比较安全学方法在民航安全管理模型中的应用研究*

孙军亚 孙瑞山▲

（1.中国民航大学安全科学与工程学院 天津300300；2.中国民航大学民航安全科学研究所 天津300300）

关键字：比较安全学；民航安全管理模型；SHELL模型；REASON模型；三维比较

0 引言

民航安全管理在20世纪60年代之前是对航空技术的调查和改进管理，称之为技术时代。20世纪70年代，安全管理的努力重点扩展到了人的因素，进入人的因素时代。20世纪90年代开始从系统的视角审视安全，引入了“组织机构性事故”的观念，开启组织机构时代。从21世纪初开始，民航安全管理发展到更高水平，进入总系统时代。在民航安全管理发展过程中，安全管理模型相继被引入民航业的安全管理方法。李勇[1]将结构方程模型运用于民航运输市场顾客满意度及其影响因素的评估研究,但结构方程模型在民航管理中的应用需要大量的样本数据才能验证，且受调查对象、对象类型等因素制约。另外，对动态时间变化的系统，难以进行评价；张元[2]将常用的定量风险评价方法结合民航风险评价的现状，建立了民航安全风险定量评价模型，但这种应用风险评价方法建立的模型，在确定风险因素的可能性和严重性时，均面临着偏主观问题，如不同的专家对影响因素给出的权重存在明显的主观性；王永刚等[3]将安全风险管理中常用的灰色关联度分析方法，引入民航业的事故征候的预测，但灰色关联度这类分析方法仅能对事故症候发生因素进行整体宏观的评价，无法满足微观细致的分析，容易忽略微小失误因素的影响；赵德斌[4]引用SHELL模型探讨了空中交通管制中“人与人”的关系；郑阳[5]同样运用SHELL模型分析了空管站的安全管理建设，SHELL模型是国际民航组织（International Civil Aviation Organization，ICAO）推荐应用的事故分析模型，虽然也存在一些不足，但相较于其他民航安全管理模型，分析方面较为全面。另外，安全管理研究者也开发出符合民航业的安全管理模型，孙瑞山等[6]以人为差错相关理论为基础，对几种典型的人为差错分析模型进行了比较分析，并在基元事件分析（EEAM）逻辑和CCAR396部的分类方法基础上，构建了航空人为差错事故/事件分析（ECAR）模型，同时将组织因素概念引入该模型。汪磊等[7]基于飞行快速存取记录器（QAR）数据及定量风险评价原理，运用统计建模方法建立了1个重着陆风险定量评价模型，该模型可量化评估民机重着陆事件的风险及其风险等级。但这种依据某一方面开发的模型，针对性强，应用范围较窄，同时会放大/缩小或忽略一些风险因素的重要性。例如针对人的差错建立的分析模型有可能缩小个体差异的影响，基于设备信息的评价模型有可能忽略人为因素的影响。James Reason[8]开发了在航空业众所周知的“REASON”（或雷森或瑞士奶酪）模型，该模型同样被ICAO[9]推荐作为航空事故调查分析的理论依据，模型可以最大限度帮助事故调查者全面了解航空事故的前因后果以及链路因果关系。

诸多模型应用于民航安全管理，为民航业特定的安全问题提供了帮助，但也造成模型选择的不确定性和最优化困扰，因此展开对民航安全管理模型的科学对比研究十分必要。笔者选取ICAO发布的Doc9858安全管理手册中用于民航安全管理的SHELL模型和REASON模型为研究对象，对这2个认同度较高且统一使用的民航安全管理模型展开对比研究。

比较安全学揭示了安全体系中不同时间、领域等科学问题的共同点和差异点，并提供借鉴和相互渗透的1种安全科学方法，也是人类认识客观事物最原始、最基本的方法之一[10]。根据比较安全学的特点，笔者将比较安全学方法应用于SHELL模型和REASON模型的对比研究中，分析二者之间的异同点，总结归纳二者在民航安全管理中的作用。

