航空安全概率思维及其应用

□ 中国民航科学技术研究院 霍志勤/文

航空安全管理中，常常面临复杂的认知和决策问题，在有限的数据或信息条件下，客观上需要对抗、克服直觉的偏见。这些问题常常涉及随机事件出现可能性的量度，无疑在概率论的范畴。本文以概率论为理论基础，探讨随机思想在民航业的应用，阐述航空安全必然性和偶然性的对立统一，从理性角度解释典型民航安全规律，旨在建立航空安全管理概率思维能力，探索概率推理和概率决策的知识和智慧。

航空安全的不确定性和随机性

航空安全既涉及不确定性又关乎随机性。

有一类现象，在一定条件下必然发生，例如航空器在空中停车必然下坠，大于临界迎角势必进入失速状态，此乃确定性现象。而不确定性现象，指在一定条件下试验或观察之前不知道可能出现结果的选项，更无法预知结果，例如苏城空难中3套液压系统全部失效航空器会发生什么情况？“5·12”汶川地震对民航西南空管局管制中心的影响？川航“5·14”航班风挡玻璃脱落后会遭遇什么？

还有一类现象，虽然事先不知道具体结果，但知道结果的选项，在大量重复试验中结果具有统计规律，称为随机现象。例如抛出一枚硬币虽然不知道是正面还是反面朝上但必居其一，又如航班在首都机场进场接收通播（ATIS）前不知道进近方式和落地跑道但是结果肯定在若干选项之中，落地后是停靠近机位还是远机位、如果是近机位又是几号廊桥，都是有选项的。

所以，不确定性和随机性最大的区别在于：事件可能出现的结果是否可知。不确定性是样本空间不确定，更不知道下一次会出现哪个结果。随机性是样本空间确定，不知道下一次会出现哪个结果。不知道可能的结果，就很难深入研究。只有知道全部可能的结果，才能分析它们的概率。概率论研究的是随机性，而不是不确定性。包括民航业在内，面对不确定性，往往需要灾难备援或应急策略。

航空安全中的率、频率、概率及频次

率：在一定条件下的比值，可以是不同量纲的数之比。

在概率论中，抛1000次硬币，600次正面朝上，称正面朝上的频率是0.6。如果将抛硬币的次数增加到足够大时，发现正面朝上的频率逐渐趋于稳定，这个值是0.5，是概率。由此可见，频率和概率是不同的概念。事件的概率是一个确定的客观的常数，频率是有限次数的试验所得的结果。当试验次数少时，频率的大小是波动的，当试验次数大时，频率稳定在概率附近。随着数据的增加，频率接近概率的可能性越来越大，数学上称之为“依概率收敛”。当然，事件的概率常常用频率予以估计。“概率”和“频率”都应是没有量纲的数值，取值区间是［0，1］。

频次：单位时间内出现的次数。

在国际民航安全领域，空中航空器与地面障碍物相撞的安全水平应小于10－7。这是一个安全指标，民航业习惯称之为“概率”，并不合适，准确说是一个“频率”。当然它也是一个“率”，指航空器每一千万架次的飞行中与地面障碍物相撞的次数不超过一次。空中航空器之间相撞的目标安全水平（TLS）是小于1.5×10－8次/飞行小时。这里，“次/飞行小时”，称为“频次”为宜，称为“率”亦可。国际民航组织Doc 9859（安全管理手册）中，安全绩效指标常常用“率”来刻画，如“x次跑道侵入/1000次起降”，当然“x次跑道侵入/1000次起降”也是“频率”。我国民航航空安全方案（SSP）中使用事故率（x次事故/100万架次）、亿客公里死亡率和每亿机载人次的死亡率等量化指标确定安全指标体系，皆为“率”，x次事故/100万架次也可称为“频率”。民航从业人员还常常听到类似这样的说法：“世界民航致命事故的概率是百万分之0.5”“中国民航致命事故的概率是百万分之0.11”，与其说是“概率”不如说是“频率”或“率”更为恰当。

“墨菲定律”

