关于民航安全领域若干模糊概念的刍议

□ 中国民航科学技术研究院 霍志勤/文

安全是民航业重要的主题，将伴随着行业的全寿命周期。由于民航显著的国际性特征，我国既要结合国情发展自己的安全理念，也要吸纳国际先进的做法，取长补短、兼容并蓄。在我国民航发展的过程中，尚有部分安全领域的概念存在争议，外延和内涵模糊，不宜把握。有的因为国际和国内术语不接轨，有的由于学界和民间存在认知差异，有的源于同一术语在不同语境下表达不同语义，还有的由于英汉之间缺乏公认的对等互译。概念的模糊给民航安全科学研究和生产运行中的安全管理带来困惑，甚至妨碍安全调查、事故预防等工作。本文拟针对难以理解和容易混淆的概念，诸如“安全”“风险”“危险源”“隐患”“威胁”“原因”“促因”“人的因素”“差错”等进行辨析，试图匡正民航安全领域的知识谱系。

“安全”

中国民航已经普遍不能接受曾经“没有事故就是安全”的概念，就如同人们不能接受“人活着就是健康”一样。自从国际民航组织安全管理手册（SMM）（Doc9859）被引入中国民航以来，关于什么是“安全”已逐渐形成共识。

SMM第一版：“安全是一种状态，即通过持续的危险源识别和风险管理过程，将人员伤害或财产损失的风险降至并保持在可接受的水平或其以下。”第二版：“安全是通过持续的危险源识别和安全风险管理过程，将人员伤害或财产损失的风险降低并保持在可接受的水平或其下的一种状态。”第三版：“安全是一种状态，即通过持续的危险源识别和安全风险管理过程，将人员伤害或财产损失的可能性，降低到并维持在一个可接受的水平或其以下。”第四版：“安全是与航空器的运行有关或直接保障航空器运行的航空活动的风险被降低并控制在可接受水平的状态。”

以上定义，一是承认安全是一种可接受的风险状态，这个状态可以间接通过风险进行描述，即“安全”＝100－“风险”，这意味着安全并不意味着零风险。二是第三版的定义出现了错误，风险管理需要降低的不仅仅是可能性，还有严重程度，或者降低二者的组合“风险”。三是第四版的定义存在缺陷，它只是强调了结果（风险被降低并控制在可接受水平的状态），但忽略了过程（持续的危险源识别和安全风险管理）。而事实上，两者相辅相成，缺一不可。有的系统或组织，即便通过其他过程（例如侥幸甚至蛮干）实现了理想的结果，状态依然是不可控、不可预期、不能长久，并非是真正的安全。四是可接受的水平涉及安全绩效指标及其目标的设置。指标的颗粒度太粗，关注结果指标忽略过程指标，指标体系贪多求全无视矛盾的主次，掺杂过多不可量化的指标，缺乏详实可信的历史统计数据，背离SMART原则的做法，都无法制定出合理可行的安全绩效指标及其目标。

此外，目前国际民航组织的安全定义中未涉及到环保方面的考量，表述不完整。建议把“安全”定义为：通过持续的危险源识别和风险管理过程，将人员伤害、财产损失、环境破坏的风险降低并保持在可接受的水平及以下的一种状态。

“危险源”

我国工业安全学界一般认为，“危险源”是可能导致人员伤害、财产损失、环境破坏的因素或基本条件。它是源头、根源。当“危险”做名词时，等同于“危险源”。“可能”说明“危险源”是导致后果的必要条件，不是充分条件。既然是源头、根源，就应该纵深追溯和挖掘，不能被外表、表象所蒙蔽。

在国际民航的文件中，与“危险源”最对等的英语词汇是“Hazard”。“Hazard”是指“系统或其环境内以某种形式蛰伏的潜在危害”。“蛰伏”和“潜在”说明危险源并不总是必然导致危害，而是存在一定偶然性、意外性和隐蔽性。

以上两个定义存在差异，但并不冲突，都有助于我们理解“危险源”的本质，各自表述并无大碍。

（一）人的不安全行为本身是否为危险源

查找或识别危险源，常常需要结构化思维，比较理想的工具有SHELL模型、5M模型。以5M模型为例，危险源包括：硬件（Machine）的缺陷，环境（Media）的不利，组织管理（Management）的缺陷，人（Man）的因素的负面影响以及任务目标（Mission）的不适当，其争议是：人的不安全行为本身是危险源吗？

