交互式安全管理的终极目标

第八章　交互式安全管理的终极目标——本质安全

交互式安全管理理论的终极目标就是实现复杂社会技术系统的本质安全。本质安全概念的提出距今已有近半个多世纪了，最初该概念源于20世纪50年代世界宇航技术界，主要是指电气系统具备防止可能导致可燃物质燃烧所需能量释放的安全性。今天本质安全理念已经得到更大程度的拓展，流行于交通、电力、矿业开采、核电站及化工厂等广泛领域，其内涵早已超出了最初的范畴。关于本质安全管理理论和应用研究也进展得如火如荼，如煤炭企业、石油勘探及开采企业，由于其生产系统的高度复杂性，系统运行环境的多变性，这些企业都把本质安全作为安全管理的终极目标。虽然目前在本质安全管理理论研究和实践中做了大量工作，已经取得了一定理论成果，在实践中也收到了一定成效，但这些研究成果仍缺少一定的系统性。在研究方法上过分强调对系统的分解而忽视和谐整合，通常是将系统本质安全分解为人、物及环境的本质安全，而没有意识到即使能够保证人、物及环境的本质安全，如果人、物及环境间交互关系不和谐同样不能保证系统本质安全的事实。也就是说，当前在本质安全研究过程中，过分注重微观层面个体的本质安全，而忽视宏观层面的本质安全是通过微观层面的个体间的和谐交互而取得的事实。此外，人们对什么是本质安全也还没有达成共识，关于本质安全的定义就多达几十种之多，大部分关于本质安全的研究成果仍表现为定性阐述，缺少定量的科学实证研究支持，由此可见本质安全管理研究还没有形成系统化的理论。从现有的研究成果来看，本质安全只能够算作是一种安全生产理念，还缺少系统化的理论和实证研究支持。在这种背景下国内有些企业不顾自身的客观情况和企业所处的安全阶段，片面追求所谓本质安全建设，结果是浪费了大量资源，但收效甚微。

可以毫不夸张地说，目前国内处于高危险行业以及对产品可靠性要求较高的企业几乎都在推行所谓本质安全管理研究和实践，同样安全管理理论研究学界也呈现出一派研究本质安全理论及方法的热潮。纵观这些行业之所以对本质安全如此重视，其最重要的一点是这些行业的企业运行系统大而复杂，系统所处环境复杂多变，基于线性、理性和确定性分析思想的现有安全管理理论和方法在应对复杂系统的可靠性时面临着前所未有的挑战，暴露的缺陷有：难以刻画事故形成机理、难以准确预测和长效预防频繁发生的事故、缺乏提高系统可靠性的有效方法。于是，人们将视线转向本质安全管理理论和方法的研究，试图找到一种一劳永逸的理论和方法，以实现对事故的长效预防。本章将从系统和谐交互的角度对本质安全进行重新界定，对本质安全管理理论体系进行必要的梳理，刻画本质安全的形成规律，并给出本质安全实证研究框架。

一、本质安全管理思想的由来及
对本质安全的诠释

1.本质安全管理思想的由来

在本质安全概念明确提出之前，就有与此概念非常接近的概念，也就是所谓“可靠性”。如美国航空委员会在1939年提出飞机事故率的概念和要求，这有可能是最早的可靠性概念；1944年纳粹德国试制V-2火箭时提出了最早有关系统可靠性概念，即火箭可靠度是所有元器件可靠度的乘积。

国内关于本质安全研究开展得并不晚，其前身是20世纪50年代关于电子产品的可靠性研究，但在学术上明确提出本质安全概念应该是在20世纪90年代，此后本质安全研究如雨后春笋，有大量学术论文发表，其中有相当数量是针对本质安全定义的，几乎在每个研究本质安全的行业都有自己对本质安全含义的界定。

