基于PHL与HERA—JANUS的空管人误分析方法及应用

【摘 要】针对我国空管不安全事件的频发，为了对事件中的人为差错进行科学分析，结合空管业务知识，利用初步危险表（Preliminary Hazard List，PHL）分析技术与欧洲航空安全研究中心开发的HERA-JANUS模型对空管不安全事件案例进行深入地分析。运行PHL分析方法得到了一组详细的事件项目与可能的潜在危险列表，然后再利用HERA-JANUS模型分类方法对危险进行逆向抽象得到顶层差错原因。结果表明，该方法能够较全面地分析人为差错，也便于安管人员制定改善措施。

【关键词】空中交通管制初步危险分析HERA-JANUS模型潜在危险顶层差错

1 引言

空中交通管制系统是我国民航运行中不可或缺的部分，其运行安全对整个民航系统至关重要。目前，空管不安全事件的发生通常与人为差错有关（即人误），随着飞机可靠性和安全性的日益提高，人误已成为当今空管运行安全的重大隐患和航空企业面临的最重要课题之一。在空管不安全事件发生的背后各类潜在危险相互交织，采取科学的方法进行全面的分析，并抽象到顶层，管制部门可据此制定有效的管理措施，从而避免差错的再次发生，避免了更多不安全事件和事故的发生。

2 初步危险分析表分析技术

（1）初步危险表（PHL）是一项用来识别和列出系统中可能存在的潜在危险和事故的分析技术[1]。用于对事件和系统进行初步的危险要素和信息识别，在危险分析的初始阶段开展，根据系统信息要素和事件发生过程识别出可能的危险要素，后续的深入分析和评估提供较全面的素材，是系统及事件后续危险分析的基础。初步危险表的目的是在系统和事件分析过程中尽可能挖掘影响安全的因素。

PHL分析方法是一种结构化严谨的分析过程，分析简易可行，可简单的理解为对系统进行了一次危险头脑风暴。其输入包括设计知识、危险信息、经验教训，输出包括系统或事件项目，危险要素、影响。PHL的分析过程有三步：（1）将设计知识和危险信息比较，识别可能的危险；（2）将设计知识与经验教训比较，得出关键因素；（3）记录分析过程，列出影响要素清单及缓解措施。

（2）初步危险表适合用分析表开展分析，通过使用分析表使工作更严谨，有助于记录分析过程和资料，还助于保证所确认危险的合理性。根据PHL分析流程及特征，给出危险分析表的列表信息：表头名称--初步危险分析表；分栏信息--危险序号，事件项目，危险要素，缓解措施。

3 HERA-JANUS模型

欧洲Eurocontrol研究的 HERA模型（ 空管人误分析系统，Human Error in Air Traffic Management）是专门针对空管人误而开发的模型[2]，之后，美国FAA和 Eurocontrol在对比分析了HFACS和HERA的理论背景、概念覆盖范围、分析方法及可靠性等方面关系后，提出了HERA-JANUS模型（空管人误分类方法，Human Error in ATM Technique-JANUS）。目前，该模型在英国的空管人误分类分析中已开展应用，研究人员对英国民航不安全事件报告系统中的空管人误案例进行分析，其中的人误可以用进行分类和分析，这表明该方法在空管不安全事件的分析中有较高的应用价值。

HERA-JANUS模型分类方法以更详尽的分类方式，从人因的顶层失效入手，由上而下，由表及里，逐层深入至内部致因，并结合人因发生时特定的空管环境及相关影响因素，形成了一套系统的分类分析方法（更为详细的具体的差错因篇幅原因未列出，在后续的顶层抽象分析中有部分列出），分类形式如下：

人误差错可从三个层面进行描述，即人误类型；人误认知；相关因素。

人误类型：即差错类型（ET，Error Type），描述发生了什么差错及如何发生的；分为行为时间错误、行为选择错误、信息传递错误。

人误认知：包括差错细节（ED，Error Detail）、差错机理（EM，Error Mechanism）、信息处理层面（IP，Information Processing Levels），描述差错发生过程中的认知要素；分为感知与警觉、短期记忆与长期记忆、计划与决策、响应执行。

相关因素：包括任务因素（Task）、信息和设备因素（I/E，Information and Equipment）、环境条件（CC，Contextual Conditions），描述差错发生时的时间地点人物及环境等，分为任务因素、信息和设备因素、环境条件。

