机务维修机构-------安全管理体系

机务维修机构安全管理体系机务维修机构安全管理体系 厦门航空公司机务部 厦门航空公司机务部 摘要 摘要 伴随世界民航业的迅猛发展 安全的需求和理念也在不断的发展和完善当中 新 的安全形势要求对机务维修采取主动的管理方法 机务维修机构的安全管理体系 SMS 安全应该是对风险的有效管理和控制 本文着重讨论了机务维修中的风险管理过程 包括 风险识别 风险分析 风险的量化计算 风险优先权设定以及风险的规避措施 风险解决 后 还应该进行监控 以形成一个闭环的管理体系 1 引言引言 航空运输中的安全管理体系 SMS 在国际民航组织的倡议下 已经成为 未来民航安全管理的发展趋势 当然 这也是国际民航组织附件 6 中提出的要 求 从目前国际上各个国家民航当局所反应的态度来看 都是积极推广和采纳 的 SMS 对强化航空运输安全 保障飞行安全 特别是未来飞行安全有促进作 用 航空安全管理体系 SMS 覆盖范围非常广泛 它包含飞行 空管 机务 机场等涉及航空安全的方方面面 但是 直到最近 大家才把注意力转移到机 务维修上 根据欧洲航空安全局 EASA 2006 年出版的年度安全报告 1997 年至 2006 年 飞机系统 部件的失效或故障已经成为导致航空事故的一个主 要因素 安全飞行很大程度上依赖于飞行器的适航性 因而 机务维修的安全 管理 也就成为安全飞行的一个重要组成部分 机务维修可以定义为在飞机的整个服役寿命内 保持或改进飞机及其系统 子系统 部件的适航性和固有可靠性的技术活动 机务维修是一个包含多种专 业 并且人 机器 设备等多种因素相互关联的复杂系统 与飞行相比较 机 务维修的失误有其特殊性 飞行中的失误 可能立刻就会造成后果 飞行员立 刻就会得到失误反馈 而机务维修中的失误 不容易在短时间内显现出来 可 能需要一段时间 甚至是一段相当长的时间才能产生后果 机务工作者对自己 在工作中的失误很难得到及时的反馈 正因为如此 把机务安全管理的精力集 中在对维修事故或差错的跟踪调查上是很被动的 安全管理始于已发生的事故 和教训是亡羊补牢的产物 需要建立一个积极主动的安全管理方法 通过跟踪 调查可能导致事故或差错的潜在因素 把它们认识和识别出来 研究它们的发 生原理 通过采取有效的措施 使事故不再发生 这是机务维修安全管理的关 键所在 2 认识安全认识安全 2 1 什么是安全什么是安全 认识安全管理体系 SMS 首先需要认识什么是安全 当然 完全消除事 故和差错 这是绝对的安全 但是 这种绝对安全是不可能达到的 安全风险 是不可能完全被消除的 所以安全是一个相对的概念 是指组织或个人借助有 效的措施 将系统固有的风险降低并控制到最小程度或可接受的水平 所以 安全 应该理解为对风险的有效管理和控制 2 2 传统的安全管理传统的安全管理 传统的安全管理是对事故 差错的被动式反应 事故或差错发生后 通过 对其调查分析 然后采取一系列措施 使已发生的事故 差错不再重现 这是 一种事后的 开环的 局部的安全管理方法 随在世界各国民航业的迅速发展 这种安全管理方法已经不能保证将未来的航空风险控制在可接受的水平上 已 经不能适应世界航空业迅速发展的要求 2 3 安全管理体系 安全管理体系 SMS 的基本原理 的基本原理 为了将航空安全的风险降低到可以接受的水平 现代安全管理体系应该从 传统的被动安全管理转变为主动的安全管理 安全隐患或影响安全的潜在因素 在破坏安全 演变成安全风险时应该被主动识别出来 也就是说 在安全风险 转变成安全事故前 能够通过安全管理程序 主动识别安全风险 从而能够采 取多方面的措施有效控制风险 根据现代安全理论 事故的发生并不是由一个或两个失误引起的 通常一 个事故总是伴随着一系列破坏安全体系的事件发生的 这些破坏安全体系的事 件通常包括决策失误 执行失误 固有条件引起的失误等 这些失误通常是在 某些潜在条件下发生的 系统中本来就固有许多能够导致失误或影响安全的潜 在因素 例如 设备老化 缺乏管理 时间压力 工作者经验不足 组织缺陷 