对一起空管责任事故征候的REASON模型分析1.doc

对一起空管责任事故征候的REASON模型分析民航总局航安办 刘亚军 民航华东空管局 王中东 民航厦门航管站 吕人力 2006年全国民航空管工作会议期间，某空管站发生了一起空管责任事故征候，这是对全体空管人员的一次警示，它从一个侧面映证了基层运行单位的安全管理更 应着手于重要却看似不紧急的基础性安全管理建设，而不能仅仅靠阶段性的目标与行政督促来实现“本质安全”，安全管理不能迷恋于那些看似紧急也重要的“安全 灭火”或者紧急却不重要的安全会议。这一事件还说明了一个单位或部门的安全管理是有客观评判标准的，当安全管理的水准没入深水区时，掩饰不了的不安全事件 就会一次次更响亮地为我们敲响警示钟，该空管站一年内的两起空管责任事故征候和两起工作差错密集发生也从事后提醒我们，更轻微的、标志性的不安全事件也许 在几年前就没有被关键的管理层识别和重视。依照系统观的安全管理理念，直接的当事人就如同高层管理牵动的提线木偶，管理的低水准直接影响行为人的操作态 度，而等到安全滑坡后，苦果却由单位和部门的一长串人员共同“分享”，每次都是当事和不当事的管制员分得大头。希望新年的第一起空管责任事故征候能成为叫 醒的闹铃，短暂的不快之后让我们空管从业人员有一个清醒和积极的2006年。 REASON模型是国际民航组织推荐的事故调查模型，厦门自愿安全报告系统对该模型进行结构分层细化并使用真实统计数据对模型逆序修正，改造后的模型对厦 门空管自愿报告系统收集的一千多件自愿报告事件进行了成功的分析与统计，提炼出一百多篇次的安全预警、回放公告（Callback）以及内部年度（季度） 安全报表，为厦门空管的安全管理理念和管理工具的转化、升级提供了坚实数据基础。本文利用这一模型对某空管站今年的一起事故征候进行一次系统分析，力图从 中获取一些更有条理和层次感的、关于现有系统缺陷的知识，用真实的事件和现状分析为空管系统安全建言。一、事件的简要经过CSN3983 航班保持9000米通过黄城导航台后，管制员依据有缺陷的管制移交协议在距离交接点P09前 77公里提前脱波；两分钟后，相对飞行的CXA8056航班保持8400米高度在通过P09后联系该区调，管制员指挥CXA8056上升高度到9600 米。在CXA8056上升以及管制员指令避让的过程中，两航班最小间隔减小到相对13公里、高度差220米，构成事故征候。二、REASON修正模型的基本原理和构造REASON 模型是曼彻斯特大学教授James Reason在其著名的心理学专著Human error一书中提出的概念模型，原始模型在理论上建立后被迅速而广泛地应用于人机工程学、医学、核工业、航空等领域，并通过国际民航组织的推荐成为航 空事故调查与分析的理论模型之一。这一模型的核心创新点在于其系统观的视野，在对不安全事件行为人的行为分析之外，更深层次地剖析出影响行为人的潜在组织 因素，从一体化相互作用的分系统、组织权力层级的直接作用到管理者、利益相关者、企业文化的间接影响等角度全方位地拓展了事故分析的视野，并以一个逻辑统 一的事故反应链将所有相关因素进行了理论串联。REASON模型的内在逻辑是：事故的发生不仅有一个事件本身的反应链，还同时存在一个被 穿透的组织缺陷集，事故促发因素和组织各层次的缺陷（或安全风险）是长期存在的并不断自行演化的，但这些事故促因和组织缺陷并不一定造成不安全事件，当多 个层次的组织缺陷在一个事故促发因子上同时或次第出现缺陷时，不安全事件就失去多层次的阻断屏障而发生了。在基层的运行部门建立的安全自 愿报告系统利用这一模型，关键的意义在于可以从不同层次的小事件、被挽救的事故隐患等一系列从业人员的真实报告和切身感受中提炼出关于组织缺陷的信息，通 过前瞻性的弥补措施持续修复组织缺陷、阻止系统缺陷的恶化，或至少让组织内的从业人员意识到组织缺陷的存在，通过自身的有意识行为降低组织缺陷带来的事故 几率。