系統(tǒng)安全理論與模型發(fā)展研究綜述

緱變彩， 覃亞偉， 王 帆

(1.武漢科技大學 城市學院， 湖北 武漢 430083； 2.華中科技大學 土木工程與力學學院， 湖北 武漢 430074；3.長江水利委員會長江科學院， 湖北 武漢 430015)

系統(tǒng)安全理論與模型發(fā)展研究綜述

緱變彩1， 覃亞偉2， 王 帆3

(1.武漢科技大學 城市學院， 湖北 武漢 430083； 2.華中科技大學 土木工程與力學學院， 湖北 武漢 430074；3.長江水利委員會長江科學院， 湖北 武漢 430015)

復雜社會技術系統(tǒng)的安全績效取決于技術層面因素與組織管理層面因素的相互作用關系，而非個體要素。事故被認為是復雜系統(tǒng)中各個要素之間相互作用所產(chǎn)生的一種涌現(xiàn)現(xiàn)象，需要用系統(tǒng)安全思想進行研究，建立相應的系統(tǒng)安全模型。本文簡要回顧了事故致因與系統(tǒng)安全理論的發(fā)展趨勢，將事故致因與系統(tǒng)安全理論依據(jù)研究范式劃分為三代，即規(guī)范性理論與模型、基于系統(tǒng)狀態(tài)偏離標準程度的描述性理論與模型、以及基于系統(tǒng)實際行為的描述性理論與模型，在此基礎上，總結了建立系統(tǒng)安全模型的現(xiàn)狀、必要性和挑戰(zhàn)，強調(diào)建立系統(tǒng)安全模型需要從近端因素到遠端因素、從靜態(tài)分析到動態(tài)建模、從還原論到整體論進行轉(zhuǎn)變，將安全分析重點從找尋事故原因轉(zhuǎn)移到事故發(fā)生機理上來。

系統(tǒng)安全； 復雜社會技術系統(tǒng)； 安全風險建模

社會技術系統(tǒng)于20世紀60年代初由英國Tavistock研究所提出[1]，泛指技術密集和資金密集、積聚能量巨大的工業(yè)組織，認為生產(chǎn)系統(tǒng)都具有技術和社會表征，而且是緊密聯(lián)系和相互作用的，系統(tǒng)績效取決于這種相互作用而不是個體要素，并由此萌發(fā)了“系統(tǒng)安全”的基本思想，指在一個項目的全生命周期內(nèi)運用一定的技術和管理手段，系統(tǒng)地、有遠見地識別和控制危險[2]。然而現(xiàn)有的事故模型對組織等社會層面的分析與生產(chǎn)等技術層面的分析卻往往是分開進行，缺少對兩者相互作用關系的研究。

本文將在回顧事故致因與系統(tǒng)安全理論與模型的基礎上，分析構建系統(tǒng)安全風險分析模型所面臨的挑戰(zhàn)，以期作為今后構建地鐵施工系統(tǒng)安全風險分析模型的基礎。

1 事故致因與系統(tǒng)安全理論及模型的發(fā)展

Rasmussen[3]根據(jù)安全風險研究的思維范式將安全風險分析思路分為三個階段，據(jù)此可將研究安全風險的理論和模型按時間劃分為三代(圖1)[4]。

圖1 事故致因與系統(tǒng)安全理論及模型的發(fā)展

1.1 規(guī)范性理論與模型(第一代)

規(guī)范性理論與模型主要體現(xiàn)的是一種“深層防御”的思想，通過提高系統(tǒng)的冗余性，建立多層防御，以及將工作流程標準化來改善系統(tǒng)的安全性。“深度防御”思想最大的貢獻在于它迫使人們在對系統(tǒng)進行設計和運行時必須考慮事故可能發(fā)生的路徑，從而為系統(tǒng)的設計和運行提供參考依據(jù)。然而系統(tǒng)的冗余性也使得系統(tǒng)的復雜性增加，更重要的是，這些“防御措施”可能會隱藏系統(tǒng)發(fā)展到危險狀態(tài)的過程，降低人們的安全意識[4～5]。

