（八） 事故致因辩证法
1 事故致因系统观
1.1 系统安全理论的提出
20世纪50年代以来，科学技术进步的一个显著特征是设备、工艺及产品越来越复杂。战略武器研制、宇宙开发及核电站建设等使得作为现代科学技术标志的大规模复杂系统相继问世，这些复杂的系统往往由非常复杂的关系相连接，人们在研制、开发、使用及维护这些大规模复杂系统的过程中，逐渐萌发了系统安全的基本思想。于是，美国在20世纪50年代到60年代研制洲际导弹的过程中，系统安全理论应运而生。
导弹的推进剂是由气体加压到420 kg/cm2,温度低达-196℃的低温液体，这种推进剂的化学性质非常活泼且有剧毒，其毒性远远超过第二次世界大战中使用的毒气的毒性，其爆炸性比烈性炸药更强烈，并且比工业中使用的腐蚀性化学物质更有腐蚀性。当时负责该项目的美国空军的官员们并没有认识到他们着手建造的导弹系统潜伏着巨大的危险性。在洲际导弹试验开始的头一年半里就发生了四次爆炸，造成了惨重的损失。在此以前，美国空军曾发生过大量的飞行事故，空军官员们一般都把飞机失事归咎于飞行员们的操作失误。由于导弹上没有飞行员，现在不能再把造成导弹爆炸的责任推到驾驶员身上，这些事故纯粹是由于物的故障造成的，很明显，爆炸的原因应归咎到导弹投人试验、发射构思、设计、制造及维护等方面的问题。于是，美国开始了系统安全理论的研究。
起初，没有可以用来解决这些复杂系统安全性的方法。为此，人们做了许多工作，研究开发防止系统事故的新概念和新方法，在保留工业安全原有的概念和方法中正确成分的前提下，并且吸收其他领域科学技术和管理方法，形成了系统安全理论。
所谓系统安全（System Safety），是在系统寿命周期内应用系统安全管理及系统安全工程原理，识别危险源并使其危险性减至最小，从而使系统在规定的性能、时间和成本范围内达到最佳的安全程度。系统安全的基本原则是在一个新系统的构思阶段就必须考虑其安全性的问题：制定并开始执行安全工作规划——系统安全活动，并且把系统安全活动贯穿于系统寿命周期直到系统报废为止。
1.2 系统安全理论的主要观点
系统安全理论包括很多区别于传统安全理论的创新概念：
(1) 在事故归因理论方面，改变了人们只注重操作人员的不安全行为而忽略硬件的故障在事故归因中作用的传统观念，开始考虑如何通过改善物的系统的可靠性来提高复杂系统的安全性,从而避免事故。
(2）没有任何一种事物是绝对安全的，任何事物中都潜伏着危险因素。通常所说的安全或危险只不过是一种主观的判断。能够造成事故的潜在危险因素称作危险源，来自某种危险源的造成人员伤害或物质损失的可能性叫做危险。危险源是一些可能出问题的事物或环境因素，而危险表征潜在的危险源造成伤害或损失的机会，可以用概率来衡量。
(3) 不可能根除一切危险源和危害，但可以减少来自现有危险源的危险性，宁可减少总的危险性而不是只彻底去消除几种选定的危险。
(4) 由于人的认识能力有限，有时不能完全认识危险源和危险，即使认识了现有的危险源，随着生产技术的发展，新技术、新工艺、新材料和新能源的出现，又会产生新的危险源。由于受技术、资金、劳动力等因素的限制，对于认识了的危险源也不可能完全根除。由于不能全部根除危险源，只能把危险降低到可接受的程度，即可接受的危险。安全工作的目标就是控制危险源，努力把事故发生概率减到最低，即使万一发生事故时，把伤害和损失控制在较轻的程度上。
1.3 系统安全中的人失误
作为系统安全应用对象的导弹系统、武器系统是一些由机械、电子零部件组成的硬件系统，当把系统安全推广到核电站等包括人在内的系统时，就又遇到了人的因素问题。人作为一种系统元素，发挥功能时会发生失误。与以往工业安全的术语“人的不安全行为”不同，系统安全中采用术语“人失误”。
