人為失誤的瑞士奶酪模式

1、人為失誤的瑞士奶酪模式人為失誤的瑞士奶酪模式作者：James Reason(reasonpsy.man.ac.uk),心理學教授，曼徹斯特大學人為失誤的問題可以從兩個方面來看：人的方面和系統(tǒng)的方面。每個都有不同的失誤模式，每個模式又有不同的失誤管理方法和理念。理解這兩個方面的不同對于處理失誤以及預防錯誤發(fā)生的風險非常重要。概述人為失誤有兩個處理方法：人和系統(tǒng)。人的方法側重于個人的錯誤，責其沒有記性、注意力不集中或者士氣低落。系統(tǒng)的方法側重于個人所工作的條件，盡量創(chuàng)造一個個人不易范錯誤的環(huán)境。高度可靠的組織機構這種機構所發(fā)生的事故非常少意識到人的多變性是預防錯誤所需要控制的因素，所以努力控制這種

2、多樣性，不斷地對各種可能的失效提出預警。人的方法長久以來人的方法主要側重于不安全的行為錯誤和違法程序的執(zhí)行人：醫(yī)生、護士、麻醉師、藥劑師等。人們認為這些不安全的行為主要起因于異常的心理過程，比如健忘、注意力不集中、缺乏動力、粗心、忽視和魯莽。很自然地，相應的防治措施就是減少人的行為的不確定性。這些方法包括"貼圖運動"(poster campaigns)以引起人們的恐懼感，制定額外的程序(或者在現(xiàn)有的基礎上增加)，紀律措施，法律威脅，再培訓，點名，批評和羞辱。執(zhí)行這種措施的人認為人的錯誤來源于心智問題，假定不好的東西總是發(fā)生在不好的人身上。系統(tǒng)的方法這個系統(tǒng)的基本理念就是人總

3、會犯錯誤，錯誤總會發(fā)生，即使在最好的組織中也是如此。錯誤被視為一個結果而不是原因。所以，防治措施建立在這樣的假設上：盡管我們不能夠改變人類自身的條件，但是我們可以改變人類所處于其中的條件。其中心理念就是系統(tǒng)防御。如果出現(xiàn)反常情況，最重要的事情不是責備相關人員，而是檢查為什么防御系統(tǒng)會失效，以及如何失效的。評價人的方法人的方法仍然是主要的方法。從某些方面上講，這無可厚非。與調查機構相比，責備人在情緒上更加容易得到滿足。人被視為能夠在安全和不安全的行為模式中做出選擇。如果某些事情錯了，很明顯，某些人應該對此負責。盡可能地將人的錯誤與結構的錯誤區(qū)分開來很明顯地符合管理人員的利益。法律上也更加便捷，至

4、少在英國是這樣的。然而，人的方法存在嚴重的缺點，非常不適合醫(yī)療領域。實際上，持續(xù)地使用這種方法容易阻礙更加安全的醫(yī)療機構的發(fā)展。雖然有些不安全的行為在任何層面上都是極為惡劣的，但是絕大多數(shù)不安全的行為卻并非如此。在飛行器維護方面，大約有90%的質量確實都是不受責備的。有效風險管理取決于建立一個報告的文化傳統(tǒng)。如果沒有對錯誤、事故等的詳盡分析，我們就不能夠發(fā)現(xiàn)再次失誤的陷阱，也不知道再次跌到的"邊際"在哪里。這種報告文化的缺失導致了前蘇聯(lián)的切爾諾貝利核泄漏(Chernobyl disaster)的災難事故的發(fā)生。信任是建立報告制度的關鍵因素，為此，也需要存在一個公正的文化知道

5、哪些是該收責備的，哪些不是。創(chuàng)造一個公正的文化環(huán)境是創(chuàng)造安全的文化傳統(tǒng)的先決條件。系統(tǒng)性事故的"瑞士奶酪"模式防御、障礙和安全保護在系統(tǒng)方法中占有非常重要的位置。高度技術化的系統(tǒng)具有多重防御：有些是工程化的(警告系統(tǒng)，物理障礙物，自動停機等)，一些則是依賴于人(外科醫(yī)生，麻醉師，飛行員，控制室操作員等)，還有一些依賴于程序和管理控制。它們的功能是保護潛在的受害者和資產(chǎn)免收危害。大多數(shù)措施是有效的，但是也有一些常常無能為力。理想情況下，每一層防御都是靜態(tài)的。不過，現(xiàn)實情況是，它們更像是瑞士奶酪的不同切片，有許多孔洞不過與奶酪的孔洞有些不同的是，這些漏洞經(jīng)常開、關乎著改變位置。

6、如何一個切片上的孔洞不一定會造成壞的結果。通常，當這些孔洞在同一水平線上的時候，就會產(chǎn)生一些錯誤。如下圖：奶酪中的孔洞可能來源于兩個原因：主動失效(active failure)和潛伏狀況(latent condition)。幾乎所有的負面事故都涉及到這兩個因素。主動失效(Active failures)是人所做的不安全行為。這種行為有多種形式：滑動，失誤，摸索，錯誤，違反程序。主動失效對防御系統(tǒng)的影響是直接的，都是通常都是短暫的。例如，在前蘇聯(lián)的切爾諾貝利核事故中，工人錯違反工廠的程序把不間斷電源關閉，從而導致核反應堆芯的災難性爆炸。核電站的其他人員對這種近在身邊的潛在危險也沒有采取任何的行

