REASON模型在航空事故分析中的应用

彭朝荣

(长沙航空职业技术学院，湖南 长沙 410124)

REASON模型在航空事故分析中的应用

彭朝荣

(长沙航空职业技术学院，湖南 长沙 410124)

阐述了REASON模型的基本结构和原理，并利用该模型对一起典型航空维修事故案例进行了分析，得出了组织缺陷是导致本次事故的根源，提出了完善安全责任机制、规范资源分配、加强员工责任意识培训和严格执行规章、合理采用激励措施等解决办法。

REASON模型；航空事故；人为因素；原因分析

古罗马著名政治家、演说家和哲学家马库斯·图留斯·西塞罗（Marcus Tullius Cicero）说：“犯错是人的天性(It is the nature of man to erro)”，人类很早就意识到人为差错的必然性。虽然人在各种活动中最灵活、适应性最强，但也最容易受到干扰和影响。通过民航系统十几年的研究结果表明，80%的航空事故都是由于人的表现不佳而导致的[1]。那么，为了提高人的可靠性，优化人员的工作表现，预防和控制人为差错的发生，研究分析人的因素就显得十分必要了。

对民航业来讲，安全是永恒的主题。自上世纪70年代以来，全世界商用运输机的事故率基本保持在百万分之三，这个比例看似很小，但数量算起来却非常惊人。如2016年我国民航共飞行839万架次，按比例计算发生25次事故似乎正常，平均两周有一次。虽然飞机失事几率比较小，但事故直接关系人们的生命财产安全，同时伴随着行业的发展，更是社会关注的话题。为从根本上降低事故几率，一种十分有效的方法就是针对已发生的事故进行分析，找出产生主要因素和隐患，制定预防措施。

过去，国内民航界对事故的分析仅限于事件表面，习惯于针对直接责任人，对隐性因素不予关注。这种方法对事故的致因分析不够，没有找出差错源和系统缺陷，所采取的措施起不到系统预防的根本作用。当前，在民航界分析人为差错事故常用REASON、SHEL模型和MEDA、HFACS 方法，进行系统分析差错原因和采取相应对策措施，从而从管理角度进行系统的事故预防。通过阐述REASON模型的基本结构和原理，并利用该模型对一起典型航空维修事故案例进行了深入分析，查找出引起事故发生的系统隐患，有助于建立事故预防的安全管理体系（SMS）。

1 REASON 模型的基本结构和原理

1990年，英国曼彻斯特大学James Reason教授在《Human Error》中提出了REASON模型。它是事故致因分析的模型，以系统观的视野，揭示了不安全事件的发生不仅与事件直接相关行为人的行为（现行失效）有关，还与远离事件的其他层面的活动和人员（潜在失效）有关[2]。它从显性失效与隐性因素的关系入手，将决策和组织失误联系起来，对系统相互作用各层面的直接作用和间接影响进行全面分析，并以一个逻辑统一的事故链将所有相关因素进行了理论串联（见图1）。

REASON模型的分析逻辑是：事故的发生不仅有一个被穿透的组织缺陷集，同时还存在一个事件本身的反应链，组织各层面的缺陷和事故促发因素是长期存在并不断演化的，但这些组织缺陷和事故促因并不一定会造成不安全事件，只有当多个层级的组织缺陷在一个事故促发因子上多次或同时出现时，多层级的阻断作用被突破，从而发生不安全事件。由于该模型核心价值的体现，所以在航空领域被得到广泛应用。

图1 REASON模型

2 某航空事故案例

2.1 事件描述

1994年6月6日，我国一架图—154M型（B-2610）飞机在起飞后发生飘摆，两名飞行员都无法控制飞机的稳定[1]。当时，机组使用额定马力保持400km／h的速度上升，并采用了多种方法进行处置，如短时间接通自动驾驶仪等，但不起作用。之后，飞行速度降至373km／h，迎角20°，出现失速警告；后来，飞机突然向左滚转并急剧下俯，速度增加到747km／h，最大下俯角65°，最大左坡度达66.8°，飞机出现超速警告。此时，飞机航向由280°左转至110°，高度由4717m下降到2884m，最大侧向过载 l.4g，垂直过载达2.7g。由于飞机垂直和侧向过载均超过了强度极限而开始解体，最终坠毁，160名乘员全部遇难。