1.2 基于系統(tǒng)狀態(tài)偏離標準程度的描述性理論與模型(第二代)

基于系統(tǒng)狀態(tài)偏離標準程度的描述性理論與模型認為事故的發(fā)生是系統(tǒng)狀態(tài)偏離標準程度過大所導致，具體又可以分為以下兩類[6]。

1.2.1 事件序列理論與模型

事件序列理論將事故描述為一系列事件依次發(fā)生所導致的結果。這些模型假設事件發(fā)生所產(chǎn)生的影響可以通過預先定義好的因果關系進行傳播并最終導致事故的發(fā)生，其代表有Heinrich的多米諾理論[7]，Johnson的能量理論[8]，前者認為事故是一系列自我平衡事件的轉(zhuǎn)換結果，即事故是不期望事件發(fā)生后的一種補償，后者則認為事故是由于防護不足導致能量意外釋放所致。

事件序列模型通常采用演繹法或歸納法分析事故發(fā)生的原因或事件導致的后果，如事件樹(ETA)及故障樹(FTA)等。Norman Rasmussen研究并提交的WASH-1400報告[9]建立了概率風險評估技術框架，基于上述方法在核電領域進行安全評估，極大地推動了此類模型的研究和應用。FTA/ETA由于能夠描述風險的三個要素，且計算簡便，因此也被應用于隧道、橋梁等土木工程領域，如Sturk等人[10]用FTA分析了公路隧道施工對周圍環(huán)境的破壞風險；Hong 等人[11]采用ETA識別了隧道開挖過程中可能遇到的不利事件并用于幫助盾構機選型設計；Choi等人[12]基于ETA構建了一個橋梁施工失事場景的自動識別方法。

1.2.2 流行病學理論與模型

流行病學理論將事故的發(fā)生比喻成疾病傳播，認為事故的發(fā)生是多個因素(如行為偏差、防御措施失效等)共同作用的結果。與事件序列理論類似，流行病學理論也是基于因果關系描述事件所產(chǎn)生的影響是如何傳播的，但與事件序列理論不同的是，流行病學理論能描述導致事故的因素間更為復雜的作用關系，某個事件既可能是幾個事件共同作用的結果，也可能是導致另外幾個事件發(fā)生的原因之一。

流行病學模型最著名的代表為Reason的“瑞士奶酪”模型[5]，Reason將系統(tǒng)的不同層面表示為瑞士奶酪的切片，切片上的“洞”表示系統(tǒng)各個層面的缺陷。事故從最遠端的組織決策(即規(guī)劃、設計、管理、溝通等)失誤開始，這些缺陷為事故的發(fā)生創(chuàng)造了最初的潛在條件；組織決策上的失誤可能導致現(xiàn)場管理者的管理難度加大(如需要完成的任務繁雜)，并造成工作條件惡化(如工作量過大，進度吃緊)，從而導致人的失誤或違規(guī)操作，并導致事故發(fā)生(圖2)。該理論可以作為風險評估模型的建?？蚣?，如Ren等人[13]基于“瑞士奶酪”理論構建了一個具有五層層次結構的風險評估模型，用層次結構來描述從根本原因到事故后果的因果作用關系及風險的傳播過程。

圖2 瑞士奶酪模型

然而，無論是事件序列理論還是流行病學理論，都是基于事件因果關系來描述事故的發(fā)生，這種思路有一定的局限性。正如Rasmussen所說：“基于事件解釋事故的發(fā)生對于改善系統(tǒng)安全沒有多少幫助……很明顯，我們需要一種新的方法來描述系統(tǒng)行為，將重點放在實際的、動態(tài)的工作情景中導致人的失誤或違規(guī)操作的機理，而不是人的失誤或違規(guī)操作本身”[3]。而Leveson認為，解決這一問題需要采用系統(tǒng)工程思想[14]。

1.3 基于系統(tǒng)實際行為的描述性理論與模型(第三代)