1 基于比较安全学构建模型间的比较模式

吴超等[10]根据安全科学的理论类别、灾害类别、管理类别、对象和安全工程类别，并结合比较安全学的属性，划分了比较安全学分支。表1汇总了符合民航业的比较安全学分支，为民航业筛选出符合性的学科类别。另外，在比较安全学学科分类的基础上，易灿南等[11]基于比较学、安全管理学（SMS）、管理学的基本理论，构建了比较安全管理学（CSMS）学科体系，提出比较安全管理学的时间维、空间维和知识维3个比较维度以及知识维、技术维、逻辑维和理论维的四维方法论比较体系。

表1 符合民航业的比较安全学分支Tab.1 The branch of comparative safety in line with the civil aviation industry

随着比较安全学科体系的不断完善，将比较学用于安全管理的实践研究也得到较快发展，吴胜国[12]将我国的道路交通安全法律法规与日本的道路交通安全法律法规进行了系统的比较，客观、全面、系统地分析了我国道路交通安全法律法规存在的问题。冉孟文[13]就行业管理的几个重点方面进行了中西方管理特征比较研究，提出了从法律法规使用、安全理念培养、考核指标建立、教育培训、安全投入和安全监管等方面改进当前建筑业安全管理的思路。Lou等[14]根据中国和加拿大在大坝安全管理领域的差异，提出了如加强管理体制改革，加强对大坝安全复核等8点建议。周光文等[15]探讨了多元线性回归、逐步回归和偏最小二乘回归的应用特点和效果，从模型作用、功能和应用效果等方面对大坝安全监测统计模型进行了比较性研究。在民航业的比较研究中，李祥等[16]通过对比中美两国民航安全管理差距，提出了加大民航相关部门合作力度，加强民航安全文化塑造，加快民航安全信息资源共享体系建设等完善我国民航安全管理的建议。宋歌等[17]选取当前有代表性的飞行员疲劳预测生物数学模型，对比分析了睡眠调节的双机制模式、警觉性三过程模型、机组疲劳评估系统、睡眠活动疲劳和任务效率模型、昼夜警觉性模型和疲劳动态评估模型的原理，并将疲劳生物数学模型划分为理论型和应用型。孙瑞山等[18]运用比较安全学方法，从时间维、空间维、知识维3个维度分析了民航安全管理体系（SMS）和安全生产标准化体系（WSS）。

根据比较安全学的学科特点和实践研究发展，本文将从时间维、空间维和知识维3个维度分析SHELL模型和REASON模型。时间维主要分析2个模型的各自开发思路和发展过程；空间维探讨2个模型的适用范围；知识维研究2个模型各自组成部分的内涵和功能作用。另外，在3个维度展开模型比较的过程中，再引入比较安全学方法的描述、解释、并列、比较和结论5个步骤的逻辑思维[19]，描述阶段即描述2个模型的组成和作用等，采用文献法获取模型资料，并对所收集到的模型资料进行描述概括；解释阶段对上述模型资料进行解释性研究，即采用解释法研究2个模型的形成原因和形成机制；并列阶段采用分类法确定比较的参考与比较项目；比较阶段采用比较法对2个模型的相关维度与属性进行比较，找出差异和共性；结论阶段采用归纳法对比较过程进行分析与归纳，得到比较异同、优缺等结果，并进行评价。

根据比较安全学研究的5个步骤分析思维和3个维度比较，对比SHELL和REASON这2个模型在民航安全管理中的差异。基于上述比较安全学方法以及2个模型内容，构建了2个模型的比较研究过程与模式，见图1。

图1 SHELL模型与RESON模型的比较研究过程与模式Fig.1 Comparative study process and pattern of the SHELL and REASON models

2 基于时间维的模型形成背景比较分析

时间维，是指某事物随着时间、科技与社会，以及自身发展而得到进一步完善的过程。模型间有关时间维的比较是纵向的维度比较，即现有状况和过去某个时期或者历史发展状况的比较。