2.对本质安全概念的诠释

目前，国内在本质安全定义上还没有形成统一认识。在国外文献中，与本质安全意思比较接近的关键词就有三个，如“Intrinsic Safety”、“Inherent Safety”和“Essential Safety”。在美国传统辞典（双解）中，“Intrinsic”、“Inherent”和“Essential”这三个英文单词在翻译成中文时都有“本质的”意思，而且在表示“本质的”意思时，“Intrinsic”及“Essential”的英文解释用的都是“Inherent”，但在“Inherent”的英文解释中又用“Intrinsic”和“Essential”。因此，可以说这三个单词在表示“本质的”意思应该是相同的。但是，作者可以检索到的英文文献中，作为关键词用的只见到“Intrinsic Safety”和“Inherent Safety”，而且在英文辞典中“Intrinsic Safety”是作为一个固定词组使用的，表示“原有安全度”，近似于我们所说的“本质安全”。另外，在中文中“本质”本来就有“原有”的意思。综合考虑这些因素，在将“本质安全”翻译成英文时，还是用“Intrinsic Safety”。

与英文中表达“本质安全”意思用到三个不同词组不同，中文表达“本质安全”只有一个词组，但这并不意味着国内在该项研究中已经形成共识。在整理和收集国内相关行业给本质安全下的定义后，我们发现虽然大家都使用同一个词组，但是不同行业所提的本质安全范畴却各不相同，有的甚至是相去甚远，引起种种误解。目前，国内比较重视本质安全研究的几个行业，如交通、电力、石油和煤炭业等，都给出了具有代表性的本质安全的定义。

在我国交通体系中，本质安全化理论认为，由于受生活环境、作业环境和社会环境的影响，人的自由度增大，可靠性比机械差。因此要实现交通安全，必须有某种即使存在人为失误的情况下也能确保人身及财产安全的机制和物质条件，使之达到“本质的安全化”。

在我国电力行业中，对本质安全是这样界定的：本质安全可以分解为两大目标：即“零工时损失，零责任事故，零安全违章”长远目标与“人、设备、环境和谐统一”终极目标。

我国石油行业对本质安全最具有代表性的定义是：所谓本质安全是指通过追求人、机、环境的和谐统一，实现系统无缺陷、管理无漏洞、设备无故障。

在我国煤炭行业中所说的“本质安全”，其实是指安全管理理念的变化。即煤矿发生事故是偶然的，不发生事故是必然的，这就是“本质安全”。

上述关于本质安全的定义大多是从系统自身及其构成要素的零缺陷上来阐述的，对于技术系统来说是合适的。由于技术系统的构成元素间的关系是线性的、确定的，系统的本质安全性等于所有元器件本质安全性的乘积，只要能够保证所有元器件的本质安全性，整个技术系统也就是本质安全的。但是，我们上面提到的各个行业所涉及的系统都不是单纯的技术系统，而是复杂的社会技术系统，系统的大部分构成要素是一种智能体，客观地讲，这些智能体是无法达到本质安全性的。对于这些智能体来说，安全性本身就是一个具有相对性的概念，会随着时代的发展和技术的进步而不断得到提升。虽然复杂社会技术系统的构成要素也许永远达不到本质安全性要求，但这并不意味着系统作为一个整体无法达到本质安全性。这里我们需要特别强调的一点是，对于复杂的社会技术系统，系统的本质安全性并不代表系统的构成要素是本质安全的，由于系统自身及其要素都具有一定的容错性和自组织性，只要在保证系统的构成元素相对可靠的条件下，完全可以通过系统的和谐交互机制使系统获得本质安全性。

由此可见，上述关于本质安全的定义，从客观上来说还停留在关于本质安全的表层意思理解，也就是所谓的外在本质安全，虽然也提到系统和谐、系统可靠性、人的观念变化、人的自由度及事故超前预防，但还没有触及本质安全的核心内容，即本质安全的和谐交互性，系统本质安全是通过微观层面的和谐交互以达到系统整体的和谐所取得的，本质安全的形成应该是由外而内的，最终通过文化交互的和谐性而达到系统的内在本质安全性。

根据交互式安全管理理论，社会技术系统事故正是成因于其内外部交互作用的不和谐性。因此，我们针对以上定义的缺陷，可以从系统的交互机制入手来定义本质安全。所谓本质安全是指运用组织架构设计、技术、管理、规范及文化等手段在保障人、物及环境的可靠前提下，通过合理配置系统在运行过程中的基本交互作用、规范交互作用及文化交互作用的耦合关系，实现系统的内、外在和谐性，从而达到设备可靠、管理全面、系统安全及安全文化深入人心，最终实现对可控事故的长效预防。

