人為失誤的瑞士奶酪模式

1、人為失誤的瑞士奶酪模式人為失誤的瑞士奶酪模式作者：James Reason(reasonpsy.man.ac.uk),心理學(xué)教授，曼徹斯特大學(xué)人為失誤的問題可以從兩個(gè)方面來看：人的方面和系統(tǒng)的方面。每個(gè)都有不同的失誤模式，每個(gè)模式又有不同的失誤管理方法和理念。理解這兩個(gè)方面的不同對(duì)于處理失誤以及預(yù)防錯(cuò)誤發(fā)生的風(fēng)險(xiǎn)非常重要。概述人為失誤有兩個(gè)處理方法：人和系統(tǒng)。人的方法側(cè)重于個(gè)人的錯(cuò)誤，責(zé)其沒有記性、注意力不集中或者士氣低落。系統(tǒng)的方法側(cè)重于個(gè)人所工作的條件，盡量創(chuàng)造一個(gè)個(gè)人不易范錯(cuò)誤的環(huán)境。高度可靠的組織機(jī)構(gòu)這種機(jī)構(gòu)所發(fā)生的事故非常少意識(shí)到人的多變性是預(yù)防錯(cuò)誤所需要控制的因素，所以努力控制這種

2、多樣性，不斷地對(duì)各種可能的失效提出預(yù)警。人的方法長久以來人的方法主要側(cè)重于不安全的行為錯(cuò)誤和違法程序的執(zhí)行人：醫(yī)生、護(hù)士、麻醉師、藥劑師等。人們認(rèn)為這些不安全的行為主要起因于異常的心理過程，比如健忘、注意力不集中、缺乏動(dòng)力、粗心、忽視和魯莽。很自然地，相應(yīng)的防治措施就是減少人的行為的不確定性。這些方法包括"貼圖運(yùn)動(dòng)"(poster campaigns)以引起人們的恐懼感，制定額外的程序(或者在現(xiàn)有的基礎(chǔ)上增加)，紀(jì)律措施，法律威脅，再培訓(xùn)，點(diǎn)名，批評(píng)和羞辱。執(zhí)行這種措施的人認(rèn)為人的錯(cuò)誤來源于心智問題，假定不好的東西總是發(fā)生在不好的人身上。系統(tǒng)的方法這個(gè)系統(tǒng)的基本理念就是人總

3、會(huì)犯錯(cuò)誤，錯(cuò)誤總會(huì)發(fā)生，即使在最好的組織中也是如此。錯(cuò)誤被視為一個(gè)結(jié)果而不是原因。所以，防治措施建立在這樣的假設(shè)上：盡管我們不能夠改變?nèi)祟愖陨淼臈l件，但是我們可以改變?nèi)祟愃幱谄渲械臈l件。其中心理念就是系統(tǒng)防御。如果出現(xiàn)反常情況，最重要的事情不是責(zé)備相關(guān)人員，而是檢查為什么防御系統(tǒng)會(huì)失效，以及如何失效的。評(píng)價(jià)人的方法人的方法仍然是主要的方法。從某些方面上講，這無可厚非。與調(diào)查機(jī)構(gòu)相比，責(zé)備人在情緒上更加容易得到滿足。人被視為能夠在安全和不安全的行為模式中做出選擇。如果某些事情錯(cuò)了，很明顯，某些人應(yīng)該對(duì)此負(fù)責(zé)。盡可能地將人的錯(cuò)誤與結(jié)構(gòu)的錯(cuò)誤區(qū)分開來很明顯地符合管理人員的利益。法律上也更加便捷，至

4、少在英國是這樣的。然而，人的方法存在嚴(yán)重的缺點(diǎn)，非常不適合醫(yī)療領(lǐng)域。實(shí)際上，持續(xù)地使用這種方法容易阻礙更加安全的醫(yī)療機(jī)構(gòu)的發(fā)展。雖然有些不安全的行為在任何層面上都是極為惡劣的，但是絕大多數(shù)不安全的行為卻并非如此。在飛行器維護(hù)方面，大約有90%的質(zhì)量確實(shí)都是不受責(zé)備的。有效風(fēng)險(xiǎn)管理取決于建立一個(gè)報(bào)告的文化傳統(tǒng)。如果沒有對(duì)錯(cuò)誤、事故等的詳盡分析，我們就不能夠發(fā)現(xiàn)再次失誤的陷阱，也不知道再次跌到的"邊際"在哪里。這種報(bào)告文化的缺失導(dǎo)致了前蘇聯(lián)的切爾諾貝利核泄漏(Chernobyl disaster)的災(zāi)難事故的發(fā)生。信任是建立報(bào)告制度的關(guān)鍵因素，為此，也需要存在一個(gè)公正的文化知道