缺乏有效的沟通 工作环境差等 有效的安全管理体系 SMS 应该将管理的 目标定位于识别系统中能够导致失误或影响安全的潜在因素 而不是孤立地减 少不安全事件 这是因为 所发生的不安全事件仅仅是安全问题产生的后果 而不是引起安全问题的原因 系统中能够引起安全问题的潜在因素是不可避免 的 所以必须采取措施 识别它们 并降低它们的负面影响 无论采取何种事故分析模型 任何事故或差错在其发生前都有明显的先兆 尽管事故后的调查分析非常重要 但是对可能引起事故的潜在因素的风险评估 可能更为重要 特别是在机务维修中 因为事故毕竟是极少数的 把精力集中 在极少数的事件上 这是安全管理上的浪费 可引起事故或差错的潜在因素可 能有数十条甚至数百条 如图 1 所示 这些潜在因素应该在事故发生前尽可能 被识别出来 图 1 事件是事故的先兆 Figure 1 Events are precursors of accidents 机务维修过程中存在许许多多可能导致事故和差错的潜在因素 主要包括 以下方面 设备 人体工程学设计 设备的可维护性 设备的操控性等 基础设施 环境 温度 湿度 灯光等 人及文化因素 身体状况 生理状况 心理状况 社交状况等 团队的安全文化 团队的信心 经验共享 团队的态度等 成本因素 在实现生产经营目标与安全目标之间的平衡 有效的机务维修安全管理体系 SMS 是建立在有效的风险评估和管理的 基础上的安全决策 这实质上与现代飞机维修思想是一致的 例如 飞机维修 周期的确定 就是建立在飞机及其系统 子系统 部件在下个检修周期中 不 严重事故 事故 差错 事件 发生失效的概率上 一些飞机部件 经常因为到时限而被更换 这并不是因为 这些部件已经不可用或已经失去原有的功能 而是基以设计和维修经验 为将 风险降低到可接受的水平而采取的一种措施 3 安全管理过程安全管理过程 首先列出可能影响安全的各种潜在因素 除了潜在因素本身外 还应该搞 清楚各种因素之间的相互关系 联系 这需要系统的调查研究 安全管理体系 是基于事实的管理 需要分析数据 评估风险 从而识别各种危险因素 各种 风险因素根据其危险程度的不同 设定一个优先权 危险程度高的风险因素优 先权高 需要优先采取措施消除或降低其风险 一个过程结束后 又重新进行 新一轮的风险鉴别 风险评估和降低风险的程序 以形成闭环控制系统 如图 2 所示 图 2 风险控制过程 Figure 2 Standard risk management process 3 1 数据采集数据采集 机务维修安全管理体系 SMS 启始于收集相关的安全数据 安全数据的 采集可以通过以下途径进行 事故和差错报告系统 自愿或强制性的报告系统 对所报告的事故和差错的调查和后续措施 趋势分析 培训中的反馈 飞行记录器中采集到的飞行数据分析 安全调查 安全监督 安全审查 维修记录 维修日记 鉴别风险鉴别风险风险分析风险分析设定优先权设定优先权解决风险解决风险 监控风险监控风险 相关单位的信息 根据模型推导出来的模拟结果 其它可以获得的安全数据 对于一个机务维修机构 必须建立一套安全标准 对主要的机务维修行为 进行监测 这些安全标准称为 安全指示器 用于监测机务维修行为是否按照 预期的目标运行 是否有薄弱环节需要加强 安全指示器 应该能够很容易地 检测并关联到主要的机务维修行为上 3 2 风险分析风险分析 每一个识别出来的风险都必须进行分析和评估 风险评估技术需要汇集并 分析所有可能获得的数据 以确定在什么条件下 风险能够造成实质的危害 可能造成的后果 以及风险造成实质危害的可能性 概率 通常风险评估包括 以下三个方面 计算事故的发生概率 估算事故的严重程度 后果 估算风险转变为事故的速度 3 2 1 定性质分析 风险分析可以是定量分析 也可以是定性分析 定性分析通常是由多学科 的专家队伍 运用归纳和演绎 分析与综合 比较的方法 将风险评定为 不 可能发生 可能发生 很可能发生 等多种级别 此外 定性分析也可以 运用一些分析方法和分析工具 这些分析方法一般由数学模型转化而成 