民航不安全因素联动对空难事故的影响——基于45起案例的清晰集定性比较分析

赵礼强， 潘 杰， 张子辰

(沈阳航空航天大学经济与管理学院， 沈阳 110136)

飞行安全是民用航空的第一追求和永恒主题，确保飞行安全是民航的头等大事。在航空领域，国际民航组织(ICAO)将安全定义为一种状态，即通过持续的危险识别和安全风险管理过程，将对人员伤害或财产损失的可能性降低并保持在可接受的水平或以下的状态[1]。近年来，民航飞行事故率较低，但事故伤亡率极高，一旦发生飞行事故鲜有生还，因此对安全管理造成的压力仍然不容忽视。飞行事故遵循事故链的概念，并非单一因素造成，往往是一连串差错或事件紧密耦合、复杂交互的后果。发生在驾驶舱内的飞行员显性差错对航空系统有直接、即时的影响，而诸如飞行员错误决策等可能是具有潜伏性的，其结果对飞行的潜在危害存在较长时间的延滞。单凭其中某个环节难以导致可怕后果，因此需从整个系统的角度来解释导致事故的原因。然而民航安全管理难以通过仿真实验模拟出人、机、环失效的诸多情况，因此亟待探索一种新的方法来分析导致空难事故的关键路径。

现有文献对于航空安全管理的研究主要聚焦在三个方面，一是飞行风险管理与安全风险评价。民航飞行安全风险评价研究主要有四个方面：典型不安全事件的原因分析、风险评价及预测研究，如可控飞行撞地、重着陆、冲偏出跑道等[2-4]；应用不同评价方法，包括专家打分分析[5]、综合集成赋权[6]、神经网络分析[7-8]、动力学仿真分析[9]、物元分析[10]等；安全风险评价[6， 11-12]以及安全评价指标体系研究[1,5,8,12]。国外对于安全管理的研究集中于评价方法，常用的方法包括层次分析、灰色理论分析和贝叶斯网络分析等[13-14]。中国众多学者通过建立人、机、环境、管理四个要素的指标体系对事故、事故征候进行事后分析，评价方法以定性为主、定量为辅，结合定量与定性方法的研究有限。二是专注飞行事故的人为因素研究。国外学者从工程、技术、管理角度在航空人因领域开展了大量研究，以SHEL模型、Reason模型以及HFACS模型作为中国外事故人因研究的基础框架。Wiegmann等[15]应用HFACS模型系统研究与商业航空事故相关的因素。Han等[16]基于SHEL以及Reason模型建立一种易于使用的民航机务人因分析模型。Feng等[17]设计飞行仿真环境下的飞行员交通模式任务，实现飞行员工作量预测并改进评估方法。Kharoufah等[18]将定性的商业运输事故数据记录在数据库中，对航班类别进行编码统计，确认人为的情景意识以及不遵守程序是造成航空事故的主要因素。Damien等[19]依据HFACS框架识别出地形控制飞行(CFIT)航空事故的人为因素。中国航空人因研究起步较晚，罗晓利[20]首次根据HFACS和Reason模型对152起飞行事件的人因进行分类统计。吴亚荣等[21]增加了“组织计划”致因要素，调整了“组织管理”致因要素，提出了一种改进的HFACS航空人因事故致因分析模型。王新野等[22]探究自动化水平、飞行员的过度自信以及过度依赖所引发的航空安全事故和事故征候。王燕青等[23]对飞行机组在飞行过程中的团队情境意识进行实验研究，提出基于交互认知模型的飞行员团队情境意识测量方法。靳慧斌等[24]通过回顾主流的情境意识理论模型，指明了情境意识从个体、团队到系统的研究方向及趋势。中外事故人因工程研究成果颇丰，覆盖飞行机组、机务维修及空管后勤等人员，从多角度、多途径探究可能影响安全的行为或动机，但联合考虑人机环管因素对事故影响的研究较少。三是基于不同理论模型进行事故分析及预测，注重从整个系统的角度来解释事故。Carvalho[25]使用FRAM模型研究空中交通管理系统关键弹性特性。高扬等[26]利用改进后的FRAM模型对公务航空飞行事故进行量化分析，找到功能模块间的失效连接，确定事故主要原因。梁文娟等[27]应用差分自回归移动平均模型(ARIMA)、最小二乘支持向量机模型(LS-SVM)和BP神经网络模型(BPNN)的组合模型，对航空公司运输的月度飞行事故征候万时率进行预测分析。Bandeira等[28]建立了一个考虑飞行员能力以及组织、环境等通用的事故分析模型，通过贝叶斯网络技术量化要素指标，甄别关键因素。

