of commercial aircraft accidents/incidents relative to runways［R］.Washington DC：Federal Aviation Administration，1990.

［19］中國民航總局.CCAR-25-R4.運輸類飛機(jī)適航標(biāo)［S］.北京：中國民航總局，2011.