0.   引言

20世纪70年代, 据国际民航组织统计, 人为因素已经占到飞行事故原因的75%左右, 因此, 有必要对基于人为因素的事故原因分析方法进行研究。一项调查表明, 到20世纪末共出现了6种人为失误观点, 分别是: 认知的观点、工效的观点、行为的观点、航空医学的观点、社会心理的观点和组织的观点^[1-6]。尽管上述各种人的失误观点均有自身的长处, 但没有任何一个能用来说明导致事故的众多人为因素问题。1990年, 里森(James Reason)教授提出的“瑞士奶酪”模型综合了上述各种人为失误观点, 整合成了一个统一的事故原因分析框架。然而, 里森模型最初是针对学者们的描述, 并未明确奶酪中“洞”的确切含义, 从而为调查分析人员在应用该模型时带来了不便。为此, 21世纪初, 美国维格曼(Wiegmann D)和夏佩尔(Shappell S)提出人为因素分析与分类系统(human factors analysis and classification system, 简称HFACS)来回答奶酪中“洞”的定义^[7]。

利用HFACS进行人为因素分析能够表明导致事故发生的系统原因及各原因所处的层次, 但分析时主要靠时间追溯和联想法, 因此, 分析结果的细致程度和可靠性取决于分析人员的能力。业务流程是一个增值的过程, 即通过输入资源, 进行一系列相互关联和作用的活动, 获得特定输出的过程。其特点是把各种业务活动细化分到一个合适的程度, 协同产生增值的结果。业务流程管理(BPM)是一种管理体系, 其从业务流程的层面切入, 关注流程是否增值, 用流程描述与流程改进等方法和技术, 形成一套“认识流程, 建立流程, 优化流程, E化流程, 运作流程”的管理体系, 并在此基础上开始一个“再认识流程”的新的循环^[8-9]。可见, BPM能够引导调查分析人员有条理地遍历各工作环节, 确保调查分析的系统性和完整性。本文结合BPM思想, 提出一种切实可行的多维事故原因分析模型。

1.   传统的人为因素分析方法

各种人为因素分析方法^[3-6]都以与其相对应的人的失误模型为理论基础。由于综合性最强的人的失误模型是里森教授的“瑞士奶酪”模型, 为此, 本文利用基于“瑞士奶酪”模型提出的HFACS^[7]对某一具体案例进行人为因素分析, 分析模型见图 1, 为方便数据存储, 将该模型用二维图形表示。从图 1中可以看出, HFACS描述了4个层次的失效, 每个层次都对应于里森模型的一个层面。其包括不安全行为、不安全行为的前提条件、不安全的监督与组织影响。每个层次又可分为多种原因因素。现就某一来自《偏差事件管理系统》的案例进行分析, 案例描述详细如下。

图  1  基于HFACS的事故原因分析模型

Figure  1.  Analysis model of accident causes based on HFACS

下载: 全尺寸图片 幻灯片

2006年6月3日, B-2691飞机执行从无锡到北京的某航班。飞机12∶07起飞, 起飞10 min后, 机组发现左油箱指示器读数为2 750 kg, 右油箱指示器读数为3 650 kg, 左右油箱相差900 kg, 因此, 机组决定返航。12∶50飞机安全返航, 降落在无锡机场。随后, 无锡机务人员与机组进行交接, 然后, 无锡机务人员报告总签派室值班人员飞机在空中出现燃油IMBAL警告; 12∶55无锡机务人员开始检查燃油指示系统; 13∶55得出检查结果: 油尺指示正常, 因此, 清除IMBAL代码, 完成燃油指示系统测试后, 放行飞机, 并通知总签派室。

现根据图 1模型进行人为因素分析, 调查人员通常从调查关键点所对应的层次入手。例如, 本例中调查关键点发生在“为何起飞后会出现左右油箱不平衡的情况”。显然, 会考虑2个因素: 为何会出现左右油箱不平衡和为何机组在左右油箱不平衡的情况下依然起飞。对于第1个因素, 根据QAR数据, 飞机在地面滑行时左右油箱的油量就已经相差635 kg左右。据调查, 前一天该机因故障返航, 排故过程中APU与发动机试车均使用了左油箱燃油, 从而导致左右油箱油量不平衡。那么为何排故结束后, 机务人员未检查油料平衡指示系统呢?此时, 排故结束后, 机务人员未检查油料平衡指示系统显然属于不安全行为, 因此, 从不安全行为层次入手, 还需进行图 1的第2步和第3步分析。由于没有证据表明机务维修人员违背了任何规章制度, 因此, 认为属于差错。接着需要确定属于哪种类型的差错。该差错是由于排故后机务人员未注意到左右油箱指示不平衡引起的, 属于知觉差错。继续分析时, 矛头就会指向“机务为何在排故后未检查左右油箱平衡指示系统?”经调查, 原来飞机左右油箱是自动平衡的, 但由于某事故后, 设计发生了改变, 因此, 排故后的检查单未包括左右油箱平衡指示系统的检查项目, 属于组织影响的组织氛围。此外, 由于指派的排故人员经验不足, 没有注意到该问题, 这就属于不安全监督的运行计划不适当。同理, 对第2个因素进行分析, 得到图 2所示的左右油箱油量不平衡引起的返航事件原因分析总结。

