系统整体安全论

第二章　交互式安全管理的基础——对事故成因认识的发展与完善

一、安全管理理论和对事故成因认识的发展与完善的关系

随着社会进步和经济发展，社会技术系统的构成要素以及系统与外部环境变得越来越相互关联，而且互动性更强，使得财富的增加、任务的完成及系统安全性的获取更依赖于协作劳动。大量的企业和社会组织应运而生，规模越来越大，结构也更加复杂。在此过程中，人的思想意识、技术手段、管理模式及社会形态在改变，事故的成因机制也在随之演变，导致了人们对事故成因的认识也在逐步变化。通过对现有事故成因模型分析可以得出以下结论，事故根本原因（Root Causes）范围的变化主导了人类对事故成因机制认识的改变。

技术的加速进步导致了系统要素间及系统与环境间的高接触，即系统内外部交互关系强度及交互强度进一步增加，使得系统内部要素间及系统与外部环境间的互动性得到了前所未有的加强，人们逐步意识到系统安全性的获取不再只取决于个体（要素）行为，而是受制于局部的群体（要素集合）行为甚至是全局性的系统整体性行为，该过程体现了人类对事故成因认识的四次跨越。

任何一种安全管理理论的形成都以对事故成因认识的发展和完善为基础。交互式安全管理理论也毫不例外。近年来，我国在交通、采矿及化工等行业重特大事故频发，车祸、火灾、踩塌、矿难及化工污染等重特大事故每年都要夺去数以十万计的生命，造成一系列严重社会和经济问题，这种安全形势与我国当前正在构建的和谐社会体系格格不入。Benner在分析大量安全问题的致因后指出，事故来源于发现和界定安全问题过程中的认识不足，而非其他原因。钟茂华和范维澄等认为，事故致因理论有助于人们认识事故的发生、发展和形成过程，在事故预防中具有重要作用。事故预防对策的有效性取决于人们对事故成因认识的完备性，但由于人们对事故致因知识的不足，使得遏制重特大安全事故的目标至今仍然难以实现。关于事故致因理论的研究已经有100多年的历史，以此为基础，国内外学者发明了大量的预防和预测技术，试图实现对事故的准确预测及有效预防。

笔者在综合国内外有关事故成因的研究文献后发现，从著名的事故致因多米诺骨牌理论到James Reason的Swiss Cheese模型，目前得到学界和业界相对认可的事故致因理论大约有20种之多。这些事故成因理论基本是建立在共同成因假设之上，并没有考虑事故成因的复杂性及其结构敏感性，认为不论事故大小、事故的形成情境及系统复杂程度高低，所有事故都遵循着共同成因模式，服从绝对的因果律，也采用同样的安全控制模式。但自事故成因复杂性理论提出之后，人们逐渐意识到复杂系统具有事故成因的结构敏感性，认识到事故因果律分析的缺陷性。尽管事故成因的构成相同，但由于事故成因结构不同，其造成的后果也不同。对于复杂系统，由于事故成因的交互指数及交互强度的差异性，使得复杂系统的事故成因具有近似性、复杂性及情境依赖性，而不遵循共同成因模式，严重程度及存在情境不同的事故，其预防对策也应该有所差异。此外，在安全管理实践中，无论对于企业还是政府，有关改善组织系统安全性的投入决策通常是建立在事故根本成因的相对重要性基础之上的，共同成因模式决定了安全对策通常主要关注于那些被认为是相对重要性大的事故根本成因上，从根本上来说没有充分考虑系统整体和谐性在事故预防中的作用，虽然预防了系统失效的显在条件，但却忽视了系统失效的潜在条件。

以中科院为主的中国科学家在2000年9月5～7日，召开了以“复杂社会技术系统的安全控制”为主题的香山科学会议第144次学术研讨会，探讨复杂社会技术系统安全控制理论、方法及机理。院士、教授和研究员们，如赵仁恺、梁思礼、钱绍钧、陈宝智、王二平、杨孟琢、张侃、李永娟开始专注于复杂系统安全问题，取得的很多成果对这项研究具有非常有价值的指导和借鉴作用。

国内外在事故致因及预防对策方面的研究现状主要表现在对事故成因认识的四次跨越，每次跨越都导致了崭新的事故成因理论诞生及安全管理实践中的事故预防重点的变化。交互式安全管理理论正是在系统失效的简单成因转向复杂成因的认识过程中发展而来。

二、第一次跨越：技术致因主导的单因素论

这次跨越的主要思想突破是将事故致因的范围由“不可抗力”说拓展到单纯的物质或行为决定论。最为突出的表现是事故从“不可抗力”说转变为单因素致因说，认为事故是由单一因素的个体行为导致的，如技术致因论、人误论等，主要应对措施是对个体因素的行为进行控制（见图2-1）。

