1、 第第2 2章章 人为因素基本理论及模型人为因素基本理论及模型2.12.1 人为因素基本定律人为因素基本定律l墨菲定律墨菲定律 If there is a wrong way to do it, that is the way youll do it. 人们做某件事情，如果存在一种错误做法，迟早会有人按照这种错误做法去做。 Anything that can go wrong will go wrong 如果事情可能出差错，它将来一定会出差错。 墨菲定律忠告人们：面对人类的自身缺陷，最好还是想得更周到、全面一墨菲定律忠告人们：面对人类的自身缺陷，最好还是想得更周到、全面一些，采取多种保险措施，
2、防止偶然发生的人为失误导致灾难和损失。些，采取多种保险措施，防止偶然发生的人为失误导致灾难和损失。 If there are two or more ways to do something, and one of those ways can result in a catastrophe, then someone will do it. 如果有两种或更多种选择，其中一种将导致灾难，则必然有人会作出这种选择。第第2 2章章 人为因素基本理论及模型人为因素基本理论及模型l海恩法则海恩法则 一起重大事故背后，必然有29起轻微事故和300起事故征候以及1000起事故隐患（又称为不安全事件），这就
3、是“海恩法则” ,又可以形象地称为“差错冰山理论”。 启示：启示：要减少事故的发生，即减要减少事故的发生，即减少冰山露出水面的部分，需要缩少冰山露出水面的部分，需要缩小冰山水面以下的体积，即减少小冰山水面以下的体积，即减少各类事故征侯和不安全事件的发各类事故征侯和不安全事件的发生。抓好不安全的事件的数据分生。抓好不安全的事件的数据分析和信息共享，吸取各方面析和信息共享，吸取各方面 教训，教训，是预防事故的有效手段。事故只是预防事故的有效手段。事故只是冰山一角，应该防微杜渐。是冰山一角，应该防微杜渐。第第2 2章章 人为因素基本理论及模型人为因素基本理论及模型l事故链理论事故链理论 事故链事故链
4、要防止事故的发要防止事故的发生，只要将导致事故链条上生，只要将导致事故链条上的某一环节截断就可以了。的某一环节截断就可以了。 事故的原因不是单一的，往往涉及许多人 所有案例都包含一系列人为因素问题，形成了一条事故链。 如果在管理、维修和机组这些出差错的环节上，建立预防差错的有效如果在管理、维修和机组这些出差错的环节上，建立预防差错的有效措施，使措施，使“链条链条”中的任一环节断开，这些事故征侯中的任一环节断开，这些事故征侯/ /事故就可能避免。事故就可能避免。第第2 2章章 人为因素基本理论及模型人为因素基本理论及模型l圆盘漏洞理论圆盘漏洞理论 哪个事故都逃不过人、机、料、法、环这个“五行轮”
5、。 “人”指的是所有的设备都是由人来操作的，“机”是机械设备，“料”是所用的材料、燃料，“法”是生产运行和维修的方法和必须遵守的法则，“环”是环境。 这五个因素穿在一根轴上，但又按照自己的规律在各自的圆盘上运行，每个圆盘上都已经存在或者正在出现不同的漏洞。不安全因素就像一个不间断的光源，当这束光源能够穿透所有五个圆盘时，事故就发生了。不安全因素人机料法环第第2 2章章 人为因素基本理论及模型人为因素基本理论及模型2.22.2 差错的定义差错的定义2.2.1 2.2.1 人为差错人为差错l 所谓人为差错，是指人的行为的结果超出了可接受的界限。l 人为差错一般包含以下5种情况： 未执行分配给他的职
