专题 | 张学军，李诚龙，等：智能网联无人机运行风险分析与管控建议

在远程遥控驾驶航空器系统（RPAS）的运行架构中，驾驶员与其所操控的航空器在物理空间上是分离的，这种人机分离的特性直接导致驾驶员丧失了传统有人机中至关重要的空中看见与避让能力。因此，DAA应运而生。DAA不仅是远程无人机弥补环境感知缺失、确保飞行安全的技术核心，更是在智能网联环境下实现超视距（BVLOS）运行的先决条件。从功能逻辑看，DAA并非单一的传感器堆叠，而是一个包含态势感知与避撞决策的复杂闭环。在传统RPAS中，机载传感器负责探测与识别周围目标，进行冲突预警并生成避撞决策，随后将态势及决策信息上传给远程驾驶员；驾驶员依据经验与规则执行机动操作，地面控制系统则将指令转换为具体机动下发至飞控系统执行。

智能网联无人机的DAA高度依赖机载传感器、计算平台、控制机构与智能算法的协同工作，因而在系统内部引入了新的复杂失效模式。DAA的故障/异常并非孤立事件，而是由无人机本体、外部环境、其他航空器、操作员及管理维护等多维度风险源相互耦合、激发的结果。这些风险源通过干扰或阻断感知、决策、控制3个核心环节，导致系统无法正确重构环境、生成有效策略或精准执行机动，最终将潜在风险转化为实际事故。基于新增功能故障/失效的风险建模框架，可从不同系统对象与DAA耦合的角度开展风险分析（表2）。

表2 DAA各环节风险源识别

Table 2 Identification of risk sources in each link of DAA

无人机本体子系统的硬件局限与算法缺陷是DAA失效的内生根源。在感知环节，传感器老化、校准误差或时钟漂移会导致信噪比下降或时空对齐偏差，使融合算法难以有效提取障碍物特征，造成漏警或虚警。在决策环节，边缘计算单元的算力瓶颈会导致处理时延增加，使避撞指令生成滞后；深度学习模型若存在过拟合或欠拟合，在未训练的边缘场景下可能输出局部最优或错误路径，导致决策逻辑死锁。在控制环节，舵机或电机响应带宽不足，无法跟随高频急机动指令，或无法正确解析环境对飞行动作的影响，将导致实际避撞航迹严重偏离规划路径。

其他航空器（入侵机）的运动特性与物理属性直接威胁DAA的安全边界。在感知环节，入侵目标若具备隐身特性（如极小的雷达散射截面）、吸光材质或处于传感器盲区，将极大压缩机载感知的有效探测距离。在决策环节，若入侵机进行大过载转弯、急加减速等高动态机动，其状态变化率可能超过轨迹预测算法的跟踪带宽，导致系统基于错误预测位置规划避撞路径。此时，即使生成避撞指令，由于剩余反应时间不足，控制环节受限于航空器的气动与动力学极限，无法在物理空间上完成安全规避，最终导致空中相撞。

环境因素也是干扰无人机感知可信度与执行稳定性的关键变量。在感知环节，强逆光、浓雾或雨雪会严重干扰视觉传感器效能；城市建筑物的多径效应则产生大量雷达虚假回波，导致态势感知失真。这种偏差传递至决策环节后，会迫使系统基于不存在的障碍物进行规避，而忽略真实威胁。在控制环节，突发的低空风切变或强阵风等气象扰动会改变无人机气动响应模型，即使决策指令正确，强风场也会导致实际飞行轨迹漂移，使避撞动作变形或超调，甚至诱发碰撞。

人员的认知偏差与介入时机不当亦是重要诱因。在感知与决策环节，若操作员过度信任自动化系统而忽视性能降级告警，将导致事故链未能被及时介入阻断；反之，若在DAA已启动自动紧急避障时强行介入，这种负向输入耦合会直接干扰控制环节，人工操作可能抵消系统正确机动，导致姿态失稳或撞向障碍物。

此外，管理层面的缺失虽不直接作用于飞行，却易诱发系统性风险。在感知环节，缺乏传感器维护规范会使污损镜头或雷达罩直接影响探测精度。在决策环节，若训练数据未覆盖实际运行区域特征，或算法未进行迁移学习，将导致智能模型泛化能力崩溃。此外，若运行设计域界定模糊，允许仅具备日间避障能力的无人机在夜间执行任务，必将导致整个DAA闭环的全面失效。

综上所述，上述5类风险源一旦被触发，将沿着DAA中的“感知失效−决策错误−执行偏差”的路径逐步传导，轻则导致无人机违反最小安全间隔，重则导致灾难性的空中相撞或坠机事故。

