基于REASON模型的復(fù)興航空GE791事故分析

余肖，楊家忠

（中國民用航空飛行學(xué)院，廣漢 618300）

1 復(fù)興航空GE791事故摘要

1.1 事件描述

2002 年12 月21 日，凌晨01：52 時，復(fù)興航空運輸股份有限公司（以下簡稱復(fù)興）GE791貨機，機型為ATR72-200，國籍標(biāo)志及登記號碼為B-22708，于飛行中遭遇嚴(yán)重積冰（severe icing）后，在馬公西南方約17公里處墜海失事，機上駕駛員2 人（CM-1 及CM-2）皆失蹤。解讀該機飛行數(shù)據(jù)紀(jì)錄器（flight data recorder，F(xiàn)DR）紀(jì)錄參數(shù)發(fā)現(xiàn)，該機分別在01：34 時至01：37 時及01：41 時至01：52 時（FDR 停止紀(jì)錄時）等兩時段，機身除冰系統(tǒng)（airframe de-icing）在啟動位置。

1.2 事故原因分析

（1）從事故調(diào)查結(jié)果中發(fā)現(xiàn)該機遭遇嚴(yán)重積冰，液態(tài)水含量及最大的小水滴尺寸超過美國聯(lián)邦/歐盟航空法規(guī)FAR/JAR25 附錄C 的積冰適航范圍。

（2）復(fù)興航空對該機駕駛員有關(guān)航空器嚴(yán)重積冰的訓(xùn)練及考驗等未達(dá)到要求。

（3）飛行機組曾發(fā)現(xiàn)該機結(jié)冰并兩度啟動機身除冰系統(tǒng)，但未使用相關(guān)手冊執(zhí)行處置程序，致飛行機組未獲該程序中對“嚴(yán)重積冰偵測有所警惕”的提示。

（4）飛行機組未能適時發(fā)現(xiàn)該機嚴(yán)重積冰狀況，發(fā)現(xiàn)嚴(yán)重積冰后未立即改變高度，也沒執(zhí)行其它“嚴(yán)重積冰緊急程序”項目。

（5）該機進(jìn)入“不正?；蚍且虿倏氐臐L轉(zhuǎn)”狀態(tài)，隨后呈現(xiàn)失速狀況。該機發(fā)生失速及進(jìn)入不正常姿態(tài)后，其改正操控，不符“不正常姿態(tài)改正”操作程序與技術(shù)。

2 REASON模型簡介

Lames Reason 教授在于20 世紀(jì)90 年代提出了REASON 模型。這是一個將事件拆解成多層，以系統(tǒng)觀的視野，研究不安全事件產(chǎn)生原因的事故調(diào)查模型。REASON 模型中提到，事故的致因不僅與事件直接相關(guān)行為人的行為（現(xiàn)行失效）有關(guān)，還與遠(yuǎn)離事件的其他層面的活動和人員（潛在失效）有關(guān)。它從顯性失效與隱性因素的關(guān)系入手，將決策和組織失誤聯(lián)系起來，對系統(tǒng)相互作用各層面的直接作用和間接影響進(jìn)行全面分析，并以一個邏輯統(tǒng)一的事故鏈將所有相關(guān)因素進(jìn)行了理論串聯(lián)［1］。

REASON 模型的分析邏輯是：事故的發(fā)生不僅有一個被穿透的組織缺陷集，同時還存在一個事件本身的反應(yīng)鏈，組織各層面的缺陷和事故促發(fā)因素是長期存在并不斷演化的，但這些組織缺陷和事故促因不一定會造成不安全事件，只有當(dāng)多個層級的組織缺陷在一個事故促發(fā)因子上多次或同時出現(xiàn)時，多層級的阻斷作用被突破，從而發(fā)生不安全事件［2］。由于該模型核心價值的體現(xiàn)，所以在航空領(lǐng)域被得到廣泛應(yīng)用。

圖1 REASON模型

3 基于REASON模型的事故分析

為了對本次事故進(jìn)行充分的分析與研究，同時也能符合REASON 模型“光線穿透奶酪”的原理，本文決定采用倒序的方法進(jìn)行分析，即：“糾正行為——不安全行為本身——不安全行為的直接前提——組織的預(yù)防與監(jiān)督——組織因素”。這樣可以從最接近事故的狀態(tài)進(jìn)行回溯分析，每一次分析都透過問題的本質(zhì)核心，最終尋找出一個完整的事故鏈［3］。

