人為差錯(cuò)模型主講人：羅守華《人為因素與航空法規(guī)》01.MEDA事件模型02.SHEL模型03.蝴蝶結(jié)模型04.REASON模型目錄contentsMEDA事件模型MEDA———全稱“維修差錯(cuò)決斷輔助工具”(maintenanceerrordecisionaid，MEDA)，是由波音公司和FAA、美聯(lián)航、大陸航等聯(lián)合開發(fā)的一種致力于調(diào)查致錯(cuò)因素的維修差錯(cuò)決斷方法。MEDA針對(duì)的是已發(fā)生的差錯(cuò)，強(qiáng)調(diào)全面評(píng)價(jià)導(dǎo)致差錯(cuò)的所有因素，屬于事后分析技術(shù)。MEDA,在研究過程中，提出了差錯(cuò)模型和違規(guī)模型，用于指導(dǎo)航空維修差錯(cuò)的分析(MEDA實(shí)施見附錄A)。MEDA事件模型誘因分析研究表明，員工在工作中，一般不會(huì)無緣無故偏離標(biāo)準(zhǔn)程序出現(xiàn)差錯(cuò)或違規(guī)行為(極少數(shù)例外)。員工在執(zhí)行工作中，影響其正常工作并有可能導(dǎo)致發(fā)生行為偏離的因素，稱為誘因(contributingfactor)，又可稱為致因。在MEDA最初研究階段，研究人員認(rèn)為誘因(一個(gè)或多個(gè))會(huì)導(dǎo)致員工出現(xiàn)差錯(cuò)，差錯(cuò)最終導(dǎo)致維修事故/征候(可統(tǒng)稱為事件“event”)發(fā)生。差錯(cuò)事件誘因（一個(gè)或多個(gè)）導(dǎo)致導(dǎo)致誘因?qū)е虏铄e(cuò)和事件模型MEDA事件模型差錯(cuò)模型隨著對(duì)事件誘因的梳理，并深入研究誘因?qū)Σ铄e(cuò)的影響，研究人員認(rèn)識(shí)到，當(dāng)誘因出現(xiàn)時(shí)，差錯(cuò)不是必然發(fā)生的，但發(fā)生差錯(cuò)的概率會(huì)提高，而差錯(cuò)發(fā)生后，也不一定會(huì)導(dǎo)致事件發(fā)生。事故調(diào)查顯示，由單一誘因引起差錯(cuò)和事件的情況并不多見，一般是多個(gè)誘因共同作用，導(dǎo)致差錯(cuò)概率增加，并最終導(dǎo)致事件發(fā)生概率增加。差錯(cuò)事件誘因（一個(gè)或多個(gè)）導(dǎo)致導(dǎo)致概率提高概率提高誘因?qū)е虏铄e(cuò)和事件模型導(dǎo)致誘因誘因誘因誘因誘因誘因差錯(cuò)事件概率提高導(dǎo)致概率提高復(fù)合誘因差錯(cuò)模型MEDA事件模型違規(guī)模型統(tǒng)計(jì)數(shù)據(jù)表明，有60%~80%事件是在差錯(cuò)和違規(guī)的共同作用下導(dǎo)致的，只有20%~40%的事件是由純差錯(cuò)導(dǎo)致發(fā)生。因此，在研究事件發(fā)生原因時(shí)，必須考慮違規(guī)的“貢獻(xiàn)”。誘因單一模型違規(guī)差錯(cuò)事件導(dǎo)致概率提高導(dǎo)致概率提高導(dǎo)致概率提高誘因違規(guī)差錯(cuò)導(dǎo)致概率提高導(dǎo)致概率提高誘因違規(guī)導(dǎo)致概率提高事故/征候?qū)е赂怕侍岣邚?fù)合模型誘因違規(guī)模型MEDA事件模型綜合模型綜上，經(jīng)過系統(tǒng)的整理和研究，得出MEDA事件模型。多個(gè)誘因的出現(xiàn)，會(huì)導(dǎo)致維修人員在工作出現(xiàn)差錯(cuò)幾率增加并誘使員工違規(guī)。大量事件研究表明，大部分誘因是可以通過維修單位的程序加以控制的。控制較低層面的誘因，可以防止嚴(yán)重的事故出現(xiàn)。MEDA事件模型誘因誘因?qū)е赂怕侍岣哒T因誘因誘因?qū)е赂怕侍岣卟铄e(cuò)導(dǎo)致概率提高誘因誘因?qū)е赂怕侍岣哌`規(guī)導(dǎo)致概率提高概率提高差錯(cuò)導(dǎo)致概率提高SHEL模型SHEL模型要素SHEL模型的名字是由模型中各組成部分的第一個(gè)字母S、H、E、L構(gòu)成的：軟件(即非結(jié)構(gòu)體)是指用于指導(dǎo)維修工作的技術(shù)資料。