基于reason模型的空中管制不安全行为分析

基于reason模型的空中管制不安全行为分析

0基于reason模型的事故调查20世纪90年代，英国曼顿斯特尔施莱森r讲述了海因里希、施莱森、菲伦泽、博德、爱德华茨、莱森等科学家的相关理论。基于这些理论，他在《人类的错误》一书中提出了“瑞士酪氨酸模型”（reason模型），并获得了原子能、航运、海运、医学、石化、采矿等行业的广泛认可。Reason模型认为,事故通常不是孤立因素导致的,而是系统缺陷共同作用的结果;组织各层次的缺陷不一定必然导致事故,当所有层次的缺陷同时出现时(光线穿透奶酪),系统就会失去多层次的防御保护而发生事故。但Reason模型是一个抽象的理论,没有指出不同层次的缺陷即奶酪中的“孔洞”到底是什么,更没有说明事故调查中如何查找这些“孔洞”。国际民航组织尽管在《事故中人的因素调查指南》中认同Reason模型,但是实际应用的却是SHEL(S-Software-软件,H-Hardware-硬件,E-Environment-环境,L-Livewire-生命件)模型。自1997年,维格曼(Wiegmann)和夏佩尔(Shappell)基于Reason模型开始构建人的因素分析与分类系统(HFACS,HumanFactorsAnalysisandClassificationSystem),在理论和实践间架设了一座桥梁,并在美国海军的安全数据监控和措施干预中发挥显著作用,使违章(最主要的因素)导致事故的比重在3年时间里下降约20个百分点。近年,澳大利亚运输安全局基于Reason模型也开发了事故调查分析模型,并应用于航空、航天、航海、铁路等领域,取得较好反响。另外,由Reason模型衍生的“蝴蝶结(Bow-tie)”模型主张对事故进行预防控制(减少事故的发生概率)和恢复控制(减轻后果的严重程度),也具有一定的意义。人因分析与分类系统(HFACS)尽管成功,但它是针对飞行(以飞行员为中心)定制的,并不完全适用于空中交通管制,且中西方文化背景、安全管理体制、运行实践存在较大差异,如果直接套用翻译的框架势必生硬、牵强,况且框架中的部分内容需要重新界定。笔者分析Reason模型实用中存在的问题,考虑到人因分析与分类系统适用的局限及中西方文化差异,结合中国空管的实际出发,提出了对Reason模型进行修正并以实证表明其应用的效果。1面向事故调查的逆向追溯模型Reason模型的前两个层面分别是决策失误和管理不当,其本质都是管理,只是存在层次差异,一些空管组织中二者界限模糊、不易区分,为了提高模型的普遍适用性,修正后的模型将合并这两个层次。维格曼和夏佩尔的HFACS省略了不安全行为的防御层面,澳大利亚的事故调查分析模型将防御层面提前到仅次于组织因素之后,并更名为“运行风险控制”,但在此文中仍保留该层面。如图1所示,按照事故调查的逆向追溯思维,Reason模型修正后的4个层次如下:1)防御系统失效;2)不安全行为;3)不安全行为的条件;4)管理失效。2模型的重新分解根据修正后的Reason模型并借鉴HFACS,笔者构建的事故调查分析分解框架如图2所示。对模型的重新分解主要突出3个特点:1)制工作的实际情况,挖掘、丰富4个层次之下的支撑内容;2)尝试将SHEL模型引入到Reason模型之中,使横向模型与纵向模型有机结合;3)考虑中西文化差异,使Reason模型从本质上实现汉化。2.1管制员网络管制防御系统可以来自任何因素,主要是相关人员、告警设备和减灾系统。