基于持續適航體系的國產民機服務通告管理研究

晏　青　邢廣華 /

(1. 上海飛機客戶服務有限公司，上海 200241； 2.中國民航上海航空器適航審定中心，上海 200335)

0　引言

服務通告(Service Bulletin，以下簡稱SB)是民機主制造商對由于其產品生產工藝、使用材料、制造缺陷產生的質量問題，發布的檢查要求、使用限制、產品召回、修理或改裝措施等技術文件，是民機主制造商確保機隊安全性、經濟性、可靠性和維修性的重要手段之一。航空公司需依據服務通告要求的措施進行相關技術工作，改善產品在使用中的各種性能，消除產品使用中出現的不安全狀態，以提高航空產品的安全性能[1-2]。

國際上各主要民機制造廠商對于民機產品的服務通告都非常重視，經過數十年的有效運營和發展，都已經形成各自完善的服務通告編制和管理體系。波音、空客等國際主流民機主制造商均具備完善的服務通告決策機制和管理模式，支持服務通告的發起決策、編制、批準、發布、驗證、反饋、修訂等服務通告的全周期流程[3]。波音、空客每年發布數以百份服務通告以保障產品機隊的安全運行，例如A320機型運行至今，已發布數千份服務通告。

由于我國民機制造業起步較晚，服務通告的發起決策尚不完善，缺乏有效的流程監督體系；服務通告的編制、驗證、修訂等過程系統性和規范性不強，編制效率較低，無法實現全壽命期間對服務通告的有效控制與管理；缺乏驗證方法和手段，服務通告可操作性差，導致服務通告頻繁升版。因此，研究建立有效的國產民機服務通告監督管理模式，實現服務通告的全流程監管意義重大。

1　國產民機服務通告

當前，中國民航局針對國產民機服務通告頒發的管理程序為AP-21-02，頒發日期為1988年8月。這份程序規定了服務通告的定義、適用范圍、分類、審批，及服務通告的格式和基本內容等，并給出了服務通告的基本模板和流程圖，是指導國產民用航空產品服務通告編制和審批的一般性指導文件，適用于在中國境內經中國民用航空局批準頒發了《型號合格證》的民用航空產品和《生產許可證》的生產廠家及用戶。

按照AP-21-02的有關表述，服務通告是航空產品設計、生產廠家根據自身和運營人信息，對所生產的航空產品改進其可靠性或使用的安全性，是對運營人的—種技術服務措施和對自身生產技術改進的要求，通告是對航空產品實施檢查、重復檢查、改裝或使用壽命更改等技術要求[4]。通過以上定義可知，服務通告既可以是對航空產品可靠性的主動改進，也可以是對產品使用的安全性進行被動改正。

服務通告必須具有適當的分類。按照AP-21-02的要求，國產民機服務通告可分別為普通類、重要類和緊急類，三種分類區別在于是否影響產品安全及措施是否緊急[5]。為提高產品性能、壽命、使用條件、環境等進行的改進、改裝所發出的服務通告，歸為普通類，如果發生危及飛行安全等情況需要發出的服務通告，則歸為重要類/緊急類。

服務通告必須具有適當的輸入。根據國產民機運營以來的實踐經驗，當前有效的服務通告的輸入有以下兩類：設計優化輸入和持續適航事件輸入。其中，設計優化輸入對應于服務通告定義中“對航空產品可靠性的主動改進”，由于不影響產品安全性，無論改進是大改或小改，此類服務通告的類別均為普通類；而持續適航事件輸入則由運營機隊所暴露的在役問題所引發，對應于服務通告定義中“對產品使用的安全性進行被動改正”，此類在役問題可能會影響產品安全，或者在經持續適航體系的評估后，確認不存在安全隱患，故此類服務通告類別要視持續適航體系輸出的風險評估的結論，可能為重要/緊急類，也可能為普通類。本文重點研究持續適航事件輸入的國產民機服務通告。

2　民機主制造商持續適航體系

按照國際民用航空組織(ICAO)附件八，航空器的持續適航包含了所有的過程或方法，這些過程或方法要求航空器投入運行后，在其使用壽命內的任何時間都符合其型號審定基礎的要求和注冊國的強制要求，并始終保證處于安全運行狀態。同時，CCAR21部中也對航空器的持續適航提出了相關要求[6]。在以上上位法相關規定的基礎上，中國民用航空局適航司于2013年頒發了AC-21-AA-2013-19《型號合格證持有人持續適航體系的要求》，要求型號合格證持有人在交付首架飛機之前，必須按照相應要求建立持續適航體系[7]。

