安全管理基本原理

3）ICAO 在说什么

ICAO 正式定义（中文转述）

安全（safety）是：与航空活动相关、涉及或直接支持航空器运行的风险，被降低并控制在可接受水平的状态。该定义见第四版 Glossary，并在 2.1.2 重述。

定义中有四个不能省略的限定：

1. 对象是与航空活动相关、涉及或直接支持航空器运行的风险；
2. 风险并非被宣称“消失”，而是被降低并控制；
3. 控制需要达到可接受水平；
4. 这是一个需要维持的状态，不是一次性认证结果。

ICAO 章节概念

2.1.3 强调航空安全是动态的：新的危险源和风险不断出现，只要风险保持在适当控制水平，一个开放、动态的航空系统仍可保持安全；可接受的安全绩效也会受到国内外规范和文化影响。

2.1.4-2.1.6 用四种大致对应历史阶段的视角说明安全认识的扩展：

5）官方模型或关系

ICAO 官方模型

ICAO Figure 2-1：The evolution of safety（安全的演进）展示技术、人因、组织和全系统四个时期在时间上逐步加入，安全绩效随这些能力积累而提升。图中的各条水平线仍延伸到后续时期，说明新视角没有把旧视角作废。

使用边界：

• 它是概念和历史演进图，不是精确的事故率时间序列；
• 图中年代是“大致对应”，不能据此判断某个具体组织已处于哪一时代；
• 不应把“全系统”理解为可以放弃技术可靠性、人因或合规监督。

7）研究视角

研究视角

Leveson（2011）从系统思维出发，主张复杂系统中的安全不能仅用部件可靠性或线性事件链理解，还要观察跨层级控制、约束和互动。这个研究视角扩展了 ICAO“全系统”概念的理解，但它使用自己的系统理论，不是 Figure 2-1 的官方注释，也不等于 ICAO 要求组织采用某一种事故模型。

9）来源

• ICAO Doc 9859, Fourth Edition, 2018：Glossary “Safety”；2.1.1-2.1.6；Figure 2-1；
• Leveson, N. G. (2011), “Applying systems thinking to analyze and learn from events”：https://doi.org/10.1016/j.ssci.2009.12.021。

3）ICAO 在说什么

ICAO 章节概念

2.2.1 把人因（human factors）描述为理解人怎样与世界互动、人的能力和局限，并影响人的活动以改善工作方式。考虑人因是安全管理不可分割的一部分，既用于理解、识别和缓解风险，也用于优化人对组织安全的贡献。

2.2.2 把人因嵌入安全管理的多个过程，而不是只放在事故调查末端：

• 高层创造有利于人的表现并鼓励参与的工作环境；
• 澄清人员在安全管理中的责任和组织对行为的预期响应；
• 监测人员配置，使资源与运行需求匹配；
• 建立并维护报告政策和流程；
• 分析人的表现变化及其组织、运行背景；
• 让政策、程序和工具清楚、简洁、可执行，并持续监测其在正常运行中的效果；
• 对偏离程序的情况追问原因和情境，不只描述行为；
• 在变化管理中考虑人的任务与角色怎样改变；
• 训练人员胜任工作，并检查训练效果、随需要调整。

2.2.3-2.2.4 强调高层支持、工作环境和安全文化对上述过程的影响。人因因此既是设计问题，也是治理问题。

5）官方模型或关系

ICAO 官方模型

ICAO Figure 2-2：SHELL Model把一线人员（中央 Liveware, L）放在中心，检查人与四类工作系统组成之间的接口：

图中模块边缘不规则，表示人与各组成之间并非完美耦合。模型用途是暴露接口张力，不是给个人贴标签，也不是证明事故的唯一原因。

7）研究视角

研究视角

Reason（2000）比较“个人方法”和“系统方法”：前者容易聚焦遗忘、疏忽或道德弱点，后者关注工作条件和组织防御怎样塑造错误及其后果。这与 2.2 要求理解行为情境的方向相容。