基于系統(tǒng)實際行為的描述性理論，如Barry Turner的人為災難理論(MMD)[15]，Charles Perrow的常態(tài)事故理論(NAT)[16]，Karlene Roberts提出的高可靠性組織理論(HRO)[17]等，對現(xiàn)在事故致因和系統(tǒng)安全的研究思路有著很深的影響，如MMD理論認為：(1)事故有著共同的產(chǎn)生模式，可以用來分析并提高系統(tǒng)的安全性；(2)事故發(fā)生有一個較長的孵化期，事故發(fā)生原因可以深究到過去一系列不利因素的累積；(3)事故不能僅僅歸咎于技術問題，組織與管理才是事故發(fā)生的關鍵。NAT理論認為系統(tǒng)交互的復雜程度和耦合程度是決定系統(tǒng)安全與否的兩個重要特點。而HRO理論認為要從本質(zhì)上限制事故的發(fā)生并實現(xiàn)盡可能高的系統(tǒng)績效，一個組織(稱為高可靠性組織)通常需要具備四個特點：(1)安全與生產(chǎn)應同等重要，且組織內(nèi)部對該目標一致認同；(2)權力分散與權力集中的管理模式需同時存在；(3)較強的組織學習能力；(4)廣泛使用系統(tǒng)冗余。

Rasmussen[3]是開創(chuàng)基于控制論、系統(tǒng)論分析系統(tǒng)安全的先驅(qū)之一，他認為類似博帕爾、切爾諾貝利這樣的事故并不是各個備件失效和人為失誤疊加所造成的巧合，而是在競爭激烈的環(huán)境中受到經(jīng)濟效益的壓力導致組織行為系統(tǒng)性的向事故發(fā)生的邊界遷移(圖3)。

圖3 系統(tǒng)向事故邊界自然遷移

Rasmussen認為任何工作都會受到管理、功能和安全上的約束，工作目標與約束形成了個體行為，個體要么適應約束要么改變約束來達成既定目標，而在這個過程中，管理提供了一個“效益梯度”，而個體提供了一個“效率梯度”，例如管理者通常為了經(jīng)濟效益，期望在最短時間內(nèi)完成既定任務，但這樣會大大增加工人的工作量，而工人為了按期完工便會采取一些捷徑。因此，在這兩個梯度的共同作用下，系統(tǒng)會逐漸向安全邊界遷移直到觀察或感覺到危險的存在，如果未察覺到危險或察覺到危險但未采取措施，系統(tǒng)繼續(xù)遷移越過安全邊界從而導致事故發(fā)生。與之前通過標準流程控制系統(tǒng)行為的偏離程度不同，Rasmussen認為應通過提高邊界的可見性并學習如何在邊界應對危險來控制系統(tǒng)行為，即構建一個“安全梯度”來遏制系統(tǒng)滑向事故邊界的趨勢，為此，Rasmussen將風險管理描述為一個控制過程，并指出風險管理必須建立在依據(jù)控制需求得出的危險源分類之上[3]。

Leveson[14]基于系統(tǒng)論建立了系統(tǒng)理論事故模型STAMP，認為事故是復雜系統(tǒng)中各個要素相互作用(如人、技術、環(huán)境之間的影響)所產(chǎn)生的一種涌現(xiàn)現(xiàn)象，缺少對這些相互作用施加約束的控制行為將導致事故的發(fā)生。因此，安全實際上是一個控制問題，事故分析應嘗試從控制論的角度對整個社會技術系統(tǒng)進行建模分析，而這個控制結構的基本組成是約束、反饋回路和控制層級。按照Leveson的觀點，系統(tǒng)不是靜態(tài)的，而是一個不斷適應周圍變化來實現(xiàn)目標的動態(tài)過程，由于系統(tǒng)處于不斷變化之中，系統(tǒng)安全的控制實際是一個不斷施加約束來維持或確保這個適應過程安全進行的過程。據(jù)此，Leveson從控制論的角度將事故原因分為三類：(1)安全約束不足；(2)控制行為的執(zhí)行不足；(3)反饋不足或缺失。