目前，飞行安全管理研究多以建立不同飞行过程定量评价模型为主，计算安全风险等级；而定性分析多以单一案例为分析对象，结合定性与定量方法的研究鲜有。此外，航空事故分析多从人因角度深度剖析，未形成针对民航事故的多因素理论模型。而且现有研究多考虑因素的净效应，忽视飞机失事是多种潜在因素联动的后果，FRAM模型虽然可以避免将事故视为单个事件的有序发生或潜在因素的层级叠加，但较为关注变化以及系统的动态性，只适用单一案例的原因分析，不能对事故进行量化分析。因此，现从事故致因多角度考虑，创新地将管理研究方法引入航空安全科学领域中，收集质性事故案例，建立量化因素指标，采用定性与定量相结合的方法对多个案例事故分析统计，提炼关键因素，找出诱发事故的关键路径，对飞行安全管理具有指导意义。

1 模型构建

民航飞行系统是一个复杂的动态系统，涉及人、机、环、管四大子系统，在安全上存在诸多潜在风险。根据系统工程理论，将制约飞行安全的影响因素分为四类：人为因素、设备因素、环境因素和管理因素。根据现有民航安全研究，学者多以人为研究焦点，辅之以其他因素作为分析不安全事件的模型。在航空事故和人因研究中，使用最为普遍的是Edwards于1972年提出的SHEL模型，该模型描述了以人为中心，由软件、硬件、环境构成的工作系统和交互界面，提出系统都是整合一体的，人和其他要素间的交互界面是易于出现问题的地带，当交互界面不匹配时，人的差错就会产生。1990年，Reason首次提出事故致因的“瑞士奶酪”模型(Reason模型)，该模型提出系统缺陷共同作用导致事故，当组织所有层次的缺陷同时出现，失去多层次的防御保护才会诱发事故发生，但不同层次的具体缺陷没有被指出，没有说明事故调查中如何查找这些漏洞。因此，以Reason模型的理论为基础，借鉴SHEL模型中对人、机、环、管的解释，建立完善的民航事故联动致因模型，如图1所示。

图1 民航事故联动致因模型Fig.1 Interative causation model of civil aviation accidents

2 研究设计

2.1 研究方法

定性比较分析法(qualitative comparative analysis，QCA)最早由Ragin提出，是一种适用中小样本案例研究的分析方法，该方法关注结果如何发生，借助集合论和布尔代数等手段，通过多案例比较分析来确定简洁的因果联系，广泛应用于管理学、社会学、政治学等社会科学领域研究[29-33]，在自然科学中的应用也迅速发展，已有学者将QCA方法应用于事故、灾害等安全科学领域研究[34-35]。

QCA的主要特点是针对复杂诱因案例，融合定性方法的案例取向和定量方法的变量取向，结合案例内或跨案例分析比较，从集合的视角看问题，服务于提炼模型与验证理论[36]。在方法论上，尤为适用于案例数量为10～60的比较研究[32-33]。涉及案例数量较少、诱发结果的前因条件复杂多样，且考虑到已有研究对航空事故的致因讨论充分，但未从多案例角度考虑多种不安全因素联动效应，探究诱发事故的多重路径，而QCA 为此类问题提供新的思路与方法支持。此外，结果变量为“是否发生事故”“是否发生重大事故”，属于二分取值，需采用清晰集定性比较分析(crisp-set qualitative comparative analysis，csQCA)。