由该定义可知，系统本质安全的实现是有前提条件的。首先，系统必须具备内在可靠性。即要达到内在安全性，能够抵抗一定的系统性扰动，也就是说能够应付系统内部交互作用波动引起的系统内部不和谐性。其次，系统能够适应环境变化引起的环境性扰动，即要具备抵御系统与外部交互作用的不和谐性能力。再次，本质安全必须能够合理配置系统内外部交互作用的耦合关系，实现系统和谐，这将涉及技术创新、规范制度、法律完善、文化建设等方方面面。最后，本质安全概念体现了事故成因的整体交互机制，因此，事故预防应该从系统整体入手，最终实现全方位的系统安全。由此可见，本质安全是一个动态演化的概念，也是一个具有一定相对性的概念，它会随着技术进步、管理理论创新而演化。它是安全管理的终极目标，最终达到对可控事故的长效预防；其主要措施是理顺系统内外部交互关系，提高系统和谐性；实现方式是对事故进行超前管理，从源头上预防事故。

二、本质安全管理理论的时代意义

与一般领域的管理理论类似，安全管理理论也是十分复杂的，但大部分安全管理理论只不过是普通管理理论的简单翻版，唯一不同之处是添加了“安全”二字。随着知识经济的来临，科学技术的迅猛发展，新的安全问题层出不穷，传统的安全管理理论越来越凸显缺少应对复杂快变组织环境有效机制，在时间上显得滞后，在处理问题的方式上缺少新意，往往是根据事故后的经验总结所得出的教训来防止事故重演。但是，由于人的复杂性和不确定性，系统内外部交互作用的非线性和初值敏感性，复杂社会技术系统事故往往不会是已发生事故的简单重现，固然事故主因相同，但仍然存在微小偏差。而在复杂系统内，正是这些微小偏差经过多次放大，最终破坏了系统的和谐性，导致了事故，也许每次都是同样的事故，却不是完全一样的成因。由于事故成因的敏感性和非完全复制性，又怎么可以根据过去的经验教训来有效预防事故呢？由此可见，基于职能分工和经验判断的安全管理理论已经难以应对复杂社会技术系统的安全问题。长期以来，由于传统安全管理理论在对复杂系统事故的预防上缺少应有的有效性，人们显得一筹莫展，期盼着有一种“好”理论的出现，从此可以将人们从受制于复杂社会技术系统的安全问题，转变为可以自由有效地解决安全问题，也就是从事故预防的“必然王国”向“自由王国”过渡，这时本质安全出现了，人们对它寄予了莫大的期望。

本质安全理念最初表达的只是电气设备具有的内在安全性，主要是指电气、仪表设备利用本身构造的设计，可以防止因为过热、起弧或电火花的产生所引起的火灾或爆炸，即设备自身是内在安全的，也就是所谓本质安全的。20世纪90年代初，国内开始将电气设备本质安全理念外延到本质安全管理理论研究上，并逐步将事故超前预防、系统和谐、零缺陷、零故障、管理无漏洞，降低人的自由度等思想囊括其内，但到目前为止还没有形成相对完整的理论体系，对该理论的方法体系、理论核心、研究目标、研究对象、评价体系等还存在很多争论，缺乏统一认识。

固然，当前本质安全管理理论还很稚嫩，那么它的出现能否从根本上改变人类在事故预防上的被动局面？能否实现绝对的系统安全？我想答案应该是肯定的。因为如果无法达到一种绝对安全，那本质安全管理理论与传统安全管理理论又有什么区别？为什么又要造出一个所谓的“本质安全”，难道只是贴上一个新的理论标签来吸引更多人的眼球吗？当人们创造出更好的称谓时，同样要遭受唾弃命运吗？当然不能，虽然该理论还不够成熟，但它的出现仍然具有划时代意义。首先，它给人们带来了安全管理理念的变化，使得人们认识到事故不是必然存在的，只是偶然发生的，不发生事故才是必然的，即使是复杂社会技术系统的事故也是可以绝对预防的，只不过这种绝对是指对系统可控事故的长效预防。其次，该理论的出现改变了人们对事故预防模式的认识，从过去建立在功能分割和经验判断基础之上的事故预防模式转变为从系统和谐及系统整体交互作用的匹配性来重新思考复杂系统安全问题的控制模式。由于过去建立在功能分割基础之上的事故预防模式过分强调职能分工和经验判断在预防事故过程中的重要作用，通过对系统层层分解，试图从事故源头入手，将事故隐患扼杀在摇篮里，但由于缺乏有效系统集成技术，虽然能够找到事故源头，但仍然缺乏对事故成因的整体认识，最终导致“只见树木，不见森林”，无法把握事故成因的整体交互机制，最终还是难以有效预防事故。

