观察到运行改善FAA / 美国 · 2006—2010 · 官方项目评估
FOQA 季度反馈后，运行超限率持续下降
一个很小但很完整的安全保证闭环：测量偏差、解释风险、反馈给操作者，再用同一时间序列检查行为是否改变。
展开事实、结果与来源：FOQA 季度反馈后，运行超限率持续下降
- 信号 / 事实
- FOQA 记录到可重复测量的飞行参数超限，而小型运营人又担心项目成本和数据被用于追责。
- 风险与断点
- 低频事故无法及时反映不稳定飞行状态；如果数据只被收集、不反馈，或被人员视为处罚工具，反馈回路就会断开。
- 控制 / 决定
- 持续采集 Learjet 60 飞行参数，把去标识化的超限趋势、风险含义和避免策略按季度反馈给飞行员。
- 结果 / 验证
- FAA 的月度时间序列分析显示，季度反馈后所分析的超限率出现统计显著且持续的下降；83 名飞行员的调查也显示他们同时看见了价值与数据误用风险。
- 可迁移认识
- 措施验证不是整改后看一次，而是持续测量同一控制所对应的运行信号，并把结果再次送回人员和管理者。
证据边界：单一政府小型运营人、单一机型且没有随机对照；结果是超限率变化，不是事故率变化，也不能自动外推到所有航空公司。
结果与归因混合FAA / 美国 · 1994—2024 · 官方运行统计
截至 2024 年，46 个受保护机场没有发生风切变事故
这不是“消除危险源”的案例，而是把不可消除的天气危险转化为可探测、可告警、可规避的运行风险。
展开事实、结果与来源：截至 2024 年，46 个受保护机场没有发生风切变事故
- 信号 / 事实
- 20 世纪多起风切变事故暴露出机组和管制缺乏及时、位置相关的危险天气信息。
- 风险与断点
- 雷暴和微下击暴流无法被机场消除，低空风切变可能在起降阶段迅速超过航空器能量和操纵裕度。
- 控制 / 决定
- TDWR 实时探测微下击暴流、阵风锋和风向突变，把警告送给管制员和机组；FAA 同时用寿命延长计划处理软硬件老化。
- 结果 / 验证
- FAA 在 2024 年 11 月更新的资料中表示：自 1994 年投用以来，当时 46 个受 TDWR 保护的高容量机场没有发生风切变事故。
- 可迁移认识
- 危险源仍然存在，组织要维护的是探测、告警、决策和设备可用性构成的多层屏障；长期无事故反而要求继续验证屏障。
证据边界：风切变事故低频；机载预警、训练、程序和气象服务也同步改进，不能把长期无事故全部归因于一部雷达。
观察到运行改善FAA / 美国 · 1996—2025 · 官方运行统计
EMAS 在 22 次真实事件中接住了冲出跑道的航空器
它验证的不是“风险表填完了”，而是屏障在 22 次真实触发条件下有没有接住后果。
展开事实、结果与来源：EMAS 在 22 次真实事件中接住了冲出跑道的航空器
- 信号 / 事实
- 跑道冲出风险持续存在，而部分机场的物理边界无法通过扩地解决。
- 风险与断点
- 水体、公路、地形和城市空间使部分机场无法在跑道端建设标准长度安全区，冲出后可能撞击障碍物或坠落。
- 控制 / 决定
- 在不能提供标准跑道安全区的跑道端铺设可压溃材料，使冲出跑道的航空器轮胎下陷并快速减速。
- 结果 / 验证
- 截至 2025 年，FAA 记录 EMAS 在 22 次真实冲出跑道事件中拦停航空器，涉及 432 名乘员，没有人员死亡且航空器损伤较轻。
- 可迁移认识
- 预防事件发生的控制与限制后果的控制不是一回事。关键风险应同时设计预防屏障和后果缓解屏障。
证据边界：没有同一事件的反事实，不能说 432 人在没有 EMAS 时一定都会伤亡；EMAS 也不防止航空器首先冲出跑道。
