REASON模型在航空事故分析中的应用
彭朝荣
【摘 要】阐述了REASON模型的基本结构和原理,并利用该模型对一起典型航空维修事故案例进行了分析,得出了组织缺陷是导致本次事故的根源,提出了完善安全责任机制、规范资源分配、加强员工责任意识培训和严格执行规章、合理采用激励措施等解决办法.
【期刊名称】《长沙航空职业技术学院学报》
【年(卷),期】2017(017)003朴施厚
【总页数】乔一成和叶小朗怎么离婚的6页(P83-88)
【关键词】REASON模型;航空事故;人为因素;原因分析
【作 者】彭朝荣
【作者单位】长沙航空职业技术学院,湖南 长沙 410124
【正文语种】中 文
【中图分类】V267
古罗马著名政治家、演说家和哲学家马库斯·图留斯·西塞罗（Marcus Tullius Cicero）说：“犯错是人的天性(It is the nature of man to erro)”，人类很早就意识到人为差错的必然性。虽然人在各种活动中最灵活、适应性最强，但也最容易受到干扰和影响。通过民航系统十几年的研究结果表明，80%的航空事故都是由于人的表现不佳而导致的[1]。那么，为了提高人的可靠性，优化人员的工作表现，预防和控制人为差错的发生，研究分析人的因素就显得十分必要了。
对民航业来讲，安全是永恒的主题。自上世纪70年代以来，全世界商用运输机的事故率基本保持在百万分之三，这个比例看似很小，但数量算起来却非常惊人。如2016年我国民航共飞行839万架次，按比例计算发生25次事故似乎正常，平均两周有一次。虽然飞机失事几率比较小，但事故直接关系人们的生命财产安全，同时伴随着行业的发展，更是社会关注的话题。为从根本上降低事故几率，一种十分有效的方法就是针对已发生的事故进行分析，出产生主要因素和隐患，制定预防措施。
过去，国内民航界对事故的分析仅限于事件表面，习惯于针对直接责任人，对隐性因素不予关注。这种方法对事故的致因分析不够，没有出差错源和系统缺陷，所采取的措施起不到系统预防的根本作用。当前，在民航界分析人为差错事故常用REASON、SHEL模型和MEDA、HFACS 方法，进行系统分析差错原因和采取相应对策措施，从而从管理角度进行系统的事故预防。通过阐述REASON模型的基本结构和原理，并利用该模型对一起典型航空维修事故案例进行了深入分析，查出引起事故发生的系统隐患，有助于建立事故预防的安全管理体系（SMS）。
1990年，英国曼彻斯特大学James Reason教授在《Human Error》中提出了REASON模型。它是事故致因分析的模型，以系统观的视野，揭示了不安全事件的发生不仅与事件直接相关行为人的行为（现行失效）有关，还与远离事件的其他层面的活动和人员（潜在失效）有关[2]。它从显性失效与隐性因素的关系入手，将决策和组织失误联系起来，对系统相互作用各层面的直接作用和间接影响进行全面分析，并以一个逻辑统一的事故链将所有相关因素进行了理论串联（见图1）。
REASON模型的分析逻辑是：事故的发生不仅有一个被穿透的组织缺陷集，同时还存在一
个事件本身的反应链，组织各层面的缺陷和事故促发因素是长期存在并不断演化的，但这些组织缺陷和事故促因并不一定会造成不安全事件，只有当多个层级的组织缺陷在一个事故促发因子上多次或同时出现时，多层级的阻断作用被突破，从而发生不安全事件。由于该模型核心价值的体现，所以在航空领域被得到广泛应用。
1994年6月6日，我国一架图—154M型（B-2610）飞机在起飞后发生飘摆，两名飞行员都无法控制飞机的稳定[1]。当时，机组使用额定马力保持400km／h的速度上升，并采用了多种方法进行处置，如短时间接通自动驾驶仪等，但不起作用。之后，飞行速度降至373km／h，迎角20°，出现失速警告；后来，飞机突然向左滚转并急剧下俯，速度增加到747km／h，最大下俯角65°，最大左坡度达66.8°，飞机出现超速警告。此时，飞机航向由280°左转至110°，高度由4717m下降到2884m，最大侧向过载 l.4g，垂直过载达2.7g。由于飞机垂直和侧向过载均超过了强度极限而开始解体，最终坠毁，160名乘员全部遇难。
本次事故由中国民用航空局（CAAC）主导调查。调查报告中确定了本次事故发生的主要因素：不安全行为、不安全状况或造成本次事故的安全缺失等。指出了维修人员无视规章、履职不到位，盲目将航向阻尼插头和斜阻阻尼插头错插导致的惨剧。肯定了飞行机组
周韦彤资料资质和身体状况、气象条件均符合飞行标准，空中管制员口令清楚，措施得当，地面通信、导航设备工作正常等。
