人為因素和航空法規航空工程學院

飛機維護教研室人為因素和航空法規第二版第2章人為因素和航空法規第二版第2章第2章人為因素基本理論及模型2.1人為因素基本定律墨菲定律Ifthereisawrongwaytodoit,thatisthewayyou’lldoit.

人們做某件事情，如果存在一種錯誤做法，遲早會有人按照這種錯誤做法去做。Anythingthatcangowrongwillgowrong

如果事情可能出差錯，它將來一定會出差錯。墨菲定律忠告人們：面對人類的自身缺陷，最好還是想得更周到、全面一些，采取多種保險措施，防止偶然發生的人為失誤導致災難和損失。Iftherearetwoormorewaystodosomething,andoneofthosewayscanresultinacatastrophe,thensomeonewilldoit.

如果有兩種或更多種選擇，其中一種將導致災難，則必然有人會作出這種選擇。22020/11/30作業答案1、說出人為因素的定義。答：國際民航組織（ICAO）對人為因素有如下定義：“人為因素是有關人的科學：關于工作和生活環境中的人，人與設備、程序及周圍環境之間的關系，人與其他人的關系；人為因素涉及航空系統中人的所有特征；它經常利用系統工程學框架，通過系統地應用人的科學，以尋求人的最佳表現。其兩個相互關聯的目標是安全和效率。”2、從世界民航安全發展史來看，航空事故率迅速下降的原因是什么?答：縱觀世界民航安全事故變化規律，有兩個事故率迅速下降的階段：第一次是1958年至1970年，原因在于新技術、新標準在航空器設計中的采用，航空器自身安全水平得到提高，促使民航事故率大幅下降；第二次是1998年至今，原因在于人為因素在航空領域的普遍應用，促使民航事故率再次下降。第1章緒論第2講人為因素基本理論及模型人為因素和航空法規第二版第2章人為因素和航空法規第二版第2章第2章人為因素基本理論及模型2.1人為因素基本定律墨菲定律Ifthereisawrongwaytodoit,thatisthewayyou’lldoit.

人們做某件事情，如果存在一種錯誤做法，遲早會有人按照這種錯誤做法去做。Anythingthatcangowrongwillgowrong

如果事情可能出差錯，它將來一定會出差錯。墨菲定律忠告人們：面對人類的自身缺陷，最好還是想得更周到、全面一些，采取多種保險措施，防止偶然發生的人為失誤導致災難和損失。Iftherearetwoormorewaystodosomething,andoneofthosewayscanresultinacatastrophe,thensomeonewilldoit.

如果有兩種或更多種選擇，其中一種將導致災難，則必然有人會作出這種選擇。22020/11/305第2講人為因素基本理論及模型2.1人為因素基本定律墨菲定律Iftherearetwoormorewaystodosomething,andoneofthosewayscanresultinacatastrophe,thensomeonewilldoit.如果做某項工作有兩種或更多的方法，而其中一種方法方式將導致事故，則必定有人會按照這種方法去做。Anythingthatcangowrongwillgowrong.

凡事只要有可能出差錯，那就一定會出差錯。6第2講人為因素基本理論及模型2.1人為因素基本定律墨菲定律

Iftherearetwoormorewaystodosomething,andoneofthosewayscanresultinacatastrophe,thensomeonewilldoit.如果有兩種或更多種選擇，其中一種將導致災難，則必然有人會作出這種選擇。7第2講人為因素基本理論及模型2.1人為因素基本定律近期，網絡上曝光了一起摩托車與摩托車在江蘇山路對撞的嚴重事故，造成一人當場死亡，一人受傷被送醫救治。8第2講人為因素基本理論及模型2.1人為因素基本定律摩托車騎手正常的騎行裝具9第2講人為因素基本理論及模型2.1人為因素基本定律事故罹難者的日常狀態（發布于她的微博之上）10墨菲定律忠告人們：面對不好的事情發展結果，最好還是保持清醒頭腦，認識到自己沒有任何理由可以獨善其身，不存在幸運之神會永遠佑護著你。別人能倒霉，你也不會例外！！！第2講人為因素基本理論及模型2.1人為因素基本定律墨菲定律11一起重大事故背后，必然有29起輕微事故和300起事故征候以及1000起事故隱患（又稱為不安全事件），這就是“海恩法則”,又可以形象地稱為“差錯冰山理論”。第2講人為因素基本理論及模型2.1人為因素基本定律海恩法則夫功之成，非成于成之日，蓋必有所由起；禍之作，不作于作之日，亦必有所由兆。

