10種事故致因模型的對比研究*

傅　貴，索　曉，賈清淞，付明明

(1.中國礦業(yè)大學(北京) 資源與安全工程學院，北京 100083；2.中國礦業(yè)大學(北京) 煤炭資源與安全開采國家重點實驗室，北京 100083；3.濱州學院 化工與安全學院，山東 濱州 256600)

0　引言

社會技術(shù)系統(tǒng)(Sociotechnical System)是由社會系統(tǒng)和技術(shù)系統(tǒng)相互作用而形成的[1]，常見的社會技術(shù)系統(tǒng)有航空、海運、空中交通管制、電信、核電廠、航天、化學和石油過程工業(yè), 醫(yī)療組織等。面對各種社會技術(shù)系統(tǒng)的復雜程度升高，保障系統(tǒng)的安全運行，免于事故的發(fā)生顯得尤為重要。在對系統(tǒng)的安全管理中，事故致因模型便是一個重要的工具，首先事故致因模型能解釋事故發(fā)生的機理，為事故分析提供框架。其次事故致因模型可以作為技術(shù)工具應(yīng)用于系統(tǒng)開發(fā)期間的風險評估和臨時事故分析。

目前較流行的事故模型基于系統(tǒng)理論建立，這類事故致因模型將事故過程描述為一個復雜的、相互關(guān)聯(lián)的事件網(wǎng)絡(luò), 而不僅僅是簡單因果鏈[12]。典型的系統(tǒng)性事故致因模型有, Rasmussen的社會技術(shù)系統(tǒng)層次模型(Hierarchical model of socio-technical system)[13]，基于社會技術(shù)系統(tǒng)層次模型形成的AcciMap，Leveson的 (2004) STAMP (Systems Theoretic Accident Model and Processes) 模型[14]，基于認知系統(tǒng)工程原理,建立的認知可靠性和誤差分析方法(CREAM， Cognitive Reliability and Error Analysis Method)[11]，24Model[15-17]和功能性共振分析方法(FRAM，F(xiàn)unctional Resonance Analysis Method)[18]。

從鏈式事故致因模型到流行病學事故致因模型再到系統(tǒng)性事故致因模型，每一代模型的提出和發(fā)展都基于自身的時代背景，并沒有絕對的對錯之分。許多研究者對各種事故致因模型進行了討論和綜述，如文獻[19]從危險的屬性對事故致因理論進行了綜述；文獻[20]闡述了事故致因理論發(fā)展與安全理念的關(guān)系；文獻[21]對單因素事故致因理論、事故因果連鎖理論、流行病學理論和系統(tǒng)理論進行了梳理和介紹；文獻[22]對從1919年到1995年間的5種事故致因模型進行了綜述。但上述研究中未對事故致因模型進行具體的比較研究，事故致因模型中事故的影響對象，事故致因模型的元素組成以及事故致因模型的發(fā)生路徑未得到清晰的闡述。本研究對10種主流的事故致因模型從以上3個維度進行了對比研究，力圖為事故致因模型的發(fā)展提供理論支持，同時也為日常安全管理中事故致因模型的選用提供參考依據(jù)。

1　10種事故致因模型的對比研究

圖1是本文研究的10種事故致因模型的時間軸。以下各模型的對比研究按照模型發(fā)表的時間順序展開。

圖1　主流事故致因模型的時間軸Fig.1　Timeline of prevalent accident causation models

1.1　事故的影響對象比較

事故的影響對象是事故發(fā)生后果的承受載體，承受載體的確定決定了人們對事故致因的研究范圍，進而決定了事故分析后的預防措施的建立范圍。隨著社會的發(fā)展，人們對事故研究的不斷深入，事故的影響對象也在不斷補充與完善，樊運曉等[19]認為事故的影響對象經(jīng)過擴展，目前穩(wěn)定為4個方面，分別是人員、設(shè)備、社會財富以及環(huán)境。另外，越來越多的企業(yè)關(guān)注到人員、設(shè)備、社會財富以及環(huán)境以外的影響，例如事故對商業(yè)形象，社會道德，客戶信任，企業(yè)勞動關(guān)系的影響，本文將以上事故的影響對象稱作無形資產(chǎn)，應(yīng)納入到事故的影響對象中來。以下從人員、設(shè)備、社會財富以及環(huán)境和無形資產(chǎn)5個方面進行比較分析。各個模型中包含的事故的影響對象結(jié)果如表1所示。