当管制员发生差错后,相关人员可以及时纠正差错,如主班自己,监控管制员,协调管制员,班组其他成员,带班主任,班组外其他管制员,机组人员,签派人员等;告警设备可以作出提醒和保护,如短期冲突告警、最低安全高度告警等;减灾系统可以减缓事故或事故征候的严重程度,如跑道安全区、跑道拦阻系统、应急管理体系等。2.2不安全行为不安全行为可以划分为失误和违章。2.2.1误五:误操作误度失误是无意行为,指管制员执行中表现偏离意愿或者方案不适当的行为。管制员的失误主要集中在以下几个方面:①听错信息,例如把“六千九”听成“六千叫”;②看错信息,例如把场压看成修正海压;③遗漏信息,例如雷达上8架飞机动态只掌握了6个;④忘记信息,例如夜间指挥飞机进近着陆却忘记开放助航灯光;⑤判断失误,例如指挥飞机相互穿越高度时小于间隔;⑥发错指令,例如把CCA4484呼成CCA4448;⑦填(输)错信息,例如6600的高度在进程单上填写成3600。管制工作的失误可分为感知失误、记忆失误、决策失误、技能失误。1)感知包括感觉和知觉,是人脑对作用于感觉器官的客观事物的整体反映,是管制员分配注意力利用感觉器官对相关信息的获取、理解的过程。例如:管制员通过视觉观察移交标牌的闪烁,判读飞机的高度、速度;通过听觉监听机组的报告、复诵、雷达设备的告警音响和班组成员的语音交流。记忆是管制员对感知到的信息进行接收、编码、存储的过程,体现管制员的识记和保持能力。2)记忆分为长期记忆和短期记忆,它取决于记忆的重复次数和刺激感官的深刻程度。对于管制员而言,那些规章标准诸如《中国民用航空空中交通管理规则》,及相关空管知识诸如B737按照尾流分类属于中型飞机、按照入口速度分类属于C类飞机等被管制员纳入到长期记忆库中。而工作中的临时动态诸如移交电话、飞机的位置报,及不断更新变化的信息诸如通播信息、飞机高度,一般都在管制员的短期记忆库里流动,这类记忆一般会随着任务的完成而消失。3)决策是管制员提取感知和记忆信息,对若干行动方案判断、推理、评估、选择、优化的过程。例如:五边若干飞机在排队进近,离场飞机在跑道外请求进跑道,飞机能否进跑道需要管制员考虑如下因素进行决策,如五边进近飞机还有多远、速度如何、跑道结构是否便于飞机落地后快速脱离、离场飞机和落地飞机之间的间隔标准是多少、如果进近飞机复飞是否会进入离场飞机的尾流区等等。4)技能是指管制员响应、执行决策方案和运用技术的能力。例如:管制员一旦决定安排离场飞机进跑道,就涉及到是否掌握良好通话技能,能否准确表达决策意图,能否在落地飞机飞越入口后立即指挥离场飞机进入跑道,能否准确把握时机在落地飞机脱离跑道后的瞬间及时指挥离场飞机起飞,能否在进近飞机距离跑道入口4～11公里处发布着陆许可等。2.2.2管制员具备纪律能力,能治理规范违章是管制员违反规章制度以及标准、手册、程序等一切行为。管制员通常自认为一切情况尽在掌控之中,并没有预计违章会造成不利后果,否则就是故意破坏,不在讨论之列。很多学者认为违章都是有意行为,其实不然,违章也可能是无意的,因为当事人有可能并不了解规章制度,或者对规章制度理解有误。应该承认,这在我国空管是客观存在的。任何一名持照管制员应该熟练掌握规章制度,也是上岗的前提条件,不熟悉规章制度却参加值班是更深层次的违章,对规章制度掌握有偏差不是违章的理由。管制员的行为是否违章应从旁观者理性的角度去判断,而不应考虑当事人是否对规章制度存在认识偏差,违章的衡量原则是其行为及其结果是否与规章制度相符。