——

蘇洵《管仲論》12啟示：要減少事故的發生，即減少冰山露出水面的部分，需要縮小冰山水面以下的體積，即減少各類事故征侯和不安全事件的發生。抓好不安全的事件的數據分析和信息共享，吸取各方面教訓，是預防事故的有效手段。事故只是冰山一角，應該防微杜漸。第2講人為因素基本理論及模型2.1人為因素基本定律海恩法則明者見危于無形，智者窺禍于未萌。

——鐘會《移蜀將吏士民檄》13事故鏈——要防止事故的發生，只要將導致事故鏈條上的某一環節截斷就可以了。事故的原因不是單一的，往往涉及許多人。所有案例都包含一系列人為因素問題，形成了一條事故鏈。如果在管理、維修和機組這些出差錯的環節上，建立預防差錯的有效措施，使“鏈條”中的任一環節斷開，許多事故征侯/事故就可能避免。第2講人為因素基本理論及模型2.1人為因素基本定律事故鏈理論14哪個事故都逃不過人、機、料、法、環這個“五行輪”。“人”指的是所有的設備都是由人來操作的，“機”是機械設備，“料”是所用的材料、燃料，“法”是生產運行和維修的方法和必須遵守的法則，“環”是環境。這五個因素穿在一根軸上，但又按照自己的規律在各自的圓盤上運行，每個圓盤上都已經存在或者正在出現不同的漏洞。不安全因素就像一個不間斷的光源，當這束光源能夠穿透所有五個圓盤時，事故就發生了。不安全因素人機料法環第2講人為因素基本理論及模型2.1人為因素基本定律圓盤漏洞理論15第2講人為因素基本理論及模型2.2差錯的定義當人的行為與客觀定義的標準行為發生偏差時，稱之為差錯。“人有失手，馬有失蹄”Itisthenatureofmantoerror.

犯錯是人的天性。

古羅馬哲學家

西塞羅16第2講人為因素基本理論及模型2.2差錯的定義2.2.1人為差錯定義1（皮特）：人的行為明顯偏離了預定的、要求的或希望的標準，他導致不希望的時間拖延、困難、

問題、麻煩、誤動作、意外事件或事故。定義2（里格）：是指人的行為的結果超出了可接受的界限。17人為差錯一般包含以下5種情況：①

未執行分配給他的職能；（沒干該干的活）②

錯誤地執行了分配給他的職能；（該干的活干錯了）③

執行了未賦予的份外職能；

（干了自己不該干[應該別人干的]活）④

按錯誤的程序或在錯誤的時間執行了職能（干活的程序或時間不對）；⑤

執行職能不全面

（該干的活沒干全）。第2講人為因素基本理論及模型2.2差錯的定義2.2.1人為差錯18航空維修中的人為差錯是指人的行為的結果偏離了規定的目標，并產生了不良影響，表現為一種由維修人員行為所導致的非意向性的航空器的缺陷（有形的失效或損傷），這種缺陷后果輕重確定了維修差錯的嚴重程度。第2講人為因素基本理論及模型2.2差錯的定義2.2.1人為差錯19第2講人為因素基本理論及模型2.2.1人為差錯具有很大的個體差異不同原因導致同一差錯同一差錯會產生明顯不同的后果2.2.1.1人為差錯的性質：20

1）可變的差錯vs.固定的差錯2）可逆的差錯vs.不可逆的差錯3）設計引發的差錯vs.操作人員引發的差錯第2講人為因素基本理論及模型2.2.1人為差錯2.2.1.2