2.2 案例选择

以空难事故及事故征候作为研究案例，数据来自美国国家地理纪录片《Air Crash Investigation》(第1季～第18季)、民航安全科学研究所《世界民航事故调查跟踪》以及《民用飞机事故/事故征候统计与分析手册》。收集案例数目较多，通过如下筛选标准来确定初始研究样本：①事故及事故征候发生对象为客运航班，不包括货运航班和通用飞机；②由于研究空难致因具有时效性，仅包括2000—2018年发生的事故；③排除民航空难事故中由于外力因素致使飞机坠毁的案例，例如鸟击、飞机相撞、恐怖分子劫机和在飞机安置炸药等因素造成的飞行事故；④从研究问题出发，选取由复杂前因耦合交互导致事故的案例。经过上述步骤以及剔除数据缺失(事故原因未经查明)的样本之后，最终获得了民用客运航班于2000—2018年期间发生的45起不安全事件。

2.3 变量设计

2.3.1 结果变量设计

以飞行事故是否发生以及事故等级是否为重大作为结果变量，讨论从不安全因素到事故征候再到重大事故的解释路径。根据国标《民用航空器飞行事故等级》(GB14648—1993)界定，航空器失踪、损坏或有人员伤亡表示事故发生，并将事故划分为3个等级：特别重大、重大和一般。拟将特大与重大航空事故归纳为重大空难，凡属下列情况之一视为重大空难：①飞机失事造成人员死亡；②航空器失踪，飞机仍留有乘客或机组人员；③航空器严重损坏或迫降在无法运出的地方[37]。而事故征候不是事故，是与航空器操纵使用有关、不构成事故但影响飞行安全的事件。共收集案例45起，重大空难16起，一般事故10起，事故征候19起。据此，以45起案例为研究样本，将发生事故编码为1，事故征候编码为0；以26起事故案例为样本，将重大空难编码为1，一般事故编码为0。

2.3.2 条件变量设计

本文条件变量设置参考SHEL模型以及已有文献梳理出的事故致因，结合观察到案例的实际情况对条件变量设置作了适应性调整，最终提炼出航空事故的不安全因素共分为环境因素、机器因素、管理因素和人为因素4个维度9个变量，具体定义如下：

(1)环境因素维度。

恶劣环境(weather)：主要指气团、锋面、雷暴、下冲气流、低空风切变、结冰、湍流等异常的外部环境和使体感较差的驾驶舱环境。有恶劣环境出现编码为1，没有编码为0。

(2)机器因素维度。

机械故障(aircraft)：指飞机的机翼、机身、尾翼、起落装置和动力装置出现疲劳、老化、腐蚀、异常磨损等问题。存在机械故障编码为1，无机械故障编码为0。

维修差错(maintenance): 指设备和零部件等设计不合理或维修缺陷引起的安全隐患以及维修人员工作过失、遗漏造成的不安全状况。通常包括非正常维护导致的设备故障、维修工具设备缺失或缺陷、设备设计缺陷[38]。存在维修差错的编码为1，不存在编码为0。

(3)管理因素维度。

企业管理失误(management)：主要指航空管理局机构或航空公司的管理制度、操作手册完善制度、安全文化管理、人力资源管理失误等。包括安全文化管理出现松懈、飞行人员工作时间或权利梯度匹配不合理等安全隐患。存在管理失误编码为1，不存在编码0。

空管差错(atc)：空中交通管制差错。包括空管系统的时效性差以及空管工作人员的调配、信息传达过失等不安全因素。出现空管差错编码为1，未出现编码为0。

(4)机组人为因素维度。

机组协调障碍(coordination)：指人际交往中的内部和外部影响。主要包括机组分工弱，缺少团队合作、信息沟通不及时或不准确以及冲突解决不恰当等。出现机组协调不当编码为1，未出现编码为0。

机组人为差错(human)：机组人员显性的操作差错，包括机组人员的决策差错、技能差错、知觉差错以及习惯性或偶然性的违规操作。案例中出现人为差错编码为1，未出现编码为0。

驾驶员疲劳(fatigue)：主要指机长和副驾驶睡眠不足、身体或脑力负荷量过大引起较差的情景意识。机组疲劳编码为1，无疲劳状况编码为0。

机组生理心理缺陷(physiological and psychological)：主要指操作人员身体智力局限、精神状态、生理状态差、社会/心理压力过大或性格极端等不利于飞行安全的因素。机组存在此种缺陷编码为1，不存在编码为0。

