3、风险管理核心概念：风险识别、风险分析、风险评估、风险控制与缓解的基本流程

航空安全管理的核心在于对风险的系统化处置。国际民航组织（ICAO）《安全管理手册》（Doc 9859）明确要求，所有运行人和服务提供者必须建立正式的风险管理流程。该流程并非简单的线性步骤，而是一个闭环迭代的决策系统，其基本逻辑可概括为：识别什么可能出错（识别）→ 出错的可能性与后果有多严重（分析）→ 该风险是否可接受（评估）→ 采取什么措施降低风险（控制/缓解）→ 验证措施是否有效（再评估）。本章将围绕这一核心链条，结合民航运行实例，深度拆解每个环节的工程化操作要点。

上图展示了风险管理四大步骤的闭环逻辑。需要特别强调的是，风险控制并非流程的终点，控制措施的有效性必须通过后续的运行数据反馈进行验证，若残余风险超出可接受水平，则需重新进入识别与分析环节。这种动态循环机制，确保了安全管理体系（SMS）的持续改进属性。

3.1 风险识别：从“未知”到“已知”的系统化扫描

核心原理

风险识别的本质是危险源（Hazard）探测。危险源是指可能导致人员伤害、设备损坏、财产损失或环境破坏的潜在条件或状态。在航空领域，危险源通常分为物理性（如跑道道面破损）、环境性（如雷暴、风切变）、程序性（如检查单设计缺陷）、人为因素（如疲劳、沟通不畅）和组织性（如培训不足、排班不合理）五大类。识别的关键不在于“找到所有风险”，而在于建立持续扫描的机制，确保新风险能够被及时捕获。

操作流程与方法

有效的风险识别依赖多元化的数据源。下表列出了民航企业常用的识别渠道及其适用场景：

在实际操作中，建议采用“自上而下”与“自下而上”相结合的方式：管理层通过趋势分析确定战略风险方向，一线员工通过报告系统反馈具体操作风险。识别结果必须记录于危险源登记册，并明确每个危险源的编号、描述、发现日期、发现渠道及初步影响范围。

案例拆解：某航司“跑道侵入风险”识别过程

背景与约束：某中型机场日均起降300架次，滑行道与跑道交叉口较多，且塔台与地面管制频率拥挤。该航司近半年收到3起“跑道侵入”相关自愿报告，但均未造成冲突。

识别动作：安全部门将3起报告与机场方提供的ASDE-X（机场场面检测设备）数据交叉比对，发现其中2起发生在夜间低能见度时段，且机组均反映“对C滑行道与跑道27L交叉口标志辨识不清”。同时，飞行数据监控显示，该航司飞机在穿越跑道等待点时的平均滑行速度比标准程序高出8节。

输出：识别出两个具体危险源：①机场地面标志线磨损导致视觉引导不足；②机组在低能见度下滑行速度控制标准缺失。这两个危险源被录入登记册，并标记为“高风险关注项”。

常见误区

• 将“事件”等同于“危险源”：事件是危险源被触发后的结果，识别应关注导致事件的底层条件。
• 依赖单一数据源：仅靠自愿报告会漏掉大量“沉默风险”，必须结合主动监控数据。
• 忽视“正常操作中的微小偏差”：许多重大事故的前兆是日常运行中看似无害的偏差累积。

3.2 风险分析：量化可能性和严重度

核心原理

风险分析是将识别出的危险源转化为可比较的风险等级的过程。其核心公式为：风险 = 可能性（Probability）× 严重度（Severity）。可能性指危险源触发事件的概率（如每千次飞行发生次数），严重度指事件发生后最可能的后果等级（从“轻微不便”到“机毁人亡”）。分析阶段需要结合运行经验、历史数据、专家判断和工程模型进行综合推断。

分析方法与工具

根据数据可得性和问题复杂度，可选择不同分析工具：

1. 定性分析（SHELL模型）：从软件（S）、硬件（H）、环境（E）、人（L）四个界面分析人为差错与系统交互的失效点。适用于程序审查和人为因素分析。
2. 半定量分析（Bowtie模型）：以危险源为中心，左侧分析威胁与顶事件（风险释放）的路径，右侧分析后果与屏障（控制措施）。适用于评估现有防护措施的有效性。
3. 定量分析（故障树/事件树）：基于概率数据计算顶事件发生频率。适用于高价值、高复杂度系统（如发动机失效概率分析）。

在确定可能性等级时，建议参考以下频次定义：

案例拆解：进近阶段风切变风险分析

初始现象：某航司在雷雨季节连续发生3次复飞事件，均为进近时遭遇低空风切变。虽然机组处置正确，但暴露出预警不足的问题。

分析过程：安全部门利用快速存取记录器（QAR）数据，提取了风切变发生时的风速变化率、高度、空速和机组反应时间。分析发现：①风切变均发生在500英尺以下；②机载气象雷达无法有效探测微下击暴流；③从风切变告警到机组执行复飞程序的平均延迟为3.5秒，高于手册建议的2秒。

量化结果：可能性等级定为“偶尔（4）”（雷雨季每千次进近发生约0.8次），严重度等级定为“严重（4）”（可能导致重着陆或可控飞行撞地）。风险指数为4×4=16，属于高风险区域。