里格比（Rigby）认为，人失误是人的行为的结果超出了系统的某种可接受的限度。换言之，人失误是指人在生产操作过程中实际实现的功能与被要求的功能之间的偏差，其结果是可能以某种形式给系统带来不良影响。
人失误产生的原因包括两方面：一是由于工作条件设计不当，即可接受的限度不合理引起人失误；二是由于人员的不恰当行为造成人失误。除了生产操作过程中的人失误之外，还要考虑设计失误、制造失误、维修失误以及运输保管失误等，因而较以往工业安全中的“不安全行为”，人失误对人的因素涉及的内容更广泛、更深入。
20世纪70年代末的美国三里岛核电站事故曾引起一阵恐慌，特别是印度的博帕尔农药厂的毒气泄漏事故和前苏联的切尔诺贝利核电站事故等一些巨大的复杂系统的意外事故给人类带来了惨重的灾难。对这些事故的调查表明，人失误、特别是管理失误是造成事故的罪魁祸首。因而，当今世界范围内系统安全理论研究的一个重大课题，就是关于人失误的研究。
1.4 系统安全理论的推广应用
由美国空军提出的系统安全理论在空军应用之后，又推广到美国陆军和海军。1969年，美国陆军颁发了MIL-STD-882标准，详细规定了武器系统研究、开发、生产制造及使用维护的系统安全标准。此后，系统安全进人航天、航空及核电站等领域。拉氏姆逊 (J，Rasmussen) 等人在没有核电站事故先例的情况下，应用概率危险评价（Probabilistic Risk Assessment)技术对核电站作了定量的安全性评价，1975年美国原子能委员会发表了WASH一1400报告，轰动世界。
系统安全注重整个系统寿命期间的事故预防，尤其强调在新系统的开发、设计阶段采取措施消除、控制危险源。对于正在运行的系统，如工业生产系统，管理方面的疏忽和失误是事故的主要原因。约翰逊（W. G. Johnson）等人很早就注意了这个问题，创立了系统安全管理的理论和方法体系MORT（ManagementOversight and Risk Tree，管理疏忽与危险树），他把能量意外释放论、变化的观点、人失误理论等引入其中，又包括了工业事故预防中许多行之有效的管理方法，如事故判定技术、标准化作业、职业安全分析(Job Safety Analysis)以及人的因素分析等包括进了管理疏忽与危险树理论中，同时又提出了许多新的安全概念。他的基本思想和方法对现代工业安全管理产生了深刻的影响。
系统安全认为可能意外释放的能量是事故发生的根本原因，而对能量控制的失效是事故发生的直接原因。这涉及能量控制措施的可靠性问题。在系统安全研究中，不可靠被认为是不安全的原因；可靠性工程是系统安全工程的基础之一。研究可靠性时，涉及物的因素时，使用故障（Failure,Fault）这一术语；涉及人的因素时，使用人失误（Human Error）这一术语。这些术语的含义较以往的人的不安全行为、物的不安全状态深刻得多。一般地，一起事故的发生是许多人失误和物的故障相互复杂关联、共同作用的结果，即许多事故因素复杂作用的结果。因此．在预防事故时必须在弄清事故因素相互关系的基础上采取恰当的措施，而不是相互孤立地控制各个因素。
2. 事故致因变化发展观
世界是不断运动、变化着的，工业生产过程的诸因素也在不停地变化着。针对客观世界的变化，我们的事故预防工作也要随之改进，以适应变化了的情况。如果管理者不能或没有及时地适应变化，则将发生管理失误；操作者不能或没有及时地适应变化，则将发生操作失误；外界条件的变化也会导致机械、设备等故障，进而导致事故。