2.2 事故调查

本次事故由中国民用航空局（CAAC）主导调查。调查报告中确定了本次事故发生的主要因素：不安全行为、不安全状况或造成本次事故的安全缺失等。指出了维修人员无视规章、履职不到位，盲目将航向阻尼插头和斜阻阻尼插头错插导致的惨剧。肯定了飞行机组资质和身体状况、气象条件均符合飞行标准，空中管制员口令清楚，措施得当，地面通信、导航设备工作正常等。

根据飞机技术文件记录，在6月4日飞行前由于自动驾驶仪故障更换了系统微动电门和信息交换平台；当日飞行后发现，换上的信息交换平台因技术文件丢失，该平台再次被更换。此项工作由两名无工作授权（无上岗证）的维修人员和一名工段长完成，虽说工作结束后进行了地面通电检查且显示正常，但调查组检查发现，整机放行文件签署不符合规定。

调查组在事故现场加强了对飞机前电子舱（设备舱）残骸的检查，发现电子设备架上信息交换平台后面的航向阻尼插头和倾斜阻尼插头相互错插。为验证这一错误可能产生的直接后果，以及6月4日飞行后排故进行通电检查的真实性，调查组在同机型其他飞机上按照制造厂提供的方案进行了地面模拟试验。结果表明，两插头相互错插后，在人工操纵（杆操纵）状态下，副翼和方向舵有联动的异常现象，而且用维修人员排故当日使用的通电检查方法，在自动驾驶仪故障搜索台和显示器上检查不出航向阻尼插头和倾斜阻尼插头错插的故障。由此说明，维修人员所用的通电检查方法是真实的，但这种方法检查不出所存在的问题。

调查组为了进一步查清飞机飘摆的原因，先后两次前往原独联体航空委员会和飞机设计局就事故的译码数据及飞机设计中的一些问题进行了讨论、分析，并对该机型关断阻尼器后的操作稳定特性进行了验证飞行。飞行中，关断航向和倾斜阻尼器以后飞机的俯仰、横侧操纵性及震荡衰减能力明显变差。但飞行员只要通过空中对该科目的带飞训练，完全可以掌控关断阻尼器后操纵飞机的特点和要领，实现进近和着陆。

2.3 事故原因分析

通过对各项数据的分析和地面将航向阻尼插头和倾斜阻尼插头相互错插后的测试以及模拟验证飞行，结果表明，导致事故的原因和过程是：

2.3.1 人为错插系统无法检测故障

6月4日飞行后，维修人员在更换信息交换平台时，由于疏忽将航向阻尼插头和倾斜阻尼插头错插，而错插后系统无法检测故障，从而导致该机事故当日带着隐患起飞。

系统正常的阻尼功能是：航向角速度陀螺感受到的偏航角速度信号传送到航向通道，经过信息处理后由方向舵舵机完成修正；倾斜角速度陀螺感受到的倾斜角速度信号应传送到副翼通道，由副翼舵机完成修正。但由于插头错插，航向角速度陀螺感受到的偏航角速度信号传给了副翼通道，副翼舵机带动舵面偏转进行修正；而倾斜角速度陀螺感受到的倾斜角速度信号传给了航向通道，由方向舵舵机带动舵面偏转进行修正。在起飞滑跑过程中，即使飞行员蹬舵时产生的偏航角速度信号送到了副翼通道，但由于飞机受到地面的限制，姿态没有改变。离地以后，因蹬舵时副翼已产生了偏转角，飞机很快形成倾斜。飞行员为修正姿态而操纵副翼，倾斜角速度信号传到了航向通道，方向舵产生偏转角，使飞机姿态发生交联异常。这时，机组感觉到飞机无法控制，因而进行反复修正，使得飞机的飘摆角度越来越大，最后导致过载超出飞机强度极限，造成解体。

