基于REASON模型的复兴航空GE791事故分析

余肖，杨家忠

（中国民用航空飞行学院，广汉 618300）

1 复兴航空GE791事故摘要

1.1 事件描述

2002 年12 月21 日，凌晨01：52 时，复兴航空运输股份有限公司（以下简称复兴）GE791货机，机型为ATR72-200，国籍标志及登记号码为B-22708，于飞行中遭遇严重积冰（severe icing）后，在马公西南方约17公里处坠海失事，机上驾驶员2 人（CM-1 及CM-2）皆失踪。解读该机飞行数据纪录器（flight data recorder，FDR）纪录参数发现，该机分别在01：34 时至01：37 时及01：41 时至01：52 时（FDR 停止纪录时）等两时段，机身除冰系统（airframe de-icing）在启动位置。

1.2 事故原因分析

（1）从事故调查结果中发现该机遭遇严重积冰，液态水含量及最大的小水滴尺寸超过美国联邦/欧盟航空法规FAR/JAR25 附录C 的积冰适航范围。

（2）复兴航空对该机驾驶员有关航空器严重积冰的训练及考验等未达到要求。

（3）飞行机组曾发现该机结冰并两度启动机身除冰系统，但未使用相关手册执行处置程序，致飞行机组未获该程序中对“严重积冰侦测有所警惕”的提示。

（4）飞行机组未能适时发现该机严重积冰状况，发现严重积冰后未立即改变高度，也没执行其它“严重积冰紧急程序”项目。

（5）该机进入“不正常或非因操控的滚转”状态，随后呈现失速状况。该机发生失速及进入不正常姿态后，其改正操控，不符“不正常姿态改正”操作程序与技术。

2 REASON模型简介

Lames Reason 教授在于20 世纪90 年代提出了REASON 模型。这是一个将事件拆解成多层，以系统观的视野，研究不安全事件产生原因的事故调查模型。REASON 模型中提到，事故的致因不仅与事件直接相关行为人的行为（现行失效）有关，还与远离事件的其他层面的活动和人员（潜在失效）有关。它从显性失效与隐性因素的关系入手，将决策和组织失误联系起来，对系统相互作用各层面的直接作用和间接影响进行全面分析，并以一个逻辑统一的事故链将所有相关因素进行了理论串联［1］。

REASON 模型的分析逻辑是：事故的发生不仅有一个被穿透的组织缺陷集，同时还存在一个事件本身的反应链，组织各层面的缺陷和事故促发因素是长期存在并不断演化的，但这些组织缺陷和事故促因不一定会造成不安全事件，只有当多个层级的组织缺陷在一个事故促发因子上多次或同时出现时，多层级的阻断作用被突破，从而发生不安全事件［2］。由于该模型核心价值的体现，所以在航空领域被得到广泛应用。

图1 REASON模型

3 基于REASON模型的事故分析

为了对本次事故进行充分的分析与研究，同时也能符合REASON 模型“光线穿透奶酪”的原理，本文决定采用倒序的方法进行分析，即：“纠正行为——不安全行为本身——不安全行为的直接前提——组织的预防与监督——组织因素”。这样可以从最接近事故的状态进行回溯分析，每一次分析都透过问题的本质核心，最终寻找出一个完整的事故链［3］。

3.1 纠正行为的缺陷

从调查结果来看，早在巡航期间前25 分钟，积冰就已经造成阻力约增加100 counts，及指示空速减少10 kt。然而机组人员并没有及时发现，启动防除冰系统，导致当机组成员发现的时候飞机已经处于严重积冰。倘若机组成员在飞机中积极的对潜在积冰进行观察，及时进行除冰工作，最终也不会酿成这种惨剧。同样的，在机长未按标准程序执行防除冰工作时，副驾驶若能及时制止，要求按照标准程序进行防除冰，那么这样也能避免惨剧的发生。此外，在地面进行飞行前准备时，若机组成员认真对潜在积冰进行准备，那么他们也会在飞行中要求更高的高度层，以从零下温度中脱离。SHEL 模型中提到人与生俱来就有犯错的倾向，所以我们应当时刻关注自己中制造出的隐患，而不是认为自己总是正确的。REASON 模型中指出成功的纠正行为，可以避免事故的发生。然而本次事故中，机组成员盲目自信，自以为有上万小时的飞行经历就可以不认真准备，随心所欲的处理非正常情况，导致防御层被击穿、失效，机组成员不清楚完善的航空系统中最后的一道防线就是各级人员的自我纠错行为层，而纠错行为层的穿透将会导致严重的后果。

