Системный анализ аварийных комбинаций событий при управлении человеко-машинными системами

Глава 4. Задача управления предотвращением аварийных комбинаций событий

вращению аварийных комбинаций событий подготавливаются и осуществляются на различных интервалах времени.

Предотвращение аварийных комбинаций событий на среднесрочных интервалах времени. С использованием программы «ET-1» были получены следующие минимальные ПУФ для дерева Dдвиг: {e29, e21, e22,

e16, e17, e14, e8, e24, e9}, {e29, e21, e22, e15, e23, e14}, {e29, e21, e22, e12},

{e18, e19}.

Пусть для решения задачи предотвращения аварийных комбинаций событий на среднесрочном интервале [tн, tк] требуется сделать перечисленные выше минимальные сечения практически нереализуемыми. Для этого достаточно исключить (сделать практически невозможными) все события любого из перечисленных ПУФ. Типовые мероприятия по уменьшению вероятностей неблагоприятных событий и их аварийных комбинаций приведены в табл. 4.2.

Например, краткий предполетный визуальный осмотр самолетов на предмет их технической готовности к полету включает осмотр по обоим бортам передней стойки шасси (отсутствие в отсеке для шасси посторонних предметов и потёков технических жидкостей), съёмников давления на носу самолёта (отверстия не должны быть заблокированы для надлежащего измерения скорости), антенн радиосвязи и спутниковой навигации, целостности фюзеляжа и крыла, любые деформации, механизации крыла (отсутствие потёков гидравлической жидкости – утечка влечет потерю управляемости самолета), основной стойки шасси в районе крыльев, шины, отверстие для заправки (потёки топлива), отверстия для поступления воздуха в самолет (не должны

61

Резчиков А. Ф., Богомолов А. С. Системный анализ аварийных комбинаций событий

быть заблокированы), хвостового оперения на предмет деформаций и повреждений. Таким образом, перечисленные в табл. 4.2 мероприятия конкретизируются в зависимости от роли ЛПР или оператора АТС.

Часть мероприятий может быть недоступна в силу ограничения имеющихся ресурсов, однако отметим, что развитие аварийной комбинации событий парируется путем предупреждения отдельных – не всех – событий цепочки, выбираемых по предлагаемым алгоритмам. Так что вместо события, которое неустранимо, в ряде случаев можно парировать другое, устранимое событие, составляющее с первым аварийную комбинацию.

Пусть условие (4.2) на практике сводится к минимизации суммарной стоимости мероприятий, проводимых по исключению рассматри-

ваемых событий на отрезке [tн, tк]: åa(e)P(e) ! min, где a(e) = 1, если

e2List(D)

62

Глава 4. Задача управления предотвращением аварийных комбинаций событий

мероприятия по исключению события e проведены и a(e) = 0 иначе, P(e) – затраты на мероприятия по исключению e на отрезке [tн, tк], утвержденные ЛПР для конкретного участка АТС, воздушного судна и располагаемых ресурсов с учетом (4.3)–(4.5) и табл. 4.3 с оценками затрат в условных единицах.

Рассчитывая затраты на реализацию найденных ПУФ {e18, e19},

{e29, e21, e22, e12}, {e29, e21, e22, e15, e23, e14}, {e29, e21, e22, e16, e17, e14,

e8, e24, e9} по табл. 4.2, получаем соответственно 39, 34, 59, 75. Отсюда следует, что решением задачи будет исключение пути {e29, e21, e22, e12}. Мероприятия для исключения этих событий перечислены в табл. 4.4.

Перечисленные в табл. 4.4 меры, принимаемые в совокупности, позволят наиболее рациональным способом исключить возникновение рассматриваемых аварийных комбинаций событий.