2.1 SHELL模型

SHELL模型是分析系统中不同组成部分对人的影响，以及与人之间的相互作用。在安全风险管理中该模型用于支持评估人的因素对安全绩效的影响，建立以人的因素为中心的评估模型。模型主要分析人与硬件、人与软件、人与人、人与环境之间的关系，有助于直观地表现出民航系统各组块与中心人组块之间的不规则性影响。Bertsch等[20]在1974年提出从业者的SHELL模型，Hawkins[21]在1988年探讨飞行中的人为因素时，将SHELL模型引入民航领域，2006年，SHELL模型被ICAO引入安全管理手册，作为民航业人为因素的安全管理指导模型。SHELL模型不断在民航安全管理理论与实践研究中被引用，主要用于对人的因素在民航业各组织系统中作用和影响的评估。另外，有助于直观全面地显示航空系统中各个要素和特征之间的相互关系，模型分析了民航业不同系统组成部分与人的影响和相互作用，并强调需要考虑人的因素作为安全风险管理的组成部分。

2.2 REASON模型

REASON模型以系统观的视野剖析出影响行为人的潜在组织因素，从一体化相互作用的分系统，组织层面等多角度全方位地进行事故分析，将事故反应链的所有相关因素进行理论串联[22]。REASON模型由4个环节构成，即代表隐性失效的不安全前提、不安全监督、组织影响和代表显性失效的不安全行为，每一环节都存在失误点，是事故发生的诱发因素[23]。REASON模型是英国曼彻斯特大学James Reason教授[8]在1990年其著名的心理学专著《Human error》中提出的概念模型。Johnson等[24]以英国沃特福德枢纽铁路事故为例，利用组织失效的Reason模型进行分析，这为识别导致重大故障的活动和潜在条件提供了启发式指导。在ICAO提出民航事故链概念和圆盘漏洞理论之后，REASON模型被推荐为民航事故调查与分析的理论模型之一，并主要对造成事故的主动失误和潜在状况进行分析。另外，模型为了解民航业各系统如何成功运行或者转向故障提供了1种逻辑分析方式，另外模型还使得民航业有可能接受组织事故这一概念[9]。

2.3 2个模型的时间维比较分析

从开发思路对比分析，SHELL模型围绕组织系统中人的因素而被开发，用于评估人的因素与其它民航安全各系统的影响和相互作用；REASON模型被引入民航业是因其可从各组织系统漏洞中评估分析民航组织事故的致因，可用于事故的追本溯源，分析事故责任。2个模型都是ICAO在多个国家民航安全管理经验和模型符合性对比分析的基础上确定为民航业分析人-机-环-管系统因素和组织事故的常用模型。

2个模型差异性除了在开发思路方面，还表现在评价侧重点上。SHELL模型围绕系统中人的因素进行评价分析，即模型的关键重点是在运行一线的人员，并在分析的过程中将其设定在模型的中心，从人-机-环-管全方位探讨民航系统中各要素之间的相互关系。REASON模型侧重于对组织事故起因的主动失误和潜在状况进行评价分析，提供了解事故起因的1种方式，使民航业从组织事故概念去理解系统是如何成功运行或者转向故障。另外，2个模型在民航业中被引进应用的作用具有相似性，均能对安全风险的致因进行系统性的分析，差别是侧重点不同。

3 基于知识维的模型对比分析

知识维，根据比较安全学的定义，可从组织模式、方法、作用等方面进行比较[11]。模型在知识维的对比将从模型组织要素概况和功能作用2个方面进行。

3.1 2个模型组成要素比较分析

SHELL模型包括4个组成部分：①软件（S），包括程序、培训和支持等；②硬件（H），包括机器和设备等；③环境（E），包括人-硬件-软件（L-H-S）系统的其余部分必须在其中正常运作的工作环境；④人（L），工作场所的其他人员。SHELL模型用于说明系统组成部分对人的影响和相互作用，并强调需要考虑人的因素作为安全风险管理的组成部分，因此将“人”作为模型的中心，并给出影响人的重要因素，即执行所需任务的个人身体因素，影响到可以损害身体和感知能力的个人体内物理过程的生理因素，影响到个人面对可能出现的各种情况的心理准备状态的心理因素，以及人在社会系统中给其在工作和非工作环境中带来压力的所有外部因素（社会心理因素）[9]。REASON模型由4个环节构成：①不安全前提，分为不标准的状态和不标准的操作；②不安全行为，包括决策、技能和感知等差错，以及习惯违规和特殊违规[23]；③组织影响，主要体现在资源分配管理、组织氛围和管理过程控制3个方面；④不安全监督，主要表现为监督不充分、监督违规、计划不恰当和问题未解决等情况。REASON模型指出，所有的事故都是主动失误和潜在状况共同作用的结果，因此模型从主动失误和潜在状况进行组织事故的分析。主动失误，是一线工作人员（飞行员、空中交通管制员、航空器维修人员等）做出可以立刻产生严重后果的行为或不作为，包括差错和违规。潜在状况，复杂的民航系统是由多层安全防范进行充分保护的，安全防范被突破或突破性潜力被激发之前的状况，称之为潜在状况。另外，2个模型均是从系统角度分析安全风险的影响因素，考虑均较为全面，但2个模型存在宏观分析和微观分析的差异，SHELL模型偏于“人-机-环-管”宏观分析，REASON模型偏于寻找系统中微观差错或失误类的因子。