谷爱凌父亲是个谜根据飞机技术文件记录，在6月4日飞行前由于自动驾驶仪故障更换了系统微动电门和信息交换平台；当日飞行后发现，换上的信息交换平台因技术文件丢失，该平台再次被更换。此项工作由两名无工作授权（无上岗证）的维修人员和一名工段长完成，虽说工作结束后进行了地面通电检查且显示正常，但调查组检查发现，整机放行文件签署不符合规定。
调查组在事故现场加强了对飞机前电子舱（设备舱）残骸的检查，发现电子设备架上信息交换平台后面的航向阻尼插头和倾斜阻尼插头相互错插。为验证这一错误可能产生的直接后果，以及6月4日飞行后排故进行通电检查的真实性，调查组在同机型其他飞机上按照制造厂提供的方案进行了地面模拟试验。结果表明，两插头相互错插后，在人工操纵（杆操纵）状态下，副翼和方向舵有联动的异常现象，而且用维修人员排故当日使用的通电检查方法，在自动驾驶仪故障搜索台和显示器上检查不出航向阻尼插头和倾斜阻尼插头错插的故障。由此说明，维修人员所用的通电检查方法是真实的，但这种方法检查不出所存在的问题。
调查组为了进一步查清飞机飘摆的原因，先后两次前往原独联体航空委员会和飞机设计局就事故的译码数据及飞机设计中的一些问题进行了讨论、分析，并对该机型关断阻尼器后的操作稳定特性进行了验证飞行。飞行中，关断航向和倾斜阻尼器以后飞机的俯仰、横侧操纵性及震荡衰减能力明显变差。但飞行员只要通过空中对该科目的带飞训练，完全可以掌控关断阻尼器后操纵飞机的特点和要领，实现进近和着陆。
通过对各项数据的分析和地面将航向阻尼插头和倾斜阻尼插头相互错插后的测试以及模拟验证飞行，结果表明，导致事故的原因和过程是：
2.3.1 人为错插系统无法检测故障
6月4日飞行后，维修人员在更换信息交换平台时，由于疏忽将航向阻尼插头和倾斜阻尼插头错插，而错插后系统无法检测故障，从而导致该机事故当日带着隐患起飞。
系统正常的阻尼功能是：航向角速度陀螺感受到的偏航角速度信号传送到航向通道，经过信息处理后由方向舵舵机完成修正；倾斜角速度陀螺感受到的倾斜角速度信号应传送到副翼通道，由副翼舵机完成修正。但由于插头错插，航向角速度陀螺感受到的偏航角速度信
难受的个性签名
号传给了副翼通道，副翼舵机带动舵面偏转进行修正；而倾斜角速度陀螺感受到的倾斜角速度信号传给了航向通道，由方向舵舵机带动舵面偏转进行修正。在起飞滑跑过程中，即使飞行员蹬舵时产生的偏航角速度信号送到了副翼通道，但由于飞机受到地面的限制，姿态没有改变。离地以后，因蹬舵时副翼已产生了偏转角，飞机很快形成倾斜。飞行员为修正姿态而操纵副翼，倾斜角速度信号传到了航向通道，方向舵产生偏转角，使飞机姿态发生交联异常。这时，机组感觉到飞机无法控制，因而进行反复修正，使得飞机的飘摆角度越来越大，最后导致过载超出飞机强度极限，造成解体。
2.3.2 飞机设计缺陷
图—l54M型飞机在设计上存在先天不足，航向阻尼插头和倾斜阻尼插头没有防错插措施，两插头相邻且几何尺寸和线数完全相同，仅用颜来表示其差异，容易导致错插。而两插头错插问题在自动驾驶仪故障搜索系统中无法检查出正误，这是设计的缺陷。
2.3.3 飞行员培训欠缺相关科目
按照该机型飞行手册要求，排除飘摆故障必须同时关断航向和倾斜通道阻尼器。但是，该
机型模拟飞行训练大纲中并没有明确对排除飘摆故障需进行训练，飞行员在培训过程中，也没有接受过该项目的训练。从验证飞行过程中看，关断航向和倾斜通道阻尼器以后飞机仍然是可操纵的，但从座舱话音记录器数据中判断飞行机组并没有按照这一要求去执行。由于培训的欠缺，飞行员对处置这种侧向稳定性差的机型存在重大缺陷[3]。
对本次事故我们采用倒序分析法，即“纠正行为—不安全行为—不安全行为的前提—不安全的监督—组织因素”，符合REASON模型“光线透过奶酪”的逻辑，这样可以从最接近事故情景回放分析各层级的主要因素，从光线终端透出的“漏洞”处回望，清晰地出所有“奶酪”的“漏洞”[1]。个人贷款利率
该机型自动驾驶仪信息交换平台上的航向阻尼插头和倾斜阻尼插头存在防差错设计缺陷是此次事件的客观原因。无工作授权的维修人员实施了维修工作，检验人员履职不到位，没有履行检验职责是此次事件维修方面的直接原因。
信息流转缺失，机组人员飞行前没有获取飞机的相关维修工作信息；盲目自信，对于突发状况没有按照应急处理程序操作，是此次事件飞行方面的直接原因。
在本次事故中防御层多次被击穿、失效。负责安装的维修人员、工段长、飞行机组当组织存在缺陷时，他们本身没有自我纠错行为，不是系统提倡的主动弥补组织缺陷，有序开展全方位全过程的监督。由于人的基本行为误差几率，认识或技能、意识错误都可以造成大量的事故隐患，而纠错行为可起到十分重要的作用。实际上，由人和复杂技术系统组成的航空系统处于经常性的、不断涌现新形式的各种错误、偏差和意外事件持续考验的状态，而不是人们所认为的事故隐患只是难得一见的稀有事件。完善的航空系统最后的一道防线就是各级人员的自我纠错行为层。