Предотвращение аварийных комбинаций событий в ходе полета воздушного судна. Рассмотрим сценарий развития аварийной комбинации событий, соответствующей минимальному сечению {e12, e15, e16, e18} дерева Dдвиг. На этапе снижения в одной из мотогондол разрывается топливный трубопровод и из-за перегрева поверхностей вытекшее топливо воспламеняется. При этом отказывает пожарный кран двигателя и подача топлива продолжается, что усиливает пожар (огнегасители

63

Резчиков А. Ф., Богомолов А. С. Системный анализ аварийных комбинаций событий

в таких ситуациях, как правило, его не устраняют). Поступает сигнал экипажу, но экипаж ошибается и задействует стоп-кран другого двигателя, тот останавливается. В это время в первом двигателе продолжается пожар, пассажиры и бортпроводники замечают шлейф дыма (в частности, для этого запрещается при взлете и посадке держать шторки иллюминаторов закрытыми) и экипаж получает сообщение об этом. Экипаж задействует стоп-кран горящего двигателя, тот останавливается, оба двигателя оказываются отключенными. В результате длительного и сильного пожара в первом двигателе прогорает и разрушается пилон, двигатель отделяется от самолета, из-за чего возникает поперечный дисбаланс. Возникает необходимость экстренной посадки, условия которой усложняются паникой в салоне, сниженной скоростью, потерей основных источников электро- и гидропитания вследствие выключения двигателей. Определим вероятность реализации такого сценария и возможные меры парирования аварийной комбинации событий e12 – разрыв топливного трубопровода, e15 – перегрев поверхностей мотогондолы, e16 – отказ пожарного крана двигателя, e18 – ошибка пилота при отключении неисправного двигателя.

Рассмотрим ситуацию возгорания в одной из мотогондол на этапе снижения. Из документации и практики известно, что это обычно происходит при разрыве топливного трубопровода (событие e12) в комбинации с действием источника возгорания (e13 – следствие e15). В случае отказа пожарного крана двигателя (e16), когда подача топлива продолжается, возгорание развивается. Сигнал о возгорании поступает экипажу, пилот пытается остановить горящий двигатель, но ошибается и использует стоп-кран другого двигателя. В результате останавливается нормально работающий двигатель (e18). В это время пожар в первой мотогондоле развивается, прогорает и разрушается пилон, двигатель отделяется

64

Глава 4. Задача управления предотвращением аварийных комбинаций событий

от самолета, возникает поперечный дисбаланс судна. В условиях нерабочего состояния обоих двигателей, потери вследствие этого основных источников электро- и гидропитания, сравнительно небольшой скорости при посадке происходит авария и частичное разрушение ВС.

Далее обозначим через Pi(t) вероятность наступления события, соответствующего вершине графа G4 с номером i. Составляя по графу для 4 событий систему дифференциальных уравнений Колмогорова – Чепмена, можно при заданных начальных условиях найти вероятности событий Pi(t), i = 1, . . . , 15. При этом вероятность развития аварийной комбинации событий равна P15(t). Определение вероятностей и мер предотвращения аварийных комбинаций событий рассмотрим на следующих примерах.

Значения интенсивностей наступления событий e12, e15, e16, e18 полагаем равными l1(t) = l2(t) = l3(t) = l4(t) = 1, т. е. события наступают в среднем в рассматриваемых условиях 1 раз в час. Рассмотрим ситуацию, когда разрыв топливного трубопровода (e12) и отказ пожарного крана двигателя (e16) не восстанавливаются, так как процедуры по профилактике этих отказов производятся по итогам специальных осмотров на земле. Таким образом, 1(t) = 3(t) = 0 во все моменты t рассматриваемого полета ВС. Частоту восстановления отказа «ошибка пилота при переключении рычагов» возьмем постоянной: 4(t) = 2, т. е. 2 раза в полчаса происходит взаимодействие с другим членом экипажа. В качестве начальных условий возьмем значения P1(0) = 0;0003, P2(0) =

=0;001, P3(0) = 0;00005, P4(0) = 0;005, что соответствует накопленной статистике нарушений в работе топливного трубопровода, перегрева поверхностей мотогондолы, отказа пожарного крана двигателя и ошибок пилотов при работе с органами управления ВС и P5(0) = P6(0) = ::: =

=P15(0).

Вероятность рассматриваемых событий может быть определена из системы уравнений Колмогорова – Чепмена, если будут заданы интенсивности парирования e12, e15, e16, e18. Проведем численный эксперимент, который состоит в варьировании этих значений с целью определения режимов, при которых вероятность аварийной комбинации событий будет меньше заданного порогового значения.

