人为因素分析及分类系统

人为因素分析及分类系统

Scott A.Shappell和Douglas A.Wiegmann

1　引言

很不幸，航空历史中记载了大量的事故和悲惨的损失。但是，从20世纪50年代航空事故率开始减少，现在安全水平已经达到了史无前例的水平，商业航空飞行比开汽车和在繁忙的纽约大街上行走还要安全。尽管从一个世纪以前的第一次飞行开始，航空事故率急剧下降，但是航空事故中生命和财产的损失却稳步上升。因此，需要采用新方法以降低军用、民用航空的事故率。

尽管在过去几十年内进行了大量的改革和完善，但是有个基本问题仍然没有解决：“航空事故为什么会发生？”答案可能没有我们想象的那么简单。在航空业早期，可以说经常是航空器害死了飞行员。和现在的航空器相比，当时的航空器和机械都不安全。但是，当今时代的航空业已经是另一种情况，具有讽刺意味地反了过来，机组人员比航空器更加危险（Mason，1993；Murray进行了引用，1997）。事实上，对文献的统计发现至少70%～80%的航空事故是由人为差错导致的。然而将事故仅仅随便归因于机组人员，就像没有检查根本原因或深层原因就简单地告诉病人“生病”了一样。

文献中反复出现70%～80%的航空事故由人为差错导致，这种说法的根据是什么呢？我们有些人认为人为差错就是飞行员差错。将航空事故简单地归因于飞行员差错有点过于简单。毕竟，事故不可能归因于单个原因，或在大多数案例中将其归因于单个个体（Heinrich，Petersen＆Roos，1980）。事实上，确定事故的主要原因就是一件让人心烦的事情。确切地说，航空事故是多种原因导致的结果，只是最后一个原因是机组的不安全行为（Reason，1990；Shappell和Wiegmann，1997a；Heinrich，Peterson和Roos，1980；Bird，1974）。

事故调查者和分析者面对的挑战就是如何最好地识别和理顺事件的因果顺序，尤其是70%～80%与人为差错相关的事件。面对这个挑战，那些对事故原因感兴趣的人常带着一份增长的可供选择的调查方案清单离开。事实上，分析事故原因的方法基本上与参与调查过程的人一样多（Senders和Moray，1991）。然而，安全专家和理论家一直没有注意到一个识别和分析人为因素的综合框架。因此，不能准确地针对特定的人为因素进行干预，也不能客观地测度和评估干预的效果。安全专家们维持现状，由他们的兴趣和癖好驱动的调查，导致围绕事故原因边缘的干预策略，对降低总的事故率几乎没有作用。我们需要的是一个以需求为基础、数据驱动的安全程序开发框架（Wiegmann和Shappell，1997）。

2　Reason的人为差错“瑞士奶酪”模型

分析人为差错原因的最有吸引力的方法是由James Reason（1990）提出的人为差错“瑞士奶酪”模型。Reason描述了人为失误的四个层次，并且每一层都会影响下一层（图1）。从事故开始往前追溯，第一层是最终导致事故的操作者不安全行为。在航空中通常描述为机组/飞行员差错，这一层是大多数事故调查者重点关注的方面，因此，大多数原因因素已被发现。毕竟，通常是机组的行动或不行动直接联系到事故。例如，在仪表气象条件（IMC）下飞行员未能适当地扫视飞机上的仪表或者在只授权目视气象条件（VMC）飞行的飞行员传入IMC，这将产生相对直接和潜在严重的后果。瑞士“奶酪”中的“洞”代表行为失误，这些行为失误，通常是由机组犯下的最后不安全行为。

图1　人为差错的“瑞士奶酪”模型

但是，是什么导致“瑞士奶酪”模型在事故调查中特别有用？是因为它可以促使调查者考虑事件原因序列中的隐性失效。顾名思义，隐性失效不像显性失效，可能会潜伏几小时、几天、几周或者更长，直到有一天它们影响了无戒心的机组。因此，它们会被调查者忽略，即使是那些有最好意图的调查者。

在隐性失效这个概念中，Reason描述了三个人为因素失效层次。第一个层次涉及机组的状态，因为它会影响表现，称为不安全行为的前提条件，涉及诸如心理疲劳、缺乏沟通和协调，通常称为机组资源管理（CRM）等情况。如果疲劳的机组未能与驾驶舱内的其他人或航空器外面的人进行沟通和协调，制定错误的决策并且导致差错，发生这种事情一点也不奇怪。

