王永剛，左北辰

（中國民航大學a.安全科學與工程學院；b.經(jīng)濟與管理學院，天津300300）

飛機維修是飛行安全的重要保障，C 檢是飛機維修的重要組成，其流程復雜、涉及因素眾多、安全風險較大?！按ê?U8633 事件”發(fā)生前，飛機剛剛完成C 檢，但卻在飛行過程中遭遇擋風玻璃突然破裂并脫落，造成嚴重險情。因此，識別并評估C 檢中的風險，對于進一步控制維修風險，規(guī)避不安全事件具有重要意義。

1976 年Lowrance[1]首次提出，維修風險包括計劃性和技術(shù)性兩類，為后續(xù)飛機維修風險的類別劃分奠定了基礎(chǔ)。起初，對飛機維修風險的識別主要集中于技術(shù)性風險領(lǐng)域，認為造成飛機不符合安全要求的風險來源于人、機、環(huán)、管4 個方面[2-5]；也有學者根據(jù)SHELL（software，hardware，environment，liveware）模型，從軟件、硬件、環(huán)境、人的角度劃分風險[6-8]，為控制飛機維修“實施過程”中的風險提供了科學依據(jù)，但并未系統(tǒng)識別“計劃過程”中的風險。計劃性風險易導致費用超支、工期拖延，許多工程為保證飛機按期出廠，從而降低安全質(zhì)量標準，進而造成飛機安全質(zhì)量不合格，引發(fā)安全事件。常用的危險源辨識方法有直觀經(jīng)驗法和系統(tǒng)安全分析法[9]，直觀經(jīng)驗法適用于有可參考先例的危險源辨識過程，易受經(jīng)驗和占有資料的限制；系統(tǒng)安全分析法適用于分析部件數(shù)量有限的機械裝置，或操作固定、可程序化的工作。但傳統(tǒng)的危險源辨識方法并不適用于C 檢。辨識危險源后，學者針對飛機維修風險建立單一風險評估模型，篩選出關(guān)鍵風險，并對關(guān)鍵風險進行排序，重點控制風險值較大的風險[6，10-12]，但并未考慮不同風險之間的交互作用。Reason 模型[13]提出，事故不是孤立因素導致的，而是系統(tǒng)缺陷共同作用的結(jié)果；當層次缺陷同時出現(xiàn)時，系統(tǒng)會失去多層次保護，導致事故發(fā)生。防止事故發(fā)生不僅僅是消除“奶酪中的孔洞”，更重要的是阻止孔洞之間的交互與重合。維修各環(huán)節(jié)中的風險就像“孔洞”，若不同風險交互作用，將導致“孔洞”重合，大大增加風險程度。

為解決上述問題，以A 航空公司的4C 檢為例，分析4C 檢的流程，利用層次全息模型（HHM，hierarchical holographic model）方法，從多方面建立危險源辨識模型，構(gòu)建具有可拓展性的危險源框架；將計劃性風險納入飛機維修風險識別范圍，識別計劃和技術(shù)兩方面的風險；并利用風險過濾、評級和管理（RFRM，risk filtering，rating and management）理論對交互作用下的關(guān)鍵風險組合進行風險評估，考慮不同風險之間的交互作用，建立關(guān)鍵風險的交互風險評估模型，為后續(xù)4C 檢的風險控制奠定基礎(chǔ)。

1 4C 檢中的危險源辨識

1.1 HHM-RFRM 的基本原理

采用HHM 方法辨識航空公司4C 檢大修項目中的危險源；利用改進后的RFRM 評估交互風險。RFRM[14]由8 個階段組成，每個階段的具體內(nèi)容如表1 所示。

表1 RFRM 各階段具體內(nèi)容Tab.1 Tasks at various RFRM phases

風險評估涉及前5 個階段，第6 階段到第8 階段屬于風險控制及層次全息模型修正的范疇，暫不分析。

1.2 HHM-RFRM 的改進

針對A 航空公司4C 檢的實際情況，為提高HHMRFRM 的適用性，從以下3 個方面對HHM-RFRM 進行改進。

1）危險源造成傷害的概率

A 航空公司初次進行4C 檢工作，沒有相關(guān)的事故記錄可以參考，因而無法得到危險源造成傷害的先驗概率。因此，結(jié)合文獻資料及專家意見量化危險源造成傷害的概率。

2）危險源造成傷害的嚴重程度

系統(tǒng)具有3 個特性：復原力，強健性和冗余性。能夠擊潰系統(tǒng)防御特性的危險源可造成嚴重后果，為反映危險源造成傷害的嚴重程度，列出6 個標準[14]作為衡量指標，標準及其含義如表2 所示。

表2 危險源造成傷害的嚴重程度衡量指標Tab.2 The severity of the damage caused by the source of the hazard