В первом эксперименте изменяется интенсивность 2(t) устранения перегрева поверхностей мотогондолы и выясняется, при каких значениях этой интенсивности в перечисленных выше условиях вероятность аварии при посадке в результате возгорания в мотогондоле будет меньше 5 10 5. Значение 2(t) варьировалось от 10 до 50. Решение систем дифференциальных уравнений осуществляется методом Рунге –

65

Резчиков А. Ф., Богомолов А. С. Системный анализ аварийных комбинаций событий

Кутты четвертого порядка точности. Итогом численного эксперимента является вывод о том, что в рассматриваемых условиях вероятность аварии при посадке в результате возгорания в мотогондоле будет меньше 5 10 5 при интенсивности устранения перегрева поверхностей мотогондолы 2(t) > 40 1/ч. Если нет возможности достичь такого значения, необходимо повышать интенсивность профилактики ошибок пилота.

В следующем численном эксперименте рассмотрим ситуацию вхождения воздушного судна в область повышенной атмосферной активности, что означает вероятность перегрева поверхностей мотогондолы в среднем 0,5. Вероятности разрыва топливного трубопровода и отказа пожарного крана двигателя примем равными 0,0001 и 0,001, что согласуется с реальной практикой, вероятность ошибки пилота – 0,001. Частота возникновения отказов: l1(t) = l2(t) = l3(t) = l4(t) = 1. Систему решаем при начальных условиях: P1(0) = 0;0001, P2(0) = = 0;5, P3(0) = 0;001, P4(0) = 0;001. Цель эксперимента – изучение областей, в которые должна попасть интенсивность восстановления отказа «ошибка пилота», для того чтобы вероятность рассматриваемой аварийной комбинации событий была достаточно низкой, при условии что восстановление отказов «разрыв топливного трубопровода», «перегрев поверхностей мотогондолы», «отказ пожарного крана двигателя» не производится.

Как показывают результаты численного эксперимента, значение 2 (частота возобновления отказа «ошибка пилота») должно быть достаточно высоким для того, чтобы вероятность аварийной комбинации событий не превышала 0,001: необходимо выполнение условия 2 > > 8 1/ч. Это означает, что не менее 8 раз в час требуется действие по предотвращению ошибок пилота. В условиях полета это взаимодействие со вторым пилотом (согласование, замена) или мониторинг пилота командиром воздушного судна. В руководствах по эксплуатации советских воздушных судов такого рода мониторинг предусматривался под формулировками типа «раз в двадцать минут посмотреть на пилота».

Предотвращение психофизических состояний экипажа, приводящих к возникновению аварийных комбинаций событий [Новожилов с соавт., 2013; 2017]. Приведенный выше пример иллюстрирует ключевую проблему безопасности, которая заключается в возникновении аварийных комбинаций событий, связанных с техническим и человеческим факторами. Одной из основных причин нарушений в действиях операторов является ухудшение их психофизического состояния, по причине которого оператор не может парировать возникающее внешнее или внутреннее неблагоприятное, но устранимое событие. Поэтому причинно-

66

Глава 4. Задача управления предотвращением аварийных комбинаций событий

следственные структуры, используемые для анализа аварийных комбинаций событий, на определенном уровне детализации должны включать

всебя события и процессы, вызывающие такое ухудшение. В качестве примера «человеческой» части такой структуры рассмотрим изображенное на рис. 4.1 дерево Dчел, описывающее ряд возможных путей развития неблагоприятного психофизического состояния пилота, при котором он может допустить ошибку вследствие проявления заболевания или болезненного фактора. Отметим, что некоторые причины внезапных психофизических изменений встречаются в дереве Dчел по нескольку раз, например стресс, и играют роль факторов, вызывающих некоторые конкретные недомогания, связанные с ними в дереве Dчел. В приведенном ниже примере событие, связанное с вершиной 1 дерева Dчел, рассматривается как причина события, связанного с вершиной 9 – «ошибка пилота» в дереве Dдвиг, описывающем возможные пути развития пожара

вдвигателе на этапе снижения самолета.