3.1 糾正行為的缺陷

從調(diào)查結(jié)果來看，早在巡航期間前25 分鐘，積冰就已經(jīng)造成阻力約增加100 counts，及指示空速減少10 kt。然而機組人員并沒有及時發(fā)現(xiàn)，啟動防除冰系統(tǒng)，導(dǎo)致當(dāng)機組成員發(fā)現(xiàn)的時候飛機已經(jīng)處于嚴(yán)重積冰。倘若機組成員在飛機中積極的對潛在積冰進(jìn)行觀察，及時進(jìn)行除冰工作，最終也不會釀成這種慘劇。同樣的，在機長未按標(biāo)準(zhǔn)程序執(zhí)行防除冰工作時，副駕駛?cè)裟芗皶r制止，要求按照標(biāo)準(zhǔn)程序進(jìn)行防除冰，那么這樣也能避免慘劇的發(fā)生。此外，在地面進(jìn)行飛行前準(zhǔn)備時，若機組成員認(rèn)真對潛在積冰進(jìn)行準(zhǔn)備，那么他們也會在飛行中要求更高的高度層，以從零下溫度中脫離。SHEL 模型中提到人與生俱來就有犯錯的傾向，所以我們應(yīng)當(dāng)時刻關(guān)注自己中制造出的隱患，而不是認(rèn)為自己總是正確的。REASON 模型中指出成功的糾正行為，可以避免事故的發(fā)生。然而本次事故中，機組成員盲目自信，自以為有上萬小時的飛行經(jīng)歷就可以不認(rèn)真準(zhǔn)備，隨心所欲的處理非正常情況，導(dǎo)致防御層被擊穿、失效，機組成員不清楚完善的航空系統(tǒng)中最后的一道防線就是各級人員的自我糾錯行為層，而糾錯行為層的穿透將會導(dǎo)致嚴(yán)重的后果。

3.2 不安全行為

根據(jù)REASON 模型的論述，機組成員的不安全行為一般被分為兩類，第一類是當(dāng)一個人遵循規(guī)則、程序及培訓(xùn)要求，盡力去完成某項任務(wù)，因?qū)嵤┝诉`規(guī)違章行為而沒有達(dá)到任務(wù)目標(biāo)要求，這被稱作是差錯；第二類是在完成任務(wù)時主動偏離規(guī)則、程序或所受指令的要求的行為，這被稱作是違規(guī)。顯然在這次事件中，復(fù)興航空的機組成員同時存在差錯與違規(guī)行為的發(fā)生。①機組人員在飛行前準(zhǔn)備的時候已經(jīng)獲得了其飛行高度的高空風(fēng)及溫度預(yù)測圖，且該情報真實有效一直持續(xù)到21 日的08：00。在FL180 高空風(fēng)及溫度預(yù)測圖上顯示臺灣海峽氣溫為零下10℃。然而飛行員卻在FL180 飛行時沒有進(jìn)行對潛在積冰的預(yù)防，未申請進(jìn)入溫度較高的FL220 及FL240，這是差錯中的認(rèn)知差錯。②根據(jù)當(dāng)時氣象雷達(dá)咨詢，在飛機飛行航跡上有一長約200 公里，寬約100公里，高度約在FL060至FL120間有較強回波區(qū)域，也就是說一旦飛機從FL180 進(jìn)入積冰開始掉高度，迎接他的只有更為嚴(yán)重的積冰，該航班機組人員未考慮到這一點，飛行機組對該型機可能遭遇超出該航空器認(rèn)證，并可能嚴(yán)重降低航空操縱性能的嚴(yán)重積冰狀況，應(yīng)有的警惕及狀況警覺不足，致使慘劇發(fā)生，這是差錯中的認(rèn)知差錯。③機組成員并不是因為情況緊急才沒有執(zhí)行標(biāo)準(zhǔn)操作程序，而是在發(fā)現(xiàn)積冰后，第一反應(yīng)就是直接打開防除冰，并且在沒有確認(rèn)積冰清除的情況下，把防除冰系統(tǒng)關(guān)閉，又再次打開，這樣兒戲的行為已經(jīng)不是偶然性的違規(guī)了，應(yīng)該是長年累月積累下來的操作習(xí)慣，這與該公司訓(xùn)練管理疏忽存在較大關(guān)系，這是習(xí)慣性違規(guī)。④該機發(fā)生失速及進(jìn)入不正常姿態(tài)后，其改正操控，不符“不正常姿態(tài)改正”操作程序與技術(shù)。這個不安全行為最終將飛機推向萬丈深淵。這是差錯中的技能差錯。

3.3 不安全行為的直接前提

不安全行為的產(chǎn)生通常存在主觀與客觀的條件。非最佳的工作條件會使工作者產(chǎn)生顯性失效，工作場所條件是直接影響機組人員效率的因素［4］。調(diào)查發(fā)現(xiàn)，本次事故是在深夜，人的生物節(jié)律低谷，警覺度低，夜間分辨不清等。另一方面，該機組兩名成員中，一名飛行員飛行時間超過10000 小時，另一名飛行員飛行時間4000 多小時；過長時間的安全飛行會麻痹飛行員的安全神經(jīng)，致使他們主觀上認(rèn)為一切情況都是能輕松處置的，從而導(dǎo)致之后的工作程序無意識偏離。從機組資源管理角度來說，在發(fā)生積冰情況的時候，兩名駕駛員未進(jìn)行有效的交流，也未聯(lián)系A(chǔ)TC 進(jìn)行協(xié)助，駕駛艙中缺乏良好的溝通機制和氣氛，只是在重復(fù)積冰這個現(xiàn)狀。機長作為管理者，并沒有合理地分配工作，這也說明了公司方面的培訓(xùn)不到位。與此同時，飛行機組曾發(fā)現(xiàn)該機結(jié)冰并兩度啟動機身除冰系統(tǒng)，但未使用相關(guān)手冊進(jìn)行處置程序，這也在警告運營人應(yīng)該正視自己的定期培訓(xùn)以提高飛行員整體的飛行素養(yǎng)。

