基于Reason模型的海事调查模型

文/ 广东海事局 吴文正 杨 亮

一、背景

IMO最新公布的资料显示，船舶正承担着全球范围内越来越多的货物运输，且通过革新技术等更加安全，但确保海运安全依然是海事界需要持续探讨的话题。另一方面，对海上事故的调查已成为推动海事立法的一个重要动力，如《78/95海上安全人命公约》就是泰坦尼克号的沉没催生的。尽管海事调查与安全风险评估相比，方式和方法显得较为被动，代价也较沉重，然而其在推动安全效果方面更彰显其功能性，能起到消除根因的作用。因此，海事调查作为研究航运安全、安全评估、事故数据库建立和分析最重要的手段之一，已越来越为海事界重视并得到了广泛应用。

为了便于理解和研究事故是如何发生的，安全领域学者提出了一系列的事故因果模型来帮助人们解释事故发生的过程。Heinrich建立了第一个事故因果模型——多米诺（domino）事故模型，随后，学者们相继推出了越来越多的事故模型，其中最为著名的就是Reason模型[1]（也称奶酪（Swiss Cheese）模型）。本文选取此模型作为研究对象，结合海事实践，建立一个适用于海事调查的通用模型指导海事调查，并以英国海事调查局调查的一起工伤事故[2]为案例进行验证说明。

二、调查模型探讨

（一）选取Reason模型基于以下两个理由

1. Reason模型符合系统性考虑事故的要求

Hollnagel[3]等已经论证了系统性认知事故的必要性，且一直在研究如何系统性理解事故，以期待全面理解事故如何发展及其成因。诸如基于线性发展假设的根因模型早已不能满足现今社会的发展需求。众多证据表明，每件复杂事故的发展绝非多米诺骨牌那样呈线性，而是系统内外的多重因素综合相互作用。因此，在执行海事调查时，我们需要考虑诸多内外部因素及其相互间的作用关系等。

虽然Hollnagel将Reason模型单纯地划分为传染病类，而非系统类，但笔者认为Reason模型不但具有传染病模型的特征，也兼备系统模型的特征，这种观点也得到Reason先生本人的支持。Reason模型综合考虑了系统的各种因素，包含防御系统、不安全行为、不安全行为的前提条件、管理层和决策层等，并且将其漏洞视做每片奶酪上的空洞。每片奶酪上的空洞一旦能被直线击穿，整个系统就会引发事故，因此，事故调查人员可以很快地找到有问题奶酪片上的空洞，即系统需要提高和改进的地方，确保奶酪片不再被直线击穿。

2. Reason模型突出了组织或管理层在事故中的作用

强调组织因素调查的重要性是Reason模型的另一突出贡献。近年来，研究已表明组织因素在系统事故演变过程中所起的决定性作用。但是据Ghirxi[4]统计，目前73%的海事调查集中在 “坏苹果”[5]上或者技术原因上，极少重视组织因素。油船污染事故中的当事船船长或值班船员通常会成为主要谴责对象就是最好的例证，其中一个重要的原因就是在调查中没有完善的调查模型作为指导。Hollnagel认为事故调查结论往往是调查者所预想的结局，因此基于不同调查模型的两种海事调查完全可能得出截然相反的调查结论。Reason模型强调对于组织决策者和管理层的调查，强调了调查组织因素的重要性。

（二）修改后的Reason事故模型

Reason模型的推出，在提高人们对事故的认知能力的同时，也被批评不够完善。Reason认为此模型仅仅是千万模型中的一种，主要目的是帮助人们建立起事故是如何演变的概念，而不能直接应用于事故调查。因此，需要对Reason模型进行改进后才能应用于实践，如人因分析和分类系统（HFACS）[6]。也有人指出，Reason模型过于强调对人为差错的调查，而忽略了对外部环境的考虑，比如法制环境、海事管理等。实践证明，很多事故的发生与外部因素息息相关，这就需要对Reason模型进行修改，以适应海事实践。基于对HFACS和Reason模型原理的研究，作者提出模型的改进版——Reason-M模型（见图1）。

