青岛空管【安全月谈】第四期:Reason 模型的使用场景解析

SECURITY

《Reason 模型的使用场景解析》

Reason模型（瑞士奶酪模型）是将安全防护体系视为多层“奶酪”，每层代表一道防控屏障（如规章、技能、设备、监督），人为差错需穿透所有“奶酪孔洞”才会引发不安全事件，核心价值是直观拆解风险传导路径。

应用场景一般有以下几个：

1.不安全事件复盘。拆解跑道入侵、间隔不足、指令误发等事件，如分析“管制员遗忘动态”事件时，定位“规章未明确双人分工（组织层）→ 带班主任未现场管控（监督层）→ 管制员疲劳值班（人员层）→ 雷达告警未触发（设备层）”的漏洞链。

2.风险防控体系优化。针对高风险场景（如雷雨绕飞、航班移交），梳理现有屏障并补全漏洞，例如为“跨区域移交”增设“指令复诵+电子核对+带班主任确认”三层屏障。

3.安全培训与意识提升。在管制员岗前培训、复训中，用模型讲解“小失误叠加引发大风险”的逻辑，强化“每道屏障都关键”的责任意识。

4.新程序/新设备上线评估。评估新运行程序（如平行跑道相关进近）的防护屏障完整性，提前补全“培训不足、流程模糊、设备适配差”等潜在漏洞。

Reason模型同时有它自身的局限性，主要有以下几点：

1.难以应对动态风险。空管运行中“航班流量波动、突发设备故障、极端天气”等动态因素，会导致屏障“孔洞大小”实时变化，模型难以动态适配。

2.对人为因素的复杂性刻画不足。未区分“技能型失误、规则型失误、知识型失误”的差异，也未考虑管制员心理状态、团队协同等主观因素对屏障有效性的影响。

3.缺乏优先级指引。仅指出“需补全屏障”，但未明确不同屏障的改进优先级（如优先升级设备告警，还是完善规章流程），易导致资源浪费。

4.不适用于单一屏障失效的场景。若某起事件仅因“设备突发故障”（单一屏障失效）引发，模型难以发挥分析价值，更适用于多环节漏洞叠加的复杂事件。

1.动态看待“屏障有效性”。屏障效果会随运行状态变化：如“双人核对”在航班低峰时有效性高，高峰时可能因精力分散出现漏洞，需结合流量动态调整屏障强度（如高峰时增设带班主任复核环节）。

2.深挖“隐性屏障漏洞”。除了规章缺失、设备故障等显性屏障，更要关注“安全文化缺失”、“协同默契不足”等隐性漏洞，如Reason模型的“组织层”需延伸至空管安全文化建设，“监督层”需包含同事间的补台机制。

3.区分“漏洞类型”。对“制度性漏洞”（如无GPS干扰专项预案）需完善规章流程，对“执行性漏洞”（如培训未落地）需强化监督考核，对“能力性漏洞”（如应急处置不熟练）需加强模拟机演练，避免“一刀切”补漏。

4.避免“模型使用僵化”。模型常用于事后事件拆解，但需拓展至事前风险预判，如针对“新放单管制员”这一高风险群体，提前用Reason模型预判“行为前提层（技能不足）”、“监督层（带教不到位）”的漏洞，提前完善带教机制。