双重预防机制

危险源和安全隐患不是按“能不能消除”来区分。危险源是可能导致事故、征候或一般事件等后果的条件或者物体，强调系统中客观存在的潜在危害；安全隐患是已经出现的违规，或者风险控制措施失效、弱化所形成的现实缺陷。危险源的基本形态可从定义理解为“条件”和“物体”；安全隐患按表现可见为人的不安全行为、物的危险状态、管理上的缺陷，按危害程度和整改难度再分为一般安全隐患、重大安全隐患。

重大危险源是《安全生产法》第117条规定的特定法律概念：长期或临时生产、搬运、使用或者储存危险物品，且数量达到或超过临界量的单元，包括场所和设施。安全风险是危险源后果或结果的可能性和严重程度。AC-398-03把“重大风险”定义为风险评价中被列为不可接受的风险，或者虽然被列为缓解后可接受、但相关控制措施多次出现失效的风险。重大安全隐患不是全部安全隐患，而是安全隐患分类中的一类：危害和整改难度较大，需要停产停业或经过一定时间治理才能排除，或者因外部因素难以由单位自身排除。另一类是一般安全隐患。

严格说，AC-398-03不是凭空创造一个新概念，而是统一民航术语并给出适用定义：统一使用“安全隐患”，再按危害程度和整改难度分成两类——一般安全隐患、重大安全隐患。这里是隐患分类，不是风险分级。一般安全隐患通常进入立即消除或临时等效控制、限期整改、效果评价的常规闭环；重大安全隐患触发停用或局部、全部停产停业，立即报告，制定专项治理方案，并在治理评估和审查同意后恢复。

第一道防线回答可能怎样失控、风险多大、先控制什么；第二道防线回答既有控制哪里失效、偏差是否形成、怎样闭环恢复。AC-398-03图2把“系统运行”画成两道防线的连接点：风险可接受后进入运行，运行中的报告、自查、审核、调查和监督又不断寻找控制裂缝；发现新危险源、控制失效或系统性缺陷时，再反馈到第一道防线重新分析和控制。

第一道防线的工作思路是：先用系统描述界定组织、流程、设施设备、运行环境、规章程序和内外接口，再用主动与被动方法识别危险源；随后分析可能后果、可能性、严重程度和现有控制，评价风险容忍度并分级；最后让等级决定控制强度、责任层级和应急准备。控制改变系统时要回到系统描述，按需启动变更管理；重新评价剩余风险可接受后，才能进入系统运行。

验证措施要跨过四层证据：第一，程序、设备、培训和记录证明措施已经实施；第二，现场行为、工卡日志、系统数据和外包接口证明措施正在真实运行；第三，控制目标、缺陷状态和剩余风险证明当前有效；第四，在重复周期、不同班次和运行条件、人员变化及系统变更后，仍保持在事先定义的可接受区间，才有持续有效的证据。任一层失效，都要根据严重程度加密观察、调整措施，或者立即控制并重新打开隐患、开展风险复评。

风险分级管控对应SMS的安全风险管理；隐患排查治理是安全保证的一部分。责任制为每项识别、控制、排查、整改、验证和升级动作指定责任、权限、资源和证据；三者应在同一个管理系统中运行。

CCAR-398-R1规定所有适用民航单位共同遵守的责任、双防和SMS闭环；CCAR-121把它落到大型飞机公共航空运输承运人的运行系统，CCAR-145把它落到维修单位的许可能力、质量系统和安全管理体系。专业规章不是另造一套双防，而是说明危险源在哪里识别、控制由谁执行、哪些记录证明控制有效。