本文认为，作为瞬态的人的不安全行为不应视为危险源，而是危险源导致的外在表现，真正的危险源应该是隐藏在其后的常态的人的生理、心理、意识、习惯、知识、技能等方面的不适应不匹配，例如带病上岗、酒精或药物的作用、情绪不稳定、应知应会的专业知识和技能欠缺，以及更深层次的人员选拔、培训和激励机制的不足。这些内在状态在触发不安全行为之前，处于蛰伏期，是真正的危险源。不应该混淆危险源与危险源的外在表现（触发事件），恰如不能把发烧当做危险源，病毒才是。此外，危险源是客观存在的，但不一定时时处处都有外在表现，没有外在表现并不意味着危险源不存在。

（二）我国工业安全界对危险源的细分

我国工业安全界学者陈宝智等提出了二类危险源理论。他认为事故的发生是两类危险源共同作用的结果。I类危险源是指可能发生意外释放能量、能量载体或有毒、有害、危险物质；Ⅱ类危险源是指造成约束、限制I类危险源的屏障失效失控的各种不安全因素。

其后，学者田水承等又提出三类危险源理论，即在二类危险源理论的基础上，增加了Ⅲ类危险源：组织失误，例如不符合安全规律的组织文化、组织程序、规章制度等。第一类危险源是事故发生的物质性前提，影响后果的严重程度；第二类危险源是事故发生的触发条件；第三类危险源是第一类尤其是第二类危险源的深层次原因，是事故发生的组织性前提。显然，三类危险源理论吸纳了Reason模型系统性思维的精髓。以飞行区中高速行驶的引导车为例，汽车本身的巨大动能和油箱中的汽油是第一类危险源；内场司机长期不按照机坪服务车道行驶的违章习惯，汽车的刹车部件失灵，低能见度等，属于第二类危险源；而病态的安全文化，缺少飞行区交通规则和标志标记牌培训，车辆安全管理松懈，企业对车辆的疏于维护，对司机的遴选、考核、配备的不足，就是第三类危险源。

二类危险源理论和三类危险源理论，对于安全管理人员认识“危险源”，并对其进行分类管控是大有裨益的。虽然国际民航没有相关内容，但我国民航从业者也没有必要抗拒。

“隐患”

我国民间以及工业安全界还有一个耳熟能详的概念“隐患”，或者“安全隐患”“事故隐患”，但在ICAO文件中没有对等的概念。我国民航正式文件中以“隐患”作为关键词的有《民航安全隐患排查治理工作指南》《民航安全隐患排查治理长效机制建设指南》，平时民航领导讲话和工作人员也时常使用该概念。所谓“隐患”是指风险管理过程中出现的缺失、漏洞和风险管控措施失效的环节，包括可能导致不安全事件发生的物的危险状态、人的不安全行为和管理上的缺陷。它相当于二类危险源理论、三类危险源理论中导致I类危险源失控的因素。既然是缺陷或漏洞，当然不包括外界客观存在的因素。举例说明：台风登陆不是隐患，但是机场工作人员思想麻痹、侥幸心理是隐患，这个隐患导致不作为，未对停场航空器额外加固系留，放之任之，导致航空器被吹离机位，相互刮碰。

当然，以上学者定义的“隐患”与普通老百姓脑海中包罗万象的“隐患”不同，后者范围更大，相当于“危险源”。“隐患”在国际社会交流中存在障碍，不通用。

“威胁”

在威胁与差错管理（TEM）模型中，“威胁”（Threat）是指一切不由运行人员自身控制但增加运行复杂性、提高运行难度、易于造成不良后果的外部根源或状况。TEM概念需要确立一个主体，例如飞行员、管制员，威胁不包括自身的状况，只包括外界有意或无意施加给自身、只能接受的环境或条件。因此“威胁”是“危险源”把关于主体的人的因素内容剔除后的真子集，不是全集。例如，对于飞行员而言，恶劣的气象条件、拥堵的交通状况、复杂的地形、硬件设备的故障或降级运行、无线电频率遭受干扰、飞机隐载、机场活动区标志标记牌不清晰、机场的不停航施工、相近的航班呼号等等，都是威胁。

当然，威胁还包括来自其他利益相关方的差错，例如管制员的口误。这些威胁势必更容易诱导主体自身发生差错。无论是威胁还是差错，都需要主体进行管理和恢复，从而减少非期望状态、事故征候、事故。由此可见，威胁是针对某一个主体而言的外在危险源，而危险源是针对后果或风险而言的不利客观条件，其范围较威胁更大。

“风险”

“风险（Risk）”是指不期望的事件（事故、事故征候、一般事件等）发生的概率（可能性）（Probability）及其引起不良后果的严重程度（Severity）的乘积，即R＝P×S。风险不是后果，也不是危险源，是针对一类事件、一个系统或一个组织对可能结果的不确定性预期。对于已经发生的具体事件，不存在风险之说。没有危险源，就不存在风险和后果，因此风险（R）和基于5M模型的危险源（H）的关系也可以表达为R＝f（H1，H2，H3，H4，H5）。降低风险的方法常常有：避免、减少、隔离等措施。