為保障國產民用航空產品的運營安全和持續改進，AC-21-AA-2013-19要求持證人必須編制經局方批準并滿足此AC要求的持續適航體系管理手冊，旨在為型號合格證持有人建立持續適航體系提供指導。這份手冊明確了體系的適用范圍，規定了持續適航體系建立的基本原則、規定了持續適航體系工作內容、組織部門、管理手冊和信息系統的要求，為指導、幫助型號合格證持有人建立持續適航體系提供了基本的原則、流程和方法。

民機主制造商持續適航體系是根據上上位法相關要求和管理程序規定建立和運行的管理體系，通過對不利于機隊持續適航的信息進行全面的收集、分析和評估來判定實際的風險水平，并在此技術上確定是否采取必要措施，從而對飛機和整個機隊安全實施全面的持續安全管理，以履行規章要求的持續適航責任，保證飛機的持續運行安全。

2.1 持續適航事件

在持續適航的概念中，影響或者可能影響航空器安全運行的信息稱為持續適航事件，簡稱事件。事件的來源主要包括設計部門、制造部門、客服部門、運營人、試飛部門及供應商等，分別對應于工程事件(設計)、制造事件(制造)、客服工程事件(客服)、在役事件(運營人)、試飛事件(試飛)以及產品的質量逃逸(供應商)等事件。按照AC-21-AA-2013-19及持續適航體系相關要求，主制造商必須根據事件收集的原則和要求，將已收集的事件納入持續適航體系流轉，包括對以上事件進行篩選和判定，識別潛在安全問題，對不安全狀態進行風險評估，進行事件調查并采取必要的改正/改進措施。持續適航事件的來源和類別如圖1所示。

2.2 持續適航風險水平

在民機持續適航階段，只有當飛機或零部件發生失效、故障或缺陷被觀察到后才會成為事件。通過風險評估，對已發生的事件進行評估，分析事件發生的可能性及后果的嚴重性，判斷事件對飛機造成的影響是否超出規定的適航風險水平，估計引發事件的危險源的失效率及其失效對系統或設備的影響，為制定風險緩解措施和改正措施提供決策支持[8]。

常用的風險評估方法包括故障樹分析法、故障模式與影響分析法、馬爾可夫過程法、威布爾分析、蒙特卡洛模擬分析、敏感性分析和“岡斯頓”方法等[9]，其中，“岡斯頓”方法可以用于確定風險的平均暴露時間，并被用于判斷計劃的改正/改進措施是否充分。

國產民機持續適航事件的風險水平可以用圖2的矩陣圖進行表示，其中橫向代表后果嚴重性等級，從輕到重分別為無安全影響、較小的、較大的、危險的、災難的，縱向代表發生的可能性概率，從大到小分別為頻繁的、不經常的、微小的、極微小的和極不可能的。從圖2中可以清晰看出，該風險矩陣分為紅、黃、綠三個區域，分別代表不可接受風險、可容忍風險和可接受風險。

圖2　持續適航體系風險矩陣圖

不同的風險等級對應不同的改正/改進措施和風險管理目標。當某持續適航事件的后果嚴重性等級(橫向)和發生的概率(縱向)確定之后，即可通過風險矩陣圖確定事件對應的風險水平，再根據“岡斯頓”分析方法，即可確定該處風險水平對應的最大平均暴露時間，從而為確定改正/改進措施的符合性時間提供參考。

根據國產民機的運營經驗，通常，紅色區域代表存在安全隱患，其風險是不可接受的，應當采取必要的改正/改進措施，視風險暴露時間不同，對應服務通告的類別為重要/緊急類；黃色區域代表無安全隱患，其風險在特定的緩解情況下是可接受的，但應在一定時間內采取措施，避免風險進一步擴大；綠色區域代表無安全隱患，無需采取任何措施。由于不存在安全風險和隱患，黃色和綠色區域對應服務通告的類別均為普通類。

