晏　青　邢廣華 /

(1. 上海飛機客戶服務(wù)有限公司，上海 200241； 2.中國民航上海航空器適航審定中心，上海 200335)

0　引言

服務(wù)通告(Service Bulletin，以下簡稱SB)是民機主制造商對由于其產(chǎn)品生產(chǎn)工藝、使用材料、制造缺陷產(chǎn)生的質(zhì)量問題，發(fā)布的檢查要求、使用限制、產(chǎn)品召回、修理或改裝措施等技術(shù)文件，是民機主制造商確保機隊安全性、經(jīng)濟性、可靠性和維修性的重要手段之一。航空公司需依據(jù)服務(wù)通告要求的措施進行相關(guān)技術(shù)工作，改善產(chǎn)品在使用中的各種性能，消除產(chǎn)品使用中出現(xiàn)的不安全狀態(tài)，以提高航空產(chǎn)品的安全性能[1-2]。

國際上各主要民機制造廠商對于民機產(chǎn)品的服務(wù)通告都非常重視，經(jīng)過數(shù)十年的有效運營和發(fā)展，都已經(jīng)形成各自完善的服務(wù)通告編制和管理體系。波音、空客等國際主流民機主制造商均具備完善的服務(wù)通告決策機制和管理模式，支持服務(wù)通告的發(fā)起決策、編制、批準、發(fā)布、驗證、反饋、修訂等服務(wù)通告的全周期流程[3]。波音、空客每年發(fā)布數(shù)以百份服務(wù)通告以保障產(chǎn)品機隊的安全運行，例如A320機型運行至今，已發(fā)布數(shù)千份服務(wù)通告。

由于我國民機制造業(yè)起步較晚，服務(wù)通告的發(fā)起決策尚不完善，缺乏有效的流程監(jiān)督體系；服務(wù)通告的編制、驗證、修訂等過程系統(tǒng)性和規(guī)范性不強，編制效率較低，無法實現(xiàn)全壽命期間對服務(wù)通告的有效控制與管理；缺乏驗證方法和手段，服務(wù)通告可操作性差，導(dǎo)致服務(wù)通告頻繁升版。因此，研究建立有效的國產(chǎn)民機服務(wù)通告監(jiān)督管理模式，實現(xiàn)服務(wù)通告的全流程監(jiān)管意義重大。

1　國產(chǎn)民機服務(wù)通告

當前，中國民航局針對國產(chǎn)民機服務(wù)通告頒發(fā)的管理程序為AP-21-02，頒發(fā)日期為1988年8月。這份程序規(guī)定了服務(wù)通告的定義、適用范圍、分類、審批，及服務(wù)通告的格式和基本內(nèi)容等，并給出了服務(wù)通告的基本模板和流程圖，是指導(dǎo)國產(chǎn)民用航空產(chǎn)品服務(wù)通告編制和審批的一般性指導(dǎo)文件，適用于在中國境內(nèi)經(jīng)中國民用航空局批準頒發(fā)了《型號合格證》的民用航空產(chǎn)品和《生產(chǎn)許可證》的生產(chǎn)廠家及用戶。

按照AP-21-02的有關(guān)表述，服務(wù)通告是航空產(chǎn)品設(shè)計、生產(chǎn)廠家根據(jù)自身和運營人信息，對所生產(chǎn)的航空產(chǎn)品改進其可靠性或使用的安全性，是對運營人的—種技術(shù)服務(wù)措施和對自身生產(chǎn)技術(shù)改進的要求，通告是對航空產(chǎn)品實施檢查、重復(fù)檢查、改裝或使用壽命更改等技術(shù)要求[4]。通過以上定義可知，服務(wù)通告既可以是對航空產(chǎn)品可靠性的主動改進，也可以是對產(chǎn)品使用的安全性進行被動改正。

