3、法规与标准体系：ICAO、EASA、FAA、CAAC等适航与运行规章，SMS框架要求
航空安全方案设计的首要前提是明确法规与标准体系的边界。国际民用航空组织（ICAO）通过《芝加哥公约》附件19确立了全球统一的安全管理最低标准，各国适航与运行规章（如EASA、FAA、CAAC）在此基础上进行本地化细化，而SMS（安全管理体系）框架则是将法规要求转化为组织内部可操作流程的核心载体。理解这一体系的层级关系、适用边界与合规逻辑，是风险评估与控制方案获得批准并有效运行的基础。
3.1 国际标准与国内规章的层级关系
核心原理：ICAO附件19是国际民航安全管理的“宪法”，它不直接规定具体机型或航线的操作细节，而是要求各缔约国建立国家航空安全计划（SSP），并强制要求航空运营人、维修机构、空中交通服务提供者等组织建立SMS。EASA、FAA、CAAC的规章则是在ICAO框架下的本地化实施，它们将国际标准转化为具有法律强制力的适航指令、运行规范和咨询通告。
| 层级 | 机构/文件 | 核心内容 | 对安全方案的影响 |
|---|---|---|---|
| 国际标准 | ICAO 附件19 / Doc 9859 | SMS四大支柱、SSP框架、安全绩效指标（SPI） | 确定方案的结构框架与最低要求 |
| 地区规章 | EASA Part-ORO / Part-ARO | 运营人SMS要求、风险评估方法、持续适航管理 | 细化风险控制措施的实施路径 |
| 国家规章 | FAA 14 CFR Part 5 / 121 | SMS强制实施时间表、风险矩阵标准、报告制度 | 提供合规性检查单与审计依据 |
| 中国规章 | CAAC CCAR-121 / CCAR-398 | 运输航空公司SMS要求、安全信息报告、风险评估指南 | 明确国内运行的具体合规要求 |
判断方法：在设计安全方案时，首先应确定运营人所在辖区的适用规章版本。例如，一家同时运营中国国内航线和欧洲航线的航空公司，其安全方案必须同时满足CCAR-121和EASA Part-ORO的要求。此时应采用“最严格条款优先”原则，即当不同规章对同一风险的控制标准存在差异时，选择控制要求更高的条款作为方案基准。
3.2 SMS框架的四大支柱与风险评估的接口
核心原理：SMS框架由安全政策、风险管理、安全保证、安全促进四大支柱构成。其中风险管理支柱直接对应安全方案中的风险评估与控制环节，而其他三大支柱则为风险评估提供组织保障、数据反馈和能力支持。风险评估不是孤立的技术活动，而是嵌入在SMS闭环中的核心流程。
操作流程：在SMS框架下开展风险评估，通常遵循以下五个步骤：
- 系统描述：明确被评估对象（如新开航线、新机型引入、维修程序变更）的运行环境、边界条件和接口关系。
- 危险源识别：基于规章要求、历史数据、专家判断和运行经验，识别潜在危险源。常用工具包括头脑风暴、检查单、故障树分析（FTA）和失效模式与影响分析（FMEA）。
- 风险分析与评估：采用风险矩阵（通常为5×5或3×4矩阵），从严重度和可能性两个维度对每个危险源进行评级，确定风险指数（RI）。
- 风险控制：针对不可接受的风险（通常RI≥7或处于红色区域），制定消除、缓解或隔离措施。控制措施应遵循“3E原则”——工程（Engineering）、教育（Education）、执行（Enforcement）。
- 验证与持续监控：通过安全保证支柱中的审计、调查和绩效监测，验证控制措施的有效性，并跟踪残余风险。
| SMS支柱 | 对风险评估的输入 | 对风险评估的输出 |
|---|---|---|
| 安全政策 | 安全目标、风险容忍度标准、管理承诺 | 明确风险可接受水平的边界 |
| 风险管理 | 危险源数据库、风险登记册 | 风险控制方案、残余风险清单 |
