安全风险管理在民用无人机监管中的应用

刘菲

1.中国民航管理干部学院

2.浙江省通用航空运行技术研究重点实验室

随着民用无人机产业规模持续增长，运行安全备受关注，基于运行风险的分类管理已经成为监管的核心理念。本文对国内外民用无人机安全目标水平、安全风险管理程序、安全风险管理方法进行总结，阐述现阶段安全风险管理工作发挥的重要作用，为我国民用无人机监管政策制定提供参考。

2021年是“中华人民共和国国民经济和社会发展第十四个五年规划”开局之年。作为战略性新兴产业，无人驾驶航空器（下称无人机）在2021年备受关注。在民用领域，无人机运营企业数量及机队规模继续快速增长，我国首批13个民用无人驾驶航空试验基地(试验区)发展迅速，积极推动了基础设施建设、产业规模、监管体系的发展。2021年底，丰鸟航空科技有限公司完成支线物流无人机试运行许可和经营许可审定，极大鼓舞了社会各方发展无人机的信心。

民用无人机的发展直接取决于规模化商业运营，而无人机安全地融入国家空域是规模化运营的前提。以美国为例，从1990年至今，民用无人机经历了从被禁止商业运行、经许可后进入国家空域到按照特定要求有序融入国家空域运行三个阶段。根据《2012年美国联邦航空管理局（FAA）现代化与重组法案》的实施细则，美国联邦航空管理局开始主管无人机系统在国家空域中的运行工作，并实施了“融合试点”（IPP）、“空中交通管理试点”（UPP）、“超越”（BEYOND）、“测试基地试点”等一系列项目，不断积累无人机监管经验，修订和完善监管体系，在无人机满足安全目标水平下，逐渐按照从低到高的运行风险对无人机运行进行常态化许可。

民用无人机安全目标水平

在广义层面，民航业自身的风险就是危害，它将乘客和机组人员置于危险之中。法规、规则、标准的制定原则都以减少或消除乘客和机组人员所遭受的危害为出发点，同时限制航空器对地面人员的伤害。美国国家运输安全委员 会（National Transportation Safety Board，NTSB,）数据库的数据分析结果为现有有人驾驶航空器（下称有人机）的风险管理方法制定提供了参考。

无人机的关键特征是，机组人员在地面，自动化水平高，运行环境复杂多样，即使坠机，可能不会危及人员生命安全。因此，现有有人机监管政策并不完全适用于无人机。针对无人机进入国家空域运行而触发的新风险，各国主管部门都在飞行批准前启动了安全风险管理程序。运营人及监管部门面临的首要问题是，无人机运行达到多高的安全水平才能进入空域？安全水平的定性与定量标准是什么？

可接受安全水平

民用无人机运行可接受安全水平（Acceptable Level of Safety，ALOS）受技术、规则、经济、政策、社会及公众等因素影响。无人机与有人机在机型迭代周期、运行任务及技术复杂性等方面存在明显差异。无人机积累的运营数据有限，而有限的运营数据很难为安全水平标准提供支持。前期可接受安全水平主要从不影响现有空域安全水平及使用效率角度出发，以定性描述为主（见表1）。

表1 可接受安全水平的定性描述。

等效安全水平

相关单位在开展无人机安全性分析及运行风险评估时，对可接受安全水平进行定性描述，难以指导具体工作。因此，基于有人机历史运行经验的等效安全 水 平（Equivalent Level of Safety，ELOS）被广泛接受。等效安全水平使用须要两个前提条件，一是有人机的运行风险水平具有可接受性，且可为无人机运行风险管理提供基础，如地面撞击和空中碰撞的致死率；二是对比机制明确，例如无人机运行应具备与有人机同样的安全性，对空中人员、地面人员及地面设施造成危害的等级应低于有人机造成危害的等级。

基于以上前提条件并从公共安全角度出发，统计指标通常采用每飞行小时死亡率、每飞行小时死亡人数，而不是财产损失。历史数据分析可得到地面撞击和空中碰撞事故的指标量化结果，详见表2。这种基于有人机历史运行数据的等效安全水平指标对数据选取时间段和作业类型（如商业运输、农林作物药物喷洒、电力线巡检等）比较敏感，没有考虑死亡率随地理位置的变化。每飞行小时死亡率及每飞行小时死亡人数不能反映公众、机组人员等不同人员面临的伤亡风险，也不能反映安全运行趋势及事故严重程度，但可为无人机运行风险提供一种通用衡量指标。