6、能；错误地执行了分配给他的职能；执行了未赋予的份外职能；按错误的程序或在错误的时间执行了职能；执行职能不全面。l 航空维修中的人为差错航空维修中的人为差错是指人的行为的结果偏离了规定的目标，并产生了是指人的行为的结果偏离了规定的目标，并产生了不良影响，表现为一种由维修人员行为所导致的非意向性的航空器的缺陷不良影响，表现为一种由维修人员行为所导致的非意向性的航空器的缺陷（有形的失效或损伤），这种缺陷后果轻重确定了维修差错的严重程度。（有形的失效或损伤），这种缺陷后果轻重确定了维修差错的严重程度。第第2 2章章 人为因素基本理论及模型人为因素基本理论及模型1. 人为差错性质1）具有很大的个体差异2
7、）不同原因导致同一差错3）同一差错会产生明显不同的后果2.人为差错的分类1）可变的差错 vs. 固定的差错2）可逆的差错 vs. 不可逆的差错3）设计引发的差错 vs. 操作人员引发的差错3.人为差错的形式失误、遗忘和错误1）失误（slips）：失误是没有按照预定或者计划实施的行为，例如在抄写数字的时候颠倒数字，或者把程序中的步骤弄乱等。2）遗忘（lapses）：在工作中因信息追溯或回忆而产生的差错，如机械员给3个螺栓中的2个磅完力矩后，被叫去干其它工作，回到原来的工作时，忘记了将剩余的螺栓磅力矩，直接进行下一步骤。3）错误（mistake）：错误是一种由于错误的计划或者意图所带来的特定类型的
8、差错，也就是说，人做了某些自认为是正确的事，而事实上这件事却是错误的，例如在安装飞机风挡的时候，由于错误的判断，选择了错误的螺栓。第第2 2章章 人为因素基本理论及模型人为因素基本理论及模型4.人为差错控制控制方法：减少差错、捕获差错、包容差错1 1）差错减少：）差错减少：旨在直接介入差错源本身。如给维修技术人员提供培训、改善照明条件、完善工作单卡等。2 2）差错捕获：）差错捕获：指假设已犯有错误，试图在航空器出场前“捕获”差错。如相互检查、专职检验、验证、功能与操作测试等。3 3）包容差错：）包容差错：指系统有能力接受差错而不会产生灾难（或十分严重）性后果。如航空器上多系统中（这样，单个差错
9、只能引起一个系统故障），结构检查大纲可允许在疲劳裂纹到达临界长度前，检查人员有多次机会发现裂纹。2.2.2 2.2.2 违规违规l 违规是指故意偏离安全操作程序、标准或规章。1. 违规 vs. 差错1）共同点：都是人的不安全行为，差错当事人和违规当事人都不愿造成不良后果。2）不同点：违规当事人事先知道、有意偏离了安全操作程序、标准或规章；而差错当事人事先不知道，是一种无意识行为。第第2 2章章 人为因素基本理论及模型人为因素基本理论及模型2. 违规行为类型1）习惯性违规（Routine violations）这种违规行为对工作小组（团队）来说习以为常，他们还会为这些习惯找出许多理由。比如抄近路
10、是为了节省时间和体力等。2）处境违规（Situational violations）这种违规是由于当时的特殊情况而发生的违规，如不现实的最终期限、很大的工作量、不可操作的程序、缺乏工具设备或较差的工作条件等。如果这些因素都不存在，则不会发生违规，就会按照程序执行。3）乐观性违规（Optimising violations）为了寻求刺激而违规，这类违规往往是为了逞能、避免单调或者仅仅为了一时的痛快。有些人会利用这种机会来满足个人的需要。【例如：为寻求刺激，飙车超速】4）特例违规（Exceptional violations）这类违规不好定义，是因为当时特定情况才会发生，尽管人们有着很好的愿望，但