但是，首先要问究竟是什么原因导致沟通和协调失效？这也许就是Reason模型与许多传统的人为差错方法不同的地方。在许多情况下，缺乏良好的CRM可以追溯到不安全的监督——人为失效的第三层。例如，两个没有经验的飞行员（也许甚至低于飞行员的平均水平）搭配在会出现恶劣天气的夜晚飞行，有人会对悲剧的后果真的感到吃惊吗？更糟糕的是，如果这个有问题的人员安排加上不良的CRM培训，沟通失效和最终机组差错的可能性会变大。从某种意义上说，机组是被“安排”成协调失效，机组之间的协调失效后，机组的最终表现将会受到影响。这并不是贬低机组人员的作用，只是说明干预和缓解策略应更加依赖于系统。

Reason模型并没有停留在监督层，组织本身可以影响所有的层次。例如，在财政紧张的时候，资金经常短缺，结果导致培训和飞行的时间缩短。因此，管理者除了让“非精通者”执行复杂任务外，通常没有其他的选择。一点也不奇怪，缺乏良好的CRM培训，沟通和协调失效将会与无数其他前提条件同时开始出现，所有这些都会影响飞行员的表现并诱发机组差错。因此，如果事故率的减少超出了当前的水平，调查者和分析员必须调查驾驶舱里面以及外面所有事件的序列。最后，如果事故调查和防范系统要取得成功必须解决组织内各层次的原因因素。

在许多方面，事故致因的Reason“瑞士奶酪”模型改变了事故致因的普遍观点。但是，遗憾的是，它只是一个简单的理论，没有详细介绍如何将其应用到实际中去。换句话说，该理论从来没有定义“奶酪”上的“洞”实际上是什么，至少在日常运行环境中是这样。最后，人们需要知道这些系统失效或“洞”是什么，以便在事故调查中将它们识别出来，更好的情况是在事故发生前检测到它们并进行更正。

本文将试图描述“奶酪”里的“洞”。但并不是用没有实用性的高深理论来定义这些“洞”，原始的框架（叫做不安全操作分类）是利用从美国海军安全中心（Shappell和Wiegmann，1997）获得的300多起海军航空事故建立的。以后原始的分类利用从其他军用（美国陆军安全中心和美国空军安全中心）和民用组织（NTSB和FAA）得到的输入数据进行了细分。其结果是人为因素分析及分类系统（HFACS）的开发。

3　人为因素分析及分类系统

借鉴Reason（1990）的隐性和显性失效的概念，HFACS描述了四个层次的失效：（1）不安全行为；（2）不安全行为的前提条件；（3）不安全监督；（4）组织影响。下面简单介绍主要的组件和原因分类，从最直接导致事故的不安全行为层开始介绍。

图2　机组不安全行为分类

3.1　不安全行为

不安全行为大致可以分为两类：差错和违规（Reason，1990）。差错代表那些没有达到预期结果的心理和生理行为。一点也不奇怪，人的本性导致差错，这些不安全行为占据了大多数事故数据库。另一方面，违规是指故意违反飞行安全管理的规则和条例。许多组织的灾难在于管理者和研究人员一直没有预测和预防这些很严重并且完全可以预防的不安全行为。

尽管如此，差错和违规的区别没有提供大多数事故调查所需要的力度水平。因此，差错和违规的类别在图2中进行了扩充，和其他地方（Reason，1990；Rasmussen，1982）一样，包括三种差错类型（基于技能、决策、认知的差错）和两种违规形式（习惯性和偶然性）。

表1　飞行员不安全行为的例子（注：没有全部列出）

3.1.1　差错

1.基于技能的差错

基于技能的行为在航空业中最好的描述是“stick-and-rudder”（一杆两舵）和其他不需要刻意思考的基本飞行技能。因此，这些基于技能的行为特别容易受到注意力和/或记忆失效的影响。事实上，注意力失效会导致许多技能型差错，例如视觉扫视模式失效、任务凝滞、无意操控动作和不按程序中规定的步骤等等（表1）。一个典型的例子，飞行机组人员专注于排除故障（烧毁的警告灯）而没有注意到他们已经致命地朝地面下降。也许离家越近，越会考虑倒霉的事情，比如把自己锁在车外面了或者错过了出口，因为他不是分神就是做白日梦。这两个注意力失效的例子通常发生在高度自动化行为中。不幸的是，在家里或围着城镇转悠，这些注意力/记忆力失效可能是一种阻碍，但是在空中注意力/记忆力失效就是一种灾难。

与注意力失效相反，记忆力失效经常表现为忽略检查单里的项目、失去位置或忘记意图。例如，很多人都经历过打开冰箱时却忘了要做什么。同样，我们不难想象，在飞行中出现紧急情况的压力下，可能会忘记紧急程序的关键步骤。但是，即使是在没有特别压力的情况下，飞行员也容易在进近中忘记放下襟翼或者在最低高度放下起落架。