Рис. 4.1. Дерево Dчел «отказов» пилота

На рис. 4.1 обозначены вершины, соответствующие событиям d1 – возникновение внезапного болевого фактора, d2 – головная боль, d3 – боль во внутренних органах, d4 – боль в опорно-двигательном аппарате, d5 – мигрень, d6 – головная боль напряжения, d7 – кластерная головная

67

Резчиков А. Ф., Богомолов А. С. Системный анализ аварийных комбинаций событий

боль, d8 – скачок артериального давления, d9 – повышение внутричерепного давления, d10 – острые нарушения мозгового кровообращения, d11 – ишемия мозга, d12 – приступ острого панкреатита, d13 – внутриполостное кровотечение, d14 – тромбоз мезентериальных сосудов, d15 – приступ мочекаменной болезни, d16 – тромбоэмболия легочной артерии, d17 – спонтанный пневмоторакс, d20 – спазм желудка, d21 – стресс, d22 – приступ сонливости, d23 – стресс, d24 – абстинентный синдром, d25 – наличие опухоли мозга, d26 – стресс, d27 – алкоголь, d28 – стресс, d29 – абстинентный синдром, d30 – погрешности в диете, d31 – тепловой удар, d32 – острая кишечная инфекция, d33 – недавняя операция, d34 – приступ смеха, d35 – приступ кашля, d36 – переутомление, d37 – перепад давления, d38 – пищевое отравление. Обозначения операторов: ^ – конъюнкция, _ – дизъюнкция.

Таким образом, структура, описывающая пути развития аварийных ситуаций, связанных с комбинациями неблагоприятных событий человеческой и технической природы, может содержать соединение данных деревьев, в частности по вершине d1 дерева Dчел и вершине e9 дерева Dдвиг. В результирующее дерево вместо концевой вершины e9 входит дерево Dчел. Соответственно, изменяется состав минимальных сечений и ПУФ – они будут состоять как из событий дерева Dдвиг, так и из событий дерева Dчел. В частности, для возникновения сложной ситуации «длительный пожар в мотогондоле» (e5) можно рассматривать аварийные комбинации событий из множества {e10 (возгорание в мотогондоле), e16 (отказ пожарного крана двигателя), d19 (резкое болевое ощущение из-за осевой нагрузки на позвоночник пилота)}. В соответствии с изложенным выше сценарием и структурой дерева Dдвиг пилот ошибается и не выключает двигатель, в котором из-за комбинации событий e10, e16 возник пожар, а выключает другой, нормально работающий двигатель самолета.

В модельном примере предположим, что вероятность возникновения внезапного болевого фактора из-за осевой нагрузки на позвоночник в рассматриваемых условиях работы пилота периодически повышается вследствие хронического заболевания и имеет порядок P(d19;t) = = sin2(t)=( 1 + 2 +5), где время t – в минутах с момента начала отрезка [tн, tк], 1, 2 – частота медицинского обследования и интенсивность сеансов профилактического массажа (количество раз в месяц), что соответствует картине вызывающих такие приступы хронических заболеваний. При этом в силу ограничения ресурсов и медицинского персонала АТС на интенсивность перечисленных процедур для одного пилота накладываются ограничения, заданные как 2 1 + 2 8. Вероятность

68

Глава 4. Задача управления предотвращением аварийных комбинаций событий

возгорания в двигателе положим P(e10;t) = 10 4 на рассматриваемом отрезке повышенной опасности, вероятность отказа пожарного крана двигателя на том же отрезке положим P(e16;t) = 10 4. Принимаем, что для возникновения аварийной комбинации e10, e16, d19 должны происходить одновременно и эффект от них не накапливается. В этом случае вероятность аварийной комбинации этих событий в момент времени t 2 [tн, tк], предполагая их независимость, считаем равной произведе-

нию вероятностей этих событий и по приведенному выше выражению для P(d19;t) имеем P(e10, e16, d19;t) = 10 7 sin2(t)=( 1 + 2 + 5). Полагаем, что по требованиям безопасности вероятность реализации ава-

