Safety analysis of wheel brake system based on STAMP/STPA and Monte Carlo simulation

The wheel brake system safety is a complex problem which refers to its technical state, operating environment, human factors, etc., in aircraft landing taxiing process. Usually, professors consider system safety with traditional probability techniques based on the linear chain of events. However, it could not comprehensively analyze system safety problems, especially in operating environment, interaction of subsystems, and human factors. Thus,we consider system safety as a control problem based on the system-theoretic accident model, the processes(STAMP) model and the system theoretic process analysis(STPA) technique to compensate the deficiency of traditional techniques. Meanwhile,system safety simulation is considered as system control simulation, and Monte Carlo methods are used which consider the range of uncertain parameters and operation deviation to quantitatively study system safety influence factors in control simulation. Firstly,we construct the STAMP model and STPA feedback control loop of the wheel brake system based on the system functional requirement. Then four unsafe control actions are identified, and causes of them are analyzed. Finally, we construct the Monte Carlo simulation model to analyze different scenarios under disturbance. The results provide a basis for choosing corresponding process model variables in constructing the context table and show that appropriate brake strategies could prevent hazards in aircraft landing taxiing.

航空四站气体保障过程的STAMP建模与STPA安全性分析

航空四站气体保障装备的可靠性在不断提高,而气体保障过程中的事故仍有发生,需要一种新的方法系统地去识别新的危险因素,从而提高系统的安全性。从控制的角度结合STAMP和STPA对航空四站气体保障过程进行安全性分析。首先,介绍STAMP/STPA的工作机理;然后,对航空四站气体保障过程构建STAMP模型,采用STPA安全分析方法对航空四站气体保障过程的安全性进行分析,识别不安全控制行为,对生成的不安全控制行为进行场景分析;最后,与事故树分析法(ATA)进行分析结果的比较,从而证实了该方法的优越性。结果表明:采用STAMP模型和STPA安全分析法可以更加全面地识别出不安全控制行为及其原因,更有利于保证航空四站气体保障过程的安全。

结合STPA和DEMATEL-ISM的民机起落架收放系统风险研究

为从系统整体角度完成对起落架收放系统的风险辨识和影响分析,将系统理论过程分析(Systematic Theory Process Analysis,STPA)与决策实验室分析-解释结构模型(Decision Making Trial and Evaluation Laboratory Interpretive Structural Modeling,DEMATEL-ISM)相结合来开展分析。首先,定义事故和系统级危险,以民机进近阶段放下起落架为例,运用STPA完成对风险因素的系统化辨识;其次,基于最大平均熵减(Maximum Mean De-entropy,MMDE)算法帮助DEMATEL-ISM模型确定阈值,完成对风险因素影响的重要性分析并识别可能引发系统级危险的风险传递路径,据此挖掘关键致因场景,以给出风险预防建议。结果显示:线路性能退化或失效、位置作动控制组件(Position Action Control Unit,PACU)核心处理器故障为关键原因因素,收放作动筒作动异常、机组成员操作不当、起落架指示灯显示异常、起落架液压选择阀作动异常、PACU信息接收有误为关键结果因素,这些因素均涉及多条可能引发系统级危险的风险传递路径,应予以重点控制。

基于STPA和FTPN的海上自主水面船舶航行实时风险评估

为实时监测海上自主水面船舶(MASS)航行过程风险,基于系统理论事故模型与过程(STAMP)建立MASS的安全控制结构,采用系统理论过程分析法(STPA)确定损失/事故和系统级危险,识别不安全控制行为并分析损失场景,构建系统状态转化过程模型;采用模糊时间Petri网(FTPN)建模,以设定的MASS航行场景得到相关模糊时间函数并推算FTPN的情态演进;引入新的风险水平表达式并通过系统实时损失/事故二维路径图来可视化系统的实时风险水平和系统不安全状态的转化路径。结果表明:设定的航行场景在当前时刻下,缺少安全水深输入、未更新避碰路径、航向航速不安全、搁浅是风险最高的系统不安全状态,并对应4条风险最高的转化路径;STPA驱动下的FTPN过程模型能全面评估MASS航行的实时风险水平,以系统实时损失/事故二维路径图作为可视化界面,用于监管MASS航行中不安全系统状态并描述其转化路径。

高铁应急调度STAMP/STPA安全性分析

为克服传统安全分析模型不能评估高铁调度系统中组件之间复杂交互的缺陷,基于系统理论的事故过程模型(STAMP),将高铁应急指挥系统中人员与设备之间交互安全性问题视作系统控制和反馈问题,构建高铁应急调度控制反馈模型,识别系统安全风险与约束;采用系统理论过程分析法(STPA),分析不安全控制行为及诱发不安全控制行为的控制缺陷;基于台高铁脱轨事故实例分析,验证STAMP/STPA应用于高铁应急调度安全分析的有效性。结果表明:构建的高铁应急调度控制反馈模型可分析得到高铁应急调度指挥的风险因素为感知或执行误差、决策失误、接收或执行时延;同时通过该模型可演绎安全约束失效路径。