在许多事故调查中确定的第三个，也是最后一个技能型差错类型是技术差错。不管一个人的培训经验和教育背景如何，他们执行某一特定顺序事件的方式会有很大的差别。也就是说，两名具有相同培训、飞行等级和经验的飞行员操纵飞机的方式可能截然不同。一名飞行员可能飞行得非常平稳像滑翔的鹰一样优美，而另一名却飞行得像麻雀一样忽上忽下。然而，虽然两名飞行员可能都是安全的并且都擅长飞行，但是他们的技术决定了他们特定的失效模式。事实上，这种技术就像天生的能力和资质一样，是人格的一种外在表现，很难最好地防止和缓解技术差错。

2.决策差错

第二种差错类型，决策差错是指按意图执行，但操作不适当的有意行为。通常所说的“诚实错误”，这些不安全行为是指那些知道问题所在但是却没有相应的知识或者只是简单地选择错误的作为或不作为。

广泛调查所有差错类型，决策差错可以分为三大类：程序错误、选择不当和处置不当（表1）。程序决策错误（Orasanu，1993），或基于规则的错误（Rasmussen，1982）发生在高度结构化的任务中，该执行X，却执行了Y。航空业，特别是军事和商业领域，具有高度结构化的特征，因此飞行员的大多数决策都在程序上。飞行的每个阶段基本上都有非常明确的执行程序。尽管如此，当飞行员未能确认情况或错误判断情况时常常会引发差错，并且会采用错误的程序。特别是在时间特别关键的紧急情况下，例如起飞时出现突发失效。

但是，即使是在航空业中，也不是所有的情况都有对应的处置程序。因此，在许多情况下需要在多个响应选项中做出选择。比如飞行员离开家一周之后飞回家时，他竟然直接面对一排雷暴。他可以绕飞雷雨区，备降到其他地区，或者穿越雷雨区并希望他能快速通过它。面对这种情况会发生选择错误（Orasanu，1993），或基于知识的错误。当经验和时间不足或有其他外在压力时，特别有可能会妨碍正确的决策。简单地说，有时候我们能做正确的选择，有时候却不能。

最后，存在这样的情况，不能很好地理解问题，没有正式的程序和响应选项。在这些情况不明确的时候要求产生一个新的解决方案。从某种意义上说，飞行员发现自己在没人飞过的地方时，在很多方面，他们必须靠自己飞行。这种情况下，飞行员必须采取缓慢且认真的推理，此时时间对飞行员来说非常紧张。一点也不奇怪，尽管这种决策制定的类型没有其他类型频繁，但是错误解决问题的比例却明显偏高。

3.认知差错

认知差错一点也不意外，当飞行员对世界的认知与实际出现偏差时，经常会产生差错。通常，当感觉输入受到损害或不正常时会出现认知差错。例如视觉错觉和空间定向障碍，或飞行员错误判断飞机的高度、姿态和速度（表1）。又如，视觉错觉发生在飞行员试图弥补低能见度时感觉缺失的时候，像在晚上或不利天气条件下飞行。同样，空间定向障碍发生在前庭系统不能分辨空间方位，因而需要进行最佳猜测时——通常发生在夜间或不利天气条件下飞行无法获得视觉线索（天地线）的情况下。在这两种情况下，飞行员经常根据错误的信息做决策并且出错的可能性升高。

但是，值得注意的是，错觉和迷失并不是认知差错。相反，认知差错是飞行员对错觉和迷失的错误反应。例如，许多不知情的飞行员经历过“黑洞”进近，将一架完好的飞机撞向地面或水中。但这仍将发生，即使众所周知，在漆黑的夜晚飞行时，在没有特征的地形（例如，湖面或没有树木的地面）上空会出现飞机的高度比实际高的错觉。因此，这时要求飞行员要依靠飞机的主仪表而不是外界，尤其是在进近阶段。即便如此，有些飞行员在夜间飞行时仍然未有效监控仪表。可悲的是，这些机组以及被错觉迷失和被这类飞行自然特征愚弄的其他人将被卷入一场致命的飞行事故中。

3.1.2　违规

根据定义，差错发生在遵守规则和条例的情况下，通常占据了大多数事故数据库。相反，违规则代表忽略安全飞行的规则和条例，幸运的是，这种情况很少发生，因为他们通常会导致致命事故（Shappell等人，1999）。

虽然有很多方法来区分违规的类型，但是根据其原因已经确定了两种截然不同的形式，这将有助于安全专家查明事故原因。首先，习惯性违规往往是由于习惯导致的并且被管理当局所容忍（Reason，1990）。例如，个别人开车的速度总是比规定的快5mph-10mph，或在只允许在目视气象条件下飞行时，飞行员经常在边缘气象条件下飞行。尽管这两种情况肯定违反了规则，但是仍然有很多人这样做。此外，在限速55mph的区域以64mph开车的人几乎总在限速55mph的区域以64mph行驶。也就是说，他们经常违反速度限制，经常在边缘气象条件下飞行的飞行员也是这样。