• 研究类型：医学领域的概念性综述/评论文章；
• 与本节关系：支持把人的行为放入系统条件分析，并重视防御；
• 主要限制：篇幅短、不是航空维修实证研究，也不是 ICAO 对纪律、责任或合规的正式规则。系统视角不意味着个人行为永远无需评价。

9）来源

• ICAO Doc 9859, Fourth Edition, 2018：2.2.1-2.2.7；Figure 2-2；
• Reason, J. (2000), “Human error: models and management”, BMJ, 320:768-770：https://doi.org/10.1136/bmj.320.7237.768。

3）ICAO 在说什么

ICAO 章节概念：Swiss-Cheese / Reason Model

2.3.1-2.3.6 说明，复杂航空系统通常有多层防御，单点失效很少单独造成严重后果。防御缺口可能受设备故障、运行错误、组织决定和接口组织影响。当不同层的弱点在特定运行条件下对齐，危险源可能穿过全部防御并形成损失。

• 主动失效（active failures）：一线人员的作为或不作为，包括错误和违规，对运行产生直接不利影响；
• 潜在条件（latent conditions）：早在事件前就存在、可能长期休眠的系统条件，例如文化、设备选择、程序设计、冲突目标、有缺陷的组织系统或管理决定；
• 防御（defences）：第四版 Glossary 将其定义为防止危险源实现或升级为不希望后果的具体缓解行动、预防控制或恢复措施。

潜在条件常源自资源、目标和成本之间的日常决定，决定当时可能具有合理目的；这不等于决定无须评价，而是提醒分析不能只看事件最后一刻。

2.3.7 建议把该模型用于 SRM、安全监督、内部审核、变化管理和安全调查，检查哪些防御有效、哪些可被或已被突破、哪里需要加强。事件通常沿“危险源到损失”方向发展，分析则常从损失反向追到危险源。手册同时提醒，真实事故通常更复杂，也存在更精细的模型。

ICAO 章节概念：Practical drift

2.3.8 用 practical drift（实践偏移/实际运行漂移，中文术语待正式核验）说明系统表现怎样逐渐离开原始设计。设计往往隐含技术可用、人员胜任且有动机、政策程序能够规定行为等理想假设；系统投入真实运行后，会受到技术表现、程序可执行性、系统变化、外部接口、文化、资源和从成功/失败中学习等因素影响。

人员通常会用局部适应或 workaround 让工作继续，但这些适应可能绕过已有控制。审核、观察和 SPI 等安全保证活动可以暴露 drift；越早发现并理解原因，越容易干预。

5）官方模型或关系

ICAO 官方模型

ICAO Figure 2-3：Concept of accident causation用多层带孔防御表示：当弱点对齐，危险源可能沿路径穿过防御并形成损失。

ICAO Figure 2-4：Concept of practical drift把设计的基线表现与真实运行表现分开；真实表现随时间偏离，法规、培训和技术等干预可能影响其路径，但若未有效控制，偏移可能走向事故。

两个模型的使用限制：

• Figure 2-3 是分析透镜，不表示每个事故都只有一条直线路径或固定数量的防御层；
• 图中的“孔”不能代替对控制设计、运行、独立性和效果的证据核验；
• Figure 2-4 不表示所有偏离都会导致事故，也不表示所有适应都是不安全的；
• 两图都不能单独作责任认定、概率计算或正式风险接受。

7）研究视角

研究视角

Reason（2000）为主动失效、潜在条件和多层防御提供了经典系统视角。Leveson（2011）则指出，线性或逐层穿透模型可能不足以表达复杂系统中的非线性互动、反馈和跨层级控制问题。

这两种视角不是非此即彼：Swiss-Cheese 适合建立“不要停在最后一人、要检查多层防御”的入门框架；当事件涉及软件、自动化、监管、跨组织协同和动态反馈时，可能需要更丰富的系统分析方法。

• 研究类型：经典概念文章与系统方法论文；
• 与本节关系：分别支持并扩展事故致因的系统观察；
• 主要限制：模型本身不是实证结论清单，也不能自动生成根因、责任或控制措施。