有意违章是管制员清楚地知道行为与规章制度不相符,但却实施了违反规章制度的行为;无意违章是管制员在不清楚规章制度的情况下实施了违反规章标准的行为。违章还可以划分为偶然性违章和习惯性违章。偶然性违章常常发生于特定情景之下,是一类孤立行为,并非管制员的典型行为模式,常常也是管理层所不容忍的。有意违章最初都是刻意的,但久而久之就可能从偶然性违章演变成习惯性违章,成为一个惯例,甚至是一种“规范”。管制员的违章行为只是一种表面现象,并不是事故或事故征候的真正原因,在违章背后一般都有鲜为人知的心理活动,例如:图省事,呼航班号不带公司话呼;图省时或缓解服务效率带来的压力,复杂气象条件下诱导机组做目视进近,违反程序进近;追求刺激,安排飞机对头起降;炫耀技能,在复杂条件下一边调配一边教学;规避处罚,前机还没有完全脱离,给后机发布着陆许可等。2.3条件下发生的不同时点事件发生不安全行为不会无缘无故发生,而是在一定前提条件下发生的。人处于SHEL模型的中心,管制员的不安全行为的条件包括个人状况不佳以及硬件、软件、环境、相关人员不适宜于管制员。2.3.1生理状况差,是造成工作压力的最主要原因之一,主要受个人状况不佳包括:管制员的个体局限,生理状况差,心理状况差,准备状况不充分。个体局限是指缺乏理应具备的职业品质,个体的身体或心智不能达到要求,不适宜管制工作,例如:动作不敏捷,视觉、听觉功能受限,口吃、发音不清晰、方言浓重,思维、反应迟钝等等。生理状况差包括因疾病、药物、疲劳、醉酒等引起的失能状况;心理状况差包括自负自满,麻痹大意,动机不良,应激过度,心理倦怠,烦躁、分心以及管制员的社会体系给工作带来的压力,例如:劳资纠纷,受家庭、婚恋、经济、人际关系的影响导致情绪波动等;准备状况不充分包括过量的身体运动,乱服药、饮酒,班前休息不够,饮食不当等。2.3.2监视系统设备可靠性硬件不适宜于管制员,包括:管制席位、工作台面、座椅设计和布局与人不匹配;监视系统(如雷达、自动相关监视设备的可靠性,屏幕大小、亮度、颜色等),通讯系统(甚高频设备、电话、耳机、话筒等),灯光遥控系统等存在缺陷;进程单架及托盘、键盘、鼠标、滚球的设计和摆放不符合工效学原则。2.3.3程序的感官保护功能软件不适宜于管制员,包括:法律法规、规章制度、运行手册、操作程序、检查单、特情处置程序、应急救援程序、进程单的格式及摆放规范、移交协调程序、计算机应用程序及格式保护功能、信息流转程序、飞行数据终端及雷达显示处理设备的界面(如标牌格式、大小、颜色、自动避让功能)等存在缺陷。2.3.4机场机场环境环境不适宜于管制员,包括:管制室的物理尺寸,室内装饰、布局存在不足,视线遮挡,光污染等情况;管制室微气候环境,如噪音、照明、温度、湿度、通风等不宜人;地空通信环境,如无线电频率干扰,通话嘈杂、频道拥挤;外界干扰,如检查、参观、施工、设备维护等影响工作;气象条件,如低云、低能见度,雷暴,降水,积冰,积雪,颠簸,大风,风切变等构成威胁;空域结构、航路(线)、飞行程序不合理;地型复杂,净空条件差;空中、地面交通活动复杂或不均衡;机场布局不合理、机场活动区环境复杂;飞机性能差,机载设备、导航设施存在设计局限、缺损或故障;双语通话、交流障碍等。2.3.5感官配合不畅相关人员不适宜于管制员包括班组资源管理失效,班组成员之间的沟通不畅、分工及配合不好、交叉检查不足;班前准备和班后讲评不充分;相关飞行员、签派员及相邻管制单位或席位的管制员没有提供友善的支持。