A Choquet–Sugeno Framework for Non-Additive Variability Quantification in FRAM: An Aviation Safety Application

想象一下，你正在试图理解为什么一个复杂的机器——比如一艘巨大的宇宙飞船或一个繁忙的机场——有时会发生事故。长期以来，安全专家一直将这些机器视为一排多米诺骨牌。他们认为：“如果其中一个骨牌倒下了（发生了一个错误），它可能会撞倒下一个，最终导致整排骨牌全部倒下。”这被称为“加性”（additive）观点：你只需把所有的小错误累加起来，就能找到总危险量。但在现实世界中，情况要复杂得多。有时，两个小错误并不只是简单的叠加；它们会产生乘数效应。这就像把小苏打和醋混合在一起：单独看它们都是无害的，但放在一起就会产生巨大的泡沫爆炸。这被称为“非加性”（non-additive）或“共振”（resonant）风险。

我们正在研究的这篇论文来自**韧性工程（Resilience Engineering）**领域，该领域研究复杂系统（如航空业）如何应对突发状况。它使用了一种名为 FRAM（功能共振分析法） 的工具，该工具绘制了系统中所有执行的任务以及它们之间是如何相互作用的。FRAM 一直存在的一个大问题是：它擅长描绘事物“可能”出错的图景，但在衡量出错程度的“量化”方面表现极差。这就像拥有一张风暴地图，却无法测量风速。这篇论文试图通过引入一种被称为 Choquet 积分 和 Sugeno 测度 的高级数学方法来解决这个问题。你可以把它们想象成一个超级聪明的计算器，它不仅会做加法，还能理解某些错误如何使其他错误变得更糟，或者某些错误是否会相互抵消。作者们想要知道：我们是否终于可以为这种错误的“爆炸式”混合现象给出一个精确的数值，从而保障飞机的安全？

论文的核心思想：“爆炸”计算器

作者 João Guilherme Fowler 和 Moacyr Machado Cardoso Júnior 构建了一个将 FRAM 地图与这种特殊数学相结合的新框架。他们称之为 Choquet–Sugeno 框架。该方法不再仅仅说“错误 A 加错误 B 等于糟糕的一天”，而是询问：“错误 A 和错误 B 在多大程度上放大了彼此？”

为了测试这一点，他们建立了一个非常具体的、高风险机场作业的数字模型：在飞机着陆或起飞时，清理跑道以允许车辆穿越。 这是一个危险的舞蹈，地面车辆和飞行机器必须避免相遇。他们利用这种新数学方法分析了 40 年来发生的三个真实航空灾难：

1. 俄罗斯航空 3352 号航班 (1984年)： 一架飞机在俄罗斯跑道上撞上了维修车辆。
2. LATAM 航空公司秘鲁 2213 号航班 (2022年)： 一架飞机在利马起飞时撞上了消防车。
3. Jazz 航空 646 号航班 (2026年)： 一架飞机在纽约拉瓜迪亚机场着陆时与消防车相撞。

研究发现：隐藏在“团队协作”中的危险

这篇论文最令人兴奋的发现是：传统数学漏掉了一大部分危险。

当作者使用传统的“加性”数学（仅累加错误）计算风险时，得到了一个数值。但当他们使用新的 Choquet–Sugдно 数学时，风险评分显著跳升。他们发现，错误之间的“团队协作”——即两个功能同时失效并使彼此恶化的现象——占据了总风险的 10.9% 到 16.5%。

这是一个重大发现。这意味着，如果你只观察单个错误，你将对近 六分之一 的实际危险视而不见。论文指出，正是这种“隐形风险”导致了某些事故的发生，即便当时并没有任何单一环节出现了灾难性的错误。正是错误的“组合”创造了灾难。

核心焦点：控制员的大脑

在他们的模型中，他们确定了一个特定的工作岗位是整个系统最重要的“枢纽”：ATC 情境感知 (F1)。这基本上是指空管员时刻精准掌握每一架飞机和每一辆车位置的能力。

通过使用一种称为 Shapley 值（用于衡量各部分对整体贡献程度）的数学工具，他们发现这一功能负责了 36.7% 的总风险。这比排名第二重要的工作贡献度还要高出一倍多！

• 教训： 如果控制员失去了“全局观”（可能是因为疲劳、分心或无线电信号不佳），整个系统就会变得极其脆弱。论文建议，保护好这一领域——保持控制员的注意力集中并确保信息清晰——是防止此类坠毁最有效的手段。

失效的“屏障”

该模型还观察了安全系统，例如 RIMCAS（一种如果在跑道上有车辆，会向控制员发出警告的雷达系统）。在 1984 年的事故中，该系统尚不存在；而在 2022 年和 2026 年的事故中，该系统虽然存在，但处于“降级”状态（可能由于车辆没有配备正确的应答机，导致其工作并不完美）。

数学模型显示，当控制员的感知能力 (F1) 和车辆穿越行为 (F5) 同时失效时，安全系统 (F8) 会被压垮。这就像是在一个同时发生了十场火灾的房间里，只有一个灭火器。论文发现，由于错误的“团队协作”力量太强，安全屏障只能抵消极小部分的风险。作者建议，单纯升级技术（如为车辆配备更好的应答机）是解决问题的最佳途径，但前提是必须同时保护好控制员的感知能力。

“下游”陷阱

另一个令人惊讶的发现是关于 沟通与复诵 (F7) 的。在许多安全模型中，人们认为如果飞行员或驾驶员重复一遍信息，它就能起到捕捉错误的“安全网”作用。但本文的模型显示，在这个特定系统中，沟通仅仅是一个传递者，而不是一个守卫。

如果控制员 (F4) 犯了错误并给出了错误的许可，那么复诵的人 (F7) 只是把这个错误的许可传达了下去。他们无法修正错误，因为他们只是在重复听到的内容。论文认为，如果“决策者”（许可指令）本身是坏的，那么试图让“传递者”变得完美就是在浪费钱。

结论

作者明确表示：他们的这种方法是基于专家意见和历史数据的模拟，而非解决所有安全问题的万灵药。然而，他们对自己的数学逻辑充满信心。他们证明了非加性交互作用（即错误的爆炸式混合）是真实存在且可以被衡量的。

通过使用这个新框架，安全管理者可以停止盲目猜测，开始准确识别“共振”发生的具体位置。他们可以看到 LATAM 2213 号航班 是最危险的情况（风险分数为 0.710），因为系统的每一个部分同时都出现了问题，从而产生了最大的风险爆炸。相比之下，1984 年的事故虽然深，但窄；只有少数部分失效，因此总体的“共振”程度较低。

简而言之，这篇论文为我们观察安全性提供了一个全新的视角。它告诉我们，在复杂系统中，1 + 1 并不等于 2；有时它等于 10。 如果我们想要守护天空的安全，我们就不能只盯着数多米诺骨牌，而应该开始测量那些“爆炸”。