| 安全保证 | 审计发现、事件报告、安全绩效指标（SPI） | 控制措施有效性验证、方案修订建议 |
| 安全促进 | 培训记录、安全文化调查结果 | 风险沟通策略、安全行为引导方案 |
3.3 案例拆解：某航空公司新开高原航线风险评估
背景与约束：某航空公司计划开通成都—拉萨航线，使用A319机型。该航线涉及高原机场运行（海拔>2438m），地形复杂、天气变化剧烈，且机场单跑道运行，无精密进近程序。公司SMS要求所有新开航线必须完成风险评估后方可提交运行审批。
初始现象与目标：初始风险评估发现三个主要危险源：①发动机推力衰减导致爬升梯度不足；②地形告警（TAWS）虚警率偏高；③机组高原运行经验不足。目标是将所有风险降至可接受水平（RI≤5），并满足CAAC CCAR-121.195条对高原运行的特殊要求。
关键输入数据：
- 机场标高：3570m（跑道入口），起飞爬升梯度要求≥4.0%
- A319发动机型号：CFM56-5B，高原性能衰减系数0.8%/1000m
- 历史数据：近5年该航线风切变事件年均12起，其中3起触发TAWS告警
- 机组资源：该航空公司具备高原运行资质的机长占比仅15%
分析判断过程：针对危险源①，通过性能计算软件模拟，在ISA+20℃条件下，起飞重量需限制在62吨以下才能满足爬升梯度要求，这意味着需减载约8吨。针对危险源②，分析TAWS虚警记录发现，主要原因是地形数据库精度不足（误差±100m），导致在特定进近路径上产生虚假告警。针对危险源③，对照CCAR-121.195条要求，机长需具备至少300小时高原运行经历，当前缺口明显。
实际操作步骤：
- 制定《高原航线运行限制通告》，明确最大起飞重量限制和减载预案。
- 与机场沟通更新地形数据库，同时修改TAWS告警参数（将地形余度从500ft调整为400ft）。
- 启动“高原机长专项培养计划”，安排12名候选机长进行模拟机高原科目训练和航线带飞。
- 在SMS风险登记册中新增3条风险记录，并设定SPI指标：高原航线爬升梯度告警率≤0.5次/千次起降。
结果对比与复盘：方案实施后试运行3个月，共执行航班87班。实际载运率下降6%，但未发生一起因推力不足导致的复飞事件；TAWS虚警率从每月2.3次降至0.4次；12名机长全部获得高原运行资质。复盘发现，初始风险评估中低估了地形数据库更新的时间成本（实际耗时45天），导致方案实施延迟。后续改进措施是将“数据更新周期”纳入风险评估的时间维度考量。
3.4 常见误区与总结复盘
常见误区一：将法规符合性等同于安全水平。许多安全方案设计者认为只要满足规章的最低要求，风险就是可控的。实际上，规章是最低标准，而安全方案的目标应高于最低标准。例如，CCAR-121部要求机组每年完成2次应急演练，但针对高高原航线，应增加至4次并包含客舱失压专项演练。
常见误区二：忽视规章的时效性。适航指令（AD）和运行规章会不定期修订。安全方案中引用的规章版本若未及时更新，可能导致方案在局方审查时被退回。建议建立规章跟踪机制，每月核查ICAO、EASA、FAA、CAAC官网的更新公告。
常见误区三：SMS框架与安全方案“两张皮”。部分公司将SMS文件体系与具体安全方案分开管理，导致风险评估结果无法有效反馈到SMS的风险登记册中。正确的做法是将安全方案作为SMS风险管理支柱的“项目级实施文件”，所有风险记录、控制措施和验证结果均应同步至SMS数据库。
总结复盘清单：
- 是否已建立ICAO、EASA、FAA、CAAC规章的差异对照表？
- 风险容忍度标准是否与公司安全政策一致？
- 风险评估方法是否满足局方咨询通告的推荐做法？
- 控制措施是否同时考虑了工程、教育、执行三个维度？
- 残余风险是否已录入SMS风险登记册并设定SPI？
- 方案中引用的规章版本是否为最新有效版本？