第二章安全管理基础

民航安全管理空中交通系王世锦民航安全管理内容★安全管理概述★安全管理内涵民航安全管理★危险源★安全风险管理★国家安全纲要★安全管理体系★安全审计第二章安全管理基础2.22.31232.1基本概念事故与事故征候发生的环境安全周期2.44成本安全是一种状态，在这种状态下，产生伤害或损害的风险被限制在可接受的水平内。带来风险的安全危险可在安全遭到明显破坏（如事故或事故征候）后显现出来，也可在实际安全事件出现之前，通过正式的安全管理方案加以主动识别。识别出安全危险后，必须对相关风险进行评估。安全管理强调用系统的方法进行危险识别与风险管理——从而使人员伤亡、财产损失、财政、环境和社会损失最小化。第二章安全管理基础事故是指发生在航空器运行中的事件，造成：1)死亡或者严重伤害；2)航空器严重损坏，包括结构损坏或需要大修；或3)航空器遗失或完全无法进入。2.1事故与事故征候——定义事故征候是指除事故以外的与航空器运行相关的，影响到或可能影响到运行安全的事件。严重事故征候是指涉及可表明几乎发生事故的情况的事故征候。2.1事故与事故征候——定义事故是危险严重性的具有说服力的和无可争议的证据。往往要等事故造成灾难性后果和付出巨大代价时才能刺激人们分配资源。2.1事故与事故征候——定义如果只注重调查事故的结果，而不是调查导致事故的危险或风险，那么是被动的。从安全角度看，被动调查的效用是相当低的，因为构成重大安全风险的潜在不安全状况可能被忽略。事故调查的重点应该是致力于有效的风险控制。随着调查由关注“追究责任人”转向有效地降低风险，将鼓励涉案人员进行合作，促进发现根本原因。追究责任的短期权宜做法对于预防未来事故的长远目标是有害的。2.1事故与事故征候——定义“严重事故征候”用于指那些侥幸没有成为事故的事故征候。例如与另一航空器或地面几乎相撞。因为事故征候非常严重，所以需要对它们进行彻底的调查。一些国家把这些严重事故征候当做真正的事故来处理。因此它们用一事故调查组实施调查，包括公布一份最后报告和向国际民航组织提交一份事故/事故征候数据报告系统的事故征候数据报告。这种全面的事故征候调查的好处是，可提供像事故调查一样标准的危险信息。2.1事故与事故征候——定义许多事故征候每天都在发生，这些事故征候可能会也可能不会报告给调查机构，但是它们非常接近事故——常常具有非常高的风险。遗憾的是：由于没有导致伤害、损坏、或者只导致很小的损坏，可能不对其进行调查。而对危险识别而言，调查事故征候也许能够比调查事故收到更有用的结果。事故与事故征候的不同可能仅仅在于某个偶然因素。实际上，事故征候可能在略微不同的情况下，可能就会导致人员伤害或财产损失，可能成为事故。2.1事故与事故征候——定义由于安全管理的目标是降低事故的可能性与严重性，因此理解事故与事故征候的起因对于理解安全管理是必不可少的。因为事故与事故征候是紧密相关的，所以没有必要将事故的起因与事故征候的起因相区别。2.1事故与事故征候——发生的环境事故与事故征候在特定情况和条件下发生。这些特定情况和条件包括航空器与其他设备、天气情况、机场和航班，也包括管理环境、行业环境及公司运营环境，还包括人的行为的排列组合。在任何特定时间，上述一些因素都可能结合在一起构成适宜事故发生的条件。2.1事故与事故征候——发生的环境事故起因的传统看法在发生重大事故后，人们可能要问如下问题：a)胜任工作的人员如何以及为什么出现导致事故的差错？b)这样的事情会不会再次发生？2.1事故与事故征候——发生的环境例如：最终导致某个人做出某种不当行为因而触发事故的一系列事件或情况的不当行为也许是判断差错（例如偏离标准的操作程序）、由于疏忽导致的差错或故意违规。2.1事故与事故征候——发生的环境按照传统的方法，调查经常着眼于找出造成事故的人员追究其责任（和给予惩罚）。安全管理工作至多也就是把重点首先放在找出降低发生这种不安全行为的风险的方法上。