機(jī)務(wù)維修機(jī)構(gòu)-------安全管理體系

1、機(jī)務(wù)維修機(jī)構(gòu)安全管理體系（廈門航空公司機(jī)務(wù)部） 摘要：伴隨世界民航業(yè)的迅猛發(fā)展，安全的需求和理念也在不斷的發(fā)展和完善當(dāng)中。新的安全形勢要求對機(jī)務(wù)維修采取主動的管理方法 機(jī)務(wù)維修機(jī)構(gòu)的安全管理體系（SMS）。安全應(yīng)該是對風(fēng)險的有效管理和控制。本文著重討論了機(jī)務(wù)維修中的風(fēng)險管理過程，包括風(fēng)險識別、風(fēng)險分析、風(fēng)險的量化計算、風(fēng)險優(yōu)先權(quán)設(shè)定以及風(fēng)險的規(guī)避措施。風(fēng)險解決后，還應(yīng)該進(jìn)行監(jiān)控，以形成一個閉環(huán)的管理體系。1 引言航空運輸中的安全管理體系（SMS）在國際民航組織的倡議下，已經(jīng)成為未來民航安全管理的發(fā)展趨勢。當(dāng)然，這也是國際民航組織附件6中提出的要求。從目前國際上各個國家民航當(dāng)局所反應(yīng)的態(tài)度來看，

2、都是積極推廣和采納的。SMS對強(qiáng)化航空運輸安全，保障飛行安全，特別是未來飛行安全有促進(jìn)作用。航空安全管理體系（SMS）覆蓋范圍非常廣泛，它包含飛行、空管、機(jī)務(wù)、機(jī)場等涉及航空安全的方方面面。但是，直到最近，大家才把注意力轉(zhuǎn)移到機(jī)務(wù)維修上。根據(jù)歐洲航空安全局（EASA）2006年出版的年度安全報告，1997年至2006年，飛機(jī)系統(tǒng) / 部件的失效或故障已經(jīng)成為導(dǎo)致航空事故的一個主要因素。安全飛行很大程度上依賴于飛行器的適航性。因而，機(jī)務(wù)維修的安全管理，也就成為安全飛行的一個重要組成部分。機(jī)務(wù)維修可以定義為在飛機(jī)的整個服役壽命內(nèi)，保持或改進(jìn)飛機(jī)及其系統(tǒng)、子系統(tǒng)、部件的適航性和固有可靠性的技術(shù)活動。

3、機(jī)務(wù)維修是一個包含多種專業(yè)，并且人、機(jī)器、設(shè)備等多種因素相互關(guān)聯(lián)的復(fù)雜系統(tǒng)。與飛行相比較，機(jī)務(wù)維修的失誤有其特殊性。飛行中的失誤，可能立刻就會造成后果，飛行員立刻就會得到失誤反饋。而機(jī)務(wù)維修中的失誤，不容易在短時間內(nèi)顯現(xiàn)出來，可能需要一段時間，甚至是一段相當(dāng)長的時間才能產(chǎn)生后果。機(jī)務(wù)工作者對自己在工作中的失誤很難得到及時的反饋。正因為如此，把機(jī)務(wù)安全管理的精力集中在對維修事故或差錯的跟蹤調(diào)查上是很被動的。安全管理始于已發(fā)生的事故和教訓(xùn)是亡羊補(bǔ)牢的產(chǎn)物。需要建立一個積極主動的安全管理方法，通過跟蹤調(diào)查可能導(dǎo)致事故或差錯的潛在因素，把它們認(rèn)識和識別出來，研究它們的發(fā)生原理，通過采取有效的措施，使事

