1995年2月 决策差错+经验不足+CRM失效+工作负荷大+休息时间不足+急于起飞导致起飞后飞机失控坠毁

1995年2月一个晴朗的夜晚，一架只有3个发动机可用的DC-8货机停在跑道上，其三人机组在各自位置上准备就绪，本次飞行的目的是把飞机从密苏里州（Missouri）堪萨斯城（Kansas City）转场到马萨诸塞州（Massachusetts）奇科皮（Chicopee）进行维修。几分钟前，由于飞机失去方向控制，机组中断了初次起飞、在第二次尝试用3发起飞不久，机组再次失去方向控制，飞机开始偏离跑进。然而这一次，机组并没有像上次一样中断起飞，机长选择了继续起飞并过早地增大仰角。飞机刚刚升空不久，就开始向左滚转，最后坠毁到地面上。三名机组成员随着飞机的坠毁全部死亡（NTSB，1995a）。

失事飞机沿着科罗拉多州（Colorado）丹佛（Denver）到堪萨斯城的定期空运航线飞行，前一天到达。原计划当天晚些时候再装上货物，飞往俄亥俄州（Ohio）托莱多（Toledo）。然而，在启动发动机时，1号发动机的变速箱出现故障，发动机无法启动。巧的是，变速箱无法在当地维修，于是公司决定卸掉货物，第二天用3个完好的发动机把飞机转场到奇科皮进行维修。

这时，由于前两天刚刚执行完安排十分紧凑的任务，失事机组在特拉华州（Delaware）多佛尔（Dover）已经没有任务了，其飞行计划要求他们当天在多佛尔过夜，第二天下午把另一架飞机飞到堪萨斯城。由于该机组要来堪萨斯城，于是航空公司决定，由他们把只有3个发动机可用的飞机飞到奇科皮——这是一个有点不同寻常的决定，因为可以派遣其他的3发起飞经验更丰富的机组。

不管怎样，事情已经决定了。那天晚上晚些时候，DC-8飞机原机组的正驾驶和失事机组的机长取得联系，讨论此次3发飞行任务。他们讨论了奇科皮的天气预报和2300的着陆限制，惟独没有回顾3发起飞的程序。

第二天，从多佛尔到堪萨斯城的飞行平安无事，机组着手准备到奇科皮的3发飞行。因为预计此次飞行要用2小时少一点，于是他们决定，必须在当天晚上8点（美国中部标准时间，CST）之前离开堪萨斯城，才能在奇科皮机场晚上11点（东部标准时间，EST）关闭之前到达（注意堪萨斯城和奇科皮有1小时的时差）。然而尽管有机场关闭的时间限制，到了晚上8点多（美国中部标准时间，CST），发动机才启动，随后机组又出现了几个程序差错。时间已经有点晚了，机长把飞机滑行到跑道上，通知机组其他成员说一旦起飞，他们要尽可能地飞直线，在东部标准时间（EST）晚上11点机场关闭之前到达奇科皮，同时他还简单讲解了3发起飞的程序。该简令没有很好地理解3发起飞的油门控制技巧，也没有讲清楚起飞前地面试车的最小操纵速度（Vmcg）。飞机移动到跑道起飞位置，对3个可用的发动机进行了地面试车，最后，飞机大概是在中部标准时间（CST）晚上8:20开始起飞滑跑（比计划时间晚了近20分钟）。然而在起飞滑跑过程中，不对称的发动机产生的推力增加得太快了（此例中指的是4号发动机，和不工作的1号发动机相对应），导致飞机推力不对称，飞机向左偏转（见图1）。也就是在这一时刻，机长决定中断起飞，飞机滑跑到跑道尽头。

图1 1号发动机（打x号的）失效的DC-8飞机由于4号发动机产生的不对称推力向左偏转（注：该图未按比例画）

飞机重新滑回跑道起始位置，为下一次起飞作准备的过程中，机组讨论了方向控制问题以及它与Vmcg速度的关系，尤其关注了不对称的发动机（4号发动机）推力增加的快慢问题。这次讨论，再次让机组陷人困惑之中。然而这一次，机长却违反公司程序，在接下来的起飞过程中，让飞行工程师而不是他自己，控制不对称发动机的推力。机长这样做也许是想把注意力集中在飞机方向控制上。

