基于STAMP模型的豐城坍塌事故原因分析

章仕杰 傅 貴教授

（中國礦業(yè)大學（北京） 應(yīng)急管理與安全工程學院，北京 100083）

0 引言

近年來，隨著社會建設(shè)的加快，建筑施工事故時有發(fā)生，造成了巨大的損失[1]。事實上，盡管建筑施工事故時有發(fā)生，但是人們對建筑施工事故原因依然缺乏系統(tǒng)的認識，未能從以往的事故中吸取教訓，預防同類事故。

有效預防事故需要全面認識事故原因，事故預防的理論基礎(chǔ)是事故致因理論[2]。傳統(tǒng)的鏈式事故致因模型通常從損失開始往回分析事故原因，通過一系列事件的推斷得到一個事故原因鏈，分析過程簡單且易于理解。但是系統(tǒng)論認為鏈式事故致因模型過于簡化了事故原因和事故過程，未能考慮與事故有關(guān)的系統(tǒng)因素以及系統(tǒng)各個組件之間的交互影響[3]。

STAMP（Systems-theoretic Accident Model and Processes）是針對復雜系統(tǒng)提出的系統(tǒng)論事故致因模型，最早應(yīng)用于航天飛機事故的原因分析[4-5]，并取得了較好的應(yīng)用效果，印證了STAMP模型在復雜系統(tǒng)的事故原因分析中的有效性。之后，STAMP模型被應(yīng)用于不同領(lǐng)域的復雜事故的原因分析，如航空事故[6]、公共衛(wèi)生事故[7]、鐵路交通事故[8]、航海事故[9]、醫(yī)療事故[10]等。

建筑施工事故涉及的組織較多，組織間的關(guān)系較為復雜，傳統(tǒng)的事故致因模型難以系統(tǒng)地分析發(fā)生于多組織中的事故，但是STAMP模型克服了傳統(tǒng)事故致因模型的缺點，該模型適用于復雜系統(tǒng)事故的原因分析，能夠從控制的角度厘清各個組織內(nèi)及組織間的事故原因，為事故預防提供指導。

本文選取江西豐城發(fā)電廠坍塌事故作為事故樣本，該事故涉及到的組織繁多，原因復雜，簡單的鏈式模型難以全面分析事故原因，因此本文選取STAMP模型作為分析工具，對各層級原因進行系統(tǒng)地分析，以期得到全面的事故原因，為同類建筑施工事故的預防提供借鑒與指導。

1 STAMP模型理論

在STAMP中，最基本的概念不是事件，而是約束，安全被視為控制問題，通過控制結(jié)構(gòu)來實現(xiàn)系統(tǒng)的安全性，事故被認為是控制結(jié)構(gòu)中安全約束的缺失或者控制執(zhí)行不充分造成的[11]。因此，分層控制結(jié)構(gòu)是STAMP模型分析事故的基礎(chǔ)，通過分層控制結(jié)構(gòu)可以理清復雜系統(tǒng)組成并分析系統(tǒng)各部分的控制缺陷原因。

STAMP模型認為事故原因一般分為3類，即控制器操作、執(zhí)行器和被控制過程的行為、控制器和決策者之間的溝通和協(xié)調(diào)，如圖1。

圖1 導致危險的控制缺陷分類[12]Fig.1 A classification of control flows leading to hazards[12]

因此，基于STAMP模型分析事故的過程主要包括以下幾個方面：識別系統(tǒng)危險以及安全約束；構(gòu)建系統(tǒng)分層安全控制結(jié)構(gòu)；找出控制結(jié)構(gòu)中的控制缺陷以及違反安全約束的控制動作。本節(jié)對STAMP模型理論的介紹有限，詳細理論內(nèi)容參考文獻[12]。

2 江西豐城坍塌事故概況

2016年11月24日，江西豐城發(fā)電廠三期擴建工程發(fā)生冷卻塔施工平臺坍塌特別重大事故，造成73人死亡，兩人受傷，直接經(jīng)濟損失10197.2萬元[13]。

2016年11月24日6時左右，混凝土班組、鋼筋班組先后完成了第52節(jié)混凝土澆筑和第53節(jié)鋼筋綁扎作業(yè)，并離開作業(yè)面。

隨后5個木工班組共70人先后上施工平臺進行第50節(jié)模板拆除及第53節(jié)模板安裝作業(yè)，此時第50節(jié)混凝土強度未達到要求。此外，與施工平臺連接的平橋上有2名平橋操作人員和1名施工升降機操作人員，在7號冷卻塔底部中央豎井、水池底板處有19名工人正在作業(yè)。