人為差錯的分類：212.2.1.3人為差錯的形式1）失誤（slips）：失誤是沒有按照預定或者計劃實施的行為，例如在抄寫數字的時候顛倒數字，或者把程序中的步驟弄亂等。2）遺忘（lapses）：在工作中因信息追溯或回憶而產生的差錯，如機械員給3個螺栓中的2個磅完力矩后，被叫去干其它工作，回到原來的工作時，忘記了將剩余的螺栓磅力矩，直接進行下一步驟。3）錯誤（mistake）：錯誤是一種由于錯誤的計劃或者意圖所帶來的特定類型的差錯，也就是說，人做了某些自認為是正確的事，而事實上這件事卻是錯誤的，例如在安裝飛機風擋的時候，由于錯誤的判斷，選擇了錯誤的螺栓。第2講人為因素基本理論及模型2.2.1人為差錯222.2.1.4人為差錯的控制方法第2講人為因素基本理論及模型2.2.1人為差錯1）差錯減少：旨在直接介入差錯源本身。如給維修技術人員提供培訓、改善照明條件、完善工作單卡等。2）差錯捕獲：指假設已犯有錯誤，試圖在航空器出場前“捕獲”差錯。如相互檢查、專職檢驗、驗證、功能與操作測試等3）包容差錯：指系統有能力接受差錯而不會產生災難（或十分嚴重）性后果。如航空器上多系統中（這樣，單個差錯只能引起一個系統故障），結構檢查大綱可允許在疲勞裂紋到達臨界長度前，檢查人員有多次機會發現裂紋。23

違規是指故意偏離安全操作程序、標準或規章。

2.2.2.1違規vs.差錯1）共同點：都是人的不安全行為，差錯當事人和違規當事人都不愿造成不良后果。2）區別點：違規當事人事先知道、有意偏離了安全操作程序、標準或規章；而差錯當事人事先不知道，是一種無意識行為。第2講人為因素基本理論及模型2.2差錯的定義2.2.2違規差錯（失誤和錯誤）違規主觀意圖非故意的通常是故意的導致原因可能是由于偶然的因素（如分心、疏忽、被打擾等）所造成的；也可能是信息問題（如不正確或部完整的知識）造成的。主要是動機因素、利益考慮、態度、行為規范和企業文化造成的與人的相關性差錯的傾向性大多數與人無關。違規的傾向性明顯與年齡、性別有關。年輕人比年長者違規現象多些，男性比女性違規多些。24

2.2.2.2.違規行為類型第2講人為因素基本理論及模型2.2差錯的定義2.2.2違規

1）習慣性違規（Routineviolations）

這種違規行為對工作小組（團隊）來說習以為常，他們還

會為這些習慣找出許多理由。比如抄近路是為了節省時間和體力等。2）處境違規（Situationalviolations）這種違規是由于當時的特殊情況而發生的違規，如不現實的最終期限、很大的工作量、不可操作的程序、缺乏工具設備或較差的工作條件等。如果這些因素都不存在，則不會發生違規，就會按照程序執行。25

2.2.2.2.違規行為類型第2講人為因素基本理論及模型2.2差錯的定義2.2.2違規3）樂觀性違規（Optimisingviolations）

為了尋求刺激而違規，這類違規往往是為了逞能、避免單調或者僅僅為了一時的痛快。有些人會利用這種機會來滿足個人的需要。【例如：為尋求刺激，飆車超速】。4）特例違規（Exceptionalviolations）這類違規不好定義，是因為當時特定情況才會發生，盡管人們有著很好的愿望，但由于特殊工作或運行環境等使得違規不可避免。【例如：出租車為了將急癥病人送醫而闖紅燈】26

違規中涉及的組織管理因素第2講人為因素基本理論及模型2.2差錯的定義2.2.2違規①違規有變成習慣的趨勢，因為這些違規可以節省時間，毫不費力。②時間壓力和大的工作負荷會增加違規的可能。③人們通常會估量違規的好處，不幸的是，事實上危險會更大。④企業安全文化對違規有著非常重大的影響。多數航空公司都會闡述安全絕對是第一位的，但在現實工作中，生產或提供服務卻是公司最為關注的。⑤當企業發生差錯事件后，他們通常的反應是增加一個新程序來預防事件再次發生。經過一段時間后，按照這種書面程序操作變得幾乎不可能（缺乏操作性），違規因此不可避免。⑥如果管理人員對違規現象視而不見，人們就會覺得這種行為是可以寬恕的（認為領導知道我這樣做，卻從來沒有制止過）。

27第2講人為因素基本理論及模型2.2差錯的定義2.2.2違規應該清楚地意識到：違規會嚴重威脅到安全。如果大家都按照制定好的正確程序或規章去工作，安全體系就能得到保障。但是，如果這種假設前提被破壞了，那么整個安全體系就會處于危險狀態。要防止破窗效應！！！28

