⚡ electrical engineering

A Choquet–Sugeno Framework for Non-Additive Variability Quantification in FRAM: An Aviation Safety Application

Questo articolo propone un nuovo framework Choquet–Sugeno integrato con un protocollo AHP guidato dall'IA per quantificare la variabilità non additiva nel Functional Resonance Analysis Method (FRAM), dimostrando attraverso un caso di studio sulla sicurezza aerea che questo approccio cattura rischi sistemici invisibili ai modelli additivi tradizionali.

Autori originali: Joao Guilherme Fowler, Moacyr Machado Cardoso Júnior

Pubblicato 2026-08-04

📖 7 min di lettura🧠 Approfondimento

CC BY 4.0

Autori originali: Joao Guilherme Fowler, Moacyr Machado Cardoso Júnior

Articolo originale sotto licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Immagina di cercare di capire perché una macchina complessa, come un enorme aerospazio o un aeroporto trafficato, a volte si schianti. Per molto tempo, gli esperti di sicurezza hanno guardato a queste macchine come a una fila di domino. Pensavano: "Se un domino cade (accade un errore), potrebbe abbattere quello successivo e, alla fine, l'intera fila cade". Questa è chiamata una visione "additiva": si sommano semplicemente tutti i piccoli errori per trovare il pericolo totale. Ma nel mondo reale, le cose sono più disordinate. A volte, due piccoli errori non si limitano ad aggiungersi; si moltiplicano. È come mescolare bicarbonato di sodio e aceto: separatamente sono innocui, ma insieme creano un'enorme esplosione di schiuma. Questo è chiamato rischio "non additivo" o "risonante".

Il documento che stiamo esaminando proviene dal campo dell'Ingegneria della Resilienza, che studia come i sistemi complessi (come l'aviazione) gestiscono le sorprese. Utilizza uno strumento chiamato FRAM (Functional Resonance Analysis Method), che mappa tutti i diversi compiti che un sistema deve svolgere e come questi comunicano tra loro. Il grande problema di FRAM è sempre stato che è eccellente nel disegnare immagini di come le cose potrebbero andare male, ma è terribile nel dare un numero a quanto grave sarebbe la situazione. È come avere la mappa di una tempesta ma nessun modo per misurare la velocità del vento. Questo articolo cerca di risolvere il problema introducendo una matematica sofisticata chiamata integrale di Choquet e misure di Sugeno. Pensate a queste come a una calcolatrice super intelligente che non si limita ad aggiungere numeri, ma comprende che alcuni errori rendono altri errori molto peggiori, mentre altri potrebbero invece annullarsi a vicenda. Gli autori vogliono sapere: possiamo finalmente dare un numero preciso a questo mix disordinato di errori "esplosivi" per aiutare a mantenere sicuri gli aerei?

La Grande Idea del Documento: Il Calcolatore di "Esplosioni"

Gli autori, João Guilherme Fowler e Moacyr Machado Cardoso Júnior, hanno costruito un nuovo framework che unisce la mappa FRAM con questa matematica speciale. Lo chiamano Framework Choquet–Sugeno. Invece di dire solo, "Errore A più Errore B uguale un brutto giorno", il loro nuovo metodo chiede: "Quanto si amplificano l'uno l'altro l'Errore A e l'Errore B?".

Per testare questo, hanno costruito un modello digitale di un lavoro aeroportuale molto specifico e ad alto rischio: liberare una pista affinché un veicolo possa attraversarla mentre un aereo sta atterrando o decollando. Questa è una danza pericolosa dove un veicolo a terra e un mezzo volante non devono incontrarsi. Hanno usato la loro nuova matematica per analizzare tre disastri aviatori reali avvenuti in 40 anni:

Aeroflot Volo 3352 (1984): Un aereo si è schiantato contro veicoli di manutenzione sulla pista in Russia.
LATAM Airlines Perù Volo 2213 (2022): Un aereo ha colpito un camion dei vigili del fuoco durante il decollo a Lima.
Jazz Aviation Volo 646 (2026): Un aereo ha collisionato con un camion dei vigili del fuoco durante l'atterraggio a New York (LaGuardia).

Ciò che hanno scoperto: Il Pericolo Nascosto del "Lavoro di Squadra"

La cosa più eccitante che questo articolo ha scoperto è che la matematica tradizionale perde una fetta enorme del pericolo.

