航空人為因素與防差錯設計

鄭博峰　苗延青　呂海霞

有人曾注意到，美國的高速公路即使在一馬平川的原野上也并不總是筆直的，而是每隔一段距離就會特意設置一些彎道。據(jù)說這樣做的目的是為了防止駕駛員因為長時間的直線行駛而出現(xiàn)意識游離和注意力下降的情況，從而避免交通事故的發(fā)生。這種通過設計來降低駕駛員差錯的設計理念也適用于當今航空安全水平的提高嗎？

有數(shù)據(jù)表明，近20年來，多達75%的航空事故主要由人為因素所造成。人為因素所導致的差錯（人為差錯）已經(jīng)成為了航空安全的主要威脅。為此，航空業(yè)界，包括FAA、EASA等適航當局機構(gòu)部門對于航空人為因素問題進行很多深入的研究，以期通過分析找出人為差錯產(chǎn)生的原因和解決方法，提高航空器的使用安全水平。

人為因素（Human Factors）是一門跨學科、跨領域的研究課題。對于人為因素，目前國際上尚無統(tǒng)一的定義。國際民航組織（ICAO）對航空人為因素的定義是：研究范圍涉及到航空系統(tǒng)中人的一切表現(xiàn)，通過利用系統(tǒng)工程的方法和有關人的科學知識，以尋求人的最佳表現(xiàn)，實現(xiàn)安全和高效兩大目標。

從航空器全壽命周期過程來說，航空人為因素問題主要涉及以下幾個環(huán)節(jié)：航空器設計階段的人為因素、航空器運行與培訓中的人為因素、航空器維修與保障中的人為因素以及空中交通管理中的人為因素。以上各環(huán)節(jié)的人為因素問題并不是相互孤立的，而是相互影響、互相反饋的過程。通過針對這四個環(huán)節(jié)的分析研究，總結(jié)出人為因素問題產(chǎn)生原因和解決方法，以此為降低航空人為差錯提供依據(jù)。

人為差錯的原因和解決方法

人為差錯的原因有多種多樣，而且與設計、運行和維護航空器的各個環(huán)節(jié)都有著復雜的相互關系。但是通過分析可以看出，對于航空人為因素而言，產(chǎn)生人為差錯的原因主要體現(xiàn)在兩方面：人自身的原因和航空器設計的原因。目前，很多業(yè)內(nèi)人士正試圖針對這兩種原因，通過相對應的途徑來降低人為差錯出現(xiàn)的概率：

減少差錯：直接介入差錯源本身；

捕獲差錯：差錯已經(jīng)發(fā)生，但試圖在航空器放行前發(fā)現(xiàn)差錯；

包容差錯：容錯是指系統(tǒng)有能力接受差錯而不會產(chǎn)生災難性后果。

其中針對航空器設計的原因，旨在通過設計來降低人為差錯的方法可稱之為防差錯/容錯（error-tolerant）設計，其目的是要設計出更加“友好”、能容錯的航空器。在很多問題上，相比從人自身角度而言，從防差錯設計的角度來降低人為差錯、是提高航空安全水平最有效的方法之一。主要原因體現(xiàn)在：

1、人的可靠性難以無限提高。

雖然通過有效的人員培訓、合理的組織管理、良好的團隊協(xié)調(diào)等方法手段可以一定程度上降低出現(xiàn)人為差錯的概率，但是由于不同的人在不同的條件下所存在的不確定性太過復雜，難以避免會出現(xiàn)各種各樣的差錯，人的可靠性難以無限提高。

2、很多“飛行員差錯”實際上是“設計員差錯”。

雖然很多事故調(diào)查報告中常常會得出類似“飛行員差錯導致了這起事故”的調(diào)查結(jié)論。但實際上，很多“飛行員差錯”的實質(zhì)是“設計員差錯”。因為在人機系統(tǒng)中，人為差錯不只是一個簡單的人為造成失誤的過程，更為重要的是，不合理的系統(tǒng)設計為潛在的、可能導致事故的行為提供了存在或延續(xù)發(fā)展的可能性。而這種人為差錯往往可以通過設計來避免。