现在，比计划时间晚了近30分钟，飞机再次在跑道起始位置就位，塔台允许起飞。于是，飞行工程师控制着油门，飞机开始起飞滑跑，可是，过次不对称的发动机的推力增加得比上一次更快。结果，就在副驾驶刚刚报告完“空速”60节时，飞机突然向左偏转，机长马上纠正过来。然后，几乎就在副驾驶报告“90节”时，飞机再次向左偏转。然而这一次，机长没有像第一次那样中断起飞，而是继续起飞。看到飞机将要脱离跑道，机长向后拉杆，试图使飞机前轮早一点抬起（比成功起飞所需速度大约少了20节）。随着副驾驶喊“我们起飞了”，飞机腾空而起，升空不久就偏航了，飞机慢慢横滚了90度，直到撞地。

（1）用HFACS进行人的因素分析

用HFACS分析NTSB的报告有多种方法。我们发现最好的方法是，像该领域的调查人员开始调查的做法一样，从事故发生之时往回找。从某种意义上讲，我们是把录像带倒回去并进行系统的分析。使用该途径，我们发现，是机长决定继续起飞，并在低于抬前轮速度大约20节的情况下拉起了飞机，最终使机组命丧黄泉。也就是说，选择继续起飞，而不是中断起飞，使得机组再次失去方向控制，最终导致飞机撞地。事后看来，机长应该像前一次一样中断起飞，然后再试一次。甚至更彻底，干脆取消此次飞行，因为无论如何，他们已经无法在晚上11点奇科皮机场关闭之前到达那里了。

使用HFACS，我们如何对飞行员“继续（而不是中断）起飞”（NTSB，1995a，p.79）的事实进行分类？根据您的工作所对应的层次（例如不安全行为、不安全行为的前提条件、不安全的监督或者组织影响），这个分析实际上是一个两步或者三步的过程（见图2）。例如，在本例中，继续起飞的决定显然是不安全行为，接下来的步骤是确定该不安全行为属于差错还是违规。其实这样做有点不明智，因为我们没有证据表明机长的决定违背了任何规章制度（而在这样情况下，本该认定是违规）。因此，我们认为它是一个差错。

接下来，我们要确定出了什么类型的差错（技能差错、决策差错还是知觉差错）。根据前一章的定义，该差错似乎不是由错觉和空间定向障碍引起的，因此，不属于知觉差错。也不是自动化的行为或者技能导致的（如果是的话就可以归到技能差错里）。接着往下分析，我们发现，选择继续起飞是机长有意识的决定，因此，根据HFACS框架，它属于决策差错。

图2 运用HFACS对事故原因分析的步骤

继续进行分析，接下来我们要问：“在起飞滑跑时，机组为何两次都不能控制住飞机的方向？”理论上的回答相当简明。在机长的首次尝试和飞行工程师的再次尝试中，不对称的发动机的推力增加得太快（即右侧机翼下的发动机产生的推力比左侧的大），无意间导致飞机向左偏转，从而失去控制，这两次起飞尝试都存在不安全行为，而且属于同一种差错。但是，是什么类型的差错呢？答案也许就在机组3发起飞经验不足之中。根据事后了解，尽管前些年三名机组成员全都在模拟器上完成了3发起飞的培训，但只有机长在一架飞机上真正操作过——后来作为副驾驶也操作过几次。飞机对增加的推力将如何反应？机组对此缺乏真实的感受，同时又碰上机组经验不足出现差错几乎是无法避免的。因此，最后的结论是，飞行工程师增加不对称的发动机推力的方式导致了“飞机在起飞滑跑时，失去方向控制……”（NTSB，1995a，p.79）。这很大程度上是由于3发起飞的经验不足造成的。于是，飞行工程师增加发动机推力的技术不精被归人到技能差错之中。

