安全風(fēng)險(xiǎn)管理在民用無人機(jī)監(jiān)管中的應(yīng)用

劉菲

1.中國民航管理干部學(xué)院

2.浙江省通用航空運(yùn)行技術(shù)研究重點(diǎn)實(shí)驗(yàn)室

隨著民用無人機(jī)產(chǎn)業(yè)規(guī)模持續(xù)增長，運(yùn)行安全備受關(guān)注，基于運(yùn)行風(fēng)險(xiǎn)的分類管理已經(jīng)成為監(jiān)管的核心理念。本文對(duì)國內(nèi)外民用無人機(jī)安全目標(biāo)水平、安全風(fēng)險(xiǎn)管理程序、安全風(fēng)險(xiǎn)管理方法進(jìn)行總結(jié)，闡述現(xiàn)階段安全風(fēng)險(xiǎn)管理工作發(fā)揮的重要作用，為我國民用無人機(jī)監(jiān)管政策制定提供參考。

2021年是“中華人民共和國國民經(jīng)濟(jì)和社會(huì)發(fā)展第十四個(gè)五年規(guī)劃”開局之年。作為戰(zhàn)略性新興產(chǎn)業(yè)，無人駕駛航空器（下稱無人機(jī)）在2021年備受關(guān)注。在民用領(lǐng)域，無人機(jī)運(yùn)營企業(yè)數(shù)量及機(jī)隊(duì)規(guī)模繼續(xù)快速增長，我國首批13個(gè)民用無人駕駛航空試驗(yàn)基地(試驗(yàn)區(qū))發(fā)展迅速，積極推動(dòng)了基礎(chǔ)設(shè)施建設(shè)、產(chǎn)業(yè)規(guī)模、監(jiān)管體系的發(fā)展。2021年底，豐鳥航空科技有限公司完成支線物流無人機(jī)試運(yùn)行許可和經(jīng)營許可審定，極大鼓舞了社會(huì)各方發(fā)展無人機(jī)的信心。

民用無人機(jī)的發(fā)展直接取決于規(guī)模化商業(yè)運(yùn)營，而無人機(jī)安全地融入國家空域是規(guī)?；\(yùn)營的前提。以美國為例，從1990年至今，民用無人機(jī)經(jīng)歷了從被禁止商業(yè)運(yùn)行、經(jīng)許可后進(jìn)入國家空域到按照特定要求有序融入國家空域運(yùn)行三個(gè)階段。根據(jù)《2012年美國聯(lián)邦航空管理局（FAA）現(xiàn)代化與重組法案》的實(shí)施細(xì)則，美國聯(lián)邦航空管理局開始主管無人機(jī)系統(tǒng)在國家空域中的運(yùn)行工作，并實(shí)施了“融合試點(diǎn)”（IPP）、“空中交通管理試點(diǎn)”（UPP）、“超越”（BEYOND）、“測試基地試點(diǎn)”等一系列項(xiàng)目，不斷積累無人機(jī)監(jiān)管經(jīng)驗(yàn)，修訂和完善監(jiān)管體系，在無人機(jī)滿足安全目標(biāo)水平下，逐漸按照從低到高的運(yùn)行風(fēng)險(xiǎn)對(duì)無人機(jī)運(yùn)行進(jìn)行常態(tài)化許可。

民用無人機(jī)安全目標(biāo)水平

在廣義層面，民航業(yè)自身的風(fēng)險(xiǎn)就是危害，它將乘客和機(jī)組人員置于危險(xiǎn)之中。法規(guī)、規(guī)則、標(biāo)準(zhǔn)的制定原則都以減少或消除乘客和機(jī)組人員所遭受的危害為出發(fā)點(diǎn)，同時(shí)限制航空器對(duì)地面人員的傷害。美國國家運(yùn)輸安全委員 會(huì)（National Transportation Safety Board，NTSB,）數(shù)據(jù)庫的數(shù)據(jù)分析結(jié)果為現(xiàn)有有人駕駛航空器（下稱有人機(jī)）的風(fēng)險(xiǎn)管理方法制定提供了參考。

