论文部分内容阅读
【摘要】空中交通管理是保障整个航空运输系统安全高效和有序运行的中枢，也是一个集电子、计算机和信息化技术以及人员等因素为一体的复杂系统。鉴于未来空域容量的大幅增长以及复杂程度的不断提高，欧盟（EU）和北美政府机构为2025年的空域构想了一种新型空中交通管理（ATM）系统，它能自主保持与周围交通以及其他冲突区域内飞机的间距。本文将对未来环境以及飞机先进航电装备进行讨论，机载自主式间距保障支持系统要对误差进行处理，以及我们会采取哪些举措以化解潜在的安全威胁，从而确保在高密度交通需求下能进行安全的机载自主式间距保障操作。
【关键词】空中交通管理，空域安全，冲突规避
1 空中交通管理系统的发展趋势
欧盟和美国正致力研发先进的操作理念以支持未来高密度空域下安全的空中交通管理（ATM），这些发展需要通信、导航和监视（CNS）技术的进步作为支撑。为了建设更加安全高效的空管系统，美国国家空域系统（NAS）计划提出要加强地空数据通信、卫星导航和综合监视等新航行系统技术;联邦航空局（FAA）于2002年发布了国家空域系统运行发展计划（OEP），希望在确保飞行安全的同时还能增加空域容量，并提高空域的使用率，从而满足大幅增长的航空运输需求。FAA于2005年开始规划新一代航空运输系统，该系统希望在美国国内以及全球范围内实现更快捷、更有效的航空运输方式，并建立一个更加智能的空管系统，飞行员在该系统中能充分调用各种先进技术，极大地提高态势感知能力，从而为飞机选取最佳的飞行路径。
单一欧洲天空空中交通管理研究项目（SESAR）和新一代航空运输系统（NextGen）打算在2020年具备基于航迹的ATM，并将间距管理任务由空中交通管制员转移给机组人员。基于航迹的操作会通过飞机当前和今后位置的四维信息（纬度、经度、高度和时间）对飞行进行管理。如今，管理预期交通容量增长的主要限制是由空中交通管制员引入到决策制定流程中的，为了克服该限制，早在十年前就提出了机载自主式间距保障的理念，取名为“自由飞行”（Free Flight），旨在将所有的间距管理任务都转交给飞行员。ATM研究领域一直分成乐观派和谨慎派两个派系，乐观派认为机载自主式间距保障即使在高负荷航线交通需求下也很安全，有人驾驶的实时仿真结果表明，飞行员能理解机载自主式间距保障的操作理念并且可在高负荷交通需求情况下良好的工作，这就是最佳佐证;而谨慎派则认为尽管机载自主式间距保障在低负荷航线交通需求下是安全的，但在繁忙空域中的高负荷交通需求下并不安全。事实上，这两派的意见分歧其实就是机载自主式间距保障操作在何种交通需求水平下是安全可靠的。
2 防止最低间距标准的损失
自主式间距保障的飞机通过自动飞行规则（AFR）负责從其他的飞机中隔离出来，期望它能反映当前国际民航组织（ICAO）附件2的仪表飞行规则，并考虑将间距保障任务从地基ATC转移到机载方面。设计未来ATM的关键因素就是要具有防止飞机间出现最低间距标准损失的理念。在传统雷达控制的航路空域中，空中交管员首先要确保所有航班都符合安全间距的国际标准。如今的ICAO条例规定在现代雷达控制的航路空域中，两架飞机必须保持水平间距为5海里或是垂直间距为1000英尺。近期，欧洲委员会的RESET项目希望在未来繁忙的航路空域中将水平间隔从5海里缩减至3海里，这些缩减的间隔最低标准是否适用于机载自分离操作仍需在iFly项目中进行评估。
最低间距标准可根据不可入侵的受保护空域或警戒区（AZ）进行测算，当（即将）入侵时就会触发飞行员的干预。随着飞机导航和监视能力的提升，PAZ和警戒区的大小也会随之改变，而且依靠ATC进行间距管理的任务也会委托给机上的自动化系统。
3 机载自主式间距保障决策辅助
先进机载自主式间距保障的理念与增强型机载自动化和决策辅助紧密相关，可以提高飞行员的态势感知能力以及飞机规避冲突的能力。进行自主飞行操作的AFR将有若干辅助系统可使其维持最低间距标准，并且安全化解危机。所设计的决策辅助系统要在飞机可能会破坏间距标准时提供有效的支持，这就是通常所说的安全网（Safety Nets）。