在航空安全领域，尤其是涉及人的因素时，“墨菲定律”耳熟能详：“但凡有可能出错的地方，就一定会出错。”这种“偶然中蕴含着某种必然”的现象是可以被证明的。在重复实验中，只要存在大于零的概率（即便该概率极小）且操作次数足够多，事件发生是必然的。

风险评价公式为：R＝P×S，式中R为风险，P为概率（频率），S为严重程度。“墨菲定律”关注的仅仅是小概率事件发生的必然性，不涉及事件后果的严重程度。如果严重程度低，风险可忽略。如果严重程度高，则不可心存侥幸，例如，一些高原机场桌面跑道，没有足够的跑道端安全区（RESA），即便发生飞机冲出跑道的概率小，但是一旦发生则严重程度是灾难性的，这类危险源不可轻易容忍，建议安装跑道拦阻系统（EMAS），控制风险。

“赌徒谬误”与“小数定律”

有的民航企事业单位连续发生安全事件，安全管理者只是觉得运气差，不从系统上进行改进，寄希望于“否极泰来”。民航业内还常常听到一种担忧，例如：“上一个安全周期是5000万飞行小时，我们已经突破了这个数据，目前正处于事故高发期。”这些都是不符合概率论的“补偿思维”，如同一个赌徒重复抛硬币，连续多次反面朝上，错误认为：下一次正面朝上的机会较大。“小数定律”认为，小样本和大样本的经验均值具有相同的概率分布，于是将从大样本中得到的结论错误地移植到小样本中，这违反了概率论中的“大数定律”。当然，有的赌徒是逆向思维：既然前几次都是反面朝上，下一次很可能还是反面朝上。须知，独立事件之间并不会相互影响。

事实上，如果样本数量比较小，那么极端情况都可能出现。相对“大数定律”而言，人们的生活以及民航安全管理更加容易对“小数定律”产生印象，滥用典型事件，信奉小样本，造成以偏概全的误判。

“大数定律”不会对已经发生的情况进行补偿，而是利用大量的正常数据，削弱部分异常数据的影响。正常数据越多，异常数据的影响就越小，直到小到可以忽略不计。而且整体不会对局部进行补偿，而是通过均值回归对局部起作用，如果一个数据和它的正常状态偏差很大，那么它向正常状态回归的概率就会变大。那些特殊、异常、极端的数据状态没法长期持续。

只有在数据无限的情况下，随机事件的概率才满足“大数定律”。但无限是个数学概念，现实中不存在无限。民航从业者没有“上帝”视角，观察到的数据往往都是局部，很难看见符合“大数定律”的整体。航空安全中的事故频率也都是局部的。无论一家航空公司记录了多少次飞行数据，都是有限次数的。当数据量少的时候，事件发生频率可能和真实概率相差很大。

民航应崇尚安全管理体系和坚持长期主义，这正是赌场庄家的概率思维模式。在安全管理体系（SMS）的摸索、建设和完善过程中发生不安全事件，也比毫无章法误打误撞侥幸避免不安全事件的发生，更有价值。民航安全管理的概率思维就是把局部的随机转化成整体的确定性，克服短期波动的影响，用长期视角来看待安全管理。

民航安全中的“黑天鹅”和“灰犀牛”

“黑天鹅”一般是指那些发生概率小但后果严重的风险事件，一旦发生其影响足以颠覆以往任何经验，不可预测。例如1983年8月31日大韩航空公司KE007航班被前苏联空军击落；2001年9月11日基地组织在美国劫持4个航班发动恐怖攻击；2014年3月8日马航MH370航班在南印度洋失踪。

“灰犀牛”比喻发生概率大且后果严重的风险事件，这类风险有发生变化或被干预的可能，可预测。例如国际民航界将“可控飞行撞地”“空中失控”“跑道安全”等列为需要重点关注的风险类别，正是“灰犀牛”的思维模式。

作为无法预知的意外事件，“黑天鹅”意味着不确定性，不在已有的样本空间里，没法计算它的概率，只有它发生了才会进入样本空间，其概率才能被计算或估计。而作为可以预见的潜在风险，“灰犀牛”是已知的，是随机事件，它很可能发生，只是不知道什么时候发生，这当然应是民航安全管理和运行人员的关注重点。