3　基于持續適航體系的國產民機服務通告

國產民機服務通告作為保障國產民用機隊運行安全、緩解機隊風險的重要手段，與民機主制造商的持續適航體系密切相關。按照AC-21-AA-2013-19中事件的報告要求，所有影響或可能影響飛機安全的信息都應作為持續適航信息報入體系，經持續適航體系流轉評估后輸出必要的改正/改進措施，并以服務通告等形式向運營人發布在役機隊的改正措施。同時，根據AP-21-02中服務通告的定義和分類，“對所生產的航空產品改進其可靠性或使用的安全性”的服務通告，按照國產民機服務通告的編制要求，在SB啟動決策前應明確其是否關聯持續適航事件，并在SB進行類別劃分時經持續適航體系充分評估。

由于持續適航事件輸入的國產民機服務通告與民機主制造商持續適航體系密切相關，且在役機隊服務通告構成了持續適航體系的完整閉環，因而，基于持續適航體系的國產民機服務通告，既包含了前端持續適航體系的完整流程，又包含了后續國產民機服務通告編制的相關流程，兩者共同構成了基于體系的國產民機服務通告的新模式。

3.1 持續適航體系流程

按照AC-21-AA-2013-19的要求，民機主制造商的持續適航體系主要包含以下流程：

1)信息收集。按照事件收集指南確定的原則，對包括工程事件、制造事件、客服工程事件、在役事件、試飛事件以及產品的質量逃逸等信息進行收集。

2)事件篩選/判定。按照不安全狀態原則性的標準和指導方針，對報入持續適航體系的事件進行篩選，判定導致或可能導致不安全狀態的事件。此過程既可借鑒工業或行業實踐中成熟的危險準則和標準，也可以通過適當的風險評估方法輔助判定。

3)初步風險評估。一般采用行業內常用的定性評估方法，如功能危害性分析(Functional Hazard Assessment,簡稱FHA)、故障樹分析(Fault Tree Analysis,簡稱FTA)、故障模式及影響分析(Failure Mode and Effects Analysis,簡稱FMEA)、故障模式及影響總結(Failure Mode and Effects Summary,簡稱FMES)、共因分析(Common Cause Analysis,簡稱CCA)等對已判定事件的風險水平進行初始評估，包括識別潛在不安全狀態、確定受影響范圍及后果嚴重性等級，定性確定可能性概率，并確定風險矩陣圖中的風險水平。

4)詳細風險評估。在初始風險評估工作的基礎上，依據最新調查結果重新確定潛在不安全狀態，定量分析識別出潛在的不安全狀態，確定紅色事件的最大符合性理論時限與潛在不安全狀態的起始時刻，并編制完成《事件詳細風險評估報告》。

5)工程調查。對事件進行分析和調查，找出事件發生的根原因，并提出建議的改正/改進措施。在掌握事件的基本情況的基礎上，對頂事件通往根原因的路徑進行綜合分析，找出最有可能導致頂事件發生的原因，識別不安全因素和事件致因因素。

6)改正/改進措施。在風險評估和工程調查的基礎上，根據事件的風險等級和根原因分析結論，在確定的最大風險暴露時間內采取相應的風險緩解措施，包括評估、制定和發布適當的改正/改進措施，將風險控制在可接受的范圍內，并持續跟蹤與修訂。針對在役機隊，改正/改進措施以客戶服務文件形式向運營人發布，并根據執行情況進行完善。民機主制造商的持續適航體系流程如圖3所示。

圖3　民機主制造商持續適航體系流程

3.2 國產民機服務通告編制流程

目前，我國國產民機服務通告的編制主要有以下流程：(1)SB的啟動決策，包括設計更改SB和持續適航事件SB的啟動決策。若SB由持續適航事件觸發，則SB的啟動需經過持續適航技術委員會進行決策。(2)制定SB的工作計劃。由客戶服務的管理部門制定SB的工作計劃。(3)確定SB編制的輸入。這里的輸入主要是指編寫SB所必要的工程技術文件。(4)劃分SB的類別，即確定SB為普通、重要或緊急類。根據上文分析可知，設計更改觸發的SB均為普通類，而持續適航事件輸入的SB依據風險評估結論，可能是普通、重要或緊急類。(5)SB的編寫和修訂。根據SB輸入文件的工程技術方案，由SB的編制部門編寫SB初稿，并協調相關設計、工程和制造部門進行修改和完善。(6)在SB編制完成后，根據需要在生產線/試飛飛機上進行驗證。(7)完成SB內部審批并提交局方進行適航審批，若此階段有問題則返回編制和修訂過程。(8)局方審批完成后發布SB。(9)收集SB的執行情況。(10)若SB執行遇到困難，則返回SB的修訂過程對SB進行升版。