基于STAMP—STPA的LNG储备库典型事故正演模型构建

在相关事故概率统计数据缺少的情况下,为提高LNG储备库的整体安全性,解决传统安全性分析方法无法考虑复杂系统内部关联性、事故分析思路较为分散、忽视组件交互及宏观控制的问题,保证液化天然气储备库分层翻滚事故和火灾事故正演结果的准确性,建立基于系统论事故分析模型(Systems-Theoretic Accident Modeling and Process,STAMP)及系统理论过程分析(System-Theoretic Process Analysis,STPA)的LNG储备库典型事故正演模型,使得后续系统隐患分析、事故原因分析的更加全面完善。首先,根据LNG储罐分层翻滚事故和火灾事故过程中涉及的设备设施、工艺流程及相互间的关联关系,对事故进行初步危险分析、辨识导致事故发生的各个因素、找出危险的关键节点,并在此基础上分析事故所在系统的安全需求及对应的安全性约束,包括可能导致事故发生的控制与反馈操作,建立STAMP模型,模型需包含相关设施、组件之间的控制、反馈关系,和控制反馈回路;然后,采用STPA方法识别LNG保障过程中的四种不安全的控制行为(未提供的控制行为、提供错误或不安全供控制行为、未及时提供控制行为、控制行为结束过早),并从控制行为执行不充分、反馈信息错误或不足两方面分析事故整体过程中涉及到的初始值(如储罐LTD参数)、当前状态(如进液操作)以及状态转换(如储罐与冷却完成准备进液),找出导致不安全控制行为的关键原因,建立完整的LNG储备库典型事故正演模型;最后,结合具体事故案例验证分析LNG储备库典型事故正演模型的有效性与可实施性,并将分析结果可视化,以知识图谱的方式直观展现。研究表明:该模型可从控制和约束角度对复杂系统LNG储备库典型事故进行过程分析,使得事故演化过程更加直观、准确,原因梳理更加清晰;从系统的角度考虑了各风险因素在分层翻滚事故和火灾事故正演中的因果关系,为后续LNG储备库的安全管理工作提供了可行、有针对性的价值信息。

基于STPA-BN的船舶航行人为风险因素分析与评估

人为因素是引发船舶事故的最主要因素之一,为了研究船舶人为风险因素的因果关系,从中国海事局发布的船舶事故报告出发,引入系统理论过程分析-贝叶斯网络(STPA-BN)模型对船舶航行人为风险因素进行分析和评估。采用系统理论过程分析(STPA)方法识别出船舶航行中存在的不安全控制行为,结合事故报告内容提取出12种人为风险因素,利用风险因素的内在因果关系和结构学习功能构建贝叶斯网络拓扑结构;将事故报告量化,并对网络进行参数学习,对模型进行验证。在此基础上,利用贝叶斯网络(BN)的推理功能得到船舶航行中7种突出的人为风险因素和3条事故核心致因链,为保障船舶安全航行与船员培训提供数据支持。

基于STAMP/STPA的LNG船对船过驳系统安全性分析

针对LNG船对船过驳作业具有高危险性和高复杂性的特点,探究在作业过程中其复杂系统部件发生异常交互的安全性问题,基于系统理论和控制理论构建LNG船对船过驳系统的STAMP控制关联模型,将船对船过驳系统拆分为多个层次结构,形成约束控制和反馈,并采用系统理论过程分析STPA方法,识别过驳作业中的系统级事故、系统级危险,以及潜在的不安全控制行为,构建考虑了人工控制器的过驳系统致因场景分析模型,从系统控制缺陷、反馈缺陷和协调缺陷3个方面提出了系统中的22个致因因素。结果表明,LNG过驳系统中潜在致因因素众多,传感器系统失效、控制阀失效和操作员人为因素等是引发多个系统级危险的重要原因,并从致因因素出发提出安全控制措施。该方法应用于具有人、软件、设备等大量交互的船舶过驳动态作业中,不仅克服了仅关注关键部件故障和不能包含系统动态行为的局限性,同时还考虑到系统中未发生故障组件之间的不安全交互相关问题。