4、故不再發(fā)生，這是機(jī)務(wù)維修安全管理的關(guān)鍵所在。2 認(rèn)識安全2.1 什么是安全認(rèn)識安全管理體系（SMS），首先需要認(rèn)識什么是安全。當(dāng)然，完全消除事故和差錯，這是絕對的安全。但是，這種絕對安全是不可能達(dá)到的。安全風(fēng)險是不可能完全被消除的。所以安全是一個相對的概念，是指組織或個人借助有效的措施，將系統(tǒng)固有的風(fēng)險降低并控制到最小程度或可接受的水平。所以，安全，應(yīng)該理解為對風(fēng)險的有效管理和控制。2.2 傳統(tǒng)的安全管理傳統(tǒng)的安全管理是對事故 / 差錯的被動式反應(yīng)。事故或差錯發(fā)生后，通過對其調(diào)查分析，然后采取一系列措施，使已發(fā)生的事故 / 差錯不再重現(xiàn)。這是一種事后的、開環(huán)的、局部的安全管理方法。隨在世界各國

5、民航業(yè)的迅速發(fā)展，這種安全管理方法已經(jīng)不能保證將未來的航空風(fēng)險控制在可接受的水平上，已經(jīng)不能適應(yīng)世界航空業(yè)迅速發(fā)展的要求。2.3 安全管理體系（SMS）的基本原理為了將航空安全的風(fēng)險降低到可以接受的水平，現(xiàn)代安全管理體系應(yīng)該從傳統(tǒng)的被動安全管理轉(zhuǎn)變?yōu)橹鲃拥陌踩芾?。安全隱患或影響安全的潛在因素在破壞安全，演變成安全風(fēng)險時應(yīng)該被主動識別出來。也就是說，在安全風(fēng)險轉(zhuǎn)變成安全事故前，能夠通過安全管理程序，主動識別安全風(fēng)險，從而能夠采取多方面的措施有效控制風(fēng)險。根據(jù)現(xiàn)代安全理論，事故的發(fā)生并不是由一個或兩個失誤引起的。通常一個事故總是伴隨著一系列破壞安全體系的事件發(fā)生的。這些破壞安全體系的事件通常包括

6、決策失誤、執(zhí)行失誤、固有條件引起的失誤等。這些失誤通常是在某些潛在條件下發(fā)生的。系統(tǒng)中本來就固有許多能夠?qū)е率д`或影響安全的潛在因素，例如：設(shè)備老化，缺乏管理；時間壓力；工作者經(jīng)驗不足；組織缺陷；缺乏有效的溝通；工作環(huán)境差等。有效的安全管理體系（SMS），應(yīng)該將管理的目標(biāo)定位于識別系統(tǒng)中能夠?qū)е率д`或影響安全的潛在因素，而不是孤立地減少不安全事件。這是因為，所發(fā)生的不安全事件僅僅是安全問題產(chǎn)生的后果，而不是引起安全問題的原因。系統(tǒng)中能夠引起安全問題的潛在因素是不可避免的，所以必須采取措施，識別它們，并降低它們的負(fù)面影響。無論采取何種事故分析模型，任何事故或差錯在其發(fā)生前都有明顯的先兆。盡管事故

7、后的調(diào)查分析非常重要，但是對可能引起事故的潛在因素的風(fēng)險評估可能更為重要。特別是在機(jī)務(wù)維修中。因為事故畢竟是極少數(shù)的，把精力集中在極少數(shù)的事件上，這是安全管理上的浪費?？梢鹗鹿驶虿铄e的潛在因素可能有數(shù)十條甚至數(shù)百條，如圖1所示。這些潛在因素應(yīng)該在事故發(fā)生前盡可能被識別出來。嚴(yán)重事故事故差錯事件圖1 事件是事故的先兆Figure 1: Events are precursors of accidents機(jī)務(wù)維修過程中存在許許多多可能導(dǎo)致事故和差錯的潛在因素，主要包括以下方面： 設(shè)備（人體工程學(xué)設(shè)計，設(shè)備的可維護(hù)性，設(shè)備的操控性等）； 基礎(chǔ)設(shè)施（環(huán)境，溫度，濕度，燈光等）； 人及文化因素（身體狀