更糟糕的是，这些违规行为（通常所指的“改变”规则）往往是监督当局所容忍或认可的（即除非你超过规定的限制速度大于10mph，你不会获得交通罚单）。但是，如果地方当局开始对那些在高速路上超速9mph或更少的司机发出传票（就像军事设施所做的那样），这样人们就不会违反规则了。因此，按照定义，如果识别出习惯性违规必须进一步察看监督链以查出当局那些没有执行规则的人。

另一方面，不像习惯性违规，偶然性违规是偏离规章的孤立行为，不一定表明人的典型行为模式，也不是管理者所宽容的（Reason，1990）。例如，认为在55mph限制区内以105mph的速度行驶属于偶然性违规。同样，在桥下飞行或执行其他限制的机动操作（如低高度的峡谷飞行）将构成偶然性违规。但是，值得注意的是，尽管大多数偶然性违规都是可怕的，但是因为他们的极端性并不能认为他们是偶然的。然而，难以应对偶然性违规者是因为他们并不代表个人的行为方式并且预测他们特别困难。事实上，当人们问及他们可怕的行为并且要求做出解释时，他们通常不做任何解释。确实，一些偶然幸存下的人清楚地知道，如果被逮住，将会导致严重的后果。

3.2　不安全行为的前提条件

可以说，飞行员的不安全行为直接导致了80%的航空事故。然而，仅仅关注不安全行为就像在不了解根本病因的情况下关注发烧一样。因此，调查者必须深入挖掘不安全行为产生的原因。第一步，将机组的不安全条件细分为两个主要部分：操作者低于标准的状态和操作者低于标准的操作（图3）。

图3　不安全行为的前提条件分类

3.2.1　操作者低于标准的状态

1.精神状态差

在所有努力中精神准备是至关重要的，但是也许在航空业中更重要。严格来说，精神状况差是指那些影响飞行员表现的精神条件（表2）。主要包括丧失情景意识、任务凝滞、分心和由于缺乏睡眠或其他压力导致的心理疲劳。此类别中还包括人格特质和有害的态度，如过分自信、自满和错误的动机。

表2　不安全机组条件的例子（注：没有全部列出）

可以预见，不管出于什么原因，如果一个人心理疲劳的话，那么出现差错的可能性就会增加。同样，过度自信和其他有害的态度（例如傲慢和冲动）将会产生违规的可能性。很清楚，任何人为差错的框架必须考虑事件因果链中预先存在的精神状态差。

2.生理状态差

第二类生理状态差是指那些阻碍安全操作的药物或生理条件（表2）。对航空特别重要的条件包括前面介绍的视觉错觉和空间定向障碍以及生理疲劳，还有无数影响飞行员表现的药物和医疗异常。

大多数飞行员都清楚地知道视觉错觉和空间定向障碍的影响。但是，大多数飞行员常常并不太了解并经常忽略简单生病对驾驶舱表现的影响。几乎我们所有人都有过带病工作的经历，服用大量的药物后，工作表现一般都还好。但是，飞行员患了感冒则不一样。不幸的是，大多数飞行员认为感冒只是一件小事，通过服用大量的抗组织胺药物乙酰氨基酚和其他非处方药病就会好。事实上，当飞行员鼻子不通气时，随着客舱高度的变化会感到鼻窦堵塞般的痛苦。再说，这还不是航医关注的明显症状。航医更多关注的是，伴随着内耳感染并且在仪表气象条件下发生空间定向障碍的可能性增加，这是很惊人的，更不用说抗组织药的副作用、疲劳、失眠对飞行员决策制定的影响。因此，安全专员有责任考虑事件因果链中一些微妙的医药条件。

3.身体/智力局限

第三种操作者状态差的类型是个人身体/智力局限（表2）。具体而言，身体/智力局限是指操作要求超出了个人的能力范围。例如，人们的视觉系统在晚上受到严重限制，但是像开车，司机不一定要减速或采取额外的预防措施。在航空业，减速并不总是一种选择，对基本飞行仪表增加额外的注意和提高警惕性将增加安全裕度。不幸的是，不采取预防措施将导致灾难，因为飞行员由于目标太小或视野范围内物体对比度的影响，经常看不见其他飞机、障碍物或电线。

同样，在某些情况下，完成任务或机动操作的时间限制超过了个人的能力。每个人在信息处理和响应上有很大的不同。然而，优秀的飞行员通常具有快速和准确的反应能力。但是，如果要求个人快速做出反应（即没有足够的时间考虑所有的可能性或全面选择），那么出错的可能性会显著增加。因此，在需要快速处理和反应的时刻，像航空中的大多数紧急情况，所有的差错形式将会恶化，这一点也不奇怪。