2.3.2 飞机设计缺陷

图—l54M型飞机在设计上存在先天不足，航向阻尼插头和倾斜阻尼插头没有防错插措施，两插头相邻且几何尺寸和线数完全相同，仅用颜色来表示其差异，容易导致错插。而两插头错插问题在自动驾驶仪故障搜索系统中无法检查出正误，这是设计的缺陷。

2.3.3 飞行员培训欠缺相关科目

按照该机型飞行手册要求，排除飘摆故障必须同时关断航向和倾斜通道阻尼器。但是，该机型模拟飞行训练大纲中并没有明确对排除飘摆故障需进行训练，飞行员在培训过程中，也没有接受过该项目的训练。从验证飞行过程中看，关断航向和倾斜通道阻尼器以后飞机仍然是可操纵的，但从座舱话音记录器数据中判断飞行机组并没有按照这一要求去执行。由于培训的欠缺，飞行员对处置这种侧向稳定性差的机型存在重大缺陷[3]。

3 基于REASON 模型对事故进行分析

对本次事故我们采用倒序分析法，即“纠正行为—不安全行为—不安全行为的前提—不安全的监督—组织因素”，符合REASON模型“光线透过奶酪”的逻辑，这样可以从最接近事故情景回放分析各层级的主要因素，从光线终端透出的“漏洞”处回望，清晰地找出所有“奶酪”的“漏洞”[1]。

3.1 纠正行为

该机型自动驾驶仪信息交换平台上的航向阻尼插头和倾斜阻尼插头存在防差错设计缺陷是此次事件的客观原因。无工作授权的维修人员实施了维修工作，检验人员履职不到位，没有履行检验职责是此次事件维修方面的直接原因。

信息流转缺失，机组人员飞行前没有获取飞机的相关维修工作信息；盲目自信，对于突发状况没有按照应急处理程序操作，是此次事件飞行方面的直接原因。

在本次事故中防御层多次被击穿、失效。负责安装的维修人员、工段长、飞行机组当组织存在缺陷时，他们本身没有自我纠错行为，不是系统提倡的主动弥补组织缺陷，有序开展全方位全过程的监督。由于人的基本行为误差几率，认识或技能、意识错误都可以造成大量的事故隐患，而纠错行为可起到十分重要的作用。实际上，由人和复杂技术系统组成的航空系统处于经常性的、不断涌现新形式的各种错误、偏差和意外事件持续考验的状态，而不是人们所认为的事故隐患只是难得一见的稀有事件。完善的航空系统最后的一道防线就是各级人员的自我纠错行为层。

3.2 不安全行为

从REASON模型的具体化而言，工作人员的不安全行为在于动机。一个人遵循规则、程序及培训要求，尽力去完成某项任务，因实施了违规违章行为而没有达到任务目标要求，这是差错；而在完成任务时主动偏离规则、程序或所受指令的要求的行为，这是违规。

从本案的状况分析，工作中存在一定的隐患条件，再加上工作者业务训练上的欠缺（无工作授权），只能在工段长的指导下进行工作，而工段长未能履行全程检验职责。虽然工段长排故后进行了通电测试，但调查报告证明，这种方式检查不出插头错插的问题。

飞机维修是一个分工明确，多方配合的工作。良好的沟通不但有助于班组内部和班组之间的信息交流，还有助于提高班组的凝聚力。如果维修人员忘记向同事转交相关信息则属缺乏沟通；在典型事例中，若工作人员不清楚要了解什么、干什么或者接受到错误信息应属沟通不良。以上分析表明，工作者将自己的行为已变成了一种规则，为事故埋下了隐患（信息流转缺失、交接班制度不明确、开工前准备不充分）。

