基于概率思维的安全状况评价指标理论探究

□ 民航青岛空管站 刘琰琰 中国民航干部管理学院 熊康昊/文

开展对安全状况的适时评价是空管运行单位了解本单位安全状况的主要手段之一。传统的安全状况评价是把重点放在分析哪个环节或者操作出现了差错，从而消除这些差错，通过统计对比在进行干预前后差错的数量来验证是否取得了预期的效果。从某种意义上讲，这种办法很有效，但只关注尽可能地减少出错，不能整体有效地测算空管运行单位的安全状况，未体现“确保尽可能多的事情正确实施”这种安全管理的核心理念，不能明确安全管理的重点，长久地看不是一个有效的安全状况评价方法。因此，本文探究基于概率思维的安全状况评价指标，为空管运行单位评价本单位安全状况、为实施有效的安全管理提供参考。

基于概率思维的安全状况评价指标

（一）安全状况评价指标

埃里克·郝纳根（Erik Hollnagel）所著《安全-I与安全-II，安全管理的过去和未来》一书中提出了两种安全管理思维，即安全-I和安全-II。

1. 安全-I：关心的是N的值

回顾安全思维的发展，以避免出事故为特征的被动式安全管理为安全-I。它的重点是不良事件，N表示此类事件的数目。不良事件的数量包括绝对数或相对数。将重点放在绝对数，追求绝对安全，关心是N的值，如事故、征候、严重差错、一般差错等。安全目标是在切实可行的范围内减少N的值，如果可能最好是零，在追求绝对安全的过程中不会关注互补事件的数目，即N没有发生的事件数。

2. 安全-II：关心的是N/M的比值

当前，在以人为中心的日益高度复杂化、信息化、自动化大趋势背景下，提倡一种基于组织安全概念的非线性事故至因模型，通过确保尽可能多的事情是正确的，来实施积极主动安全管理思维即为安全-II。它在追求相对安全的过程中，承认不是所有的事故都可预防，重点关注N/M的比， M指正确顺利实施的互补事件数目，目标是使比例值尽可能的小。

传统方法对于安全而言，试图通过消除可能的不良结果而减少N的值。但是我们要意识到，人们容易高估了罕见事件的概率，做决策时也过高权衡了罕见事件。安全-II的办法是设法增加M的值，试图增加正确实施事情的数量，将不仅使N比M的比例变小，也会增加M的值，这相当于让组织提高了其生产率和安全性。通过使用资源来改善安全。

3. 安全状况评价指标：实际是N/M的函数

安全状况评价是正确实施事件占所有事件的概率，即为1-N/（N+M），近似于1-N/M，也即是N/M的一次函数。其目标是使这个函数尽可能的高，即N/M的比例值尽可能的低，研究N/M能够使我们清楚地知道“哪些工作或环节做错了，哪些工作或环节做对了”。

（二）什么是概率思维

1.概率是随机事件发生可能性的定量描述。概率是随机时间在样本空间的比率。

2.概率论解决随机问题的本质就是把局部的随机性转变成整体的确定性。概率论不是预测下一秒发生什么，而是描述整体的确定性。事情被正确实施还是占绝大多数，事件正确实施可能性的概率分布如图1所示。

图1 ：事件正确实施可能性的概率分布

3.样本空间的完备性具有不确定性，从某种角度来说我们对世界的认识，就是对样本空间完备性的认识。

（三）基于概率思维的安全状况评价指标

1. 基于概率思维就是整体把握事件的确定性

当一件事的概率确定了，它在整体上发生的可能性就确定了，正是基于这种整体的、全局性的思考框架，概率论成为众多学科的基础。的确，在任何情况下，将多种决策综合考虑的宽框架模式都会更有优势。同样，对于空管系统发生的很多随机事件，概率思维也能够帮助我们建立整体、全局的架构，做出确定性的判断。我们不应该只关注图1中表示事故、征候的左尾部，还要看到绝大多数情况下事情都是被正确实施的，包括图1中表示危急情况下转危为安的右尾部，整体把握事件正确实施发生可能性的分布函数，才能掌握事件的全貌。

对于一个基层空管运行单位，安全状况评价指标是在一个有限的范围内；对于一个地区空管局，由于样本空间的完备性更好，安全状况评价指标是在一个更确定的范围内；对于空管系统，安全状况评价指标的确定性最强，也就是说单个管制员造成的差错事件是种偶然现象，但在一段时间内，空管系统内的差错事件，符合某种必然的概率规律。只有从更高层级、更大范围进行整体全面的安全状况评价，这样才会更准确的估算安全状况。

2. 黑天鹅和灰犀牛事件

黑天鹅事件不适用于基于概率思维的安全状况评价，本质上是因为我们完全不知道它，这种事件完全没有在我们的样本空间中。比起黑天鹅事件，更可怕的是灰犀牛事件，因为它不但破坏力巨大，而且发生的概率也很大。空管系统应重点关注跑道侵入、军民航防相撞、管制带新、不明升空物、无线电干扰以及安全信息的瞒报、漏报、迟报、误报等灰犀牛事件。

