航空人为因素与防差错设计

郑博峰　苗延青　吕海霞

有人曾注意到，美国的高速公路即使在一马平川的原野上也并不总是笔直的，而是每隔一段距离就会特意设置一些弯道。据说这样做的目的是为了防止驾驶员因为长时间的直线行驶而出现意识游离和注意力下降的情况，从而避免交通事故的发生。这种通过设计来降低驾驶员差错的设计理念也适用于当今航空安全水平的提高吗？

有数据表明，近20年来，多达75%的航空事故主要由人为因素所造成。人为因素所导致的差错（人为差错）已经成为了航空安全的主要威胁。为此，航空业界，包括FAA、EASA等适航当局机构部门对于航空人为因素问题进行很多深入的研究，以期通过分析找出人为差错产生的原因和解决方法，提高航空器的使用安全水平。

人为因素（Human Factors）是一门跨学科、跨领域的研究课题。对于人为因素，目前国际上尚无统一的定义。国际民航组织（ICAO）对航空人为因素的定义是：研究范围涉及到航空系统中人的一切表现，通过利用系统工程的方法和有关人的科学知识，以寻求人的最佳表现，实现安全和高效两大目标。

从航空器全寿命周期过程来说，航空人为因素问题主要涉及以下几个环节：航空器设计阶段的人为因素、航空器运行与培训中的人为因素、航空器维修与保障中的人为因素以及空中交通管理中的人为因素。以上各环节的人为因素问题并不是相互孤立的，而是相互影响、互相反馈的过程。通过针对这四个环节的分析研究，总结出人为因素问题产生原因和解决方法，以此为降低航空人为差错提供依据。

人为差错的原因和解决方法

人为差错的原因有多种多样，而且与设计、运行和维护航空器的各个环节都有着复杂的相互关系。但是通过分析可以看出，对于航空人为因素而言，产生人为差错的原因主要体现在两方面：人自身的原因和航空器设计的原因。目前，很多业内人士正试图针对这两种原因，通过相对应的途径来降低人为差错出现的概率：

减少差错：直接介入差错源本身；

捕获差错：差错已经发生，但试图在航空器放行前发现差错；

包容差错：容错是指系统有能力接受差错而不会产生灾难性后果。

其中针对航空器设计的原因，旨在通过设计来降低人为差错的方法可称之为防差错/容错（error-tolerant）设计，其目的是要设计出更加“友好”、能容错的航空器。在很多问题上，相比从人自身角度而言，从防差错设计的角度来降低人为差错、是提高航空安全水平最有效的方法之一。主要原因体现在：

1、人的可靠性难以无限提高。

虽然通过有效的人员培训、合理的组织管理、良好的团队协调等方法手段可以一定程度上降低出现人为差错的概率，但是由于不同的人在不同的条件下所存在的不确定性太过复杂，难以避免会出现各种各样的差错，人的可靠性难以无限提高。

2、很多“飞行员差错”实际上是“设计员差错”。

虽然很多事故调查报告中常常会得出类似“飞行员差错导致了这起事故”的调查结论。但实际上，很多“飞行员差错”的实质是“设计员差错”。因为在人机系统中，人为差错不只是一个简单的人为造成失误的过程，更为重要的是，不合理的系统设计为潜在的、可能导致事故的行为提供了存在或延续发展的可能性。而这种人为差错往往可以通过设计来避免。

3、良好的设计能从源头上降低出现人为差错的概率。

墨非定律中指出：如果某种差错存在发生的可能性，那么它迟早总要发生。要想避免某些人为差错的发生，就必须尽可能消除发生该差错的可能性。通过合理的防差错设计，可以从源头上消除很多人为差错发生的可能性，降低人为差错的发生概率。

事实上，在过去的10多年间，“因设计导致”的差错已经成为适航当局所重点关注的内容。早在1996年，FAA便针对飞行员——航空器界面问题开展了深入的研究，研究报告指出“FAA应当要求对航空器的设计开展评估，以确定因设计所导致的机组差错以及这些差错的结果所造成的影响，并将此作为型号合格审定过程的一部分”。1999年7月，美国交通部赋予适航规章制定和咨询委员会一项任务，要求其为FAA提供相关的意见和建议以“针对现有的FAR/JAR 25规章进行评审、并通过建议指出哪些规章标准和/或咨询材料应当更新或重新制定，以便应对因设计不足导致的机组不良表现，防止飞行机组差错（通过容错设计、检测与恢复等措施）的频繁出现。”为了确保适航规章的协调一致，欧洲联合航空局（JAA—现在的欧洲航空安全局EASA）随后也开展了类似的工作。最后，所制定的条例和咨询材料将应用于大型运输类飞机的型号合格证及补充型号合格证的审定过程中。

结合分析可以看出，从设计角度来降低人为差错是当前适航当局所关注的重要内容；借助防差错（容错）设计的方法和技术手段，设计出能容错的设备是从源头上降低后续在航空器运行中出现人为差错概率的重要途径。

防差错设计常用方法

进行防差错设计，一方面是对过去因为设计而导致人为差错的事例进行总结，在此基础上提出改进方法；另一方面，可以通过人为差错识别（HEI）方法来对设计方案进行评估，在设计阶段发现方案中存在可能导致人为差错的不足，并进行改进。相比较而言，前者更多依据型号事故的经验总结，防差错设计更有针对性；后者可以在航空器投入运行前的设计阶段尽可能早的发现其中的不足，有效降低更改设计的代价。在这方面，国外已经开展了很多研究，提出并发展了很多HEI方法，例如典型的有SHERPA、HAZOP以及HET等方法。航空器防差错设计的主要过程如下图所示。