引发事故的差错或违规行为的发生似乎是没有规律的。由于没有某种模式可循，这种旨在降低或消除随机事件的安全管理努力也许是无效的。人们也安于接受这种惩罚，认为“我”犯错，承担惩罚也是应该的。2.1事故与事故征候——发生的环境对事故资料的分析经常表明，事故发生前的情况已经“具备事故发生的条件”。安全意识强的人甚至可能一直在说，这些情况迟早会导致事故的发生。当事故发生时，通常是健康的、合格的、有经验的、积极的和有能力的人员被发现出现导致事故的差错。他们（及其同事）之前可能很多次出现这些差错或做出不安全行为，但没有产生不利后果。另外，他们操作过程中的某些不安全状况可能已经存在了许多年，但没有触发事故。换句话说，存在着一种偶然因素。2.1事故与事故征候——发生的环境有时，这些不安全状况是由管理者的决策造成的；他们认识到了风险，但是需要与其他优先事项进行权衡。实际上，一线人员的工作环境常常由自己无法控制的组织和管理因素限定。一线人员仅是整个大系统中的一部分。2.1事故与事故征候——发生的环境事故起因的现代看法安全管理体系（SMS）要求从另外一个角度认识事故起因，这种认识依赖于对人员的整体工作环境（即系统）进行的审查。根据现代思想，发生事故需要多种促成因素碰撞在一起，每一项因素都是必不可少的，但是，其自身均不足以破坏系统的防护机制。2.1事故与事故征候——发生的环境实际上，一线人员的工作环境常常由自己无法控制的组织和管理因素限定。一线人员仅是整个大系统中的一部分。主要设备失效，或者操作人员的差错很少成为破坏系统防护机制的单一原因。通常，这些破坏是由决策中人的失误引起的，可能涉及到运行层的实际失误，也可能涉及有助于破坏系统固有安全防护机制的潜在状况。2.1事故与事故征候——发生的环境航空业对组织事故这一概念的广泛接受源于詹姆斯教授的Reason模型，该模型向我们解释了为什么航空业（或其他任何生产系统）会安全运行或出现故障。根据这个模型，事故的发生需要许多因素的共同作用，每一个因素都是必要的，仅靠单独某个因素无法打破系统的防御屏障。由于类似于航空业这样的复杂系统是由多层防御屏障进行保护的，因此单独某个点的差错很难导致事故的发生。2.1事故与事故征候——发生的环境设备的故障或者操作的差错并不是打破安全防御的原因，而只是诱因。系统的最高层做出了一系列决定，这些决定一直处于休眠状态，直到在某个具体运行环境中，其效果或者破坏性才被激发出来，而那些设备故障或操作差错只是这些决定的延迟后果。在这些具体的运行环境中，人为差错或者操作层上的主动失效只是破坏系统固有安全防御系统的潜在条件的诱因。2.1事故与事故征候——发生的环境在Reason模型里，事故都源于主动失效和潜在条件的综合。主动失效是指作为或不作为，包括差错和违章行为，能引发即刻的不良后果。它们通常被认定为“不安全行为”。主动失效通常与基层员工（飞行员、空中交通管制员、航空器技术工程师等）相关，可能会导致破坏性的后果。它们有可能洞穿那些由航空组织、监管机构所设置的安全防御系统。主动失效可能是由普通的差错所导致的，也可能是对既定程序或操作的违背所造成的。2.1事故与事故征候——发生的环境Reason模型认为，在任何运行环境中都有许多差错和违章行为的发生条件，这些条件可能影响到个人和组织的行为。由运行人员引起的主动失效发生在包含潜在条件的环境中。潜在条件是指在事故发生前就已在系统中存在，由于诱发因素而变得明显的那些条件。潜在条件的后果也许很长一段时间内都处于潜伏状态。这些潜在条件通常并不被视为有害，因为开始的时候，没有人认为它们有问题。2.1事故与事故征候——发生的环境当系统的防御体系被打破时，潜在条件就会变得很明显。这些条件通常是由那些远离事故发生时间和地点的人引起的。基层员工承接了系统中的潜在条件，如：设备或任务设计中的不足、相互矛盾的目标（如不利于安全的某些服务）、存在缺陷的组织（如内部沟通不足）、管理决策（如某个维修项目的延缓）。