客机安全维系于驾驶员个体的可怕与组织系统的检讨

150401 李健

德翼客机副驾驶把门反锁上不让他人进到驾驶舱里，然后自己操纵飞机撞山。这是目前德翼客机坠毁最有可能的直接原因。他若是正常人，安全保障该没问题，问题是若他不正常呢？调查表明德翼副驾驶有抑郁症、眼疾病，是个偏执狂等，客机安全如维系于这样的驾驶员个体就相当可怕了（权当马后炮了）。

如其它事故一样，如果一个安全管理系统依赖经过培训合格、身心健康的操作员来作为预防重大灾难发生的唯一防线，那么该管理系统迟早会带来问题，因为系统中人是最不可靠因素，他会犯错、失误甚至是故意作为。

负责调查坠毁事件的法国国家民航安全调查分析局对该事件系统缺陷展开调查，应该说明了上述观点。检讨系统缺陷以预防类似事件发生，而不是把系统安全维系于驾驶员个体，这些可能的系统缺陷包括：（1）进出驾驶舱程序设计和相应的舱门开关装置设计，（2）驾驶舱最少人数制度，（3）以及用来发现工作人员独特心理特征的工作准则和程序，（4）甚至还包括检讨病人隐私保护与可能影响公共安全的矛盾，隐私保护到什么程度或范围？德翼副驾驶被医生查出不适合飞行，但医生却不能将病情告知航空公司，因为这涉及个人隐私。 

实际上，ICAO（国际民航组织）早在2013年修订的《安全管理手册》就提出了航空安全管理的新理念。

首先是在复杂充满变化的操作环境里，不可能将所有可导致不安全事件的因素都控制起来以实现绝对控制的目标。必须承认，没有人可以保证人类的行动或是人造系统可以绝对避免危险源和操作失误。所以安全是一个相对而非绝对意义的概念，安全风险被控制在可接受范围内，就可以认为系统是安全的。关键因素是组织系统的控制。

由此得出的结论是，安全管理是一种对组织全过程的管理，其目标是将具体操作环境中因危险源带来的安全风险处于组织控制之中。安全与否，取决于组织主体对整个组织过程安全风险管理的有效性，其中包括对人的管理。而人因素（如驾驶员或机组）只是航空运行整个组织过程的环节之一，尽管他们至关重要甚至是致命因素。

更进一步的解释，航空运行系统安全是由组织过程多层防御进行保护的，这使得某个环节或某个点的错误很难导致事故发生。设备漏洞或人因素并不是打破安全防御系统的原因，而是其诱因。组织系统先前做出的决策、计划、沟通、资源配置等防御因素，作为隐性条件一直处于休眠状态，而通常其并不被认为会有什么问题甚至是有害的，直到在某个具体操作环境中，其效果或者破坏性才被激发出来，而设备漏洞或人因素只不过是组织防御系统缺陷所埋下地雷的导火索而已。所以说，任何组织事故都存在两个因素，“埋地雷者”（组织）和“点火者”（个体或子组织）。

所以说作为关键因素的组织控制，组织主体完全可以采取防御设计来控制组织全过程，当然这种防御设计或是有缺陷而成为隐性的隐患条件，而组织的安全管理正是应该持续地监控组织过程、程序，从中识别和认定其中的风险因素，即加强组织系统防御，以避免显性条件的发生，因为正是隐性和显性的共同作用才导致了事故发生。所以，预防事故发生，是整个组织防御系统的责任，而不仅仅是个体或子组织的责任。

所以当前对德翼客机坠毁原因的调查，不要全被副驾驶涉嫌故意行为所遮掩，更应深入检讨作为组织的航空公司、航空业界乃至整个社会公共安全体系存在的缺陷，即如何防范驾驶员个体失去理智的极端行为，这是科学理性地事故分析。

参考资料

1、141221 中国民航飞行员协会对“伊春空难”之思考令人深思！

http://blog.sciencenet.cn/blog-903722-852827.html

2、中国民航管理现状和隐忧

http://www.calpa.cn/news_detail.php?id=52