2.3.3 真值表构建

在确定对结果变量及条件变量取值进行二分处理的基础上，以观察到的案例为依据，逐一确定所有案例在各条件变量上的取值情况，形成作为QCA分析基础的真值表。由于结果变量不同，可生成两种真值表，以事故发生为结果变量，显示了与45个被观察到案例相对应的32种组态；以重大事故为结果变量，得到与26个事故相对应的22种组态。

3 数据分析

3.1 单因素必要性和充分性分析

根据QCA方法的要求，在讨论结果变量的前因组合路径前，首先进行前因变量的必要性和充分性分析。遵循已有研究，对于单因素必要性分析，若某一前因条件的必要一致性大于0.9，则该因素是必要条件；对于单因素充分性分析，若某一前因条件的充分一致性大于0.8，则该因素是充分条件，即此因素构成了解释结果的一种路径，通常得出的充分条件不宜再纳入组态分析中[36,39-40]。表1是结果变量为空难事故发生时的单因素必要性和充分性分析结果，表2是结果变量为重大空难事故发生时的分析结果。

表1 空难事故发生的单因素分析

表2 重大空难事故发生的单因素分析

由表1可见，9个单因素的必要一致性都低于0.9，因而都不是事故的必要条件，即空难事故的发生不一定必须由于某个不安全因素造成；“维修差错”“机组协调障碍”的充分一致性大于0.8，因而这两个前因条件构成民航事故的充分条件，覆盖率分别为0.27、0.23，即能够解释约27%、23%的事故案例，即从案例范围看，存在维修差错或机组协调交流不当的飞行容易造成空难事故。

由表2可见，9个单因素变量中也不存在必要一致性大于0.9的前因条件，因而也都不是重大空难的必要条件；充分一致性大于0.8的单因素包括“恶劣环境”和“驾驶员生理心理缺陷”，因此，这两种不安全条件是导致重大空难发生的充分条件，并分别解释了63%和19%的案例。

3.2 充分条件组合分析

在充分条件组合分析时，分别讨论事故和重大事故的致因组合。应用fsQCA3.0软件对充分条件的分析结果有复杂解、简单解和中间解三种解，复杂解由于没有简化，所得构型较多，不利于随后的路径分析；简约解由于将简单反事实与复杂反事实分析都纳入到简化过程中，所得简约解很可能与现实不符，而且重要的必要条件可能会被精简掉[33,40]。故而，选取中间解，辅之以简约解，并将具有相同简约解的组态归为一类。覆盖度(coverage)是QCA研究中衡量经验相关性的指标，反映组态的经验切题性或重要性，类似于回归中的R2[31,41]。此外，鉴于以探究事故致因组合为重点，在软件运行得到中间解时，只显示各因素出现的情况。

3.2.1 事故发生的路径分析

以发生空难事故作为结果，得到10个中间解、7个简约解，将具有相同简约解的组态进行简单聚类，结果如表3，总体一致性为1，总体覆盖度为80.77%。由结果可知组态A、B、E与前文单因素充分性分析一致，即“维修差错”“机组协调障碍”是事故的充分条件，构成结果的解释路径。因而含有“维修差错”和“机械故障”的解将不再纳入组态分析。排除含有这两种不安全因素的路径后，得到诱发事故的四条组合路径，分别是组态C、D、F、G。

组态C，指恶劣环境、人为差错以及驾驶员疲劳，在无管理差错的条件时也会造成事故，覆盖率为7.7%。表明由环境因素与人为因素相结合的条件变量组合是导致事故发生重要的前因条件。如复兴航空222号班机事故，飞行途中遇台风暴雨等极端天气，驾驶人员由于长期超负荷飞行，精神懈怠而无视警报系统对最低高度的提醒，在没有看到跑道的情况下坚持降落，造成48人遇难。迪拜航空FA885事故飞行中遇暴雨强风，且机长错误关闭飞机自动驾驶系统，造成机上人员全部遇难。恶劣环境是人为差错的重要前提，人为差错是极端环境最可能的表现形式，两维度因素耦合对飞行安全具有极大的威胁。

组态D，空管差错与机组人为差错组合的组态，即使在天气良好与设备完好的条件下也会出现事故。由于空中交通管制对天气状况以及所在空域的飞机数量、飞行状态有着全面的监控，机组人员对飞机的飞行姿态与飞行方向有着绝对的控制。当空管与机组人员同时出现差错时，飞行方向与飞行系统同时遭到威胁，事故发生的概率极大。