服務(wù)通告必須具有適當?shù)姆诸?。按照AP-21-02的要求，國產(chǎn)民機服務(wù)通告可分別為普通類、重要類和緊急類，三種分類區(qū)別在于是否影響產(chǎn)品安全及措施是否緊急[5]。為提高產(chǎn)品性能、壽命、使用條件、環(huán)境等進行的改進、改裝所發(fā)出的服務(wù)通告，歸為普通類，如果發(fā)生危及飛行安全等情況需要發(fā)出的服務(wù)通告，則歸為重要類/緊急類。

服務(wù)通告必須具有適當?shù)妮斎?。根?jù)國產(chǎn)民機運營以來的實踐經(jīng)驗，當前有效的服務(wù)通告的輸入有以下兩類：設(shè)計優(yōu)化輸入和持續(xù)適航事件輸入。其中，設(shè)計優(yōu)化輸入對應(yīng)于服務(wù)通告定義中“對航空產(chǎn)品可靠性的主動改進”，由于不影響產(chǎn)品安全性，無論改進是大改或小改，此類服務(wù)通告的類別均為普通類；而持續(xù)適航事件輸入則由運營機隊所暴露的在役問題所引發(fā)，對應(yīng)于服務(wù)通告定義中“對產(chǎn)品使用的安全性進行被動改正”，此類在役問題可能會影響產(chǎn)品安全，或者在經(jīng)持續(xù)適航體系的評估后，確認不存在安全隱患，故此類服務(wù)通告類別要視持續(xù)適航體系輸出的風險評估的結(jié)論，可能為重要/緊急類，也可能為普通類。本文重點研究持續(xù)適航事件輸入的國產(chǎn)民機服務(wù)通告。

2　民機主制造商持續(xù)適航體系

按照國際民用航空組織(ICAO)附件八，航空器的持續(xù)適航包含了所有的過程或方法，這些過程或方法要求航空器投入運行后，在其使用壽命內(nèi)的任何時間都符合其型號審定基礎(chǔ)的要求和注冊國的強制要求，并始終保證處于安全運行狀態(tài)。同時，CCAR21部中也對航空器的持續(xù)適航提出了相關(guān)要求[6]。在以上上位法相關(guān)規(guī)定的基礎(chǔ)上，中國民用航空局適航司于2013年頒發(fā)了AC-21-AA-2013-19《型號合格證持有人持續(xù)適航體系的要求》，要求型號合格證持有人在交付首架飛機之前，必須按照相應(yīng)要求建立持續(xù)適航體系[7]。

為保障國產(chǎn)民用航空產(chǎn)品的運營安全和持續(xù)改進，AC-21-AA-2013-19要求持證人必須編制經(jīng)局方批準并滿足此AC要求的持續(xù)適航體系管理手冊，旨在為型號合格證持有人建立持續(xù)適航體系提供指導(dǎo)。這份手冊明確了體系的適用范圍，規(guī)定了持續(xù)適航體系建立的基本原則、規(guī)定了持續(xù)適航體系工作內(nèi)容、組織部門、管理手冊和信息系統(tǒng)的要求，為指導(dǎo)、幫助型號合格證持有人建立持續(xù)適航體系提供了基本的原則、流程和方法。

民機主制造商持續(xù)適航體系是根據(jù)上上位法相關(guān)要求和管理程序規(guī)定建立和運行的管理體系，通過對不利于機隊持續(xù)適航的信息進行全面的收集、分析和評估來判定實際的風險水平，并在此技術(shù)上確定是否采取必要措施，從而對飛機和整個機隊安全實施全面的持續(xù)安全管理，以履行規(guī)章要求的持續(xù)適航責任，保證飛機的持續(xù)運行安全。

