组织 SMS 落地

3）ICAO 在说什么

9.1-9.2 说明，SMS 通过持续识别危险源、收集和分析数据、评估风险并验证控制，主动改善安全绩效。9.2.1 的“所有元素适用”须连同上述 ERP 条件阅读；具体实施应适合服务提供者的组织和活动。

9.1.3-9.1.4 还说明两类不能被通用“服务提供者 SMS”概括掉的国家接受责任：国际通用航空运营人应按航空器登记国建立的准则确定 SMS，并确保其 SMS 可被登记国接受；对持有依 Annex 6 Part I 颁发的 AOC、且大型或涡轮喷气式飞机分属多个登记国的运营人，其 SMS 必须可被运营人所在国接受。前一条在第四版使用 should，后一条使用 must；具体法律效果和适用性仍须回到现行 Annex 6、Annex 19、国家法规和批准文件核验。

5）官方模型或关系

ASK 原创关系整理 C09-A

领导与治理 → 识别和控制风险 → 获取运行反馈并验证 → 培训、沟通与学习 → 回到领导决策和风险管理

这是四组件的理解线，不是 ICAO 新图。

7）研究视角

ATSB 2012 系统综述整体上支持结构化安全管理可能改善安全，但也指出高质量客观证据有限，无法稳定确认某一个元素单独贡献最大。这提醒读者评价四组件是否共同运行，不把“建成十二项文件”当作效果证据。

9）来源

• ICAO Doc 9859, Fourth Edition, 2018：Glossary “SMS”；9.1-9.2；Table 10；
• Annex 19 Amendment 2：框架名称，第 54 页、适用对象，第 40—42 页、接受责任，第 46 页；
• ICAO SMI, Chapter 9: Safety Management Systems；
• Thomas, M. J. W. (2012), A systematic review of the effectiveness of safety management systems。

3）ICAO 在说什么

ICAO 章节概念

组件 1 建立 SMS 能够有效运行的组织环境：

1. 安全政策与目标：由高层制定并由问责经理签署，表达持续改善、合规、资源、管理责任、积极文化和报告保护承诺；目标连接组织主要风险及 SPI/SPT。
2. 问责经理（accountable executive）：处于有权代表组织、控制财务与人员资源并能停止活动的位置，对 SMS 整体绩效承担不可委托的问责。
3. 问责、责任和权限：accountability 指不能委托的义务，responsibility 指可委托的职能和活动。风险可接受决定的权限要与资源和业务决定权限相称，超出权限的风险必须升级。
4. 外部组织：承包或外部组织参与产品和服务时，主组织仍需管理相关接口并获得对安全绩效的保证。
5. 安全经理：向问责经理负责，协调实施、危险源识别、分析、绩效报告、文件、培训和外部联络，并监测纠正行动、评价其结果；安全经理不因承担协调与监测职能而自动取得业务整改所有权。角色可按规模组合，但要避免利益冲突。
6. SRB 与 SAG：安全评审委员会（SRB）处理政策、资源和整体绩效等战略问题；安全行动组（SAG）在业务层落实控制并监测具体风险。
7. 应急响应计划（emergency response plan, ERP）协调：只适用于相关 Annex 要求建立 ERP 的服务提供者；目标是协调角色、权限和外部组织，并支持安全延续和恢复。
8. SMS 文件与记录：SMS manual 说明政策、过程、系统边界和接口；运行记录证明风险评估、绩效、培训、会议、审核和行动实际发生。

5）官方模型或关系

ASK 原创角色表 C09-B

此表是对 9.3.5-9.3.6 的解释，不是正式职位规范。

7）研究视角

Cromie 与 Bott（2016）以一家航空维修企业 3,136 名人员的情境判断研究发现，加入行为背景信息会改变人们对纪律责任的判断，且“应当处罚”的界线并非固定。它支持政策和调查必须考虑情境与专业判断；样本来自单一企业、采用假设情境，不能直接成为组织纪律决定工具。

9）来源

• ICAO Doc 9859, Fourth Edition, 2018：9.3.1-9.3.8；
• SM ICG, The Senior Manager’s Role in Safety Management Systems，2012 年培训解读；
• Cromie, S. & Bott, F. (2016), Just culture’s “line in the sand” is a shifting one。

3）ICAO 在说什么

ICAO 章节概念

安全风险管理（SRM）包括危险源识别、安全风险评估和风险缓解。9.4 强调：

1. 先理解产品、服务、活动、运行环境及内外部接口；
2. 从正常运行监测、自动系统、强制和自愿报告、审核、培训、内部调查以及外部事故、监管审核和行业交换中识别危险源；
3. 安全报告渠道应容易使用、提供适当保护，并向报告人反馈决定和行动；
4. 记录危险源及其具体后果，再使用一致方法评价可能性、严重度和可接受性；
5. 组织内部安全调查的目的是理解发生了什么、为什么发生及怎样防止复发；它不同于 Annex 13 国家事故和严重事故征候调查；
6. 调查深度应考虑实际或潜在后果、可获得安全价值、趋势和资源，不是所有报告都采用同一深度；
7. 控制选择需要业务人员和专业人员参与，并检查是否引入新的非预期后果；
8. 实施后通过安全保证监测控制的完整性、效率和效果；
9. SRM 输出进入危险源登记、组织安全知识、趋势分析、培训、沟通和审核。