结果与归因混合FAA / 阿拉斯加 · 1999—2006 · 官方项目评估
Capstone 的改善来自组合控制，而不是一件设备
把航空器设备、地面站、气象、程序、训练和搜救信息看成一个系统，才看得见风险为什么可能下降。
展开事实、结果与来源：Capstone 的改善来自组合控制，而不是一件设备
- 信号 / 事实
- 阿拉斯加通勤与空中出租运行的事故风险长期显著，需要跨组织、跨设施的系统干预。
- 风险与断点
- 偏远地区地形复杂、天气多变、雷达覆盖不足，单个机组很难只靠传统信息维持完整情景意识。
- 控制 / 决定
- 约 200 架航空器装备 GPS、ADS-B 和地形/交通/天气显示，同时建设地面站、气象站、GPS 进近并培训飞行员、管制员、检查员和维修人员。
- 结果 / 验证
- 公开评估报告称 2000—2004 年装备航空器事故率下降 47%；早期 Y-K Delta 的下降幅度也高于同期阿拉斯加其他地区，但报告明确保留归因限制。
- 可迁移认识
- 系统改进不是购买一个软件或设备；控制效果来自人、技术、程序、信息和地面基础设施同时接通。
证据边界：项目同时改变设备、地面基础设施、进近程序、气象信息和训练，装备对象也可能存在选择差异；47% 不能归因于 ADS-B 单一设备。
结果与归因混合FAA / 美国 · 1997—2008 · 官方运行统计
CAST / ASIAS 把分散信号变成行业级控制
这是国家和行业尺度的反馈回路：共享信号、共同判断风险、形成控制，再由组织和监管者分别验证。
展开事实、结果与来源：CAST / ASIAS 把分散信号变成行业级控制
- 信号 / 事实
- 20 世纪 80—90 年代一系列事故促使监管者、航空公司、制造商和员工组织共同寻找事故前的弱信号。
- 风险与断点
- 事故越来越少后，单个运营人难以只靠自身事故识别系统性风险，数据分散又会掩盖行业共同信号。
- 控制 / 决定
- CAST 分析行业事故链，ASIAS 汇集飞行数据和自愿报告，形成安全增强措施；运营人评估实施，FAA 检查员再跟踪是否进入 SMS。
- 结果 / 验证
- FAA 报告 1998—2008 年美国商业航空致命风险下降 83%，受控飞行撞地、风切变和检查单遗漏等传统事故原因大幅减少。
- 可迁移认识
- SSP 与 SMS 协同不是上级发文件、下级填表，而是行业信号、共同分析、组织控制和监管跟踪之间的双向反馈。
证据边界：FAA 明确说明新飞机、法规和其他活动同时发挥作用；不能把 83% 下降归因于 SMS、CAST 或 ASIAS 中的任何单一环节。
观察到运行改善FSF / 商务航空 · 2006—2009 · 行业运行统计
不稳定进近率下降，但部分子指标反而恶化
这是“别只看总分”的案例：总体趋势变好，并不表示每一个关键风险都在下降。
展开事实、结果与来源：不稳定进近率下降，但部分子指标反而恶化
- 信号 / 事实
- 飞行数据持续出现多种进近与着陆超限，需要判断哪些屏障正在改善、哪些仍在恶化。
- 风险与断点
- 低频事故不足以判断进近着陆控制是否退化，而聚合总分又可能掩盖局部风险转移。
- 控制 / 决定
- 持续汇集商务航空飞行数据，把下滑道、速度、襟翼、起落架和下降率等超限拆开观察，而不是只给一个总分。
- 结果 / 验证
- 不稳定进近率由 12.8% 降至 4.5%，总体运行超限率由 20.7% 降至 12.8%；但高下降率和部分 GPWS 子指标并未同步改善。
- 可迁移认识
- 总体指标改善时仍要查看子屏障；一个平均数好转，不能覆盖另一个关键参数正在恶化。
证据边界：参加单位自愿加入、样本构成会变化，且没有公开完整的同期控制组；不能由领先指标下降直接推出事故率下降。
