民航事故原因及案例分析

2001年10月8日米兰/利那特机场发生飞机相撞事故后，机场管理者因为在长达6年的时间里未安装已购置的雷达设备等管理责任而被判刑

事件经过如下：3983航班保持9000米通过黄城导航台管制员依据管制移交协议在距离交接点P09前 77公里提前脱波；两分钟后，相对飞行的8056航班保持8400米高度在通过P09后联系该区调，管制员指挥8056上升高度到9600米。8056上升以及管制员指令避让的过程中，两航班最小间隔减小到相对13公里、高度差220米，构成事故征候。 行业结构行业环境政府机构公司环境工作环境?知识?技能?能力?设施?设计?工具?文件?时间压力20100605 090342A政府调查机构?管理?文化ICAO媒体惯例文化协会制造者……其它

我们用组织事故理论—Reason模型对此事故案例进行

分析。

?

完整事故链：

待遇低、环境差、人员配置少、休息不充分―碰巧‖让的

管制员―很迷糊‖移交协议的缺陷―碰巧‖没有被管理层发现。而8056和3983―碰巧‖同时飞入该协议的―阴影‖中刚接完班、午饭后有些迷糊的管制员―碰巧‖忘记了已经脱波的3983也为数不多地―碰巧‖没看雷达而指挥8056上升高度。巧合的是这两航班相距46公里———―碰巧‖让执行指令的航班可以很接近而偷懒的机组又―碰巧‖没看TCAS就执行指令。

曼彻斯特大学教授James Reason在其著名的心理学专著《Human error》一书中首次提出该模型；之后又出版《组织事故的风险管理》一书专门探讨Reason模型。该模型建立

后迅速被广泛地应用于人机工程学、医学、核工业、航空等领域，并通过国际民航组织的推荐成为航空事故调查与分析的理论模型

20100605 090342A20100605 090342A之一。

该理论认为： – 人为差错是一种结果，而不是原因 – 人为差错体现出了系统的隐性失效

– 解决办法：事前进行安全管理

该模型的核心创新点在于其系统观的视野，在对不安全事件行为人的行为分析之外，更深层次地剖析出影响行为人的潜在组织因素

从一体化相互作用的分系统、组织权力层级的直接作用到管理者、利益相关者、企业文化的间接影响等角度全方位地拓展了事故分析的视野，并以一个逻辑统一的事故反应链将所有相关因素进行了理论串联。 组织事故理论—Reason模型

该模型的内在逻辑：

– 事故的发生不仅有一个事件本身的反应链，还同时存在

一个被穿透的组织缺陷集

– 事故促发因素和组织各层次的缺陷（或安全风险）是长

期存在的并不断自行演化的

– 但这些事故促因和组织缺陷并不一定造成不安全事件，

当多个层次的组织缺陷在一个事故促发因子上同时或次第出现缺陷时，不安全事件就失去多层次的阻断屏障而发生。

组织事故理论—Reason模型组织管理上的决策组织过程任务&环境差错状态违规状态人差错违规防护事故20100605 090342A 组织事故理论—Reason模型组织管理上的决策组织过程任务&环境差错状态违规状态人差错违规防护AC事CIDE故NT反馈20100605 090342A

?

第一次将组织与管理因素纳入事故起因分析，潜在不安全状况是由决策者、管理者和其他在时间和空间上与事故发生时间和空间上相隔甚远的人员造成的

?

形象地描述了各种因素之间的影响，任何要素的缺陷都可以被弥补，但任何要素的缺陷都增大了事故的可能性

?

揭示了任何企业都存在大量隐性失效这样一个真实的运行环境

?

REASON模型告诉我们，出事故是因为整个系统 ―生病了‖，解决了―为什么生病‖的问题

? REASON模型影响到事故刑事责任的认定 ? 组织事故逻辑倒序分析：

– 纠正飞行冲突的行为 – 不安全行为本身 – 不安全行为的直接前提 – 组织的预防与监督 – 组织因素

?

纠正飞行冲突的行为：

– –

主班管制员发现指令错误后的纠错行为基本正确 尽管在这一事故征候中主班本人负有不可推卸的责任，但主班的自我纠错行为避免了最悲惨的后果

–

这与2002年7月1日德国博登湖上空―图-154‖与―波音-757‖相撞事故中瑞士管制员的错误纠正行为形成对比

? 不安全行为：

– REASON模型中的不安全行为分为两类：

?

差错：指没有达到预期结果的精神或身体行为，它包括决策差错、技能差错和认知差错三个分类；

?

违规：指故意无视管制规则和规章的行为，按照违章的频率又可分为习惯性违规的和偶然违规两个分类。

?

本例中的不安全行为； 管制员―随意下达上升指令‖，属于注意力集中缺失和记忆错误导致的技能差错

?

按照航空心理学的定义，是空管操作中比较常见的情形意识丧失，它主要是指运行人员对运行中即时的、环境中相关因素的认知不同程度地丧失，包括对安全状况的认知缺失。

?

本事件中，管制员完全将提前脱波的3983航班遗忘，在主动询问8056是否需要上升高度的过程中显然没有意识到相对飞行的3983的存在，否则不会直接指挥8056上升到9600米。

? 不安全行为的直接前提：

– 管制员没有通过雷达显示或进程单检查飞行冲突 – 管制员完全放弃了信息收集（观察雷达和检查进程单）

和冲突判断，显然已经从正常工作程序上无意识地偏离

– 提供给管制员检查冲突的两个有效辅助手段（该区域管

制未实行雷达管制）丧失了弥补作用。 ? 组织预防与监督

该空管站缺乏风险识别和风险控制的机制，预先发现问题、解决问题的过程管理能力存在明显缺陷，这突出表现在：监督不充分和对长期存在和暴露的问题没有进行纠正 -监督不充分

该区域与相临区域管制移交协议存在明显缺陷，管理层没有进行清理和纠正。

协议要求航班飞越黄城导航台后就提前联系大连区调，管制员往往根据协议通知机组提前联系前方，并在机组通报联系好前方后主动与机组脱波。

这间接导致了3983和8056航班在一个管制区域内相对飞行却分别接受两家管制室管辖

造成管制员在指挥8056上升高度时遗忘已脱波的3983航班，当管制员发现飞行冲突时也难以直接指挥3983航班进行同时避让

-组织预防与监督

对长期存在和暴露的问题没有进行纠正

一年内该区调曾发生另一起空管责任事故征候，其中管制员指令正确但机组复诵错误，管制员没有发现和纠正，雷达监控飞行冲突不充分又导致纠正措施过晚。 对于事件暴露出来的管制员没有预防差错的纵深防御措施及雷达监控程序存在不足、管制员对可能产生冲突的相对飞行不能更多地分配监控注意力等情况，该空管站的监督管理层没有采取足够的措施改变管制员的操作习惯，没有从以前的事例中汲取教训，使得相似的雷达监控缺失状况一再出现。 ? 组织因素

一个独立的不安全事件暴露的是单一组织层次的缺陷 而一系列的不安全事件，尤其是严重层级较高的不安全事件连续出现则标示着安全管理体系的崩溃

它表明组织在决策层面的失败气氛以及监督与执行力度的丧失。 ? 显性失效: ? 不安全事件经常出现 ? 必须理解其出现的背景 ? 隐性失效/状态: ? 随时随地存在.

? 必须识别并加以处理

及时纠正危险接近机组未看TCAS 机组操作指挥失误提前托波管制协议20100605 090342A