9）来源

• ICAO Doc 9859, Fourth Edition, 2018：Glossary “Defences”；2.3.1-2.3.8.5；Figures 2-3、2-4；
• Reason (2000)：https://doi.org/10.1136/bmj.320.7237.768；
• Leveson (2011)：https://doi.org/10.1016/j.ssci.2009.12.021；
• Snook, S. A. (2000), Friendly Fire：Doc 9859 2.3.8 引用的 practical drift 理论来源；本稿未据此增加 ICAO 正文之外的要求。

3）ICAO 在说什么

ICAO 章节概念

2.4.1 指出，提供服务的组织必须在产出/盈利与可接受安全风险之间配置资源。技术、训练、流程和程序等安全风险控制需要金钱、时间和人员；它们主要改善安全绩效，但减少事故、事件及相关成本时也可能改善生产表现。对国家而言，监督人员、技术、培训和内部流程同样需要资源。

2.4.2-2.4.3 用 safety space（安全空间，术语待正式中文核验）比喻组织在生产/盈利目标与安全保护之间保持平衡的区域：

• 保护资源不足，可能让产品或服务退化并走向事故；
• 资源配置完全失去经济可持续性，也可能危及组织继续提供服务的能力；
• 因此需要定义安全边界和早期预警，识别资源配置正变得失衡；
• 风险与外部影响持续变化，安全空间也必须持续监测和管理。

2.4.4 说明这种平衡不仅适用于服务提供者，也适用于国家在认证、监督等保护职能上的资源配置。

5）官方模型或关系

ICAO 官方模型

ICAO Figure 2-5：Concept of a safety space以生产（横轴）和保护（纵轴）展示一个需要持续管理的空间；上方以 bankruptcy、下方以 catastrophe 表示两类越界后果，中间的运行轨迹并非固定直线。

使用边界：

• 它是管理张力的隐喻，不是可直接测量的二维公式；
• “保护过多”不能被拿来削减法定或必要控制，任何决定仍须满足适用要求和正式风险接受标准；
• 图中的中间区域不自动等于安全，组织仍要用绩效、数据和风险证据监测；
• 安全与生产并不总是零和关系，可靠控制、良好计划和减少返工可能同时改善两者。

7）研究视角

研究视角

Rasmussen（1997）的同行评审论文从动态社会技术系统讨论组织如何在经济、工作负荷和安全等边界压力下迁移，强调适应和决策分布在多个层级。这与 safety space 的动态边界直觉相呼应，并帮助理解为什么局部合理决定可能累积成系统风险。

• 研究类型：理论建模论文；
• 适用领域：动态社会技术系统，不限于航空；
• 与本节关系：扩展对压力、迁移和跨层级决策的理解；
• 主要限制：不是 ICAO Figure 2-5 的正式定义或审计标准，也不能给出某组织的可接受生产/保护比值。

9）来源

• ICAO Doc 9859, Fourth Edition, 2018：2.4.1-2.4.4；Figure 2-5；
• Rasmussen, J. (1997), “Risk management in a dynamic society: A modelling problem”, Safety Science, 27(2-3), 183-213：https://doi.org/10.1016/S0925-7535(97)00052-0。

3）ICAO 在说什么

ICAO 章节概念：完整 SRM 范围

第四版 2.5 开篇说明，SRM 是安全管理的关键组成，包括危险源识别、安全风险评估、安全风险缓解和风险接受。它是持续活动：航空系统不断变化，新危险源会出现，既有风险也会变化，已实施缓解措施的效果必须被监测，以判断是否还需行动。

A. 先分清三个正式定义与一个章节概念

ICAO 正式定义 + ICAO 章节概念（中文转述）

2.5.1 还把危险源解释为系统或环境中以某种形式存在的潜在伤害可能。危险源是航空活动不可避免的一部分；航空可以与危险源共存，前提是相关风险得到控制。

B. 危险源和后果：2.5.1-2.5.2

危险源识别是 SRM 的第一步，先于风险评估。2.5.2 用侧风和跑道道面污染说明：风或污染状态在特定运行关系中构成危险源，失去方向控制、冲出跑道、人员伤亡等才是可能后果。清楚描述危险源后，才能系统识别一个或多个后果，并按后果评估风险。