由于油门增加的快慢在本次事故中至关重要，也许我们应该这样问“飞行工程师究竟为何会控制油门？”记得那天晚上机组首次尝试3发起飞时并不是这样。实际上，第一次起飞中断后，飞行工程师这样向机长建议“……如果您想再来一次，我来控制发动机推力……”（NTSB，1995a，p.10），机长同意了。然而，公司操作手册明确规定只有机长，而不是其他机组成员，在“加速到Vmcg速度时，要平缓地增加不对称的发动机的推力”（NTSB，1995a，p.45）。事实上，允许别人而不是正在操作的飞行员负责增加不对称的发动机的推力，两人之间的控制相互隔离，很少有机会、甚至没有机会反馈信息。在某种意义上讲，就像让别人踩住家用汽车的油门而您掌握方向盘一样——当然对驾驶汽车来说不是个好主意，更何况是驾驶一架只有3个发动机可用的DC-8飞机！鉴于公司的操作程序禁止机长以外的任何人在3发起飞时控制油门，“（机组）决定修改这些程序”（NTSB，1995a，p.79），使用HFACS分析时，允许飞行工程师增加推力被认为是违规。而且，这种违规相当稀少，管理上也无法容忍。结果，这种不安全行为进一步被归类成偶然性的违规。

同时要注意的是，这并不是那天晚上机组首次尝试3发起飞。事实上，第一次尝试时，机长也不能维持飞机的方向控制，他也使不对称的发动机的推力增加得太快。人们也许认为，第一次起飞失去控制，飞机滑回起始位置准备再次起飞的过程中，机组的讨论应该主要集中在正确的起飞参数和3发起飞程序上。然而，实际情况是，机组表现出更多的困惑和对3发起飞的Vmcg速度以及随之而来的方向舵效能的继续误解，这导致第二次起飞时机组协同不畅。实际上，几分钟前以及中断起飞之后，机组都表现出困惑，“对3发起飞程序不理解”（NTSB，1995a，p.79），导致驾驶舱里缺少协同。因此，该致因因素被归类为机组资源管理失效。

机组对3发起飞的困惑导致了事故，这很容易理解，但不明显的、表面上看来无关紧要的差错却最终使机组命丧黄泉，甚至在飞机滑行到跑道之前，在起飞前的计算中，“飞行工程师（算错了）Vmcg速度，使得数值低了9节” （NTSB，1995a，p.77）。可能是飞行工程师在起飞前计算飞机性能时，使用了华氏温度而不是摄氏温度。出现这种差错并不奇怪，因为多数公司的飞机性能曲线图使用的是华氏温度，而不是摄氏温度。然而，这个可以理解的小差错却使得Vmcg速度值比实际需要的低了9节，这或许是机组过早给不对称的发动机增加起飞推力的原因。因此机组又产生了一个差错。

不过，与前面描述的有意的决策差错不同，这个差错像是习惯性的——自动化的行为。毕竟，飞行工程师习惯于使用华氏温度进行飞行前计算，而不是摄氏温度。因此它被归入技能差错中。

用手指着机组的鼻子，滔滔不绝地斥责他们的一些不安全行为十分容易，但是深层次的、更难回答的问题是，“究竟为何会出现这些差错？”至少部分答案能用机组发生事故时的精神状态来回答。例如，舱音记录器（CVR）表明机组显然“是在自身制造的压力下驾驶飞机，目的是赶在机场关闭之前到达（奇科皮）”（NTSB，1995a，p.77）。机长的意见如“要尽可能飞直线”（指的是去奇科皮要尽量飞直线的要求），“……我们有两个小时完成任务……”以及副驾驶的话如“……弟兄们，我们的时间越来越紧张了……”，“……（嗨），我们要尽全力……”所有这些都表明机组敏锐地意识到机场关闭时刻的逼近，这些只能使机组压力增加（NTSB，1995a，p.3，14，97）。可以想像，自身制造的时间压力很可能影响了事故发生前机组在关键时刻的决策——特别是机长的继续起飞而不是中断起飞的决定。根据HFACS框架，我们把机组自身制造的压力归入不安全行为的前提条件中，确切地说是精神状态差。