11、由于特殊工作或运行环境等使得违规不可避免。【例如：出租车为了将急症病人送医而闯红灯】第第2 2章章 人为因素基本理论及模型人为因素基本理论及模型 违规中涉及的组织管理因素有：违规有变成习惯的趋势，因为这些违规可以节省时间，毫不费力。时间压力和大的工作负荷会增加违规的可能。人们通常会估量违规的好处，不幸的是，事实上危险会更大。企业安全文化对违规有着非常重大的影响。多数航空公司都会阐述安全绝对是第一位的，但在现实工作中，生产或提供服务却是公司最为关注的。当企业发生差错事件后，他们通常的反应是增加一个新程序来预防事件再次发生。经过一段时间后，按照这种书面程序操作变得几乎不可能（缺乏操作性），违规因此
12、不可避免。如果管理人员对违规现象视而不见，人们就会觉得这种行为是可以宽恕的（认为领导知道我这样做，却从来没有制止过）。 应该清楚地意识到：违规会严重威胁到安全。如果大家都按照制定好的正确程序或规章去工作，安全体系就能得到保障。但是，如果这种假设前提被破坏了，那么整个安全体系就会处于危险状态。第第2 2章章 人为因素基本理论及模型人为因素基本理论及模型2.2.3 2.2.3 维修差错维修差错1. 1. 维修差错的定义维修差错的定义 相关事件的界定：（1）维修活动是指对航空器、航空器部件及维修设施所进行的管理、使用、检查、维护、修理、排故、更换、改装、翻修等活动。（2）维修事故是指在维修活动中，由
13、于维修责任造成的具有巨大直接经济损失的航空器、航空器部件、车辆、设备、设施损坏和人员重伤或人员死亡的事件。（3）维修事故征候是指在维修活动中，由于维修责任造成的严重威胁飞行安全的事件或具有巨大直接经济损失的航空器、航空器部件、车辆、设备、设施损坏和人员伤残，但其程度未构成维修事故的事件。（4）维修差错是指在维修活动中，由于维修责任造成的威胁飞行安全，违反适航规章或具有一定直接经济损失的航空器、航空器部件、车辆、设备、设施损坏和人员受伤，但其程度未构成维修事故征候的事件。第第2 2章章 人为因素基本理论及模型人为因素基本理论及模型2. 2. 维修差错的表现维修差错的表现 航空维修工作中的差错表现
14、为两种形式：1）维修工作中出现差错航空器在维修工作开始之前并不存在问题，是由于维修才导致差错；航空维修人员在工作中出差错的可能性是极高的。 James Reason指出，在维修工作中，拆除零件通常只有一种方法，而重新安装则可能会出现很多种可能的方法，不正确的安装很容易发生。举例：如图2-5所示，一个螺栓上有8个螺母（8个螺母的安装顺序固定）。从螺栓上拆除螺母的方法只有一种，但是，重新安装的方法，除了发生遗漏错误的情况以外，还有大约40 000种。2）维修中未检查出航空器已经存在的问题航空器某种不期望的或者不安全的状况未被检查到而继续存在，而进行维修工作正是为了探查航空器的这些问题，也就是说，这
15、些问题被忽视了。例如，在目视检查工作中没有注意到的结构裂纹；由于误诊拆除了好的电子设备而将有故障的电子设备遗留在了航空器上。第第2 2章章 人为因素基本理论及模型人为因素基本理论及模型3. 维修中人为差错的类型1 1）在定期维修工作和低频率维修工作中的差错）在定期维修工作和低频率维修工作中的差错 大量的维修工作是例行的，例如飞机定期或者周期性的检查。这样的话，工程时会频繁采用某套程序，当在繁忙的机库或者航线环境中执行程序时失误和遗忘就可能发生。 当从事频率较低的工作时，会存在判断错误的可能性。如果维修人员不熟悉如何完成任务或者没有认真地准备完成的任务，他可能会错误地选择不正确的程序或者零件。2