tracy2006-04-05 10:44三、对该事故征候的REA-SON模型分析我们对该事故征候 进行倒序的分析，即：“纠正飞行冲突的行为不安全行为本身不安全行为的直接前提组织的预防与监督组织因素”这一顺序进行逻辑分 析，这样可以从最接近事故征候的状态回放分析各层次的核心因素，这也符合REASON模型“光线穿透奶酪”的逻辑，从光线最终透出的“漏洞”处回望可以比 较清晰地确定所有“奶酪”的“漏洞”（见附图）。1. 纠正行为的缺陷客观地讲，主班管制员发现指令错误后的纠错行为基本正确， 程序和指令顺序基本符合要求，最终也起到一定的挽救效果，尽管在这一事故征候中主班本人负有不可推卸的责任，但主班的自我纠错行为本身可以避免最悲惨的后 果，这与2002年7月1日德国博登湖上空“图-154”与“波音-757”相撞事故中瑞士管制员的错误纠正行为形成对比。正是如此才让本文成为主动弥补 组织缺陷、完善安全管理的建议文字而不是“亡羊补牢”的痛定思痛。但一个成功的纠错行为甚至可以避免间隔差错，这类被最后的纠正行为挽救 的事故隐患类型在厦门的自愿报告中占到相当的比例。由于人的基本行为误差几率，口误或认识、意识错误都可以造成相当数量的、可以导致事故的隐患，空管系统 之所以能把事故和事故征候控制在目标水准之下，纠错行为起到了行业外人士难以认识到的重要性。实际上，由人和复杂的技术系统组成的空管系统与其他航空系统 一样一直处于经常性的、不断涌现新形式的各种错误、偏差和意外事件持续考验的状态，而不是外界认识的那样，以为事故隐患只是难得一见的稀有事件，犹如一个 运转完好的机械系统。完善的空管系统最后的一道防线就是空管纠错行为层。在本次事件中，纠错行为层未能完备地解决组织其他缺陷造成的事故隐患考验，主要的问题在于：（1） 主班自我错误发现时机比较晚，在CXA8065已经改变高度并形成持续上升状态后才采取纠错行动，是直接导致纠错行为效果不彰的最主要原因，一般避免事故 或差错的纠正行为都是在错误指令后相当短的时机内执行的，在机组已经进行飞行管理计算机指令输入后进行挽救的纠错行为一般只能避免最严重的后果，错误指令 的结果是差错还是事故征候只能期望其他因素的存在了；（2）其他席位没有及时发现错误指令和间隔缩小的趋势，这是班组资源管理不善的表现 症状之一，在本次事件中，执行监控职责的副班（也是带班和区调副主任）还必须执行协调工作，据调查称，该管制员由于协调事务没能监控到错误指令。客观地分 析，在目前国内较为繁忙的区域管制部门，通常的协调工作都相当密集，如果期望协调席完整地监控主班的所有指令是困难的，但如果从避免事故的职责来说，协调 席如同双人制飞行机组的右座驾驶一样，不能因为岗位职责的繁重就免去相互监督的责任。对于一位经验丰富的区调管理人员或带班来说，我们可以提出更高的要 求，如果这位班组的管理人员能主动、提前意识到CSN3983与CX-A8056是相对飞行并存在潜在的改变高度的隐患，那么在他承担协调工作时，也许可 以主动提醒或有意识地监控主班对这两航班的指令，对于一位优秀的副班或协调席我们是可以这样期望的；（3）对该次飞行的机组我们不能提出 职责上的批评，因为在仪表飞行中管制员对飞行间隔完全负责。但CXA8056机组没能发挥积极作用避免飞行冲突，是发生这一事故征候的遗憾之处。中华人 民共和国飞行基本规则第七十条和厦航飞行员手册（MF2802-59、MF2802-61第一款）都要求机组密切关注空中动态并利用TCAS进行飞行冲 突的判断，对于空管指令改变高度的要求，一位负责的机组往往会利用TCAS或目视观察潜在飞行冲突；（4）本事件中，机组执行飞行冲突避 让的指令不能认为是及时和主动的，尽管当时的飞行冲突未必能触发TCAS的RA（Resolution Advisory），但TA（Traffic Ad-visory）也应该得到机组的警惕并就此咨询管制员。本次事件挽救措施不得力，也许还与管制员未能让机组意识到事态的严重性有关，在紧急情况下， 一位管制员的指令的语言技巧以及指令的易理解和易执行程度存在很大差别，但期望管制员在发现危险的飞行冲突和自我责任的应急状态下冷静地处理飞行冲突，这 也许是一个过高的要求，至少需要管制员接受过充分的培训和模拟训练，而这却正是包括该空管站在内的多数基层运行单位所缺乏的。