3）危險源間的交互作用分析

危險源間的交互作用表現(xiàn)為一個危險源除了自身固有的風險外，還具有與其他危險源同時作用引發(fā)的聯(lián)合風險[15]。根據(jù)Reason 模型，聯(lián)合風險往往會導致事故發(fā)生。如在4C 檢過程中，質(zhì)檢是維修的重要環(huán)節(jié)，可避免由于維修行為不規(guī)范而造成的質(zhì)量不達標情況，若沒有按照規(guī)定授權(quán)質(zhì)檢人員，導致質(zhì)檢人員能力不足，會造成嚴重后果。因此提出“多維風險”的概念，用表示編號為n，由m 個危險源構(gòu)成的風險情景，將其稱為編號為n 的m 維風險情景，可表示為

式中：N 為不同類型的風險源；符號“·”的運算法則滿足交換律，即A·B=B·A。由于當m≥3 時，對于風險子要素的耦合分析過于復雜，故添加約束m≤2。

圖1 為A·B 風險情景圖，陰影部分表示2 個危險源交互產(chǎn)生的新危險源。圖形的邊長用2 個危險源的風險值表示，陰影部分的面積可用來衡量2 個危險源交互作用下的風險值。

圖1 A·B 風險情景圖Fig.1 Scenario of A·B risk

1.3 基于改進HHM-RFRM 的4C 檢危險源辨識

為全面收集危險源，向維修部4C 檢項目的所有參與者進行意見征求。征求意見的方式多種多樣，如小組討論、工作總結(jié)、設(shè)置無記名意見箱等。先分部門征求意見，再進行歸類整理，可有效防止部門間的爭論推諉現(xiàn)象。參與人員主要回答下面幾個問題：你所在的工作崗位哪些地方最容易出問題？問題的后果是什么？有哪些解決辦法？對此問題，你有什么好的建議？將這些問題以問卷形式發(fā)放，要求參與4C 檢項目的所有人員填寫。此次調(diào)查共發(fā)出問卷300 份，收回問卷287 份，其中有效問卷271 份。

為從工作流程角度辨識危險源，參考以過程為基礎(chǔ)的質(zhì)量管理體系，按照“PDCA（plan do check action）”準則，將收集到的危險源分類、歸納、總結(jié)為計劃控制、施工準備、維修實施、維修放行4 個大類別。其中，計劃控制和施工準備屬于計劃性風險，維修實施和維修放行屬于技術(shù)性風險。4 個大類別下包括37 個子類別，確定飛機4C 檢的HHM 如圖2 所示。

圖2 飛機4C 檢的HHMFig.2 HHM for 4C inspection of aircraft

2 4C 檢中的交互風險評估

在風險評估過程中，需綜合考慮危險源造成傷害的概率及嚴重程度，因此，下文中用術(shù)語“風險”代替術(shù)語“危險源”[16]。4C 檢項目復雜，面臨的風險眾多，沒有足夠資源對每個風險子類別進行建模和跟蹤。因此需要進行風險評估，篩選出關(guān)鍵的子類別并排序，然后對關(guān)鍵風險子類別進行交互風險評估。

2.1 場景識別

4C 檢的HHM 包括4 個大類別和37 個子類別，已涵蓋了4C 檢中的絕大多數(shù)風險。

2.2 場景過濾

基于當前系統(tǒng)使用者的認知、時間域、決策水平，根據(jù)當前系統(tǒng)使用者的職責與利益進行場景過濾。此過濾過程可以采納專家小組的意見。為確保風險過濾的準確性，專家小組由5 位至少具備10 年工作經(jīng)驗的維修人員和5 位具有相關(guān)研究經(jīng)驗的教授組成。

在計劃控制方面，A 公司首次進行4C 檢，維修條目新增，若過渡方案設(shè)計不合理，易引發(fā)風險；不同班組、工種的搭配、流程控制及資源配置均沒有足夠經(jīng)驗，需要保留。在施工準備方面，廠房設(shè)施的狀態(tài)應滿足新的儲存和工作要求，各種設(shè)施系統(tǒng)均需要維護保養(yǎng)；A 公司之前一直做飛機A 檢，合格的4C 檢維修人員數(shù)量不足，存在較大風險。在維修實施方面，4C 檢維修范圍大、深度深，且時間緊迫，對航材、工具設(shè)備等的使用，以及維修行為、人員配合、工作監(jiān)管均提出更高要求；安全質(zhì)量指標制定需要重新調(diào)整。在維修放行方面，由于維修工作量巨大，維修記錄的填寫、簽署及保存均面臨較大風險；且C 檢放行時，必須編寫出廠報告；質(zhì)檢人員和放行人員需要重新授權(quán)，因此保留這幾項。場景過濾后剩余的子類別如圖3 所示。

圖3 場景過濾后的剩余子類別Fig.3 The remaining subcategories after the scene filtering

2.3 雙重標準過濾及排序

這一階段，將剩余的子類別，根據(jù)其造成傷害的可能性及嚴重程度，利用風險矩陣圖評估其風險等級。表3 列出了每個子類別造成傷害的可能性、嚴重程度和預期風險，具有高風險的子類別被留下。風險發(fā)生的可能性及嚴重程度仍由10 位專家評估所得。