三、本质安全的实现机制及分类标准

1.本质安全的研究范畴及实现机制

在交互式安全管理实践中，我们发现对于复杂系统来说，隐患出现首先破坏的是系统和谐性，当系统和谐性降低到临界点时，事故就会接踵而来。正是存在于系统内外部的动态交互机制的和谐性决定了系统的安全性，事故正是由于系统内、外部交互作用不和谐性的耦合作用结果，也即系统内部交互作用的波动引起的系统性偏差所造成的系统内部不和谐性，以及系统与外部交互作用的波动引起的外生偏差所造成的系统外部不和谐性的耦合作用结果。因此，本质安全管理理论的主要研究范畴是如何消减复杂社会技术系统的内、外部不和谐性，使系统和谐性始终处在临界点之上，从而使系统保持内、外部的本质安全性。此外，系统和谐临界点（也即系统和谐预警点）的存在也为系统安全预警提供了定量依据，将本质安全管理理论推进到一个可操作层面。

在本质安全管理实践中，消减社会技术系统不和谐性大致有两种模式，这主要取决于系统及其构成部分的复杂性。①对于复杂程度低的系统，以确定性控制和优化为主导。②随着系统复杂性增加，人在系统运行中的主导作用则越来越明显，这时消减系统不和谐性则以对人的不确定性规避为主导（如图8-1所示）。

图8-1　系统不和谐性消减模式

2.本质安全的演化模式及分类标准

从本质安全的实现机制中可以看到，本质安全实现的过程实际上就是系统和谐性实现过程，也是人类对事故成因认识水平上逐步提高过程。客观地讲，人类对事故成因的认识主要经历了技术致因论、行为失误论、文化致因论及复杂成因论等几次大的跨越，它为本质安全管理理论的提出奠定了坚实基础。

结合人类对事故成因认识的四次跨越及组织系统和谐性的实现过程，本质安全也可以划分为以下三个层次：

Ⅰ型本质安全阶段，即基本安全阶段。处于该层次的本质安全的主要指标是技术、设备可靠，环境安全。主要解决程序性偏差所引起的安全问题。

Ⅱ型本质安全阶段，即规范安全阶段。处于该层次的本质安全的主要指标是达到行为规范、技术规范、管理规范、法律规范，更为重要的一点是人应该满足以下要求：具有内在的安全意识；具备合格的安全技能；在自觉的安全意识引导下，能够充分发挥自己的安全技能，在规定的条件下和规定的时间内，安全地完成规定的任务。主要解决的是程序性偏差所引起的安全问题。

Ⅲ型本质安全阶段，即文化安全阶段。处于该层次的本质安全的主要指标是实现人的安全理念、生产系统、安全系统、管理系统、信息传输系统的高度和谐，使系统始终处于和谐临界点之上，安全文化如同看不见的手引导个体、组织系统迈向本质安全。主要解决的是系统性偏差所引起的安全问题。

由此可见，本质安全应该是基本安全、规范安全及文化安全三者的和谐整合，其中包含着非常复杂的交互作用关系。与社会发展规律类似，本质安全的发展也遵从由低级到高级的历程，其中或许有所反复和跨越，但一个系统要实现本质安全一般都要经历基本安全和规范安全阶段，否则本质安全只能是一空中楼阁。

以上这种划分从客观上反映了人类在对各类事故预防的过程中，对事故成因的认识水平也在不断提高。

在基本安全阶段，人们认为事故成因是机械故障及机械设计缺陷，也就是所谓的事故技术致因说，因此这个阶段的研究主要集中于如何消除机械故障及如何采用可靠技术设计安全可靠的机械设备。