在进行具体的防差错设计过程中，常用的方法包括如下几个方面：

信息的防误判设计。如通过显示颜色、编码等方式对信息进行区分，防止机组人员信息误判。

信息提示和告警系统设计。如通过标牌、声音或灯光报警等方式，为维修人员、机组等进行及时、正确的操作提供支持。

控制系统中的互锁设计。如通过机械设计、电路设计等实现与门互锁或顺序互锁，以此防止人为差错的发生。

误操作防止结构设计。如通过位移限定装置、保护结构、可移动盖板等设计，以此防止或减少对控制器的误操作。

防差错设计应用实例

近年来，防差错设计在航空器设计中已经有过很多具体应用。例如，将飞机上可能产生混淆的口盖设计成不同的形状，在同一个口盖上对类型相同但长度不同的连接件通过选用不同直径的加以区分；机载设备上不同的插头设计成不同的尺寸及形状；各系统中一些手柄采用了防止误操作的内锁装置等。

目前，美国联邦航空局（FAA）在其发布的AC 20-175中总结了10种典型的操纵器件防差错方法：

1） 位置与方向。操纵器件的位置、空间和方向的设计应使机组在操纵器件的正常移动程序中不太可能意外地碰撞或移动它们。

2） 物理保护。在操纵器件的设计中可以设置物理障碍，以防止出现意外的触发。例如，设置凹槽、隔板、翻盖及保护罩的操纵器件。

3） 滑脱阻力。针对操纵器件进行的物理设计和所用材料可以降低手指及手掌滑脱的可能性。例如，按钮可以设计成带凹面、有织纹或粗糙的上表面。

4） 手部稳定。提供手部支撑物、扶手或其他的物理结构，当驾驶员操作控制器时，以此作为一个稳定点。

5） 逻辑保护。基于软件的内部逻辑，当驱动某项控制被认为不合适时，则基于软件或与软件相关的控制可能失效。

6） 复杂的运动。操纵器件的操作方法可以被设计成需要复杂的运动来驱动。例如，旋转手柄可被设计成仅当其被拉起时才能转向。

7） 触觉提示。不同的操纵器件表面可以有不同的形状和织纹，以此支持驾驶员在黑暗中或其他“免视”环境下辨识不同的操纵器件。

8） 锁定/连锁操纵器件。锁定机械、连锁装置或对相关操纵器件的优先操作，都可以防止误操作。

9） 顺序运动。操纵器件可以设计成带有锁紧、止动或其他机械装置，以此防止其直接跳过某项运动顺序。

10） 运动阻力。操纵器件可以设计成带有运动阻力模式（例如，摩擦、弹性、惯性），以此需要有意的使力来驱动。

早在20世纪40年代，飞行员在飞机着陆后收回着陆襟翼时常常会误收回起落架而导致事故发生。Chapanis对这一想象进行了深入分析，发现这是因为设计员设计了两个同样且并排放置的拨动开关，其一针对起落架、另一个针对襟翼。这样的设计导致飞行员极易误操作。为此，他建议应当将控制器隔离并进行编码；而且，针对此现象，Chapanis认为这其中的“设计员差错”比“飞行员差错”更加严重，并指出好的设计是降低人为差错的最重要方法。现在，控制器隔离与编码已经成为了驾驶舱控制器设计中的标准人为因素措施，并取得了很好的效果。

以上是因为采取防差错设计提高安全水平的成功实例，但此前国内也有因为没有采取防差错设计而导致灾难性事故的惨痛教训。1994年6月6日，从西安至广州的西北航空公司图一154MB-2610号航班在咸阳上空发生空中解体，机上160人（含机组14人）全部遇难，酿成我国航空史上最为惨烈的一幕。

事故调查报告显示，事故的直接原因在于地面维护人员将飞机自动驾驶仪安装座上的两个插头：倾斜阻尼信号插头（Ⅲ7绿色）和航向阻尼信号插头（Ⅲ8黄色）相互插错，导致飞机起飞离地后，所有横向、侧向参数均发生低频大幅度变化，使得飞机出现了发散型横向飘摆，最终酿成飞机的方向舵、尾翼以及右机翼等相继折断而使飞机解体。但是最为根本的原因在于，作为前苏联20世纪60年代研制的产品，图一154MB飞机没有采取良好的防差错设计以防止两种插头出现交错互插。

虽然就目前而言，不可能通过防差错设计来保证人员在所有操作和维修等过程中不出现差错。但是，防差错设计无疑是从设计源头上减少人为差错的最好方法之一。尤其是对于航空器设计研制方而言，为提高航空安全水平，则更应该为设计出更加“友好”、“错不了”和“不怕错”的航空器而努力。

我们应该重视在航空器设计中引入防差错理念，并努力从不断出现的各种航空事故或事故症候中吸取教训，寻找防差错设计的解决途径。并针对人为差错识别方法（HEI）进行研究，以利于在航空器设计阶段尽早发现可能导致人为差错的设计缺陷，进行有效的防差错设计，降低后续使用中的人为差错概率。