8、況，生理狀況，心理狀況，社交狀況等）； 團(tuán)隊的安全文化（團(tuán)隊的信心，經(jīng)驗共享，團(tuán)隊的態(tài)度等）； 成本因素（在實現(xiàn)生產(chǎn)經(jīng)營目標(biāo)與安全目標(biāo)之間的平衡）。有效的機(jī)務(wù)維修安全管理體系（SMS）是建立在有效的風(fēng)險評估和管理的基礎(chǔ)上的安全決策。這實質(zhì)上與現(xiàn)代飛機(jī)維修思想是一致的。例如，飛機(jī)維修周期的確定，就是建立在飛機(jī)及其系統(tǒng)、子系統(tǒng)、部件在下個檢修周期中，不發(fā)生失效的概率上。一些飛機(jī)部件，經(jīng)常因為到時限而被更換。這并不是因為這些部件已經(jīng)不可用或已經(jīng)失去原有的功能，而是基以設(shè)計和維修經(jīng)驗，為將風(fēng)險降低到可接受的水平而采取的一種措施。3 安全管理過程首先列出可能影響安全的各種潛在因素。除了潛在因素本身外，還

9、應(yīng)該搞清楚各種因素之間的相互關(guān)系 / 聯(lián)系。這需要系統(tǒng)的調(diào)查研究。安全管理體系是基于事實的管理，需要分析數(shù)據(jù)，評估風(fēng)險，從而識別各種危險因素。各種風(fēng)險因素根據(jù)其危險程度的不同，設(shè)定一個優(yōu)先權(quán)。危險程度高的風(fēng)險因素優(yōu)先權(quán)高，需要優(yōu)先采取措施消除或降低其風(fēng)險。一個過程結(jié)束后，又重新進(jìn)行新一輪的風(fēng)險鑒別、風(fēng)險評估和降低風(fēng)險的程序，以形成閉環(huán)控制系統(tǒng)。如圖2所示。鑒別風(fēng)險風(fēng)險分析設(shè)定優(yōu)先權(quán)解決風(fēng)險監(jiān)控風(fēng)險圖2 風(fēng)險控制過程Figure 2: Standard risk management process3.1 數(shù)據(jù)采集機(jī)務(wù)維修安全管理體系（SMS）啟始于收集相關(guān)的安全數(shù)據(jù)。安全數(shù)據(jù)的采集可以通過以下

10、途徑進(jìn)行： 事故和差錯報告系統(tǒng)自愿或強(qiáng)制性的報告系統(tǒng)； 對所報告的事故和差錯的調(diào)查和后續(xù)措施； 趨勢分析； 培訓(xùn)中的反饋； 飛行記錄器中采集到的飛行數(shù)據(jù)分析； 安全調(diào)查、安全監(jiān)督、安全審查； 維修記錄、維修日記； 相關(guān)單位的信息； 根據(jù)模型推導(dǎo)出來的模擬結(jié)果； 其它可以獲得的安全數(shù)據(jù)。對于一個機(jī)務(wù)維修機(jī)構(gòu)，必須建立一套安全標(biāo)準(zhǔn)，對主要的機(jī)務(wù)維修行為進(jìn)行監(jiān)測。這些安全標(biāo)準(zhǔn)稱為“安全指示器”，用于監(jiān)測機(jī)務(wù)維修行為是否按照預(yù)期的目標(biāo)運行，是否有薄弱環(huán)節(jié)需要加強(qiáng)?！鞍踩甘酒鳌睉?yīng)該能夠很容易地檢測并關(guān)聯(lián)到主要的機(jī)務(wù)維修行為上。3.2 風(fēng)險分析每一個識別出來的風(fēng)險都必須進(jìn)行分析和評估。風(fēng)險評估技術(shù)需要匯

11、集并分析所有可能獲得的數(shù)據(jù)，以確定在什么條件下，風(fēng)險能夠造成實質(zhì)的危害，可能造成的后果，以及風(fēng)險造成實質(zhì)危害的可能性（概率）。通常風(fēng)險評估包括以下三個方面： 計算事故的發(fā)生概率； 估算事故的嚴(yán)重程度、后果； 估算風(fēng)險轉(zhuǎn)變?yōu)槭鹿实乃俣取?.2.1 定性質(zhì)分析風(fēng)險分析可以是定量分析，也可以是定性分析。定性分析通常是由多學(xué)科的專家隊伍，運用歸納和演繹、分析與綜合、比較的方法，將風(fēng)險評定為“不可能發(fā)生”、“可能發(fā)生”、“很可能發(fā)生”等多種級別。此外，定性分析也可以運用一些分析方法和分析工具，這些分析方法一般由數(shù)學(xué)模型轉(zhuǎn)化而成。例如：統(tǒng)計分析、趨勢分析、模擬研究、專家系統(tǒng)、成本分析等。3.2.2 定量分