7時33分，7號冷卻塔第50-52節(jié)筒壁混凝土從后期澆筑完成部位開始坍塌，沿圓周方向向兩側(cè)連續(xù)傾塌墜落，施工平臺及平橋上的作業(yè)人員隨同筒壁混凝土及模架體系一起墜落，在筒壁坍塌過程中，平橋晃動、傾斜后坍塌，事故持續(xù)時間24s。

3 基于STAMP模型事故原因分析

使用STAMP模型分析事故原因需要確定系統(tǒng)危險及安全約束、構(gòu)建系統(tǒng)安全控制結(jié)構(gòu)。與豐城坍塌事故相關(guān)的系統(tǒng)危險是筒壁坍塌。為了防止該建筑施工系統(tǒng)危險的發(fā)生，系統(tǒng)應(yīng)有以下安全約束：

（1）筒壁混凝土及鋼筋的質(zhì)量應(yīng)符合標準。

（2）筒壁模板應(yīng)固定牢靠，不得出現(xiàn)模板松懈或脫落情況。

（3）筒壁模板在混凝土強度達到要求之前不得拆除。

本文分析的組織包括基層操作以及管理層，未將政府層面的組織納入分析范圍，構(gòu)建豐城發(fā)電廠三期擴建工程的分層安全控制結(jié)構(gòu)，如圖2。為了系統(tǒng)地分析此事故，分別從安全約束、控制缺陷以及控制缺陷產(chǎn)生的原因3個方面闡述各組件的原因，對人因的分析考慮了做出決定的背景以及心智模型缺陷。

圖2 豐城發(fā)電廠三期擴建工程安全控制結(jié)構(gòu)Fig.2 The safety control structure of phase III expansion project of Fengcheng power plant

3.1 物理過程及環(huán)境因素分析

有可能造成坍塌的物理因素有：混凝土質(zhì)量問題、模板未固定牢靠以及模板拆除時混凝土強度未達到要求。根據(jù)事故調(diào)查結(jié)果，造成此次坍塌事故的物理過程及環(huán)境影響因素是拆模時混凝土強度未達到要求、混凝土質(zhì)量無保障以及天氣因素的影響。

GB 50573-2010[14]標準中明確規(guī)定“采用懸掛式腳手架施工筒壁，拆模時其上節(jié)混凝土強度應(yīng)達到6MPa以上”，按照標準中的規(guī)定，拆除第50節(jié)筒壁模板時，第51節(jié)混凝土強度應(yīng)該達到6MPa以上。但是在實際施工過程中，拆除第50節(jié)模板時，第50節(jié)筒壁混凝土強度為0.89～2.35MPa，第51節(jié)筒壁混凝土強度小于0.29MPa，混凝土強度未達到拆除模板的要求，是導致筒壁坍塌的直接原因。

混凝土供應(yīng)商提供的混凝土存在質(zhì)量問題。首先，該供應(yīng)商缺少相關(guān)資質(zhì)，不符合向該擴建工程項目供應(yīng)混凝土的條件；其次，該供應(yīng)商未按要求向混凝土添加外加劑，導致混凝土質(zhì)量不符合要求。

造成混凝土強度不達標的環(huán)境影響因素是當?shù)貧鉁伢E降，作為外部干擾因素，溫度降低對混凝土強度的降低產(chǎn)生了一定的影響，但不是導致拆模時混凝土強度不足的主導因素。

3.2 基層操作原因分析

本節(jié)主要分析現(xiàn)場項目部組織的具體施工過程的控制原因。首先，對該層的決策和控制動作產(chǎn)生的背景進行闡述；其次，分析與此次事故有關(guān)的不正確的決策及控制動作；最后，分析導致錯誤的決策及控制動作產(chǎn)生的原因。分析結(jié)果，如圖3。

圖3 基層操作對事故的影響Fig.3 The roles of operators in the accident

3.2.1 決策和控制動作產(chǎn)生的背景

安全需求及約束。上崗前必須通過安全培訓；筒壁模板安裝必須牢靠，不得出現(xiàn)模板松動和脫落的情況；拆除筒壁模板前必須得到項目部的批準；明確操作規(guī)程與作業(yè)步驟；接受項目部的監(jiān)督與檢查。

控制。設(shè)置現(xiàn)場項目部的安全生產(chǎn)管理機構(gòu)；在筒壁模板拆除之前送檢同條件養(yǎng)護試塊強度；拆模前報告施工單位項目部；對施工人員進行安全培訓及作業(yè)指導。