网联无人机区别于传统无人机的重要特征是无人机在运行过程中形成了与地面控制站、其他航空器、空管基础设施及任务中心间的网联化信息交互能力。无人机的网联化主要使用C3链路、载荷数据链，以及交通数据链支持无人机运行过程中各项核心通信功能。

其中，C3链路是保障飞行安全的基础数据链路。该链路负责传输来自地面或编队主机的飞行控制指令，以及飞行状态、位置等高实时性信息，确保无人机在任务环节内始终处于可控状态，并且能够在编队保持、协同避障等复杂场景中形成跨机闭环控制能力。载荷数据链路则是面向具体运行任务需求，承载和传输作业过程中产生的大容量数据，如高清视频、红外图像、多光谱信息等。交通数据链路主要服务于低空交通管理，用于交换空域中多个航空器的运行态势信息、交通管制指令、气象服务数据等，帮助网联无人机更加安全、可靠地融入协同运行环境，实现空域态势共享，从而规避与合作目标的潜在冲突。

在网联化涉及的多种数据链路中，C3链路是其中安全关键度最高、实时性要求最严的核心链路，直接影响到无人机的飞行安全与可操控性。因此，对于无人机网联功能的安全分析将主要聚焦于C3链路功能，识别C3链路故障/异常的风险源，形成机理、关键事件演化过程及防控措施。依据C3链路故障风险模型，导致其故障/异常的风险源主要分布在无人机本体、其他航空器、环境、人员及管理5个维度。这些风险源作用于C3链路功能的通信与组网、时间同步与对齐和群体决策等模块，导致信息交互失效或协同控制失稳（表3）。

表3 C3链路功能各环节风险源识别

Table 3 Identification of risk sources in each link of C3 link functions

无人机本体的硬件性能衰减与软件异常是C3链路功能失效的内生根源。通信与组网模块方面，机载通信终端的功率放大器可能会出现增益下降、天线物理损伤或底层通信协议栈逻辑挂起，导致链路中断或网络层无法连接。这类硬件故障会造成群体拓扑结构的突发断裂，破坏网联协同模式。时间同步与对齐模块方面，机载计时单元可能因晶振老化或温度漂移导致精度下降，产生累积的时间偏差。当本地时间基准与群体系统时间解耦后，基于时间戳的多源数据融合将产生严重误差，使得轨迹预测与相对定位结果失真，进而影响协同控制的准确性。群体决策模块方面，机载计算单元可能因任务过载导致算力饱和，协同避撞算法无法在规定的控制周期内完成解算。决策更新频率低于环境变化速率时，输出的控制指令滞后于当前态势，使闭环控制系统出现振荡甚至发散，丧失协同避障能力。

外部环境对C3链路功能施加的物理干扰可能造成各个信息功能模块出现异常。例如，通信与组网模块方面，复杂地形引发的非视距传输衰减，以及强电磁环境下的信道噪底抬升，导致信噪比急剧降低。误码率激增与数据包重传引发通信时延剧烈抖动，破坏控制指令的实时性与连续性，使远程操控与协同指令无法可靠送达。时间同步与对齐模块方面，外部GNSS（Global Navigation Satellite System）授时信号被建筑物遮挡、遭遇电磁压制或欺骗式诱导时，系统将丢失高精度外部时间源，退化为低精度模式，多机间的空间坐标系转换参数因此失效，产生位置融合错位，使基于共同时空基准的协同感知与决策无法实现。群体决策模块方面，环境噪声可能导致感知输入失真，障碍物边界等约束条件错误，使得集群运行的路径优化求解器无法生成满足所有安全约束的可行路径，导致无人机陷入逻辑停滞或违反安全规则的飞行。

多机间的交互耦合可能对C3链路功能产生多种干扰。通信与组网模块方面，高密度编队中节点间信号相互串扰、信道竞争加剧导致的接入碰撞，使网络吞吐量达到饱和。关键状态数据包被阻塞或丢弃，导致群体内部信息交互不完整，各节点基于局部信息作出的判断必然存在偏差。时间同步与对齐模块方面，链路拥塞导致负责同步的PTP/NTP（Precision Time Protocol/Network Time Protocol）数据包发生物理碰撞或到达时序错乱。同步算法无法收敛或收敛至错误值，各节点对协同避撞等关键事件的触发时机无法在时间轴上对齐，导致协同动作错位。群体决策模块方面，多机间主动探测设备可能出现波形互扰、协同逻辑振荡、感知噪声诱导决策输入错误等问题，导致控制逻辑陷入无限循环或不稳定状态，形成决策死锁。