2.2.3.1.維修差錯定義第2講人為因素基本理論及模型2.2差錯的定義2.2.3維修差錯航空維修活動：對航空器、航空器部件及維修設施所進行的管理、使用、檢查、維護、排故、更換、改裝、翻修等活動。維修事故：維修活動中，由于維修責任造成的具有巨大直接經濟損失的航空器、航空器部件、車輛、設備、設施損壞和人員重傷或人員死亡的事件。維修事故征候：是指在維修活動中，由于維修責任造成的嚴重威脅飛行安全的事件或具有巨大直接經濟損失的航空器、航空器部件、車輛、設備、設施損壞和人員傷殘，但其程度未構成維修事故的事件。維修差錯：是指在維修活動中，由于維修責任造成的威脅飛行安全，違反適航規章或具有一定直接經濟損失的航空器、航空器部件、車輛、設備、設施損壞和人員受傷，但其程度未構成維修事故征候的事件。29

2.2.3.2.維修差錯的表現第2講人為因素基本理論及模型2.2差錯的定義2.2.3維修差錯表現形式一：維修工作中出現差錯表現形式二：維修中未檢查出航空器已經存在的問題30

2.2.3.2.維修差錯的表現第2講人為因素基本理論及模型2.2差錯的定義2.2.3維修差錯表現形式一：維修工作中出現差錯航空器在維修工作開始之前并不存在問題，是由于維修才導致差錯；航空維修人員在工作中出差錯的可能性是極高的。JamesReason指出，在維修工作中，拆除零件通常只有一種方法，而重新安裝則可能會出現很多種可能的方法，不正確的安裝很容易發生。舉例：如圖2-5所示，一個螺栓上有8個螺母（8個螺母的安裝順序固定）。從螺栓上拆除螺母的方法只有一種，但是，重新安裝的方法，除了發生遺漏錯誤的情況以外，還有大約40000種。31

2.2.3.2.維修差錯的表現第2講人為因素基本理論及模型2.2差錯的定義2.2.3維修差錯表現形式二：維修中未檢查出航空器已經存在的問題

航空器某種不期望的或者不安全的狀況未被檢查到而繼續存在，而進行維修工作正是為了探查航空器的這些問題，也就是說，這些問題被忽視了。例如，在目視檢查工作中沒有注意到結構裂紋；由于誤診拆除了好的電子設備而將有故障的電子設備遺留在了航空器上。32

2.2.3.3.維修中人為差錯的類型第2講人為因素基本理論及模型2.2差錯的定義2.2.3維修差錯1）在定期維修工作和低頻率維修工作中的差錯——大量的維修工作是例行的，例如飛機定期或者周期性的檢查。這樣的話，工程時會頻繁采用某套程序，當在繁忙的機庫或者航線環境中執行程序時失誤和遺忘就可能發生。

——當從事頻率較低的工作時，會存在判斷錯誤的可能性。如果維修人員不熟悉如何完成任務或者沒有認真地準備完成的任務，他可能會錯誤地選擇不正確的程序或者零件。33

2.2.3.3.維修中人為差錯的類型第2講人為因素基本理論及模型2.2差錯的定義2.2.3維修差錯2）歸因于個人經驗和習慣的差錯——過去成功的做法成了經驗，當經驗被不恰當使用的時候就可能發生問題；

——維修人員可能會獲得一些“不良規則”，使之在工作中養成了壞習慣。34

2.2.3.3.維修中人為差錯的類型第2講人為因素基本理論及模型2.2差錯的定義2.2.3維修差錯3）與目視檢查有關的差錯——把一個好的部件錯誤地認為是有故障的；——有故障的部件沒有被檢查出來而被疏忽。35

2.2.3.4.維修中人為差錯的特征第2講人為因素基本理論及模型2.2差錯的定義2.2.3維修差錯（1）必然性；（2）突變型；（3）可積性；（4）規律性；（5）可逆性36

2.2.3.5.維修差錯類型（按發生差錯的主導原因）第2講人為因素基本理論及模型2.2差錯的定義2.2.3維修差錯1）維護作風型；2）機能失常型；3）技術技能型；4）組織管理型。37

2.2.3.6.維修差錯的管理第2講人為因素基本理論及模型2.2差錯的定義2.2.3維修差錯差錯管理是尋求：（1）阻止差錯的發生；（2）消除或者減輕差錯的負面影響38