做決定所在的環(huán)境。造成事故發(fā)生的不安全控制動作并非偶然出現(xiàn)的，而是操作人員長久養(yǎng)成的習慣性行為。施工人員與勞務(wù)公司未簽訂合同，在未接受良好培訓的情況下即上崗工作，對施工作業(yè)要求與流程并不了解，長期自行安排施工作業(yè)；施工作業(yè)隊伍未配備合格安全員，現(xiàn)場項目部對施工人員安全技術(shù)交底不認真、不徹底，疏于對施工現(xiàn)場安全檢查，導致施工人員長期盲目作業(yè)，完成任務(wù)是唯一的目標，即使違章作業(yè)也不會受到處罰，對安全不重視；“大干100天”活動導致工期縮短，施工進度被迫加快。

3.2.2 不正確的交互、錯誤的決策及不恰當?shù)目刂苿幼?/p>

造成本次坍塌事故的直接原因是混凝土強度不足的情況下違規(guī)拆除筒壁模板，除此之外，也出現(xiàn)了其他一些不正確的決策和控制動作及不正確的交互，主要有：施工人員違規(guī)進行垂直交叉作業(yè)；施工人員擅自施工作業(yè)，未向現(xiàn)場項目部報告；未送檢試塊至第三方質(zhì)量檢測所進行檢測；現(xiàn)場項目部未設(shè)置安全生產(chǎn)管理機構(gòu)；現(xiàn)場項目部未制定拆模作業(yè)控制措施；拆模前未報告總承包單位及監(jiān)理單位；混凝土供應(yīng)方未正確添加混凝土早強劑。

3.2.3 不正確決策及控制動作產(chǎn)生的原因

分析出基層操作的控制結(jié)構(gòu)中的缺陷之后，還應(yīng)弄清楚產(chǎn)生這些不正確交互、錯誤的決策以及不合適的控制動作的原因，這些原因主要包括不正確的控制算法、心智模型的缺陷。

不正確的控制算法。在基層操作的控制結(jié)構(gòu)中，現(xiàn)場項目部（控制器）缺少對施工人員（執(zhí)行器）的技術(shù)指導與安全交底，缺少在施工方案中制定拆模管理控制措施；施工人員（執(zhí)行器）違規(guī)作業(yè)，不遵守已有的施工技術(shù)標準。

心智模型缺陷。整個基層操作人員所做出的控制動作，無論是正確的還是不正確的，都是根據(jù)當時系統(tǒng)的認識所做出的，當動作發(fā)出者的心智模型與系統(tǒng)實際模型相匹配時，就會發(fā)出正確的控制動作，否則就會發(fā)出錯誤的控制動作。

此次坍塌事故中，操作人員未能發(fā)出正確的控制動作的主要原因包括：施工人員不知道拆模作業(yè)的具體要求；不知道垂直交叉作業(yè)是違規(guī)的；施工人員知道自己違章作業(yè)，但是認為不會受到處罰；現(xiàn)場項目部人員不認為需要對施工人員進行安全培訓；現(xiàn)場項目部人員低估了混凝土強度不足的危險性；現(xiàn)場項目部人員不知道檢查施工現(xiàn)場的作用；現(xiàn)場項目部人員不認為施工必須遵守作業(yè)規(guī)程。

3.3 管理層因素分析

此次坍塌事故的管理層主要包括建設(shè)方、工程總承包方、施工方以及監(jiān)理方。管理層的原因分析結(jié)果，如圖4。

圖4 管理層對事故的影響Fig.4 The roles of management layer in the accident

3.3.1 決策和控制動作產(chǎn)生的背景

安全需求和約束。監(jiān)督與落實在筒壁模板拆除之前試塊送檢制度；保證拆模前混凝土強度符合要求；保證施工人員通過培訓合格，按照規(guī)程要求施工作業(yè)。

控制?，F(xiàn)場安全檢查及處罰措施；拆模作業(yè)評估后批準作業(yè)；施工單位、總承包單位、監(jiān)理單位共同現(xiàn)場見證和驗收拆模作業(yè)。

做決定所在的環(huán)境。項目建設(shè)方提出“煙囪及7號冷卻塔應(yīng)考慮力爭年底到頂計劃”導致施工方壓縮了施工工期，施工進度加快，對安全的重視程度下降。建設(shè)方、工程總承包方、施工方以及監(jiān)理方都共同對建設(shè)項目的安全負責，但是存在管理交叉與重疊，容易導致職責不明確。實際上整個項目是施工方在主導，建設(shè)方、工程總承包方以及監(jiān)理方對項目建設(shè)現(xiàn)場并不了解。