5）官方模型或关系

ICAO 官方模型

Figure 9-1 “Hazard identification and risk management process”表达：

识别危险源 → 分析后果发生可能性 → 分析后果严重度 → 判断风险是否在组织标准内 → 接受或采取控制降低风险

这是高层概念流程。正式工作还须使用组织批准的标准、权限、记录和复核程序。

Figure 9-2 区分 Annex 13 国家调查与服务提供者内部安全调查。不能因为内部调查已完成，就替代法定报告或国家调查义务。

7）研究视角

Reason（2000）区分“个人模型”和“系统模型”，提醒调查不要只停在一线错误，还要看工作条件和防线。Leveson（2011）进一步强调复杂系统中的控制和反馈关系。二者可扩展内部调查视角，但都不是 ICAO 9.4 的法定调查程序。

Kıvanç 等（2025）的维修领域系统综述也显示，航空维修风险研究需要同时关注组织、人因和管理因素。综述不能替具体任务的正式风险评估。

9）来源

• ICAO Doc 9859, Fourth Edition, 2018：9.4.1-9.4.6；Figures 9-1、9-2；
• Annex 19 Amendment 2：范围与系统描述，第 45 页、接口危险源，第 57 页；
• Reason, J. (2000), Human error: models and management；
• Leveson, N. G. (2011), Applying systems thinking to analyze and learn from events；
• Kıvanç, E., Tuzkaya, G. & Vayvay, Ö. (2025), Systematic literature review in aviation maintenance。

3）ICAO 在说什么

ICAO 章节概念

安全保证用于验证组织安全绩效和风险控制有效性，并发现环境变化、过程偏差或控制退化。它包含三个元素。

3.1 安全绩效监测和衡量（以下按第四版解释）

• 内部审核同时检查法规和程序是否符合，以及控制和 SMS 是否有效；
• 审核宜由独立于被审核活动的人员实施；小型组织无法保证独立性时可考虑外部支持；
• SPI 应连接组织安全目标和主要风险，并组合低频高严重度结果、高频低严重度信号及过程绩效；
• 数据可得性、可靠性、活动量和报告文化必须进入解释；
• SPT 和警戒值可能驱动改善，也可能诱发压报、凑数或只优化数字；
• 国家可能有 SPI/SPT 接受程序，服务提供者应与监管者协调。

3.2 变化管理

变化可能来自扩张或收缩、流程改进、运行环境、外部接口、法规、经济条件、技术和人员。变化可能削弱现有控制或引入新危险源。第四版 9.5.5 指导变化管理计划应包括：理解变化及其原因、识别受影响的人和系统、用现有 SRM 评估、形成责任和时间明确的计划、由有权者批准，并建立实施后的保证计划。

3.3 SMS 持续改进

不能只看 SPI。组织还应组合审核、SMS/文化评价、事件复发、调查经验、管理评审、目标和指标趋势及行动关闭效果，判断 SMS 是否维持和改善。

5）官方模型或关系

ASK 原创闭环 C09-C

SRM 设计控制 → 运行实施 → 收集数据与审核 → 判断合规和有效性 → 纠正或重新进入 SRM → 复核结果

这条关系综合 9.4 与 9.5，用于解释二者互动，不是 ICAO 新编号流程。

变化管理的六项活动可作文字摘要：

1. 定义变化及原因；
2. 明确影响对象和接口；
3. 识别危险源并评估新旧风险；
4. 制定行动、责任、顺序和时间；
5. 由有权者确认可实施；
6. 设定沟通、审核、假设验证和后续监测。

7）研究视角

Reiman 与 Pietikäinen（2012）提醒，领先指标必须建立在对安全形成机制的理解上。ATSB 2012 综述则指出，低频高后果系统的 SMS 效果不容易用事故率单独证明。二者支持多证据评价，但都没有给出通用的航空维修 KPI 清单。

9）来源

• ICAO Doc 9859, Fourth Edition, 2018：9.5.1-9.5.6；
• Annex 19 Amendment 2：安全绩效、目标进展及控制有效性，第 57 页；
• FAA, SMS Components and the SRM-SA relationship，用于教学对照，不替代 ICAO 或本地法规；
• Reiman, T. & Pietikäinen, E. (2012), Leading indicators of system safety；
• Thomas, M. J. W. (2012), ATSB systematic review。

3）ICAO 在说什么

ICAO 章节概念

安全促进结合培训、教育、沟通和信息共享，以支持积极安全文化和安全目标。它不是靠命令或严格遵守程序单独实现。

培训和教育

• 培训范围和深度应与个人参与 SMS 的方式相称；
• 包括初始和复训，覆盖政策和目标、角色责任、SRM、报告系统、SMS 过程及人因；
• 培训需求分析（TNA）先识别人群及其安全职责，再识别所需知识和能力、当前差距、适当培养方式和持续能力需求；
• 问责经理和高级管理者需要理解问责、资源、文化、目标、SPT、沟通和纪律政策；
• 评价终点是能否胜任 SMS 职责，而不是只记录出勤或考试完成。