S:軟件(software)環(huán)境既包括執(zhí)行維修任務(wù)的狹義環(huán)境，又包括廣義環(huán)境。E:環(huán)境(environment)硬件(即結(jié)構(gòu)體)包括執(zhí)行維修工作的技術(shù)裝備，同時(shí)包括被維修的對(duì)象。H:硬件(hardware)在系統(tǒng)中有兩個(gè)位置，居于核心的人是直接從事維修工作的人員，位于外邊的人是指與該維修人員相關(guān)的其他人員。L:生命件/人(lifeware)SHEL模型SHEL模型關(guān)注點(diǎn)(1)人與軟件(2)人與硬件（3）人與環(huán)境(4)人與人沖突人有可能曲解程序，編寫的手冊(cè)不實(shí)用、檢查單設(shè)計(jì)不合理、計(jì)算機(jī)軟件未經(jīng)測(cè)試、計(jì)算機(jī)軟件難于使用、不能滿足工作要求。沒有足夠維修工具維修設(shè)備不適合飛機(jī)的維修性設(shè)計(jì)差(如部件可達(dá)性差)與其他人關(guān)系協(xié)調(diào)，溝通不良、人力短缺、缺少監(jiān)督、缺少來自管理層的支持。工作場(chǎng)地不舒服如機(jī)庫空間狹小溫度過高或過低噪聲過大照明不好等等蝴蝶結(jié)模型2004年，美國聯(lián)邦航空局(FAA)下屬的專業(yè)科研技術(shù)團(tuán)隊(duì)開發(fā)了一套“領(lǐng)結(jié)圖”技術(shù)，簡稱蝴蝶結(jié)(bow-tie，BT)模型，并以此作為安全分析的主要機(jī)制，同時(shí)該理論也被其他負(fù)責(zé)航空安全管理及高危性產(chǎn)業(yè)的安全管理機(jī)構(gòu)所采用，其基本原理如圖所示。MA潛在造成危害的事件預(yù)防控制措施不期望的不安全事件后果減輕控制措施事故樹分析事故樹分析BT模型示意圖蝴蝶結(jié)模型BT模型特點(diǎn)（1）有助于理解哪些基本事件可能導(dǎo)致事故樹中頂層事件的發(fā)生；（2）有助于理解哪些安全功能故障可使頂事件發(fā)展成為事件樹中的特定后果。MA潛在造成危害的事件預(yù)防控制措施不期望的不安全事件后果減輕控制措施事故樹分析事故樹分析BT模型示意圖蝴蝶結(jié)模型危險(xiǎn)源識(shí)別是對(duì)故障條件或?qū)е马攲硬话踩录l(fā)生的征兆進(jìn)行認(rèn)定的行為并能按照潛在的安全結(jié)果及其影響界定這些頂層不安全事件的性質(zhì)，相關(guān)定義如下:(1)危險(xiǎn)源:具有傷及員工、損壞設(shè)備或結(jié)構(gòu)、導(dǎo)致原料損耗，或降低執(zhí)行規(guī)定功能能力的狀態(tài)、對(duì)象、活動(dòng)或事件。(4)風(fēng)險(xiǎn):包括危險(xiǎn)導(dǎo)致的所有潛在影響的頻率和嚴(yán)重程度。(3)后果:由于結(jié)果導(dǎo)致的傷害員工、損壞設(shè)備或結(jié)構(gòu)、損耗原料或降低執(zhí)行規(guī)定功能能力的程度，后果具有一定的級(jí)別。(5)風(fēng)險(xiǎn)控制:為降低與危險(xiǎn)相關(guān)的風(fēng)險(xiǎn)而設(shè)置的系統(tǒng)、活動(dòng)、行動(dòng)或程序，風(fēng)險(xiǎn)減輕的內(nèi)容包括：危險(xiǎn)的排除(首選)、危險(xiǎn)頻率的減少(屏障)、危險(xiǎn)結(jié)果產(chǎn)生可能性的減小、危險(xiǎn)結(jié)果嚴(yán)重性的降低。(2)風(fēng)險(xiǎn)事件:單獨(dú)或與其他風(fēng)險(xiǎn)事件共同導(dǎo)致不良事件發(fā)生的故障情況、主要原因、征兆或先導(dǎo)事件。蝴蝶結(jié)模型BT模型的缺點(diǎn)由于BT模型是由事故樹和事件樹組成，它同時(shí)受到兩者的限制。