2018, Vol. 50
引用本文 | doi: 10.16356/j.1005-2615.2018.06.016 |
2. 南京航空航天大学民航学院, 南京, 211106
2. College of Civil Aviation, Nanjing University of Aeronautics & Astronautics, Nanjing, 210016, China
根原因分析是一种结构化的调查活动，其目的在于识别问题的真正原因以及解决它所必需的措施[1]。在航空领域，以波音、空客为代表的欧美民用航空器设计制造厂家经过数十年多机型的研制与发展，已形成了较为全面完备的风险管理、分析、评估、试验的手段、方法和工具体系，积累了大量运输类飞机在试飞和实际使用过程中的运行数据和安全故障信息，建立了庞大的数据库，并依据完善的工业标准、适航管理规定、内部工作程序较为有效地开展了持续适航事件的根原因分析。美国联邦航空管理局(Federal aviation adminis tration，FAA)的航空器合格审定司于2012年发布了FAA指令8110.107，安全监控-数据分析(Monitor safety, analyze data，MSAD)，其中明确指出了实施因果分析和原因记录的必要性和要求[2]。欧洲航空安全局(European aviation safety agency，EASA)的审定中心也在2012年颁布的工作程序——型号设计的持续适航(Continuing airworthiness of type design，CAP)中明确将根原因分析作为持续适航管理的重要环节[3]。
而国内投入运行的运输类飞机型号还较少，国产运输类飞机制造商对于持续适航的概念理解还较为落后，在持续适航阶段不安全事件根原因分析方面缺少系统、完整的研究。因此，深入分析和研究欧美运输类飞机持续适航事件管理过程，将有助于优化国产运输类飞机持续适航事件根原因分析流程和方法，促进国产运输类飞机的持续优化改进以及产品安全水平的提高。
1 根原因分析流程通过对欧美先进航空器制造国持续适航阶段不安全事件根原因分析流程进行分析和总结，可以将根原因分析流程概括为以下7个步骤[4, 5]。
(1) 定义问题
定义问题即明确问题是什么、确定问题的范围，这是根原因分析最困难的部分之一。明确了这个基础将对整个根原因分析过程起指导作用。相反，如果不能确定真正的问题，会导致解决了错误的问题或只解决了问题的一个症状。
(2) 收集证据和数据
通过检查、试验或评审分析等方法，收集问题存在的证据、时间、影响等数据，问题分析结果的准确度将依赖于这些收集的数据。
(3) 识别可能导致问题的因素
运用不同的根原因分析工具和方法尽可能多的识别导致问题的因素，包括事件发生序列、问题发生条件、在关键问题周围有无其他问题等。识别导致问题的因素越全面，越有助于最终根原因的确定。
(4) 确定根原因
运用5-whys分析法、因果分析法等根原因分析方法对问题的原因进行追溯，直至找到每个因素的根本原因。
(5) 制定纠正措施
考虑如何制定用于解决问题的具体行动，一般的流程为：①根据影响等级确定根原因的优先顺序；②聚集专家，通过头脑风暴法列出可能潜在的纠正措施；③评估并实施纠正措施的成本/效益分析；④创建实施和跟进纠正措施的计划。
(6) 实施纠正措施
在实施时记录新的程序、方法等以形成新的标准，并通告新标准的变化，但纠正措施本身不应该引发新的问题。
(7) 跟踪纠正措施
跟踪纠正措施以确其有效性。如果问题没有解决，则需要重复根原因分析过程。通过开展根原因分析，问题重复发生的可能性将会大大降低，然而其他问题仍有可能出现。因此，根原因分析通常被认为是一个迭代的过程，一个持续改进的工具。
2 常见根原因分析方法根原因分析实质上是一个集合性质的术语，用来描述用于发现问题原因的一组宽泛的方法、工具和技术。用在解决具体的问题时，有些方法是比较综合的问题解决技术，而有些仅仅为根原因分析过程提供支持。下面将从几种常用的根原因分析工具和方法出发，对它们的优缺点和适用性进行分析和比较。
2.1 根原因分析方法综述 2.1.1 5-whys分析法5-whys分析法由丰田公司创始人丰田佐吉首创，是最简单的根原因分析过程。在确定某一目标问题或事件后，首先从技术、人员及系统管理3个方向考查其发生的直接原因，当消除此一级原因不能彻底解除目标事件时，再继续引发二级、三级、四级原因，直到找到能完全、彻底控制目标事件的根本原因。而后针对各级原因制定改进计划，并验证计划有效性[6]。
5-whys分析法易懂、易用、兼容性强。但该方法主要基于问题分析者的经验，不适用于复杂事件，通常不用于正式的事件调查。