在规范安全阶段，人们对事故成因的认识有了进一步发展，认为事故是由于人为因素和技术因素交互作用引起的人为错误导致的，操作者的行为失误和认识缺陷是事故的主因。因此，这个阶段的研究主要是如何改变和规范人的行为问题，主要措施是通过规范管理、制度和立法来改变人的不安全行为，各国针对高危行业制订了大量的法律法规、技术规范来约束和规范人的行为。

进入20世纪90年代，随着企业文化及安全文化研究的蓬勃发展，研究者和实践者认识到处于高危行业的员工执行任务时并不是孤立的，也不只是单纯与工具、设备及仪表等技术因素打交道。实际情况是，他们是以团队形式相互协作来完成任务，会受到情绪化和社会化因素影响，安全文化扎根于每个人心中，影响每个人的安全观念、行为。技术的措施只能实现低层次的基本安全，管理和法治措施尽管可以实现较高层次的规范安全，但要实现根本的安全，最终出路还在于安全文化，从此人类对安全的认识进入到本质安全阶段（文化安全）。因此，只有超越传统安全监督管理的局限，用安全文化去塑造每一位员工，从更深的文化层面来激发员工“关注安全、关爱生命”的本能意识，才有可能构建安全事故预防长效机制，实现安全生产的长期稳定。

当前，本质安全已经逐渐成为各个行业特别是处于高危行业企业的安全管理的终极目标，从更深的层面来说，本质安全研究也是保证和促进企业生存发展的客观需要，同时也是推动煤炭企业可持续协调发展的基础。现阶段，中国大部分煤炭企业还处在从基本安全向规范安全跨越。我国的特殊国情及20世纪八九十年代中国煤炭市场的长期疲软，导致数量众多的煤矿在安全投入上有很大欠账，很多小煤矿，甚至一些大型国有煤矿连基本安全要求还没有实现，更不要奢谈规范安全和本质安全。虽然在某些情况下，有些企业安全阶段的发展并不一定严格按照上述顺序，会出现安全阶段的历史性跨越，一些企业甚至可在非常短暂的时间间隔内达到基本安全和规范安全，但任何企业要实现本质安全，都必须经历基本安全和规范安全阶段。

四、本质安全管理的实证研究框架

1.本质安全的实现：和谐交互

由基于交互式安全管理理论关于本质安全的定义可以看出，系统的本质安全的实现不能只是片面地追求人、物及环境的本质安全，在能够保障人、物及环境的可靠前提下，应该把重点放在实现人、物及环境间交互关系的和谐上，因为系统本质安全的实现最终是通过微观层面的和谐交互以达到系统整体的和谐所取得的。

决定系统能否实现和谐的主要因素是系统的交互机制。一些社会经济系统如煤炭生产型企业，其安全性主要决定于该系统的交互机制，事故正是由于该系统内存在的反效交互、Ⅱ型有效交互和无效交互的作用造成的。系统交互机制的发现为系统实现和谐及事故超前管理提供了科学的理论依据，在安全管理实践中，我们可以通过增加正效交互和Ⅰ型有效交互并排除反效交互、Ⅱ型有效交互和无效交互来提高系统的和谐性、安全性和可靠性。

根据交互机制，我们可将系统内、外部存在的交互关系划分为不同的层次。交互层次指的是系统内部及系统与环境间交互关系按照其交互机制所作的层次化划分，体现了本质安全类型与交互层次的对应关系。根据系统安全性的演化规律及交互机制，可将交互关系划分为三个层次，如图8-2所示：

图8-2　系统交互关系的三个层次

第一层次为基本交互，主要指物与物及物与环境的交互。如果基本交互可以实现和谐，则该系统可实现Ⅰ型本质安全。这里我们用基本交互和谐指数度量系统基本交互的和谐程度，其数学形式如下：

且

如果

则可以实现基本交互和谐。

如果

则无法实现基本交互和谐。

这里PER1、NER1、ER11、ER12、UER1、I1分别为存在于基本交互层的正效交互、反效交互、Ⅰ型有效交互、Ⅱ型有效交互、无效交互及信息传输效率函数。在系统实现和谐的过程中，信息传输效率发挥着至关重要的作用，它起到加速系统实现和谐的速度。