相比之下，第三代系統(tǒng)安全定量分析模型仍處于發(fā)展之中，除了Leveson基于系統(tǒng)動力學構建的STAMP(Systems-Theoretic Accident Model and Processes)模型[18]之外，Mohaghegh等人[19, 20]基于事件序列圖、故障樹、貝葉斯網(wǎng)絡和系統(tǒng)動力學建立了系統(tǒng)安全風險分析混合模型SoTeRiA(Social-Technical Risk Analysis)，Stroeve等人[21, 22]則提出了TOPAZ(Traffic Organization and Perturbation AnalyZer)模型，采用基于Agent的動態(tài)風險建模技術和Monte Carlo仿真技術分析飛機地面滑行存在的碰撞風險。表1總結了三種模型的不同之處。

表1 三種模型的對比

2 從第二代到第三代之動機與挑戰(zhàn)

目前，第三代事故致因與系統(tǒng)安全理論仍處于發(fā)展階段，相應的分析模型則更少，主要仍以第二代分析模型為主。那么究竟是否需要第三代安全風險模型呢？這與建模分析的目的有關，如果分析目的只是“問責”，那么基于解析法的第二代事故致因與系統(tǒng)安全模型就足夠了，因為此類模型可以有效地追溯事件的經(jīng)過直至發(fā)現(xiàn)對事故負有責任的人或物。然而實際中往往發(fā)現(xiàn)，對于某幾個人的問責并不能阻止類似事故的重演，新的管理者同樣面臨著前任管理者所面臨的問題，這是因為此類分析并不能充分揭示事故發(fā)生的原因從而從根本上改善系統(tǒng)安全；相反，如果分析的目的是如何構建更安全的系統(tǒng)，那么就需要第三代系統(tǒng)安全分析模型，將重點從找尋事故起因上轉(zhuǎn)移到研究系統(tǒng)的行為模式上來[14]。

可見，為了預防事故的發(fā)生或重演，有必要構建第三代系統(tǒng)安全風險分析模型。然而從第二代模型轉(zhuǎn)變?yōu)榈谌Ｐ椭饕媾R三個挑戰(zhàn)。

2.1 從近端因素到遠端因素

事故的發(fā)生背后都有其組織管理原因，組織因素幾乎在所有事故中都伴有重要角色并成為理解與預防事故發(fā)生的關鍵[23]，如杭州地鐵一號線蕭山湘湖段“11.15”事故，其主要原因既包括基坑超挖，鋼支撐體系存在薄弱環(huán)節(jié)等技術問題，也包括監(jiān)測、監(jiān)理工作嚴重失職等管理原因，然而管理因素究竟如何影響實際施工過程卻難以進行定量分析[24]。而第二代系統(tǒng)安全模型主要是還原事故發(fā)生場景，分析造成事故發(fā)生的技術或人為的近端因素，因此如何將遠端的組織管理因素納入到模型中是系統(tǒng)安全風險建模面臨的挑戰(zhàn)之一。

2.2 從靜態(tài)分析到動態(tài)建模

復雜社會技術系統(tǒng)是一個為實現(xiàn)系統(tǒng)目標不斷適應自身及周邊環(huán)境變化的動態(tài)過程，事故是由于系統(tǒng)的模塊如人、組織結構、工程任務、技術設備在這一過程中相互作用所導致的一種涌現(xiàn)現(xiàn)象[25]。因此，第三代系統(tǒng)安全風險分析模型必需考慮系統(tǒng)隨時間發(fā)展的自適應過程，尤其是在系統(tǒng)受到生產(chǎn)力(如成本、進度)的壓力時；此外，系統(tǒng)變量之間還會存在一定程度的延遲，一些不利因素的結果并不會立即顯現(xiàn)，而這種延遲有時會掩蓋事故發(fā)生的征兆，增加事故分析的難度[26]。例如Goh等人[27]在分析Tasmania巖石崩落事故后發(fā)現(xiàn)，在事故發(fā)生之前已經(jīng)有不少的征兆，事故的起因可以追溯到較早的時間。因此他們得出結論，事故的發(fā)生也不是一蹴而就，而是各種不利因素隨時間發(fā)展不斷累積疊加最終導致的。然而，基于事件因果關系的第二代模型無法反映系統(tǒng)的時間特性，因此，如何建立系統(tǒng)的動態(tài)模型是系統(tǒng)安全風險建模面臨的又一個挑戰(zhàn)。