图2-1　单因素致因论

随着技术的发展，人们逐渐摆脱了迷信思想，向工业化社会迈进，但由于当时技术水平落后，工业化程度低，系统要素间的交互作用强度和系统交互关系强度比较低，事故一般只会对个体因素造成伤害，很少会广泛波及其他因素，即使造成局部性或全局性的危害，事故成因也比较单一。如技术致因论及人误论认为，事故成因于技术或人本身的不可靠性。由于技术本身具有缺陷性，因此，应用该技术制造的设备也会不可靠，存在安全隐患，时常会在运行过程中造成安全事故。同样由于人的易错性，其行为偏差也容易造成安全事故。这个阶段的研究主要集中于如何采用可靠技术设计安全可靠的机械设备，从而消除机械运转故障导致的事故，提高人的安全知识和技能，减少人误。单因素致因论的主要观点有技术致因论、事故致因统计学、人误论、冒险倾向论（M.Greenwood，H.Woods＆ Farmer）、元件可靠论、能量意外释放论［吉布森及哈登（Gibson和Hadden）］及生物节律论等。

三、第二次跨越：行为致因主导的综合成因论

这次跨越的主要思想突破是将事故致因的范围拓展到人的行为层（事故成因模式见图2-2）。

在这次跨越中，人们对事故成因认识有了进一步发展，意识到单因素致因论的缺陷，认为事故形成同操作者、设备、环境等因素有一定依存关系，事故是多种因素的耦合结果，但在这些因素中人误起着主导作用，即操作者的认识缺陷和行为失误是事故的主因，这主要是由于人的行为复杂性。一方面，系统内众多的因素会影响到人的行为；另一方面，其他元素行为又决定于人的行为。因此，事故预防措施应该综合考虑多种因素交互作用的匹配性，这样技术规范、操作规范及人的行为规范等安全规范的制订和执行就成了事故预防的主要应对措施。由于事故是由局部或全局因素的群体行为导致的，而技术的发展又导致了更高的系统交互程度，事故的影响范围和造成的危害程度也进一步扩大，事故不只对个体因素造成伤害，还会波及其他因素，造成更为广泛的影响后果。

图2-2　综合致因论

由于事故致因的多样性，事故预防将不能够只集中于对某个元素行为的控制，必须综合考虑各个环节及过程中的元素的行为及元素间交互作用的匹配性，任何一个环节的疏忽都有可能造成意想不到的后果。如何改变和规范人的行为提高系统结构的匹配性，制订科学的技术标准及操作规程以使任何元素的行为都符合既定规范就成了这个时期的主要研究内容。综合致因论的主要观点有两类危险源论（陈宝智）、本质安全论（曹琦、赵朝义等）、亨瑞奇等（Heinrich，Bird）的骨牌论、流行病学论（Gorden）、变化—失误论（W.G. Johnson）、变化论（Talanch）、作用—变化和作用连锁的模型（Action-Change and Action Chain Model，佐藤吉信）、人机交互论、突变论、同时发生论及轨迹交叉论（Skiba）等。

四、第三次跨越：文化致因主导的事故成因论

第三次跨越的主要思想突破是进一步将事故致因的范围拓展到人的思想意识层（事故成因模式见图2-3）。

图2-3　安全文化论

这次跨越开始于20世纪90年代。从表面上看，事故的发生是由于少数几个直接因素导致的，但真实情况却是在直接因素背后有大量的潜在因素（如习惯、观念、思想意识）在起作用。

随着企业文化及安全文化研究的蓬勃发展，研究者和实践者认识到处于高危行业的员工执行任务时并不是孤立的，不只是单纯与工具、设备及仪表等技术因素打交道。实际情况是他们是以团队形式相互协作来完成任务，会受到情绪化和社会化因素影响。李永娟提出了组织错误形成机制的三个猜想，郑全全指出决策陷阱是造成组织错误的重要因素，可以看出安全文化会影响到每个人的安全观念、行为。钱绍钧等认为，“技术的可靠性发展到了一定程度，人的因素就是安全问题的主要方面，正是由于有了安全文化，人—机才能更好地结合”，系统安全性最终取决于安全文化的有效性。人们意识到技术手段只能保证系统的基本安全，规范的制订和有效执行虽然能够使系统达到更高层次的规范安全，但仍然无法保证系统的本质安全，系统本质安全的最终实现则必须依赖于安全文化。安全文化已经开始应用于事故调查中，如International Atomic Energy Agency将切尔诺贝利（Chernobyl）灾难确认为“差的安全文化”所致（Cox＆ Flin，1998），伦敦的King’s Cross地铁火灾、North Sea的Alpha石油平台爆炸在事故调查中都开始引入安全文化分析（Cox＆ Flin，1998；Pidgeon，1998）。

安全文化论的主要观点有决策模式论、动机论（J. Surry，Hale，Anderson及Wigglesworth）、组织失误论、风险收益论（基于科斯定理：“Coase Theorem”）、Benner的知识缺陷论（Intellectual Shortcomings），以及Weick（1987）；Rochlin＆ Von Meier（1994）；Cox＆ Flin（1998）；Mearns＆ Flin（1999）；Pidgeon（1998）；Flin，Mearns，Gordon＆ Fleming（1998）等关于安全文化与事故预防关系的观点。