结果与归因混合EASA / 欧洲 · 2023 年运行 · 官方运行统计
事故率下降与报告量增加可以同时发生
这是一张区域结果面板，而不是某一项 SMS 措施的成绩单。它展示了 EASA 怎样同时看运行结果与报告能力。
展开事实、结果与来源：事故率下降与报告量增加可以同时发生
- 信号 / 事实
- 欧洲需要在跨国家、跨运行领域的数据中识别系统性风险并持续校正行动重点。
- 风险与断点
- 只看事故数会忽略暴露量和报告能力，只看报告量又可能把更好的安全信息文化误读为风险上升。
- 控制 / 决定
- EASA 以年度安全回顾、风险组合和 EPAS 行动持续监测区域系统，并把行动实施与 SPI 反馈接回欧洲安全风险管理。
- 结果 / 验证
- EASA 记录 730 万架次运输飞行无 EASA 运营人致命事故；机场与地面运行事故及严重征候率降至每百万起降 1.7 起，同时报告量较 2019 年增加 37%。
- 可迁移认识
- 区域级安全管理要同时看结果、暴露量、报告能力和行动进展；报告量增加不一定意味着系统更不安全。
证据边界：欧洲安全结果受机队、运行量、监管、技术和偶然波动共同影响；年度统计不能证明 EPAS 或组织 SMS 单独造成了变化。
发现控制失效TSB / 加拿大 · 2013—2018 · 官方调查
都有 SMS，为什么同类施工事件仍重复发生？
四座机场都有 SMS，也都有获批计划，但变化、事件调查和措施验证没有真正接成闭环。
展开事实、结果与来源：都有 SMS，为什么同类施工事件仍重复发生？
- 信号 / 事实
- 跑道施工期间持续发生误入或接地区域判断错误，且多座机场已经出现重复事件。
- 风险与断点
- 施工改变跑道可用区域和空间线索，文字 NOTAM 难以让飞行员形成正确心智图；重复事件却没有被送回正式闭环。
- 控制 / 决定
- 机场已有 SMS、获批施工运行计划和 NOTAM；事件后又增加标志，但多数变化没有进入正式风险分析、调查和效果验证。
- 结果 / 验证
- TSB 研究的 18 起事件中，同类事件在 3 座机场分别重复 3、8、4 次；4 座机场均没有留下符合 SMS 要求的反应式调查记录。
- 可迁移认识
- 计划获批、通知发布和控制安装都只是存在性证据；重复事件必须迫使风险重开，并验证一线人员是否真正理解和使用控制。
证据边界：案例集中在加拿大少数施工机场，不能据此断言所有机场 SMS 无效；事件数还受运行量、施工条件和报告方式影响。
发现控制失效ATSB / 澳大利亚 · 2019 · 官方调查
更换 SMS 软件，本身也需要变更管理
软件不是 SMS；软件变更若没有风险评估，反而可能让正式报告通道失去感知能力。
展开事实、结果与来源：更换 SMS 软件，本身也需要变更管理
- 信号 / 事实
- 新的报告系统上线、关键安全经理休假、代理人多重兼职且远程网络不稳，同时发生。
- 风险与断点
- 提醒设计产生告警疲劳，真正逾期事件被噪声淹没；关键岗位变化又削弱了复核和升级能力。
- 控制 / 决定
- 公司更换报告软件并设置 72 小时倒计时，却让大量低优先级记录长期显示红色；关键人员休假时也没有正式交接和代理训练。
- 结果 / 验证
- 法定外报事件在内部被忽略 6 天，第 9 天 ATSB 才收到；整改后分离外报状态、增加及时性统计并建立正式交接，ATSB 认为问题已充分处理。
- 可迁移认识
- 更换 SMS 软件、字段、提醒逻辑和关键人员本身就是管理变更，需要并行验证、岗位连续性和可回退方案。
证据边界：这是报告处理和关键岗位连续性的失效案例，不代表该公司的全部运行控制都失效。
发现控制失效TSB / 加拿大 · 2023 · 官方调查
