关键词：安全边界、TEM、检查单、标准喊话、交叉检查
飞行运行的安全边界，很少是被单一的重大故障瞬间击穿的。更多时候，它是被一连串看似微小的威胁、偏差和未被及时纠正的差错逐步侵蚀的。威胁与差错管理（Threat and Error Management，TEM）之所以成为当代飞行运行中具有基础意义的安全框架，正在于它承认了一个前提：威胁无法被完全消除，差错也无法被杜绝，运行安全取决于机组能否在事件链的每一个环节上保持结构化的识别与响应能力。
TEM的三层结构：威胁、差错与非预期航空状态
TEM将飞行运行中需要管理的情境要素区分为三个层次。威胁被定义为发生在飞行机组影响范围之外、增加运行复杂性并需要被管理以维持安全裕度的事件或条件。它既包括环境性威胁——雷暴、风切变、积冰、污染跑道、复杂空域，也包括组织性威胁——签派文书差错、维修问题、运行压力以及设备设计缺陷。威胁的关键特征在于它不由机组“制造”，却必须由机组“接住”。
差错则是机组自身的行动或不行动偏离了机组或组织的意图与期望，导致安全裕度降低。TEM通常将差错分为操纵差错、程序差错和通信差错三类。这一分类的意义不在于追责，而在于定位：当差错发生时，机组需要知道它发生在哪个交互界面上——是与航空器的交互、与程序的交互，还是与另一个人的交互。
当威胁和差错未被有效管理时，航空器可能进入非预期航空状态（Undesired Aircraft State，UAS），例如高度、速度、航径或形态偏离正常包线。UAS管理是TEM的“最后机会”：此时安全裕度已经被压缩，机组必须在有限的时间和空间内将航空器恢复到正常状态，否则事件将进一步向不安全后果滑动。
从“预见”到“恢复”：TEM的运行化
TEM在飞行运行中不是一套独立于操作程序之外的“附加理论”，而是嵌入在从航前准备到着陆后讲评的完整链条之中。其运行逻辑可以概括为四个环节：预见、识别、响应与恢复。
预见发生在威胁尚未显现之时。航前准备阶段对天气、机场、NOTAM、航空器状况和机组状态的系统梳理，本质上就是在构建一张“威胁地图”。TEM将威胁区分为可预期的、不可预期的和隐性的三类。可预期的威胁——预报的雷暴、拥挤的机场、复杂的进近程序——可以通过预先简令和预案来提前部署反制措施；不可预期的威胁——突发的系统故障、管制指令的临时变更——则依赖机组在训练和运行经验中积累的即时判断能力。隐性威胁最容易被忽视，它们潜伏于组织流程和人际互动之中：一份未及时更新的手册、一个存在歧义的交接程序、一段被压缩的过站时间，都可能在不被察觉的情况下改变运行的风险轮廓。
识别是TEM链条中最容易被高估的能力。机组往往“知道”应该监控，但在实际运行中，注意力的分配本身就是一个持续的取舍过程。有效的威胁识别要求机组在自动化高度介入的运行环境中保持对“什么正在变化”的敏感：飞行参数的微小漂移、管制指令与预期的不一致、另一名机组成员的行为偏离标准程序，都是威胁或差错正在显现的信号。澳航一起737事件为此提供了清晰的注脚：载重表因数据输入错误少计算了51名乘客的重量，起飞性能计算因此偏低，而起飞速度比应有值低了3至4节。差错在多个环节中未被有效识别和传递，直到起飞后才被机组知晓。这一事件的教训并不在于某一个环节的失误，而在于TEM链条中“识别—传递—响应”的连续中断。
响应则是将识别转化为行动。TEM的反制措施既包括硬性的程序工具——检查单、标准喊话、交叉检查、复飞决断，也包括软性的非技术能力——质询、分工调整、自动化等级的合理切换，以及在必要时向管制员请求额外航径或延迟以重新建立裕度。一个被广泛接受的TEM原则是：威胁管理是差错管理和UAS管理的基础，越早介入，可供使用的反制手段越多，安全裕度恢复的空间越大。
恢复环节对应的是UAS的处置。当航空器已经偏离正常状态时，机组的首要任务不是追查原因，而是将航空器重新置于可控的航径和能量状态之中。复飞、改航、重新选择跑道，都是UAS管理的典型动作。它的意义在于承认：在运行中，恢复到安全状态本身就是一个正当且必要的决策，而不是对“完成原计划”的偏离。
训练与监管中的TEM：从个人能力到组织语言
TEM的价值不仅在于驾驶舱内的即时判断，更在于它为训练和安全管理提供了一种共同语言。国际民航组织将TEM视为所有飞行员训练的关键基础，澳大利亚民航安全局已将其纳入从娱乐飞行员执照到航线运输驾驶员执照的正式评估要求之中。在中国民航的实践中，TEM同样正在从理论走向制度化的应用场景：民航局飞行标准司发布了TEM模型应用指南，华东局组织的典型不安全事件复盘分析会明确要求运用TEM模型对事件进行深入研判，识别风险隐患。航线运行安全评估（LOSA）等基于正常运行的观测方法，也将TEM作为底层分析框架，用以在“事情变坏之前”看见那些日常运行中反复出现、但尚未造成后果的威胁与差错模式。
将TEM纳入飞行运行，最终指向的是一种运行哲学的调整：安全不是“不发生差错”，而是“差错在被后果捕获之前被看见、被说出、被接住”。威胁不会因为被忽视而消失，差错不会因为被否认而不存在。TEM所提供的，正是一套让机组、训练机构和监管方能够在同一张风险地图上对话的框架，使飞行运行的安全防线从被动的事后追溯，前移到主动的、结构化的日常判断之中。
作者：飞行部九大队刘宪彬
评论 (0)