基于Bow-Tie模型的航空事故分析及适航条款生成方法

崔利杰 任恒 李泽

1.空军工程大学装备管理与安全工程学院 陕西西安710051 2.中国人民解放军95941部队北京102202

自航空器产生以来,尽管人们在航空安全方面的工作取得了显著的效果,但是随着航空器在人们生活中的深入广泛应用,新的航空安全问题依然在不断发生.航空灾难事件所导致的严重后果,往往会带来巨大的危害,其中主要以经济损失和人员伤亡的形式直接表现出来.除此之外,航空事故对环境造成的影响以及对个人和单位造成的负面影响、损失也是难以估计的.例如世界著名的泛美航空公司,其运营范围曾遍布六大洲的160个国家,却由于1988年的洛克比空难导致270人罹难,对其运营造成了非常恶劣的影响,最终导致泛美航空公司破产.而适航作为保障航空运营安全的重要手段,深入了解研究航空空难事故,建立健全适航管理规章体系,对提高航空器安全性水平具有重要意义.

1 事故分析管理方法模型

1.1 Bow-Tie分析方法模型

Bow-Tie模型是将导致事故产生影响的直接表现事件向两边进行拓展[1].一方面通过故障树向前推,分析导致事故发生的危险源,明确航空器系统缺陷;另一方面则是通过事件树向后推,通过对事故发生后导致事件产生二次伤害的因素进行分析研究,帮助人们更加全面地提出改进措施.Bow-Tie模型很好地将上述两方面结合起来,使得航空事故原因分析能够更加准确细致,使所有分析内容的结构体系更加直观,原理如图1所示.

图1 Bow-Tie模型原理简图

1.2 Bow-Tie分析方法模型要素

为保证事故分析过程中能够科学全面地对事故内容进行分析,Bow-Tie模型中各个要素具有不同的涵义,其中分析各阶段要素定义如下:

1)危险源的识别.指识别找出事故中可能导致出现人员伤亡、财产损失或者周边自然环境破坏等因素的根源[2].这些危险源可能平时处于潜在状态,需要一定的环境、时间或者人员的诱发,最终才能引发这些危险源向导致事故发生的状态发生转变.

2)危险源失控点.指系统中存在的危险源在经过诱发因子诱发后出现的不安全事件.这是导致事故产生危害的直接原因,该不安全事件的发生可能是由一系列不确定因素同时失效或者针对这些不确定因素设置的控制措施失效而最终导致的,该事件的发生往往具有集体涌现的特性.

4)识别控制.指统计、分析系统中原本针对系统可能出现的不安全情况采取的相应控制管理措施,其中包括对危险源本身的控制和危险发生后对危险事件的控制,一种是预防性控制,一种是事后控制.预防性控制主要是延缓危险源的状态转移,或者采取相应的状态监控、告警设备,达到对危险源的状态实时监控的目的,从而帮助人们提前采取有效措施,避免事故的发生.事后控制是通过对事故发生后可能产生的故障模式进行控制,使得事故在发生后,事故本身对系统的影响在人们可接受的范围内.

5)识别扩大因素.指在事故发生后,导致事故的影响扩大或者后果超过预期的影响因子,这些因素中一方面包括致使事后控制措施发生失效的因素,另一方面包括一些事后处理不当或者不及时导致事故影响恶化等因素.

6)识别后果.指由一系列影响因子失效后,导致危险源发生危险事件,从而产生的损失,其中包括了人员损伤、航空器设备以及人员财产损失,另外还包括对环境的影响等各个方面.

2 适航条款生成方法

由于事故案例的分析控制是以危险源的分析和控制为核心,故而在此选择风险管理方法对导致事故发生的各个危险源进行有效控制[4],具体的管理工作流程可进行如下描述.

2.1 辨识危险源

首先是对事故案例的收集和整理.随着信息共享技术的发展,我们可以利用目前已有的数据资源,通过建立飞行事故数据资料库对航空器安全可能产生影响的因素进行汇总.资料库中既包括设计人员在设计过程中的一些经验教训,也包括使用过程中发生的一些事故以及详细的事故调查过程及结果,还包括维修过程中维修人员发现的问题.作为事故风险管理的基础性资料信息库,首先应该保证资料来源的准确性,只有如此才能保证后续信息的使用能够符合实际.还应该保证事故信息的及时性,只有做到信息的及时反馈才能更好的发挥事故的教育意义,最大限度的降低伤害.在本过程中可以通过问卷调查法、安全检查表以及事故报告统计等途径对资料进行收集整理.在完成事故案例的收集后,就是对事故危险源的分析,事故原因分析时可以按照Bow-Tie模型方法进行.

2.2 风险控制

风险控制是在风险辨识和评价基础上进行的风险管控,是风险管理的核心要素.风险控制主要从排除风险、预防风险、降低风险3个方面进行考虑[5].首先应该明确所要控制的对象,即确定危险源.通过风险辨识评价阶段对事故原因的分析辨识,我们应该根据分析的结果,确定控制对象,实现对事件链的有效控制,避免事故的发生.

2.3 措施评价

评价过程主要是为了保证针对事故原因提出的措施的有效性.如果存在任何问题可以反馈回去,再进行分析解决.由于事故的发生是由一系列事件链组成的,所以针对不同的危险源,在飞机这个复杂的大系统中采取的控制措施一定会存在差异,为保证整机层级的系统安全性和物理完整性,我们在进行具体措施的有效性评价后,还需要对所有控制措施进行全面的试验评价,确保每一个控制措施之间不会产生交互作用,并且这些控制措施对其他部件及系统的影响在预期的范围内,不能因为控制措施的增加而影响到其他系统的正常运行,导致新的危险源的出现.