除了上面介绍的基本感知和信息处理限制外，还需要介绍另外两个身体/智力局限，尽管它们经常被安全人员忽略。这些限制包括那些不符合航空要求的个人，因为他们不是身体不符合就是不具备飞行的天资。例如，有些个人根本没有体力在超重环境下操作，或者人体测量学原因，他们很难对飞机进行操纵。换句话说，传统驾驶舱没有针对所有的形状、大小和生理能力进行设计。同样，不是所有的人都具有驾驶飞机的智力或天资。正如不是每个人都能成为音乐家或国家足球联盟的后卫球员一样，不是每个人都具有驾驶飞机的天资，驾驶飞机是一种需要特殊能力的职业——在生命受到威胁的情况下能快速做出决策并准确反应。安全人员工作的困难在于识别天资是否影响了事故原因的序列。

3.2.2　操作者低于标准的操作

很明显，很多不符合标准状态的人会导致不安全行为。然而，我们做的很多事情可以导致不符合标准条件。通常来说，操作者低于标准操作可以分为两大类：机组资源管理失效和个人准备不足。

1.机组资源管理失效

良好的沟通技能和团队合作几十年来一直是企业/组织或个体心理学家的口头禅。一点也不奇怪，机组资源管理在过去几十年里一直是航空业的基石（Helmreich和Foushee，1993）。因此，机组资源管理失效用于描述人们之间缺少合作。在航空业中，机组资源管理包括飞机内的协调，飞机与空中交通管制设施和维修控制之间的协调，以及设备和其他辅助人员之间的协调。但是飞行机组协调不仅仅指飞行时机组之间的协调，它还包括飞行前飞行员简报和飞行后飞行员汇报时的协调。

机组之间缺乏沟通协调导致驾驶舱内混乱和不良决策的制定，结果引发事故，这个场景一点也不难想象。事实上，航空事故数据库中充满了机组之间沟通不畅导致的事故。其中最悲惨的一起航空事故是1972年某个晚上在佛罗里达沼泽地发生的坠机事故，因为机组人员忙于查明烧坏一个指示灯的原因。不幸的是，驾驶舱内没有一个人监测到飞机的高度保持模式无意中断开了。理想情况下，机组在解决失效时应该协调以确保至少有一名飞行员监控飞行仪表和驾驶飞机。不幸的是，情况并非如此，结果他们开始缓慢、未识别地下降到沼泽地，导致大量人员遇难。

2.个人准备不足

在航空业或任何职业背景中，总是希望人们做好工作准备以获得最佳水平的表现。然而，在航空业和在其他职业上一样，当未做好生理或精神准备时就会发生个人准备不足的失效。违反机组休息要求、饮酒以及自我药物治疗都会影响工作中的表现并且在飞机上是特别有害的。不难想象，当个人违反机组休息要求时，他们可能面对精神疲惫或其他不利的心理状态，这些最终会导致差错或事故。但是请注意，那些影响个人准备不足的违规并不是“不安全行为”，因为它们通常不会在驾驶舱中发生，也不是直接和立即导致后果的必要行为失效。

然而，并不是所有的个人准备不足都是违反管理规则或条例的结果。例如，在驾驶飞机前跑10mile，这没有违反任何现存的规则，但是它可能影响个人的生理和精神能力，这足以降低飞行员的表现并导致不安全行为。同样，现代商人的传统“糖果和可乐”午餐听起来很不错，但是可能不足以维持严格航空环境中的表现。尽管没有这种行为的规则，但是飞行员必须用良好的判断力来决定他们是否适合驾驶飞机。

3.3　不安全监督

除了那些与飞行员/操作者相关的原因因素，Reason（1990）将事件因果链追溯到监督环节。我们将不安全监督分为4类：监督不充分、运行计划不适当、没有纠正问题、监督违规（图4）。下面对每一类进行简要介绍。

图4　不安全监督分类

3.3.1　监督不充分

每个监督者的职责是提供成功的机会。要做到这一点，无论是什么水平的运行，监督者都应该提供指导、培训机会，以及适当的模仿典型。遗憾的是，情况并不总是这样。例如，一点也不难想象，没有给特定的飞行机组成员提供合适的机组资源管理培训或参加这类培训的机会。机组协调能力将受到影响，如果飞机遇到不利情况（例如紧急情况），犯错误的风险会加剧并且发生事故的可能将显著增加。