2. 不安全行为从REASON 模型的具体化而言，行为人的不安全行为分为差错和违规两类，前者是指没有达到预期结果的精神或身体行为，它包括决策差错、技能差错和认知差错三个分类；违 规是指故意无视管制规则和规章的行为，按照违章的频率又可分为习惯性违规的和偶然违规两个分类。从本案例的状况分析，管制员的不安全行为应该不是有意的违 规，如果是违规就不能从技术角度分析原因了。本事件的调查报告（民航华东管理局调查报告）中确认管制员是“随意下达上升指令”，这不是按照规则进行决策出 现的决策错误或者是由于空间判断能力导致的幻觉等认知差错，而应该归类于注意力集中缺失和记忆错误导致的技能差错，按照航空心理学的定义，是空管操作中比 较常见的情形意识丧失（Situational Aware-ness Lost, SAL），它主要是指运行人员对运行中即时的、环境中相关因素的认知不同程度地丧失，包括对安全状况的认知缺失。本事件中，管制员完全将提前脱波的 CSN3983航班遗忘，在主动询问CX8056是否需要上升高度的过程中显然没有意识到相对飞行的CSN3983的存在，否则不会直接指挥 CXA8056上升到9600米。另一个存在的隐患是，在本起事件中，管制员完全依赖机组的空中动态通报而省略了通常的电话移交。尽管在 目前我国空管部门之间的管制协议中都将空中飞机转报保留为管制移交的一种方式，但这一方式是在我国通讯手段比较落后、空中交通还不密集的年代制定的一种管 制移交方式，随着我国空管运行中飞行流量的增大，这一管制移交方式有两方面的风险逐渐凸显出来，一是管制员不通过电话移交往往容易遗忘飞行动态或疏忽飞行 冲突的协调；另一风险在于繁忙空域中，飞机提前联系和通报增加了陆空通讯的压力，也增加了飞行员、管制员的额外工作量，而且现实工作中，机组报告已提前联 系好前方管制室后，管制员容易就势与机组脱波，而不考虑航空器仍在本区域飞行。由于这些潜在的隐患存在，也建议相关部门重新审查在繁忙区域之间的管制协议 中是否还保留空中航空器转报的移交方式（或只作为特殊条件下的备份移交方式），同时对要求飞行机组提前联系下一管制区的相关规定进行研讨。一 个与空管工作相关的心理概念是工作记忆能力，它是指一种短期的、与手头正在进行的操作、思考和计算相关的一种短期记忆，这与学习能力中常提到的长期记忆不 同，它只对工作时的短期事项和过程进行记忆，这种记忆会在不相关时迅速失忆。个体在工作记忆的容量和鲜明程度有实质性的差别，例如桥牌选手对出牌顺序及过 程的记忆是一个基本功，是业余选手与专业选手的基本能力差异所在。本事件中管制员对CSN3983动态的失忆是工作记忆能力缺乏的典型特征，这一能力与管 制员的管制指令正确性、合理性以及防止偏差的工作业绩密切相关，例如在雷达失效时，管制员的工作记忆可以帮助他迅速重新建立决策信息集，避免视觉辅助手段 缺失时决策错误，尤其是雷达工作正常却出现个别航班信号丢失时，有鲜明工作记忆的管制员可以在记忆中保留相关动态而避免错误指令。尽管这种能力与遗传素质 相关，但通常可以通过建立兴趣和加强训练而获得。如果是一位爱思考的、成熟有经验的管制员，我们还可以期望他能在平时的工作中积累避免差 错的“锦囊”，对自己特定的工作环境插上不同的“陷阱”标志。举一个公路交通的例子，有经验的司机知道不要长时间与大型货车并行。对于提前脱波，尤其是制 度导致的系统性提前脱波存在哪些潜在危险，一位有经验的管制员不会没有思考，从而会在自己的思维中特别地插上提醒“陷阱”的旗帜，这样的提示会让管制员在 有提前脱波航班时，格外地关注从交接点进入的相对飞行，这不仅是防止自己发出错误指令，也有助于防止相临管制室的错误导致本区域的飞行冲突。不 同的行为存在不同的危险系数，即使是符合规章的行为也并非同样安全，就如同过马路，红、绿灯转换当口跑过斑马线和绿灯长亮后过马路有很大的安全风险差距， 尽管这都不违反交规。如果是一位有思考、成熟的管制员，不会贸然采取高风险的行为，管制操作中，在交接点附近改变高度的指令就是这类高风险行为。