2.4不同不安全行为的条件中存在管理漏洞里森认为,事故的贡献因子中,在时间及空间上远离事故的、潜伏的、危险最大的是那些系统中的隐性差错。隐性差错不仅包括前文提及的不安全行为的条件,还特指管理失效。当没有发生防御系统失效或管制员没有不安全行为时,管理失效似乎不对系统的安全构成威胁,因而很难被觉察,或者不被认为是差错。当事后查找事故原因时,由于那些作为事故“触发器”的不安全行为及防御失效最为明显,更易被认定为事故的原因,而潜在的管理差错往往被忽略。组织因素主要包括组织文化、资源管理、组织架构、运行管理、督促检查5个方面。2.4.1规范思维方式组织文化是组织共同的价值观和行为准则的总和,它反映组织倡导什么、反对什么,特别是组织的潜规则是什么,体现组织的行为规范和思维方式。组织文化包括表层和理层两重结构。表层是各种意义明确、内容具体的规范构成的文化表象,例如:组织政策,组织目标,组织程序,规章制度,交流与沟通方式,协作模式等。理层是指员工看待问题的思维模式和思维方法,例如:安全价值观,员工看待安全与效率的角度和方式,对待违章的态度,对组织愿景的认可度,员工的安全意识,满意度、公平感等。2.4.2财务用车管理资源管理包括人力资源、财力资源、物力资源和信息资源。人力资源包括管制员的选拔、招募、淘汰、教育、培养、配置等,例如:合格管制员的数量是否满足安全生产的需求。财力资源包括管制员的薪酬结构、福利待遇,资金的投入程度。物力资源包括设施设备的购置、完备性以及冗余度等。信息资源包括安全通报、安全指令、咨询通告、安全信息等具有使用价值的各种资讯、消息。2.4.3运行和检查部门组织架构包括组织机构、管理层次、管理幅度的设置,例如:机构是否完善,是否建立相对独立的运行和检查部门;职能部门职责的确立,运行和检查机制的建立;职能部门的责、权、利是否对等;外包及派出业务的管理是否明确;不同管理层次的授权分权是否合理;不同岗位的任务设计、职责要求、责任分配、责任对象、问责措施是否明确等。2.4.4现场管理状况运行管理包括:轮班制的节奏、班组搭配、排班不合理;双(三)岗制的落实不到位;没有掌握值班人员的状况,没有识别班组中的“危险分子”;没有按照《中国民用航空空中交通管制岗位培训管理规则大纲》提供培训;没有要求管制员执行规章制度,没有实施业务指导、考核和监督,没有跟踪管制员的业务水平;危险识别能力欠缺,对潜在威胁失察,改进效能低下;没有提供可操作性的规章制度、程序、手册等;没有提供足够的班前准备时间、交接班时间、班后讲评时间、休息时间;现场管理缺位或混乱;缺乏激励手段。2.4.5跟踪检查和责任追究问题督促检查包括:没有对管制员进行资格检查;没有敦促运行部门执行规章制度,没有检查规章制度的执行情况,没有发现运行中的违章行为;没有发现运行中的隐患并纠正偏差,没有提出和跟踪整改措施;没有督促运行部门组织安全培训;检查不当,不按照规章制度进行检查;没有定期向高层汇报安全形势;没有及时调查不安全事件、反馈信息。讨论:目前Reason模型的应用中,包括美国和澳大利亚的事故分析模型,普遍存在一个缺陷,那就是没有将局方的失误(如规章标准建设滞后、空域管理、监管缺位),国家层面的失误(如法律法规建设不力、方针政策导向不当),以及国际民航组织没有履行职责纳入其中。笔者认为,它们普遍存在失误问题应该隶属于更高层次的组织因素问题,是一个不应回避的重要问题。