2.2.3.6.維修差錯的管理第2講人為因素基本理論及模型2.2差錯的定義2.2.3維修差錯①將個人或者團隊犯錯誤的可能性降低到最小；②減少特定任務的差錯危害；③發現、評估和消除工作區域內的差錯致因因素；④診斷導致差錯因素的組織因素；⑤加強差錯探查；⑥增加工作區域或者系統對差錯的容忍度；⑦使潛在的不安全狀態被運行和管理系統的人員更多地看見；⑧改進組織對人的不可靠性的抵御能力。Reason提出的差錯管理措施39

2.2.3.6.維修差錯的管理第2講人為因素基本理論及模型2.2差錯的定義2.2.3維修差錯最有效的預防差錯的可能途徑之一是確保維修人員遵守程序。總之，維修單位必須在實施各種預防、消除或者探查差錯的措施與盈利之間保持平衡。Reason：“沒有觸礁的船”本次課小結1、人為因素的基本定律：墨菲定律、

海恩法則、

事故鏈理論、

圓盤漏洞理論2、差錯和違規的有關知識：（1）差錯的定義、分類、形式、控制方法（2）違規的定義、類型（3）差錯和違規的異同點3、維修差錯的有關知識：（1）維修差錯的定義、表現形式、特征、類型（2）維修差錯的管理第1章緒論作業1、簡述墨菲定律和海恩法則？2、簡述圓盤漏洞理論中的“圓盤5要素”?3、簡述人為差錯的定義。4、簡述差錯與違規的異同點。5、簡述違規的類型。6、按照發生差錯的原因，維修差錯有那些基本類型？7、差錯管理的目的是什么？8、航空維修工作中的維修差錯表現為哪兩種形式？作業答案1、簡述墨菲定律和海恩法則？答：墨菲定律可以表述如下：如果做某項工作有兩種或更多的方法，而其中一種方法方式將導致事故，則必定有人會按照這種方法去做。墨菲定律也可以表述為：凡事只要有可能出差錯，那就一定會出差錯。2、簡述圓盤漏洞理論中的“圓盤5要素”?答：圓盤漏洞理論中的“圓盤5要素”是指：（1）人，即所有與航空器運行、維修和管理相關的人員;（2）機,也就是航空器本身;（3）料,指的是航空器使用、維修所需的航材等；（4）法,指的是航空器運行和維修必須遵守各項程序和法則；（5）環,指的是航空器運行的外部環境，包括自然環境和安全環境。3、簡述人為差錯的定義。答：航空維修中的人為差錯是指：人的行為的結果偏離了規定的目標,并產生了不良影響，表現為一種由維修人員行為所導致的非意向性的航空器的缺陷(有形的失效或損傷)，這種缺陷后果輕重確定了維修差錯的嚴重程度。4、簡述差錯與違規的異同點。答：二者的共同點是：差錯與違規都是人的不安全行為，且當事人都不想造成不良后果。二者的不同點是：違規當事人是事先知道、有意偏離了安全操作程序、標準或規章;而差錯當事人事先不知道,是一種無意行為。5、簡述違規的類型。答：違規的類型包括：（1）習慣性違規；（2）處境違規；（3）樂觀性違規；（4）特例違規。6、按照發生差錯的原因，維修差錯有那些基本類型？答：按照發生差錯的原因，維修差錯包括一下基本類型：（1）維護作風型；（2）機能失常型；（3）技術技能型；（4）組織管理型。7、差錯管理的目的是什么？答：差錯管理的目的是：（1）阻止差錯的發生；（2）消除或減輕差錯的負面影響。8、航空維修工作中的維修差錯表現為哪兩種形式？答：維修差錯表現為下列兩種形式：（1）維修工作中出現差錯；（2）未檢查出航空器已經存在的問題。44第2講人為因素基本理論及模型2.3人為差錯模型2.3.1MEDA模型MEDA:維修差錯決斷輔助工具（maintenanceerrordecisionaid,MEDA），是由波音公司和FAA、美聯航、大陸航等聯合開發的一種致力于調查致錯因素的維修差錯決斷方法。MEDA事件模型、SHEL模型、REASON模型誘因（一個或多個）差錯事件導致導致誘因導致差錯和事件模型2.3.1.1誘因分析在MEDA最初研究階段，研究人員認為誘因（一個或多個）會導致員工出現差錯，差錯最終導致維修事故/征候（可統稱為事件）發生。45第2講人為因素基本理論及模型2.3人為差錯模型2.3.1MEDA模型誘因（一個或多個）差錯事件導致導致誘因導致差錯和事件模型2.3.1.1誘因分析在航空維修工作中，差錯誘因涉及多個層面，具體包括：飛機設計/構造/零備件層面、初始批準的維修文件層面、公司維修文件層面、器材管理層面、設備工具層面、環境和設施層面、工作任務層面、知識和技能層面、個人因素層面、計劃和監督層面、信息溝通層面和組織機構層面。46第2講人為因素基本理論及模型2.3.1MEDA模型2.3.1.2差錯模型誘因（一個或多個）差錯事件導致導致單一誘因導致差錯模型概率提高概率提高誘因差錯事件導致導致概率提高概率提高誘因誘因誘因誘因誘因復合誘因導致差錯模型20%~40%的事件是由純差錯導致發生47第2講人為因素基本理論及模型2.3.1MEDA模型2.3.1.3違規模型違規差錯事件導致導致單一模型概率提高概率提高誘因導致概率提高事故/證候導致概率提高違規差錯誘因違規復合模型導致概率提高誘因導致概率提高導致概率提高60%~80%的事件實在差錯和違規的共同作用下導致的