尽管人们对事故致因的认识不同，尽管在生产技术发展的不同阶段出现了不同的事故致因理论，但都认为事故是在一系列变化中发生发展的，各种变化对事故具有重要作用。在单一因素归因理论中，强调了事故因果间的连锁变化；在人物合一的事故归因理论中，强调了各种能量间的相互转化；系统归因理论（危险源理论）与现代工业生产状况适应，强调了两类危险源的相互作用和演化，比较系统的说明了事故的根源。但它重在解释事故发生的原因，而变化观不仅强调事故的多因素性，而且强调各种因素相互作用的变化过程，全面解释事故发生发展的过程。把两种观点结合就能够比较全面的认识事故规律。
2.1 变化——失误分析
约翰逊发展了吉布森等人提倡的能量意外释放论，把变化的观点引进到安全管理中，任何事物都在变化之中，管理者应及时发现已经发生的变化并采取相应的措施以适应这些变化。如果不能及时地适应这些变化，则将发生管理失误。企业中各层次的人员都有可能因不能适应变化而失误。
约翰逊（Johnson）很早就注意到了变化在事故发生、发展中的作用。他把事故定义为一起不希望的或意外的能量释放，其发生是由于管理者的计划错误或操作者的行为失误，没有适应生产过程中物的因素的变化，从而导致不安全行为或不安全状态，破坏了对能量的屏蔽或控制，在生产过程中造成损伤。陈宝智教授具体地列举了可作为事故潜在因素的9种变化（包括：企业外的变化和企业内的变化、宏观的变化和微观的变化、计划内的变化和计划外的变化、实际的变化和潜在的或可能的变化、时间的变化、技术的变化、人员的变化、劳动组织的变化、操作规程的变化等），认为事故发生往往是多种原因造成的，包含着一系列的变化一失误连锁。
在系统安全研究中，人们注重作为事故致因的人失误和物的故障。按照变化的观点，人失误和物的故障的发生都与变化有关。例如，新设备经过长时间的运转，即时间的变化，逐渐磨损、老化而发生故障；正常运转的设备由于运转条件突然变化而发生故障等。
在安全管理工作中，变化被看作是一种潜在的事故致因，应该被尽早地发现并采取相应的措施。作为安全管理人员，应该注意下述的一些变化：
(1) 企业外的变化及企业内的变化。企业外的社会环境，特别是国家政治、经济方针、政策的变化，对企业内部的经营管理及人员思想有巨大影响。例如，纵观新中国建立以后工业伤害发生状况可以发现，在社会重大变革时期，企业内部秩序被打乱了，伤害事故大幅度上升。针对企业外部的变化，企业必须采取恰当的措施适应这些变化。
(2) 宏观的变化和微观的变化。宏观的变化是指企业总体上的变化，如领导人的更换、新职工录用、人员调整、生产状况的变化等。微观的变化是指一些具体事物的变化。通过微观的变化安全管理人员应发现其背后隐藏的问题，及时采取恰当的对策。
(3) 计划内与计划外的变化。对于有计划进行的变化，应事先进行危害分析并采取安全措施；对于没有计划到的变化，首先是发现变化，然后根据发现的变化采取改善措施。
(4)实际的变化和潜在的或可能的变化。通过观测和检查可以发现实际存在的变化；发现潜在的或可能出现的变化则要经过分析研究。
(5) 时间的变化。随时间的流逝，性能低下或劣化，并与其他方面的变化相互作用。
(6) 技术上的变化。采用新工艺、新技术或开始新的工程项目，人们不熟悉而发生失误。
(7) 人员的变化。人员的各方面变化影响人的工作能力，引起操作失误及不安全行为。
(8) 劳动组织的变化。劳动组织方面的变化，交接班不好造成工作的不衔接，进而导致人失误和不安全行为。
(9) 操作规程的变化。
应该注意，并非所有的变化都是有害的，关键在于人们是否能够适应客观情况的变化。另外，在事故预防工作中也经常利用变化来防止发生人失误。例如，按规定用不同颜色的管路输送不同的气体；把操作手柄、按钮做成不同形状防止混淆等。