危险源来源可以包括：

• 报告系统、检查、审核、研讨和专家判断；
• 内外部事故/事件调查报告；
• 正常运行观察和安全保证活动；
• ICAO、行业协会及其他外部组织的信息；
• 组织控制之外的天气、火山灰等条件；
• 新技术、新业务或其他 emerging risk 信号；
• 组织和外部组织之间的接口。

识别时应检查系统描述、任务/设备设计、人的能力与局限、真实条件下的程序可执行性、沟通、组织目标与资源、工作环境、监管监督、绩效监测、人机界面以及 SSP/SMS 接口（2.5.2.8）。

同一危险源还可能同时产生航空安全和职业安全健康环境（OSHE）后果。2.5.2.9 允许通过平行的风险缓解过程分别处理，也可采用综合过程；无论采用哪种方式，都要分别看清两类后果和控制目的，不能因一个领域已经处置就漏掉另一个领域。

第四版区分两类主要方法：

• 反应式（reactive）：从已发生事故、事件和结果中识别系统缺陷和危险源；
• 主动式（proactive）：从较低后果事件、过程表现、飞行数据、报告和安全保证信息中识别可能走向事故的危险源。

2.5.2.11 还提到可通过数据分析识别不利趋势并对 emerging hazards 作预测性判断，但本章没有把它单列为与前两类并列的第三种“主要方法”。

C. 概率：2.5.3

安全风险概率（safety risk probability）关注某一安全后果或结果发生的可能性。应构建可预见场景，并考虑：类似事件历史、同类设备或部件、暴露人员数量、活动或设备的使用比例/暴露程度等。

“可预见”不是“能想象的一切”。2.5.3.3 要求以合理判断确定识别的适当细度，对重大且合理可预见的危险源尽到应有注意。概率必须对应一个明确后果和场景；脱离暴露与控制条件谈“危险源概率”，容易失真。

D. 严重度：2.5.4

安全风险严重度（safety risk severity）是识别出的危险源后果合理预期可能造成的伤害程度。评估要考虑所有相关后果和最严重的可预见情形，不是不受约束地选择“最可怕的想象”。第四版示例主要从人员死亡/严重伤害以及航空器、ATS 或机场设备损坏及其运行影响描述严重度。

E. 可容忍性、接受和行动：2.5.5

第四版示例把概率和严重度组合为风险指数，再通过组织的风险可容忍性表决定行动。概念上，风险可能被评为：

• 不可容忍（intolerable）：任何情况下都不可接受，需要采取缓解行动或停止活动；
• 可容忍（tolerable）：基于缓解措施可被容忍，可能需要管理层决定接受；
• 可接受（acceptable）：按既定标准可接受；在第四版本章 Table 4 的示例中，这一类别不要求进一步缓解。

接受风险必须由组织明确授权的层级依适用政策和程序作出。评估不是给风险贴色后结束；如果风险不可接受，要考虑降低暴露/概率、降低后果严重度，或同时降低二者，并重新评价剩余风险。

F. 人因风险：2.5.6

人既可能因表现变化参与事故路径，也能预见危险、解决问题并采取控制。人的表现受多种内外因素互动影响，且后果随任务与情境变化，因此比许多技术因素更难用固定概率和严重度表达。2.5.6 建议在识别、评估和缓解中使用适当人因专业能力。

G. 缓解策略与选择标准：2.5.7

第四版把缓解策略归为：

1. 避免（avoidance）：取消或避免活动，从而消除相应风险；
2. 降低（reduction）：减少活动频率，或降低后果的幅度；
3. 隔离（segregation）：隔离后果影响，或建立冗余保护。

一个方案可组合多种策略。选择前应检查：有效性、成本/收益、可实施性、使用者接受性、可执行/可监督性、持久性、剩余风险、非预期后果和实施时间。使用控制的人员应参与设计；程序类控制尤其要验证真实场景下是否可用，并考虑捕获人为差错的机制。