2.1 持續(xù)適航事件

在持續(xù)適航的概念中，影響或者可能影響航空器安全運行的信息稱為持續(xù)適航事件，簡稱事件。事件的來源主要包括設(shè)計部門、制造部門、客服部門、運營人、試飛部門及供應(yīng)商等，分別對應(yīng)于工程事件(設(shè)計)、制造事件(制造)、客服工程事件(客服)、在役事件(運營人)、試飛事件(試飛)以及產(chǎn)品的質(zhì)量逃逸(供應(yīng)商)等事件。按照AC-21-AA-2013-19及持續(xù)適航體系相關(guān)要求，主制造商必須根據(jù)事件收集的原則和要求，將已收集的事件納入持續(xù)適航體系流轉(zhuǎn)，包括對以上事件進行篩選和判定，識別潛在安全問題，對不安全狀態(tài)進行風險評估，進行事件調(diào)查并采取必要的改正/改進措施。持續(xù)適航事件的來源和類別如圖1所示。

2.2 持續(xù)適航風險水平

在民機持續(xù)適航階段，只有當飛機或零部件發(fā)生失效、故障或缺陷被觀察到后才會成為事件。通過風險評估，對已發(fā)生的事件進行評估，分析事件發(fā)生的可能性及后果的嚴重性，判斷事件對飛機造成的影響是否超出規(guī)定的適航風險水平，估計引發(fā)事件的危險源的失效率及其失效對系統(tǒng)或設(shè)備的影響，為制定風險緩解措施和改正措施提供決策支持[8]。

常用的風險評估方法包括故障樹分析法、故障模式與影響分析法、馬爾可夫過程法、威布爾分析、蒙特卡洛模擬分析、敏感性分析和“岡斯頓”方法等[9]，其中，“岡斯頓”方法可以用于確定風險的平均暴露時間，并被用于判斷計劃的改正/改進措施是否充分。

國產(chǎn)民機持續(xù)適航事件的風險水平可以用圖2的矩陣圖進行表示，其中橫向代表后果嚴重性等級，從輕到重分別為無安全影響、較小的、較大的、危險的、災(zāi)難的，縱向代表發(fā)生的可能性概率，從大到小分別為頻繁的、不經(jīng)常的、微小的、極微小的和極不可能的。從圖2中可以清晰看出，該風險矩陣分為紅、黃、綠三個區(qū)域，分別代表不可接受風險、可容忍風險和可接受風險。

圖2　持續(xù)適航體系風險矩陣圖

不同的風險等級對應(yīng)不同的改正/改進措施和風險管理目標。當某持續(xù)適航事件的后果嚴重性等級(橫向)和發(fā)生的概率(縱向)確定之后，即可通過風險矩陣圖確定事件對應(yīng)的風險水平，再根據(jù)“岡斯頓”分析方法，即可確定該處風險水平對應(yīng)的最大平均暴露時間，從而為確定改正/改進措施的符合性時間提供參考。

根據(jù)國產(chǎn)民機的運營經(jīng)驗，通常，紅色區(qū)域代表存在安全隱患，其風險是不可接受的，應(yīng)當采取必要的改正/改進措施，視風險暴露時間不同，對應(yīng)服務(wù)通告的類別為重要/緊急類；黃色區(qū)域代表無安全隱患，其風險在特定的緩解情況下是可接受的，但應(yīng)在一定時間內(nèi)采取措施，避免風險進一步擴大；綠色區(qū)域代表無安全隱患，無需采取任何措施。由于不存在安全風險和隱患，黃色和綠色區(qū)域?qū)?yīng)服務(wù)通告的類別均為普通類。

3　基于持續(xù)適航體系的國產(chǎn)民機服務(wù)通告

國產(chǎn)民機服務(wù)通告作為保障國產(chǎn)民用機隊運行安全、緩解機隊風險的重要手段，與民機主制造商的持續(xù)適航體系密切相關(guān)。按照AC-21-AA-2013-19中事件的報告要求，所有影響或可能影響飛機安全的信息都應(yīng)作為持續(xù)適航信息報入體系，經(jīng)持續(xù)適航體系流轉(zhuǎn)評估后輸出必要的改正/改進措施，并以服務(wù)通告等形式向運營人發(fā)布在役機隊的改正措施。同時，根據(jù)AP-21-02中服務(wù)通告的定義和分類，“對所生產(chǎn)的航空產(chǎn)品改進其可靠性或使用的安全性”的服務(wù)通告，按照國產(chǎn)民機服務(wù)通告的編制要求，在SB啟動決策前應(yīng)明確其是否關(guān)聯(lián)持續(xù)適航事件，并在SB進行類別劃分時經(jīng)持續(xù)適航體系充分評估。