常见误区

• 混淆“可能性”与“暴露度”：暴露度指人员或设备暴露于危险源的时间长度，应作为独立维度考虑。
• 严重度评估过于乐观：应基于“最坏合理情况”而非“最可能情况”来评估后果。
• 忽视分析假设的局限性：所有分析模型都有边界条件，需在报告中明确说明。

3.3 风险评估：确定风险可接受性

核心原理

风险评估是将分析阶段得出的风险指数与风险可接受标准（ALARP原则）进行比对。ALARP（As Low As Reasonably Practicable）原则要求风险必须降至“合理可行的最低水平”。评估结果分为三类：可接受（绿区）——无需额外措施；可容忍（黄区）——需采取缓解措施并持续监控；不可接受（红区）——必须立即停止相关运行或采取紧急措施。

评估矩阵与决策逻辑

典型的5×5风险矩阵如下：

评估决策应遵循以下原则：

• 红区（15-25）：立即停止相关运行活动，启动专项整改，直至风险降至黄区以下。
• 黄区（5-14）：制定风险缓解计划，明确责任人和完成时限，并实施增强监控。
• 绿区（1-4）：维持现有控制措施，定期复核有效性。

实战场景：新开航线的风险评估

场景描述：某航司计划开通高原机场（海拔3500米）航线，该机场地形复杂、天气多变，且公司此前无该机型高原运行经验。

评估过程：①识别危险源：地形障碍物、发动机性能衰减、机组高原反应、进近程序不熟悉。②分析：发动机性能衰减可能性“偶尔（4）”，严重度“严重（4）”，风险指数16（红区）。③评估决策：该风险不可接受，必须采取控制措施后方可运行。④控制措施：修改机型性能计算软件、强制双机长配置、增加高原运行专项培训、制定一发失效飘降程序。⑤再评估：措施实施后，可能性降至“极少（3）”，风险指数降至12（黄区），批准运行但要求首月加强监控。

常见误区

• 将“评估”视为一次性动作：风险评估应随运行环境变化而动态更新。
• 忽视“风险容忍度”的组织差异：不同航司对同一风险指数的接受程度可能不同，需结合企业安全政策。
• 评估结果未与运行决策挂钩：评估报告若不能直接影响航班放行、航线审批或人员排班，则形同虚设。

3.4 风险控制与缓解：从“识别问题”到“解决问题”

核心原理

风险控制的目标是降低风险指数至可接受水平。控制策略遵循“消除→替代→工程控制→管理控制→个人防护”的层级原则。在航空领域，具体表现为：

1. 消除/规避：取消高风险航线、更换运行时段、停用故障设备。
2. 降低可能性：增加培训频次、优化程序、改进设备可靠性、加强天气预警。
3. 减轻严重度：加装地形告警系统（TAWS）、增强座椅约束、完善应急程序。
4. 风险转移/分担：通过保险、外包非核心业务（如地面保障）来分散风险。

控制措施的制定与验证流程

制定控制措施需遵循SMART原则（具体、可衡量、可达成、相关、有时限）。验证措施有效性需通过以下步骤：

• 实施前基线测量：记录当前风险指标（如超限事件率）。
• 实施后效果对比：在预定周期后（通常为3-6个月）重新测量同一指标。
• 残余风险评估：即使措施有效，仍需确认残余风险是否处于可容忍范围。
• 新风险引入检查：控制措施本身可能带来新风险（如新程序导致操作复杂度增加），需同步评估。

案例拆解：不稳定进近风险控制闭环

背景：某航司季度安全报告显示，不稳定进近发生率为8%（行业平均5%），其中复飞率仅30%（行业平均50%）。

分析与评估：通过FOQA数据分析，发现主要诱因是机组在1000英尺以下仍盲目追求自动飞行模式衔接，且公司未明确“不稳定进近必须复飞”的强制标准。风险指数为可能性“频繁（5）”×严重度“严重（4）”=20（红区）。

控制措施：①修订《进近稳定标准操作程序》，明确500英尺以下必须满足稳定进近全部标准，否则强制复飞；②在飞行管理计算机（FMC）中增加“不稳定进近”语音告警；③将复飞决策纳入机组资源管理（CRM）训练考核；④每月发布各机队不稳定进近趋势报告。

结果对比：措施实施6个月后，不稳定进近率降至5.2%，复飞率提升至48%。残余风险指数降至“偶尔（4）”ד严重（4）”=16（黄区），但仍需持续监控。

复盘经验：控制措施的成功关键在于“强制标准+技术辅助+训练强化”三管齐下，单一措施难以奏效。同时，需警惕机组因“怕复飞被批评”而隐瞒不稳定进近，因此安全文化必须鼓励主动报告。

常见误区

• 重“制定”轻“执行”：措施发布后未跟踪落实，导致形同虚设。
• 忽视“人为因素”的反弹：新程序可能增加工作负荷，需通过人机界面优化来平衡。
• 未建立“风险登记册”动态更新机制：控制措施完成后，应及时关闭或降级风险项，避免清单冗长失效。