当飞机可能会进入限制空域（RAA）、气象危险区（WHA）、地形/障碍限制区或是其他飞机PAZ时，机上设备必须评估、探测并解决潜在的冲突，该功能将由空中间距保障系统（ASAS）提供。供飞行员使用的机载自主式间距保障决策辅助系统考虑了所有可用的周边交通和环境信息资源，并且顾及多种飞行中时间相对冲突/危险的范围。由于飞机会在这些时间范围内对潜在冲突进行计算，因此可以使用一个或多个冲突探测和解决（CD&R）应用程序以确保安全的飞行航迹。
三个独立的CD&R应用程序会处理三种级别的交通/危险信息，这种分级式方法旨在确保在更短的时间与冲突范围内通过互补CD&R方法进行处理。长期航迹管理和中期以及短期CD&R输出信息会在一个综合模块中进行收集和处理，从而为飞行员选择并优化合适的备选方案。飞机位置误差会影响CD&R算法的有效性，它取决于对该飞机之后10至20分钟内飞过飞机位置的预测精准度。间距和航迹管理工具的性能直接取决于预测航迹的精确度，误差会影响用于探测和规避冲突的警戒区大小，并会降低预测信息的可用性。
ERASMUS项目展开的研究指出，误差或对风向的错误预测以及温度数据是影响空中航迹预测的主要因素。机上CD&R算法将会利用自身预测的航迹以及周围飞机广播的航迹标识出可能会侵入飞机警戒区或是保护区的区域，并且计算出飞机规避冲突区的方案，从而选择最佳路径离开冲突区。飞机投射路径周围大气数据的误差可能会在变换飞行高度层时对航迹沿线产生影响，因此需要CD&R算法能处理由风向引起的偏差。除了机载自主式间距保障CD&R系统以外，还有一个以机载防撞系统（ACAS）形式存在的安全网，当前的强制系统或是能从一个独立的监视源接收周围飞机位置信息的未来先进型，这就确保了ACAS是用于防撞的单独安全网。 4 确保机载自主式间距保障操作的技术系统
这种先进机载自主式间距保障操作理念的关键因素就是一个可靠的通信网络和信息分享系统（广域系统信息管理——SWIM）。在NEXTGEN中，飞机需要频繁与地面管制中心交换数据，而且地面的各种设备/系统之间也会频繁交换数据，因此，所有设备都要遵循统一的数据交换标准，即SWIM。AFR飞机需要接收所有周围交通和障碍物的相关信息，为了实现这一目的，飞机就需要具有ADS-B OUT技术，能够周期性地向周围交通对其位置、速度和意图信息进行广播。SWIM提供最新的“承索”（自动的）监视信息，如周围交通、当前气象情况等。在ATM系统中，有效地规划和决策需要实现信息共享和协作，SWIM实现了各用户之间的协同工作能力，也为空管信息的共享提供了一个开放、灵活和安全的信息管理体系，并且增强了公共态势感知功能，提高了空管系统的灵活性，保证了信息能及时可靠地传送到用户。SWIM是一个应用集成策略而非框架，它为应用组件之间的通信和信息共享提供了必需的功能。尽管SWIM的目标是信息管理，但是其核心却是一个确保授权的应用和服务之间进行可靠安全的数据共享框架。
对先进机载自主式间距保障而言，还需要飞机具備额外的ADS-B IN能力，能持续性接收在ADS-B范围内附近飞机的位置、速度和意图信息。有关飞机航迹信息的空-空交换，以及当地提供气象信息和尾迹涡流都能增强飞机间距的精度并且提高航班的安全性。
机载设备会向机组人员提供后续操作的建议，飞行员指挥会决定并切实执行这些操作策略（通过手动、自动驾驶仪或是FMS来实现）。要想让这种新型的机组任务切实可行，就需要一个非常有效并且易于理解的人机界面（HMI）。尽管通过在VHF无线电上通过监视驾驶员-ATC通信，飞行员在头脑中对周围环境有了整体印象，但机组人员仍需驾驶舱交通信息显示在AFR操作期间对交通情况进行监控。为了向飞行员提供指引，CDTI需要显示有关交通、气象、简化航迹等信息。归根结底，CDTI就是要告知机组人员有关飞机周围的情况，并协助他们处理可能会出现的冲突。今后，多用途驾驶舱交通信息显示（MPCDTI）可用于NextGen环境，它将诸多核心功能以多种方式结合起来，执行ADS-B应用。