通常I按照如下形式定义：I（t）= f（v，d）。v和d的含义如下：

对于系统中存在如下关系的两个元素ei（t），ej（t），

如果ei（t）让ej（t）完成某项任务，则vij表示ei（t）让ej（t）准确完成某项任务所需要的最小信息量。

v= max（vij），i= 1，2，…，n，j= 1，2，…，m

d为信息失真度，用来度量系统的元素ei（t）发出一条指令ai给另一个接受元素ej（t），并在接受元素处再现成为接受指令集中一条指令bj所引起的失真或误差。

d= min（dij），i= 1，2，…，n，j= 1，2，…，m且

第二层次为规范交互，主要指人与人、人与物、人与环境及人、物与环境的互动产生的规范作用关系，如果规范交互可以实现和谐，则该系统可实现Ⅱ型本质安全，这里我们用规范交互和谐指数度量系统规范交互的和谐程度，其数学形式如下：

且

如果

则可以实现规范交互和谐。

如果

则无法实现规范交互和谐。

第三层次为文化交互，主要指思想、行为、习惯、人际关系、价值观、信息等的交互，如果文化交互可以实现和谐，则该系统可实现Ⅲ型本质安全，这里我们用文化交互和谐指数度量系统文化交互的和谐程度，其数学形式如下：

且

如果

则可以实现文化交互和谐。

如果

则无法实现文化交互和谐。

2.系统本质安全的测度：安全指数与本质安全指数

由于系统本质安全最终是通过微观层面的和谐交互以达到系统整体的和谐所取得的，在此过程中，信息传输效率发挥着至关重要的作用，它起到加速系统实现和谐的速度的作用。因此，系统本质安全应是系统和谐性及信息传输效率的函数。在获得系统的三个交互层次和谐程度后，这时就可以计算出系统的和谐交互指数HHI。和谐交互指数是度量系统总体交互关系和谐程度的指数，它是基本交互和谐指数、规范交互和谐指数、文化交互和谐指数及信息传输效率的函数。为了反映系统本质安全的演化规律，这里的系统和谐交互指数定义不同于前文从微观和谐定义的系统和谐性函数，而是从系统的三层次交互性入手进行定义的，其一般形式如下：

HHI= f（H1I ，H I2，H I3，I）

且HHI满足

综上所述，系统的安全性取决于系统的交互机制和系统的和谐度，这样我们就可以将系统安全指数用下式表示：

Fs= f（HHI，PER，NER，ER1，ER2，UER）

且满足

这里，PER为正效交互，NER为反效交互，ER1为Ⅰ型有效交互，ER2为Ⅱ型有效交互，UER为无效交互。

则系统可以达到本质安全；

则系统无法达到本质安全。

这时，我们可以把本质安全指数定义如下，

ISI= f（HHI，PER，NER，ER1，ER2，UER）= 1

同系统安全性函数类似，本质安全指数也是系统交互机制及和谐交互指数的函数，但两者唯一不同的是，该指数是一个常量，始终等于1，也就是说只有当和谐交互指数及交互机制满足f（HHI，PER，NER，ER1，ER2，UER）= 1时，系统才达到本质安全。从系统安全性函数的定义中可以看出，系统的安全性存在一个临界点，只有达到该临界点，才可以达到本质安全。由此可见，在安全管理中所提到的本质安全，实际上是一个极限值。

本章小结

本章首先介绍了本质安全管理思想，并对本质安全进行了诠释。在分析当前国内本质安全的研究现状及关于本质安全理解误区的基础上，指出技术系统与社会技术系统的本质安全实现路径的本质差异性。在当前的本质安全研究过程中，由于过分注重微观层面个体的本质安全而忽视宏观层面的本质安全是通过微观层面的个体间的和谐交互而取得的事实，在本质安全管理实践中，对于复杂的社会技术系统，即使能够保证系统构成要素的本质安全，但如果不能保证要素间交互关系的和谐性，同样无法实现系统的本质安全性。交互式安全管理理论从系统的交互机制入手阐述了通过实现系统和谐从而达到实现系统本质安全的途径，并对系统的本质安全进行了量化，给出判定系统能否实现本质安全的条件，并得出系统本质安全其实是系统安全性极限的重要结论，为本质安全的进一步实证研究奠定了基础。