这与管制 员普遍推崇的谨慎心态还不一样，规避高风险行为丝毫不影响管制员追求调配合理性和高效率、享受高负荷工作以及陆空深层次交流带来的管制工作乐趣，它只是从 管制员前后一致的行为中体现了一种长期思考形成的基本准则和行为标准，而本事件的当事人何以完全没有顾忌地在存在长期隐患的交接点附近调配高度呢？交 接班和交接点发生的工作差错明显居多，另一个原因是航班进入交接点和管制员进入岗位工作是管制员信息输入和信息处理的集中时段，管制员需要在此时进行信息 接收和记录（陆空通讯和进程单记录），也是管制员进行冲突判断的关键时段。从区域管制的特点来说，对一个航班（尤其是飞越航班）的关注并非是持续、一贯 的，预测和决策调配预案的形成都集中在一定时段，最常见的是航班进入交接点或第一次通讯联系时进行与其相关的飞行冲突的预测，并对冲突解决进行预决策，由 于刚接班或交接点附近信息处理和思维决策较为集中，由此导致的差错也就相对集中。CXA8056进入区域时，管制员刚接完班，并且在没有获取足够信息的前 提下短时间就决策是否上升高度，如果是在区域中心空域内进行冲突判断，管制员的处理能力就相对会高一些。3.不安全行为的直接前提导 致管制员不安全行为的前提包括操作者生理状态低于适宜操作的标准和操作者低于合格标准的操作。前者包括精神状态、生理状态和身体/精神限制所导致的工作状 态不适宜，后者指由于班组资源管理不善和个人由于违规或判断错误而没有为工作做足够的生理调整（休息、饮食及药物服用）而导致的状态不适宜。从 管制员注意力和记忆错误的直接原因来看，管制员明显没有通过雷达显示或进程单检查飞行冲突，管制员完全放弃了信息收集（观察雷达和检查进程单）和冲突判 断，显然已经从正常工作程序上无意识地偏离，提供给管制员检查冲突的两个有效辅助手段（该区域管制未实行雷达管制）丧失了弥补作用。由于事件调查报告中没 有关于涉及管制员精神状态的相关内容（已值班时间、药物影响、休息情况等），本文难以推断管制员精神状态不适宜的原因，但从管制员对CSN3983航班的 完全记忆丧失可以看出管制员已彻底不在适宜进行管制操作的精神状态。通常认为责任心和训练可以让管制员在同等条件下保持较高的操作行为水准，因此本次事件 的相关管制员如果需要进行再培训可以从精神持续能力和注意力调适、责任心几方面着手。从班组资源管理角度来看管制员的操作，主副班之间没 有足够的信息交流，各人只满足于完成自己岗位份内的任务，另外由于副班承担协调任务而没有监控飞行冲突和管制指令，显示该区调的该班组没有作为团队进行工 作，合理分配工作量以及临时调整任务的能力也没有在本次事件中体现出来，这从另一个方面说明现场管理以 及空管培训的缺陷，目前针对管制员的培训仍然强调单独决策与个人训练，忽视空管班组实际上是以团队的形式在工作。对团队工作的一个认识偏差在于，多数人认 为“双岗制”就是惩罚责任分担，其实这是形式不是目的，在FAA机构运行与管理手册（FAA7210.3T：6.2.1）中特别强调：“确立团队观念 的目的不是让团队为运行错误/偏差事件中的个体成员行为负责，但作为整体的团队对空管机构/扇区的安全和有效地运行负责”。强调个人能力的管理和训练本身 没有错误，但让人意识不到团队责任的管理和培训就存在缺陷了。4.组织的预防与监督从组织的安全管理监督与预防来讲，该空管站缺乏风险识别和风险控制的机制，预先发现问题、解决问题的过程管理能力存在明显缺陷，这突出表现在监督不充分、运行值班制度不合理以及对长期存在和暴露的问题没有进行纠正。运 行监督管理层的监督不充分具体表现在，该区域与相临区域管制移交协议存在明显缺陷，管理层没有进行清理和纠正。这一协议中要求航班飞越黄城导航台后就提前 联系大连区调，管制员往往根据协议通知机组提前联系前方，并在机组通报联系好前方后主动与机组脱波。可以说，协议本身存在一个诱导提前脱波的潜在缺陷，这 间接导致了CSN3983和CXA8056航班在一个管制区域内相对飞行却分别接受两家管制室管辖，并造成管制员在指挥CXA8056上升高度时遗忘已脱 波的CSN3983航班，当管制员发现飞行冲突时也难以直接指挥CSN3983航班进行同时避让，这是纠正挽救措施不力的重要原因之一。