同样，良好的职业指导和监督是任何成功组织的基本要素。尽管授权个人制定决策和单独工作是必要的，但是这并不能与监督者的职责脱离。已经证明缺乏监督和指导，引起了驾驶舱中的许多违规行为。因此，事故致因的任何彻底调查必须考虑导致人为差错的监督（例如，监督是否合适和充分）（表3）。

3.3.2　运行计划不适当

有时候，运行进度和/或机组排班是这样的，将个人置于不可接受的风险，机组休息受损害并且不利地影响最终表现。这样的运行安排，虽然在紧急情况下是不可避免的，但是在正常运行期间是不可接受的。因此，不安全监督的第二种类型是运行计划不适当（表3）。

表3　不安全监督的例子（注：没有全部列出）

例如，不合适的机组搭配。众所周知，非常优秀和独裁的机长与很年轻且弱的副驾驶搭配时，很可能发生沟通协调问题。通常所说的驾驶舱权威梯度，这种情况很可能是导致1982年1月一架运输机在华盛顿特区波托马克河外不幸坠毁的原因（NTSB，1982）。在这起事故中，机长反复回绝副驾驶指出的发动机仪表显示不正常。无畏地，在结冰条件、起飞推力不足的条件下，机长继续执行致命的起飞。结果飞机失速坠入到结冰的河里，机组和许多旅客遇难。很明显，机长和机组都应当承担责任。他们在事故中遇难，不能阐明原因，但是监督环节的作用呢？也许机组搭配也同样要负责。虽然这没有在报告中具体提到，但是这些问题显然值得在许多事故中探讨。事实上，在这一特定事故中，还发现了一些其他的培训和人员配备问题。

3.3.3　没有纠正已知的问题

不安全监督的第三种类型，没有纠正已知的问题指的是监督者知道人员、设备、培训或其他安全相关领域的不足之后，仍然允许其持续下去的情况（表3）。例如，致命事故发生后事故调查者去采访飞行员的朋友、同事和监督者发现他们“知道这件事某一天会发生在他身上”。这一点也不罕见。如果监督者知道飞行员没有安全飞行的能力，并允许其飞行，他这么做显然对飞行员没有任何帮助。若不通过补习培训或必要时调离飞行工作来纠正行为失效，基本上就等于签署了对飞行员的死刑令，更不用说飞机上的其他人员。

同样，没有稳定的纠错或教授不合适的行为无疑促成了不安全的氛围并促使了违规。航空历史中有大量飞行员报告他们使人毛发悚然的故事和低高度的特技表演。尽管对有些人是娱乐，但是他们常常起到宣扬宽容的观念和“胜人一筹的本事”的作用，直到有一天某个人获得了地面水平的低高度飞行记录。的确，没有报告这些不安全倾向并且没有采取纠正措施也属于没有纠正问题的例子。

3.3.4　监督违规

另一方面，监督违规指的是监督者有意违反现有的规章和条例（表3）。虽然很少见，但是监督者管理他们的资产的时候，偶尔会违反规则或教条。例如，偶尔允许没有资格、取得执照的人驾驶飞机。同样，不执行现有的规章和条例或卖弄当局也同样属于监督违规。尽管很少见并且很难剔除，但是这种做法是公然违反规则并且上演了一系列预测的悲惨事件。

3.4　组织影响

如前所述，上级管理层的错误决策直接影响监督的实施和操作者的状态和行为。不幸的是，安全人员经常忽略这些组织错误，很大程度上是因为缺乏一个调查他们的清晰框架。总的来说，这隐性的潜在失误涉及资源管理、组织氛围和组织过程，如图5所示。

图5　组织影响分类

表4　组织影响的例子（注：没有全部列出）

3.4.1　资源管理

这一类别主要包括组织资源分配及维持决策，如人力资源（人事）、资金和设备/设施（表4）等公司一级的决策。一般来说，企业决定如何管理这些资源应该围绕两个不同的目标——安全和正点，运行成本效益。在兴旺时期，这两个目标很容易平衡和满足。但是，正如我们前面提到的，在财政紧缩的时候需要对这两个进行取舍。遗憾的是，历史告诉我们，在这样的竞争中安全经常是失败者，可以很容易地得到证实，在财政困难的时候组织会首先削减安全和培训。如果在这些领域削减过于严厉，飞行能力可能被损害，并且最好的飞行员可能离开组织去寻找更绿色的牧场。

过度削减也可能导致减少购买新设备的资金或者导致购买的新设备不是最优的并且设计的运行类型不适合公司飞行。其他影响包括不良的设备维护和工作空间，并且未能纠正现存设备中已知的设计缺陷。结果导致不成熟、低技能的飞行员在不理想的条件和计划下驾驶一架维护不良的旧飞机。不难想象航空安全的后果。