無人機(jī)的關(guān)鍵特征是，機(jī)組人員在地面，自動(dòng)化水平高，運(yùn)行環(huán)境復(fù)雜多樣，即使墜機(jī)，可能不會(huì)危及人員生命安全。因此，現(xiàn)有有人機(jī)監(jiān)管政策并不完全適用于無人機(jī)。針對(duì)無人機(jī)進(jìn)入國家空域運(yùn)行而觸發(fā)的新風(fēng)險(xiǎn)，各國主管部門都在飛行批準(zhǔn)前啟動(dòng)了安全風(fēng)險(xiǎn)管理程序。運(yùn)營人及監(jiān)管部門面臨的首要問題是，無人機(jī)運(yùn)行達(dá)到多高的安全水平才能進(jìn)入空域？安全水平的定性與定量標(biāo)準(zhǔn)是什么？

可接受安全水平

民用無人機(jī)運(yùn)行可接受安全水平（Acceptable Level of Safety，ALOS）受技術(shù)、規(guī)則、經(jīng)濟(jì)、政策、社會(huì)及公眾等因素影響。無人機(jī)與有人機(jī)在機(jī)型迭代周期、運(yùn)行任務(wù)及技術(shù)復(fù)雜性等方面存在明顯差異。無人機(jī)積累的運(yùn)營數(shù)據(jù)有限，而有限的運(yùn)營數(shù)據(jù)很難為安全水平標(biāo)準(zhǔn)提供支持。前期可接受安全水平主要從不影響現(xiàn)有空域安全水平及使用效率角度出發(fā)，以定性描述為主（見表1）。

表1 可接受安全水平的定性描述。

等效安全水平

相關(guān)單位在開展無人機(jī)安全性分析及運(yùn)行風(fēng)險(xiǎn)評(píng)估時(shí)，對(duì)可接受安全水平進(jìn)行定性描述，難以指導(dǎo)具體工作。因此，基于有人機(jī)歷史運(yùn)行經(jīng)驗(yàn)的等效安全 水 平（Equivalent Level of Safety，ELOS）被廣泛接受。等效安全水平使用須要兩個(gè)前提條件，一是有人機(jī)的運(yùn)行風(fēng)險(xiǎn)水平具有可接受性，且可為無人機(jī)運(yùn)行風(fēng)險(xiǎn)管理提供基礎(chǔ)，如地面撞擊和空中碰撞的致死率；二是對(duì)比機(jī)制明確，例如無人機(jī)運(yùn)行應(yīng)具備與有人機(jī)同樣的安全性，對(duì)空中人員、地面人員及地面設(shè)施造成危害的等級(jí)應(yīng)低于有人機(jī)造成危害的等級(jí)。

基于以上前提條件并從公共安全角度出發(fā)，統(tǒng)計(jì)指標(biāo)通常采用每飛行小時(shí)死亡率、每飛行小時(shí)死亡人數(shù)，而不是財(cái)產(chǎn)損失。歷史數(shù)據(jù)分析可得到地面撞擊和空中碰撞事故的指標(biāo)量化結(jié)果，詳見表2。這種基于有人機(jī)歷史運(yùn)行數(shù)據(jù)的等效安全水平指標(biāo)對(duì)數(shù)據(jù)選取時(shí)間段和作業(yè)類型（如商業(yè)運(yùn)輸、農(nóng)林作物藥物噴灑、電力線巡檢等）比較敏感，沒有考慮死亡率隨地理位置的變化。每飛行小時(shí)死亡率及每飛行小時(shí)死亡人數(shù)不能反映公眾、機(jī)組人員等不同人員面臨的傷亡風(fēng)險(xiǎn)，也不能反映安全運(yùn)行趨勢及事故嚴(yán)重程度，但可為無人機(jī)運(yùn)行風(fēng)險(xiǎn)提供一種通用衡量指標(biāo)。