3.2 不安全行为

根据REASON 模型的论述，机组成员的不安全行为一般被分为两类，第一类是当一个人遵循规则、程序及培训要求，尽力去完成某项任务，因实施了违规违章行为而没有达到任务目标要求，这被称作是差错；第二类是在完成任务时主动偏离规则、程序或所受指令的要求的行为，这被称作是违规。显然在这次事件中，复兴航空的机组成员同时存在差错与违规行为的发生。①机组人员在飞行前准备的时候已经获得了其飞行高度的高空风及温度预测图，且该情报真实有效一直持续到21 日的08：00。在FL180 高空风及温度预测图上显示台湾海峡气温为零下10℃。然而飞行员却在FL180 飞行时没有进行对潜在积冰的预防，未申请进入温度较高的FL220 及FL240，这是差错中的认知差错。②根据当时气象雷达咨询，在飞机飞行航迹上有一长约200 公里，宽约100公里，高度约在FL060至FL120间有较强回波区域，也就是说一旦飞机从FL180 进入积冰开始掉高度，迎接他的只有更为严重的积冰，该航班机组人员未考虑到这一点，飞行机组对该型机可能遭遇超出该航空器认证，并可能严重降低航空操纵性能的严重积冰状况，应有的警惕及状况警觉不足，致使惨剧发生，这是差错中的认知差错。③机组成员并不是因为情况紧急才没有执行标准操作程序，而是在发现积冰后，第一反应就是直接打开防除冰，并且在没有确认积冰清除的情况下，把防除冰系统关闭，又再次打开，这样儿戏的行为已经不是偶然性的违规了，应该是长年累月积累下来的操作习惯，这与该公司训练管理疏忽存在较大关系，这是习惯性违规。④该机发生失速及进入不正常姿态后，其改正操控，不符“不正常姿态改正”操作程序与技术。这个不安全行为最终将飞机推向万丈深渊。这是差错中的技能差错。

3.3 不安全行为的直接前提

不安全行为的产生通常存在主观与客观的条件。非最佳的工作条件会使工作者产生显性失效，工作场所条件是直接影响机组人员效率的因素［4］。调查发现，本次事故是在深夜，人的生物节律低谷，警觉度低，夜间分辨不清等。另一方面，该机组两名成员中，一名飞行员飞行时间超过10000 小时，另一名飞行员飞行时间4000 多小时；过长时间的安全飞行会麻痹飞行员的安全神经，致使他们主观上认为一切情况都是能轻松处置的，从而导致之后的工作程序无意识偏离。从机组资源管理角度来说，在发生积冰情况的时候，两名驾驶员未进行有效的交流，也未联系ATC 进行协助，驾驶舱中缺乏良好的沟通机制和气氛，只是在重复积冰这个现状。机长作为管理者，并没有合理地分配工作，这也说明了公司方面的培训不到位。与此同时，飞行机组曾发现该机结冰并两度启动机身除冰系统，但未使用相关手册进行处置程序，这也在警告运营人应该正视自己的定期培训以提高飞行员整体的飞行素养。

3.4 组织的预防与监督

在本次事故中我们可以发现该公司严重缺乏对飞行员的培训与审查机制，长时间放任不合格的飞行员在一线从事飞行工作。在今后的运行中，公司应当要求驾驶员确认由签派员获得的天气资料符合飞行需求。检讨与改善驾驶员地面学科、飞行训练及考验的执行及管理，确保飞行机组皆能胜任其职务。要求驾驶员于遭遇不正常及紧急情况时，确实使用快速参考手册执行检查。加强驾驶员对严重积冰的警觉、征兆观察、提示与分工、紧急处置及不正常姿态改正等的训练与考验。从机组方面来讲，在今后的运行中，公司应当严加要求机组成员对于机组资源管理的学习与应用，以避免由机组责任分散、彼此之间缺乏监督，预先发现问题、解决问题的能力缺失所导致的事故的再次发生。

3.5 组织因素

民航业中的组织因素影响表现在航空公司的安全文化氛围、对飞行员资质水平的监管以及对飞行员的专业技术训练中。公司管理层的松懈将直接导致公司内监察人员对飞行员管理的不佳。同时其地方民航管理部门也未对该公司进行严格审查。很多事故的发生往往是由于组织本身就处于一个不安全的状态，而这也常常被人们所忽视。一叶障目不见泰山，企图通过事故本身去解决问题是表面的，更重要的是找到事故的根源。本次事故分析显示，公司方对于飞行员的相应资质培训存在缺陷，局方检查机制也多有不足，由这种环境滋生出的公司氛围必然是松懈的，以此导致的飞行员的懈怠也是有理有据了。自此往后，公司应当健全安全管理系统、营造安全氛围，尽力将危险消除在最初的地方。

3.6 事故链

通过以上一系列的分析，我们可以总结出一个完整的事故链：机组、局方、公司、恶劣天气。在这次事故中，机组、公司、恶劣天气是相互联系、互相作用的。公司方未对机组成员进行严格的技能培训，“机组未接受充分的训练”；局方监察方“未检查出机组成员能力缺失”；事发当晚机组匆匆进行了飞行前准备，“未能遇见到航路积冰情况的发生”；到了深夜，能见度差，机组“未能观察到轻度积冰”；由于长期的松懈，机组“未能发现不明原因的空速减少”；机组发现积冰后“未能正确进行驾驶舱分工，未能按照标准程序执行除冰”；机组进入失速后“未能按照标准操作程序进行失速改出”。最终飞机坠毁在了下方海域当中。上述事故链中引号括起来的每一个部分都可以被解决来避免事故的发生，然而它们都没有被解决，最终穿透多个防御层，引发事故。

4 结语

通过REASON 模型对整起事故进行分析，不难发现事故的发生是由于整个系统各个环节均出现了问题，导致REASON 奶酪被穿透。千里之堤溃于蚁穴，倘若要从根本上降低事件发生的概率，我们应该对最初的管理层进行重点关注，管理层所带来的公司文化与安全氛围，能对事故的预防起到关键的作用。好的安全氛围再加上对飞行员水平的持续监管可以有效减少不安全行为产生的前提。此外，飞行员应提高对自己的要求，对于每次航班运行都做好充分准备，严格执行标准操作程序，将危险及时纠正。这样才能卡好每个关口，有效地提高航空安全水平，避免事故发生！