3.4.2　组织氛围

组织氛围指的是影响工作人员表现的多种组织变量。形式地，它被定义为组织对待个人基于实际情况的一致性（Jone，1988）。但是，组织氛围通常被认为是组织内的工作环境。组织氛围的一个指示信号是它的结构，由行政管理系统、当局授权和职责沟通渠道和正式责任制所反映（表4）。就像在驾驶舱中，沟通和协调在组织内是至关重要的。如果组织内的管理者和员工不沟通，或者没有人知道是谁在负责，那么组织安全明显会受到影响并且事故也会发生（Muchinsky，1997）。

组织的政策和文化也很好地代表了它的氛围。政策是管理者直接决策雇佣和解雇、晋升、保留、培养、病假、药物和酒精、加班、事故调查和使用安全设备等的官方指导方针。另一方面，文化指的是组织的非正式或潜规则、价值观、态度、信仰和习惯。文化是实际在这里做事的方式。

当政策不明确、对抗或冲突，或当它们被非正式的规则和价值观取代时，组织内就会出现混乱。的确，有些企业管理者在公众场合会快速讲出口头上的官方安全政策，但是在实际运行中就忘了这些政策。但是，热力学第三定律告诉我们“这种混乱和不协调自身不可能产生有序和协调”。在这样的条件下安全会受到损害。

3.4.3　组织过程

该类型指的是组织中管理日常行为的企业决策和规则，包括建立和使用标准操作程序和维护检查的正式办法以及员工和管理者之间的平衡（监督）。例如，运行节奏、时间压力、激励机制和工作计划这些因素都会不利地影响安全（表4）。如前所述，可能存在这样的情况，组织的高层决定有必要将工作节奏加快到某一点，但是超过了员工的能力。因此，管理人员可能会使用不合适的排班程序，如损害机组人员休息、非最佳机组搭配，从而增加机组出事的风险。组织应该有正式程序来处理这类突发事件和监督程序来监控这些风险。遗憾的是，并不是所有的组织都有这些程序，也没有主动采取行动，利用匿名报告系统和安全审计来监控机组差错和人为因素问题。因此，监督者和管理者在事故发生前往往没有意识到问题。的确，有人说“一起事故对许多人来说只不过是一个偶然事件”（Reinhart，1996）。因此积极寻找“奶酪”中的“洞”并在酿成事故前将其堵住，这是任何组织义不容辞的职责。

4　结论

我们相信，人为因素分析及分类系统（HFACS）框架，通过给调查者提供一个识别和分析航空事故人为因素的综合的、用户友好的工具将理论与实践结合起来。该系统基于Reason（1990）模型的隐性和显性失效（Shappell和Wiegmann，1997），包含了人为差错的所有方面，包括操作者和管理者失效的条件。尽管如此，如果不能证明HFACS在运行环境中有用，HFACS和其他任何框架一样只能贡献于迅速发展的人为差错分类清单上。在这些方面，美国海军、海军陆战队、陆军、空军和海岸警卫队已将HFACS用于航空事故的调查和分析上。迄今为止，HFACS已经被用于分析了大约1000起航空事故的人为因素数据。在这个过程中，HFACS的可靠性和内容的有效性已得到多次测试和证明（Shappell和Wiegmann，1997）。

给定的事故数据库能够可靠地用HFACS进行分析，下一个合乎逻辑的问题是，是否能确定某些东西是独特的。早期的军事应用迹象表明，HFACS框架有助于识别和分析普遍的人为因素安全问题（例如，机组熟练性趋势，Shappell等人，1999）、特殊事故类型（例如，可控飞行撞地，CFIT，Shappell和Wiegmann，1997）和人为因素问题如机组资源管理（CRM）失效（Shappell和Wiegmann，1999）。结果，系统地应用HFACS分析人为因素事故数据给美国的海军/海军陆战队（开发了原始的分类）提供了制定客观、数据驱动的干预策略的能力。从某种意义上说，HFACS已经阐明了那些成熟的干预领域，从而防止取决于个人兴趣去研究那些不一定与挽救生命或防止飞机损坏有关的问题。

此外，HFACS框架和数据库分析中的见解已经用于开发创新性的事故调查方法，该方法可以增进事故调查中人为因素信息收集的数量和质量。安全人员不仅仅能更好地现场调查人为差错，而且使用HFACS，可以追踪对事故负责任的领域（奶酪中的洞）。只是现在才可以跟踪用于减少特殊类型人为差错和相应航空事故的特定干预方案成功与否。这样做可以重新调整研究投入和安全计划，以促进其符合不断变化的航空安全需求。最近，军队开发和验证的这些事故分析和调查技术已经应用于美国民用航空事故的调查和分析（Shappell和Wiegmann，1999）。确切地说，HFACS框架目前已经用于系统的商业和通用航空事故数据以探讨这些事件相关的潜在人为因素。该框架也应用于改进在美国联邦航空局和国家运输安全委员会调查实际民用航空事故中人为因素问题的方法和技术。这个项目的初步结果已经强调了需要进一步研究安全的人为因素领域。另外，像在军队里，可以预期HFACS将提供基本的信息和需求以开发更有效和易于接近的民用航空人为因素事故数据库。