组态F，当环境、机器、管理都不出现异常时，驾驶员生理心理问题对航空飞行具有致命的威胁。具有代表性的案例是“德国之翼航空9525号航空事故”，2015年3月24日，德国之翼航空9525号班机的副驾驶患有严重的精神抑郁，在飞行过程中蓄意将飞机坠毁，造成机上150人全部丧生。

组态G，飞机存在故障、管理有失误、机组人员出现差错时，空难事故会发生，表明空难事故可由机器、管理和人为三个维度因素共同发生不安全事件所引起。飞机设备出现故障，前期飞行员往往无法察觉，导致错误决策，当意识到飞机故障后，又由于较差的情景意识，无法做出适应变化的安全动作，造成事故。情景意识指对一定时间及空间环境内各要素的感知、对其含义的理解和对未来状态的预测，可以通过寻求有效的培训方法提高飞行员情景意识水平，因此管理失误也是事故发生重要的前因条件。

3.2.2 重大空难发生的路径分析

引发重大空难的组态包括6个中间解，3个简约解，结果如表4，总体一致性为1，总体覆盖度为81.25%。由结果可知组态a1、b1、c满足前文单因

表3 发生空难事故的不安全因素组态

表4 发生重大空难事故的不安全因素组态

素充分性分析得出“恶劣环境”“驾驶员生理心理缺陷”是重大空难事故的充分条件，排除两项前因条件的组态，得到导致事故等级较高的路径有3个，分别是组态a2、b2、b3。

组态a2，机械故障*管理失误*机组人为差错的组态会导致重大空难事故，组态构型与前文组态G相似，但“核心条件”较不同，Fiss将同时出现在中间解和简约解中的条件定义为“核心条件”，将只出现在中间解但被简约解排除的条件定义为“边缘条件”[33]。组态a2的核心条件为“机械故障”和“机组人为差错”；组态G则为“机械故障”与“管理失误”。由此可见，区别于一般事故，机组人为差错因素是导致重大空难发生的核心因素。复兴航空235号航班由于电路板焊点断开，系统判定扭矩低于预定数值，触发自动顺桨，造成2号引擎无法提供推力，当机组人员意识飞机故障后，没有执行起飞后引擎熄火程序检查，机长未进行交叉检查就错误收回1号引擎，导致飞机失速，经事故调查机长并不习惯驾驶带有自动化系统的ATR72-600飞机且有模拟训练中重要指标不及格的记录，飞行员管理存在漏洞。三维度因素若缺少任一因素都可避免重大事故发生，即重大空难是三者相互联动的后果。

组态b2和b3表示当出现空管差错和机组差错或维修差错和管理失误时，会发生重大空难事故，分别与组态D和组态A2的结果相同，表明出现b2、b3两种组态解时，飞行事故一旦发生，就是伤亡率极高的重大事故。另一方面，从解的形态发现，当多种显性因素组合时，容易导致事故，如“武汉航空WU343事故”和“戈尔航空1907号班机事故”；当多种隐形因素组合时，也容易造成事故，代表案例为“中西航空5481号班机事故”，5481号航班存在两个致命的潜在故障，联邦航空总署未更新乘客及行李平均重量，过高估计机体可接受程度，导致起飞后起落架的重量从机鼻向后移至机尾，造成重心失衡，与此同时，由于维修人员错误调整飞机升降舵角度，造成机组无法靠升降舵压下机鼻而失去控制飞机的能力。此组态覆盖率较低，是否适用于更多案例有待进一步验证。

3.2.3 变量整合分析

在进一步阐释空难事故的多因素组合路径时，由于事故因素的多样化，要对其整体把握就需要提炼一个核心的问题聚焦点，需要对多重路径进一步归纳处理，可采用变量整合的方式[36]，如表5依据前文对条件变量的操作化定义按照“主观-客观-制度”进行三分归类，其中，人为因素、空管差错和维修差错来自主观因素，恶劣环境、飞机故障属于客观因素，管理失误属于联合主观和客观的制度因素。