5 将安全性融合到先进机载自主式间距保障设计中
先进机载自主式间距保障设计本身就有其新颖性，对安全威胁的分析和缓解构成了iFly项目的关键因素。需要正确处理的安全威胁诸如机载自动化设备、飞机位置误差、退化的机载系统性能及可靠性、飞行员对交通情况态势感知的缺失、难以处理的交通复杂度以及通信、导航和监视的故障和/或退化。为了能控制多方面潜在的安全威胁，iFly项目基于设计方法给出了三种互补的安全性：
（1）利用TOPAZ方法进行整体的危险分析和事故风险评估;
（2）根据ED78A方法的系统安全性工程;
（3）利用混合自动化临界可观察性分析的形式验证。
这些事故风险评估、系统安全性工程和验证方法就是为了明确先进机载自主式间距保障操作理念所需的技术系统能力和交通需求。
6 基于TOPAZ的事故风险评估
已经明确TOPAZ事故风险评估方法是iFly项目的合理化选择，该方法是要对先进型ATM设计的事故风险进行建模，从而为设计者提供有效的反馈信息。TOPAZ的目标有：
（1）明确与先进机载自主式间距保障设计随之而来或是由其产生的各种潜在安全危险;
（2）对整体事故风险进行评估;
（3）将所评估的整体风险水平与未来空中交通所能接受的最大风险水平进行比较，从而明确先进机载自主式间距保障的理念在哪种交通需求水平下是安全的;
（4）判别哪些危险或是危险组合构成了最大的安全威胁，它们是开发化解安全风险方法的关键因素。
在随机混合模型开发的后续步骤中，还需要解决所有组织、环境、人为相关以及其他危险的安全问题。先进空中交通管理公认是最复杂的分布式安全关键系统，尽管ACAS/TCAS（机载防撞系统）通常不包含在冲突风险研究内，iFly安全性评估会明确融合ACAS/TCAS，从而获取ACAS/TCAS与ASAS交互的宝贵看法。
7结论
为了让机载自主式间距保障成为繁忙空域的可行方案，对先进空中交通管理等复杂分布式安全关键系统的安全性分析必不可少。基于蒙特卡罗的安全性分析可为复杂ATM系统自主飞机操作有关安全的行为提供有参考。通过互为补充的系统安全性工程化方法，可采取恰当的化解方法将主要的安全危险标识出来。我们关注非正规事件、人为因素以及对机载自主式间距保障飞行操作安全性技术系统能力的影响，我们希望能证明在所需的技术系统和偶然性程序前提下，哪种级别的航路交通需求才是安全可接受的。
从环保角度看，SESAR可将每架班次的温室气体排放量减少4%至10%（因不同机型而有所差异），此外，SESAR还可以将航空管制的基础设施能力整体提高三倍，将航空管制的安全性能提高十倍，并将各个航空公司所负担的航空交通管制费用降低一半。SESAR是欧盟和欧洲空中航行安全组织之间合作的一个具体展示，目标就是要在欧洲装备效率最高、最可靠和最具竞争力的航空管制基础设施。SESAR给同样面临持续增长的空中交通流量和当前ATM系统已经无法满足这种持续增长需求的中国民航以良好的借鉴，具体有以下几方面：
（1）以性能为核心目标，对于ATM系统定义一个完整的性能框架，以基于性能的方式进行系统得需求分析、概念定义、规划和方案设计;
（2）集合最广泛的相关参与者，充分考虑所有相关者的业务逻辑和利益;
（3）将信息共享和分层协同决策机制贯穿包括空空、空地在内的所有处理流程、计划制定和应用程序中;
（4）充分考虑系统演化中的人为因素，提前对人员需求和变化予以评估，制定良好的培训计划;
（5）具有一个总体的技术发展和应用基线，指导具体相关技术的研究和实施。
参考文献：
[1]Safe，Airborne Self-Seperation Operations in Tomorrow’s Airspace，Rosa Weber，Minneapolis，Minnesota，USA.2009.