16、 2）归因于个人经验和习惯的差错）归因于个人经验和习惯的差错 过去成功的做法成了经验，当经验被不恰当使用的时候就可能发生问题； 维修人员可能会获得一些“不良规则”，使之在工作中养成了坏习惯。3 3）与目视检查有关的差错）与目视检查有关的差错 把一个好的部件错误地认为是有故障的； 有故障的部件没有被检查出来而被疏忽。第第2 2章章 人为因素基本理论及模型人为因素基本理论及模型4. 维修差错特征（1）必然性；（2）突变型；（3）可积性；（4）规律性；（5）可逆性5. 维修差错的类型 1）维护作风型；2）机能失常型；3）技术技能型 ；4）组织管理型 。6. 维修差错的管理 差错管理是寻求：（1）阻止
17、差错的发生；（2）消除或者减轻差错的负面影响 Reason提出的差错管理措施将个人或者团队犯错误的可能性降低到最小；减少特定任务的差错危害；发现、评估和消除工作区域内的差错致因因素；诊断导致差错因素的组织因素；加强差错探查；增加工作区域或者系统对差错的容忍度；使潜在的不安全状态被运行和管理系统的人员更多地看见；改进组织对人的不可靠性的抵御能力。第第2 2章章 人为因素基本理论及模型人为因素基本理论及模型 最有效的预防差错的可能途径之一是确保维修人员遵守程序。 总之，维修单位必须在实施各种预防、消除或者探查差错的措施与盈利之间保持平衡。 Reason：“没有触礁的船”第第2 2章章 人为因素基本
18、理论及模型人为因素基本理论及模型2.32.3 人为差错模型人为差错模型MEDAMEDA事件模型、事件模型、SHEL SHEL 模型、模型、REASONREASON模型模型2.3.1 MEDA2.3.1 MEDA事件模型事件模型l MEDAMEDA维修差错决断辅助工具（维修差错决断辅助工具（maintenance error decision aid, MEDAmaintenance error decision aid, MEDA），），是由波音公司和FAA、美联航、大陆航等联合开发的一种致力于调查致错因素的维修差错决断方法。1. 1. 诱因分析诱因分析 在MEDA最初研究阶段，研究人员认为诱
19、因（一个或多个）会导致员工出现差错，差错最终导致维修事故/征候（可统称为事件）发生。 在航空维修工作中，差错诱因涉及多个层面，具体包括：飞机设计/构造/零备件层面、初始批准的维修文件层面、公司维修文件层面、器材管理层面、设备工具层面、环境和设施层面、工作任务层面、知识和技能层面、个人因素层面、计划和监督层面、信息沟通层面和组织机构层面。第第2 2章章 人为因素基本理论及模型人为因素基本理论及模型2.2. 差错模型差错模型 当诱因出现时，差错不是必然发生的，但发生差错的概率会提高，而差错发生后，也不一定会导致事件发生。 事故调查显示，由单一诱因引起差错和事件的情况并不多见，一般是多个诱因共同作用
20、，导致差错概率增加，并最终导致事件发生概率增加。3.3. 违规模性违规模性 数据统计表明，有60%80%的事件实在差错和违规的共同作用下导致的，只有20%40%的事件是由纯差错导致发生。 违规导致差错和事件的模型如下页图示。第第2 2章章 人为因素基本理论及模型人为因素基本理论及模型第第2 2章章 人为因素基本理论及模型人为因素基本理论及模型4.4. 综合模性综合模性 综上，得出MEDA事件模型如图所示。 多个诱因的出现，会导致维修人员在工作中出现差错几率增加并诱使员工违规。 大量研究表明，大部分诱因是可以通过维修单位的程序加以控制的。 控制较低层次的诱因，可以防止严重的事故出现。第第2 2章