2.3 從還原論到整體論

傳統(tǒng)的建模思路通常是將復雜社會技術系統(tǒng)進行分解后再分別建模分析，然而，許多學者質(zhì)疑這種基于解析的、還原論思想方法的合理性，他們認為這種思路與事故的系統(tǒng)理論思想并不一致[28]。相比之下，整體論認為復雜系統(tǒng)整體大于系統(tǒng)個體之和。安全分析的系統(tǒng)思想是把安全看作一種涌現(xiàn)現(xiàn)象，是系統(tǒng)整體的一個屬性，由系統(tǒng)中的元素相互作用產(chǎn)生，而非其元素自身屬性。例如，對盾構機本身的安全性和可靠性分析并不能得出使用該盾構機進行地鐵施工是否安全的結論，而必需將其置于復雜的“人—機—環(huán)境”交互過程之中才有意義。因此，一個系統(tǒng)模型不能依靠子模型的簡單疊加，而應是一個系統(tǒng)思想為導向的整體模型，將失效事件看作系統(tǒng)工作的一種產(chǎn)物，將事故損失看作系統(tǒng)工作的一種結果[29]。因此，如何基于整體論的思想進行建模是系統(tǒng)安全風險建模面臨的第三個挑戰(zhàn)。

3 結 語

在過去的幾十年間，人類建造的系統(tǒng)和建造這些系統(tǒng)所處的環(huán)境一直在不斷發(fā)生改變，這些改變給人類安全建造和運行這些系統(tǒng)帶來了諸多挑戰(zhàn)，需要采取系統(tǒng)安全思想來指導相應的安全工作，基于系統(tǒng)論、控制論構建第三代的系統(tǒng)安全風險分析模型，對事故發(fā)生的規(guī)律進行總結，從而更好地預防事故的發(fā)生。

[1] Rice A K. The Enterprise and Its Environment[M]. London：Tavistock Publications，1963.

[2] Roland H E，Moriarty B. System Safety Engineering and Management[M]. New York：John Wiley，1990.

[3] Rasmussen J. Risk management in a dynamic society：a modelling problem[J]. Safety Science，1997，27(2-3)：183-213.

[4] Saleh J H，Marais K B，Bakolas E，et al. Highlights from the literature on accident causation and system safety：review of major ideas，recent contributions，and challenges[J]. Reliability Engineering and System Safety，2010，95(11)：1105-1116.

[5] Reason J. Managing the Rsks of Organizational Accidents[M]. Birmingham ：Ashgate Publishing Limited，1997.

[6] Hollnagel E. Barriers and Accident Prevention[M]. Birmingham：Ashgate Publishing Limited，2004.

[7] Heinrich H W. Industrial Iccident Prevention[M]. New York：McGraw-Hill，1936.

[8] Johnson W G. The Management Oversight and Risk Tree (MORT) Safety Assurance Systems[R]. USA：National Safety Council，1980.

[9] Rasmussen N. Reactor Safety Study, an Assessment of Accident Risks in US Nuclear Power Plants[R]. Washington DC：US Nuclear Regulatory Commission，1975.

[10]Sturk R，Olsson L，Johansson J. Risk and decision analysis for large underground projects, as applied to the Stockholm Ring Road tunnels[J]. Tunnelling and Underground Space Technology，1996，11(2)：157-164.

[11]Hong E S，Lee I M，Shin H S，et al. Quantitative risk evaluation based on event tree analysis technique: application to the design of shield TBM[J]. Tunnelling and Underground Space Technology，2009，24(3)：269-277.

[12]Choi H H，Lee S Y，Choi I Y，et al. Reliability-based failure cause assessment of collaTPed bridge during construction[J]. Reliability Engineering and System Safety，2006，91(6)：674-688.

[13]Ren J，Jenkinson I，Wang J，et al. A methodology to model causal relationshiTP on offshore safety assessment focusing on human and organizational factors[J]. Journal of Safety Research，2008，39(1)：87-100.

[14]Leveson N. A new accident model for engineering safer systems[J]. Safety Science，2004，42(4)：237-270.