图  2  事件原因分析总结

Figure  2.  Conclusion of event cause analysis

下载: 全尺寸图片 幻灯片

虽然通过上述传统的人为因素分析得到了各层次的原因, 但存在下述不完善方面。

(1) 分析过程缺乏系统化。很多推理过程都要依靠调查人员的分析能力, 从而会出现人员素质决定结果的现象, 这样得到的数据缺乏可靠性。

(2) 虽然分析过程中指明了各种原因之间的联系, 但在最后总结中很难看出它们之间的联系。如试车工作单不完善本身与机务未检查油料平衡相联系, 但是从图 3中很难看出, 需要有一定专业知识的人才能够理解。

图  3  多维事故原因分析模型

Figure  3.  MAMAC

下载: 全尺寸图片 幻灯片

(3) 虽然各层次上均布满了事件存在的原因, 但很难进行事件重现, 因为从图 2中很难看出事件的来龙去脉。

2.   人为因素的多维事故原因分析模型

如果经过一次耗费时间、财力和人力的大规模调查, 找到了各种原因, 但是没有保留解决上述问题的信息, 会成为以后进行数据分析(如预测等)的瓶颈, 将不便于优化和管理与该事件相关的工作流程, 很难进行事件重现, 从而不能起到有效的事故防范作用。如同现代计算机技术已经相当发达, 但缺乏数据来源一样, 不仅会造成资源浪费, 还会影响安全水平的提高。为此, 综合考虑这些弊端, 提出了人为因素的多维事故原因分析模型。

综合考虑利用HFACS进行人为因素分析的不完善之处, 本文认为应该结合BPM的思想, 挖掘每个事故背后的工作流程, 确定各子系统之间的关系, 然后针对子系统, 利用HFACS进行人为因素分析, 确定各子系统原因之间的联系, 经过抽象后可得出图 3的人为因素的多维事故原因分析模型, 三个维度可表明下述内容。

(1) z轴表明事件背后存在导致事件发生的多个环节或者子系统(实际上根据系统复杂程度不同及分析要求不同, 子系统又可进一步划分)。

(2) x轴表明各子系统均能按照里森模型分为4个层次(可按照不同的需要对这4个层次进行定义)。

(3) y轴表明各子系统各层次上又可分为不同的原因类型。xOy平面为图 1的二维图形式, 见图 4。

图  4  事故原因分析二维图

Figure  4.  2-d analysis map of accident causes

下载: 全尺寸图片 幻灯片

3.   实例分析

3.1   分析步骤

3.1.1   画出事故背后的工作流程

该步骤表现图 3的z轴。经过调查后, 很容易发现每个事件背后都隐藏着促使系统失效的一个流程, 该流程又由多个环节(或称为子系统)按照一定的顺序组成。例如上述案例中隐藏着3个子系统: 机务起飞前试车检查系统(A)、机组起飞前检查系统(B)和飞机油料平衡指示系统(C), 其工作流程见图 5。

图  5  确保油料平衡流程

Figure  5.  Process of ensuring fuel balance

下载: 全尺寸图片 幻灯片

3.1.2   确定各子系统之间的关系

该步骤表现图 3 z轴上各点之间的关系。这些子系统(或者工作流程)之间存在着多种关系, 可能是按照时间顺序串行运作的, 也可能是并行运作的, 或者是交替进行的。案例中各子系统之间的关系(图 4), 应该先进行机务排故后检查, 然后进行机务起飞前检查, 接着是机组起飞前检查, 飞机油料平衡指示几乎存在于各个过程。在数据库中可利用表 1的字段来存储它们之间的关系。其中, 关系集表示各子系统可能的组合, 这里只简单地用二维集合表示; 如果是串行发生, 则应填写第4和第5列的内容, 第4列表示哪个系统先发生, 第5列表示是否为相邻系统。