Quando gli autori hanno calcolato il rischio usando la matematica "additiva" tradizionale (sommando semplicemente gli errori), hanno ottenuto un certo numero. Ma quando hanno usato la loro matematica Choquet–Sugeno, il punteggio del rischio è salito significativamente. Hanno scoperto che il "lavoro di squadra" tra gli errori — dove due funzioni falliscono contemporaneamente e si peggiorano a vicenda — costituisce dal 10,9% al 16,5% del rischio totale.

Questo è un grande affare. Significa che se guardate solo agli errori individuali, siete ciechi di fronte a quasi un sesto del pericolo reale. L'articolo sostiene che questo "rischio invisibile" è il motivo per cui alcuni incidenti accadono anche quando nessuna singola persona commette un errore catastrofico. È la combinazione di piccoli errori che crea il disastro.

La Stella dello Spettacolo: Il Cervello del Controllore

Nel loro modello, hanno identificato un lavoro specifico come il "hub" più importante dell'intero sistema: Consapevolezza Situazionale ATC (F1). Questa è fondamentalmente la capacità di un controllore del traffico aereo di sapere esattamente dove si trovano ogni aereo e ogni veicolo in ogni momento.

Utilizzando uno strumento matematico chiamato valore di Shapley (che misura quanto ogni parte contribuisce al tutto), hanno scoperto che questa singola funzione è responsabile del 36,7% del rischio totale. Questo è più del doppio del contributo del secondo compito più importante!

La Lezione: Se il controllore perde la sua "visione d'insieme" (forse è stanco, distratto o la radio funziona male), l'intero sistema diventa incredibilmente fragile. L'articolo suggerge che riparare quest'area — mantenendo l'attenzione del controllore acuta e le sue informazioni chiare — è il modo più efficace per prevenire questi schianti.

Le "Barriere" che non hanno funzionato

Il modello ha esaminato anche i sistemi di sicurezza, come il RIMCAS (un sistema radar che avverte i controllori se un veicolo è sulla pista). Nel disastro del 1984, questo sistema non esisteva. Nei disastri del 2022 e del 2026, esisteva ma era "degradato" (non funzionava perfettamente, forse perché i veicoli non avevano i transponder corretti).

La matematica ha mostrato che quando la consapevolezza del controllore (F1) e l'attraversamento del veicolo (F5) fallivano entrambi, il sistema di sicurezza (F8) veniva sopraffatto. È come avere un singolo estintore in una stanza dove sono scoppiati dieci fuochi contemporaneamente. L'articolo ha trovato che le barriere di sicurezza erano in grado di compensare solo una piccola frazione del rischio perché il "lavoro di squadra" dei fallimenti era così forte. Gli autori suggeriscono che il semplice aggiornamento della tecnologia (come fornire ai veicoli migliori transponder) è il modo migliore per risolvere il problema, ma solo se anche la consapevolezza del controllore è protetta.

La Trappola "A Valle"

Un'altra scoperta sorprendente riguardava la Comunicazione e il Readback (F7). In molti modelli di sicurezza, si pensa che se un pilota o un conducente ripete un messaggio, questo agisca come una rete di sicurezza per intercettare gli errori. Ma il modello di questo articolo mostra che, in questo sistema specifico, la comunicazione è solo un messaggero, non una guardia.

Se il controllore (F4) commette un errore e dà il permesso sbagliato, la persona che lo ripete (F7) non fa altro che trasmettere quel permesso errato. Non possono correggere l'errore perché stanno solo ripetendo ciò che è stato detto loro. L'articolo sostiene che non dovremmo sprecare soldi cercando di rendere perfetto il "messaggero" se il "capo" (la decisione di autorizzazione) è guasto.

Il Verdetto

Gli autori sono molto chiari: il loro metodo è una simulazione basata su opinioni di esperti e dati storici, non una bacchetta magica che risolve tutti i problemi di sicurezza. Tuttavia, sono fiduciosi che la loro matematica sia solida. Hanno dimostrato che le interazioni non additive (il mix esplosivo di errori) sono reali e misurabili.

Utilizzando questo nuovo framework, i responsabili della sicurezza possono smettere di tirare a indovinare e iniziare a vedere esattamente dove avviene la "risonanza". Possono vedere che il volo LATAM 2213 è stato il caso più pericoloso (con un punteggio di rischio di 0,710) perché ogni singola parte del sistema aveva un problema contemporaneamente, creando la più grande possibile esplosione di rischio. Al contrario, lo schianto del 1984 era profondo ma stretto; solo poche parti sono fallite, quindi la "risonanza" totale era inferiore.