总之，开发的HFACS框架已经被证明是建立更大的军事和民用航空安全计划的有价值的第一步。另外，安全计划的最终目标是通过系统的数据驱动的投入，以降低航空事故率。

参考文献

Bird，F.（1974）.Management guide to loss control.Atlanta，GA：Institute Press.

Heinrich，H.W.，Petersen，D.，Roos，N.（1980）.Industrial accident prevention：A safety management approach（5^th ed.）.New York：McGraw-Hill.

Helmreich，R.L.，Foushee，H.C.（1993）.Why crew resource management？Empirical and theoretical bases of human factors training in aviation.In E.L.Wiener，B.G.Kanki，R.L.Helmreich（Eds.），Cockpit resource management（pp.3-45）.San Diego，CA：Academic Press.

Jones，A.P.（1988）.Climate and measurement of consensus：A discussion of“organizational climate”.In S.G.Cole，R.G.Demaree，W.Curtis，（Eds.），Applications of Interactionist Psychology：Essays in Honor of Saul B.Sells（pp.283-290）.Hillsdale，NJ：Earlbaum.

Murray，S.R.（1997）.Deliberate decision making by aircraft pilots：A simple reminder to avoid decision making under panic.The International Journal of Aviation Psychology，7，83-100.

Muchinsky，P.M.（1997）.Psychology applied to work（5^th ed.）.Pacific Grove，CA：Brooks/Cole Publishing Co.

National Transportation Safety Board（1982）.Air Florida，Inc.，Boeing 737-222，N62AF，Collision with 14^th Street bridge，near Washington National Airport，Washington，D.C.，January 13，1982（Tech.Report NTSB-AAR-82-8）.Washington：National Transportation Safety Board.

Orasanu，J.M.（1993）.Decision-making in the cockpit.In E.L.Wiener，B.G.Kanki，R.L.Helmreich（Eds.），Cockpit resource management（pp.137-172）.San Diego，CA：Academic Press.

Rasmussen，J.（1982）.Human errors：A taxonomy for describing human malfunction in industrial installations.Journal of Occupational Accidents，4，311-33.

Reason，J.（1990）.Human error.New York：Cambridge University Press.

Reinhart，R.O.（1996）.Basic flight physiology（2^nd ed.）.New York：McGraw-Hill.

Senders，J.W.，Moray，N.P.（1991）.Human error：Cause，prediction and reduction.Hillsdale，NJ：Earlbaum.

Shappell，S.A.，Wiegmann，D.A.（1996）.U.S.naval aviation mishaps 1977-1992：Differences between single-and dual-piloted aircraft.Aviation，Space，and Environmental Medicine，67，65-69.

Shappell，S.A.，iegmann D.A.（1997a）.A human error approach to accident investigation：The taxonomy of unsafe operations.The International Journal of Aviation Psychology，7，269-291.

Shappell，S.A.，Wiegmann，D.A.（1997b）.Why would an experienced aviator fly aperfectly good aircraft into the ground？In Proceedings of the Ninth International Symposium on Aviation Psychology，（pp.26-32）.Columbus，OH：The Ohio State University.

Shappell，S.A.，Wiegmann，D.A.（1997）.A reliability analysis of the Taxonomy of Unsafe Operations.Aviation，Space，and Environmental Medicine，68，620.

Shappell，S.A.，Wiegmann，D.A.（1999a）.Human error in commercial and corporate aviation：An analysis of FAR Part 121and 135mishaps using HFACS.Aviation，Space，and Environmental Medicine，70，407.

Shappell，S.，Wiegmann，D.，Fraser，J.，Gregory，G.，Kinsey，P.，Squier，H.（1999b）.Beyond mishap rates：A human factors analysis of U.S.Navy/Marine Corps TACAIR and rotary wing mishaps using HFACS.Aviation，Space，and Environmental Medicine，70，416-417.

Wiegmann，D.A.，Shappell，S.A.（1997）.Human factors analysis of post-accident data：Applying theoretical taxonomies of human error.The International Journal of Aviation Psychology，7，67-81.

Wiegmann，D.A.，Shappell，S.A.（1999）.Human error and crew resource management failures in Naval aviation mishaps：A review of U.S.Naval Safety Center data，1990-1996.Aviation，Space，and Environmental Medicine，70，1147-1151.