表3 子類別嚴重性評估Tab.3 Sub-category severity assessment

2.4 多標準評估

系統(tǒng)具有3 個防御特性：復原力、強健性和冗余性。復原力指一個系統(tǒng)在突發(fā)事件之后的恢復能力；強健性指系統(tǒng)性能對外部壓力的不敏感性；冗余性指用系統(tǒng)的額外成分推測故障成分函數(shù)的能力。能夠擊潰這些特性的風險可造成嚴重后果，應被給予更多重視。將表2 中標準Ⅰ～Ⅵ作為反映防御特性的6 個輔助標準，依照每個標準，將利益情景分為“高”“中”“低”3 級，每級分別表示了這6 個標準的不同風險情景。對于不適合應用于某準則的危險源，用“N/A”表示。每個標準在不同情景下的含義如表4 所示。

表4 標準在不同情景下的含義Tab.4 The meaning of the standard in different scenarios

利用6 個標準來量化子類別造成傷害的嚴重程度，某一屬性中，評估為“高”的計10 分，評估為“中”的計5 分，評估為“低”的計1 分，評估為“N/A”的計0分，則有得分

按照百分制換算后，計算結(jié)果如表5 所示。

表5 子類別造成傷害的嚴重程度評分Tab.5 Severity scoring of sub-category consequence

2.5 量化排序

量化評級7 個子類別的風險（表3 中高風險類別），造成傷害的嚴重程度由表5 計算可得，將風險發(fā)生的可能性用概率P 表示[17]，即：不可能，0.001 ＜P ＜0.010；很少，0.010 ≤P ＜0.020；偶爾，0.020 ≤P ＜0.100；可能，0.100 ≤P ＜0.500；經(jīng)常，0.500 ≤P ≤1.000?？赡苄杂?0 位專家評估所得。從概率和嚴重程度兩個維度對風險進行定量計算，得到類別的風險值

式中Crisk代表風險造成傷害的嚴重程度。綜合各位專家的評估結(jié)果，得到各子類別的風險值如表6 所示。

表6 子類別風險值Tab.6 The risk value of the sub-category

設(shè)定門限值來篩選風險子類別，高于門限值的子類別將被留下，低于門限值的子類別將被刪除?？紤]到A 航空公司第一次做4C 檢項目，雖然在人力和物力上的投入是巨大的，但各個部門在能力上還是存在較大缺口，對大多數(shù)風險進行跟蹤控制都很難完成，因此只能選最主要的風險進行有效控制跟蹤。在考慮A 公司實際能力的基礎(chǔ)上，結(jié)合10 位專家的意見，設(shè)定風險門檻值為1.00 分。留下來的關(guān)鍵風險子類別為：維修工作交叉、人力資源配置不當、合格維修人員數(shù)量不足、特種車輛操作不當、維修行為不規(guī)范及未按規(guī)定授權(quán)放行人員。

2.6 風險子類別交互風險評估

在4C 檢風險識別、分析的基礎(chǔ)上，對最終得到的6 個風險子類別的交互作用進行分析。A 航空公司4C檢的關(guān)鍵風險子類別的HHM 如圖4 所示。將剩余6個風險子類別的風險程度相乘，可得到2 個風險子類別交互作用下產(chǎn)生新風險的風險值。關(guān)鍵風險子類別的交互作用分析如表7 所示。

圖4 關(guān)鍵風險子類別的HHMFig.4 HHM for key risk sub-categories

表7 關(guān)鍵風險子類別交互風險值Tab.7 Interactive risk value of key risk sub-category

從表7 中可以看出，當人力資源配置不當與維修工作交叉、維修行為不規(guī)范、合格維修人員數(shù)量不足交互時，風險程度非常大。在人力資源配置不當與合格維修人員數(shù)量不足的情況下，若維修工作交叉且維修行為不規(guī)范，極易導致維修人員忽視流程步驟，簡化操作程序，進而導致飛機的安全質(zhì)量不達標。4C 檢確定工期為16 d，工期調(diào)整的可能性極小。為在時間緊迫的情況下，盡量減少維修風險，提高維修的安全質(zhì)量，保證飛機的安全運行，科學合理的人力資源配置和維修工作安排是安全施工的重要前提；數(shù)量足夠的合格維修人員和規(guī)范的維修行為才可保證4C 檢的維修安全質(zhì)量。

3 結(jié)語

從計劃和技術(shù)兩方面識別了飛機4C 檢中的風險，計劃性風險包括計劃控制和施工準備，技術(shù)性風險包括維修實施和維修放行；建立交互風險評估模型，發(fā)現(xiàn)當人力資源配置不當與維修工作交叉、維修行為不規(guī)范、合格維修人員數(shù)量不足交互時，風險最大。該模型比單一風險評估模型更貼合民航多重防護系統(tǒng)，可為后續(xù)制定風險控制措施、避免事故奠定基礎(chǔ)。