除了自身制造的压力外，机组成员特别是机长，也许还受到了精神疲劳的折磨。正如前面指出的，在前两天中，机组已经完成了安排十分紧凑的任务。特别是他们已经从特拉华州多佛尔到德国拉姆斯泰因（Ramstein）飞了6.5小时的教练飞行，接下来仅休息了不足10个小时。接着他们又从拉姆斯泰因借道加拿大纽芬兰甘达尔（Gander）飞回多佛尔，飞了9.5个小时。到达多佛尔后，机组于凌晨2:40住进旅馆，在被指派合法地执行其他商业（盈利因素造成的）航班之前，他们要休息16个小时。然而，机长一晚上休息得并不好，整整一夜他数次被公司运行部门和原机组的正驾驶打扰，讨论第二天的转场飞行。通话记录显示，机长不受打扰的休息时间最长的一段不足5小时。

仅仅休息了大约12个小时之后，机长和机组成员驾驶飞机离开多佛尔，这是他们当天的第一次飞行，飞机在下午5:30后不久到达堪萨斯城。遗憾的是，人的疲劳常常是一种模糊不清、难以验证的状态，特别是在确定它多大程度上导致了事故的时候。据说，机组的不良决策意味着不仅是机长，甚至是整个机组都“受到休息机会减少，生理节律被打乱和事故发生前一天缺乏睡眠引起的疲劳的影响”（NTSB，1995a，p.76），根据HFACS框架，所有这些后果都是精神状态差引起的。

到目前为止，我们关注的仅仅是机组。但是，使得HFACS在事故调查时特别管用的原因是，它能鉴别出系统上层的致因因素——监督和组织的层次。例如，也许有人会问，为何偏偏是这个机组被指派去执行转场飞行任务？特别是考虑到其他经验更丰富的机组也可以被指派的时候。前面说过，没有记录能表明机长以前有以机长的身份进行过3发起飞的经历，整个机组也从来没有一起执行过这样的任务。即使这样，公司还是允许其所有的DC-8飞机的机长执行此起飞程序，不管他们有无经验或者培训经历。因此，根据公司的标准，机组“有资格”执行此飞行任务，不过，根据行业标准，他们还有资格吗？实际上，事故发生之后，NTSB调查了其他9家航空货运公司，其中只有两家指派航线飞行机组（如发生事故的这个机组）执行过3发起飞。相反，多数航空货运公司指派其检定飞行员（check airman）或者专门负责维修转场的机组执行这样的任务。在这两家航空货运公司中，一家严格限制3发起飞，只指派最有经验的机组。不管怎么说，在“其他经验更丰富的机组可以指派的情况下”（NTSB，1995a，p.77），指派该机组执行3发转场飞行任务属于不安全的监督，确切地说是运行计划不适当。

那么，公司为何没有指派最好的机组执行3发转场任务呢？或许公司的决定多多少少受了美国联邦航空条例（FAR）的影响，该条例要求执行盈利航班任务（如运送旅客或者货物）的飞行员在执行下一次任务之前，至少要休息16个小时，但是对执行非盈利航班任务的限制就没那么严格了。结果，失事机组在授权执行从多佛尔到堪萨斯城的非盈利转场任务之后，仅仅休息了9.5个小时，然后公司就允许他们执行到奇科皮非盈利的3发转场飞行。不过，根据联邦条例的规定，同一天，他们不能合法地执行从堪萨斯城到托莱多的盈利航班任务。事实上，该地区的另一个机组3发转场飞行经验更丰富，但是根据联邦的指导原则，他们能合法地执行盈利航班任务。于是，公司不但没有指派经验更丰富的机组执行到奇科皮的3发转场飞行，并推迟到托莱多的盈利航班，而是指派了经验不足的机组，让盈利的航班准时起飞。也许有人会说，公司指派失事机组执行转场任务的决策更多的是受到了利益的驱动，它的作用比安全的驱动作用更大。在HFACS框架内，这类组织影响最应该被认定为资源管理失效。