根据REASON模型分析，显性失效是那些作为或不作为，包括差错和引起即刻不良后果的违规行为，它们通常被认定为“不安全作为”[4]。显性失效通常与一线工作人员相关，他们的行为可能会导致毁灭性的结果，有可能渗透到由航空组织、监管机构所设置的安全防御系统。显性失效可能是普通差错导致的，也可能是对既定程序或操作的偏离造成的。REASON模型认为，在任何操作环境中都有许多差错和违规发生的条件。违规者常常抱有侥幸和自以为是的心理，忽视规章的严肃性，管理者对违规人员采取宽容态度，促成了不良安全文化氛围的形成。通过分析本层级属习惯性违规（见图2）。

图2 习惯性违规

3.3 不安全行为的前提

不安全行为的前提分为：操作者低于标准的条件和操作者低于标准的做法。不安全行为不会无缘无故发生，通常存在主、客观条件。非最佳的工作条件会使工作者产生显性失效，工作场所条件是直接影响航空工作人员效率的因素。调查发现，本次事故前的排故工作是在深夜，人的生物节律低谷，警觉度低，夜间色辨不清等。

航空系统的防御一般有三类：技术、培训和规章。防御通常是遏制隐患条件和人为差错的最后一道安全网，大多数减少安全风险的方法是加强现有的防御或者发展新的防御系统。在本案中，防御系统存在两方面的问题：技术上，工作者没有经过培训，能力不够（没有授权），工段长没有认真履行检验职责；机组在起飞过程中感觉到飞机姿态有异常变化时没有果断采取措施，这说明他们缺乏训练和责任心。规章上，行业和企业都有明确规定，排故工作必须坚持自检、互检三级检查制度，隐患条件打破了系统防御，说明他们已经无意识地偏离了正常工作程序。

在日常工作中，隐患条件无处不在，如：航空器设计的不足、标准操作程序的不完整或不正确、培训中的缺陷等。从隐患条件来分析，存在：一是不恰当的危险认定和安全风险管理，危险源导致的安全风险没有得到控制，而是在系统里流动，最终因为操作而被激活。二是违规行为的正常化。在隐患操作环境下，例外变成了一种规则。由于资源的配置不合理或错误，直接负责生产的操作人员只能通过采取捷径的方法来完成操作，而这不断地破坏规则和程序。

本案维修成员各自只满足于完成岗位上的任务，缺乏良好的沟通，显示该班组没有作为团队进行工作，没有合理的分工与配合，说明系统的管理以及培训存在一定缺陷。

操作者的行为已经导致了不安全事件，说明他们实施了低于标准的做法。正如图3分析的。

图3 维修资源管理不善

3.4 不安全的监督

监督不充分、运行计划不适当、未纠正已知问题和监督违规，均属不安全的监督。事实证明：经过良好训练和充分监督的运行人员，能够有效地减少差错和提高工作效率[5]。本案航空器设计不足导致的安全风险没有得到控制，说明系统缺乏风险识别和风险控制机制，发现问题、解决问题的管理能力存在明显缺陷。从预防措施来分析，系统标准操作程序不完整或不正确（缺少检验制度）、工作者缺少有效的训练，资源配置不合理等得不到充分监督。

本案中，管理层的监督不充分表现在，维修人员无证上岗，工作者不明确职责，彼此之间缺乏沟通和监督，带班者疏于管理且无力兼顾技术问题等，没有得到管理层的干预和解决均说明安全管理缺乏相关的监督机制和预防措施。调查报告中还指出，管理层对行业或系统已发生过的不安全事件，没有认真吸取教训，在管理上没有做到真正的反思与改进，过度依赖事后查处的习惯做法，缺乏预防性管理。本层级属监督不充分（见图4）。

图4 监督不充分

3.5 组织因素

组织因素对运行的影响主要体现在组织氛围、资源分配和过程控制。上层管理人员的决策错误直接影响监督人员的行动以及操作者的姿态与行为，组织差错经常被人们所忽视，意识不到组织缺陷是导致差错、事故的根源[6]。本次事故调查报告显示，管理层存在不能严格遵守适航管理规定，维修人员无证上岗，操作与管理随意性视而不见等因素。这些因素和组织忽视纵深防范能力的做法是安全文化的缺失。加强安全文化建设可以使运行人员尽量少地遭遇危险或伤害，更是保障航空安全的深层推动力。用REASON模型来解释，组织任一级防御层的完善与改进都可以防止不安全事件的发生[7]，安全文化的不健全导致组织上下同时丧失清醒的认识。