圖4為國產民機服務通告的編制流程示意圖。

圖4　國產民機服務通告的編制流程

3.3 基于持續適航體系的國產民機服務通告閉環管理

按照民機主制造商服務通告有關的行業實踐，通常，在SB發起前，需要由一個委員會形式的機構來進行決策，確認服務通告是否影響安全，然后根據安全影響的后果和風險水平的等級，確認服務通告的類別和具體的編制流程。對于那些影響安全的服務通告，一般需要進行較為詳細的風險分析和工程調查，以識別不安全狀態和查找根本原因，并針對具體風險和事件原因給出針對性的糾正措施，達到緩解機隊風險的目的。對于嚴重危及機隊安全而發出的服務通告，還可能被該型號的適航指令引用，成為強制貫徹措施。

根據國產民機服務通告的編寫實踐，在SB啟動決策前，即由民機主制造商持續適航體系進行介入，對國產民機服務通告的安全性影響進行評估，并根據評估結論確認服務通告的類別，以上流程正是服務通告有關的行業實踐在國產民機機隊的具體體現。通過持續適航體系的全面介入，能夠對服務通告的更改內容是否關聯持續適航事件作出判定，并對相關事件的安全性影響進行監控，從而對整個機隊的安全風險進行把控。

改正/改進措施作為持續適航體系的閉環措施，與機隊的風險水平直接相關，其重要性不言而喻，而服務通告又是在役機隊改正/改進措施貫徹的重要手段，是持續適航體系的末端，構成了國產民機主制造商持續適航體系的完整閉環。如圖5所示。

圖5　基于持續適航體系的國產民機服務通告閉環管理

基于持續適航體系的國產民機服務通告，將持續適航體系與國產民機服務通告串聯起來，共同對機隊安全風險進行監控并采取風險緩解措施，將在役機隊的持續適航風險控制在合理水平，以保障國產民機機隊的運行安全。因此，基于持續適航體系的國產民機服務通告的新模式，實際上就是由持續適航事件引發的體系運轉、輸出和持續監控的過程，包括機隊信息收集、持續適航事件判定、持續適航體系流轉(風險評估、改正改進措施等)、SB的啟動決策、服務通告的編制和貫徹，以及在役機隊風險的持續監控一整個閉環過程。

3.4 持續適航體系全流程監督的體現

進一步總結可知，在國產民機服務通告從信息收集到持續監控的全流程閉環監督過程中，民機主制造商持續適航體系發揮了巨大作用，具體體現如下：

1)在SB發起決策前，需經由持續適航體系對服務通告相關問題是否符合事件標準進行判斷，若判斷符合事件標準，則必須報入持續適航體系進行流轉。

2)通過SB相關事件在體系流轉中得出的安全性風險等級，確定國產民機服務通告的類別，一般而言，綠色和黃色風險均為普通類，而紅色則為重要/緊急類。

3)根據初始風險評估中確定的受影響范圍給出服務通告的適用性(架次)。

4)根據詳細風險評估中確定的最大風險暴露時間，確定服務通告的符合性時間，通常，SB的符合性時間比最大風險暴露時間更為保守，以提供足夠的安全裕度。

5)若在SB執行過程中暴露新的事件，也應當及時報入體系流轉。

圖6為持續適航體系對服務通告影響的關系圖，從圖中可更直觀地體現出民機主制造商持續適航體系在國產民機服務通告編制中的基礎和核心地位。持續適航體系提供了服務通告的所有基本要素，在國產民機服務通告的編制過程中發揮著巨大作用，與服務通告共同保障在役機隊的安全性。

圖6　持續適航體系在服務通告中發揮的作用

4　結論

民用飛機服務通告是民航飛機持續適航文件的重要組成部分，涉及飛機檢查要求、使用限制或產品召回、修理或改裝措施等技術支持信息。服務通告從多個角度對民航飛機的可靠性、經濟性、維修性等提出改進措施，保證民機的持續適航性和全壽命周期經濟性。

隨著我國國產民機交付運營的逐步深入，國產民機服務通告亟需建立有效的持續適航監管體系。本文針對持續適航事件輸入的國產民機服務通告，引入民機主制造商持續適航體系，介紹了持續適航事件的風險水平，提出了基于持續適航體系的國產民機服務通告編制和管理模式，闡述了持續適航體系與服務通告編制的閉環管理理念，強調國產民機的持續適航安全，可有效促進服務通告的監督和管理水平，提升國產民機的安全保障能力。