In breve, questo articolo ci offre una nuova lente attraverso cui guardare la sicurezza. Ci dice che in sistemi complessi, 1 + 1 non fa 2; a volte fa 10. E se vogliamo mantenere i cieli sicuri, dobbiamo smettere di contare i domino e iniziare a misurare le esplosioni.

Sintesi Tecnica: Un Framework Choquet–Sugeno per la Quantificazione della Variabilità Non Additiva in FRAM

Definizione del Problema
Il Functional Resonance Analysis Method (FRAM) è un framework qualitativo ampiamente adottato per modellare l'emergere del rischio in sistemi sociotecnici complessi, il quale postula che gli incidenti derivino dalla risonanza non lineare delle variabilità attraverso le funzioni accoppiate del sistema. Tuttavia, la natura prevalentemente qualitativa del metodo ne limita l'utilità in contesti che richiedono indici di rischio quantitativi per la conformità normativa e il supporto alle decisioni. Le attuali estensioni quantitative di FRAM (ad esempio, simulazioni Monte Carlo, Reti Bayesiane o rappresentazioni probabilistiche formali) soffrono di un limite strutturale critico: presuppongono che i contributi derivanti dagli aspetti all'interno di una funzione, o dalle funzioni stesse, si aggreghino in modo indipendente o additivo. Tale assunzione contraddice il principio fondamentale di FRAM, che si basa su interazioni non lineari e sinergiche dove il tutto supera la somma delle parti. Di conseguenza, i metodi attuali non riescono a catturare formalmente il "guadagno di risonanza" prodotto da degradazioni simultanee e non additive, rendendo invisibile una parte significativa del rischio sistemico ai modelli lineari.

Metodologia
Questo articolo propone un'integrazione formale dell'integrale di Choquet rispetto a una misura $\lambda$ di Sugeno all'interno del framework FRAM per affrontare il divario della non-additività. La metodologia opera attraverso un processo in sei fasi:

Costruzione del Modello FRAM: Il sistema è definito come un insieme di funzioni con sei aspetti (Input, Output, Precondizioni, Risorse, Controlli, Tempo). Ai collegamenti diretti tra le funzioni vengono assegnati coefficienti che rappresentano la proporzione di variabilità trasmessa.
Elicitazione della Densità degli Aspetti: Un protocollo strutturato in cinque fasi, implementato tramite un agente IA personalizzato, viene utilizzato per estrarre le densità di Sugeno ( $g_i$ ). Questo processo utilizza l'Analytic Hierarchy Process (AHP) su una scala Saaty 1–9 per determinare i pesi relativi, impone un Rapporto di Coerenza (CR < 0,10) in tempo reale e determina il regime di interazione (superadditivo, additivo o subadditivo) per calcolare il parametro di Sugeno $\lambda$ .
Accumulo della Variabilità Intra-Funzione: Per ogni funzione, viene calcolato un Indice di Accumulo della Variabilità (VAI) utilizzando l'integrale di Choquet discreto. Questo aggrega le variabilità degli aspetti tenendo conto delle loro interazioni sinergiche o ridondanti definite dalla capacità $\mu$ .
Propagazione Inter-Funzione: I VAI a livello di funzione vengono propagati attraverso la rete utilizzando un operatore logico OR probabilistico, modellando il modo in cui la variabilità fluisce dalle funzioni a monte verso quelle a valle.
Aggregazione a Livello di Sistema: Un secondo integrale di Choquet aggrega i VAI propagati a livello di sistema. Questa fase utilizza densità di livello di sistema e coefficienti di interazione per catturare la risonanza non additiva tra le funzioni.
Interpretazione e Intervento: Il framework utilizza i valori di Shapley per decomporre il rischio totale del sistema, identificando le funzioni dominanti e quantificando il "guadagno di risonanza" — ovvero il rischio aggiuntivo attribuibile esclusivamente alle interazioni non additive.