为什么使用基于概率思维的安全状况评价指标？

（一）为什么侧重于安全-II？

安全-I和安全-II都导致减少不良事件，但他们使用的方法不同，重点在于如何过程管理，如何测量以及生产率和安全的结果如何？

1. 安全-II关注整体和全过程，而不仅仅是细节

安全-I普遍认为魔鬼是在细节中，这就是为什么我们仔细分析事故，发现它们的真正的原因。探索每一个合乎逻辑的事件是如何发展的。

然而如果我们采用按照安全-II的角度来看，魔鬼已经不是在细节中，而在整个过程中，事实上，整体不能通过分解成细节而被理解，整体只能通过寻找方法描述其本身而得以理解。

2. 安全-II可测量，可管理

安全就是免于不可接受的风险。安全-I是通过缺少安全和当它不存在时发生了什么来定义安全，安全是间接测量的。安全-I把安全作为没有发生的事件，因为没有发生的事件，既不能被观察，也不能被测量，更不能管理。

安全-II把安全作为发生的事件，它的标志是成功的存在，只有正确实施的事情越多系统才会越安全，管理格言：“无法测量，就无法管理。”因为它是发生的事情，所以可观察测量和管理。因此为了确保安全评价有效，我们需要了解它是如何成功的，而不只是如何失败的。

3. 安全-II中安全是一种投资，而不是成本

从安全-I的角度来看，一个适得其反的结果是安全和运行被看作彼此争夺资源，安全被看作是非运行成本，安全管理人员很难说明这些成本的必要性。

安全-II中，安全是一种投资，认为几乎所有的安全投资都符合成本效益的，正如风险行业的一句格言：“如果你认为安全是昂贵的，那么尝试一下事故会带来什么。”坚信如果实施一项安全投资，没有发生事故，那么投资仍会提高生产率；如果发生了事故，实际上投资也会降低事故发生的概率。

安全-I和安全-II的比较，详见表1。

表1 ：安全-I和安全-II的比较

（二） 为什么基于概率思维？

1. 能够整体把握事件的确定性

基于概率思维，空管系统整体的安全状况，由于受整体资源分配的制约，应该存在于一定的范围内，例如：根据与空管系统运行单位的安全责任指标的估算，空管系统运行单位因空管原因造成的民用航空器征候架次率（保障架次）应该在千万架次率级别；因空管原因造成的民用航空器严重差错架次率应该在百万架次率的级别。同理可以推算出因空管原因造成的民用航空器一般差错架次率应该在什么架次率的级别上。

资料图片

2. 概率优势能让我们更合理地安全决策，优化资源分配

在当下，未来发生的任何事件都只是一个概率，基于安全-II的考虑，我们应该关注整体和全过程，把安全作为一种投资，采取积极主动方式管理安全，重点关注事情的正确实施，寻找这些大概率的方向，然后相信安全决策系统，相信长期主义。所谓合理地安全决策，只要有概率优势，就要长期坚持，而不在乎单次安全决策的随机结果的好坏。每一次安全整改措施，每一次对安全的认识深入，都会一点点改变系统的认知，这些微小的改变、微小的概率提升，在时间的作用下都能被放大。

3. 能够明确安全管理的重点

基于概率思维，结合运行单位实际，动态评价安全状况的概率值，对于跑道侵入、军民航防相撞、管制带新以及安全信息的瞒报、漏报、迟报、误报等灰犀牛事件，由于可能的N/M的概率值偏高，应该作为安全管理的重点。

基于概率思维的安全状况评价指标的展望

（一）安全-II与安全-I的关系展望

虽然安全-II代表的安全方法在很多方面不同于安全-I，但它们代表安全管理思维的两种互补观点，而不是不兼容或冲突的观点，因此，现有的许多做法仍然可用。同时，我们要看到随着我们生活和工作的环境、技术和管理越来越复杂，安全-I的很多做法已经超越极限，有必要以安全-II的视角，增加工作的灵活性和有效性。实际上，只有空管运行一线人员在日常工作中兼顾安全-I与安全-II，保持避免事情出错与确保事情正确实施的平衡，才会持续创造安全运行记录。

（二）与数据统计、巡证决策的结合

安全状况指标不仅与N、M的数据有关，也与跑道侵入、军民航防相撞以及信息通报等灰犀牛事件管控效果数据相关，同时，质量安全管理体系强调基于事实的循证决策，这就要求我们基于实时数据，对抗直觉，动态掌握安全状况的概率值，寻找大概率方向合理地安全决策，优化资源分配。

（三）寻找条件，增大概率

想要安全就要找到对安全影响较大的那些条件概率。例如：跑道侵入事件中，随着繁忙机场跑道增多，跑滑结构变得越来越复杂，对技防技术的要求也越来越高，与发达国家的对比值已经成为繁忙机场影响跑道安全的较大条件概率，采取“拉间隔、绕跑道”等降低运行效率的办法不能从根本上解决问题，只有提升塔台管制的技防技术水平，才能有效增大防跑道侵入的概率。