应用变化的观点进行事故分析时，可采用下列参数作为发现变化的衡量指标：
（1）对象物、防护装置，能量等；
（2）人员：
（3）任务、目标、程序等；
（4）工作条件，环境，时间安排等；
（5）管理工作，监督检查等。
约翰逊认为，事故的发生往往是多重原因造成的，包含着一系列的变化一失误连锁。例如，企业领导者的失误、计划人员失误、监督者的失误及操作者的失误等。
2.2 P理论（扰动理论）
本尼尔(Benner)认为，事故过程包含着一组相继发生的事件。在这些事件中，可能由于行为者不能适应的“系统外界影响的变化”（扰动），使系统动态平衡过程受到破坏，而造成事故。即把事故看成由相继事件过程中的扰动开始，以伤害或损坏为结束的过程。本尼尔的这种对事故的解释被称为P理论。
所谓事件是指生产活动中某种发生了的事物，一次瞬间的或重大的情况变化，一次已经避免了或已经导致了另一事件发生的偶然事件。因而，可以把生产活动看作是一组自觉地或不自觉地指向某种预期的或不测的结果的相继出现的事件，它包含生产系统元素间的相互作用和变化着的外界的影响。这些相继事件组成的生产活动是在一种自动调节的动态平衡中进行的，在事件的稳定运动中向预期的结果方向发展。
事件的发生一定是某人或某物引起的，如果把引起事件的人或物称为“行为者”，则可以用行为者和行为者的行为来描述一个事件。在生产活动中，如果行为者的行为得当，则可以维持事件过程稳定地进行；否则，可能中断生产，甚至造成伤害事故。
生产系统的外界影响是经常变化的，可能偏离正常的或预期的情况。这里称外界影响的变化为扰动（Perturbation），扰动将作用于行为者。当行为者能够适应不超过其承受能力的扰动时，生产活动可以维持动态平衡而不发生事故。如果其中的一个行为者不能适应这种扰动，则自动动态平衡过程被破坏，开始一个新的事件过程，即事故过程。该事件过程可能使某一行为者承受不了过量的能量而发生伤害或损坏；这些伤害或损坏事件可能依次引起其他变化或能量释放，作用于下一个行为者，使下一个行为者承受过量的能量，发生串联的伤害或损坏。当然，如果行为者能够承受冲击而不发生伤害或损坏，则依据行为者的条件、事件的自然法则，过程将继续进行。
2.3 作用——变化与作用连锁
日本的佐藤吉信从系统安全的观点出发，提出了一种称作作用——变化与作用连锁模型（Action-Change and Action Chain Mod-el）的新的事故致因理论。该理论认为，系统元素在其他元素或环境因素的作用下发生变化，这种变化主要表现为元素的功能发生变化——性能降低。作为系统元素的人或物的变化可能是人失误或物的故障。该元素的变化又以某种形态作用于相邻元素，引起相邻元素的变化。于是，在系统元素之间产生一种作用连锁。系统中作用连锁可能造成系统中人失误和物的故障的传播，最终导致系统故障或事故。该模型简称为A—C模型。佐藤吉信在提出变化连锁模型的同时，还开发了一套完整表达事故过程的方法，阐述了解离和控制事故连锁的规则。
根据A—C模型，预防事故可以从以下四个方面采取措施；
（1）排除作用源。把可能对人或物产生不良作用的因素从系统中除去或隔离开来，或者使其能量状态或化学性质不会成为作用源。
（2）抑制变化。维持元素的功能，使其不发生向危险方面的变化。具体措施有采用冗余设计、质量管理、采用高可靠性元素、通过维修保养来保持可靠性、通过教育训练防止人失误、采用耐失误技术等。
（3）防止系统进入危险状态。发现、预测系统中的异常或故障，采取措施中断作用连锁。
（4）使系统脱离危险状态。通过应急措施控制系统状态返回到正常状态，防止伤害、损坏或污染发生。