Contributi Chiave

Prima Integrazione Formale: Questo lavoro presenta la prima integrazione dell'integrale di Choquet all'interno degli aspetti funzionali di FRAM, fornendo un meccanismo matematicamente rigoroso per quantificare le interazioni non additive.
Protocollo di Elicitazione Strutturato: Lo sviluppo di un protocollo basato su AHP in cinque fasi, eseguito da un agente IA, consente l'estrazione coerente e in tempo reale delle capacità di Sugeno, garantendo la coerenza matematica e la validazione dell'esperto.
Quantificazione del Rischio Invisibile: Il framework quantifica esplicitamente la componente di rischio che è "strutturalmente invisibile" ai modelli additivi, distinguendo tra la profondità dei singoli guasti e l'ampiezza della risonanza sistemica.
Analisi Topologica: L'applicazione dei valori di Shapley e degli indici di interazione di Murofushi–Soneda nel contesto di FRAM consente l'identificazione di hub topologici e la ri-valutazione dei ruoli funzionali (ad esempio, distinguendo tra barriere e nodi di trasmissione).

Risultati: Caso di Studio sul Superamento del Limite di Ingresso Veicolo in Pista
Il framework è stato validato utilizzando un modello FRAM a nove funzioni relativo al processo di superamento del limite di ingresso veicolo in pista, analizzato rispetto a tre incidenti storici dell'aviazione: Aeroflot Flight 3352 (1984), LATAM Airlines Peru Flight 2213 (2022) e Jazz Aviation Flight 646 (2026).

Driver di Rischio Dominante: L'analisi di Shapley ha identificato la "Consapevolezza Situazionale ATC" (F1) come l'hub topologico e il driver di rischio dominante ( $\phi_1 = 0,367$ ), con un grado di accoppiamento pari a 11. Il degrado di questa funzione è stato il principale abilitatore dei guasti a valle in tutti e tre gli incidenti.
Quantificazione del Rischio Non Additivo: Le interazioni non additive tra coppie di funzioni simultaneamente degradate hanno rappresentato l'10,9% - 16,5% dell'indice di rischio Choquet totale per ciascun incidente. Questo "guadagno di risonanza" è totalmente assente nei modelli additivi.
Classifica degli Incidenti: Il framework ha classificato il volo LATAM 2213 come l'incidente a più alto rischio ( $C_\mu = 0,710$ ), guidato dalla variabilità non nulla simultanea in tutte e nove le funzioni, creando la più ampia risonanza sistemica. L'Aeroflot 3352 ( $C_\mu = 0,644$ ) ha dimostrato che un guasto individuale profondo, senza una vasta risonanza sistemica, risulta in un rischio di risonanza aggregata inferiore rispetto al LATAM.
Approfondimenti Strutturali: Il modello ha rivelato che la "Comunicazione e Readback" (F7) agisce come un nodo di trasmissione a valle piuttosto che come una barriera di verifica a monte, poiché riceve l'autorizzazione dalla funzione di clearance (F4) come suo input primario. Inoltre, è emerso che la capacità protettiva del sistema RIMCAS (F8) è stata insufficiente a compensare l'amplificazione sinergica di dieci accoppiamenti attivi quando il sistema F8 stesso era degradato.

Significatività e Rivendicazioni
L'articolo sostiene che questo framework affronti un vuoto metodologico critico nella letteratura quantitativa di FRAM, fornendo uno strumento tecnicamente fondato e trattabile per la quantificazione della resilienza che preserva la logica della risonanza non lineare del metodo originale. Gli autori affermano che l'integrale di Choquet, elicitato attraverso il loro protocollo strutturato, consente la derivazione di un indice di resilienza sistemica quantitativo che i modelli additivi non possono recuperare.

La significatività del lavoro risiede nella sua capacità di:

Formalizzare la Risonanza: Andare oltre le descrizioni qualitative per modellare matematicamente l'amplificazione delle variabilità.
Prioritizzare gli Interventi: Utilizzare la decomposizione di Shapley per fornire una base quantitativa classificata per gli interventi di sicurezza che rifletta la struttura sinergica del rischio, anziché trattare le funzioni come contributori indipendenti.
Colmare il Divario tra Teoria e Pratica: Offrire un framework implementabile in codice open-source (base R) che scala su modelli complessi (fino a 12 funzioni) entro una singola giornata di elicitazione strutturata, rendendo l'analisi del rischio non additivo accessibile ai professionisti.

Gli autori concludono che l'integrazione dell'integrale di Choquet con FRAM non è meramente un raffinamento teorico, ma un'evoluzione necessaria per i sistemi critici per la sicurezza dove l'interazione delle variabilità, piuttosto che la loro somma, determina la sicurezza del sistema.