例如:①標(biāo)準(zhǔn)事故樹不適用于冗余、常見原因或非獨(dú)立原因事件發(fā)生的場(chǎng)景;②事故樹也無法應(yīng)用于多變量場(chǎng)景，因?yàn)樗鼈兘?jīng)常要在過程系統(tǒng)中建模;③更重要的是，由于事故樹和事件樹的靜態(tài)結(jié)構(gòu)，它們不能用于動(dòng)態(tài)性的事故。BT模型的優(yōu)點(diǎn)在所有事故分析模型中，BT模型已經(jīng)被證明是可靠的和有效的工具，部分是由于它能夠?qū)⒁粋€(gè)時(shí)間的原因和后果在圖形模型中展現(xiàn)出來。它已廣泛應(yīng)用于不同的安全與風(fēng)險(xiǎn)場(chǎng)景，如過程安全分析、事故風(fēng)險(xiǎn)評(píng)估、風(fēng)險(xiǎn)管理和安全屏障的實(shí)現(xiàn)。REASON模型REASON模型原型1991年，英國曼徹斯特大學(xué)的JamesReason博士通過對(duì)世界上發(fā)生的重大事故調(diào)查分析后，提出了航空事故理論模型即REASON模型。航空生產(chǎn)是有組織的系統(tǒng)活動(dòng)，這些組織活動(dòng)可以被劃分為不同的層面，如圖所示。REASON模型航空系統(tǒng)組織層面從系統(tǒng)的高度來看，各個(gè)層面的組織活動(dòng)與事故的最終發(fā)生都有關(guān)系，在每個(gè)層面上都存在漏洞，不安全因素就像一個(gè)不間斷的光源，剛好能透過所有這些漏洞時(shí)，事故就會(huì)發(fā)生。這些層面疊在一起，如同有孔的奶酪疊放在一起，因此REASON模型也被稱為瑞士奶酪模型。航空系統(tǒng)是一個(gè)綜合的生產(chǎn)系統(tǒng)，這個(gè)系統(tǒng)由決策者、生產(chǎn)管理層、一線生產(chǎn)層及防護(hù)和安全措施構(gòu)成。REASON模型航空事故發(fā)生機(jī)理REASON模型的重要價(jià)值在于：它揭示了事故的發(fā)生不僅與和事故直接相關(guān)的生產(chǎn)活動(dòng)(現(xiàn)行失效)有關(guān)，還與離事故較遠(yuǎn)的其他層面的活動(dòng)和人員有關(guān)，這些其他層面的缺陷和漏洞被稱為潛在失效。潛在失效多為管理決策缺陷，這些缺陷或漏洞在過去已經(jīng)存在，一直處于潛伏狀態(tài)。（1）現(xiàn)行失效不同層面的活動(dòng)在時(shí)間、空間或邏輯上與事故的間隔有近有遠(yuǎn)。與事故在時(shí)間、空間或邏輯間隔上較近的活動(dòng)對(duì)事故發(fā)生的影響是直接的，顯性的，這些層面上的漏洞被稱為現(xiàn)行失效。（2）潛在失效潛在失效是指遠(yuǎn)在事故發(fā)生之前所做出的決定或者所采取的措施而導(dǎo)致的結(jié)果，通常產(chǎn)生于決策者、管理當(dāng)局或生產(chǎn)管理部門。REASON模型降低事故概率途徑僅僅認(rèn)識(shí)到現(xiàn)行失效，懲罰差錯(cuò)的當(dāng)事人，只能在一定程度上降低事故率。若要最大限度地降低事故率，必須挖掘在時(shí)間、空間和邏輯上遠(yuǎn)離事故現(xiàn)場(chǎng)的深層次各個(gè)層面上的漏洞，并修復(fù)它們，這樣才能更徹底地完善系統(tǒng)，降低事故率。1減少系統(tǒng)漏洞REASON模型還強(qiáng)調(diào)了在系統(tǒng)內(nèi)增加或強(qiáng)化人為差錯(cuò)防御屏障的概念，尤其是深層的防御屏障。這些防御屏障的增加將進(jìn)一步降低不安全光線穿過系統(tǒng)的概率，進(jìn)一步避免人為差錯(cuò)產(chǎn)生的不良后果，減少事故的發(fā)生。2增加防御屏障REASON模型REASON模型應(yīng)用ICAO模型認(rèn)為組織中存在的管理決策和組織程序的漏洞(或不足)是事故發(fā)生的源頭，這些隱患(或不足)可通過兩條途徑導(dǎo)致事故發(fā)生，因此將其稱為組織事故性模型。ICAO的組織事故模型(REASON模型修訂)ICAO將航空系統(tǒng)劃分組織、工作場(chǎng)所、工作員工和防御四個(gè)層面，并指出防御包括規(guī)章、培訓(xùn)和技術(shù)