3、良好的設計能從源頭上降低出現(xiàn)人為差錯的概率。

墨非定律中指出：如果某種差錯存在發(fā)生的可能性，那么它遲早總要發(fā)生。要想避免某些人為差錯的發(fā)生，就必須盡可能消除發(fā)生該差錯的可能性。通過合理的防差錯設計，可以從源頭上消除很多人為差錯發(fā)生的可能性，降低人為差錯的發(fā)生概率。

事實上，在過去的10多年間，“因設計導致”的差錯已經(jīng)成為適航當局所重點關注的內(nèi)容。早在1996年，F(xiàn)AA便針對飛行員——航空器界面問題開展了深入的研究，研究報告指出“FAA應當要求對航空器的設計開展評估，以確定因設計所導致的機組差錯以及這些差錯的結(jié)果所造成的影響，并將此作為型號合格審定過程的一部分”。1999年7月，美國交通部賦予適航規(guī)章制定和咨詢委員會一項任務，要求其為FAA提供相關的意見和建議以“針對現(xiàn)有的FAR/JAR 25規(guī)章進行評審、并通過建議指出哪些規(guī)章標準和/或咨詢材料應當更新或重新制定，以便應對因設計不足導致的機組不良表現(xiàn)，防止飛行機組差錯（通過容錯設計、檢測與恢復等措施）的頻繁出現(xiàn)?！睘榱舜_保適航規(guī)章的協(xié)調(diào)一致，歐洲聯(lián)合航空局（JAA—現(xiàn)在的歐洲航空安全局EASA）隨后也開展了類似的工作。最后，所制定的條例和咨詢材料將應用于大型運輸類飛機的型號合格證及補充型號合格證的審定過程中。

結(jié)合分析可以看出，從設計角度來降低人為差錯是當前適航當局所關注的重要內(nèi)容；借助防差錯（容錯）設計的方法和技術手段，設計出能容錯的設備是從源頭上降低后續(xù)在航空器運行中出現(xiàn)人為差錯概率的重要途徑。

防差錯設計常用方法

進行防差錯設計，一方面是對過去因為設計而導致人為差錯的事例進行總結(jié)，在此基礎上提出改進方法；另一方面，可以通過人為差錯識別（HEI）方法來對設計方案進行評估，在設計階段發(fā)現(xiàn)方案中存在可能導致人為差錯的不足，并進行改進。相比較而言，前者更多依據(jù)型號事故的經(jīng)驗總結(jié)，防差錯設計更有針對性；后者可以在航空器投入運行前的設計階段盡可能早的發(fā)現(xiàn)其中的不足，有效降低更改設計的代價。在這方面，國外已經(jīng)開展了很多研究，提出并發(fā)展了很多HEI方法，例如典型的有SHERPA、HAZOP以及HET等方法。航空器防差錯設計的主要過程如下圖所示。

在進行具體的防差錯設計過程中，常用的方法包括如下幾個方面：

信息的防誤判設計。如通過顯示顏色、編碼等方式對信息進行區(qū)分，防止機組人員信息誤判。

信息提示和告警系統(tǒng)設計。如通過標牌、聲音或燈光報警等方式，為維修人員、機組等進行及時、正確的操作提供支持。

控制系統(tǒng)中的互鎖設計。如通過機械設計、電路設計等實現(xiàn)與門互鎖或順序互鎖，以此防止人為差錯的發(fā)生。

誤操作防止結(jié)構(gòu)設計。如通過位移限定裝置、保護結(jié)構(gòu)、可移動蓋板等設計，以此防止或減少對控制器的誤操作。

防差錯設計應用實例

近年來，防差錯設計在航空器設計中已經(jīng)有過很多具體應用。例如，將飛機上可能產(chǎn)生混淆的口蓋設計成不同的形狀，在同一個口蓋上對類型相同但長度不同的連接件通過選用不同直徑的加以區(qū)分；機載設備上不同的插頭設計成不同的尺寸及形狀；各系統(tǒng)中一些手柄采用了防止誤操作的內(nèi)鎖裝置等。