表1　事故的影響對象比較

多米諾模型和軌跡交叉模型關(guān)注的事故的影響對象為人員，基于這種認識，分析出的事故致因都為造成人員傷亡的因素，預防措施的重點也是減少人員傷亡方面，作為早期工業(yè)安全的事故致因模型，未包含更多的影響對象。SCM和HFACS涵蓋的事故的影響對象為人員，設(shè)備，社會財富，作為流行病學模型，SCM和HFACS涵蓋的影響對象有所增加，但仍不全面。社會技術(shù)系統(tǒng)層次模型和AcciMAap，CREAM，STAMP，24Model，F(xiàn)RAM包含的事故的影響對象涵蓋了人員，設(shè)備，社會財富，環(huán)境和無形資產(chǎn)，這是事故致因模型由簡單鏈式模型向系統(tǒng)模型發(fā)展的趨勢所致，事故致因模型包含了完整的事故影響對象，保證了事故分析中原因因素分析的全面性。具體在組織使用時，可根據(jù)需要選取不同的事故影響對象作為指標，建立事故致因的分析范圍。

1.2　模型的組成比較

多米諾模型，軌跡交叉模型，SCM和HFACS，社會技術(shù)系統(tǒng)層次模型和AcciMap，CREAM，和24Model為模塊化模型。模塊化模型對事故致因進行分類，這樣處理的優(yōu)點是便于實踐人員按照模塊進行事故分析，缺點是人為限制了分析的深度和廣度。STAMP，F(xiàn)RAM為非模塊化模型，這2個模型分別提出了一套事故分析的方法論，強調(diào)分析事故的深度和廣度，但分析時需要實踐人員有非常高的專業(yè)背景知識，且分析過程較為耗時，效率較低。另外，在進行統(tǒng)計分析時，建立的事故致因分類模塊的事故致因模型有明顯的優(yōu)勢。

表2　模型的組成比較

模塊化的模型中，多米諾模型中的事故致因包括了社會環(huán)境、遺傳、人的缺點、不安全的動作和不安全的物態(tài)，但未包含組織因素。軌跡交叉模型包含了物態(tài)、人的行為、安全缺陷和社會因素，同樣未包含組織因素。SCM和HFACS提供的屏障(Defenses)思維也為事故預防做出了積極的指導方法[18], 但模型中未包含組織外部因素。社會技術(shù)系統(tǒng)層次模型和AcciMap具有6個層次，分別是政府層、監(jiān)管部門層、行業(yè)協(xié)會層、公司層，公司向下進一步分為管理層、操作人員層和任務(wù)層，包含了人因、物因、組織因素和組織外部因素；但由于未對模型中的模型進行定義, 在事故分析時，原因的選取具有主觀性[23]。CREAM明確定義各模塊含義，分析事故時根據(jù)失誤事件確定根原因形成失誤事件的因果鏈，在分析形成的人因失誤事件時不包含組織外部因素。24Model將導致事故發(fā)生的因素進行分類，建立1個事故原因分類的框架,涵蓋了人因、物因、組織因素和組織外部因素，并對模型中各模塊進行了清晰的定義，方便一般實踐人員進行快速事故分析和統(tǒng)計分析。

非模塊化的模型中，STAMP有3個基本結(jié)構(gòu)，分別為安全約束、分層安全控制結(jié)構(gòu)和過程模型，事故分析時不設(shè)定分析范圍，模型涵蓋了人因、物因、組織因素和組織外部因素。FRAM以功能界定系統(tǒng)，而不是以系統(tǒng)結(jié)構(gòu)或組件的關(guān)系來界定系統(tǒng)，將系統(tǒng)運行看作一個個功能的銜接，提出了“功能共振”(Functional Resonance)的概念，對系統(tǒng)的動態(tài)運行進行了很好的理論描述，分析的事故致因完整的包含人因、物因、組織因素和組織外部因素。

1.3　事故發(fā)生的路徑比較

從事故發(fā)生的路徑來看有簡單的鏈式，復雜鏈式和系統(tǒng)網(wǎng)狀。如表3所示，多米諾模型、SCM和HFACS描述的事故發(fā)生路徑為簡單鏈式，多米諾模型認為每個模塊代表的事故致因骨牌接連倒下，事故就會發(fā)生，邏輯清晰，但簡單的線性描述無法真實地反映現(xiàn)今復雜社會技術(shù)系統(tǒng)下各個因素的非線性的交互關(guān)系。軌跡交叉模型描述的事故發(fā)生路徑為復雜鏈式，該模型中提出了2條平行的路徑交叉導致事故發(fā)生的思路，是1種在簡單鏈式基礎(chǔ)上形成的更復雜的鏈式模型，該模型在描述事故發(fā)生上仍然存在簡單線性的思維，不利于對事故的系統(tǒng)化描述。社會技術(shù)系統(tǒng)層次模型和AcciMap，CREAM，STAMP，24Model，F(xiàn)RAM描述的事故發(fā)生路徑為系統(tǒng)網(wǎng)狀，以上模型汲取了系統(tǒng)理論的思維方式，在描述事故發(fā)生路徑上認為事故致因因素之間既有層次關(guān)系，又有因果關(guān)系，交互錯雜形成網(wǎng)絡(luò)，更接近真實的物質(zhì)世界。