3博登湖高空冲突2002年7月1日晚23点35分32秒,一架TU154(航班号BTC2937)和一架B757(航班号DHL611)在德国和瑞士边境附近的博登湖上空约10800米高空相撞,两架飞机上71人全部遇难。该高空相撞飞行事故是一起典型因空管原因导致的空难,具体分析如下。3.1没有跟踪监控冲突管制员冲突处理不当,没有进行自我纠正。管制员给TU154机组发布下降指令后,以为冲突已经化解,注意力转向其他活动,轻重缓急处理不当,没有跟踪监控该冲突,特别是没有监视到B757下降的动态;另一名管制员违章脱岗,失去交叉检查防护;临近的德国区域管制中心触发短期冲突告警后,未能接通与苏黎士管制中心的直通电话,失去提醒机会;TU154机组没有遵循机载防撞系统的决断咨询指令;苏黎士管制中心的雷达没有触发短期冲突告警。3.2交叉飞行冲突管制员指挥两架飞机占用相同的高度;管制员没有及时探测两架飞机在相同高度的交叉飞行冲突,预案不充分,察觉时机太晚;管制员的冲突处理指令不当,给TU154发布了与RA指令相反的失误指令。3.3载荷和作为反应对象的操作不畅事发时正值午夜,管制员的生理状况较低下;当晚苏黎士的空管设备在进行维护,雷达数据处理系统处于降级模式运行,短期冲突告警功能不工作;因为电话维护,德国管制中心与苏黎士空管中心的直通电话不工作。苏黎士空管中心与腓特烈港塔台的备用电话发生故障,管制员不能接通电话移交进近航班AEF1135,严重干扰了管制员的注意力;缺乏检测同高度交叉冲突的程序;长距离航路上交叉冲突的探测比较困难;由于飞机同时发话,无线电通讯不畅,以致B757机组相撞前13秒向管制员报告的“TCAS下降”被其他飞机的发话干扰了,管制员没有听见;机载防撞系统指令过于平淡,远远没有管制员的语气那么急切和紧迫,且机载防撞系统仅仅具备垂直避让功能,不具备水平避让功能,机载防撞系统信息不能实时显示在空管雷达上,系统有待改进;班组资源管理失效,有一名班组成员脱岗;岗前管制员不知道当晚的设备维护工作;管制员不知道短期冲突告警功能不工作,设备维护人员没有告知这一信息;TU154机组没有报告正在执行的管制指令与决断咨询指令相悖。3.4管制员的管制和人员配置不合理夜间单岗被默认,已经是惯例,它说明运行管理部门没有认真履行职责,一直宽容地对待违章行为,督促检查部门缺位,没有监督双岗制的落实,也暴露出安全文化中散漫、随意的一面;管制人员的安全和责任意识淡薄,随意脱岗;设备维护部门没有事先向管制员通知设备检修事宜暴露出管制中心的信息沟通方式存在缺陷,设备维护部门与航务管理部门之间缺乏有效的沟通机制;雷达终端缺少备份系统,以致系统维护时无备份系统可用;苏黎士管制中心的管制任务分配不合理,管制员在两个席位上不停转换,负荷很重,在系统处于降级模式运行的情况下没有加强人力配置。一个延误航班(AEF1135)的出现本应增加一个独立席位,但仍由一个人负责两个席位(一个区域管制,一个进近管制)的管制工作,同时守听着两个频率(119.92MHz和128.05MHz)、监视着两个雷达屏幕,从TU154与其建立联系并报告FL360保持到他给TU154发出下降指令之间的4分21秒的时间里,他忙于其他管制任务而未能及时察觉并调配冲突,甚至两机相撞时他还在和其他飞机通话,显然,份外的工作增加了管制员的工作负荷;雷达在降级模式下运行,管制间隔将增大,但管制员此前没有接受系统处于降级模式运行的相关培训;管制员一年前曾经出现过类似差错,没有组织复训;不恰当地安排雷达处理系统和通讯设备(电话)同时进行维护