12、析隨著風(fēng)險分析技術(shù)的發(fā)展，越來越多的分析方法可以提供定量的風(fēng)險分析結(jié)果。風(fēng)險的量化數(shù)值等于風(fēng)險的發(fā)生概率和風(fēng)險產(chǎn)生的后果的乘積，可以用公式1計算： 風(fēng)險數(shù)值 = 風(fēng)險產(chǎn)生的后果 × 風(fēng)險的發(fā)生概率 . (1)風(fēng)險的發(fā)生概率是指一個單一孤立的風(fēng)險發(fā)展轉(zhuǎn)變?yōu)槭鹿实目赡苄?，用符號Pf表示。風(fēng)險的發(fā)生概率Pf可以用公式2計算： (2)公式2中指系統(tǒng)、組件、部件的失效速率，它可以用失效前的平均壽命MTFB（Mean Time Between Failure）的倒數(shù)來表示，見公式3： . (3)由于機(jī)務(wù)維修包含多種元素，各個元素都可能對整個過程帶來風(fēng)險，所以就必須計算多個風(fēng)險的聯(lián)合概率。例如，兩

13、個獨立的元素E1、E2，它們之間的“與”關(guān)系P（E1 + E2）,表示E1、E2同時發(fā)生的概率，可以用公式4來表示；它們之間的“或”關(guān)系P（E1·E2）,表示E1、E2至少發(fā)生一件的概率，可以用公式5來表示。 P（E1 + E2） = P（E1）·P（E2）. (4) P（E1·E2） = P（E1）+ P（E2） P（E1）·P（E2）. (5)上述風(fēng)險分析原則可以用一個簡單的例子說明。例如，我們需要評估空中交通防撞系統(tǒng)TCAS對某型飛機(jī)飛行安全的可靠性。統(tǒng)計過去幾年TCAS系統(tǒng)的使用數(shù)據(jù)，得出TCAS系統(tǒng)在某型飛機(jī)上失效前的平均壽命為5000飛行小時

14、，即TCAS系統(tǒng)的MTBF = 5000飛行小時。根據(jù)公式3，計算出TCAS系統(tǒng)的失效速率值：根據(jù)公式2計算出平均每次飛行時，TCAS系統(tǒng)的失效概率Pf ：假如平均每次飛行時間為2飛行小時，TCAS系統(tǒng)失效可能造成的后果PC經(jīng)專家隊伍評估為0.1。根據(jù)公式1，TCAS系統(tǒng)對某型飛機(jī)每次飛行的飛行安全的風(fēng)險數(shù)值PTCAS為：3.2.3 失效樹分析失效樹分析方法是一種邏輯分析方法。它通過對可能造成系統(tǒng)失效的各種因素，包括軟件、硬件、環(huán)境、人為因素等進(jìn)行分析，畫出邏輯圖，即失效樹，從而確定系統(tǒng)失效原因的各種可能的組合方式和發(fā)生概率，以計算系統(tǒng)的失效概率，采取相應(yīng)的糾正措施，提高系統(tǒng)的可靠性。失效樹的

15、建造是失效分析方法的關(guān)鍵。機(jī)務(wù)維修的失效樹建造工作十分龐大和煩雜，所以要求建樹者必須十分慎重、仔細(xì)，并且廣泛掌握飛機(jī)設(shè)計、使用、維護(hù)等方面的經(jīng)驗知識。建造失效樹一般可按下述步驟進(jìn)行： 廣泛收集并分析有關(guān)技術(shù)資料； 選擇頂事件； 建樹； 失效樹的簡化。圖3顯示的是以“部件安裝錯誤”作為頂事件的失效樹分析案例。該失效樹分析了導(dǎo)致部件安裝錯誤的幾種可能原因的組合。事件A（培訓(xùn)不足）如果和事件B（工作程序復(fù)雜）同時發(fā)生，就將導(dǎo)致對工作任務(wù)的理解偏差；如果工作任務(wù)中所包含的工具設(shè)備復(fù)雜（事件C），那么就會導(dǎo)致部件安裝錯誤。即事件A、B、C同時發(fā)生（“與”關(guān)系）將導(dǎo)致部件安裝錯誤。另一方面，如果工作者的培