表2 等效安全水平的定量描述示例。

安全風(fēng)險(xiǎn)管理

為保證各類有人機(jī)在國家空域內(nèi)安全飛行，各國建立了一套復(fù)雜的規(guī)章制度和規(guī)則。與此同時(shí)，業(yè)界已廣泛接受基于風(fēng)險(xiǎn)的無人機(jī)監(jiān)管理念。為支持法規(guī)制定、符合性評(píng)估、新機(jī)型空域準(zhǔn)入等監(jiān)管事項(xiàng)決策，主管部門須要啟用安全風(fēng)險(xiǎn)管理程序。

安全風(fēng)險(xiǎn)管理程序

安全風(fēng)險(xiǎn)管理（Safety Risk Management，SRM）是安全管理系統(tǒng)（SMS, Safety Management System）四個(gè)組成部分之一，主要為決策層提供有關(guān)危險(xiǎn)源、安全風(fēng)險(xiǎn)及安全風(fēng)險(xiǎn)緩解的信息，增強(qiáng)安全風(fēng)險(xiǎn)應(yīng)對(duì)能力。安全風(fēng)險(xiǎn)管理程序（Safety Risk Management Process，SRMP）是 將安全管理政策、程序和實(shí)施工作系統(tǒng)地應(yīng)用于溝通、咨詢、運(yùn)行概念建立，以及風(fēng)險(xiǎn)識(shí)別、分析、評(píng)估、處理、監(jiān)控和審查等活動(dòng)中。其具體流程包括運(yùn)行概念建立、風(fēng)險(xiǎn)識(shí)別、風(fēng)險(xiǎn)分析、風(fēng)險(xiǎn)評(píng)估、風(fēng)險(xiǎn)緩解及風(fēng)險(xiǎn)監(jiān)控，每個(gè)步驟還涉及相關(guān)方的溝通和協(xié)商過程。運(yùn)營人申請(qǐng)運(yùn)行許可須要按照安全風(fēng)險(xiǎn)管理程序開展風(fēng)險(xiǎn)評(píng)估及企業(yè)安全管理工作。

考慮到現(xiàn)有有人機(jī)安全評(píng)估規(guī)則不再適用于無人機(jī)，美國、加拿大等國家的民航主管部門發(fā)布了有關(guān)安全風(fēng)險(xiǎn)管理的指導(dǎo)性文件，并確定了適用于無人機(jī)的安全風(fēng)險(xiǎn)管理程序，避免重復(fù)評(píng)估。2019年10月，美國聯(lián)邦航空管理局發(fā)布《無人機(jī)系統(tǒng)安全風(fēng)險(xiǎn)管理政策》（ORDER 8040.6），該文件重點(diǎn)考慮國家空域系統(tǒng)（NAS）和地面第三方安全風(fēng)險(xiǎn)，對(duì)《安全風(fēng)險(xiǎn)管理政策》（ORDER 8040.4B）的內(nèi)容進(jìn)行補(bǔ)充。如果無人機(jī)運(yùn)行引發(fā)新的安全問題（如潛在危害、緩解措施失效、不符合規(guī)章規(guī)定）或計(jì)劃變化，美國聯(lián)邦航空管理局須啟動(dòng)安全風(fēng)險(xiǎn)管理程序。對(duì)于特殊情況，美國聯(lián)邦航空管理局的項(xiàng)目負(fù)責(zé)人可向管理層提出升級(jí)，并與相關(guān)部門協(xié)調(diào)解決具體問題。