3.4 組織的預(yù)防與監(jiān)督

在本次事故中我們可以發(fā)現(xiàn)該公司嚴(yán)重缺乏對飛行員的培訓(xùn)與審查機制，長時間放任不合格的飛行員在一線從事飛行工作。在今后的運行中，公司應(yīng)當(dāng)要求駕駛員確認(rèn)由簽派員獲得的天氣資料符合飛行需求。檢討與改善駕駛員地面學(xué)科、飛行訓(xùn)練及考驗的執(zhí)行及管理，確保飛行機組皆能勝任其職務(wù)。要求駕駛員于遭遇不正常及緊急情況時，確實使用快速參考手冊執(zhí)行檢查。加強駕駛員對嚴(yán)重積冰的警覺、征兆觀察、提示與分工、緊急處置及不正常姿態(tài)改正等的訓(xùn)練與考驗。從機組方面來講，在今后的運行中，公司應(yīng)當(dāng)嚴(yán)加要求機組成員對于機組資源管理的學(xué)習(xí)與應(yīng)用，以避免由機組責(zé)任分散、彼此之間缺乏監(jiān)督，預(yù)先發(fā)現(xiàn)問題、解決問題的能力缺失所導(dǎo)致的事故的再次發(fā)生。

3.5 組織因素

民航業(yè)中的組織因素影響表現(xiàn)在航空公司的安全文化氛圍、對飛行員資質(zhì)水平的監(jiān)管以及對飛行員的專業(yè)技術(shù)訓(xùn)練中。公司管理層的松懈將直接導(dǎo)致公司內(nèi)監(jiān)察人員對飛行員管理的不佳。同時其地方民航管理部門也未對該公司進(jìn)行嚴(yán)格審查。很多事故的發(fā)生往往是由于組織本身就處于一個不安全的狀態(tài)，而這也常常被人們所忽視。一葉障目不見泰山，企圖通過事故本身去解決問題是表面的，更重要的是找到事故的根源。本次事故分析顯示，公司方對于飛行員的相應(yīng)資質(zhì)培訓(xùn)存在缺陷，局方檢查機制也多有不足，由這種環(huán)境滋生出的公司氛圍必然是松懈的，以此導(dǎo)致的飛行員的懈怠也是有理有據(jù)了。自此往后，公司應(yīng)當(dāng)健全安全管理系統(tǒng)、營造安全氛圍，盡力將危險消除在最初的地方。

3.6 事故鏈

通過以上一系列的分析，我們可以總結(jié)出一個完整的事故鏈：機組、局方、公司、惡劣天氣。在這次事故中，機組、公司、惡劣天氣是相互聯(lián)系、互相作用的。公司方未對機組成員進(jìn)行嚴(yán)格的技能培訓(xùn)，“機組未接受充分的訓(xùn)練”；局方監(jiān)察方“未檢查出機組成員能力缺失”；事發(fā)當(dāng)晚機組匆匆進(jìn)行了飛行前準(zhǔn)備，“未能遇見到航路積冰情況的發(fā)生”；到了深夜，能見度差，機組“未能觀察到輕度積冰”；由于長期的松懈，機組“未能發(fā)現(xiàn)不明原因的空速減少”；機組發(fā)現(xiàn)積冰后“未能正確進(jìn)行駕駛艙分工，未能按照標(biāo)準(zhǔn)程序執(zhí)行除冰”；機組進(jìn)入失速后“未能按照標(biāo)準(zhǔn)操作程序進(jìn)行失速改出”。最終飛機墜毀在了下方海域當(dāng)中。上述事故鏈中引號括起來的每一個部分都可以被解決來避免事故的發(fā)生，然而它們都沒有被解決，最終穿透多個防御層，引發(fā)事故。

4 結(jié)語

通過REASON 模型對整起事故進(jìn)行分析，不難發(fā)現(xiàn)事故的發(fā)生是由于整個系統(tǒng)各個環(huán)節(jié)均出現(xiàn)了問題，導(dǎo)致REASON 奶酪被穿透。千里之堤潰于蟻穴，倘若要從根本上降低事件發(fā)生的概率，我們應(yīng)該對最初的管理層進(jìn)行重點關(guān)注，管理層所帶來的公司文化與安全氛圍，能對事故的預(yù)防起到關(guān)鍵的作用。好的安全氛圍再加上對飛行員水平的持續(xù)監(jiān)管可以有效減少不安全行為產(chǎn)生的前提。此外，飛行員應(yīng)提高對自己的要求，對于每次航班運行都做好充分準(zhǔn)備，嚴(yán)格執(zhí)行標(biāo)準(zhǔn)操作程序，將危險及時糾正。這樣才能卡好每個關(guān)口，有效地提高航空安全水平，避免事故發(fā)生！