例如 统计分析 趋势分析 模拟研究 专家系统 成本分析等 3 2 2 定量分析 随着风险分析技术的发展 越来越多的分析方法可以提供定量的风险分析 结果 风险的量化数值等于风险的发生概率和风险产生的后果的乘积 可以用 公式 1 计算 风险数值 风险产生的后果 风险的发生概率 1 风险的发生概率是指一个单一孤立的风险发展转变为事故的可能性 用符 号 Pf表示 风险的发生概率 Pf可以用公式 2 计算 2 公式 2 中 指系统 组件 部件的失效速率 它可以用失效前的平均寿命 MTFB Mean Time Between Failure 的倒数来表示 见公式 3 3 由于机务维修包含多种元素 各个元素都可能对整个过程带来风险 所以 就必须计算多个风险的联合概率 例如 两个独立的元素 E1 E2 它们之间的 与 关系 P E1 E2 表示 E1 E2同时发生的概率 可以用公式 4 来表示 它们之间的 或 关系 P E1 E2 表示 E1 E2至少发生一件的概率 可以用 公式 5 来表示 P E1 E2 P E1 P E2 4 P E1 E2 P E1 P E2 P E1 P E2 5 上述风险分析原则可以用一个简单的例子说明 例如 我们需要评估空中 交通防撞系统 TCAS 对某型飞机飞行安全的可靠性 统计过去几年 TCAS 系统 的使用数据 得出 TCAS 系统在某型飞机上失效前的平均寿命为 5000 飞行小时 即 TCAS 系统的 MTBF 5000 飞行小时 根据公式 3 计算出 TCAS 系统的失 效速率 值 根据公式 2 计算出平均每次飞行时 TCAS 系统的失效概率 Pf 假如平均每次飞行时间为 2 飞行小时 TCAS 系统失效可能造成的后果 PC 经专家队伍评估为 0 1 根据公式 1 TCAS 系统对某型飞机每次飞行的飞行安 全的风险数值 PTCAS为 3 2 3 失效树分析 失效树分析方法是一种逻辑分析方法 它通过对可能造成系统失效的各种 因素 包括软件 硬件 环境 人为因素等进行分析 画出逻辑图 即失效树 从而确定系统失效原因的各种可能的组合方式和发生概率 以计算系统的失效 概率 采取相应的纠正措施 提高系统的可靠性 失效树的建造是失效分析方 法的关键 机务维修的失效树建造工作十分庞大和烦杂 所以要求建树者必须 十分慎重 仔细 并且广泛掌握飞机设计 使用 维护等方面的经验知识 建 造失效树一般可按下述步骤进行 广泛收集并分析有关技术资料 选择顶事件 建树 失效树的简化 图 3 显示的是以 部件安装错误 作为顶事件的失效树分析案例 该失效 树分析了导致部件安装错误的几种可能原因的组合 事件 A 培训不足 如果 和事件 B 工作程序复杂 同时发生 就将导致对工作任务的理解偏差 如果 工作任务中所包含的工具设备复杂 事件 C 那么就会导致部件安装错误 即 事件 A B C 同时发生 与 关系 将导致部件安装错误 另一方面 如果 工作者的培训是足够的 但在时间压力下工作 事件 D 并且缺少质量监督 事件 E 此时如果工作环境差 事件 F 或事件 G 也可能导致部件安装错 误 图 3 部件安装错误 的失效树分析案例 Figure 3 Fault tree analysis example 上述失效树分析结果 如果结合 3 2 2 中的公式 就可以计算出各事件组合 导致部件安装错误的概率 所以 失效树分析不仅能进行定性的逻辑分析 还 部件安装错误 A 培训不足 B 工作程序复杂 C 工具设备复杂 D 时间压力 E 缺少质量人员 F 灯光不足 G 接近困难 可以计算复杂系统的失效概率以及其他的可靠性参数 为降低和控制风险提供 定量的数据 3 3 设定风险优先权设定风险优先权 风险的优先权是根据风险的影响力大小而设定的 影响力很大的风险 优 先权设定为最高 应该立即解决 影响力中等的风险 优先权中等 应该采取 有效的措施控制 影响力最小的风险 优先权最低 需要引起足够的关注 设 定风险优先权时 还应该考虑一个风险可能造成多个后果 不能仅仅根据风险 