目前，美國聯(lián)邦航空局（FAA）在其發(fā)布的AC 20-175中總結(jié)了10種典型的操縱器件防差錯方法：

1） 位置與方向。操縱器件的位置、空間和方向的設計應使機組在操縱器件的正常移動程序中不太可能意外地碰撞或移動它們。

2） 物理保護。在操縱器件的設計中可以設置物理障礙，以防止出現(xiàn)意外的觸發(fā)。例如，設置凹槽、隔板、翻蓋及保護罩的操縱器件。

3） 滑脫阻力。針對操縱器件進行的物理設計和所用材料可以降低手指及手掌滑脫的可能性。例如，按鈕可以設計成帶凹面、有織紋或粗糙的上表面。

4） 手部穩(wěn)定。提供手部支撐物、扶手或其他的物理結(jié)構(gòu)，當駕駛員操作控制器時，以此作為一個穩(wěn)定點。

5） 邏輯保護。基于軟件的內(nèi)部邏輯，當驅(qū)動某項控制被認為不合適時，則基于軟件或與軟件相關的控制可能失效。

6） 復雜的運動。操縱器件的操作方法可以被設計成需要復雜的運動來驅(qū)動。例如，旋轉(zhuǎn)手柄可被設計成僅當其被拉起時才能轉(zhuǎn)向。

7） 觸覺提示。不同的操縱器件表面可以有不同的形狀和織紋，以此支持駕駛員在黑暗中或其他“免視”環(huán)境下辨識不同的操縱器件。

8） 鎖定/連鎖操縱器件。鎖定機械、連鎖裝置或?qū)ο嚓P操縱器件的優(yōu)先操作，都可以防止誤操作。

9） 順序運動。操縱器件可以設計成帶有鎖緊、止動或其他機械裝置，以此防止其直接跳過某項運動順序。

10） 運動阻力。操縱器件可以設計成帶有運動阻力模式（例如，摩擦、彈性、慣性），以此需要有意的使力來驅(qū)動。

早在20世紀40年代，飛行員在飛機著陸后收回著陸襟翼時常常會誤收回起落架而導致事故發(fā)生。Chapanis對這一想象進行了深入分析，發(fā)現(xiàn)這是因為設計員設計了兩個同樣且并排放置的撥動開關，其一針對起落架、另一個針對襟翼。這樣的設計導致飛行員極易誤操作。為此，他建議應當將控制器隔離并進行編碼；而且，針對此現(xiàn)象，Chapanis認為這其中的“設計員差錯”比“飛行員差錯”更加嚴重，并指出好的設計是降低人為差錯的最重要方法?，F(xiàn)在，控制器隔離與編碼已經(jīng)成為了駕駛艙控制器設計中的標準人為因素措施，并取得了很好的效果。

以上是因為采取防差錯設計提高安全水平的成功實例，但此前國內(nèi)也有因為沒有采取防差錯設計而導致災難性事故的慘痛教訓。1994年6月6日，從西安至廣州的西北航空公司圖一154MB-2610號航班在咸陽上空發(fā)生空中解體，機上160人（含機組14人）全部遇難，釀成我國航空史上最為慘烈的一幕。

事故調(diào)查報告顯示，事故的直接原因在于地面維護人員將飛機自動駕駛儀安裝座上的兩個插頭：傾斜阻尼信號插頭（Ⅲ7綠色）和航向阻尼信號插頭（Ⅲ8黃色）相互插錯，導致飛機起飛離地后，所有橫向、側(cè)向參數(shù)均發(fā)生低頻大幅度變化，使得飛機出現(xiàn)了發(fā)散型橫向飄擺，最終釀成飛機的方向舵、尾翼以及右機翼等相繼折斷而使飛機解體。但是最為根本的原因在于，作為前蘇聯(lián)20世紀60年代研制的產(chǎn)品，圖一154MB飛機沒有采取良好的防差錯設計以防止兩種插頭出現(xiàn)交錯互插。

雖然就目前而言，不可能通過防差錯設計來保證人員在所有操作和維修等過程中不出現(xiàn)差錯。但是，防差錯設計無疑是從設計源頭上減少人為差錯的最好方法之一。尤其是對于航空器設計研制方而言，為提高航空安全水平，則更應該為設計出更加“友好”、“錯不了”和“不怕錯”的航空器而努力。

我們應該重視在航空器設計中引入防差錯理念，并努力從不斷出現(xiàn)的各種航空事故或事故癥候中吸取教訓，尋找防差錯設計的解決途徑。并針對人為差錯識別方法（HEI）進行研究，以利于在航空器設計階段盡早發(fā)現(xiàn)可能導致人為差錯的設計缺陷，進行有效的防差錯設計，降低后續(xù)使用中的人為差錯概率。