由于持續(xù)適航事件輸入的國產(chǎn)民機服務(wù)通告與民機主制造商持續(xù)適航體系密切相關(guān)，且在役機隊服務(wù)通告構(gòu)成了持續(xù)適航體系的完整閉環(huán)，因而，基于持續(xù)適航體系的國產(chǎn)民機服務(wù)通告，既包含了前端持續(xù)適航體系的完整流程，又包含了后續(xù)國產(chǎn)民機服務(wù)通告編制的相關(guān)流程，兩者共同構(gòu)成了基于體系的國產(chǎn)民機服務(wù)通告的新模式。

3.1 持續(xù)適航體系流程

按照AC-21-AA-2013-19的要求，民機主制造商的持續(xù)適航體系主要包含以下流程：

1)信息收集。按照事件收集指南確定的原則，對包括工程事件、制造事件、客服工程事件、在役事件、試飛事件以及產(chǎn)品的質(zhì)量逃逸等信息進行收集。

2)事件篩選/判定。按照不安全狀態(tài)原則性的標準和指導(dǎo)方針，對報入持續(xù)適航體系的事件進行篩選，判定導(dǎo)致或可能導(dǎo)致不安全狀態(tài)的事件。此過程既可借鑒工業(yè)或行業(yè)實踐中成熟的危險準則和標準，也可以通過適當?shù)娘L險評估方法輔助判定。

3)初步風險評估。一般采用行業(yè)內(nèi)常用的定性評估方法，如功能危害性分析(Functional Hazard Assessment,簡稱FHA)、故障樹分析(Fault Tree Analysis,簡稱FTA)、故障模式及影響分析(Failure Mode and Effects Analysis,簡稱FMEA)、故障模式及影響總結(jié)(Failure Mode and Effects Summary,簡稱FMES)、共因分析(Common Cause Analysis,簡稱CCA)等對已判定事件的風險水平進行初始評估，包括識別潛在不安全狀態(tài)、確定受影響范圍及后果嚴重性等級，定性確定可能性概率，并確定風險矩陣圖中的風險水平。

4)詳細風險評估。在初始風險評估工作的基礎(chǔ)上，依據(jù)最新調(diào)查結(jié)果重新確定潛在不安全狀態(tài)，定量分析識別出潛在的不安全狀態(tài)，確定紅色事件的最大符合性理論時限與潛在不安全狀態(tài)的起始時刻，并編制完成《事件詳細風險評估報告》。

5)工程調(diào)查。對事件進行分析和調(diào)查，找出事件發(fā)生的根原因，并提出建議的改正/改進措施。在掌握事件的基本情況的基礎(chǔ)上，對頂事件通往根原因的路徑進行綜合分析，找出最有可能導(dǎo)致頂事件發(fā)生的原因，識別不安全因素和事件致因因素。

6)改正/改進措施。在風險評估和工程調(diào)查的基礎(chǔ)上，根據(jù)事件的風險等級和根原因分析結(jié)論，在確定的最大風險暴露時間內(nèi)采取相應(yīng)的風險緩解措施，包括評估、制定和發(fā)布適當?shù)母恼?改進措施，將風險控制在可接受的范圍內(nèi)，并持續(xù)跟蹤與修訂。針對在役機隊，改正/改進措施以客戶服務(wù)文件形式向運營人發(fā)布，并根據(jù)執(zhí)行情況進行完善。民機主制造商的持續(xù)適航體系流程如圖3所示。