21、章 人为因素基本理论及模型人为因素基本理论及模型2.3.2 SHEL2.3.2 SHEL模型模型软件软件硬件硬件环境环境生命件生命件/ /人人HELLSl 霍金斯霍金斯SHELSHEL模型：模型：差错容易产生在以人为中心的与硬件、软件、环境及其它人之间的接点上。1. SHEL1. SHEL模型要素模型要素 S软件（S Software），即维修程序，维修手册，检查单等。 H硬件（H Hardware），即工具,测试设备,飞机结构,驾驶舱设计,操纵系统和仪表的配置和使用特性等。 E环境（E Environment），例如：机库条件和航线条件等环境以及工作方式，管理机构等。 L生命件/人（L Li
22、feware），有两个位置，居于核心的人是直接从事维修工作的人员。位于外边的人是指与该维修人员相关的其他人员，例如团队的其他维修人员、主管、计划员、经理等。第第2 2章章 人为因素基本理论及模型人为因素基本理论及模型2. SHEL2. SHEL模型差错来源模型差错来源 在SHEL模式中，方块界面的匹配与不匹配，如同方块图形本身的特征一样重要。 有一处不匹配就意味一个人为差错源。 人是这个模式的中心，被认为是系统中最重要的，同时其适应能力也是最重要的组成部分。 这个方块边缘是锯齿状的，如要避免系统的内应力，甚至是分裂，系统的其他部分必须小心与之匹配。 应了解此中心的特点，诸如人体尺寸和外形、人体
23、需求、输入特点，信息处理，输出特点和环境忍耐性。3. SHEL3. SHEL模型关注点：模型关注点： 人软件冲突: 曲解程序，编写得不实用的手册，设计不合理的检查单，未经测试或难于使用的计算机软件。 人硬件冲突: 没有足够的工具,不适当的设备，飞机维修性设计很差。 人环境冲突: 不舒适的工作场地,不适当的机库空间，过高的温度,过大的噪音，照明差。 人人冲突: 和其他人的关系，人力短缺，缺少监督，缺少来自管理人员的支持。第第2 2章章 人为因素基本理论及模型人为因素基本理论及模型2.3.3 2.3.3 蝴蝶结（蝴蝶结（bow-tie, BTbow-tie, BT）模型）模型l BT模型是表述一个
24、事故场景最好的图形化方法之一，因为他可以从事故的原因开始描述，直到事故后果。l 当对一个关键事件进行分析时，BT左侧是一个事故树，分析引起关键事件的可能原因事件；而其右侧是一个事件树，分析该事件安全功能成功或失败可能造成的后果。第第2 2章章 人为因素基本理论及模型人为因素基本理论及模型l BT模型特点：（1）有助于理解哪些基本事件可能导致事故树中顶层事件的发生；（2）有助于理解哪些安全功能故障可使顶层事件发展成为事件树中的特定后果。l BT模型涉及的是按逻辑顺序询问一组结构化的问题。l 完整的BT模型可以用图示说明危险（源）、顶层事件、风险事件及其潜在结果以及为尽量减小风险而建立的风险控制机
25、构。l 在BT模型中，含有防止顶层风险事件发生的保护性或前瞻性屏障在顶层事件的左边；同时，纠正或体现控制机构在顶层事件的右边，这些机构用于防止顶层事件产生不必要的结果或减轻该结果的严重影响程度。第第2 2章章 人为因素基本理论及模型人为因素基本理论及模型l 危险源识别是对故障条件或导致顶层不安全事件发生的征兆进行认定的行为并能按照潜在的安全结果及其影响界定这些顶层不安全事件的性质，相关定义如下：（1）危险源：具有伤及员工、损坏设备或结构、导致原料损耗，或降低执行规定功能能力的状态、对象、活动或事件。（2）风险事件：单独或与其他风险事件共同导致不良事件发生的故障情况、主要原因、征兆或先导事件。（