纸面程序还在，实际运行已经悄悄漂移
手册没有改变，但真实工作方式已经漂移；组织直到事故发生才看见两者之间的距离。
展开事实、结果与来源：纸面程序还在，实际运行已经悄悄漂移
- 信号 / 事实
- 继续目视飞入仪表气象、关闭 TAWS 和使用 EFB 自建进近等做法长期没有进入危险源登记或 SMS 报告。
- 风险与断点
- 过去多次完成任务使不安全做法被正常化；生产目标、天气和远程运行条件共同侵蚀了程序边界。
- 控制 / 决定
- 手册规定正式程序，但组织缺少飞行数据监测、有效报告和运行观察，无法看见人员拔出 TAWS 断路器并反复自建临时进近。
- 结果 / 验证
- 航空器在低能见度下降至极低高度后撞击地形，10 人受伤；事故后运营人提高天气标准、引入 FRAT、双重授权调度并加强训练和文化干预。
- 可迁移认识
- 安全文化不是问卷态度，而是偏离程序后会发生什么。没有 FDM、报告和现场验证，纸面合规很难发现实践漂移。
证据边界：这是资源受限的偏远 703 运行，不应直接外推到大型航司；EFB 也不是危险源本身。
闭环过程已发生NASA / 美国 · ASRS 公开案例 · 官方经验材料
一份匿名报告怎样跨组织改变控制
这是报告怎样推动行动的案例，不是“报告后风险已经下降”的成功证明。
展开事实、结果与来源：一份匿名报告怎样跨组织改变控制
- 信号 / 事实
- 飞行员通过保密报告渠道反映太阳能电站镜面造成强烈眩光。
- 风险与断点
- 强烈反光可能影响飞行员视线，但风险源位于航空组织之外，需要跨监管、航图和设施运营方协同。
- 控制 / 决定
- ASRS 汇集匿名报告并发出安全警报；航图标注风险，太阳能电站改变镜面阵列运行方式。
- 结果 / 验证
- 报告促成 ASRS 安全警报、航图信息和电站运行调整，形成可观察的跨组织行动链；公开材料未披露调整后的事件率。
- 可迁移认识
- 一份报告的价值不在于“完成反馈”，而在于它能否跨越组织边界，触发拥有资源和权限的人改变控制。
证据边界：飞行员报告到控制调整的链条公开可核，但没有清晰的眩光事件率前后数据，不能写成效果已经得到统计验证。
发现控制失效NTSB / 美国 · 2018 · 官方调查
责任分给两家公司，总体风险却无人拥有
两家公司各管一段业务，却没有人真正拥有从产品设计到紧急撤离的总体风险。
展开事实、结果与来源：责任分给两家公司，总体风险却无人拥有
- 信号 / 事实
- 飞行员此前已经反映摄影飞行系绳可能干扰操纵和紧急撤离。
- 风险与断点
- 商业产品设计与航空运行分开管理，前线提出的系绳干扰和撤离担忧又被逐步降级。
- 控制 / 决定
- 航空运行能力、品牌产品设计、乘客系绳和日常协调分属两家公司，没有正式系统评估系绳干扰操纵与紧急撤离风险。
- 结果 / 验证
- 系绳触碰燃油切断杆导致迫降；乘客又无法快速解脱，5 人溺亡。事故后 FAA 紧急禁止不能快速释放的约束系统。
- 可迁移认识
- 工作可以外包，风险不能被切碎。合作项目必须明确谁能停止运行、谁批准变更、谁接受总体剩余风险。
证据边界：NTSB 没有证明正式 SMS 一定能阻止事故；本案能证明的是产品设计、运行控制和总体风险所有权之间存在严重空白。
发现控制失效NTSB / 美国 · 2019 · 官方调查
有风险评估表，为什么仍低估了任务风险？
有风险表、有数据、有 51 次监管活动，仍可能因为输入、权限和抽样方式错误而看不见风险。
展开事实、结果与来源：有风险评估表，为什么仍低估了任务风险？
- 信号 / 事实
- 两家运营人已因天气拒绝同一任务，事故运营人的飞行员却在接到请求约 28 秒后接受。
- 风险与断点