48第2講人為因素基本理論及模型2.3.1MEDA模型2.3.1.4綜合模型多個誘因的出現，會導致維修人員在工作中出現差錯幾率增加并誘使員工違規。大部分誘因是可以通過維修單位的程序加以控制的。控制較低層次的誘因，可以防止嚴重的事故出現。49第2講人為因素基本理論及模型2.3.2SHELL模型2.3.2.1SHEL模型要素霍金斯SHEL模型：差錯容易產生在以人為中心的與硬件、軟件、環境及其它人之間的接點上。S——軟件（Software），即維修程序，維修手冊，檢查單等。H——硬件（Hardware），即工具,測試設備,飛機結構,駕駛艙設計,操縱系統和儀表的配置和使用特性等。E——環境（Environment），例如：機庫條件和航線條件等環境以及工作方式，管理機構等。L——生命件/人（Lifeware），有兩個位置，居于核心的人是直接從事維修工作的人員。位于外邊的人是指與該維修人員相關的其他人員，例如團隊的其他維修人員、主管、計劃員、經理等。50第2講人為因素基本理論及模型2.3.2SHELL模型2.3.2.2SHEL模型差錯來源在SHEL模式中，方塊界面間的不匹配，就意味人為差錯源。人-硬件界面人-軟件界面人-環境界面人-人界面51第2講人為因素基本理論及模型2.3.2SHELL模型2.3.2.3SHEL模型關注點在SHEL模式中，應重點關注人與SHEL模型中其他元素之間的界面匹配程度，并從安全角度出發，關注個元素界面之間可能產生問題的地方。人——軟件沖突:曲解程序，編寫得不實用的手冊，設計不合理的檢查單，未經測試或難于使用的計算機軟件。人——硬件沖突:沒有足夠的工具,不適當的設備，飛機維修性設計很差。人——環境沖突:不舒適的工作場地,不適當的機庫空間，過高的溫度,過大的噪音，照明差。人——人沖突:和其他人的關系，人力短缺，缺少監督，缺少來自管理人員的支持。52第2講人為因素基本理論及模型2.3.3蝴蝶結（bow-tie）模型BT模型是表述一個事故場景最好的圖形化方法之一，因為他可以從事故的原因開始描述，直到事故后果。當對一個關鍵事件進行分析時，BT左側是一個事故樹，分析引起關鍵事件的可能原因事件；而其右側是一個事件樹，分析該事件安全功能成功或失敗可能造成的后果。53第2講人為因素基本理論及模型2.3.3蝴蝶結（bow-tie,BT）模型BT模型特點有助于理解哪些基本事件可能導致事故樹中頂層事件的發生；有助于理解哪些安全功能故障可使頂層事件發展成為事件樹中的特定后果。54第2講人為因素基本理論及模型2.3.3蝴蝶結（bow-tie,BT）模型完整的BT模型可以用圖示說明危險（源）、頂層事件、風險事件及其潛在結果以及為盡量減小風險而建立的風險控制機構。在BT模型中，含有防止頂層風險事件發生的保護性或前瞻性屏障在頂層事件的左邊；同時，糾正或體現控制機構在頂層事件的右邊，這些機構用于防止頂層事件產生不必要的結果或減輕該結果的嚴重影響程度。55第2講人為因素基本理論及模型2.3.3蝴蝶結（bow-tie）模型幾個相關的概念定義危險源識別是對故障條件或導致頂層不安全事件發生的征兆進行認定的行為并能按照潛在的安全結果及其影響界定這些頂層不安全事件的性質，相關定義如下：（1）危險源：具有傷及員工、損壞設備或結構、導致原料損耗，或降低執行規定功能能力的狀態、對象、活動或事件。（2）風險事件：單獨或與其他風險事件共同導致不良事件發生的故障情況、主要原因、征兆或先導事件。