2.4事故归因混沌观
随着科学技术的飞速发展，现代化生产的一个显著特征是设备、工艺和产品越来越复杂。战略武器的研制、宇宙开发和核电站建设等使得作为现代先进科学技术标志的复杂巨系统相继问世。这些复杂巨系统往往由数以万计的元件、部件组成，各元件、部件之间以非常复杂的关系相连接，是一个开放的非线性系统。各影响因素之间存在着相互交错、非线性的作用关系。人是生产系统中一个重要的构成要素，人的意识在系统运行过程中起着非常重要的作用。系统的非线性作用使系统整体状态行为的多样性与动态复杂性。如何预见系统的未来状态，如何进行合理的事故归因并采取有效的安全措施达到预期的安全目标，是安全管理研究面临的重大课题。
复杂巨系统的演化由各种因素共同决定，各影响因素之间有着非常复杂的非线性关系，作者认为事故的发生过程是一个混沌过程，一个非线性的混沌系统，其未来行为具有对系统初始条件的敏感依赖性，初始条件的细微变化将会导致截然不同的未来行为，因而，系统本质上是不可长期精确预测的。从安全管理角度，当处在系统演化的临界状态附近，系统条件的微小变化都可能引起大量的能量意外释放，导致灾难性的事故。“蝼蚁之穴”可毁千里长堤。一起事故的发生是许多人失误和物的故障相互复杂关联、非线性相互作用的结果。因此，在预防事故时必须在弄清事故因素相互关系的基础上采取恰当的措施，而不是相互孤立地控制各个因素。
（十）心理动力理论
心理动力理论是由弗格伊德为解释精神病成因的个性动力理论引申而来。弗洛伊德认为，精神病不是生理疾病，而是因为一些动力因素，如情绪混乱，有意识与无意识的记亿及内躯力与欲望的冲突所致。而且环境和家庭的压力是造成心理失调乃至精神病的关键。加缺乏父母慈爱，过严的惩罚与虐待，兄弟姐妹问的竞争．过高的要求及工作学习上的一些挫折，都会影响和破坏身体和心理健康。
心理动力理论引用了此观点解释事故的成因。该理论认为，事故是一种无意识的希望或愿望的结果，这种希望或愿望通过事故象征性地得到满足。也就是说．肇事考是由于受到某种精神上的刺激或较大的心理压力才下意识地产生不安全行为而导致事故的。同时该理论还指出：通过更改人的愿望满足的方式或通过心理咨询分析完全消除那种破坏性的愿望，就可以避免事故的发生。
与海因里希模型等理论一样，心理动力理论也存在着只关注人的因素对事故的影响的片面性的问题，同时也无法提供手段去证实某个特定的动机与特定事故的必然联系。但该理论却对事故致因的研究和安全管理工作有着较大的贡献。因为其不仅明确指出无意识的动机是可以改变的．不是某个人本身固有的特性，而且指出了控制由人的心理因素而导致的事故的两类方法，即更改人的愿望满足的方式或进行心理分析。前者为当事人开辟了另一条安全地释放其心理压力的方式，避免了其在工作中的无意识释放而导致事故；后者则通过专业的心理咨询，找出心理刺激或压力之来源，使人消除心理所受刺激影响，以正常的心态从事学习和工作。
三.事故致因理论总结
事故致因理论虽还很不完善，还没有给出对于事故调查分析和预测预防方面的普遍和有效的方法。然而，通过对事故致因理论的深入研究，必将在安全管理工作中产生以下深远影响：①从本质上阐明事故发生的机理，奠定安全管理的理论基础，为安全管理实践指明正确的方向。②有助于指导事故的调查分析，帮助查明事故原因，预防同类事故的再次发生。③为系统安全分析、危险性评价和安全决策提供充分的信息和依据，增强针对性，减少盲目性。④有利于认定性的物理模型向定量的数学模型发展，为事故的定量分析和预测奠定基础，真正实现安全管理的科学化。⑤增加安全管理的理论知识，丰富安全教育的内容，提高安全教育的水平。