圖3　民機主制造商持續(xù)適航體系流程

3.2 國產(chǎn)民機服務(wù)通告編制流程

目前，我國國產(chǎn)民機服務(wù)通告的編制主要有以下流程：(1)SB的啟動決策，包括設(shè)計更改SB和持續(xù)適航事件SB的啟動決策。若SB由持續(xù)適航事件觸發(fā)，則SB的啟動需經(jīng)過持續(xù)適航技術(shù)委員會進行決策。(2)制定SB的工作計劃。由客戶服務(wù)的管理部門制定SB的工作計劃。(3)確定SB編制的輸入。這里的輸入主要是指編寫SB所必要的工程技術(shù)文件。(4)劃分SB的類別，即確定SB為普通、重要或緊急類。根據(jù)上文分析可知，設(shè)計更改觸發(fā)的SB均為普通類，而持續(xù)適航事件輸入的SB依據(jù)風險評估結(jié)論，可能是普通、重要或緊急類。(5)SB的編寫和修訂。根據(jù)SB輸入文件的工程技術(shù)方案，由SB的編制部門編寫SB初稿，并協(xié)調(diào)相關(guān)設(shè)計、工程和制造部門進行修改和完善。(6)在SB編制完成后，根據(jù)需要在生產(chǎn)線/試飛飛機上進行驗證。(7)完成SB內(nèi)部審批并提交局方進行適航審批，若此階段有問題則返回編制和修訂過程。(8)局方審批完成后發(fā)布SB。(9)收集SB的執(zhí)行情況。(10)若SB執(zhí)行遇到困難，則返回SB的修訂過程對SB進行升版。

圖4為國產(chǎn)民機服務(wù)通告的編制流程示意圖。

圖4　國產(chǎn)民機服務(wù)通告的編制流程

3.3 基于持續(xù)適航體系的國產(chǎn)民機服務(wù)通告閉環(huán)管理

按照民機主制造商服務(wù)通告有關(guān)的行業(yè)實踐，通常，在SB發(fā)起前，需要由一個委員會形式的機構(gòu)來進行決策，確認服務(wù)通告是否影響安全，然后根據(jù)安全影響的后果和風險水平的等級，確認服務(wù)通告的類別和具體的編制流程。對于那些影響安全的服務(wù)通告，一般需要進行較為詳細的風險分析和工程調(diào)查，以識別不安全狀態(tài)和查找根本原因，并針對具體風險和事件原因給出針對性的糾正措施，達到緩解機隊風險的目的。對于嚴重危及機隊安全而發(fā)出的服務(wù)通告，還可能被該型號的適航指令引用，成為強制貫徹措施。

根據(jù)國產(chǎn)民機服務(wù)通告的編寫實踐，在SB啟動決策前，即由民機主制造商持續(xù)適航體系進行介入，對國產(chǎn)民機服務(wù)通告的安全性影響進行評估，并根據(jù)評估結(jié)論確認服務(wù)通告的類別，以上流程正是服務(wù)通告有關(guān)的行業(yè)實踐在國產(chǎn)民機機隊的具體體現(xiàn)。通過持續(xù)適航體系的全面介入，能夠?qū)Ψ?wù)通告的更改內(nèi)容是否關(guān)聯(lián)持續(xù)適航事件作出判定，并對相關(guān)事件的安全性影響進行監(jiān)控，從而對整個機隊的安全風險進行把控。

改正/改進措施作為持續(xù)適航體系的閉環(huán)措施，與機隊的風險水平直接相關(guān)，其重要性不言而喻，而服務(wù)通告又是在役機隊改正/改進措施貫徹的重要手段，是持續(xù)適航體系的末端，構(gòu)成了國產(chǎn)民機主制造商持續(xù)適航體系的完整閉環(huán)。如圖5所示。