（3）后果：由于結果導致的傷害員工、損壞設備或結構、損耗原料或降低執行規定功能能力的程度，后果具有一定的級別。（4）風險：包括危險導致的所有潛在影響的頻率和嚴重程度。（5）風險控制：為降低與危險相關的風險而設置的系統、活動、行動或程序，風險減輕的內容包括：危險的排除（首選）、危險頻率的減少（屏障）、危險結果產生可能性的減小、危險結果嚴重性的降低。56第2講人為因素基本理論及模型2.3.4REASON模型1991年，英國的曼徹斯特大學的JamesReason博士通過對世界上發生的重大事故調查分析后，提出了航空事故理論模型即Reason模型。航空生產是有組織的系統活動，這些組織活動可以被劃分為不同的層面。從系統的高度來看，各個層面的組織活動與事故的最終發生都有關系，在每個層面上都存在漏洞，不安全因素就像一個不間斷的光源，剛好能透過所有這些漏洞時，事故就會發生。這些層面疊在一起，如同有孔的奶酪疊放在一起，因此Reason模型也被稱為瑞士奶酪模型。2.3.4.1航空系統組織層面57第2講人為因素基本理論及模型2.3.4REASON模型1、現行失效與事故在時間、空間或邏輯間隔上較近的活動對事故發生的影響是直接的、顯性的，這些層面上的漏洞被稱為現行失效。現行失效通常由一線人員所為。現行失效在事故發生后很容易被確定，并可以馬上采取有針對性的補救措施或給予懲罰警告。2.3.4.2航空事故發生機理58第2講人為因素基本理論及模型2.3.4REASON模型2、潛在失效REASON模型的重要價值在于：它揭示了事故的發生不僅與和事故直接相關的生產活動（現行失效）有關，還與離事故較遠的其他層面的活動和人員有關，這些層面的缺陷或漏洞被稱為潛在失效。潛在失效多為管理決策缺陷，這些缺陷或漏洞在過去已經存在，一直處于潛伏狀態。2.3.4.2航空事故發生機理59第2講人為因素基本理論及模型2.3.4REASON模型潛在失效系統中各個層面上不可避免地都會存在漏洞，而且這些漏洞并不是一成不變的，某些漏洞可能會閉合，在某些層面新的位置可能會出現新的漏洞。在特定的情況下，當這些漏洞恰好串成一條線的時候，事故才會發生。從統計的角度來講，各個層面上的漏洞越多，不安全因素光線被某個層面阻擋而不發生事故的概率就越低，不安全因素光線穿過整個系統各個層面的而發生事故的概率就越高。2.3.4.2航空事故發生機理60第2講人為因素基本理論及模型2.3.4REASON模型國際民航組織（ICAO）將REASON模型納入《安全管理手冊》。ICAO將航空系統劃分組織、工作場所、工作員工和防御四個層面，并指出防御包括規章、培訓和技術三個層面。與REASON原模型的區別在于：ICAO模型認為組織中存在的管理決策和組織程序的漏洞（或不足）是事故發生的源頭，這些隱患（或不足）可通過兩條途徑導致事故發生，因此將其稱為組織事故性模型。2.3.4.4REASON模型應用61第2講人為因素基本理論及模型2.3.4REASON模型由Reason模型啟示，要最大限度地降低事故發生的概率，主要的途徑有兩種：減少每個層面上的缺陷或漏洞；（減少系統漏洞）增加防御層面。2.3.4.3降低事故概率途徑62第2講人為因素基本理論及模型2.3.4.4REASON模型應用組織程序是組織直接控制的活動，典型的組織程序包括政策的制定、計劃、溝通、資源配置、監督等等，其中與安全最直接相關的兩個組織程序是資源配置和溝通。當組織程序中存在漏洞（或不足）時，可以通過以下兩條途徑對下游產生影響：隱患條件之路——途徑1：隱患條件。隱患條件可能