基于改进STPA-DEMATEL的智能航电系统致因要素分析

针对智能航电系统在非线性耦合运行场景下产生的预期功能安全(safety of the intended functionality,SOTIF)问题,提出一种将系统理论过程分析(systematic theory process analysis,STPA)与决策试验与评价实验法(decision-making trial and evaluation laboratory,DEMATEL)相结合的致因分析框架。首先,在定义系统级危险的基础上构建安全控制结构,识别其不安全控制行为并提取与智能化缺陷相关的STPA致因要素。接下来,引入毕达哥拉斯模糊加权平均算子和闵可夫斯基距离对传统DEMATEL方法进行优化,专家根据控制反馈回路对致因要素进行评价并计算其中心度与原因度。最后,分析STPA致因要素与SOTIF致因属性之间的映射关系,给出关键致因要素的风险减缓措施。以单一飞行员驾驶(single-pilot operation,SPO)模式下的虚拟驾驶员助理系统为例说明了所提方法的可行性与有效性。研究结果表明,改进的STPA-DEMATEL方法可以有效识别关键致因要素,且能够克服专家评价的模糊性与不确定性,为智能航电系统的安全性设计提供了参考依据。

导弹攻击过程的STAMP/STPA任务失效及仿真研究

在采用传统的安全分析方法进行安全性分析时,常常关注系统的组件可靠性,很难避免由于组件交互、软件设计缺陷等引起事故的发生。STAMP把安全问题看作是控制问题,认为事故是由于控制不足导致的。文中以导弹攻击过程为例,建立导弹攻击过程的STAMP模型,采用STPA方法识别了导致导弹攻击任务失效的不安全控制行为,同时进行关键原因分析,最后对其中部分不安全控制行为进行仿真分析,为减少导弹攻击任务失效和导弹设计提供了参考。

基于STPA方法的智能船航行风险评价指标体系构建

针对智能船航行安全风险致因辨识问题,基于STAMP理论,构建基于船员功能替代的智能船系统模型。将船舶航行风险视为系统安全控制问题,运用STPA方法进行风险致因因素分析,在此基础上从组分失效、外部环境干扰和不安全交互三个维度构建智能船航行风险评价指标体系。该指标体系涵盖要素广、风险针对性强,能够科学客观地表征船舶航行系统的安全状态,相关成果为后续开展智能船航行风险定量化评估工作奠定了基础。

融合STPA及有限状态机的ADAS触发条件生成机制

现有高级辅助驾驶系统(Advanced Driver Assistance Systems,ADAS)功能不断增多且系统复杂性不断提高,不可避免带来了预期功能安全(Safety of the Intended Functionality,SOTIF)问题。触发条件的识别与生成是预期功能安全活动中重要的一环,然而现有对触发条件识别仅借助系统过程理论分析方法(System Theoretic Process Analysis,STPA)进行分析,未充分考虑系统功能状态转换中存在的问题。本文以知识驱动的方式构建触发条件识别机制,将STPA及有限状态机(Finite State Machine,FSM)理论融合构建拓展型系统控制结构,针对拓展型控制架构及功能状态转换进行安全分析,根据系统存在的功能局限及人为误用,完成触发条件的识别、生成、规范化描述、分类及标签化。最后将本文提出的触发条件生成机制应用于集成式巡航辅助系统(Integrated Cruise Assistance,ICA),得到了该系统的触发条件及其分类,并将本文所提出的生成机制与现有相关触发条件生成方法进行对比分析,证明了本机制的实用性、可行性及有效性。

基于全自动运行系统组织扩展模型的STPA-M方法及应用

全自动运行系统实现了车上无人驾驶列车的功能改变,对整个系统运营组织方式也带来了全新的模式变化,进一步需要考虑系统设备之上的组织层面的安全分析与管理。基于系统理论过程分析STPA危险分析方法,针对全自动运行系统组织层面的危险辨识提出适应组织控制器的扩展模型OEM-AM,识别全自动运行系统运营组织缺陷OF-AM,补充STPA方法对于组织层面危险分析的不足。以全自动运行系统危险分析应用为例,构建危险分析进程模型,分别基于STPA与STPA-M方法进行危险源辨识并比较致因结果。比较结果表明,STPA-M方法能够对全自动运行系统危险进行更全面的辨识,可以补偿传统安全分析方法在组织方面辨识的缺陷,更大程度地保障线路运营组织安全。

STPA和CREAM方法在飞行冲突调配人因差错研究中的应用

为了研究管制员飞行冲突调配的人因差错问题,进而有效评估管制员解决飞行冲突的可靠性,以保障空中交通的安全运行,提出系统理论过程分析(System Theoretic Process Analysis, STPA)与认知可靠性与失误分析方法(Cognitive Reliability and Error Analysis Method, CREAM)相结合的人因可靠性分析方法。首先,通过STPA方法构建系统控制模型,识别不安全控制行为(Unsafe Control Action, UCA)以及致因因素,找到管制员在调配飞行冲突过程中可能存在的差错行为;其次,基于CREAM扩展法对管制员的差错行为进行定量分析,得到管制员调配飞行冲突的人因失误概率。研究显示:使用该方法能够系统、全面地识别出管制员在调配飞行冲突过程中出现的差错行为,进而计算管制员飞行冲突调配的人因失误概率。实例分析表明该方法可以预测管制员在飞行冲突调配过程中的人因失误概率及可靠性,为管制员人因可靠性分析提供了新思路。