- 医疗任务压力、交接班和天气冲突没有进入完整决策；纸面风险评分低估了真实运行条件。
- 控制 / 决定
- 公司有风险评估表和飞行数据设备，监管 3 年开展 51 项活动，但表格遗漏航路天气与他人拒飞信息，FDM 也未用于运行监测。
- 结果 / 验证
- 医疗直升机撞地，3 人死亡；事故后由有专业经验的检查员用 899 项工具发现 26 项负面发现，组织也修订评估与放行流程。
- 可迁移认识
- 风险矩阵不会自动产生安全决策。信息项、否决权限、交接班、资源压力和监管人员的专业能力都决定控制能否起作用。
证据边界：员工访谈是调查证据的一部分，不能把每个陈述都当成单独证实的行为；但 NTSB 已把不充分的安全管理列为事故原因。
闭环过程已发生SCASS / 中国 · 2025 公开 · 匿名报告与相关方反馈
新跑道启用后，旧滑行线成为新的风险信号
这是一个难得的中国公开反馈链：变更后的残余条件被一线看见并报告，相关方采取了纠正动作。
展开事实、结果与来源：新跑道启用后，旧滑行线成为新的风险信号
- 信号 / 事实
- 匿名报告指出新跑道启用后，部分旧滑行线去除不彻底并可能造成混淆。
- 风险与断点
- 低能见、积水或积雪条件下，遗留线与新运行结构冲突，可能诱导机组或车辆进入错误路径。
- 控制 / 决定
- SCASS 接收匿名信号并转交相关方；机场反馈已清除 J4、C11、J5、J8 周边遗留滑行线。
- 结果 / 验证
- 报告触发相关方清除多处旧线，完成了信号到纠正动作的公开反馈；是否降低错滑风险仍待后续验证。
- 可迁移认识
- 变更管理不能在新设施启用时结束；旧标识、旧程序和旧心智模型都是残余风险，报告反馈后仍需现场验证。
证据边界：公开页只有匿名报告与机场相关方反馈，没有清除后的现场复核、错滑率或复发数据。
闭环过程已发生CAAC / 中国 · 2021 · 官方经验材料
九元航空怎样把行业信号变成分层 Top 5
这个案例的价值在“怎样把风险分层并升级”，不在官方稿中的“成效显著”四个字。
展开事实、结果与来源：九元航空怎样把行业信号变成分层 Top 5
- 信号 / 事实
- 组织认识到仅靠自身历史事件难以稳定判断近期突出风险，需要引入行业事件、局方警示和安全信息。
- 风险与断点
- 小型运营人本地数据波动大，容易既看不见行业共同风险，又把长清单平均分配注意力。
- 控制 / 决定
- 利用行业事件和警示筛选近期突出风险，建立公司级、部门级和专业 Top 5；控制效果不佳时转入隐患治理，较大事项升级安质委。
- 结果 / 验证
- 公开材料证明九元航空建立了动态风险提示、分层 Top 5 和风险转隐患的管理路径；没有公开这些措施使风险下降多少。
- 可迁移认识
- 小样本组织不能只等自己的事故数据；可以借用行业信号形成关键风险清单，但仍要为每项控制设置本单位的验证指标。
证据边界：官方经验稿只笼统称“成效显著”，没有事件率、控制有效率、复发率或对照数据，因此只能证明机制设计与实施动作。
发现控制失效NTSB / 美国 · 2013—2014 · 官方调查
UPS 1354：疲劳为什么必须放进整个运行系统里看？
UPS 1354 不是简单的“疲劳导致事故”，而是签派信息、进近稳定性、训练表现、机组监控与疲劳同时失去余量。
展开事实、结果与来源：UPS 1354：疲劳为什么必须放进整个运行系统里看？
- 信号 / 事实
- 预计到达时只有较短跑道和非精密进近可用，天气预报又要求备降机场，但签派与机组没有充分讨论这些条件及跑道即将重新开放的信息。
- 风险与断点
- 最长且有精密进近的跑道临时关闭，低云和单一进近选择增加任务压力；信息传递不完整、训练中已出现的表现问题和疲劳同时削弱了备用防线。