(2)學校應(yīng)加強校園安全管理，注重欺凌行為的預防。一方面，學校要加強宣傳工作，讓學生了解相應(yīng)法律及欺凌行為的危害，從思想上降低學生實施欺凌行為的沖動。學?？梢圆扇《鄻踊男麄鞣绞?，通過圖片、視頻、戲劇化表演等方式增強教育的趣味性，使學生切實感受到欺凌的危害性；另一方面，學校也要不斷尋求新的管理方式，消滅校園監(jiān)控管理盲區(qū)，加強對校園的安全巡視工作，課間時段要鼓勵班主任或任課教師走進教室及走廊，及時了解學生及班級情況。

表3　事故發(fā)生的路徑比較

2　討論

多米諾模型是最早形成的事故致因模型，對事故預防的研究有奠基作用，但未全面地考慮事故的影響對象，在模型的組成中未考慮組織因素，且基于線性思維的模型不能全面描述系統(tǒng)的真實情況。

軌跡交叉模型將事故的影響對象僅限定為人員，且在模型的組成中未考慮組織因素，而且模型的概念缺少清晰的定義，實際使用中不易著手分析。該模型提出了切斷人的不安全行為和物的不安全狀態(tài)在時空中交叉以預防事故的思路，為復雜鏈式結(jié)構(gòu)，但這是事故發(fā)生的一條可能路徑而不是全部路徑，故無法全面描述真實的系統(tǒng)組件交互情況。

SCM和HFACS作為流行病學模型提出了潛在缺陷和顯性缺陷導致了事故發(fā)生的觀點，將事故的影響對象包含了人員，設(shè)備，社會財富，相對于多米諾模型和軌跡交叉模型有進步，但仍不全面。該模型建立了屏障的預防思維，但SCM型和HFACS仍然對系統(tǒng)進行了線性的描述，未包含組織外部因素，且相關(guān)模塊都缺少明確的定義，對實際使用造成了困擾。

社會技術(shù)系統(tǒng)層次模型和AcciMap為事故分析提供了層級的框架，該模型的事故影響對象和組成涵蓋全面，事故的發(fā)生路徑描述為系統(tǒng)網(wǎng)狀，但模型中各模塊缺少定義界定，使用時存在很多主觀成分，并且無原因分類不利于進行大量事故統(tǒng)計分析。

CREAM的事故影響對象涵蓋全面，事故的發(fā)生路徑描述為系統(tǒng)網(wǎng)狀，但組成中未包含組織外部因素。該模型基于人因可靠性分析，能進行事故分析和定量的人為失誤概率預測，但在無人為失誤發(fā)生的事故分析時，該模型便會失效，而且在概率預測時，方法繁復，效率較低。

STAMP的事故影響對象和組成涵蓋全面，事故的發(fā)生路徑描述為系統(tǒng)網(wǎng)狀。該模型提出安全約束、分層安全控制結(jié)構(gòu)和過程模型的概念，將安全看作一個控制問題，作為非模塊化的系統(tǒng)性模型且各模塊具有清晰定義對單個事故分析極為詳盡，但分析效率低，且缺乏模塊的原因因素分類，不利于大量事故統(tǒng)計分析。

24Model的事故影響對象和組成涵蓋全面，事故的發(fā)生路徑描述為系統(tǒng)網(wǎng)狀。對模型中的模塊做出了清晰定義。作為模塊化的系統(tǒng)模型保證了效率充分性原則(ETTO， Efficiency-Thoroughness Trade-Off)[24]，且利于大量事故統(tǒng)計分析，但24Model在事故原因概率分析上描述不夠好，需要進一步加強。

FRAM的事故影響對象和組成涵蓋全面，事故的發(fā)生路徑描述為系統(tǒng)網(wǎng)狀。該模型提出的“功能共振”描述系統(tǒng)的動態(tài)性具有優(yōu)勢，而且事故分析從“功能”角度展開避免討論了系統(tǒng)內(nèi)的層級，保持級別不變性[15]使得分析更簡潔。FRAM未進行原因元素分類使得分析事故需要特定專家進行深度和廣度的詳細分析，但這樣處理不利于大量事故統(tǒng)計分析。