5、哪些是該收責(zé)備的，哪些不是。創(chuàng)造一個(gè)公正的文化環(huán)境是創(chuàng)造安全的文化傳統(tǒng)的先決條件。系統(tǒng)性事故的"瑞士奶酪"模式防御、障礙和安全保護(hù)在系統(tǒng)方法中占有非常重要的位置。高度技術(shù)化的系統(tǒng)具有多重防御：有些是工程化的(警告系統(tǒng)，物理障礙物，自動(dòng)停機(jī)等)，一些則是依賴于人(外科醫(yī)生，麻醉師，飛行員，控制室操作員等)，還有一些依賴于程序和管理控制。它們的功能是保護(hù)潛在的受害者和資產(chǎn)免收危害。大多數(shù)措施是有效的，但是也有一些常常無能為力。理想情況下，每一層防御都是靜態(tài)的。不過，現(xiàn)實(shí)情況是，它們更像是瑞士奶酪的不同切片，有許多孔洞不過與奶酪的孔洞有些不同的是，這些漏洞經(jīng)常開、關(guān)乎著改變位置。

6、如何一個(gè)切片上的孔洞不一定會(huì)造成壞的結(jié)果。通常，當(dāng)這些孔洞在同一水平線上的時(shí)候，就會(huì)產(chǎn)生一些錯(cuò)誤。如下圖：奶酪中的孔洞可能來源于兩個(gè)原因：主動(dòng)失效(active failure)和潛伏狀況(latent condition)。幾乎所有的負(fù)面事故都涉及到這兩個(gè)因素。主動(dòng)失效(Active failures)是人所做的不安全行為。這種行為有多種形式：滑動(dòng)，失誤，摸索，錯(cuò)誤，違反程序。主動(dòng)失效對(duì)防御系統(tǒng)的影響是直接的，都是通常都是短暫的。例如，在前蘇聯(lián)的切爾諾貝利核事故中，工人錯(cuò)違反工廠的程序把不間斷電源關(guān)閉，從而導(dǎo)致核反應(yīng)堆芯的災(zāi)難性爆炸。核電站的其他人員對(duì)這種近在身邊的潛在危險(xiǎn)也沒有采取任何的行

7、動(dòng)。潛伏狀況(Latent conditions)是系統(tǒng)內(nèi)的不可見"病原體"，產(chǎn)生于設(shè)計(jì)師、程序員或者高層管理人員的決策。這些決策也許是錯(cuò)誤的，雖然本不該如此。所有的這些戰(zhàn)略決策都有可能帶來"病原體"。潛伏狀況有兩種負(fù)面效應(yīng)：它們?cè)诠ぷ鲄^(qū)可能會(huì)轉(zhuǎn)化成引發(fā)錯(cuò)誤的因素(例如，時(shí)間壓力，人手不足，設(shè)備不夠，疲勞以及缺乏經(jīng)驗(yàn)等)和在防御系統(tǒng)中產(chǎn)生永久的孔洞和薄弱之處(例如，不值得信賴的警告和指示，不切實(shí)際的工作程序，設(shè)計(jì)和結(jié)構(gòu)缺陷等)。潛伏狀況可能會(huì)在系統(tǒng)中存在數(shù)年，直到與主動(dòng)失效以及其他引發(fā)因素相結(jié)合造成事故。與主動(dòng)失效其較壞的特定形式常常難以預(yù)料-不同的是，

8、潛伏狀況在負(fù)面事件發(fā)生之前是能夠被發(fā)現(xiàn)和補(bǔ)救的。理解了這一點(diǎn)就容易做出積極的管理，而不是消極的反應(yīng)了。我們不能夠改變?nèi)说臓顩r，但是我們能夠改變?nèi)俗龉ぷ鞯沫h(huán)境。做一個(gè)比喻：主動(dòng)失效就像是蚊子。它們被趕走后還會(huì)來。最佳的補(bǔ)救方法是建立積極有效的防御或者排干滋養(yǎng)蚊蟲的沼澤地。這里，沼澤地就是潛伏狀況。失誤管理在過去的數(shù)十年中，人因工程學(xué)的研究人員一直在關(guān)注于開發(fā)一些管理不安全行為的工具。失誤管理有兩個(gè)部分：限制危險(xiǎn)錯(cuò)誤的發(fā)生概率，創(chuàng)建一個(gè)系統(tǒng)能夠更好地容忍錯(cuò)誤的發(fā)生并容納其破壞性影響。致力于人的因素的研究人員把更多的管理資源放在減少人為失誤上面，而致力于系統(tǒng)性方法的人則傾向于采用更加綜合性的措施，針