安全事件的因与果

民航安全管理，涉及到正向预防（例如危险源识别、风险评估、风险缓解）和逆向改进（例如安全事件调查）。

对于知道“原因”去推测某个“结果”的过程，本质上和掷骰子、抛硬币是一样的。这类概率问题是“正向概率”，适用全概率公式，化整为零，利用条件概率将复杂事件分割为若干互不相容的简单事件概率的求和问题。假设导致某类安全事件结果A的原因有B1，B2，B3……Bn，则A发生的概率：

以上，A是目标事件，或称为“结果”，公式的本质是概率的加法公式和乘法公式的综合运用，以“因Bi”为权重，对各“因”下条件概率P（A|Bi）的加权平均。全概率公式的“全”指的是对“结果”有贡献的全部“原因”，不能遗漏。

对于“结果”已经发生去推测背后的“原因”，则可以利用概率论中的贝叶斯公式。传统频率法视概率为特定事件无限重复的发生数量比，而贝叶斯哲学认为概率并不是客观存在的，它是个体对随机性的量化体验。即使在数据很少的情况下也可以进行推测，随着数据量的增大，推测会越来越准确。先设定先验概率，通过给定的信息来设定条件概率，再将先验概率转化为后验概率，后验概率=先验概率×调整因子，从而激发新的认知。已知在事件结果A发生的情况下，则促成因素是Bi的概率：

例如，A320机队在某高高原机场02号跑道进近着陆的QAR监控表明，当飞机稳定进近时，飞机结束滑跑冲程时距离跑道末端150米以上的概率为90%，而当飞机不稳定进近时，结束滑跑冲程时距离跑道末端150米以上的概率为30%。统计发现，该机型在该机场02号跑道稳定进近的概率为75%。某公司一架A320结束滑跑冲程时距离跑道末端225米，试问该机稳定进近的概率是多少呢？设A为事件“落地结束滑跑冲程距离跑道末端150米以上”，B为事件“稳定进近”。已知

稳定进近的概率0.75，是由以往数据统计得到的，是先验概率，而在得到该航班落地信息之后再重新加以修正的稳定进近概率0.9，是后验概率。有了后验概率，就能对稳定进近的情况有进一步的认识。当然，条件概率只代表统计意义上的相关性，并不能说明该航班一定是稳定进近。在调查中一旦直接证据缺失，它就是一个极佳的推断工具。在安全调查的结论中，国际上一般都会使用“可能（probably）”的字眼，留有余地，值得推崇。

在安全调查中，贝叶斯并不是局限于一次推理，可以是个反复的过程。每获取一个新信息，就进行一次推理，得到一个新判断，要么进一步证实，巩固判断；要么削弱判断，对之前的判断进行调整。2009年11月28日，一架MD11在上海浦东机场冲出跑道，初期不少专家依据既往经验推测事故原因为航班超载，并非毫无道理，随着调查发现的事实，最终认为最有可能的原因是机组操作失误。贝叶斯推理框架下，概率是对信心的度量，不是对客观世界的描述。不断微调，保持开放和积累，结果一定会和真实状况越来越接近。这种机理和调查员的人脑思维方式非常相似。

安全调查过程中，信息越充分，结果越可靠。结论随事实发生改变，不断逼近真相。当然，先验概率P（A）的设置越贴近现实越好，方法有三：一是相信历史数据；二是参考专家意见；三是平均设置概率。