16、訓(xùn)是足夠的，但在時間壓力下工作（事件D），并且缺少質(zhì)量監(jiān)督（事件E），此時如果工作環(huán)境差（事件F或事件G），也可能導(dǎo)致部件安裝錯誤。部件安裝錯誤A 培訓(xùn)不足；B 工作程序復(fù)雜；C 工具設(shè)備復(fù)雜；D 時間壓力；E 缺少質(zhì)量人員；F 燈光不足；G 接近困難。圖3 “部件安裝錯誤”的失效樹分析案例Figure 3: Fault tree analysis example上述失效樹分析結(jié)果，如果結(jié)合3.2.2中的公式，就可以計算出各事件組合導(dǎo)致部件安裝錯誤的概率。所以，失效樹分析不僅能進(jìn)行定性的邏輯分析，還可以計算復(fù)雜系統(tǒng)的失效概率以及其他的可靠性參數(shù)，為降低和控制風(fēng)險提供定量的數(shù)據(jù)。3.3 設(shè)定風(fēng)險

17、優(yōu)先權(quán)風(fēng)險的優(yōu)先權(quán)是根據(jù)風(fēng)險的影響力大小而設(shè)定的。影響力很大的風(fēng)險，優(yōu)先權(quán)設(shè)定為最高，應(yīng)該立即解決；影響力中等的風(fēng)險，優(yōu)先權(quán)中等，應(yīng)該采取有效的措施控制；影響力最小的風(fēng)險，優(yōu)先權(quán)最低，需要引起足夠的關(guān)注。設(shè)定風(fēng)險優(yōu)先權(quán)時，還應(yīng)該考慮一個風(fēng)險可能造成多個后果，不能僅僅根據(jù)風(fēng)險所造成的某個后果而設(shè)定其優(yōu)先權(quán)。當(dāng)然，設(shè)定風(fēng)險優(yōu)先權(quán)時還需要進(jìn)行成本效益分析，在企業(yè)的安全目標(biāo)和經(jīng)營目標(biāo)之間尋求平衡。風(fēng)險優(yōu)先權(quán)最高發(fā)生頻率經(jīng)常發(fā)生可能發(fā)生可能性極小不可能發(fā)生A 可接受的風(fēng)險C 采取控制措施后可接受的風(fēng)險U 不可接受的風(fēng)險造成的后果造成后果的等級：1 無后果； 2 小后果； 3 中等后果； 4 嚴(yán)重后果；

18、5 事故。圖4風(fēng)險矩陣表Figure 4: Risk matrix form風(fēng)險優(yōu)先權(quán)可以用風(fēng)險矩陣表來表示，如圖4所示。圖4的風(fēng)險矩陣表中，左上角表示高頻率但影響力低的事件，例如個人工具保養(yǎng)不好，天氣炎熱等。這類事件雖然經(jīng)常發(fā)生，但對事故、差錯沒有直接的影響，不要求立即處理。右上角表示高頻率且影響力高的事件，例如時間壓力大，缺少質(zhì)量監(jiān)督等。這類事件對安全事故有很大的影響，具有最高的優(yōu)先權(quán)，必須立即解決。3.5 發(fā)展風(fēng)險規(guī)避策略機(jī)務(wù)維修行為充滿不確定性，所以對風(fēng)險的管理和控制顯得尤為重要。風(fēng)險識別分類之后，就應(yīng)該采取措施規(guī)避風(fēng)險。規(guī)避風(fēng)險應(yīng)該從優(yōu)先權(quán)最高的風(fēng)險開始?？梢圆扇《喾矫娴拇胧┙档突蛳?/p>