图1 Reason-M模型

相比原模型，新的模型改进了“防御系统”。Hollnagel认为系统的防御性也体现了系统保障安全的功能，任何一项安全保障功能的丧失都意味着这项防御系统的失效。模型可以帮助海事调查人员建立事故是如何发展的系统概念，这不仅在搜集证据阶段具有积极的指导意义，而且在事故分析阶段更加凸显其指导的作用。修改后的模型结构如下：

1. 社会环境因素

社会环境因素包括法制环境和系统外部环境。法制环境主要是指海事立法是否妥当、船旗国履约是否到位、港口国监控是否有效等。系统外部环境主要指自然环境、经济环境和政治环境等。很多海难就是因为船舶遇到了极端恶劣天气，远远超出其原有设计的航行条件而造成的。

2. 组织（公司）因素

组织因素包括三项内容，分别是公司层面的资源管理、组织（公司）文化和组织（公司）程序等。资源管理包括船舶所需的资源，如人力调配、技术支持和设备支持等。比如船舶配备了不适任的船员会直接导致事故的发生。公司文化是个比较抽象的概念，集中反映了公司集体对安全在生产中的优先性的认识。最明显的一个例子就是当发现缺陷时公司如何处理安全与生产的矛盾，一些公司往往会把解决航期问题作为首要矛盾来解决，从而引发事故。组织程序主要指公司所建立的与安全相关的操作计划和程序。ISM规则的实施要求公司建立相应的操作计划和程序，并且必须符合相关的法规及航运界的操作习惯和良好船艺。

3. 安全监督或工作环境因素

安全监督或工作环境因素主要是指船舶管理层（尤指船长、大副或轮机长）对各项船舶安全操作的管理或者监督是否到位，及船员所工作的内部环境是否有利于船员的安全操作，包括是否对其实施足够的监督管理，是否设计了不合理的操作，是否及时纠正已查出的缺陷和是否纠正船舶的违规。是否有足够的安全监督主要指船舶管理层对于船舶安全操作的管理。这一层面上，船长通常是船舶安全操作管理的总负责人。根据ISM规则的规定，公司必须标示船舶关键操作的程序和应急情况的应对方案。如果此类操作程序和应对方案未能符合相关规定，船长需要承担此程序和方案的责任。船舶是否及时纠正缺陷和容忍违规行为深受公司安全文化影响，如2005年6月份“WH18”号船事故[7]。

4. 不安全行为的前提条件

不安全行为的前提条件通常容易进入调查人员的视野，但因受条件和资源限制往往不了了之。此项工作的调查分析涵盖了人类工程学、心理学等大多数海事调查人员所不具备的学科。这层因素包括船员自身条件、内部工作环境和个人因素。船员自身条件主要是指船员的认知能力和心理状态，均涉及心理学范畴。内部工作环境是相对于外部工作环境而言的，主要指工作场所设计和航行设备的技术状态等影响船员作出专业判断的因素。个人因素通常指人际交往（包括与外界的通信）和个人的认知状态。有时候，船舶内部良好的人际交往能够舒缓船舶紧张的工作气氛，提高船舶的安全操作水平。此外，船员本身的认知水平凸显船员对于新鲜环境的熟知能力，如根据ISM规则6.3的规定，公司应设法让新任船员在开航前熟悉岗位适任要求，不同船员熟悉新环境的时间会因认知能力的不同而不同。

5. 不安全行为

Reason-M模型要求对系统进行全面的调查，不仅要调查发生不安全行为的个人，还要深入调查其潜在因素。不安全行为可以分为差错和违规。

差错作为人的本性之一，可以再细分为基于技能的差错、决定的差错和感知差错。在船舶日常操作中，很多操作源自于习惯做法或者长期实践，而这些长期形成的习惯往往会因为疏忽或过失产生基于技能的差错。基于决定的差错源于对问题本身的不完全了解、现有的程序或规则未有相应的内容备查等。在一些港口，强制引航就是为避免船员在靠离泊作业过程中因对港口情况不了解而发生基于决定的差错。感知差错相对前两种差错而言，发生几率比较小。这种差错可以理解为一种失误，一种因船员过早或延误对一种事物、威胁或场景处置而引起的差错。