2.1.2 变化分析法变化分析法通过比较发生与不发生某事件的两种情况差异来识别特定的原因和因果关系，其分析结果使用变化分析图表达[7], 分析过程一般包含6个步骤，如图 1所示。
|
图 1 变化分析法的一般步骤 Figure 1 General steps of change analysis |
该方法易融入事件因果关系图表，可用于展示变化前、中、后的状态和完整的变化过程。但对事件因果关系没有提供明确的认识，因而必须与其他方法结合使用。
2.1.3 屏障分析法屏障即用来保护目标免受伤害的措施，通常分为物理屏障和管理屏障[8]。屏障分析法通过跟踪对目标有害动作的威胁路径，识别受损屏障及其失效原因。屏障分析法的步骤如图 2所示。
|
图 2 屏障分析法的基本步骤 Figure 2 General steps of barrier analysis |
该方法可用于确定根原因分析的起点，但无法解决问题，需将屏障分析的结果发送到其他有明确准则可依的方法中，以发现屏障失效的根本原因。
2.1.4 事件因果关系图表法事件因果分析图的形状类似鱼骨，鱼头为事件，鱼骨为产生事件的原因，因此又称鱼骨分析法，由日本管理大师石川馨先生设计，被广泛用于技术、管理领域[9]。
分析时，通过头脑风暴法找出相关因素，并将它们与特性值一起，按相互关联性整理形成鱼骨图，如图 3所示。
|
图 3 事件因果分析图示例 Figure 3 Example of event cause analysis diagram |
该方法能够清晰地列举各种原因，并形成事件大体致因的关系排列，使决策者对问题有整体的把握，便于提出针对性的纠正措施。但是由于不同层次的原因未归类，使得该方法在深入分析时针对性不强，缺乏系统考虑。
2.1.5 事件树分析法事件树分析法是基于事件树的定性分析方法，运用事件树、根原因配置图和行动项目清单这3个工具，提供调查过程的全部论证，广泛运用于工程实践。美国汽车工程师协会颁布的“商业运营中运输类飞机的安全评估”文件将其作为根原因分析的标准方法。事件树分析法是一个迭代的过程，分析过程[10], 如图 4所示。
|
图 4 事件树根原因分析 Figure 4 Event tree analysis |
该方法具有以下优点：(1)3个工具提供了包括所有收集的证据和执行操作的完整文档，保证了调查方法与过程的可见性；(2)对未起作用的原因提供了关闭理由；(3)可识别多个作用因素；(4)调查的完整性大大增加了识别出事件根原因的可能性。
2.1.6 阿波罗根原因分析法阿波罗根原因分析法最早由Dean L. Gano提出，因用于分析阿波罗1号宇宙飞船起火事件而得名，是一种结构化的根原因分析方法。分析过程即对预定的问题问一个为什么，以动作和条件的形式回答至少两个答案，并继续追问。重复该过程数次，直到创建出完整的原因影响图，称为现实图表(Re ality chart)[11]。
该方法完整地显示了所有已知的原因、证据及其相互关系，便于找到相应的纠正措施。
2.2 常见根原因分析方法的优劣对比 2.2.1 根原因分析方法的评价标准为了对上述6种常见根原因分析方法的优劣势进行评估，确定了标准如下：
① 能否清楚地定义问题及其严重性；
② 能否清楚地确定导致问题的所有原因；
③ 能否清楚地建立根原因和问题之间的因果关系；
④ 能否清楚地展示确定原因的证据；
⑤ 是否展示了相应的纠正措施；
⑥ 分析和叙述的逻辑是否清晰。
⑦ 是否具备配套的软件工具。
2.2.2 根原因分析方法的对比分析按照2.2.1节所定义的6条标准对2.1节所描述的根原因分析方法开展对比分析，对比分析结果如表 1所示。
|
表 1 根原因分析方法对比分析结果 Table 1 Comparison of root cause analysis methods |
可以发现事件树分析法和阿波罗根原因分析法具有更强的适用性、全面性和优越性，适合用于系统地开展运输类飞机持续适航事件分析。此外，阿波罗根原因分析法还具备配套的管理软件RealityCharting，因而具有更高的工程运用价值。
其余4种方法虽然不够系统，但在定义问题和追溯原因方面具有简单快捷的优势，可以结合系统方法使用，或用于初步根原因分析。
3 案例分析以环球航空公司800次航班事故的NTSB调查过程为依据[12]，选用阿波罗根原因分析法并使用Rea lityCharting辅助分析软件对事故中存在的安全问题开展了根原因分析。
(1) 明确问题
首先明确4个基本问题：事故是什么？什么时候发生的？哪里发生的？造成了何种影响？
前3个问题很好理解，此次事故发生在1996年7月17日，一架环球航空公司的波音747飞机在执行TWA 800次航班任务从纽约飞往伦敦的途中，于空中解体并坠入大西洋。事故影响可以从人员安全、财产安全和事件频率角度表述，并将这些事故的基本信息输入软件中，如图 5所示。
|