表  1  各子系统之间的关系

Table  1.  Relationships among subsystems

序号

关系集

关系

先发生的系统

是否为相邻系统

下载: 导出CSV 

| 显示表格

3.1.3   确定各子系统涉及的原因

该步骤表现图 3的xOy平面, 即图 4。利用HFACS对子系统进行人为因素分析, 得出表 2。表 2中各原因后面括号里的代码为各原因在数据库中存储的代码, 其中A、B、C分别表示各原因位于哪个子系统, D、E、F、G表示位于哪个层次, 下脚标表示属于哪种类型的原因(与图 4对应)。

表  2  各子系统漏洞分析

Table  2.  Failure analysis of subsystems

序号	子系统	组织因素(D)	不安全的监督(E)	不安全行为的前提条件(F)	不安全行为(G)
A	机务起飞前试车检查系统	试车工作单不完善(AD2)	指派经验不足的机务排故(AE2)		试车时没有检查油料平衡(AG3)
B	机组起飞前检查系统	机组操纵程序不完善(BD2)		疲劳(BF3)	起飞前未检查油料平衡(BG3)
C	飞机油料平衡指示系统			飞机油料平衡指示未设计告警(CF6)

下载: 导出CSV 

| 显示表格

3.1.4   确定各根原因之间的关系

该步骤表现图 3三维空间中各点之间的关系。通过分析得出各原因关系见图 6。可以用数据库存储的形式表达图 6的逻辑关系。对于每一个原因, 至少包括表 3字段的属性。

图  6  原因关系

Figure  6.  Relationships among causes

下载: 全尺寸图片 幻灯片

表  3  原因关系

Table  3.  Relationships among causes

序号

名称

子系统

层次

原因类型

前原因

后原因

下载: 导出CSV 

| 显示表格

3.1.5   事件重组

最后, 可以利用数据库中存储的表 1、3的信息, 实现事件重现。

3.2   原因分析结果

(1) 这起事件主要由2种不安全行为导致:机务试车时未检查油箱油量平衡和机组起飞前未检查油箱油量平衡, 均为差错行为, 因而不应该追究其责任。

(2) 这起事件的原因有5个:试车工作单不完善、指派经验不足的机务排故、机组操纵程序不完善、疲劳和飞机油料平衡指示未设计告警。其中文件方面的原因有2个(试车工作单不完善和机组操纵程序不完善); 设备方面的原因有1个(飞机油料平衡指示未设计告警); 操作者自身因素方面的原因有1个(疲劳); 不安全的控制方面的原因有1个(指派经验不足的机务排故)。根据图 6, 可以看出这5个原因之间的关系, 得出只要其中的1个原因被切断, 该起事件均不会发生。

(3) 对应措施有:机组操纵程序检查油箱油量部分应增加检查左右油箱油量的内容; 机组试车工作单检查油箱油量部分应增加检查左右油箱油量的内容; 建议有关飞机制造单位设计飞机油料平衡告警; 操作者应保持充足的睡眠; 控制人员不应放手量过大。对于航空公司来讲, 前2个措施很方便执行, 而且成本很低。当然, 不同原因对航空安全影响的重要度不同。分清主次因素, 采取不同的安全措施, 针对影响航空安全的主要因素进行改进, 可有效提高航空安全系统的安全性^[10]。

随着时间的积累, 数据挖掘技术的不断研究和应用等, 会使人们对事件本质有越来越深刻的认识, 甚至积累到一定地步时不需要进行代价昂贵的事件调查即可清楚地知道问题出在哪里, 或者从一个系统的某个部分出了原因就会立刻知道下一步会影响本环节或其他环节的哪个部分, 以达到真正的事故提前防范。

4.   结语

将业务流程管理与人为因素分析分类系统相结合, 提出了多维事故原因分析模型(MAMAC), 经过实际案例的验证证明如下。

(1) MAMAC能够引导调查分析人员利用“瑞士奶酪”模型全面查清各工作环节存在的漏洞。

(2) 工作流程的细致程度和完整性与分析结果的详细程度和全面性成正比, 但由于资源和技术的限制, 只能将工作流程分解到一个合理的范围内。

(3) 原因分类的层次越深, 分析结果越详细, 因此, 可以根据用途构建配套的原因分类体系。

(4) MAMAC应用在工作流程相对固定的领域可优化工作流程, 提高系统可靠性。

(5) 通过将工作流程及各原因之间的关系存储在数据库中, 可便于事件重现, 为风险评价与安全预警提供有用数据。