可接受風(fēng)險(xiǎn)評(píng)估方法

安全風(fēng)險(xiǎn)管理的核心是風(fēng)險(xiǎn)評(píng)估。對(duì)于運(yùn)行風(fēng)險(xiǎn)評(píng)估，美國聯(lián)邦航空管理局發(fā)布的《無人機(jī)系統(tǒng)安全風(fēng)險(xiǎn)管理政策》（ORDER 8040.6）采用了傳統(tǒng)安全管理方法，可作為參考案例；歐洲航空安全局和中國民用航空局引用了無人駕駛航空器系統(tǒng)規(guī)章制定聯(lián)合機(jī)構(gòu)（JARUS）制定的特定運(yùn)行風(fēng)險(xiǎn)評(píng)估（SORA）方法。除此以外，領(lǐng)結(jié)圖、故障樹分析也是可接受的符合性方法，運(yùn)營人可根據(jù)實(shí)際需求而選擇使用。

特定運(yùn)行風(fēng)險(xiǎn)評(píng)估方法具有定量與定性評(píng)估的特點(diǎn)，使用較為簡單，且已形成較為完備的危險(xiǎn)源庫、風(fēng)險(xiǎn)緩解措施與符合性指標(biāo)體系，因此備受關(guān)注。盡管如此，特定運(yùn)行風(fēng)險(xiǎn)評(píng)估的前提假設(shè)與模型限制了其適用范圍，并不適用于載人或危險(xiǎn)品運(yùn)輸。特定運(yùn)行風(fēng)險(xiǎn)評(píng)估僅用于運(yùn)行風(fēng)險(xiǎn)，而安保、隱私、環(huán)境保護(hù)、噪聲、頻譜使用等評(píng)估，各國須根據(jù)實(shí)際情況進(jìn)行綜合評(píng)估。

安全風(fēng)險(xiǎn)管理的應(yīng)用

目前，監(jiān)管部門基于有人機(jī)運(yùn)行經(jīng)驗(yàn)建立了無人機(jī)等效安全水平，大部分安全風(fēng)險(xiǎn)管理工作都集中于解決高級(jí)別地面風(fēng)險(xiǎn)和空中風(fēng)險(xiǎn)。這種自上而下的風(fēng)險(xiǎn)分析方法為實(shí)現(xiàn)安全目標(biāo)提供了一個(gè)監(jiān)管框架。

基于風(fēng)險(xiǎn)實(shí)施分類監(jiān)管

按照有人機(jī)的不同用途及安全目標(biāo)水平，監(jiān)管部門面向人、機(jī)、管、環(huán)建立了監(jiān)管體系，但這種有人機(jī)監(jiān)管體系并不一定適用于無人機(jī)。例如，為保障公共安全，無人機(jī)可采取自毀，避免與有人機(jī)和地面第三方發(fā)生碰撞，但飛行器毀壞對(duì)有人機(jī)來說是一個(gè)災(zāi)難性事故。無人機(jī)譜系范圍廣泛，應(yīng)用場景遠(yuǎn)超有人機(jī)，其風(fēng)險(xiǎn)管理具有寬泛性。因此，監(jiān)管部門開始基于運(yùn)行風(fēng)險(xiǎn)逐步建立新的民用無人機(jī)監(jiān)管體系，按照低風(fēng)險(xiǎn)、中風(fēng)險(xiǎn)、高風(fēng)險(xiǎn)運(yùn)行分類，提出監(jiān)管要求。對(duì)于中低風(fēng)險(xiǎn)運(yùn)行，監(jiān)管部門逐一探索典型場景，總結(jié)監(jiān)管法規(guī)；對(duì)于高風(fēng)險(xiǎn)運(yùn)行，則參考有人機(jī)的監(jiān)管方式。

中風(fēng)險(xiǎn)監(jiān)管最具有挑戰(zhàn)性。中風(fēng)險(xiǎn)運(yùn)行場景豐富，機(jī)型種類繁多，監(jiān)管與風(fēng)險(xiǎn)管理緊密結(jié)合。在特定運(yùn)行風(fēng)險(xiǎn)評(píng)估中，最終地面風(fēng)險(xiǎn)經(jīng)緩解后，與空中風(fēng)險(xiǎn)用于確定特定保證性與完整性等級(jí)（Specific Assurance and Integrity Levels，SAIL）。特定保證性與完整性等級(jí)分為六級(jí)，Ⅰ級(jí)到Ⅵ級(jí)對(duì)應(yīng)的運(yùn)行安全目標(biāo)（Operational Safety Objectives，OSOs）符合性要求逐漸提高，這決定了監(jiān)管部門對(duì)無人機(jī)適航管理、運(yùn)營人能力、運(yùn)行限制等要素的監(jiān)管介入程度不同（如表3所示）。不同國家根據(jù)實(shí)際情況制定相應(yīng)的規(guī)則。