违规可以继续划分为日常违规和异常违规。日常违规常见于日常生活中，且易于被船员甚至是船舶或公司管理层默认或忽视，因为这类违规只有在一定条件下才会引发事故，如海图小改正。异常违规常见于船员存在侥幸心理时，为追求效率而违反规定的行为。如1967年的“Torrey Canyon”污染案，船长为了赶航期抄近路而触礁，最终酿成大祸。

经修改后的Reason-M模型结合了海事调查的实践经验，囊括了日常海事调查所发现的各项要素。在确保海事调查资源的前提下，基于此模型的调查可以保证调查人员能够完成《海上交通安全法》赋予“查明原因”的职责，防止同类事故再次发生。

三、案例应用分析

案例简介：2009年1月29日，英国籍集装箱船“Ville de Mars”号大副在下压载水舱检查过程中摔至首尖舱舱底，因抢救无效而死亡。按照反向调查原则和Reason-M模型及公布的事故调查报告证据对该事故进行分析：

1. 不安全行为分析

由于大副已亡，且摔落时未有目击证人或监控录像，无法确定大副是如何摔落的，但有一点是肯定的，即大副在下舱前未按照公司操作规程的要求穿戴规定的安全设备，包括安全绳、安全帽等，属于此次事故中的不安全行为。倘若大副按规程操作，其防御系统也不足以失效。此类不安全行为属于一种日常的违规行为。

2. 不安全行为的前提条件

对于大副为何不穿戴安全设备，无法向大副本人求证，但根据调查所得到的证据可知，事故前，大副在同样的状态下已完成了15次类似的压载水舱的检查。15次的成功经历足以使大副过分相信这样的工作状态是安全的。过分自信是一种极度危险的心理状态，为本次事故埋下了定时炸弹。同样，船长和公司管理层也有类似的过分自信。大副向船长请示下舱作业时，后者只强调大副应多带一人到现场，而未强调需遵守安全操作规程，这充分说明船长对大副的安全下舱是过分自信的。

3. 安全监管或工作条件

大副在下舱前，船长未按照公司体系文件的要求签发相应工作许可，也就未有作业前的安全检查。首先，作为安全管理的手段，签发工作许可不光是书面授权某人做某事，更为重要的是将责任分散于不同的管理者，促使签发者加强安全管理，确保安全操作。其次，船长作为船舶的最高负责人，在大副请示下舱作业时，有责任监督此项工作的安全有序进行。况且，这类缺陷在2008年5月的公司安全体系审核中已被发现并记录在册且显示此缺陷已纠正，但从发现缺陷到事发这半年多的时间里，未有调查、分析和有效的改正措施等的记录，船舶管理层对缺陷和违规实施了默认或忽视。

4. 组织因素

在公司安全管理体系运行中，公司管理层未能按体系文件规定有效地督促船舶纠正内审中发现的不符合项目——未签发工作许可。船方在内审后迅速报告了已纠正不符合项，但公司未核实其纠正措施的有效性。可以推断出船方在内审后所签发的工作记录也许属于纸面工作，而不是按照体系文件要求作业前落实安全措施。此外，公司在船舶高空作业方面未有足够的重视，导致船长在高空作业管理中失职。

5. 社会环境因素

此次事故的调查也是核查相关法律法规的一次机会。通过核查，发现部分规章未标示进入封闭舱室中掉落舱底的风险，如在“高空作业”的规定中未包括进入封闭舱室作业和上下舱梯的程序。

此外，调查人员还调查了事故发生后的救助记录，按照此模型标示出救助中发现的问题，对未来同类事故的救助起到警示和教育作用。调查分析全过程见图2（图中实线表示已确认的关系途径，虚线表示可能的未有足够证据支持的关系途径）。