就人员因素而言，风险核心在于操纵主体在复杂协同态势下的行为失序与配置失误。在通信组网与链路重组阶段，远程操作员在实施多机接管时，可能因任务载荷过大或信息不对称而产生响应严重滞后，导致控制指令下发出现时序冲突。同时，任务规划员在规划阶段，若对局域时钟源的对齐机制操作失误，将直接从输入端导致机载计时单元产生累积时间偏差，使得多源数据融合算法的时戳对齐发生错位。在群体遭遇的多机冲突场景中，现场操纵人员对突发态势的主观误判和违规调度，会直接将不可预测的人为噪声引入决策空间，破坏协同控制的稳定性。

管理因素则在技术规划与参数层面决定了C3链路的极限，其风险体现为资源错配和规则失配。在通信保障层面，由于顶层技术管理未能预先进行流量配置，导致系统级的通信带宽预留不足、默认优先级队列设置错误或路由策略缺乏弹性。这种管理规划的僵化，在高负载运行工况下极易诱发网络拥塞，使高优先级的指控指令无法获得传输保障，进而导致指挥链路逻辑中断。在时空基准管理层面，若管理协议制定的标准授时更新频率未能匹配飞行的实时需求，或对异常时间偏差的容忍窗口设置过宽，将导致时间误差修正机制产生滞后，诱发冲突预警功能失效。此外，算法伦理与运行法规层面的缺陷更具灾难性，若优先级定义模糊，或标准作业程序中设定的默认最小安全间隔参数本身就小于航空器的物理机动距离，此时即便多机协同算法本身运行无误，系统也会因违反底层物理运动学约束而引发碰撞。

值得注意的是，在网联多无人机系统中，C3链路的协同通信与DAA的感知避撞在信息流上存在一定交叠。在风险分析时对其进行物理与逻辑解耦：C3链路注重于通信支撑，协同功能是信息共享带来的技术延伸，所以将其归为支撑协同层。而DAA主要聚焦于感知避撞，将所获取的信息用作决策和控制的依据，因此将其归为战术应急层。单机自主DAA作为通信失效后的安全兜底机制，其工作流程并不依赖C3链路，因此风险分析独立于C3链路网络，这有助于构建清晰的系统风险基线。

智能网联无人机系统在面临多源风险源扰动与外在干扰时，系统状态从正常模式向失效模式的演化过程并非离散的跳变，而是一个非线性的渐进式动态退化过程。

在大气湍流、强光等外部环境扰动或机载传感器老化的作用下，DAA首先进入性能渐进式降级阶段。在此阶段，多源感知融合滤波器的信噪比开始逐渐劣化。虽然此时系统仍能维持对障碍物的基本跟踪，但由于可用信号减少，干扰增强，系统滑入亚健康运行状态，表现为时空感知余量被严重压缩，冲突解脱成功率逐渐下降。随着干扰的持续累积，逼近系统的容错边界时，在线监测模块将捕获到特征参数的异常，从而触发边缘临界告警。在此临界区内，系统状态极度敏感，若未及时执行降级控制策略，或伴随远程操作员的在环接管，系统将发生非线性突变，最终导致算法失能并演化为失效模式。

对于网联C3链路系统，系统的退化初期主要表现为信道噪底抬升与误码率的渐进式上升。在系统降级初期，C3链路系统依托多链路冗余切换与底层协议的重传机制进行容错，展现出一定的系统韧性。然而，频繁的丢包重传会导致队列缓冲区排队时延剧烈抖动，时间同步协议的数据包发生时序错乱，使多机系统步入亚健康状态。在此状态下，各节点的本地时钟基准产生累积时空偏差，协同控制回路迅速逼近不稳定边缘，系统触发边缘临界告警。一旦网络负载跨越吞吐量饱和阈值，信息流的混乱突破控制边界，系统将发生严重失效，由渐进式降级演变为完全的协同失稳与指控逻辑中断状态。

在识别了智能无人机DAA感知与决策环节的各类风险源及DAA风险关键事件演化过程后，应当遵循可接受安全水平构建风险防控体系，确立量化的安全边界。可接受安全水平原则承认绝对的零风险在工程实现上并不具备可行性，因此将目标聚焦于将DAA故障后产生的新增事故风险控制在可接受的阈值内，即不显著超出非智能化无人机的运行风险。这一目标的设定过程，需紧密围绕DAA失效后果的严重程度进行分级界定。同时，参照有人驾驶航空器的适航标准，针对不同等级的事故后果风险制定量化指标，从而为后续预防DAA故障/异常的相关事故措施的制定与验证提供安全条件约束。