[2]Multi-Purpose Cockpit Display of Traffic Information：Overview and Development of Performance Requirements，Hans Stassen，AIAA，2010.
[3]Metron Aviation Team Capabilities NextGen Research and Mission Analysis，Stephanie Fraser，2010.
[4]吕小平. 空中交通管理文集. 航空工业出版社，2009.
【关键词】空中交通管理，空域安全，冲突规避
1 空中交通管理系统的发展趋势
欧盟和美国正致力研发先进的操作理念以支持未来高密度空域下安全的空中交通管理（ATM），这些发展需要通信、导航和监视（CNS）技术的进步作为支撑。为了建设更加安全高效的空管系统，美国国家空域系统（NAS）计划提出要加强地空数据通信、卫星导航和综合监视等新航行系统技术;联邦航空局（FAA）于2002年发布了国家空域系统运行发展计划（OEP），希望在确保飞行安全的同时还能增加空域容量，并提高空域的使用率，从而满足大幅增长的航空运输需求。FAA于2005年开始规划新一代航空运输系统，该系统希望在美国国内以及全球范围内实现更快捷、更有效的航空运输方式，并建立一个更加智能的空管系统，飞行员在该系统中能充分调用各种先进技术，极大地提高态势感知能力，从而为飞机选取最佳的飞行路径。
单一欧洲天空空中交通管理研究项目（SESAR）和新一代航空运输系统（NextGen）打算在2020年具备基于航迹的ATM，并将间距管理任务由空中交通管制员转移给机组人员。基于航迹的操作会通过飞机当前和今后位置的四维信息（纬度、经度、高度和时间）对飞行进行管理。如今，管理预期交通容量增长的主要限制是由空中交通管制员引入到决策制定流程中的，为了克服该限制，早在十年前就提出了机载自主式间距保障的理念，取名为“自由飞行”（Free Flight），旨在将所有的间距管理任务都转交给飞行员。ATM研究领域一直分成乐观派和谨慎派两个派系，乐观派认为机载自主式间距保障即使在高负荷航线交通需求下也很安全，有人驾驶的实时仿真结果表明，飞行员能理解机载自主式间距保障的操作理念并且可在高负荷交通需求情况下良好的工作，这就是最佳佐证;而谨慎派则认为尽管机载自主式间距保障在低负荷航线交通需求下是安全的，但在繁忙空域中的高负荷交通需求下并不安全。事实上，这两派的意见分歧其实就是机载自主式间距保障操作在何种交通需求水平下是安全可靠的。
2 防止最低间距标准的损失
自主式间距保障的飞机通过自动飞行规则（AFR）负责從其他的飞机中隔离出来，期望它能反映当前国际民航组织（ICAO）附件2的仪表飞行规则，并考虑将间距保障任务从地基ATC转移到机载方面。设计未来ATM的关键因素就是要具有防止飞机间出现最低间距标准损失的理念。在传统雷达控制的航路空域中，空中交管员首先要确保所有航班都符合安全间距的国际标准。如今的ICAO条例规定在现代雷达控制的航路空域中，两架飞机必须保持水平间距为5海里或是垂直间距为1000英尺。近期，欧洲委员会的RESET项目希望在未来繁忙的航路空域中将水平间隔从5海里缩减至3海里，这些缩减的间隔最低标准是否适用于机载自分离操作仍需在iFly项目中进行评估。
最低间距标准可根据不可入侵的受保护空域或警戒区（AZ）进行测算，当（即将）入侵时就会触发飞行员的干预。随着飞机导航和监视能力的提升，PAZ和警戒区的大小也会随之改变，而且依靠ATC进行间距管理的任务也会委托给机上的自动化系统。
3 机载自主式间距保障决策辅助
先进机载自主式间距保障的理念与增强型机载自动化和决策辅助紧密相关，可以提高飞行员的态势感知能力以及飞机规避冲突的能力。进行自主飞行操作的AFR将有若干辅助系统可使其维持最低间距标准，并且安全化解危机。所设计的决策辅助系统要在飞机可能会破坏间距标准时提供有效的支持，这就是通常所说的安全网（Safety Nets）。