调整因子必须客观。贝叶斯公式右边的“调整因子”，即P（B|A）/P（B）由P（B|A）和P（B）这两个数组成，必须找到具体的客观值，不能随意设定。

航空安全事件的概率分布

航空安全中，最重要的概率分布是正态分布和幂律分布，如图1所示，横坐标代表随机变量的取值，纵坐标代表发生的概率。

正态分布，也称常态分布，又名高斯分布。一般来说，如果一个变量接受诸多微小的独立随机因素的影响，那么这个变量极可能呈正态分布。例如，基于性能导航（PBN）运行的总系统误差由航径定义误差、导航系统误差和飞行技术误差组成，三者相互独立，总系统误差呈正态分布。若随机变量X服从数学期望为μ、方差为σ2的正态分布，记为N（μ，σ2）。正态曲线呈钟型，两头低，中间高。期望值μ 决定了其平均位置，其标准差σ 决定了分布的幅度。民航生产与科学实验中很多随机变量都可以近似地用正态分布来描述。例如，PBN运行时，定位精度就是按照2σ 的正态分布来确定的，表示航空器在至少95%的飞行时间在给定的定位点容差范围以内。Ⅰ类仪表着陆系统（ILS）的精度在DH处容忍2σ 误差，即侧向18.4米，垂直4.1米。机场廊桥被航空器占用的时间也是服从正态分布的。B777从北京首都机场到法国戴高乐机场的空中飞行时间也服从正态分布。

正态分布意味着偏差不大，绝大部分事件围绕着均值（期望）对称分布，不会包含特别极端的事件。例如：进场飞机在某机场04号跑道平均接地点距离跑道入口280米、标准差为50米，则68.27%的飞机接地点距离跑道入口介于（230，330）米之间，95.44%的飞机接地点距离跑道入口介于（180，380）米之间，99.73%的飞机接地点距离跑道入口介于（130，430）米之间。

正态分布曲线及面积分布图非常清晰的展示了重点区域，占68.27%，是主体，需要重点关注，此外95.44%甚至99.73%的区域则展示了其全面性。正态分布是升级民航安全管理重要的方法论，对理论和实践有较强指导意义。民航安全管理纷繁复杂，在千头万绪中不抓住主要矛盾，就会陷入无限琐碎之中，抓住重点才能纲举目张。六西格玛理论和方法是正态分布理论在质量管理方面的应用。

对于一个随机事件，数学期望描述的是长期价值，方差是随机结果围绕数学期望的波动范围。方差越大，说明波动性越大。一类安全随机事件的方差越大，可能的结果离期望值越远，就说明风险越大，航空安全管理的目标就是期望更高，方差更小。

幂律分布的函数为：y＝cx－r，其中x，y是正的随机变量，c，r均为大于零的常数。其函数形状是一个不断下降的曲线，数据波动大，从峰值开始急速下降，后面拖着一个长长的尾巴，因此也称长尾分布。幂律分布的影响因素并非独立，通常以正反馈的形式出现，绝大多数事件的规模很小，只有少数事件的规模相当大。

“帕累托法则”（“二八定律”）以及“马太效应”，都是幂律分布的体现。民航领域也常说：80%的事故集中发生在20%的飞行员身上。航空事故的网络传播效应、劫机事件、空中交通延误、航空安全信息报告、运输机场的吞吐量、机场的航线网络的通达性等都遵循幂律分布。

正态分布下，概率小的事件可忽略；在幂律分布下，需要关注大概率事件，有时还需要重视罕见事件。雪崩是典型的幂律分布，其核心是临界状态下细节的作用被无限放大（正反馈），一个本来只限于局部的小微因素在临界态下扩散到全局。在世界民航的历史上，一个细节的疏忽，导致一个航空公司的倒闭、重组，并不鲜见，但这很难有效预测。

幂律分布给航空安全管理的启示：（1）不要被平均数的假象蒙蔽。（2）按照安全管理的价值分配资源。（3）对一件事情起决定作用的，往往是少数几个因素，而其他大部分的因素都无关紧要。（4）虽然极端数据出现的概率很低，但这个概率永远不会趋于0。其中，（3）和（4）是矛盾的，视场景取舍。

结语：

1.从相关概念的辨析入手，剖析了“墨菲定律”“赌徒谬误”“大数定律”的数理逻辑，探讨了民航业防范“黑天鹅”与“灰犀牛”的策略，介绍全概率公式及贝叶斯公式在安全生产因果关系中的应用，并基于正态分布和幂律分布给出安全管理思想。

2.局部什么时间什么地点发生事故或征候，是随机的，是浅层次的，但整体上民航系统的事故率、征候率、事故数量等，却是大致确定性的，是深层次的。相信安全管理体系建设，持续改进，坚持长期主义，就是概率思维的体现。

3.无论是安全管理者还是运行人员，都需要遏制直觉的偏见，用概率思维的理性对抗直觉。提升民航安全水平，就是要创造有利条件，增大条件概率。