26、3）后果：由于结果导致的伤害员工、损坏设备或结构、损耗原料或降低执行规定功能能力的程度，后果具有一定的级别。（4）风险：包括危险导致的所有潜在影响的频率和严重程度。（5）风险控制：为降低与危险相关的风险而设置的系统、活动、行动或程序，风险减轻的内容包括：危险的排除（首选）、危险频率的减少（屏障）、危险结果产生可能性的减小、危险结果严重性的降低。第第2 2章章 人为因素基本理论及模型人为因素基本理论及模型2.3.4 REASON2.3.4 REASON模型模型1. 1. 航空系统组织层面航空系统组织层面 1991年，英国的曼彻斯特大学的James Reason博士通过对世界上发生的重大事故调查分
27、析后，提出了航空事故理论模型即Reason模型。 航空生产是有组织的系统活动，这些组织活动可以被划分为不同的层面。从系统的高度来看，各个层面的组织活动与事故的最终发生都有关系，在每个层面上都存在漏洞，不安全因素就像一个不间断的光源，刚好能透过所有这些漏洞时，事故就会发生。 这些层面叠在一起，如同有孔的奶酪叠放在一起，因此Reason模型也被称为瑞士奶酪模型。第第2 2章章 人为因素基本理论及模型人为因素基本理论及模型2.2. 航空事故发生的机理航空事故发生的机理1）现行失效 与事故在时间、空间或逻辑间隔上较近的活动对事故发生的影响是直接的、显性的，这些层面上的漏洞被称为现行失效。 现行失效通常
28、由一线人员所为。 现行失效在事故发生后很容易被确定，并可以马上采取有针对性的补救措施或给予惩罚警告。2）潜在失效 REASON模型的重要价值在于：它揭示了事故的发生不仅与和事故直接相关的生产活动（现行失效）有关，还与离事故较远的其他层面的活动和人员有关，这些层面的缺陷或漏洞被称为潜在失效。 潜在失效多为管理决策缺陷，这些缺陷或漏洞在过去已经存在，一直处于潜伏状态。 系统中各个层面上不可避免地都会存在漏洞，而且这些漏洞并不是一成不变的，某些漏洞可能会闭合，在某些层面新的位置可能会出现新的漏洞。在特定的情况下，当这些漏洞恰好串成一条线的时候，事故才会发生。 从统计的角度来讲，各个层面上的漏洞越多，
29、不安全因素光线被某个层面阻挡而不发生事故的概率就越低，不安全因素光线穿过整个系统各个层面的而发生事故的概率就越高。第第2 2章章 人为因素基本理论及模型人为因素基本理论及模型3. 3. 降低事故概率途径降低事故概率途径 由Reason模型启示，要最大限度地降低事故发生的概率，主要的途径有两种：减少每个层面上的缺陷或漏洞；增加防御层面。4.4. REASON REASON模型应用模型应用 国际民航组织（ICAO）将REASON模型纳入安全管理手册。 ICAO将航空系统划分组织、工作场所、工作员工和防御四个层面，并指出防御包括规章、培训和技术三个层面。 与REASON原模型的区别是，ICAO模型认
30、为组织中存在的管理决策和组织程序的漏洞（或不足）是事故发生的源头，这些隐患（或不足）可通过两条途径导致事故发生，因此将其称为组织事故性模型。第第2 2章章 人为因素基本理论及模型人为因素基本理论及模型 组织程序是组织直接控制的活动，典型的组织程序包括政策的制定、计划、沟通、资源配置、监督等等，其中与安全最直接相关的两个组织程序是资源配置和沟通。 因此，从组织角度来说，减少事故首先应从监控组织程序中的漏洞入手，识别系统中的隐患条件，加强现有防御系统或发展新的防御系统；同时努力改善工作条件以遏制现行失效（如图所示）。隐患条件之路途径1：隐患条件。隐患条件可能会打破系统防御。从组织程序到工作场所条件途径2：工作场所条件。工作场所条件出现问题，可使工作人员在生产中出现差错或违规，即现行失效。 当组织程序中存在漏洞（或不足）时，可以通过以下两条途径对下游产生影响：第第2 2章章 结束结束第第2 2章章 人为因素基本理论及模型人为因素基本理论及模型