3.3.2 不正確的交互、錯誤的決策及不恰當?shù)目刂苿幼?/p>

雖然此次坍塌事故是施工現(xiàn)場的不安全控制動作直接導致的，但是管理層的因素不可忽略。管理層應(yīng)該保證施工現(xiàn)場的生產(chǎn)安全，但是在事故報告中各方均未能盡職盡責。主要控制缺陷如下：

（1）建設(shè)方。未經(jīng)論證壓縮施工工期；未對總承包單位進行安全技術(shù)交底；未發(fā)現(xiàn)施工方案存在的問題；對施工單位、承包方及監(jiān)理方的監(jiān)督不力；未對現(xiàn)場監(jiān)理人員進行評議；法定建設(shè)單位與項目指揮部關(guān)系不清、管理權(quán)限不明確。

（2）承包方。未設(shè)置獨立安全生產(chǎn)管理機構(gòu)和安全總監(jiān)崗位；未發(fā)現(xiàn)施工方案存在問題；對施工單位檢查不力；未現(xiàn)場見證與驗收拆模作業(yè)；未論證縮短工期的可行性與安全性；未組織與開展項目全員安全生產(chǎn)應(yīng)急演練。

（3）監(jiān)理方。未對新入職監(jiān)理人員進行培訓；未糾正施工單位的違規(guī)行為；對施工單位缺少監(jiān)督與檢查；未提出見證拆模作業(yè)要求；未發(fā)現(xiàn)與糾正現(xiàn)場監(jiān)理失職問題；未發(fā)現(xiàn)施工方案存在問題；安排不符合要求人員開展監(jiān)理工作。

（4）施工方。未設(shè)立獨立安全生產(chǎn)管理機構(gòu)；對施工現(xiàn)場安全檢查不力；對作業(yè)人員安全培訓和安全技術(shù)指導不足；未制定拆模管理控制措施；未應(yīng)對天氣變化制定對策措施；拆模前未報告總承包單位及監(jiān)理單位；未落實試塊送檢制度；混凝土強度不足情況下未制止拆模作業(yè)；未將筒壁工程作為危險性較大分部分項工程進行管理。

3.3.3 不正確決策及控制動作產(chǎn)生的原因

不正確的控制算法。建設(shè)方、監(jiān)理方以及工程總承包方都疏于與施工作業(yè)現(xiàn)場的安全管理，導致現(xiàn)場施工違章長期存在也不會受到處罰。雖然各方都制定了安全檢查與監(jiān)督的制度，但是執(zhí)行不到位，且各方管理職責存在交叉與重復，導致職責劃分不清與責任推卸。

心智模型。管理層對實際生產(chǎn)系統(tǒng)不了解，心智模型存在缺陷。管理層各方對生產(chǎn)系統(tǒng)的安全監(jiān)管失效表明其對系統(tǒng)監(jiān)管認識錯誤，未能正確匹配心智模型與實際生產(chǎn)系統(tǒng)模型，導致整個管理系統(tǒng)的混亂，產(chǎn)生了不安全決策與不安全控制動作。

多個控制器之間的合作。建設(shè)方、施工方、承包方以及監(jiān)理方作為系統(tǒng)的控制器，共同管理項目安全生產(chǎn)，其管理內(nèi)容與職責存在交叉之處，導致不正常的交互影響的產(chǎn)生，如：每一個控制器都認為即使自己不發(fā)出控制動作別的控制器也會發(fā)出控制動作，多個控制器發(fā)出了相互矛盾的控制動作。

3.4 事故控制措施及建議

加強組織間的溝通。建筑施工事故涉及多組織，通過分析發(fā)現(xiàn)，組織間溝通缺失是導致不恰當?shù)臎Q策和控制動作產(chǎn)生的重要原因，因此加強組織間的溝通，確保系統(tǒng)內(nèi)的各個層級有效溝通可以降低事故的發(fā)生。

重視安全培訓的作用。通過控制動作和心智模型的分析可以看出，組織存在安全培訓不到位的錯誤動作，各個組織員工的安全知識和安全意識都存在欠缺，需要加強安全培訓，重視安全培訓對事故預防的作用。

4 結(jié)論

（1）運用STAMP模型分析該施工事故，得到了物理過程、基層操作和管理層的原因，也找出了基層操作與管理層之間以及各層級內(nèi)不同組織之間的交互影響原因。

（2）建設(shè)方、施工方、監(jiān)理方以及承包方對項目管理內(nèi)容交叉與重疊導致職責不清，且四方之間的溝通與協(xié)調(diào)缺失是導致錯誤決策和不恰當控制動作產(chǎn)生的主要因素。

（3）基層不安全控制動作直接導致事故發(fā)生，但取決于管理因素，管理層的原因是預防同類事故的重點。