- 控制 / 决定
- 放行与运行控制应把跑道关闭、天气、可用进近和备降条件形成共同心智图；机组还应稳定进近、核对飞行管理计算机并在不满足标准时复飞。
- 结果 / 验证
- A300 在夜间非精密进近中撞地，2 名飞行员死亡。NTSB 认定机组继续不稳定进近和未监控高度为主要原因，并列出信息、训练表现和疲劳等促成因素。
- 可迁移认识
- 疲劳管理不是排班表上的一项合规检查。它必须与训练表现、运行信息质量、交叉监控和复飞决策一起分析。
证据边界：事故涉及特定机组、航班和训练经历，不能把疲劳或训练单独写成唯一原因；NTSB 认定的是运行信息、程序执行、监控和人员状态共同作用。
发现控制失效NTSB / 美国与加拿大运营人 · 2017—2018 · 官方调查
Air Canada 759：NOTAM 已经发布，为什么机组仍看错了跑道？
所有人都“拿到了信息”，但信息没有变成正确的心智图；这正是人因、运行控制和界面设计的交叉问题。
展开事实、结果与来源：Air Canada 759：NOTAM 已经发布，为什么机组仍看错了跑道？
- 信号 / 事实
- 跑道关闭信息已在 NOTAM 中，但机组航前和进近简令没有形成对机场实际灯光与可用表面的正确预期。
- 风险与断点
- 平行跑道关闭改变了夜间视觉构型；无效的 NOTAM 呈现、预期偏差、疲劳、未调 ILS 备份和 CRM 失效共同削弱识别错误的机会。
- 控制 / 决定
- 航前与进近简令应把跑道关闭信息转成可用的空间认知，机组还应使用 ILS 作为横向备份、监控目视线索并通过 CRM 主动质疑不一致。
- 结果 / 验证
- A320 将滑行道误认为跑道，最低约 60 ft 飞越等待起飞的航空器后复飞，无人受伤。NTSB 向 FAA 和 Transport Canada 提出建议。
- 可迁移认识
- 信息存在不等于信息可用。安全管理要验证呈现方式能否支持正确判断，并把疲劳、预期偏差和备份导航的使用一起纳入控制。
证据边界：这是一次没有人员伤亡和航空器损伤的严重征候；不能因为结果被复飞动作截断，就低估其潜在后果，也不能把全部原因归结为某一份 NOTAM。
发现控制失效BEA / 法国、EASA 与跨国运营 · 2022—2024 · 官方调查
9H-EMU：有危险源台账和 FDM，为什么仍没看见错误 QNH？
9H-EMU 最有价值的不是“管制员报错数字”，而是整个系统没有把已知危险转成可被 FDM 和自动工具发现的控制。
展开事实、结果与来源：9H-EMU：有危险源台账和 FDM，为什么仍没看见错误 QNH？
- 信号 / 事实
- 运营人虽有危险源台账与 FDM，但事件前未正式识别 Baro-VNAV 错误高度表设定危险，也没有用 FDM 监测错误 QNH。
- 风险与断点
- 错误 QNH 使飞机沿比公布剖面低约 280 ft 的平行轨迹下降；机组、管制程序、机载系统和地面工具都没有及时识别，MSAW 通话也未有效阻止下降。
- 控制 / 决定
- 正确 QNH 的交叉核对、标准通话、MSAW 响应、机载与地面自动探测、运营人危险源识别和 FDM 监测应形成多层防线。
- 结果 / 验证
- A320 在复飞时最低修正无线电高度仅 6 ft，无人员伤亡。BEA 发布 12 项建议，涉及 ICAO、欧委会、EASA、DSNA、机载系统和运营人程序。
- 可迁移认识
- 有手册、有训练、有危险源台账和 FDM，不代表体系已经看见关键风险。管理体系必须主动问：哪些高后果偏差仍没有检测参数和责任人？
证据边界：BEA 调查用于改进安全，不作过错或法律责任认定；事件没有造成人员伤亡，发布建议和采取程序修改不等于长期风险已被量化验证。