表5 变量整合

用整合后的变量分别置换前面得到的4条事故发生路径，得到事故发生的4种模式：①客观*主观；②主观*主观；③客观*主观*制度；④主观。同样，得到重大空难的3种模式为：①客观*制度*主观；②主观*主观；③主观*制度。

综观以上路径，可以得到两点启示。一是主观因素是导致空难事故最核心的因素。由案例所示，主观差错渗透在每一场事故中，是民航飞行安全最致命的威胁。此外，可以避免或消除的客观因素可能会造成相对轻微的航空事故。二是对比一般事故，管理制度问题更容易对重大事故构成隐患。上层管理部门的不当决策不仅会给监督实践带来直接的不利影响，也会影响操作者的行为和状态，难以被发现的隐形差错多数隐藏在与组织影响相关的事件中。民航企业缺乏明确的安全政策，对员工的安全培训不健全、未真正重视安全管理机构的重要性、缺乏安全建议受理部门等制度管理问题始终是航空安全潜在的威胁。

4 结论及建议

基于现有民航安全研究，运用CSQCA方法对45起事故案例进行分析，试图发现事故的一般规律，探索导致空难及重大空难的不安全因素组合。理论上，应用组态视角丰富了民航安全及事故致因研究，适用于事故调查从多个维度展开，尤其针对处于调查瓶颈期且致因较复杂的事件。每次失事都会让飞行更安全，从多个事故案例总结经验避免重蹈覆辙是保证民航安全的重要举措，据此，形成以下初步结论。

空难事故是多种因素相互联动作用的结果。当许多差错或事件连成一串时，飞行事故便会诱发，在这些事件叠加在一起之前排除掉一个差错事件，就可以预防事故的发生。民航飞行在具有不安全因素的前提下存在事故征候、一般事故、重大事故三种结果，不安全事件并非单一因素造成的，而是多种因素相互依赖、共同起作用的情形。通过构建“人机环管”的民航事故联动致因模型，探索事故及重大事故的组态，表明差错和事故的预防需要将多种方法和途径并用，而非仅仅采用单一途径。

引起事故与重大事故的充分条件不同。QCA的主要功能之一是探索条件变量和结果变量的必要性与充分性关系，研究对“人机环管”模型下9个不安全因素是否构成空难及重大空难的必要或充分条件。必要性分析结果表明空难或重大空难不是必须由某个单一条件造成。充分性分析表明“维修差错”“机组协调障碍”是事故发生的充分条件；“恶劣环境”和“驾驶员生理心理缺陷”更容易造成重大空难。表明改善飞行员质量对现代民航至关重要，完善的飞行员选拔制度，不仅需要考察生理状况、心理运动能力和认知过程，也需要考察个性品质、情绪稳定性、态度和飞行动机等一些非智力因素。改善整个飞行员队伍的质量，加强机组资源管理，提高机组应对紧急情况的能力，是确保飞行安全的必由之路。

通过对案例事故的组态分析，验证了空难事故有多条致因路径，解释了飞行事故的复杂性，并通过整合变量提炼问题的核心聚焦点，针对研究结论提出飞行安全的建议。

(1)改善软件、硬件和环境界面与人的匹配度。SHEL模型中与人构成界面的各要素都是不平整的，要减少人的差错，关键一步是要改善这些界面与人的匹配程度。操作系统设计要考虑飞行员出差错时亦能有机会修正，而不至于因一次差错便导致灾难。驾驶舱软件包括了大量的飞行所需的非物理因素，对人-软件界面要素性能的改善可以减少人的差错。任务的设计应避免应激情景或其他与认知机制不适合的任务对人施加过高工作负荷。驾驶舱内外环境因素会对飞行员产生应激而诱发人的差错，需要设计和制造更完善的驾驶舱环境，另一方面飞行员也应对自己所工作的驾驶舱环境有足够的认识。

(2)完善安全管理体系。将资源合理分配，实施民航在飞行过程中的风险识别与风险控制。由于人为差错无法被全部预防，所以必须有针对性地检测差错和从差错中恢复的培训，对飞行员的评价也应该考虑差错管理、机组资源管理(沟通、决策、团队建设，机组监控)、工作负荷量管理以及情景意识管理等，是民航企业重要的风险管理办法，可以有效地控制民航事故尤其是重大事故。