表2 等效安全水平的定量描述示例。

安全风险管理

为保证各类有人机在国家空域内安全飞行，各国建立了一套复杂的规章制度和规则。与此同时，业界已广泛接受基于风险的无人机监管理念。为支持法规制定、符合性评估、新机型空域准入等监管事项决策，主管部门须要启用安全风险管理程序。

安全风险管理程序

安全风险管理（Safety Risk Management，SRM）是安全管理系统（SMS, Safety Management System）四个组成部分之一，主要为决策层提供有关危险源、安全风险及安全风险缓解的信息，增强安全风险应对能力。安全风险管理程序（Safety Risk Management Process，SRMP）是 将安全管理政策、程序和实施工作系统地应用于沟通、咨询、运行概念建立，以及风险识别、分析、评估、处理、监控和审查等活动中。其具体流程包括运行概念建立、风险识别、风险分析、风险评估、风险缓解及风险监控，每个步骤还涉及相关方的沟通和协商过程。运营人申请运行许可须要按照安全风险管理程序开展风险评估及企业安全管理工作。

考虑到现有有人机安全评估规则不再适用于无人机，美国、加拿大等国家的民航主管部门发布了有关安全风险管理的指导性文件，并确定了适用于无人机的安全风险管理程序，避免重复评估。2019年10月，美国联邦航空管理局发布《无人机系统安全风险管理政策》（ORDER 8040.6），该文件重点考虑国家空域系统（NAS）和地面第三方安全风险，对《安全风险管理政策》（ORDER 8040.4B）的内容进行补充。如果无人机运行引发新的安全问题（如潜在危害、缓解措施失效、不符合规章规定）或计划变化，美国联邦航空管理局须启动安全风险管理程序。对于特殊情况，美国联邦航空管理局的项目负责人可向管理层提出升级，并与相关部门协调解决具体问题。

可接受风险评估方法

安全风险管理的核心是风险评估。对于运行风险评估，美国联邦航空管理局发布的《无人机系统安全风险管理政策》（ORDER 8040.6）采用了传统安全管理方法，可作为参考案例；欧洲航空安全局和中国民用航空局引用了无人驾驶航空器系统规章制定联合机构（JARUS）制定的特定运行风险评估（SORA）方法。除此以外，领结图、故障树分析也是可接受的符合性方法，运营人可根据实际需求而选择使用。

特定运行风险评估方法具有定量与定性评估的特点，使用较为简单，且已形成较为完备的危险源库、风险缓解措施与符合性指标体系，因此备受关注。尽管如此，特定运行风险评估的前提假设与模型限制了其适用范围，并不适用于载人或危险品运输。特定运行风险评估仅用于运行风险，而安保、隐私、环境保护、噪声、频谱使用等评估，各国须根据实际情况进行综合评估。

安全风险管理的应用

目前，监管部门基于有人机运行经验建立了无人机等效安全水平，大部分安全风险管理工作都集中于解决高级别地面风险和空中风险。这种自上而下的风险分析方法为实现安全目标提供了一个监管框架。

基于风险实施分类监管

按照有人机的不同用途及安全目标水平，监管部门面向人、机、管、环建立了监管体系，但这种有人机监管体系并不一定适用于无人机。例如，为保障公共安全，无人机可采取自毁，避免与有人机和地面第三方发生碰撞，但飞行器毁坏对有人机来说是一个灾难性事故。无人机谱系范围广泛，应用场景远超有人机，其风险管理具有宽泛性。因此，监管部门开始基于运行风险逐步建立新的民用无人机监管体系，按照低风险、中风险、高风险运行分类，提出监管要求。对于中低风险运行，监管部门逐一探索典型场景，总结监管法规；对于高风险运行，则参考有人机的监管方式。

中风险监管最具有挑战性。中风险运行场景丰富，机型种类繁多，监管与风险管理紧密结合。在特定运行风险评估中，最终地面风险经缓解后，与空中风险用于确定特定保证性与完整性等级（Specific Assurance and Integrity Levels，SAIL）。特定保证性与完整性等级分为六级，Ⅰ级到Ⅵ级对应的运行安全目标（Operational Safety Objectives，OSOs）符合性要求逐渐提高，这决定了监管部门对无人机适航管理、运营人能力、运行限制等要素的监管介入程度不同（如表3所示）。不同国家根据实际情况制定相应的规则。