所造成的某个后果而设定其优先权 当然 设定风险优先权时还需要进行成本 效益分析 在企业的安全目标和经营目标之间寻求平衡 图 4 风险矩阵表 Figure 4 Risk matrix form 风险优先权可以用风险矩阵表来表示 如图 4 所示 图 4 的风险矩阵表中 左上角表示高频率但影响力低的事件 例如个人工具保养不好 天气炎热等 这类事件虽然经常发生 但对事故 差错没有直接的影响 不要求立即处理 风险优先权最高 发生频率 经常发生 可能发生 可能性极小 不可能发生 A 可接受的风险 C 采取控制措施 后可接受的风险 U 不可接受的风险 造成的后果 造成后果的等级 1 无后果 2 小后果 3 中等后果 4 严重后果 5 事故 右上角表示高频率且影响力高的事件 例如时间压力大 缺少质量监督等 这 类事件对安全事故有很大的影响 具有最高的优先权 必须立即解决 3 5 发展风险规避策略发展风险规避策略 机务维修行为充满不确定性 所以对风险的管理和控制显得尤为重要 风 险识别分类之后 就应该采取措施规避风险 规避风险应该从优先权最高的风 险开始 可以采取多方面的措施降低或限制风险可能造成的负面后果 例如 终止维修行为以消除风险 接受风险可能造成的后果 继续维修行为 采取措施 将风险降低到可接受水平上 风险解决的过程可以用图 5 表示 需要强调的是 解决风险并没有普通适 用的方法 维修机构应该根据自己的条件制定措施 重要的是 任何措施执行 后 应该有反馈 以评估是否达到预期的目标 是否产生新的安全问题 最终 形成闭环控制系统 图 5 风险的解决过程 Figure 5 Risk resolution process 例如 在 3 2 2 中计算出某型飞机每个飞行循环 TCAS 系统风险数值为 PTCAS 4 10 5 如果评估认为这个风险数值太高 不可接受 那么 可采取安 装第二套 TCAS 系统的方法以降低风险 安装第二套 TCAS 系统后 根据公式 解决风险 终止维修行为 消除风险 降低风险至可接 受的水平 继续维修行为 接受风险 回避风险增加裕度减少风险风险转移 4 可计算出两套系统对飞机的风险值 PTCAS 1 2 PTCAS1 PTCAS2 4 10 5 4 10 5 1 6 10 9 这个风险值为可接受数值 即解决风险成功 3 6 监控已解决的风险监控已解决的风险 风险识别 分类 采取措施控制后 还需要跟踪风险的解决效果 如果满 足以下条件 则说明风险已经被成功解决 安全事件已经被成功预防 安全事件产生的条件或时机已经被消除 安全事件所产生的后果可以通过应急措施完全控制 3 7 风险管理记录风险管理记录 最后的步骤 安全管理体系 SMS 的文件管理 在完成上述步骤后 应 记录相关信息 完善风险管理记录 风险管理记录文件中应包括风险的编号 描述 后果 以及经过专家小组评估认为风险发生的可能性 严重性和可接受 性 同时还应记录任何需要采取的规避措施 当有新的风险被识别出来后 要 更新风险管理记录并提出新的风险规避建议 以事实说明风险已经被识别 评 估 分类 并且采取措施消除或控制在可接受的水平上 4 结论结论 安全管理体系 SMS 是提高机务维修安全水平最为有效的方法之一 SMS 是一个有组织的安全管理系统 包括必要的组织机构 职责 管理政策和 管理程序 本文着重讨论了 SMS 中的风险评估过程 包括风险识别 风险分析 风险的量化计算 风险优先权设定以及风险的规避措施 这些问题在风险管理 中可能是最重要也是最容易出错的 风险管理的困难之处是对风险的量化分析 由于机务维修的复杂性和不确定性 风险的量化可能非常困难 但是无论采取 何种分析方法 都应该使风险管理形成一个事前的 主动的 系统的 闭环的 管理体系 SAFETY MANAGEMENT SYSTEM IN AIRCRAFT MAINTENANCE ORGANIZATIONS Xie Weijie ABSTRACT The air transportation system in the world is outgrowing