事故致因模型發(fā)展從簡單的線性思維發(fā)展到今天的系統(tǒng)思維，對系統(tǒng)的描述越來越合理。總體而言，事故影響對象由單一的人員到人員、設(shè)備、社會財富、環(huán)境、無形資產(chǎn)的全部涵蓋；模型的組成也日趨全面，囊括了人因、物因、組織因素和組織外部因素；對事故發(fā)生路徑的描述具有從線性向系統(tǒng)網(wǎng)狀發(fā)展的趨勢。以上分析可以看出，清晰的模塊定義能保證分析結(jié)果的準確，SCM、HFACS、社會技術(shù)系統(tǒng)層次模型、AcciMap由于缺少對模塊的準確定義，在實際使用中存在誤差。CREAM、STAMP、24Model和FRAM中各模塊的定義清晰，保證分析的可靠性；在解釋事故發(fā)生過程和實際安全管理運行中，以上模型各有利弊，不同需求下的模型選用需要根據(jù)充分性和效率考量而決定，重視分析的充分性可以選用STAMP和FRAM此類無原因因類的系統(tǒng)性模型。重視效率分析的則選用CREAM和24Model此類事故致因元素分類的系統(tǒng)性模型。未進行原因分類的事故致因模型在事故分析的廣度和深度上有優(yōu)勢，但需要專家進行分析，一般一線操作者較難操作，會增加企業(yè)的學習成本；原因因素分類雖然人為限制了事故分析深度，但提高了方法的易用性且更利于大量事故統(tǒng)計分析。在今后的事故致因模型研究中，需要完善事故分析指導方法，保證事故分析的準確可靠，進而建立基于事故致因模型的概率分析方法，實現(xiàn)量化的安全管理。

3　結(jié)論

1)事故致因模型中所涵蓋的影響對象從僅包含人員到對人員、設(shè)備、社會財富、環(huán)境和無形資產(chǎn)的全面覆蓋，體現(xiàn)了社會發(fā)展對事故威脅對象的更全面關(guān)注和對更多安全議題的探討。

2)事故致因模型的組成從工業(yè)時代初期的重點關(guān)注人因和物因，到全面的關(guān)注人因，物因，組織因素和組織外部因素，強調(diào)從系統(tǒng)性和整體性的角度去確保安全。另外，為避免出現(xiàn)列舉原因因素而出現(xiàn)掛一漏萬的情況，事故致因模型趨于對包含的各模塊給出清晰定義以保證分析結(jié)果的準確性。

3)事故發(fā)生的路徑描述由簡單的鏈式向復雜的系統(tǒng)網(wǎng)狀發(fā)展。多米諾模型、軌跡交叉模型、SCM和HFACS都是對事故發(fā)生的路徑進行鏈式的描述，無法滿足越來越復雜的社會技術(shù)系統(tǒng)的描述需求。社會技術(shù)系統(tǒng)層次模型和AcciMap、CREAM、STAMP、24Model和FRAM則將事故發(fā)生的路徑進行系統(tǒng)網(wǎng)狀的描述，更符合真實的物質(zhì)世界。

4)在安全研究和安全管理實踐中應(yīng)根據(jù)充分性和效率的需要對事故致因模型的使用進行取舍。對復雜社會技術(shù)系統(tǒng)進行描述時，選用各模塊有充分定義的系統(tǒng)性事故致因模型。重視充分性，可選用如STAMP和FRAM此類無原因分類的模型，利用專家對事故進行深度和廣度的充分分析，但方法學習成本較高且在大量事故的統(tǒng)計分析上存在障礙。重視效率，可選用如CREAM和24Model此類事故致因元素分類的模型，并能進行大量事故的統(tǒng)計分析。

[1]GARG D P. Sociotechnical systems: Factors in analysis, design, and management[J]. Proceedings of the IEEE, 1975, 63(8):1263-1263.

[2]HEINRICH H W, PETERSEN D C, ROOS N R. Industrial accident prevention: A safety management approach [M]. McGraw-Hill Companies, 1980.

[3]LEVENSON N G. System safety and computers [M]. Boston: Addison Wesley, 1995.

[4]REASON J. Human Error [M]. New York: Cambridge university press, 1990.

[5]SHAPPELL S A, WIEGMANN D A. A human error approach to aviation accident analysis: The human factors analysis and classification system [M]. Farnham: Ashgate Publishing, Ltd., 2012.