3.2 2个模型功能作用比较分析

对SHELL和REASON模型功能作用的比较分析[9，22-23]，具体见表2。由表2 SHELL和REASON安全管理评价内容可知，SHELL模型围绕人对组织系统中各要素和特征之间的相互关系进行评价分析，REASON模型沿着工作场所状况和潜在状况2条路径进行组织事故分析，构成了事故致因的组织分析过程。

表2 SHELL和REASON安全管理评价内容Tab.2 Safety management evaluation content of SHELL and REASON models

4 基于空间维的模型适用性比较分析

空间维主要包括地理空间与应用领域2个方面[25]，基于是对民航业的安全管理模型的比较，以及模型的应用，应着重在应用领域进行模型间的空间维比较分析。

SHELL模型选择了最不可预测且最容易受内外部环境影响的人为模型中心，重点对象是在运行一线的人员，在民航业该模型主要分析机组成员、空中交通管制员、航空器维修工程师以及以团队形式工作的其他运行人员。SHELL模型的开发目的和分析侧重点，确定了其适用范围：人员的职责（任务）、人员行为与标准操作程序对比、机组资源管理中人际绩效以及努力绩效（工作贡献）等。另外，在SHELL模型中人-硬件-软件-环境界面的粗糙边缘同样加以应用，例如设计阶段，设计者应确保设备能在规定设计条件下运行的可靠性；认证阶段，管理当局应规定设备可以使用的现实条件；实际运行阶段，人员须按标准操作程序工作，并为安全使用设备进行训练；个人工作阶段，应确保工作者的环境适应性和有信心在所要求的运行环境中安全使用设备。REASON模型着重评价分析可能导致情况发生的组织机构状况，在民航安全管理中主要是对已发事故和事故征候进行组织过程的原因分析。该模型可被用于安全风险管理、安全监察监督、内部审计、安全调查和变更管理等方面。REASON模型适用于从全系统基础上识别人员差错和违规等立刻产生负面影响的主动失误；以及设备选择或程序设计、有缺陷的组织制度或管理决策、冲突的组织机构目标、安全文化等方面存在的潜在状况，并帮助了解在事故因果关系中组织因素和管理因素之间的相互影响。因此，2个模型均能应用于民航安全风险管理的评价分析，但在相似的应用范围领域中2个模型分析的侧重点、分析范畴和路径等存在差异性特点。

5 结束语

1）在时间维方面，2个模型在民航业中被引进应用的作用具有相似性，但在对风险调查分析上各有侧重。

2）在知识维方面，2个模型均是从系统角度分析安全风险的影响因素，但在分析的范畴存在宏观和微观之分；从功能作用对比分析，SHELL模型围绕人对组织系统中各要素和特征之间的相互关系进行评价分析，REASON模型沿着工作场所状况和潜在状况2条路径进行组织事故分析。

3）在空间维方面，2个模型在相似的应用范围领域内的不同需求方面有着各自优势。

民航安全管理可用模型较多，但目前还缺乏较为统一的全面符合性的模型，SHELL模型和REASON模型虽被确定为ICAO安全管理手册适合性模型，但二者分析侧重点和作用被限定。因此，针对民航安全管理，在今后的模型开发和引用中可考虑模型的综合性，或注重多模型间的互补性，考虑模型的融合运用。