安全沟通

• 既要自上而下传达政策、风险控制和安全关键资料，也要让人员自下而上报告问题和提供反馈；
• 要传播调查经验、新增或修订控制和程序；
• 向报告人反馈采取了什么行动；
• 选择适合角色和紧迫性的渠道，并检查信息是否收到和理解；
• 促进贯穿 SMS 生命周期，而不只发生在实施初期。

5）官方模型或关系

ASK 原创 TNA 摘要 C09-D

角色与安全职责 → 所需知识和能力 → 当前差距 → 学习方式与深度 → 履职证据 → 复训和更新

这是对 9.6.4 的解释性摘要，不是强制课程开发标准。

7）研究视角

Guldenmund（2000）说明安全文化是一个定义和测量都存在分歧的复杂概念。培训满意度、安全口号认同或一次文化问卷不能单独证明文化已经改变。研究可帮助解释局限，但不替代 ICAO 的培训和沟通元素。

9）来源

• ICAO Doc 9859, Fourth Edition, 2018：9.6.1-9.6.5；
• CASA, SMS Resource Kit，用于教学和工具对照；
• Guldenmund, F. W. (2000), The nature of safety culture。

3）ICAO 在说什么

系统描述（9.7.1）

系统描述用于界定 SMS 范围，说明产品、人员、过程、程序、设施、服务、外部因素和接口。形式可以是清单、过程图或带说明的组织图；关键是适合组织并足以支持危险源识别、风险管理、保证和变化管理。

接口管理（9.7.2-9.7.3）

1. 识别内外部接口，包括业务支援和没有正式协议的依赖；
2. 判断提供什么、为何需要、对方有什么管理系统、是否交换安全信息；
3. 识别接口危险源并用现有 SRM 评估；
4. 与对方明确控制、角色、时间、信息和协调方式；
5. 用协议、记录、共享和持续监测保持接口有效；
6. 各组织仍对影响自身的危险源和控制负责，不能用合同把风险“转走”。

SMS 规模适配（9.7.4）

• 组织结构、资源、地点、活动复杂性和接口决定实现方式；
• 固有安全风险同样重要，小组织也可能从事高风险活动；
• 小数据量时可加强定性讨论、专家判断、行业协作和数据共享，但仍要处理自身数据；
• 大量接口和数据时需要适当的数据治理、质量和分类方法；
• 不能以规模小为由删减所适用的 SMS 能力；元素 1.4 仍须按前述 ERP 条件判断，简洁不等于缺失。

管理体系整合（9.7.5-9.7.6）

SMS 可与 QMS、SeMS、EMS、OHSMS、FMS、DMS、FRMS 等整合，以减少重复、处理跨体系影响并统一绩效管理。SMS 聚焦危险源、安全风险和安全绩效；QMS 聚焦符合要求和产品/服务一致性。二者可以共用审核、调查、根因分析和改进过程，但必须仍能清楚证明各自要求和目的得到满足。

差距分析和实施计划（9.7.7）

先比较现有过程与国家 SMS 要求，沿用已有能力、识别缺口，再形成资源、任务、依赖、责任和时间明确的实施计划。计划需要问责经理和高级管理者参与，考虑外部组织，并说明何种证据代表某元素已成功实施。有效 SMS 可能需要多年成熟。

5）官方模型或关系

ICAO 官方模型

Figure 9-3 用空中交通服务提供者示例展示接口地图。本站不复刻该图，可使用下面的 ASK 解释顺序：

系统描述 → 识别接口 → 判断关键性 → 评估接口风险 → 明确共同控制和责任 → 持续监测与共享

这是对 9.7.1-9.7.3 的文字摘要。

规模适配边界

EASA 2023 Part-145 培训材料提供了一个有用的教学例子：同一元素在小型组织中可以由兼任角色、较少委员会和纸质工具实现，在复杂组织中可以采用专门岗位、更多层级和软件；判断重点仍是 suitability 和 effectiveness。该材料属于欧盟维修语境，不能直接当成 ICAO 或 CAAC 要求。

7）研究视角

Kıvanç 等（2025）对航空维修研究的综述强调组织、人因和管理因素的综合，支持将供应链、能力、文化和资源一起纳入系统描述。McDonald 等对维修组织的早期研究也显示，正式系统、专业亚文化和实际工作互动可能不一致。研究只能提示观察方向，不能替组织识别本身的接口和风险。

9）来源

• ICAO Doc 9859, Fourth Edition, 2018：9.7.1-9.7.7；Figure 9-3；
• EASA, SMS implementation in Part-145 AMOs — 2023 workshop，欧盟培训和过渡语境；
• CASA, SMS Resource Kit, 3rd edition；
• Kıvanç, E., Tuzkaya, G. & Vayvay, Ö. (2025), Safety Science systematic review。