圖5　基于持續(xù)適航體系的國產(chǎn)民機服務(wù)通告閉環(huán)管理

基于持續(xù)適航體系的國產(chǎn)民機服務(wù)通告，將持續(xù)適航體系與國產(chǎn)民機服務(wù)通告串聯(lián)起來，共同對機隊安全風險進行監(jiān)控并采取風險緩解措施，將在役機隊的持續(xù)適航風險控制在合理水平，以保障國產(chǎn)民機機隊的運行安全。因此，基于持續(xù)適航體系的國產(chǎn)民機服務(wù)通告的新模式，實際上就是由持續(xù)適航事件引發(fā)的體系運轉(zhuǎn)、輸出和持續(xù)監(jiān)控的過程，包括機隊信息收集、持續(xù)適航事件判定、持續(xù)適航體系流轉(zhuǎn)(風險評估、改正改進措施等)、SB的啟動決策、服務(wù)通告的編制和貫徹，以及在役機隊風險的持續(xù)監(jiān)控一整個閉環(huán)過程。

3.4 持續(xù)適航體系全流程監(jiān)督的體現(xiàn)

進一步總結(jié)可知，在國產(chǎn)民機服務(wù)通告從信息收集到持續(xù)監(jiān)控的全流程閉環(huán)監(jiān)督過程中，民機主制造商持續(xù)適航體系發(fā)揮了巨大作用，具體體現(xiàn)如下：

1)在SB發(fā)起決策前，需經(jīng)由持續(xù)適航體系對服務(wù)通告相關(guān)問題是否符合事件標準進行判斷，若判斷符合事件標準，則必須報入持續(xù)適航體系進行流轉(zhuǎn)。

2)通過SB相關(guān)事件在體系流轉(zhuǎn)中得出的安全性風險等級，確定國產(chǎn)民機服務(wù)通告的類別，一般而言，綠色和黃色風險均為普通類，而紅色則為重要/緊急類。

3)根據(jù)初始風險評估中確定的受影響范圍給出服務(wù)通告的適用性(架次)。

4)根據(jù)詳細風險評估中確定的最大風險暴露時間，確定服務(wù)通告的符合性時間，通常，SB的符合性時間比最大風險暴露時間更為保守，以提供足夠的安全裕度。

5)若在SB執(zhí)行過程中暴露新的事件，也應(yīng)當及時報入體系流轉(zhuǎn)。

圖6為持續(xù)適航體系對服務(wù)通告影響的關(guān)系圖，從圖中可更直觀地體現(xiàn)出民機主制造商持續(xù)適航體系在國產(chǎn)民機服務(wù)通告編制中的基礎(chǔ)和核心地位。持續(xù)適航體系提供了服務(wù)通告的所有基本要素，在國產(chǎn)民機服務(wù)通告的編制過程中發(fā)揮著巨大作用，與服務(wù)通告共同保障在役機隊的安全性。

圖6　持續(xù)適航體系在服務(wù)通告中發(fā)揮的作用

4　結(jié)論

民用飛機服務(wù)通告是民航飛機持續(xù)適航文件的重要組成部分，涉及飛機檢查要求、使用限制或產(chǎn)品召回、修理或改裝措施等技術(shù)支持信息。服務(wù)通告從多個角度對民航飛機的可靠性、經(jīng)濟性、維修性等提出改進措施，保證民機的持續(xù)適航性和全壽命周期經(jīng)濟性。

隨著我國國產(chǎn)民機交付運營的逐步深入，國產(chǎn)民機服務(wù)通告亟需建立有效的持續(xù)適航監(jiān)管體系。本文針對持續(xù)適航事件輸入的國產(chǎn)民機服務(wù)通告，引入民機主制造商持續(xù)適航體系，介紹了持續(xù)適航事件的風險水平，提出了基于持續(xù)適航體系的國產(chǎn)民機服務(wù)通告編制和管理模式，闡述了持續(xù)適航體系與服務(wù)通告編制的閉環(huán)管理理念，強調(diào)國產(chǎn)民機的持續(xù)適航安全，可有效促進服務(wù)通告的監(jiān)督和管理水平，提升國產(chǎn)民機的安全保障能力。