9、對(duì)各種不同的目標(biāo)：人，團(tuán)隊(duì)，作業(yè)，工作環(huán)境以及機(jī)構(gòu)組織。高度可靠性的一些悖論正如藥物對(duì)疾病的了解比對(duì)健康的了解多一樣，安全科學(xué)家對(duì)于產(chǎn)生負(fù)面事件的原因的了解多于如何最好地防止其發(fā)生。在過去的大約15年當(dāng)中，一群主要來自于伯克利和密執(zhí)安大學(xué)的社會(huì)學(xué)家通過研究機(jī)構(gòu)組織中的安全典范而不是那些不常發(fā)生的但是更加明顯的失效，糾正了這種不平衡。這些安全典范包括核動(dòng)力飛行器、飛行器控制系統(tǒng)和核電站。雖然這些高度可靠的組織與醫(yī)療機(jī)構(gòu)相去甚遠(yuǎn)，但是它們的一些特性還是可供醫(yī)藥領(lǐng)域借鑒的。大多數(shù)傳統(tǒng)系統(tǒng)中的管理人員都把人的不可靠性歸咎于不期望的多樣性，并努力消除這種多樣性。另一方面，在高度可靠的組織中，普遍認(rèn)為以相

10、互補(bǔ)償和對(duì)于變化事件的適應(yīng)的形式表現(xiàn)出來的人的多樣性代表了系統(tǒng)的最重要的安全防范措施之一?？煽啃允?quot;動(dòng)態(tài)的非事件"。說它是"動(dòng)態(tài)的"是因?yàn)榘踩珌碜杂诩皶r(shí)的人員調(diào)整，說它是"非事件"是因?yàn)槌晒Φ慕Y(jié)果很少引起它們自身的注意。高度可靠性的機(jī)構(gòu)組織自身能夠重新配置以適應(yīng)本地的環(huán)境。正常情況下，機(jī)構(gòu)組織受控于常規(guī)的方式。但是在臨時(shí)或者緊急的情況下，控制要交給現(xiàn)場(chǎng)的專家了這一點(diǎn)與醫(yī)療領(lǐng)域比較相似。一旦危機(jī)解除，機(jī)構(gòu)組織無間隙地轉(zhuǎn)換到常規(guī)控制模式。有意思的是(或者說與此相悖的是)，這種靈活性部分來自于軍隊(duì)傳統(tǒng)即使是民用高度可靠性組織中也有很大一部分

11、的退伍軍人。軍隊(duì)當(dāng)中傾向于以一種毫不含糊的方式定義其目標(biāo)，并且對(duì)于這些半自動(dòng)化活動(dòng)，其成功與否取決于所有參與者都非常清楚并分享這些目標(biāo)。責(zé)備個(gè)人僅僅得到了情緒上的滿足的是卻于事無補(bǔ)。高度可靠性組織到目前為止，總共有三種類型的可靠性組織被調(diào)查研究過：美國海軍核能運(yùn)輸機(jī)，核電站和飛行控制中心。這些組織所面臨的挑戰(zhàn)也是雙重的：管理復(fù)雜的技術(shù)以避免可能對(duì)組織造成傷害的主要失效；維持較高的能力已應(yīng)付需求高峰時(shí)期，不論高峰何時(shí)發(fā)生。所研究的機(jī)構(gòu)組織具有如下特性：復(fù)雜的，內(nèi)部動(dòng)態(tài)的，而且有間斷性的、高密度的深入互動(dòng)；在相當(dāng)大的時(shí)間壓力下完成精確的任務(wù)；以較低的事故率完成所要求的活動(dòng)，并且在數(shù)年中都未曾發(fā)生過災(zāi)難性的事故。結(jié)論高度可靠性的組織機(jī)構(gòu)是系統(tǒng)性方法的主要案例。他們預(yù)期到最壞的情況并進(jìn)行自身的裝備從而在組織的各個(gè)層面處理這種情況。讓個(gè)人長時(shí)間地保持不安狀態(tài)非常困難，甚至是不自然的，那