正是利用JANUS模型的特殊分类方式，在利用PHL方法分析得出的详细危险要素后对其进行逆向抽象，归结出事件发生的顶层抽象原因。

4 案例分析

本文以2011年一起西安塔台管制员因未及时监听清机组报告，在山东航班落地未脱离跑道的情况下，指挥昆明航班起飞，造成昆明航班中断起飞的不安全事件（人为原因运输航空事故征候）为例[3]。事件经过大致为：山东航班执行落地任务。昆明航班执行起飞任务。本场使用05号跑道。山东航班于23：00落地。塔台指挥昆明航班滑行后指挥山东航班“C脱离联系地面121.8再见”，该机报告“C不能脱离了”。塔台误听为“C脱离了”，随后指挥昆明航班起飞。此时山东航班立即报告还没有脱离跑道，塔台随即指挥昆明航班“稍等一下起飞”。在山东航班脱离跑道过程中，昆明航班讲“我中断了”。

（1）采用PHL分析法，对事件中的危险要素进行初步识别，分析结果清单如下：

事件项目：1）塔台接收山东回复；2）塔台发送起飞指令；3）昆明执行起飞；

对应危险要素：

1）塔台认为“C不能脱离了”与“C脱离了”相似；塔台期望山东已从C脱离；塔台未目视或观察场监系统确认山东是否C脱离。

2）塔台认为跑道05可用；塔台将“C不能脱离”误听为“C脱离了”；塔台未询问确认山东是否C脱离。

3）昆明未注意驾驶舱外情况；昆明认为跑道05可用；昆明未积极守听无线电通讯；

对应缓解措施：1）规范管制用语；2）加强管制员警觉性；3）加强飞行员安全意识，规范管制员工作流程。

（2）HERA-JANUS模型归结（括号中为HERA-JANUS的层级分类）

1）人误认知抽象归结过程如下：

塔台未目视或观察场监系统确认山东是否C脱离→（迟缓的/未探测视觉信息）→（差错机理）→（感知与警觉）；

塔台期望山东已从C脱离→（期望偏差）→（信息处理）→（感知与警觉）；

塔台认为“C不能脱离了”与“C脱离了”相似→（联系偏差）→（信息处理）→（感知与警觉）；

2）相关因素抽象归结过程如下：

昆明未注意驾驶舱外情况、昆明认为跑道05可用、昆明未积极守听无线电通讯→（飞行员不了解交通态势）→（飞行员与管制员通信）→（环境条件）；

塔台未询问确认山东是否C脱离→（询问）→（管制员与飞行员的无线电通讯与指令传输）→（任务因素）；

塔台未目视或观察场监系统确认山东是否C脱离→（目视观测飞机）→（管制员活动）→（ATC活动与航空器信息）→（信息和设备因素）；

根据HERA-JANUS的分类流程进行逆向抽象，归纳可得如下结果：本案例中的顶层差错为：

1）塔台管制员的人因认知中的感知与警觉差错；

2）昆明飞行员相关因素中的环境条件，即：飞行员与管制员通信差错；

3）塔台管制员任务因素中的管制员与飞行员的无线电通讯与指令传输差错；

4）塔台管制员信息设备因素中的ATC活动与航空器信息差错。

由归纳出的顶层差错，安管部门可自上而下找准问题频发模块，从管理角度采取提高管制员警觉，规范管制员与飞行员通信用语，规范管制流程（询问，观察等）措施，从而降低空管系统的运行风险，避免更多的不安全事件和事故的发生。

5 结语

（1）初步危险表（PHL）的主要优势在于能使分析过程结构化并记录该过程，根据事件项目可得实际存在和可能的危险，能够比较全面地分析出空管不安全事件的事件过程及详细的危险要素，为后续顶层抽象提供基础。

（2）HERA-JANUS模型具有完整详细的人误差错分类，从顶层原因到具体原因都有其科学依据，运用该方法研究人员可以将初步危险表分析出的危险要素进行逆向的抽象归结得出顶层的差错，便于安全管理部门自上而下采取针对性管理措施。

参考文献：

[1] 赵廷弟，焦健，赵远 等译. Ericson C A. 危险分析技术[M].北京：国防工业出版社，2012.

[2] HERA Project Team. The human error in ATM technique[R]. HRS/HSP-002-REP-03. Brussels； EUROCONTROL，2003.

[3] 民航局安全管理部.2011年空管安全形势分析报告[R].中国民用航空局航空安全办公室，2012.

作者简介：田洁（1990-），男，硕士研究生，研究方向为空管运行安全，E-mail：qimadenanhai@sina.cn。