[6]DE Landre J, GIBB G, WALTERS N. Using incident investigation tools proactively for incident prevention[C]//Proceedings of the Australian & New Zealand Societies of Air Safety Investigators Conference, 2006.

[7]CELIK M, CEBI S. Analytical HFACS for investigating human errors in shipping accidents[J]. Accident Analysis & Prevention, 2009, 41(1): 66-75.

[8]CHEN S T, WALL A, DAVIES P, et al. A Human and Organisational Factors (HOFs) analysis method for marine casualties using HFACS-Maritime Accidents (HFACS-MA)[J]. Safety Science, 2013, 60(12):105-114.

[9]LI W C, HARRIS D. Pilot error and its relationship with higher organizational levels: HFACS analysis of 523 accidents[J]. Aviation, Space and Environmental Medicine, 2006, 77(10): 1056-1061.

[10]PATTERSON J M, SHAPPELL S A. Operator error and system deficiencies: analysis of 508 mining incidents and accidents from Queensland, Australia using HFACS[J]. Accident Analysis & Prevention, 2010, 42(4): 1379-1385.

[11]HOLLNAGELE. Cognitive reliability and error analysis method (CREAM) [M]. Amsterdam: Elsevier, 1998.

[12]HOLLNAGEL E, WOODS D D. Joint cognitive systems: Foundations of cognitive systems engineering [M]. Boca Raton: CRC Press, 2005.

[13]RASMUSSEN J. Risk management in a dynamic society: a modelling problem[J]. Safety science, 1997, 27(2): 183-213.

[14]LEVENSON N. Engineering a safer world: Systems thinking applied to safety [M]. Cambridge: Mit Press, 2011.

[15]傅貴, 陸柏, 陳秀珍. 基于行為科學的組織安全管理方案模型[J]. 中國安全科學學報, 2005, 15(9): 21-27.

FU Gui, LU Bai, CHEN Xiuzhen. Behavior based model for organizational safety management[J]. China Safety Science Journal, 2005, 15(9):21-27.

[16]傅貴, 殷文韜, 董繼業(yè). 行為安全 “2-4” 模型及其在煤礦安全管理中的應(yīng)用[J]. 煤炭學報, 2013, 38(7): 1123-1129.

FU Gui, YIN Wentao, DONG Jiye. Behavior-based accident causation: the “2-4”model and its safety implications in coal mine[J].Journal of China Coal Society，2013，38(7):1123-1129.

[17]傅貴, 樊運曉, 佟瑞鵬, 等. 通用事故原因分析方法(第4版)[J]. 事故預防學報, 2016, 2(1): 7-12.

FU Gui, FAN Yunxiao, TONG Ruipeng, et al. A universal methodology for the causation analysis of accidents(4th Edition)[J]. Journal of Accident Prevention, 2016,2(1): 7-12.

[18]HOLLNAGEL E. FRAM. The functional resonance analysis method: modelling complex socio-technical systems [M]. Farnham: Ashgate Publishing, Ltd., 2012.

[19]樊運曉, 盧明, 李智, 等. 基于危險屬性的事故致因理論綜述[J]. 中國安全科學學報, 2014, 24(11): 139-145.

FAN Yunxiao, LU Ming, LI Zhi, et al. A review of accident modelling approaches based on components of hazards[J]. China Safety Science Journal, 2014, 24(11): 139-145.

[20]陳寶智, 吳敏. 事故致因理論與安全理念[J]. 中國安全生產(chǎn)科學技術(shù), 2008, 4(1): 42-46.

CHEN Baozhi, WU Min. Etiologies of accident and safety concepts[J]. Journal of Safety Science and Technology, 2008, 4(1): 42-46.

[21]覃容, 彭冬芝. 事故致因理論探討[J]. 華北科技學院學報, 2005, 2(3): 1-10.

QIN Rong, PENG Dongzhi. Discuss of the accident-causing theory[J]. Journal of North China Institute of Science and Technology, 2005, 2(3): 1-10.

[22]鐘茂華, 魏玉東. 事故致因理論綜述[J]. 火災(zāi)科學, 1999, 8(3): 36-42.

ZHONG Maohua, WEI Yudong. Overview on accident-causing theories[J]. Fire Safety Science, 1999, 8(3): 36-42.

[23]SALMON P M, CORNELISSEN M, TROTTER M J. Systems-based accident analysis methods: A comparison of Accimap, HFACS, and STAMP[J]. Safety Science, 2012, 50(4): 1158-1170.

[24]HOLLNAGEL E. The ETTO principle: efficiency-thoroughness trade-off: why things that go right sometimes go wrong [M]. Farnham: Ashgate Publishing, Ltd., 2009.