当飞机可能会进入限制空域（RAA）、气象危险区（WHA）、地形/障碍限制区或是其他飞机PAZ时，机上设备必须评估、探测并解决潜在的冲突，该功能将由空中间距保障系统（ASAS）提供。供飞行员使用的机载自主式间距保障决策辅助系统考虑了所有可用的周边交通和环境信息资源，并且顾及多种飞行中时间相对冲突/危险的范围。由于飞机会在这些时间范围内对潜在冲突进行计算，因此可以使用一个或多个冲突探测和解决（CD&R）应用程序以确保安全的飞行航迹。
三个独立的CD&R应用程序会处理三种级别的交通/危险信息，这种分级式方法旨在确保在更短的时间与冲突范围内通过互补CD&R方法进行处理。长期航迹管理和中期以及短期CD&R输出信息会在一个综合模块中进行收集和处理，从而为飞行员选择并优化合适的备选方案。飞机位置误差会影响CD&R算法的有效性，它取决于对该飞机之后10至20分钟内飞过飞机位置的预测精准度。间距和航迹管理工具的性能直接取决于预测航迹的精确度，误差会影响用于探测和规避冲突的警戒区大小，并会降低预测信息的可用性。
ERASMUS项目展开的研究指出，误差或对风向的错误预测以及温度数据是影响空中航迹预测的主要因素。机上CD&R算法将会利用自身预测的航迹以及周围飞机广播的航迹标识出可能会侵入飞机警戒区或是保护区的区域，并且计算出飞机规避冲突区的方案，从而选择最佳路径离开冲突区。飞机投射路径周围大气数据的误差可能会在变换飞行高度层时对航迹沿线产生影响，因此需要CD&R算法能处理由风向引起的偏差。除了机载自主式间距保障CD&R系统以外，还有一个以机载防撞系统（ACAS）形式存在的安全网，当前的强制系统或是能从一个独立的监视源接收周围飞机位置信息的未来先进型，这就确保了ACAS是用于防撞的单独安全网。 4 确保机载自主式间距保障操作的技术系统
这种先进机载自主式间距保障操作理念的关键因素就是一个可靠的通信网络和信息分享系统（广域系统信息管理——SWIM）。在NEXTGEN中，飞机需要频繁与地面管制中心交换数据，而且地面的各种设备/系统之间也会频繁交换数据，因此，所有设备都要遵循统一的数据交换标准，即SWIM。AFR飞机需要接收所有周围交通和障碍物的相关信息，为了实现这一目的，飞机就需要具有ADS-B OUT技术，能够周期性地向周围交通对其位置、速度和意图信息进行广播。SWIM提供最新的“承索”（自动的）监视信息，如周围交通、当前气象情况等。在ATM系统中，有效地规划和决策需要实现信息共享和协作，SWIM实现了各用户之间的协同工作能力，也为空管信息的共享提供了一个开放、灵活和安全的信息管理体系，并且增强了公共态势感知功能，提高了空管系统的灵活性，保证了信息能及时可靠地传送到用户。SWIM是一个应用集成策略而非框架，它为应用组件之间的通信和信息共享提供了必需的功能。尽管SWIM的目标是信息管理，但是其核心却是一个确保授权的应用和服务之间进行可靠安全的数据共享框架。
对先进机载自主式间距保障而言，还需要飞机具備额外的ADS-B IN能力，能持续性接收在ADS-B范围内附近飞机的位置、速度和意图信息。有关飞机航迹信息的空-空交换，以及当地提供气象信息和尾迹涡流都能增强飞机间距的精度并且提高航班的安全性。
机载设备会向机组人员提供后续操作的建议，飞行员指挥会决定并切实执行这些操作策略（通过手动、自动驾驶仪或是FMS来实现）。要想让这种新型的机组任务切实可行，就需要一个非常有效并且易于理解的人机界面（HMI）。尽管通过在VHF无线电上通过监视驾驶员-ATC通信，飞行员在头脑中对周围环境有了整体印象，但机组人员仍需驾驶舱交通信息显示在AFR操作期间对交通情况进行监控。为了向飞行员提供指引，CDTI需要显示有关交通、气象、简化航迹等信息。归根结底，CDTI就是要告知机组人员有关飞机周围的情况，并协助他们处理可能会出现的冲突。今后，多用途驾驶舱交通信息显示（MPCDTI）可用于NextGen环境，它将诸多核心功能以多种方式结合起来，执行ADS-B应用。
5 将安全性融合到先进机载自主式间距保障设计中