不同寻常的是，FAA由于上一次DC-8飞机坠毁，已经知道了航班和值班时间条例存在潜在的危险，当时的条例这样规定“当机组执行非盈利的转场任务时，允许减少机组本息时间[《联邦法规汇编（CFR）》第14卷第91部分]”（NTSB，1995a，p.77）。事实上，NTSB已经建议FAA对该条例进行适当修改，但是它们还没有被贯彻执行。如此一来，我们如何在HFACS框架内找到组织外部的致因因素呢？从前而的章节中我们已经知道，像这些致因因素本来就不该在HFACS内部寻找，因为它们根本就不在组织影响的范畴内（组织无法控制联邦立法，最多也只能施加微弱的影响），于是，我们认为它们属于外界影响（本案例中指的是联邦航空条例的漏洞），有导致事故的潜在可能。

一些人仍然会说，机组接受过3发转场飞行训练，航空公司也给每名机长都进行了同样的培训，因此，他们“有资格”执行这个任务。但是那些培训有效果吗？这么一问，这些人的潜意识反应显然是希望他们“千万别”出现悲惨后果，NTSB找到了一些更严重的问题，公司使用的飞行模拟器不能正确地模拟3发起飞时的偏航效应，而这正是机组两次起飞过程中遇到的最大问题。实际上，事故发生后，对模拟器进行了测试，测试结果表明，只使用4个发动机的3个起飞时，不管在多快的速度下，飞机都能很容易地维持在跑道中心线上，这在真飞机上显然是无法做到的。可悲的是，公司培训部门没有注意到模拟器的这种不真实性。因此，可以认为公司培训计划缺少“足够的、逼真的3发起飞模拟技术，以及起飞程序培训内客”（NTSB，1995a，p.76），这是另一种不安全行为的前提条件（环境因素），确切地说是技术环境的一种失效。

除了模拟器固有的缺陷外，“飞机操作手册对3发起飞程序的描述也令人费解”（NTSB，1995a，p.76）。3发起飞在动力学上来说，即使是油门操作均衡，不出差错的余地也很小。对3发起飞程序的任何疑惑都只能使困难的任务难上加难。值得赞扬的是，公司确实进行了3发起飞日常规培训，但是操作手册上的操纵程序描述得很不清楚，加上模拟器不能准确地反映实际情况，削弱了培训效果。因此，我认为这不是一个组织过程问题，而是公司操作手册的程序有缺陷，就像模拟器的问题一佯，我们认为它是技术环境失效。

最后，缺少政府必要时的监督也会影响到公司的正常运转，NTSB在该事故中再次发现了这一情况，FAA没能有效地监视公司内部机组的培训情况以及国际运营情况。事故后，NTSB在丹佛与FAA派到该公司的航务检查员（POI）进行了会谈，谈话中发现，他对公司的CRM培训计划、机组搭配政策以及公司其他的地面培训计划的大致情况都不熟悉。这大概是由于人员和预算削减的后果，限制了航务检查员从阿肯色州（Arkansas）小石城（Little Rock）到丹佛的机动能力。缺乏政府监督是外界影响的另一个例子，会影响到公司的正常运转，就像前面提到的涉及联邦法案中引导机组休息的问题，为完整起见，这些都被包含进去了。

（2）总结

此次飞行事故和多数飞行事故一样，实际上也和众多其他类型的事故一样，通常都可以在很多层次上进行预防（见图3）。政府缺少对公司运转的监督，也没有发现FAA制定的机组休息指南中的漏洞，为随后一系列的悲剧性事件打下了基础。组织自身的失效更是普遍。在某种意义上讲，机组置身于一系列的问题当中，它们是缺少逼真性的培训（想想模拟器的问题），手册中3发起飞令人迷惑的描述问题，最严重的是不良的机组搭配问题。

图3 堪萨斯城国际机场一架DC-8飞机失控飞行撞地总结

毫无疑问，机组也有责任。那天晚上，机组显然没有彻底理解复杂的3发起飞程序，这给他们的决策带来了不利的影响。机组协同不畅、精神疲劳以及急于起飞的紧迫感使得问题更加严重。即便如此，如果机长中断起飞，就像第一次起飞时失去方向控制后做的那样，事故也就不会发生了。相反，机长继续起飞，在低于压坡度速度的情况下压了坡度，使得飞机更加难以控制，最终撞地。