Проблемы управления риском для безопасности полетов (SRM), побуждают авиакомпании (АК) объединять свои усилия. При поддержке ЕASA в 2007г. была создана рабочая группа, которая поставила своей целью найти решение проблемы SRM для АК - Airline Risk Management Solutions (ARMS). В группу вошли специалисты Air France, British Airways, FinnAir, Emirates и других крупных АК, а также концерна Airbus, корпорации ОВД Великобритании NATS, нефтяной компании Shell и других организаций.
Сходными проблемами в числе других задач занимается и Европейская группа по безопасности полетов (БП) коммерческой авиации ECAST.
Подход этих групп, изложенный в [1, 2], отличается от традиционного другими матрицами риска с большим числом компонентов, хотя и использует фактически те же методы оценки риска ИКАО: «реактивный», «активный» и «прогностический». При этом новый подход согласуется с результатами работ по снижению уязвимости сложных систем [3] и с некоторыми руководствами по СУБП авиационных администраций [4].
Вопросы применения в деятельности АК нового метода в части оценки и мониторинга риска произошедших событий рассмотрены в статье [5]. Данная статья, посвящена «прогностической» составляющей предлагаемой методологии.
1. Общая характеристика нового подхода
Предлагаемые по сравнению с РУБП ИКАО изменения касаются оценки риска. Это прежде всего ожидаемый риск, однако АК интересует и текущий риск (рис. 1).
Рис. 1 Исходные данные и цели оценки риска авиакомпании. Для прошлых и будущих рисков применяются разные процедуры, общая схема процесса приведена в [5] на рис. 2. Оценка рисков прошлых событий производится с помощью процедуры ERC [5] и полученные при этом данные вместе с планируемыми изменениями используются для расчета ожидаемых рисков.
В дополнение к используемым в [5] приведем еще несколько терминов из [1] и [2].
Опасность (Safety Issue) – проявление ФО или комбинации нескольких ФО в особых условиях.
Барьер предотвращения (Avoidance) – мера, препятствующая наступлению нежелательного события под воздействием ФО.
Барьер парирования (Recovery) – мера, препятствующая развития нежелательного события до уровня авивционного происшествия (АП).
Нежелательное событие – НС - (Undesirable Event) – этап развития сценария АП, когда АП можно избежать, только если барьер парирования есть в наличии и задействован.
Метод оценки риска опасностей (Safety Issue Risk Assessment -SIRA) – процедура определение величины риска опасностей с учетом влияния барьеров безопасности.
2. Процедура оценки риска опасностей – SIRA
Схема развития АП, используемая в процедуре, представлена на рис. 2.
Рис. 2 Сценарий развития АП и компоненты предлагаемых матриц оценки риска. Опасность выявляется на основе процедуры ERC [5] с учетом изменений в деятельности АК и может быть местным проявлением одного ФО (например, проблема борьбы с обледенением на данном типе ВС) или комбинации ФО на каком-то этапе эксплуатации (например, на конкретном аэродроме имеем сложный рельеф, короткую ВПП, перенесенный маяк ILS, попутный ветер, недостатки схемы захода и т. д.).
Нежелательное событие (НС) - это точка, в которой ход события начинает выходить из-под контроля, граница между «предотвращением» и «парированием». На основании опыта расследования авиационных событий ввод понятия НС и разделение барьеров безопасности на две группы представляется вполне оправданным.
Классификация исхода события требует обсуждения. Представляется, что здесь не следует использовать классификацию опасных ситуаций из АП-25, т. к. в данном случае речь идет не о «ситуации», о конечных состояниях после использования всех барьеров.
В качестве простого технического решения задачи расчета риска по данной схеме в [1] предлагается последовательно использовать три матрицы (рис. 3):
Рис. 3 Матрицы риска процедуры SIRA. Первая матрица оценивает частоту проявления ФО и барьеры предотвращения НС. Частота ФО рассчитывается по статистическим данным. Значения диапазонов частот на рис. 3 увеличены на порядок по сравнению с предлагаемыми в [1], т. к. АК обычно не работают с вероятностями (частотами) менее 10-6.
Барьеры – это фильтры, через которые проникает какая-то часть событий, оценка их эффективности выполняется экспертами.
Вторая матрица использует тот же масштаб для барьеров парирования и объединяет их с уровнем серьезности вероятного исхода события или в терминах [3] - с вероятными конечными состояниями рассматриваемой системы.
Результат двух матриц в виде буквенно-цифрового показателя риска является входной информацией для третьей матрицы, которая и выдает уровни риска по «светофорному» принципу. При этом. в этой матрице на рис. 3 исключены два промежуточных цвета риска, присутствующие в [1], поскольку есть веские основания считать, что ввод цветов сверх трех в матрице 5x5 не увеличивает ее «полезности» [5].
Определение приемлемости риска и разработка мероприятий выполняется в соответствии с принятым в АК порядком и не представляет методологической сложности.
Рассмотрим пример расчета риска.
Пусть в результате анализа выявлена опасность - выкатывание ВС за пределы ВПП после посадки из-за снижения эффективности тормозной системы по причине ошибки ТО. По известным данным рассчитано, что такая ошибка происходит примерно один раз на 1000 полетов, т. е. частота равна 10-3. Нежелательное событие здесь - это посадка на ВПП, где необходима полная эффективность тормозов. Барьеры предотвращения – это действия, наблюдения, которые позволили бы выявить ошибку ТО до посадки. Но этот дефект проявляется только там, где необходимо полное торможение, поэтому барьеров предотвращения нет, т. е. частота их отказа 1. Входим с этими данными в первую матрицу и получаем цифру показателя «5».