7、動。潛伏狀況(Latent conditions)是系統(tǒng)內的不可見"病原體"，產(chǎn)生于設計師、程序員或者高層管理人員的決策。這些決策也許是錯誤的，雖然本不該如此。所有的這些戰(zhàn)略決策都有可能帶來"病原體"。潛伏狀況有兩種負面效應：它們在工作區(qū)可能會轉化成引發(fā)錯誤的因素(例如，時間壓力，人手不足，設備不夠，疲勞以及缺乏經(jīng)驗等)和在防御系統(tǒng)中產(chǎn)生永久的孔洞和薄弱之處(例如，不值得信賴的警告和指示，不切實際的工作程序，設計和結構缺陷等)。潛伏狀況可能會在系統(tǒng)中存在數(shù)年，直到與主動失效以及其他引發(fā)因素相結合造成事故。與主動失效其較壞的特定形式常常難以預料-不同的是，

8、潛伏狀況在負面事件發(fā)生之前是能夠被發(fā)現(xiàn)和補救的。理解了這一點就容易做出積極的管理，而不是消極的反應了。我們不能夠改變人的狀況，但是我們能夠改變人做工作的環(huán)境。做一個比喻：主動失效就像是蚊子。它們被趕走后還會來。最佳的補救方法是建立積極有效的防御或者排干滋養(yǎng)蚊蟲的沼澤地。這里，沼澤地就是潛伏狀況。失誤管理在過去的數(shù)十年中，人因工程學的研究人員一直在關注于開發(fā)一些管理不安全行為的工具。失誤管理有兩個部分：限制危險錯誤的發(fā)生概率，創(chuàng)建一個系統(tǒng)能夠更好地容忍錯誤的發(fā)生并容納其破壞性影響。致力于人的因素的研究人員把更多的管理資源放在減少人為失誤上面，而致力于系統(tǒng)性方法的人則傾向于采用更加綜合性的措施，針

9、對各種不同的目標：人，團隊，作業(yè)，工作環(huán)境以及機構組織。高度可靠性的一些悖論正如藥物對疾病的了解比對健康的了解多一樣，安全科學家對于產(chǎn)生負面事件的原因的了解多于如何最好地防止其發(fā)生。在過去的大約15年當中，一群主要來自于伯克利和密執(zhí)安大學的社會學家通過研究機構組織中的安全典范而不是那些不常發(fā)生的但是更加明顯的失效，糾正了這種不平衡。這些安全典范包括核動力飛行器、飛行器控制系統(tǒng)和核電站。雖然這些高度可靠的組織與醫(yī)療機構相去甚遠，但是它們的一些特性還是可供醫(yī)藥領域借鑒的。大多數(shù)傳統(tǒng)系統(tǒng)中的管理人員都把人的不可靠性歸咎于不期望的多樣性，并努力消除這種多樣性。另一方面，在高度可靠的組織中，普遍認為以相

10、互補償和對于變化事件的適應的形式表現(xiàn)出來的人的多樣性代表了系統(tǒng)的最重要的安全防范措施之一。可靠性是"動態(tài)的非事件"。說它是"動態(tài)的"是因為安全來自于及時的人員調整，說它是"非事件"是因為成功的結果很少引起它們自身的注意。高度可靠性的機構組織自身能夠重新配置以適應本地的環(huán)境。正常情況下，機構組織受控于常規(guī)的方式。但是在臨時或者緊急的情況下，控制要交給現(xiàn)場的專家了這一點與醫(yī)療領域比較相似。一旦危機解除，機構組織無間隙地轉換到常規(guī)控制模式。有意思的是(或者說與此相悖的是)，這種靈活性部分來自于軍隊傳統(tǒng)即使是民用高度可靠性組織中也有很大一部分

11、的退伍軍人。軍隊當中傾向于以一種毫不含糊的方式定義其目標，并且對于這些半自動化活動，其成功與否取決于所有參與者都非常清楚并分享這些目標。責備個人僅僅得到了情緒上的滿足的是卻于事無補。高度可靠性組織到目前為止，總共有三種類型的可靠性組織被調查研究過：美國海軍核能運輸機，核電站和飛行控制中心。這些組織所面臨的挑戰(zhàn)也是雙重的：管理復雜的技術以避免可能對組織造成傷害的主要失效；維持較高的能力已應付需求高峰時期，不論高峰何時發(fā)生。所研究的機構組織具有如下特性：復雜的，內部動態(tài)的，而且有間斷性的、高密度的深入互動；在相當大的時間壓力下完成精確的任務；以較低的事故率完成所要求的活動，并且在數(shù)年中都未曾發(fā)生過災難性的事故。結論高度可靠性的組織機構是系統(tǒng)性方法的主要案例。他們預期到最壞的情況并進行自身的裝備從而在組織的各個層面處理這種情況。讓個人長時間地保持不安狀態(tài)非常困難，甚至是不自然的，那