2.4 有效措施标准化

基于事故风险主要是由人为因素所导致的,并且航空器应用范围非常广泛,使用环境错综复杂,为确保控制措施的合理有序贯彻落实,使得每项风险控制环节工作有理有据,更好地约束操作人员的行为,最大限度避免事故的发生,需要对飞行事故进行风险管理并把相应的管理措施进行标准化,从而方便控制措施的有效落实.

记得9岁那年，国庆长假，爸爸带你徒步茅山。茅山距离句容近二十五公里。你和爸爸日出而出，日落才到。整整步行了一天。中途双腿发酸发软，脚板心疼痛，你想过放弃，特别是公交车从你身边驶过时。但正当你想放弃时，脑海中又想起爸爸常说的那一句话——坚持就是胜利。你牙一咬，心一横，终于坚持步行到了茅山。到达茅山脚下的兴奋冲走了你所有的疲倦，你快乐无比，从而你更加坚信只有持之以恒，才能获得成功。

在前面的管理过程中,我们对事故危险源进行了辨识分析,进而给出了控制措施的提出方法和思路,最后对风险控制措施的效果进行了评估.如果控制措施能够符合公众对航空安全性水平的最低要求,那么我们就需要对这些控制措施进行标准化,在法规体系上进行约束,使得航空器的设计、生产以及使用过程有法可依.

3 典型案例研究

3.1 事故经过简述

1998年4月28日,美国阿洛哈航空公司一架波音737客机,由希洛机场飞往瓦胡岛檀香山的过程中,飞机机舱顶部发生爆裂,客舱前部35m2范围空间完全暴露蓝天之下,飞机的安全性面临严重的威胁,主要有以下几个方面:

1)关键输氧管出现故障,机上人员供氧出现问题,长时间的供氧不足易导致组织缺氧;

2)高空温度低,乘客衣着比较单薄,容易出现人员损伤;

3)驾驶舱下垂1m,客舱及驾驶舱通讯设施故障,客舱人员无法判断飞机是否有人驾驶,乘客出现恐慌,驾驶舱内机长与副机长也难以正常沟通;

4)飞机的爆裂使得飞机结构强度降低,在飞行过程中随时有可能断裂;

5)降落时如果按照飞行手册计算速度降落,飞机将失去控制;

6)由于液压系统故障,不能确定起落架状态.

针对飞机发生事故后的种种问题,机组人员采取了下面几种解决措施:

1)机长迅速下降飞机高度,一方面使机上人员能够满足最基本的呼吸以及温度需要;另一方面,驾驶舱内也能实现正常沟通;

2)副机长及时与附近的毛伊岛塔台取得联系,请求在毛伊岛卡胡卢伊机场迫降并要求准备紧急救援;

3)通讯过程中告知起落架问题,通过迫降前地面人员的观察,得知起落架已经正常放下;

4)针对迫降时飞机的失控问题,机长决定使用高速迫降,以保证飞机在着落时是可控的.

事故发生后,机组人员通过采取正确有效的方法,最终使飞机成功迫降于毛伊岛卡胡卢伊机场.本次事故从事故发生至迫降成功历时13min,最终仅造成65名乘客受伤,7名乘客重伤,1名乘务长死亡,堪称奇迹.

3.2 运用Bow-Tie模型进行致因分析

结合事故发生过程中出现的问题以及事故调查结果,结合Bow-Tie分析模型对事故原因进行分析,分析结果如图2所示.

3.3 事故控制措施标准化

事故发生是由于飞机长时间使用,起飞架次超过设计限制.另外维修人员在维修时,由于晚上光线较暗且维修手册上的内容晦涩难懂,致使维修人员没有及时检测出飞机蒙皮上存在的疲劳裂纹,最终导致了事故的发生,事故案例风险管理过程如图3所示.

图2 事故案例原因分析图

图3 事故案例风险管理

事故处理:由事故的发生过程可以看出,事故是由一系列事件链共同发生导致的,一旦事故中某一个环节受到控制就会极大降低事故后果的影响.本次事故中蒙皮属于零部件级别、蒙皮失效后导致操纵系统受到严重影响、最终导致飞机整体安全性存在风险.针对本次事故,在相关适航条款中有相应的法规对其危险源进行控制约束.在我国适航性法规CCAR-25-R4以及CCAR-121-R4中对以上危险源都进行了相关规定:首先针对使用次数过多导致失效问题,我们不仅从使用飞行时间上进行要求还从起落的架次方面进行了规定,使得要求更全面;针对维修过程中环境光线问题,我们也进行了具体要求;除此之外,我们针对容易导致材料失效的环境条件也进行了规定;另外,为防止人员对维修手册的误解,我们在维修手册制定以及维修人员培训方面都进行了针对性要求.例如:在CCAR-25-R4附录H(持续适航文件)中的适航限制部分要求:维修人员必须按照规定的时间间隔对相关条款中要求检查更换的部件进行维修保障[6];在CCAR-121-R4第121.135条中规定:1)合格证持有人应当向下列人员提供本规则第121.131条所要求的手册及其修改和补充,或者该手册的有关部分:a)维修人员和有关地面运作人员;b)机组成员;c)负责管理该合格证持有人的局方人员.2)按照本条1)款持有手册或者手册相关部分的每个人,应当使用合格证持有人提供的修改和补充页,使手册内容保持最新有效状态,并在执行指定任务时可以随时查阅.