图 5 定义问题 Figure 5 Problem definition |
(2) 绘制因果图
针对飞机为何爆炸解体的问题，NTSB的调查人员考虑了各种直接原因：飞机上有炸弹、导弹击中飞机、结构损伤引起的疲劳裂纹或飞机内部产生的爆炸等。通过对飞机残骸的检查，NTSB确定是由于飞机内部油箱发生爆炸，其他原因即被排除。将飞机解体的直接原因输入软件中，并继续追问：油箱为什么发生爆炸？
油箱爆炸需要3个必要条件：油箱内存在易燃的油/气混合物，充足的氧气和易燃混合物被引燃，将原因输入软件，如图 6所示。3个条件缺一不可，其中前两个原因是静因，由波音747飞机设计所致，此处不具体展开，第3个原因是动因，需着重考虑。
|
图 6 绘制软件因果图 Figure 6 Rendering software causality diagram |
对动因继续追问，飞机内部油箱被引燃的原因是什么？理论上有4种原因：雷电、静电、油箱内产生电弧和油箱自燃。NTSB通过检查飞机残骸、研究目击者证词和气象报告等，确定最可能的原因是油箱内产生电弧。
而电弧产生的原因又是什么？NTSB找到了两个可能的原因：一是冲击电压和硫化银沉淀发生作用，产生电弧；二是可能有裸露的导线和导电污染物因冲击电压直接产生电弧。那么导电污染物来源于何处？可能是来自维修时残留的金属碎屑。按此方法不断追问，本次事件有超过120个原因。当无法继续下一追问时，在后面添加“停止”标记。
(3) 添加证据
在分析原因时必须提供相应的证据，并在因果图上进行标注，便于评审和对分析过程的进一步跟踪和修改。证据可以按照RealityCharting软件中的预设值简单标注为观测、文档和口述等，或者进一步添加报告、图片、视频等文件到证据箱。例如在飞机解体爆炸是因为内部油箱爆炸这一因果关系中，应该添加的证据是NTSB事故调查报告
(4) 制定纠正措施
通过因果图可以得出导致事故的所有根原因，对每个根原因进行逐个分析，并制定出有针对性且可行性强的纠正措施。例如针对“电污染物可能来源于维修时残留的金属碎屑”这个问题，需要优化维修任务和程序，规定维修完毕后必须进行彻底的清洁。
(5) 生成分析报告
使用RealityCharting软件可以自动生成分析报告。此次TWA 800事故根原因分析结论为：在导线使用超过设计年限等若干个根原因共同作用下，导致飞机内部油箱起火爆炸，进而引发飞机空中解体的空难事故。根据分析报告，采取措施有效降低未来机队发生内部油箱爆炸的可能性。
通过运用阿波罗根原因分析对TWA 800事件进行结构化的根原因分析，对所有可能造成这次事故的120多个原因及证据进行一一梳理，使事故调查过程更加完整和细致，为事故调查结果的追踪和飞机产品的迭代优化提供依据。
4 结论通过对运输类飞机持续适航事件根原因分析流程和方法的研究，可以发现目前国外根原因分析方法和工具灵活多样、分析流程规范，已经取得了良好的经济和安全效益，因而有很多值得国内适航当局和运输类飞机制造商借鉴和学习之处。结合目前国内运输类飞机的发展现状，提出以下建议：
(1) 建立和完善不安全事件收集体系
鉴于国产航空器刚刚投入运行，不安全事件根原因分析经验匮乏，急需建立不安全事件收集体系和根原因分析案例数据库。不安全事件收集体系包含事件上报标准和评估机制，在事件发展成严重事故之前进行主动识别并找到根原因，从而遏制风险[13]。不安全事件案例数据库有助于根原因分析技术的积累和优化，提高国内整体不安全事件根原因分析水平。
(2) 优化根原因分析流程和方法
建议参考阿波罗根原因分析法，建立规范的国产运输类飞机持续适航事件根原因分析流程和方法，辅助开展有效的根原因分析，并提高适航管理部门和相关单位的管理水平。
(3) 开发辅助分析软件
建议开发类似于RealityCharting的根原因辅助分析软件，以提高相关单位根原因分析的效率、规范性和准确性。
辅助分析软件应实现的功能有：沟通、拖放、添加证据、图表缩放、跟踪对图表的改动、实时规则检查、自定义图表视图等，同时用于快速理解相关因果关系并构建因果关系图，简化添加证据的步骤，并最终制定优化的纠正措施。
| [1] |
比约恩·安德森, 汤姆·费格豪.根原因分析[M].贾宣东, 李文成译.北京: 中国人民大学出版社, 2011.
|
| [2] |
Aircraft Certification Service.Order 8110.107A-2012, Monitor safety/analyze data[S]. Washington D C: Federal Aviation Administration, 2012. |
| [3] |