2.1事故与事故征候——发生的环境组织事故的观点，其目的是在系统范围内确定并减少这些潜在条件，而不是通过一些局部的措施来减少个别员工出现的主动失效。主动失效只是安全问题的表象，而非原因。即使是在运行顺畅的组织中，大多数潜在条件也源于决策者。这些决策者也会有个人的偏见和局限性，同时受到时代、预算、政治等因素的制约。由于管理决策上的问题并不是总能被阻止，因此必须采取措施来发现它们，并减轻它们的负作用。2.1事故与事故征候——发生的环境基层管理者的决策可能会导致培训不充分、日程安排冲突或对工作场所预防措施的忽视。这些会导致知识和技术不足，或不恰当的操作程序。基层管理和组织管理作为一个整体，其运行顺畅程度是差错或违章产生的背景。如：设定工作目标、组织任务和资源、处理日常事务和内外沟通等管理工作的效率如何？公司管理层和监管机构的决定往往是在资源缺乏的情况下所做出的。但是，如果减少了提升系统安全的初始成本，那就将会导致组织事故。2.1事故与事故征候——发生的环境2.1事故与事故征候——发生的环境航空系统中建立了不同的防御措施，以防止在系统所有层次中（如：基层工作场所、中层和高级管理层）出现的人员绩效或决策的波动。防御措施就是系统为了预防在生产活动中出现安全风险而分配的资源。该模型表明：包括管理决策在内的组织因素，可能形成打破系统防御措施的潜在条件，同时，这些因素也有助于稳固系统的防御措施。2.1事故与事故征候——发生的环境Reason模型所给出的组织事故的概念可以通过逐层深入的方法来理解，一共包括五个层次。最上面一层代表组织程序，这是由组织直接控制的活动，这些活动包括：制定政策、计划、沟通、配置资源、监管等。毫无疑问，与安全最直接相关的两项活动是配置资源和沟通。这些组织活动的漏洞或不足是两条失败产生路径的温床。2.1事故与事故征候——发生的环境第一条路径是潜在条件,包括：设备设计有缺陷、标准操作程序不完整或不正确、缺乏培训等。分为两大类。一类是不恰当的危险源识别和安全风险管理，危险源导致的安全风险没有得到有效控制，而是存在于系统中，最终会因为操作而被触发。第二类则是违章行为的普遍化，简单地说，在这种运行环境中，例外的情况被视为一种潜规则。在这种环境中，资源配置存在严重问题。在缺乏资源的情况下，那些直接负责实际生产的运行人员只能通过走捷径的方法来完成操作，而这些捷径包括不断地违背规则和程序。2.1事故与事故征候——发生的环境潜在条件可能会打破航空系统的防御措施。通常，航空系统的防御措施分为三大类：技术、培训和规章。防御措施通常是遏制潜在条件和人为差错的最后一层安全网。2.1事故与事故征候——发生的环境另一条从组织程序里延伸出的路径是工作场所的条件。工作场所的条件是那些直接影响人员效率的因素。工作场所的条件很大程度上是主观的，不同的运行人员会有不同的感受，这些条件包括：人员队伍的稳定性、资格和经验、士气、管理可信度以及传统的环境因素，如照明、温度等。2.1事故与事故征候——发生的环境非最佳的工作条件会使员工产生前面所提到的主动失效。主动失效可能是差错，也可能是违章。这两者在动机上是不同的：一个人遵循规章、程序及培训要求，尽力完成一项任务，但是没有达到任务目标，这就是差错；一个人在完成任务时主动违背规章、程序或培训要求，这就是违章。因此，差错与违章的根本不同在于动机。2.1事故与事故征候——发生的环境直接产生差错与违规可被视为不安全行为；这些通常与一线人员（飞行员、管制员、航空器维修工程师等）相关。这些不安全行为可穿透公司管理层、管理当局等为保护航空系统设置的各种防护机制，从而导致事故。这些不安全行为可能是一般差错的结果，也可能是由故意违反规定的程序与做法的行为所导致。此模型承认在工作环境中有许多可能影响个人或团队行为的差错或违规行为的产生条件。2.1事故与事故征候——发生的环