五、第四次跨越：系统整体安全论

这次跨越的主要思想突破是对事故成因的认识从“简单范式”向“复杂范式转变”，认为事故成因于系统的物质层、行为层及思想意识层的相关因素的复杂交互作用所产生的各种行为偏差的合成作用。

经过前三次事故成因认识跨越后，人们基本弄清了事故根本致因的范围，并据此提出了一些具有明确针对性的事故致因理论，如骨牌论（Domino Theories）、综合成因论（Multiple Causation Theories）、心理/行为成因论（Psychological/Behavioral Causation Theories）及能量失控成因论（Energy Related Causation Theories）。但是，这些事故成因理论仍然建立在线性思维模式之上，以经验知识和“还原论范式”为基础，在应对复杂社会技术系统的安全控制问题方面仍难以完全奏效，事故难以准确预测、长效预防，使得处于高危险行业的人们整天对安全问题紧绷心弦。尽管也逐步引入整体性思想，但无论是全面安全管理理念还是安全系统工程，其着重点都是从系统分解着手来预防事故，强调从系统运行过程的各个零散环节来实现对事故的控制，缺少科学的集成手段，把本是有机的整体分割成一些破碎的部分，都忽略了组织整体在事故防御中的首要作用。

图2-4　整体安全论

学者们逐渐意识到复杂系统和简单系统事故成因机制的根本区别以及事故控制模式的截然不同，开始从新的视角来重新认识复杂系统的事故成因机理。在此背景下，James Reason针对复杂系统并以医疗事故为研究对象分别于1990年和2000年提出了著名的纵深防御模型和Swiss Cheese模型，对复杂系统事故的形成机制给出了一个形象解释，但并没有论及复杂系统事故控制模式。几乎同时，赵仁恺、王二平及陈宝智等开始研究复杂社会技术系统的安全控制理论、方法及机理，取得了丰硕成果。本书作者曾在博士论文中探讨过事故复杂成因论，对复杂系统的事故成因机制从系统和谐及整体性安全观出发作了进一步解释，并以此为基础形成了交互式安全管理理论研究思路，综合考虑了事故成因模式及控制模式的选择问题。

本章小结

分析事故成因认识的这四次跨越，可以非常明确地看出前三个阶段与以牛顿/笛卡尔的“还原论”为基础的“简单范式”相对应，基本上合理地解释了物质因素、行为因素及文化因素导致的事故成因机理；第四个阶段则与“复杂范式”相对应，从新的视角对复杂系统事故成因进行了合理解释。对事故成因认识的这四次跨越的主要贡献有：

（1）弄清了事故的根本致因范围，并给出了明确分类

综合目前的事故致因理论，已经基本涵盖了所有事故的根本致因，主要包括人的因素（Human Factors）、物的因素（Material Factors）、文化因素（Cultural Factors）、设备因素（Equipment Factors）、环境因素（Environmental Factors）及工艺流程因素（Pro－cess Factors）。事故根本致因认识的完善从根本上促进了事故致因理论的完善。

（2）有针对性地提出了较为明确的事故成因理论

在前三次跨越中，基本上是运用多维管理思想从对安全问题的分析及分解入手，将一个安全问题按照不同的维度分解成多个方面（影响因素，特殊情形就是一个因素），分析各个方面的变化趋势和规律，找出联系，并制定相应对策，强调的是对微观波动规律的把握，虽然还不够完善，但对事故预防具有积极意义。

为了弥补前三个阶段对事故成因认识的不足，系统整体安全观针对多维管理思想缺陷，在多维管理基础上通过对变化趋势和规律的集成及融合，通过对系统内外部交互作用的合理配置、系统不确定性以及人的能动性、能变性及主动性的运用和消减来消除或规避波动，使系统始终保持一定的和谐性，以实现系统整体安全性。由此可见，事故成因认识的第四次跨越是以复杂社会技术系统的安全性为研究对象，认识到简单系统与复杂系统遵从不同的事故成因机制，强调的是对系统宏观波动规律的把握，并且新的事故成因理论促进了以系统和谐为基础的“整体安全防御系统理论”的构建与完善。

（3）给事故认识、调查、分析、预防及控制提供了理论依据和方法指导，为交互式安全管理理论的形成和完善提供了必要准备

事故预防和控制的基础是科学合理的事故成因理论，而事故成因理论又是任何一种安全理论的核心部分。众多的事故成因理论从不同的角度为认识、调查、分析、预防及控制事故提供了理论和方法上的指导。目前，在安全管理实践中，对于那些事故致因较为单一且成因机理比较清楚的事故，已经能够有效预防。但是，在实践中仍然有些类似的事故在同一系统内反复发生，尽管其事故成因机理相同，但由于其致因的差异性及系统自身的复杂性，我们仍然无法把握事故的运行规律，以致预防和控制手段也缺乏有效性，交互式安全管理理论的和谐调控模式正是建立在复杂系统成因机理之上的。