表3 中风险运行的具体要求示例。

基于风险实施分类适航管理

2011年，美国联邦航空管理局发布咨询通告《23部飞机系统安全性分析与评估》（AC 23.1309-1C），对最大起飞重量低于2724kg的单发飞机的故障概率进行解释：根据历史运行数据统计，由于运行及飞机原因，在能见度受限的情况下，飞机发生致命性事故的概率约为1×10-4/飞行小时；大约10%的事故由飞机系统故障所致，由此得出故障条件下致命性事故发生的概率1×10-5/飞行小时；假设潜在的灾难性故障条件大约有十种且发生概率相同，则每个故障条件的概率为1×10-6。国防部长办公室对军用无人机运行数据进行分析，该分析结果显示，无人机故障率比23部单发飞机高，无人机进入国家空域飞行可能造成不可接受的风险。但是，如果主管部门直接要求无人机提升可靠性，将会提高设计和制造成本，但可能对运行安全几乎没有影响。

为解决这一问题，中国、美国和欧洲国家都提出了无人机适航管理与运行风险相结合的监管思路，并基于运行风险，提出无人机安全性要求，以确定无人机可接受安全水平及适航审定标准。欧洲航空安全局认为，无人机的审定要求与运行风险评估结果应直接相关联，当特定保证性与完整性等级为Ⅰ级和Ⅱ级时，主管部门不要求运营人使用经过适航审定的无人机，但如果运营人采用无人机的功能或设备（如降落伞）作为风险缓解措施，则要求功能或设备进行适航审定；当特定保证性与完整性等级为III、IV级时，欧洲航空安全局参考ELA2型飞机的适航审定标准，制定专门的无人机适航审定规则，当特定保证性与完整性等级高于IV级时，主管部门应要求运营人使用经过适航审定的无人机。中国民用航空局综合分析危害的严重性和可能性，针对不载人运营、载人运营两种情况，将民用无人机安全性要求分为A、B、C、D、E、F、G七类，并根据可接受安全性水平确定可接受安全性目标以及适用的适航标准。

表4 欧洲航空安全局公布的预先风险评估案例。

建立典型运行场景的预先风险评估

对于典型运行场景，中国、美国和欧洲国家都在与运营企业合作，探索民用无人机的监管模式，并基于风险评估结果总结经验。为避免对同一场景进行重复评估，欧洲航空安全局将典型场景评估结果提炼为具体运行限制与运行要求，如标准场景（Standard Scenario，STS）。

2020年5月，欧洲航空安全局颁布《第2020/639号实施条例（EU）》，该条例是《第2019/947号实施条例（EU）》（2019/947（EU））的修订版，并在修订版实施条例的附录中增加了两个标准场景。为进一步详细描述标准场景，便于主管部门与运营人使用，欧洲航空安全局发布了（2019/947（EU））条例的可接受符合性方法（Acceptable Means of Compliance，AMC）和 指导 材 料（Guidance Material，GM）。2020年12月，修订版实施条例增加了4个标准场景的可接受符合性方法—预先风险评估（Predefined Risk Assessment，PDRA）案例。欧洲航空安全局和无人驾驶航空器系统规章制定联合机构分别发布了2个标准场景，预先风险评估编号分别使用“PDRAS#”“PDRA-G#”加以区分。面向场景的监管具有诸多优势，例如主管部门可以根据场景运行风险水平决定介入程度，如果运营人期望开展低风险标准场景运行，可参考预先风险评估，向监管部门提供符合性声明，大幅降低了监管成本。

展望

民用无人机进入国家空域运行给监管部门带来了挑战。安全风险管理是监管方与运营人共同使用的工具，基于运行风险逐渐完善监管政策是监管方的必然选择。监管部门的核心任务是，基于安全目标水平制定具体要求。无人机失控与有人机并不相同，呈现了独特的风险，监管方须要利用更多的数据、案例进行自下而上的反馈，完善安全风险管理体系，利用迭代循环支持基于运行风险的监管决策。现阶段，监管方缺乏民用无人机运行数据的深度分析及不安全事件的分析报告，这可能导致决策过程缓慢或出现偏差。因此，产业发展须要各方协同合作，相互支持。 ■