STPA危险分析方法及其在ATSA-ITP设计中的应用

传统危险分析方法无法胜任对复杂的非线性社会技术系统的分析。系统理论过程分析(STPA)方法是建立在系统理论事故建模和过程(STAMP)基础上的一种新型的危险分析方法,它将安全视为系统的一种涌现特性,认为除了组件失效,组件间的非功能交互也是导致危险的主要原因,并通过定义系统危险、绘制安全控制结构、识别不安全控制行为、确定不安全控制行为起因等4个步骤完成危险分析过程。美国的空中交通态势感知尾随程序(ATSA-ITP)设计案例分析表明,STPA方法的组织形式有序,逻辑结构严谨,分析过程透彻。

STPA与ARP4761中的安全性分析方法对比研究

STPA是一种自顶向下的系统工程方法,可用于对复杂系统进行安全性分析,但目前对该方法的应用流程尚不具体,未表明其与传统安全性分析方法的异同,无法很好地体现出该方法的先进性和适用性。通过对比分析STPA方法与ARP4761中提供的安全性分析过程,说明STPA方法对于军用标准GJB900A-2012的符合性,指出其不足之处,并在功能控制结构、不安全控制行为识别、致因分析三个方面提出改进措施,提供符合现代飞机高技术特性的、值得借鉴的理论方法和流程指南,形成复杂航空产品乃至军用飞机系统级安全性设计流程,加深理论与实践的融合,可为STPA方法的进一步发展完善提供借鉴和参考。

基于STPA的鱼雷发射安全性分析

针对复杂鱼雷发射系统传统安全性分析方法的局限性问题,提出了一种新的鱼雷发射安全性分析方法。采用系统理论过程分析方法对鱼雷发射安全性问题进行研究。通过系统级分析建模,识别鱼雷发射过程的不安全控制行为,分析其产生的关键原因;构建鱼雷发射安全性计算分析框架,选取具体不安全控制行为作为计算分析对象,开展了基于STPA的鱼雷发射定量安全性分析。结果表明,采用STPA方法可为鱼雷发射安全性设计提供指导。

基于STPA与多智能体的列控运营场景危险分析及仿真验证方法

针对列控系统运营场景危险行为与危险致因辨识的复杂性特征及其缺乏有效的仿真验证手段等问题,考虑致因因素间呈现的非线性特点,提出1种将系统理论过程分析(STPA)方法与多智能体仿真技术相结合的列控运营场景危险分析及仿真验证方法。以单电台无线闭塞中心(RBC)切换场景为例,构建分层控制多智能体结构模型,利用STPA方法辨识RBC切换场景下潜在的不安全控制行为,分析导致不安全控制的危险致因,并针对危险致因制定系统安全约束;结合多智能体仿真技术,设计与构建RBC切换场景多智能体仿真平台,通过危险致因和安全约束的分别注入,对危险场景进行仿真分析,验证危险分析的正确性以及安全约束的可行性。依托京广高铁武汉—广州段下行线某区段数据,以RBC切换场景中的不安全控制行为RBC1-ATP-USCA-7为例进行仿真验证。结果表明:未加安全约束条件时,存在行车事故风险;而在注入安全约束后,行车安全得到相应的保障。

面向IMA通用系统管理的STPA安全性分析

通用系统管理(GSM)是综合模块化航电(IMA)系统服务中不可或缺的一部分,为解决传统安全性分析方法难以捕获复杂系统中组件交互所带来的危险。首先,研究GSM的工作环境及相关组件的功能划分,确定层次化系统管理的工作流程;其次,面向GSM建立基于系统理论事故过程的扩展模型,并通过系统理论过程分析(STPA)对动态重构实例的不安全控制行为(UCA)进行识别,生成相关致因场景及其对应的安全性需求;最后,通过时间自动机对实例进行仿真验证。结果表明:模型的逻辑和时序的完整性及UCA的可达性,可为GSM的安全性分析提供形式化依据。

基于STPA的机载平视显示系统安全性分析

平视显示(Head-up Display,HUD)系统属于航电安全关键系统,可以提高低能见度下的飞机运行安全,需要在系统研制过程中开展完善的风险识别与分析。随着系统复杂性的增加,传统方法很难捕获系统组件交互带来的危险。为此,采用系统理论过程分析(Systematic Theory Process Analysis,STPA)对HUD进行分析,充分考虑系统的多方交互,识别系统潜在的不安全控制行为,同时利用时间自动机理论及其工具UPPAAL对系统进行建模,验证STPA识别的不安全控制行为;最后设计了一个路径算法,对导致其发生的危险路径进行检索。结果表明,该方法能够识别出系统潜在的危险及其原因,减少了人为因素对分析的影响。