Барьеры парирование - это действия для обеспечения безопасной посадки, несмотря на дефект. В данном случае таким барьером может быть использование реверса до полной остановки. Эффективность парирование оценивается как 9 из 10, т. е. частота отказа барьера равна 10-1. Наиболее вероятный исход – выкатывание ВС за пределы ВПП с серьезными повреждениями, но без человеческих жертв - авария. По этим данным из второй матрицы имеем букву показателя риска «С».
Входя с полученным показателем риска «5С» в третью матрицу, имеем «красный» риск, который является неприемлемым и требует серьезных действий руководства АК.
Принципиальные отличия процедуры SIRA от процедуры классификации риска событий ERC, описанной в [5], состоят в следующем.
В ERC анализируются произошедшие события, которые смогли или не смогли достичь уровня НС или развиться дальше. Поэтому некоторые барьеры обычно уже были «сломаны», мы не можем влиять на прошлое и учитываем только те барьеры, которые остались на месте. Рассчитывается риск, который был там и тогда. Эти риски можно складывать, выполнять мониторинг и по нему выявлять опасности на будущее. При этом картина вероятных опасностей будет постоянно меняться.
В SIRA мы оцениваем риск конкретной опасности на сегодня и завтра, априорно считая, что все барьеры находятся на месте и не сломаны. Поэтому необходимо обсудить ФО, барьеры и серьезность события с помощью расчета всех четырех компонент риска.
2. Новый метод оценки риска в контексте анализа уязвимости сложной системы
В [1] и [2] не приведено какого-либо теоретического обоснования и математического описания предлагаемых методов. Между тем, подход и схема развития события (рис. 2) согласуются с результатами работ по снижению уязвимости сложных технических систем (СТС) и критически важных объектов, приведенными в [3].
Под уязвимостью обычно понимается открытость, восприимчивость системы к различным негативным воздействиям. В руководстве [4] это свойство, названное “exposure” является компонентой расчета риска для БП, хотя непосредственно термин «уязвимость» (vulnerability) в [4] не используется.
Математически в [3] уязвимость V определяется как условная вероятность выхода конечного состояния системы из заданной области ξo пространства состояний Ωm в случае, если произойдет инициирующее событие H:
(1) Для АК состоянием системы можно считать наличие или отсутствие «конечных событий», а заданной областью пространства состояний - область приемлемого риска.
Далее, в [3] цепочка событий, приводящая к разрушению системы, имеет аналог нежелательного события (НС) в виде «локального повреждения». Соответственно, уязвимость определяется двумя факторами, а в нашей терминологии – двумя группами барьеров безопасности.
Указанные общности в подходе дают возможность использовать результаты [3] и записать в принятых обозначениях сценарий авиационных событий как
(2) где {S} - вектор «конечных событий» системы (авиакомпании), его компоненты – вероятности реализации этих событий.
[VR] - матрица уязвимости барьеров парирования, компонентами которой являются условные вероятности наступления «конечных событий» в случае различных НС;
[VA] - матрица уязвимости барьеров предотвращения, компонентами которой являются условные вероятности наступления НС в случае воздействия различных ФО;
[H] - вектор факторов опасности (ФО), его компоненты – вероятности различных ФО.
Матрицу [VA] можно рассматривать как матрицу перехода от вектора ФО [H] к вектору НС {E} и на основании формулы (17) из [3] записать:
(3) С помощью формулы (3) осуществляется переход от большого числа ФО к гораздо меньшему числу НС (m<<n), что позволяет существенно снизить размерность задачи.
Матрица [VR] представляет собой матрицу перехода от вектора НС {E} к вектору «конечных событий» по аналогии с формулой (18)из [3]:
(4) Работа по снижению уязвимости начинается с анализа строения матрицы уязвимости парирования [VR] , это позволяет выявить критические НС. Так, для матрицы, представленной ниже (данные условные), наиболее опасным является НС E2.
Графически матрицa изображается диаграммой вероятностей конечных событий.
Рис. 4 Диаграмма уязвимости барьеров парирования. Далее рассматривается матрица [VA], которая позволяет определить наиболее опасные ФО. Действия по снижению уязвимости включают разработку соответствующих барьеров как предотвращения, так и парования.
Построение точных математических моделей для сценариев развития отказов СТС, как отмечено в [3], не представляется возможным. Это тем более справедливо для человеко-машинных систем, каковыми являются авиакомпании. Поэтому важно идентифицировать наиболее критические сценарии. Возможно применение специальных методов снижения уязвимости, например, сетевых структурных моделей, описанных в [3], и здесь не обойтись без разработки специального программного обеспечения. В этой связи приведенные аналогии между методом группы ARMS и результатами исследований уязвимости СТС могут быть интересны для разработки математического алгоритма оценки риска, применимого на уровне АК.
3. Выводы
- Рекомендуемый группой ARMS метод оценки риска опасностей SIRA свободен от многих недостатков традиционных схем, понятен, прост и может быть рекомендованы для апробации в авиакомпаниях.
- Выявленное сходство результатов работы группы ARMS и результатов исследований по оценке уязвимости СТС подтверждает обоснованность методологии ARMS и позволяют надеяться на возможность ее реализации в виде компьютерной программы.
В. Д. Шаров, к. т. н. ООО «Волга-Днепр-Москва» (Проблемы БП №12, 2009г)