рийной комбинации событий на отрезке [tн;tк] не должна превышать 10 11, поэтому при решении задачи уменьшения вероятности аварийных комбинаций событий 1, 2 должны быть подобраны такими, чтобы 10 7 sin2(t)=( 1 + 2 + 5) 10 8 при t 2 [tн;tк] в условиях приведенного выше ограничения ресурсов. Выполнение этого может быть обеспечено, если 1 + 2 > 5. Данное условие не противоречит ограничениям ресурсов и нужные значения 1, 2 существуют, например 1 = 2, 2 = = 4. Таким образом, при отсутствии иных требований к решению задачи этот режим предупреждения острых болевых симптомов при осевой нагрузке на позвоночник может быть рекомендован при медицинском обслуживании данного пилота. В случае реализации таких значений1, 2, при которых условие не соблюдается, эта информация должна быть донесена до ЛПР по допуску к полетам в данной зоне, так как вероятность развития аварийных комбинаций событий может превышать заданное e.

Предотвращение психофизических состояний экипажа, вызванных возникновением аварийных комбинаций событий [Клюев с соавт., 2017; Rezchikov et al., 2016a]. Требования к поведению пилота в условиях возникновения неблагоприятных комбинаций событий значительно отличаются от тех, которые предъявляются при штатном функционировании системы или при возникновении отдельных ошибок и отказов. Поэтому ухудшение психофизического состояния может быть как причиной аварийных комбинаций событий, так и следствием вызванного ими стресса.

Тестирование и тренировка персонала ЧМС являются актуальными задачами, для решения которых в настоящее время разработано и успешно используется большое количество разнообразных комплексов. Однако в используемых системах отсутствуют функции диагностики аварийных состояний операторов в условиях повышенных психофизических нагрузок, связанных с возникновением аварийных комбинаций событий. Кроме того, в специальной литературе отсутствует описание

69

Резчиков А. Ф., Богомолов А. С. Системный анализ аварийных комбинаций событий

тренажерных систем, в которых анализируется влияние неблагоприятных комбинаций событий на нарушение психофизических состояний операторов.

В данном примере предлагается схема комплекса для диагностики аварийных психофизических состояний пилотов в моделируемых условиях. Перспективные комплексы на этой основе будут оценивать правильность реакции испытуемого на аварийную комбинацию событий и изменение его психофизического состояния при выполнении задания. Анализ информации, полученной от комплексов тестирования поведения операторов в критических ситуациях, позволит выявить возможные аварийные комбинации событий, негативно влияющие на психофизическое состояние операторов, а также операторов, остро реагирующих на неблагоприятные комбинации событий.

Предлагаемая концепция основана на объединении тренажерной системы, моделирующей аварийные комбинации событий, и системы диагностики аварийных состояний операторов. Тренажерная подсистема моделирует аварийные комбинации событий в процессе функционирования ЧМС и фиксирует реакцию испытуемого, а диагностическая подсистема выявляет критические состояния операторов в заданных тренажером условиях.

Для моделирования развития возможных критических ситуаций выделим 2 неблагоприятных события из табл. 4.1: e12 – разрыв топливного трубопровода; e16 – отказ пожарного крана двигателя, появление которых может служить основой для нескольких аварийных комбинаций событий, так как события e12 и e16 входят в 3 минимальных сечения. В данной главе уже был рассмотрен сценарий, соответствующий одной из таких комбинаций: e12 – разрыв топливного трубопровода; e15 – перегрев поверхностей мотогондолы; e16 – отказ пожарного крана двигателя; e18 – ошибка пилота при отключении неисправного двигателя. Так как события e12 и e16 входят в минимальные сечения fe12, e16, e15, e18}, {e12, e16, e18, e23g, fe12, e16, e14, e18g, то, если в комбинации с ними произойдут события e14 – электрический разряд от проводки, проходящей вблизи топливного трубопровода, e15 – перегрев поверхностей мотогондолы, e18 – ошибка пилота при отключении неисправного двигателя, e23 – удар молнии в корпус, вероятность возникновения аварии при посадке значительно повышается. Перспектива реализации подобных сценариев, известная из опыта и обучения, создает значительную психофизическую нагрузку на экипаж и потенциально может вызвать острые нервные состояния, которые будут фиксироваться медицинскими датчиками.

70