在资源分配上，管理层没有解决好配置班组的维修能力、工作人员的能力训练、维修人员的精力保证以及维修过程中的监督检查等。这些事实说明，在组织层面上没有充分重视运行一线安全生产的需求。没有把资源投入的重点放在基本的运行环境和核心岗位的人员身上。

从组织事故的角度来看，安全工作应该监控组织程序，以认定隐患条件，从而加强防御。安全努力也应该改善工作场所的条件以遏制显性失效的发生，因为正是这一系列因素集体作用才会产生安全事故。REASON模型的优点就在于全面揭示了事故的发展过程，突出了组织过程在事故中的责任[8]。本层级属组织氛围问题（见图5）。

图5 组织氛围

3.6 人为差错事件链的形成

基于 REASON 模型的事故调查，完整事件链因果分析，可以构建维修事故致因分析模型（见图6）。不安全行为是导致事故的直接原因,不安全行为的前提条件是导致不安全行为发生的主、客观条件,不安全的监督和组织因素则是致使事故发生的隐藏的、潜在的根源。

REASON 模型把对象作为系统，从系统和要素、要素和要素、系统和环境的相互联系、相互作用中综合地考察认识对象的一种思维方法，让我们建立整体观。

图6 人为因素分析模型

4 结论

通过REASON模型分析，发现导致事故发生的主要原因在组织层面，组织缺陷是导致差错、事故的根源。系统要最大限度地降低事故发生的概率，主要是减少每个层面上的缺陷和漏洞以及增加系统的防御层面。仅对行为人采取处罚措施，不能从根本上避免类似事件的再次发生。因此，在采取纠正措施时，应当从组织层面入手，完善安全责任机制，规范资源分配，加强员工责任意识培训和严格执行规章的教育，并适当采取激励措施[8]，切实保证航空安全。

[1] 朱丽君，刘珂．人为因素和航空法规[M]．北京:兵器工业出版社，2006．

[2] Reason, J.Human error[M]. UK: Cambridge,1990:135.

[3] 苏润娥, 薛红军. 用ATHEANA方法分析某航空事故的飞行员人因失误[A]// 武汉工程大学，IITA学会，IEEE编.2010 International Conference on Computational Intelligence and Industrial Application (PACIIA)[C].New York, USA, IEEE:273-276.

[4] 陈农田，谭鑫，李瑞.Reason 模型在航空维修事故调查中的应用[J].交通信息与安全，2012，30(2):96-98，126.

[5] 吕春玉, 房春花.人为因素分析与分类系统(HFACS)及事故个例分析[J].中国民航飞行学院学报, 2009，20(2)：37-40.

[6] 王永刚，张朋鹏． 基于组织因素的航空事故致因因素评价［J］．中国民航飞行学院学报，2007，（4）：9-12.

[7] 卜晓敏. 航空人为因素事故、事件分析模型研究[D]. 天津：中国民航大学，2008.

[8] 陈勇刚.民航机务维护人员安全管理激励机制探讨[J].航空维修与工程，2010，（8）：71-72.

［编校：杨 琴］

Study of the Application of REASON Model in Aviation Accident Analysis

PENG Zhao-rong
(Changsha Aeronautical Vocational and Technical College, Changsha Hunan410124)

This paper describes the basic structure and principle of REASON model, and using the model, analyzes a typical aircraft maintenance accident case. It turns out that the microstructure defect is the leading cause of this accident, and then puts forward such resolutions as improving the safety responsibility system, regulating resource allocation, strengthening the employee responsibility awareness training and strict enforcement of rules, rationally adopting incentive measures.

REASON model; aviation accident; human factor; cause analysis

V267

A

1671-9654(2017)03-0083-06

10.13829/j.cnki.issn.1671-9654.2017.03.014

2017-06-15

彭朝荣(1954- )，男，湖南郴州人，高级工程师，研究方向为民用航空器维修。