表3 中風(fēng)險(xiǎn)運(yùn)行的具體要求示例。

基于風(fēng)險(xiǎn)實(shí)施分類適航管理

2011年，美國聯(lián)邦航空管理局發(fā)布咨詢通告《23部飛機(jī)系統(tǒng)安全性分析與評(píng)估》（AC 23.1309-1C），對(duì)最大起飛重量低于2724kg的單發(fā)飛機(jī)的故障概率進(jìn)行解釋：根據(jù)歷史運(yùn)行數(shù)據(jù)統(tǒng)計(jì)，由于運(yùn)行及飛機(jī)原因，在能見度受限的情況下，飛機(jī)發(fā)生致命性事故的概率約為1×10-4/飛行小時(shí)；大約10%的事故由飛機(jī)系統(tǒng)故障所致，由此得出故障條件下致命性事故發(fā)生的概率1×10-5/飛行小時(shí)；假設(shè)潛在的災(zāi)難性故障條件大約有十種且發(fā)生概率相同，則每個(gè)故障條件的概率為1×10-6。國防部長辦公室對(duì)軍用無人機(jī)運(yùn)行數(shù)據(jù)進(jìn)行分析，該分析結(jié)果顯示，無人機(jī)故障率比23部單發(fā)飛機(jī)高，無人機(jī)進(jìn)入國家空域飛行可能造成不可接受的風(fēng)險(xiǎn)。但是，如果主管部門直接要求無人機(jī)提升可靠性，將會(huì)提高設(shè)計(jì)和制造成本，但可能對(duì)運(yùn)行安全幾乎沒有影響。

為解決這一問題，中國、美國和歐洲國家都提出了無人機(jī)適航管理與運(yùn)行風(fēng)險(xiǎn)相結(jié)合的監(jiān)管思路，并基于運(yùn)行風(fēng)險(xiǎn)，提出無人機(jī)安全性要求，以確定無人機(jī)可接受安全水平及適航審定標(biāo)準(zhǔn)。歐洲航空安全局認(rèn)為，無人機(jī)的審定要求與運(yùn)行風(fēng)險(xiǎn)評(píng)估結(jié)果應(yīng)直接相關(guān)聯(lián)，當(dāng)特定保證性與完整性等級(jí)為Ⅰ級(jí)和Ⅱ級(jí)時(shí)，主管部門不要求運(yùn)營人使用經(jīng)過適航審定的無人機(jī)，但如果運(yùn)營人采用無人機(jī)的功能或設(shè)備（如降落傘）作為風(fēng)險(xiǎn)緩解措施，則要求功能或設(shè)備進(jìn)行適航審定；當(dāng)特定保證性與完整性等級(jí)為III、IV級(jí)時(shí)，歐洲航空安全局參考ELA2型飛機(jī)的適航審定標(biāo)準(zhǔn)，制定專門的無人機(jī)適航審定規(guī)則，當(dāng)特定保證性與完整性等級(jí)高于IV級(jí)時(shí)，主管部門應(yīng)要求運(yùn)營人使用經(jīng)過適航審定的無人機(jī)。中國民用航空局綜合分析危害的嚴(yán)重性和可能性，針對(duì)不載人運(yùn)營、載人運(yùn)營兩種情況，將民用無人機(jī)安全性要求分為A、B、C、D、E、F、G七類，并根據(jù)可接受安全性水平確定可接受安全性目標(biāo)以及適用的適航標(biāo)準(zhǔn)。