图2 “Ville de Mars”船大副工伤事故调查分析图

四、讨论

1. Reason-M模型基本涵盖了海事调查中发现的各要素

案例分析中，模型覆盖了从社会因素到不安全行为的各种不同条件，反过来说，这种覆盖也说明了海事案例中的所有要素是能够用新模型的分类方法进行分类的。如果将所有的海事案例按照此模型进行调查分析，根据其建立起来的事故数据库将具有明显的分类性。对于海事管理机构来说，可以有针对性地提高海事安全管理效能，突出重点以解决事故调查中发现的突出问题。

从另一方面看，Reason-M模型相比原模型在实践中更具有适用性。原有的模型出发点是重点解决基于80%的事故是因人为差错引起的假设，因此不适用于诸如天灾类事故等，而新模型在适当改变了结构和增加了必要的要素后提升了适用性和应用前景。这种应用性可见于ESTONIA案例[8]。

2. 安全管理建议更加具有针对性

安全管理的针对性主要体现在两方面：一是对于海事部门来说，应用模型的事故调查中搜集事故数据变得更有条理性，调查后提出的安全管理建议更加具有针对性和实用性；二是对于公司来说，事故调查使得公司安全管理的薄弱环节充分暴露。熟悉掌握事故模型可以帮助事故调查人员系统地理解事故，综合考虑各项事故要素，以便在事故数据搜集过程中系统地排查事故数据的必要性、有效性和可靠性。以上案例说明，对于公司组织因素的调查，其重要性不亚于一次ISM体系的外审。相比较于ISM体系审核侧重文件审查而言，应用事故模型的事故调查更加侧重于体系在实际运行过程的检验。新调查模型不再只盯着现场的海员，而是还原了系统在事故演变中涉及的因素，着重强调了管理层的作用。这种调查如果形成潮流，势必推动公司管理层主动加强安全投入。从事故分析图2可以看出，不同层面或者同一层面的不同条件之间的作用关系的复杂程度伴随层级的增加而增加。也就是说，越是靠近管理层的层级，其在安全管理中发挥的作用越大。因此，组织因素在模型结构所有要素中处于最高的层级，其对船舶安全的影响也就最明显，因此，在以后的海事调查中，我们切不可忽视对公司组织因素的调查。此外，这种调查公司组织因素的重要性也正说明了企业是安全生产的最终责任主体。

五、几点建议

（1）调查人员需要经过系统培训，以提高其对模型的熟知能力，确保正确使用模型。

（2）任何调查模型都是基于一定的假设，Reason-M模型也不例外，有着其弊端，这在以后的实践中可以得到证实并加以改进。

（3）此模型不仅可以用于事故调查，也可以用于航运界自身的安全分析评估。

（4）本文的不足之处在于只应用一个事故案例，因此该事故模型需要在实践中多次验证改进。

[1]REASON J.Human Error[M].Cambridge:Cambridge University Press,1990.

[2]MAIB.Report on the investigation of the fatality of a chief officer in a ballast tank on board the container ship ville de mars in the Gulf of Oman[EB/OL].(2009-09-23)[2010-09-23].http://www.maib.gov.uk.

[3]HOLLNAGEL E.The ETTO principle: efficiency-thoroughness trade-off: Why things that go right sometimes go wrong[M].Surrey:Ashgate Publishing Limited,2009.

[4]GHIRXI K T.Application of scientific tools for the analysis of accident investigation reports about engine room fires[EB/OL].(2009-01-28)[2010-08-13].http://www.surship.eu.

[5]DEKKER S.The Field Guide to Understanding Human Error[M].Burlington:Ashgate Publisher,2006.

[6]WIEGMANN D A,SHAP PELL S A. Human error analysis of commercial aviation accidents: Application of the human factors analysis and classification system (HFACS)[J].Aviation, Space and Environmental Medicine,2001,72(11):1006-1016.

[7]万成考,武毅峰,孙巍.SMS运行检查在海事调查中的重要性[J].世界海运,2010(6):66-68.

[8]WU Wen-zheng.An application of human factors analysis and classification system to identify organizational factors in maritime accidents[D].Malmo:World Maritime University,2010.