为实现既定的安全目标，针对识别出的可能导致DAA故障/异常的多对象风险源及其对感知、决策环节的耦合影响，应从以下4个维度采取针对性的预防措施。

（1）技术维度（机）的核心策略是通过系统冗余与确定性监控增强鲁棒性。针对传感器老化/时钟漂移造成信噪比下降，进而导致特征提取失败，以及其他航空器带来的感知局限风险，可采用视觉/雷达/ADS-B（Automatic Dependent Surveillance-Broadcast）等异构传感器融合架构，实现感知能力互补，降低盲区风险。针对计算资源抢占导致处理时延增加风险，需优化机载边缘计算的任务调度优先级，保障DAA冲突解算高频周期的确定性实时响应。针对执行机构滞后于指令，以及所需机动过载超过动力学包络的物理约束风险，飞控系统需建立基于航空器极限气动拓扑的边界保护控制算法。

（2）环境维度（环）侧重建立动态运行设计域管理机制，使系统具备感知性能在线自检能力，实时计算感知置信度。对于强光照、雨雾气象或电磁环境复杂化导致的传感器效能波动、基于虚假态势生成错误策略，以及环境扰动导致飞控模型失配风险，系统必须引入动态运行设计域在线监测机制。当环境应力超出设计边界时，自动触发自适应降级模式，如主动减速或就近降落，以避免系统在态势失真下盲目作业 。

（3）人员维度（人）的防控重点在于优化人机交互逻辑，解决介入时机与权限问题。针对忽视降级告警风险，地面控制站应部署具备可解释性的交互界面，动态可视化DAA的实时认知状态与不确定性范围，提升操作员的态势感知能力。针对介入时机不当或操作错误，以及人工干预动作抵消自主机动风险，系统需建立严格的分级介入与仲裁机制：在紧迫避撞窗口内自动锁定人工操纵权限，执行自主避撞轨迹，防止人为非理性干预产生的负向耦合。

（4）管理维度（管）需将风险管理从故障安全拓展至算法性能安全领域，利用高保真数字孪生平台对DAA进行边缘场景压力测试，提前发现算法在未知场景下的缺陷。针对人工智能模型泛化能力缺失风险，管理层必须在算法审查中引入运行时安全监控器，基于确定性物理规则实时校验人工智能指令；同时，建立云端数据迭代机制，利用真实长尾场景数据持续训练，克服模型泛化缺陷。针对缺乏维护导致控制响应缓慢风险，必须在管理制度中明确作动系统的寿命全周期全维护标准。

网联子系统的故障若未得到有效阻断，将导致不同程度的灾难性后果。轻度后果表现为队形松散、任务效率下降或局部航迹扰动；重度后果则包括群体协同失稳导致的空中相撞、大规模坠落及对地面设施的附带伤害。与DAA的风险管控思路类似，为了将C3链路功能故障/异常后的风险控制在可接受水平，需基于网联无人机的具体运行环境及运行规模，设定符合安全需求的可接受安全水平，规定与C3链路功能直接相关的无人机本体子系统故障概率，以及其他危险源生成及与C3链路功能耦合的概率，降低这一关键功能的失效可能。

基于多对象风险源的形成及与C3链路功能的耦合机制，应系统梳理信息保障、决策鲁棒和执行隔离3个层面的C3链路功能保障措施，构建综合防御体系。

（1）通信与信息层面的防控需致力于保障状态数据的及时性和一致性。工程上应部署冗余通信链路与优先级调度机制，确保关键控制指令在拥塞环境下仍能可靠传输。建立严格的时间同步协议与异常信息检测机制，利用卡尔曼滤波等算法对丢失或乱序的数据包进行预测补偿，并识别剔除时空逻辑违背的伪造信息，防止错误数据在群体内扩散。

（2）协同决策层面的核心在于提升算法在弱通信环境下的鲁棒性。应预设明确的安全间隔阈值与降级运行逻辑，当监测到网络质量低于协同需求时，系统应自动从紧密编队模式切换至松散队形或单机自主避障模式，以空间换取安全。此外，引入基于物理规则的分布式防碰撞逻辑，确保即便在算法失效/异常的情况下，无人机也能维持最基本的物理间隔。

（3）群体执行层面需建立完善的C3链路功能故障后的故障隔离与通信逻辑重组机制。为单机配置独立的底层安全保护逻辑，对超出动力学边界或违反地理围栏的协同指令进行本地拦截。群体应具备异常个体感知与隔离能力，一旦识别出某节点出现行为异常或通信静默，邻近节点应主动对其进行拓扑剔除并重构队形，阻断局部故障向全局蔓延，确保群体在部分节点失效的情况下仍能维持剩余系统的安全可控。