这样重大的移交协 议隐患存在而没有采取相关防范措施，说明安全管理缺乏相关的监督与预防程序。其次，运行班组的人员搭配不合理，该区调实行的“双岗制”在 飞行流量日趋增大的背景条件下显得越来越不适应，副班担任协调工作无力兼顾监控指令说明人员配置方面存在长期的缺陷，管理层也没有干预和解决。在目前我国 空域设计不合理、扇区由于投资和人员缺乏而设置偏少的情况下，扇区内配置专职监控的副班是一个权宜之策。另外，在一年以内该区调发生的另 一起空管责任事故征候中，管制员指令正确但机组复诵错误，管制员没有发现和纠正，雷达监控飞行冲突不充分又导致纠正措施过晚。这两起事件的相同之处在于， 管制员没有预防差错的纵深防御措施及雷达监控程序存在不足，管制员对可能产生冲突的相对飞行不能更多地分配监控注意力，对此，该空管站的监督管理层没有采 取足够的措施改变管制员的操作习惯，没有从以前的事例中汲取教训，使得相似的雷达监控缺失状况一再出现。5.组织因素一个独立的不安全事件暴露的是单一组织层次的缺陷，而一系列的不安全事件，尤其是严重层级较高的不安全事件连续出现则标示着安全管理体系的崩溃，它表明组织在决策层面的失败气氛以及监督与执行力度的丧失。组织因素对运行的影响主要体现在资源分配、组织氛围和管理过程控制三个方面。在 安全管理氛围方面，该空管站忽视安全警讯，在多次不安全事件发生后，没有彻底地反思组织本身的安全管理缺陷，多位检查人员到达该地检查时，相关人员都反复 强调事件中机组责任（听错指令、有意刁难等）、不可控因素（资源缺乏、人员短缺、军航活动复杂）等客观原因的情况。即使这些条件或因素存在，不安全事件的 发生仍能说明组织的缺陷，因为这样的因素并非单独存在于当地，相同条件（事故促发因素）同样也在考验其他管制单位。忽视纵深防范能力却向外界推委责任的做 法首先就是一种安全文化方面的缺陷，这一管理氛围导致连续发生不安全事件后，整个单位上下没有深刻反思安全管理的缺陷并采取积极措施改变现状。从另一个方 向来解释REASON模型，组织任一防御层级的完善与改进都可以防止不安全事件的发生，安全文化的不健全才是导致组织上下同时丧失清醒认识的原因。另 一个值得一提的是该空管站特定环境而产生的组织氛围，由于一年内多次的不安全事件发生，使得管理人员疲于应付各级管理机构的问责、检查与考核，阻碍干扰了 管理层真正地投入于管理的改进与反思，或者这种反思局限于文件与思想，难以有足够的精力付诸实践。该起事故征候之前，整个空管站处于一个遍受质疑、无力也 无心管理的失败主义气氛中。在我国，一个出现安全问题的单位在短期内反复出现问题的几率非常高，也从另一角度说明空管系统缺乏预防性管理，过度依赖事后查 处的弊病，这往往会对发生问题的基层单位过度干预而形成一个短期的不良管理氛围。在资源分配方面，调查和检查人员普遍反映该空管中心的管 制值班环境和条件相当恶劣，区域管制室以及管制员值班休息室凌乱、陈旧，对管制员正常的值班和岗间休息产生不良影响，另外，由于值班制度和班车的原因，管 制员在值班结束后不能及时回家休息，要留在休息室过夜等次日班车回市区，值班制度的不合理也是造成管制员休息不充分的重要原因，管理层长期没有解决这一管 制员精力保证上的问题。华东空管局调查组还发现，该空管站对管制人员的业务培训不足，培训课时和培训内容不完善。同时，该地管制员的工资待遇在华东空管范 围内也属于较低水平，管制员的类似抱怨也在检查中和同行之间的交流中多次听到。这些事实说明，该空管站在资源分配上没有认真地向一线运行和安全管理倾斜， 未充分重视运行一线安全生产的需求。在管理学上，一个组织的安全文化从来不是仅仅通过泛泛的文化建设与宣传而建立起来的，它通常存在一个 “内核”，这一“内核” 往往是至上而下建立起来的，表现在高层管理的具体决策中，并通过各级组织决策的一致性而得以建立与强化（最核心的是资源有限条件下的分配决策，资源可以是 财务资源、关键职位、管理人员的关注等等），这也解释了为什么那些在形式上、口号上重视安全生产的单位并不能建立真正的优良安全文化。作为一个基层