Certification Directorate. PR.CAP.00001-002-2012, Continuing airworthiness of type design[S]. Cologne: European Aviation Safety Agency, 2012. |
| [4] |
MICHAEL S S.
Root cause analysis[J]. Journal of Vascular & Interventional Radiology, 2007, 18(1): 5–8.
|
| [5] |
ISCEN A S. Root cause analysis optimization: US 20090327195 A1[P]. 2009-1-1. |
| [6] |
刘亚青.
5why方法论在质量改进中的应用——系统化、结构化、易于实践的质量改进工具[J]. 商业文化月刊, 2010(11): 277–278.
LIU Yaqing. Application of 5why methodology in quality improvement-A systematic, structured, and easy to practice quality improvement tool[J]. Business culture, 2010(11): 277–278. |
| [7] |
时君丽, 曲洪伟.
基于变化分析法的质量过程控制分析比较[J]. 吉首大学学报(自科版), 2010, 31(3): 81–83.
SHI Junli, QU Hongwei. Analysis and comparison of quality process control based on change analysis[J]. Journal of Jishou University (Natural Science Edition), 2010, 31(3): 81–83. |
| [8] |
SHAHROKHI M, BERNARD A.
A development in energy flow/barrier analysis[J]. Safety Science, 2010, 48(5): 598–606.
DOI:10.1016/j.ssci.2010.01.006
|
| [9] |
郑照宁, 武玉英, 包涵龄.
用鱼骨图与层次分析法结合进行企业诊断[J]. 中国软科学, 2001(1): 118–121.
DOI:10.3969/j.issn.1002-9753.2001.01.026 ZHENG Zhaoning, WU Yuying, BAO Hanling. The combined application of fishbone diagram and AHP for corporation diagnosis[J]. China Soft Science Magazine, 2001(1): 118–121. DOI:10.3969/j.issn.1002-9753.2001.01.026 |
| [10] |
SAE International Group. APR5150-2003, Safety assessment of transport airplanes in commercial service[S]. Washington D C: Society of Automotive Engineer, 2003. |
| [11] |
DEAN L G.
Apollo root cause analysis-A new way of thinking[M]. New York: Apollonian Publications, 2006.
|
| [12] |
National Transportation Safety Board.PB2000-910403-2000, Aircraft accident report: In-flight breakup over the atlantic ocean trans world airlines flight 800[S]. Washington D C: NTSB, 2000. |
| [13] |
中国民用航空局航空器适航审定司. AC-21-AA-2013-19-2013, 型号合格证持有人持续适航体系的要求[S].北京: 中国民用航空局, 2013.
Aircraft Certification Office of CAAC. AC-21-AA-2013-19-2013, The requirement for the continuous airworthiness system of the type certificate holder[S]. Beijing: CAAC, 2013. |