[15]Turner B A. Man-made Disasters[M]. London: Wykeham Publications，1978.

[16]Perrow C. Normal Accidents: Living with High-risk Technologies[M]. New York：Basic Books，1984.

[17]Roberts K H. Managing high-reliability organizations[J]. California Management Review，1990，32(4): 101-113.

[18]Leveson N，Daouk M，Dulac N，et al. Applying STAMP in Accident Analysis [DB/OL]. [2013-12-08]. http://sunnyday.mit.edu/caib/walkerton.pdf.

[19]Mohaghegh Z，Mosleh A. Incorporating organizational factors into probabilistic risk assessment of complex socio-technical systems: principles and theoretical foundations[J]. Safety Science，2009，47(8)：1139-1158.

[20]Mohaghegh Z, Kazemi R, Mosleh A. Incorporating organizational factors into probabilistic risk assessment (PRA) of complex socio-technical systems：a hybrid technique formalization[J]. Reliability Engineering and System Safety，2008，94(5)：1000-1018.

[21]Stroeve S H, Blom H A P, Bakker G J. Systemic accident risk assessment in air traffic by Monte Carlo simulation[J]. Safety Science， 2008，47(2)：238-249.

[22]Stroeve S H，Sharpanskykh A，Kirwan B. Agent-based organizational modeling for analysis of safety culture at an air navigation service provider[J]. Reliability Engineering and System Safety，2011，96(5)：515-533.

[23]Leveson N， Dulac N，Marais K，et al. Moving beyond normal accidents and high reliability organizations：a systems approach to safety in complex systems[J]. Organization Studies，2009，30(2-3)：227-249.

[24]解東升，錢七虎，戎曉力. 地鐵工程建設安全風險管理研究[J]. 土木工程與管理學報，2012，29(1)：61-67.

[25]Marais K，Dulac N，Leveson N. Beyond Normal Accidents and High Reliability Organizations：Lessons from the Space Shuttle[C]. Cambridge ：Paper presented at the ESD External Symposium，2004.

[26]Lofquist E A. The art of measuring nothing：the paradox of measuring safety in a changing civil aviation industry using traditional safety metrics[J]. Safety Science，2010，48(10)：1520-1529.

[27]Goh Y M，Love P E D，Brown H，et al. Organizational accidents：a systemic model of production versus protection[J]. Journal of Management Studies，2012，49(1)：52-76.

[28]Hollnagel E，Woods D D，Leveson N. Resilience Engineering：Eoncepts and Precepts[M]. Aldershot： Ashgate Publishing Limited，2006.

[29]Santos-Reyes J，Beard A N. A systemic approach to managing safety[J]. Journal of Loss Prevention in the Process Industries，2007，21(1)：15-28.

Review of the Development and Research on System Safety Theories and Models

GOUBian-cai1,QINYa-wei2,WANGFan3

(1.Wuhan University of Science and Technology City College, Wuhan 430083, China;2.School of Civil Engineering and Mechanics，Huazhong University of Science and Technology,Wuhan 430074, China; 3.Changjiang River Scientific Research Institute, Wuhan 430015, China)

The safety performance of a complex socio-technical system is determined by the interaction between organizational and managerial factors and technical factors, rather than the single element within the system. The accident can be viewed as an emergent phenomenon arises from the interaction of different agents, which requires a system safety perspective and the related system safety model. The development of accident causation and system safety was reviewed. The theories and models were classified into three generations according to the research paradigms, namely prescriptive theories and models, descriptive theories and models in terms of deviations from norms, and descriptive theories and models in terms of actual behaviors. Based on the review, current trends, motivation and challenges of establishing a system safety model were summarized. The importance of shift from proximal factors to distal factors, from static analysis to dynamic modeling, and from reductionism to holism has been emphasized that the focus should be transferred from causes to mechanisms.

system safety; complex socio-technical system; safety risk modeling

2014-05-03

2014-07-17

緱變彩(1986-)，女，河南安陽人，助教，碩士，研究方向為施工安全(Email：1621109445@qq.com)

中央高校基本科研業(yè)務費專項資金資助項目(2013QN028)

X91

A

2095-0985(2014)04-0083-05