事故的“原因”与“促因”

安全调查中有两个概念：“原因（Causes）”和“促因（Contributing Factors）”，后者也翻译为“贡献因素”。《国际民航公约》附件13指出，调查报告的结论中应陈述调查结果、原因和促因，所列原因应既包括直接原因也包括深层次的体制上的原因，各国在结论中可使用原因也可使用促因或两者同时使用。

“原因”是导致事故或事故征候的行为、失职、情况、条件或其组合。“促因”是指不安全行为、疏忽、事件、条件或其组合，如果消除、避免或缺失，将降低事故或事故征候发生的概率或减轻后果的严重程度。本文认为二者之间并没有显著的区别。从实践来看，“原因”更聚焦，“促因”比较发散。虽然附件13申明查明原因并不意味着追究过失或确定行政、民事或刑事责任，但原因委实给责任追究提供了便利。促因往往按时间顺序排列，并不凸显各因素对后果的贡献程度。

当然，我国民航还常常使用直接原因、间接原因等措辞，但一直缺乏说服力的定义和界定方法。一般来说，将人的不安全行为、物的不安全状态、环境的不利影响等这些事发现场的因素当做直接原因，而远离现场的组织管理以及系统间接口问题等视为间接原因。如此一来，这实质上是背离SHELL模型、Reason模型、5M模型等最先进的事故致因模型以及组织事故理论（任何事故都是组织失效的结果）和全系统时代认知的，有利于追责，不利于安全改进。

国际民航界的调查报告中，不乏“原因”或“促因”没有触摸到神经末梢的案例，只是指出了最终结果发生之前的一些瞬间现象或表现，意义不大。真正的“原因”或“促因”应该是“危险源”。研究对比上文中的“危险源”和“原因”或“促因”定义发现，它们本质应是极度相近类同的概念。只有将“原因”或“促因”指向“危险源”，才有抓手，才可能在安全建议中提出务实的措施，否则就是空中楼阁。这样也将日常的风险管理和事后的安全调查统一起来，不至于形成两套无法衔接的体系。

“人的因素”及人的“差错”

“Human Factor”被翻译为“人的因素”或“人为因素”，其中“人的因素”更准确。这个概念出现在安全（Safety）的框架之下，而不是出现在面向非法干扰行为的安保（Security）框架之下，因此往往不考虑恶意蓄意破坏动机的行为。而“人为因素”的“为”有“做”“干”“造”的含义，与天然、自然相对，常常有“故意”“不应当”之嫌，感觉后果是人祸导致的，有指责的意味，这是不公平也是不公正的。“人的因素”中“的”做助词用，表示领域限定，包括消极影响和积极影响，不应该有贬义和歧视。

在James Reason的 著 作Human Error中，“Error”是人类行为在某种形式上相对于预期或理想标准的偏差，不包括Violation（违章）。“Error”的后果虽然不受欢迎，但其行为本身没有好坏之分。国际民航组织安全管理手册中，将“Error”和违章并列作为不安全行为的两个组成部分。以上“Error”是同一个概念。但是国际民航组织《航线运行安全监测》（Doc9803）中，TEM模型所指的“Error”却包括违章。这种混乱，常常导致误解。从逻辑和语义上考虑，本文建议将“Error”翻译为“差错”，将不安全行为和差错等同看待，分为“失误”和“违章”，再把失误细分为“疏忽（Slip）”“遗漏（Lapse）”和“错误（Mistake）”，如图1。当然，还需要甄选一个与“失误”匹配的英文单词，贡献给国际民航组织。

图1：差错（Error）的细分

结论与建议

（1）剖析、厘清民航安全领域的相关概念，对规范学术研究、促进行业交流是必要而迫切的。民航系统的规章标准以及院校的教材应考虑与国际接轨，注重不同概念的准确使用，以求相互呼应和维护。

（2）“安全”和“风险”是一对此消彼长的概念。建议在“安全”的概念中加入环保的内容，注重过程和结果的表述。“危险”=“危险源”=“Hazard”。人的不安全行为不是危险源，人的生理、心理、意识、习惯、知识、技能等方面的不适应不匹配才是危险源。建议淡化“隐患”的概念，对“危险源”和“威胁”区别对待。

（3）建议淡化事故“原因”，罗列“促因”时应回归到“危险源”。“人的因素”是一个中性概念。人的“差错（Error）”包括“失误”和“违章”。