19、制風(fēng)險可能造成的負(fù)面后果。例如： 終止維修行為以消除風(fēng)險； 接受風(fēng)險可能造成的后果，繼續(xù)維修行為； 采取措施，將風(fēng)險降低到可接受水平上。風(fēng)險解決的過程可以用圖5表示。需要強(qiáng)調(diào)的是，解決風(fēng)險并沒有普通適用的方法，維修機(jī)構(gòu)應(yīng)該根據(jù)自己的條件制定措施。重要的是，任何措施執(zhí)行后，應(yīng)該有反饋，以評估是否達(dá)到預(yù)期的目標(biāo)，是否產(chǎn)生新的安全問題，最終形成閉環(huán)控制系統(tǒng)。解決風(fēng)險終止維修行為，消除風(fēng)險。降低風(fēng)險至可接受的水平。繼續(xù)維修行為，接受風(fēng)險?；乇茱L(fēng)險增加裕度減少風(fēng)險風(fēng)險轉(zhuǎn)移圖5 風(fēng)險的解決過程Figure 5: Risk resolution process例如，在3.2.2中計算出某型飛機(jī)每個飛行循環(huán)T

20、CAS系統(tǒng)風(fēng)險數(shù)值為PTCAS = 4·10-5。如果評估認(rèn)為這個風(fēng)險數(shù)值太高，不可接受。那么，可采取安裝第二套TCAS系統(tǒng)的方法以降低風(fēng)險。安裝第二套TCAS系統(tǒng)后，根據(jù)公式4可計算出兩套系統(tǒng)對飛機(jī)的風(fēng)險值：PTCAS（1,2）= PTCAS1·PTCAS2 = 4·10-5·4·10-5 = 1.6·10-9這個風(fēng)險值為可接受數(shù)值。即解決風(fēng)險成功。3.6 監(jiān)控已解決的風(fēng)險風(fēng)險識別、分類、采取措施控制后，還需要跟蹤風(fēng)險的解決效果。如果滿足以下條件，則說明風(fēng)險已經(jīng)被成功解決。 安全事件已經(jīng)被成功預(yù)防； 安全事件產(chǎn)生的條件或時機(jī)已經(jīng)被消

21、除； 安全事件所產(chǎn)生的后果可以通過應(yīng)急措施完全控制。3.7 風(fēng)險管理記錄最后的步驟，安全管理體系（SMS）的文件管理。在完成上述步驟后，應(yīng)記錄相關(guān)信息，完善風(fēng)險管理記錄。風(fēng)險管理記錄文件中應(yīng)包括風(fēng)險的編號、描述、后果，以及經(jīng)過專家小組評估認(rèn)為風(fēng)險發(fā)生的可能性、嚴(yán)重性和可接受性，同時還應(yīng)記錄任何需要采取的規(guī)避措施。當(dāng)有新的風(fēng)險被識別出來后，要更新風(fēng)險管理記錄并提出新的風(fēng)險規(guī)避建議。以事實說明風(fēng)險已經(jīng)被識別、評估、分類，并且采取措施消除或控制在可接受的水平上。4 結(jié)論安全管理體系（SMS）是提高機(jī)務(wù)維修安全水平最為有效的方法之一。SMS是一個有組織的安全管理系統(tǒng)，包括必要的組織機(jī)構(gòu)、職責(zé)、管理政策

22、和管理程序。本文著重討論了SMS中的風(fēng)險評估過程，包括風(fēng)險識別、風(fēng)險分析、風(fēng)險的量化計算、風(fēng)險優(yōu)先權(quán)設(shè)定以及風(fēng)險的規(guī)避措施。這些問題在風(fēng)險管理中可能是最重要也是最容易出錯的。風(fēng)險管理的困難之處是對風(fēng)險的量化分析。由于機(jī)務(wù)維修的復(fù)雜性和不確定性，風(fēng)險的量化可能非常困難。但是無論采取何種分析方法，都應(yīng)該使風(fēng)險管理形成一個事前的、主動的、系統(tǒng)的、閉環(huán)的管理體系。SAFETY MANAGEMENT SYSTEM IN AIRCRAFT MAINTENANCE ORGANIZATIONSXie Weijie ABSTRACT: The air transportation system in the world is outgrowing the capabilities of the current avia