7、系统-of-系统安全案例中的虚实辨别与危害评估

系统-of-系统安全案例中的虚实辨别与危害评估

1. IAT系统-of-系统概述

IAT（Integrated Aircrew Training）系统-of-系统（SoS）包含“实时（Live）”、“虚拟（Virtual）”和“构造（Constructive）”三种元素。“实时”元素指操作真实设备的真人，如驾驶快速喷气式飞机的机组人员；“虚拟”元素是操作模拟设备的真人，像在地面模拟器中“飞行”的机组人员；“构造”元素则是计算机控制下的模拟人员或设备，例如计算机生成的合成敌对飞机或地对空威胁。

IAT提供了一个通用的训练环境，具备协调多个资产的能力。它将多个系统和参与者相互连接，包括真实飞机中的机组人员、地面模拟器和训练设备中的虚拟参与者，使得地理上分散的参与者能够并肩训练。因此，IAT可被描述为由各种相互连接的独立系统组成的SoS。这种架构的明显优势是提供了一个灵活的训练系统，能够根据训练需求和训练场景中的参与者数量进行调整。然而，IAT SoS中的系统类型和构建标准多样，包括原本并非设计用于相互连接的飞机、模拟器、通信和地面设备。此外，这种SoS的复杂性和可变性可能使安全分析变得困难。

2. 危害评估方法

2.1 危害评估概念

危害评估可视为两个相互关联概念的组合：危害识别和危害分析。危害识别是发现系统边界处可能的危险事件，而危害分析则是确定这些事件的可能性、后果和严重程度。危害识别过程基于系统各部分可能偏离其预期行为的模型，常见的分析方法包括危害与可操作性研究（HAZOP）、故障传播与转换演算（Fault Propagation and Transformation Calculus）、功能故障分析（Function Failu