H. 记录和风险登记：2.5.8

SRM 应记录概率/严重度假设、决策和缓解行动。危险源登记册通常包括危险源、可能后果、风险评估、识别时间、类别、适用地点/时间、识别人和控制措施。记录的价值是可追溯、复核和学习，而不是把表格本身当作风险已经受控。

I. 成本效益：2.5.9

成本效益或成本效果分析通常在缓解阶段进行；当风险控制有重大财务影响时，可作为安全风险评估的补充，帮助比较方案及财务影响。它不能把不可接受风险仅因成本高而改为可接受，也不能替代适用要求和正式授权。

J. 效果监测：2.5 开篇、2.5.7.5

缓解措施和控制需要验证或审核其效果，也可通过 SPI 监测。控制变化还可能影响既有风险评估，因此 SRM 与第 4 章安全绩效管理、第 8/9 章安全保证形成闭环。

5）官方模型或关系

ICAO 官方模型与示例

1. Table 1：Safety risk probability table — 五级概率分类示例；
2. Table 2：Example safety risk severity table — 五级严重度分类示例；
3. Table 3：Example safety risk matrix — 概率与严重度组合示例；
4. Table 4：Example of safety risk tolerability — 不可容忍、可容忍、可接受及建议行动示例；
5. Figure 2-6：Safety risk management decision aid — 从感知安全问题、识别危险源/后果、评估概率与严重度，到判断可接受性、消除/缓解、评价剩余风险、继续或不实施运行，并记录反馈的决策辅助图。

Tables 1-4 均被正文明确称为示例。组织应根据自身需要和复杂性适配定性/定量标准；数据质量和可靠性也必须进入可容忍性判断。不能把示例等级、字母数字组合或颜色直接复制成全球统一标准。

ASK“正式评估前的场景梳理五问”

ASK 原创解释

为了帮助初学者在进入正式评估前把问题说清，可以使用：

1. 场景：正在进行什么活动，在什么条件和边界下？
2. 危险源：什么条件或物体具有造成或促成航空事故征候/事故的潜力？
3. 后果：在合理可预见场景中，它可能导致什么具体结果？
4. 控制：现有哪些防御，证据是否表明它们适用、正在运行？
5. 后续责任：谁需要核实、升级、正式评估、决定和跟踪？

这只能称为 “正式风险评估前的场景梳理五问”，建议编号 ASK 解读表 C02-A。它不是 ICAO Figure 2-6 的简化版，也不是完整 SRM 流程，因为它没有替代：

• 对每个后果的概率和严重度评估；
• 风险标准、可容忍性和有权接受；
• 缓解方案比较与剩余风险评估；
• 人因专业分析、成本效果补充；
• 正式记录、实施、效果验证和持续复核。

7）研究视角

研究视角

Cox（2008）从风险分析方法讨论定性风险矩阵可能出现的排序不一致、分辨率有限和信息损失等问题。这为使用 Tables 1-4 提供一个重要提醒：矩阵是帮助形成一致讨论和行动门槛的工具，不是客观风险的完整数学表示。

• 研究类型：同行评审的方法论/数学分析论文；
• 适用领域：一般风险分析，不限于航空；
• 与本节关系：扩展 ICAO 已明确的“示例、需适配、考虑数据质量”边界；
• 主要限制：论文批评某些矩阵性质，不等于 ICAO 禁止使用风险矩阵，也不能直接指定一个航空组织应采用哪种替代方法。

实践中可通过清楚定义类别、记录证据和不确定性、校准评估者、审查边界案例、结合定量数据及管理判断来降低误用，但具体方法仍需组织程序和适用要求确认。

9）来源

• ICAO Doc 9859, Fourth Edition, 2018：Glossary “Hazard”“Safety risk”“Defences”“Risk mitigation”；2.5、2.5.1-2.5.9；Tables 1-4；Figure 2-6；
• Cox, L. A. (2008), “What’s Wrong with Risk Matrices?”, Risk Analysis, 28(2), 497-512：https://doi.org/10.1111/j.1539-6924.2008.01030.x。