先进机载自主式间距保障设计本身就有其新颖性，对安全威胁的分析和缓解构成了iFly项目的关键因素。需要正确处理的安全威胁诸如机载自动化设备、飞机位置误差、退化的机载系统性能及可靠性、飞行员对交通情况态势感知的缺失、难以处理的交通复杂度以及通信、导航和监视的故障和/或退化。为了能控制多方面潜在的安全威胁，iFly项目基于设计方法给出了三种互补的安全性：
（1）利用TOPAZ方法进行整体的危险分析和事故风险评估;
（2）根据ED78A方法的系统安全性工程;
（3）利用混合自动化临界可观察性分析的形式验证。
这些事故风险评估、系统安全性工程和验证方法就是为了明确先进机载自主式间距保障操作理念所需的技术系统能力和交通需求。
6 基于TOPAZ的事故风险评估
已经明确TOPAZ事故风险评估方法是iFly项目的合理化选择，该方法是要对先进型ATM设计的事故风险进行建模，从而为设计者提供有效的反馈信息。TOPAZ的目标有：
（1）明确与先进机载自主式间距保障设计随之而来或是由其产生的各种潜在安全危险;
（2）对整体事故风险进行评估;
（3）将所评估的整体风险水平与未来空中交通所能接受的最大风险水平进行比较，从而明确先进机载自主式间距保障的理念在哪种交通需求水平下是安全的;
（4）判别哪些危险或是危险组合构成了最大的安全威胁，它们是开发化解安全风险方法的关键因素。
在随机混合模型开发的后续步骤中，还需要解决所有组织、环境、人为相关以及其他危险的安全问题。先进空中交通管理公认是最复杂的分布式安全关键系统，尽管ACAS/TCAS（机载防撞系统）通常不包含在冲突风险研究内，iFly安全性评估会明确融合ACAS/TCAS，从而获取ACAS/TCAS与ASAS交互的宝贵看法。
7结论
为了让机载自主式间距保障成为繁忙空域的可行方案，对先进空中交通管理等复杂分布式安全关键系统的安全性分析必不可少。基于蒙特卡罗的安全性分析可为复杂ATM系统自主飞机操作有关安全的行为提供有参考。通过互为补充的系统安全性工程化方法，可采取恰当的化解方法将主要的安全危险标识出来。我们关注非正规事件、人为因素以及对机载自主式间距保障飞行操作安全性技术系统能力的影响，我们希望能证明在所需的技术系统和偶然性程序前提下，哪种级别的航路交通需求才是安全可接受的。
从环保角度看，SESAR可将每架班次的温室气体排放量减少4%至10%（因不同机型而有所差异），此外，SESAR还可以将航空管制的基础设施能力整体提高三倍，将航空管制的安全性能提高十倍，并将各个航空公司所负担的航空交通管制费用降低一半。SESAR是欧盟和欧洲空中航行安全组织之间合作的一个具体展示，目标就是要在欧洲装备效率最高、最可靠和最具竞争力的航空管制基础设施。SESAR给同样面临持续增长的空中交通流量和当前ATM系统已经无法满足这种持续增长需求的中国民航以良好的借鉴，具体有以下几方面：
（1）以性能为核心目标，对于ATM系统定义一个完整的性能框架，以基于性能的方式进行系统得需求分析、概念定义、规划和方案设计;
（2）集合最广泛的相关参与者，充分考虑所有相关者的业务逻辑和利益;
（3）将信息共享和分层协同决策机制贯穿包括空空、空地在内的所有处理流程、计划制定和应用程序中;
（4）充分考虑系统演化中的人为因素，提前对人员需求和变化予以评估，制定良好的培训计划;
（5）具有一个总体的技术发展和应用基线，指导具体相关技术的研究和实施。
参考文献：
[1]Safe，Airborne Self-Seperation Operations in Tomorrow’s Airspace，Rosa Weber，Minneapolis，Minnesota，USA.2009.
[2]Multi-Purpose Cockpit Display of Traffic Information：Overview and Development of Performance Requirements，Hans Stassen，AIAA，2010.
[3]Metron Aviation Team Capabilities NextGen Research and Mission Analysis，Stephanie Fraser，2010.
[4]吕小平. 空中交通管理文集. 航空工业出版社，2009.