表4 歐洲航空安全局公布的預(yù)先風(fēng)險(xiǎn)評(píng)估案例。

建立典型運(yùn)行場景的預(yù)先風(fēng)險(xiǎn)評(píng)估

對(duì)于典型運(yùn)行場景，中國、美國和歐洲國家都在與運(yùn)營企業(yè)合作，探索民用無人機(jī)的監(jiān)管模式，并基于風(fēng)險(xiǎn)評(píng)估結(jié)果總結(jié)經(jīng)驗(yàn)。為避免對(duì)同一場景進(jìn)行重復(fù)評(píng)估，歐洲航空安全局將典型場景評(píng)估結(jié)果提煉為具體運(yùn)行限制與運(yùn)行要求，如標(biāo)準(zhǔn)場景（Standard Scenario，STS）。

2020年5月，歐洲航空安全局頒布《第2020/639號(hào)實(shí)施條例（EU）》，該條例是《第2019/947號(hào)實(shí)施條例（EU）》（2019/947（EU））的修訂版，并在修訂版實(shí)施條例的附錄中增加了兩個(gè)標(biāo)準(zhǔn)場景。為進(jìn)一步詳細(xì)描述標(biāo)準(zhǔn)場景，便于主管部門與運(yùn)營人使用，歐洲航空安全局發(fā)布了（2019/947（EU））條例的可接受符合性方法（Acceptable Means of Compliance，AMC）和 指導(dǎo) 材 料（Guidance Material，GM）。2020年12月，修訂版實(shí)施條例增加了4個(gè)標(biāo)準(zhǔn)場景的可接受符合性方法—預(yù)先風(fēng)險(xiǎn)評(píng)估（Predefined Risk Assessment，PDRA）案例。歐洲航空安全局和無人駕駛航空器系統(tǒng)規(guī)章制定聯(lián)合機(jī)構(gòu)分別發(fā)布了2個(gè)標(biāo)準(zhǔn)場景，預(yù)先風(fēng)險(xiǎn)評(píng)估編號(hào)分別使用“PDRAS#”“PDRA-G#”加以區(qū)分。面向場景的監(jiān)管具有諸多優(yōu)勢，例如主管部門可以根據(jù)場景運(yùn)行風(fēng)險(xiǎn)水平?jīng)Q定介入程度，如果運(yùn)營人期望開展低風(fēng)險(xiǎn)標(biāo)準(zhǔn)場景運(yùn)行，可參考預(yù)先風(fēng)險(xiǎn)評(píng)估，向監(jiān)管部門提供符合性聲明，大幅降低了監(jiān)管成本。

展望

民用無人機(jī)進(jìn)入國家空域運(yùn)行給監(jiān)管部門帶來了挑戰(zhàn)。安全風(fēng)險(xiǎn)管理是監(jiān)管方與運(yùn)營人共同使用的工具，基于運(yùn)行風(fēng)險(xiǎn)逐漸完善監(jiān)管政策是監(jiān)管方的必然選擇。監(jiān)管部門的核心任務(wù)是，基于安全目標(biāo)水平制定具體要求。無人機(jī)失控與有人機(jī)并不相同，呈現(xiàn)了獨(dú)特的風(fēng)險(xiǎn)，監(jiān)管方須要利用更多的數(shù)據(jù)、案例進(jìn)行自下而上的反饋，完善安全風(fēng)險(xiǎn)管理體系，利用迭代循環(huán)支持基于運(yùn)行風(fēng)險(xiǎn)的監(jiān)管決策?，F(xiàn)階段，監(jiān)管方缺乏民用無人機(jī)運(yùn)行數(shù)據(jù)的深度分析及不安全事件的分析報(bào)告，這可能導(dǎo)致決策過程緩慢或出現(xiàn)偏差。因此，產(chǎn)業(yè)發(fā)展須要各方協(xié)同合作，相互支持。 ■