10种事故致因模型的对比研究*

傅　贵，索　晓，贾清淞，付明明

(1.中国矿业大学(北京) 资源与安全工程学院，北京 100083；2.中国矿业大学(北京) 煤炭资源与安全开采国家重点实验室，北京 100083；3.滨州学院 化工与安全学院，山东 滨州 256600)

0　引言

社会技术系统(Sociotechnical System)是由社会系统和技术系统相互作用而形成的[1]，常见的社会技术系统有航空、海运、空中交通管制、电信、核电厂、航天、化学和石油过程工业, 医疗组织等。面对各种社会技术系统的复杂程度升高，保障系统的安全运行，免于事故的发生显得尤为重要。在对系统的安全管理中，事故致因模型便是一个重要的工具，首先事故致因模型能解释事故发生的机理，为事故分析提供框架。其次事故致因模型可以作为技术工具应用于系统开发期间的风险评估和临时事故分析。

目前较流行的事故模型基于系统理论建立，这类事故致因模型将事故过程描述为一个复杂的、相互关联的事件网络, 而不仅仅是简单因果链[12]。典型的系统性事故致因模型有, Rasmussen的社会技术系统层次模型(Hierarchical model of socio-technical system)[13]，基于社会技术系统层次模型形成的AcciMap，Leveson的 (2004) STAMP (Systems Theoretic Accident Model and Processes) 模型[14]，基于认知系统工程原理,建立的认知可靠性和误差分析方法(CREAM， Cognitive Reliability and Error Analysis Method)[11]，24Model[15-17]和功能性共振分析方法(FRAM，Functional Resonance Analysis Method)[18]。

从链式事故致因模型到流行病学事故致因模型再到系统性事故致因模型，每一代模型的提出和发展都基于自身的时代背景，并没有绝对的对错之分。许多研究者对各种事故致因模型进行了讨论和综述，如文献[19]从危险的属性对事故致因理论进行了综述；文献[20]阐述了事故致因理论发展与安全理念的关系；文献[21]对单因素事故致因理论、事故因果连锁理论、流行病学理论和系统理论进行了梳理和介绍；文献[22]对从1919年到1995年间的5种事故致因模型进行了综述。但上述研究中未对事故致因模型进行具体的比较研究，事故致因模型中事故的影响对象，事故致因模型的元素组成以及事故致因模型的发生路径未得到清晰的阐述。本研究对10种主流的事故致因模型从以上3个维度进行了对比研究，力图为事故致因模型的发展提供理论支持，同时也为日常安全管理中事故致因模型的选用提供参考依据。

1　10种事故致因模型的对比研究

图1是本文研究的10种事故致因模型的时间轴。以下各模型的对比研究按照模型发表的时间顺序展开。

图1　主流事故致因模型的时间轴Fig.1　Timeline of prevalent accident causation models

1.1　事故的影响对象比较

事故的影响对象是事故发生后果的承受载体，承受载体的确定决定了人们对事故致因的研究范围，进而决定了事故分析后的预防措施的建立范围。随着社会的发展，人们对事故研究的不断深入，事故的影响对象也在不断补充与完善，樊运晓等[19]认为事故的影响对象经过扩展，目前稳定为4个方面，分别是人员、设备、社会财富以及环境。另外，越来越多的企业关注到人员、设备、社会财富以及环境以外的影响，例如事故对商业形象，社会道德，客户信任，企业劳动关系的影响，本文将以上事故的影响对象称作无形资产，应纳入到事故的影响对象中来。以下从人员、设备、社会财富以及环境和无形资产5个方面进行比较分析。各个模型中包含的事故的影响对象结果如表1所示。

表1　事故的影响对象比较

多米诺模型和轨迹交叉模型关注的事故的影响对象为人员，基于这种认识，分析出的事故致因都为造成人员伤亡的因素，预防措施的重点也是减少人员伤亡方面，作为早期工业安全的事故致因模型，未包含更多的影响对象。SCM和HFACS涵盖的事故的影响对象为人员，设备，社会财富，作为流行病学模型，SCM和HFACS涵盖的影响对象有所增加，但仍不全面。社会技术系统层次模型和AcciMAap，CREAM，STAMP，24Model，FRAM包含的事故的影响对象涵盖了人员，设备，社会财富，环境和无形资产，这是事故致因模型由简单链式模型向系统模型发展的趋势所致，事故致因模型包含了完整的事故影响对象，保证了事故分析中原因因素分析的全面性。具体在组织使用时，可根据需要选取不同的事故影响对象作为指标，建立事故致因的分析范围。

1.2　模型的组成比较

多米诺模型，轨迹交叉模型，SCM和HFACS，社会技术系统层次模型和AcciMap，CREAM，和24Model为模块化模型。模块化模型对事故致因进行分类，这样处理的优点是便于实践人员按照模块进行事故分析，缺点是人为限制了分析的深度和广度。STAMP，FRAM为非模块化模型，这2个模型分别提出了一套事故分析的方法论，强调分析事故的深度和广度，但分析时需要实践人员有非常高的专业背景知识，且分析过程较为耗时，效率较低。另外，在进行统计分析时，建立的事故致因分类模块的事故致因模型有明显的优势。

表2　模型的组成比较

模块化的模型中，多米诺模型中的事故致因包括了社会环境、遗传、人的缺点、不安全的动作和不安全的物态，但未包含组织因素。轨迹交叉模型包含了物态、人的行为、安全缺陷和社会因素，同样未包含组织因素。SCM和HFACS提供的屏障(Defenses)思维也为事故预防做出了积极的指导方法[18], 但模型中未包含组织外部因素。社会技术系统层次模型和AcciMap具有6个层次，分别是政府层、监管部门层、行业协会层、公司层，公司向下进一步分为管理层、操作人员层和任务层，包含了人因、物因、组织因素和组织外部因素；但由于未对模型中的模型进行定义, 在事故分析时，原因的选取具有主观性[23]。CREAM明确定义各模块含义，分析事故时根据失误事件确定根原因形成失误事件的因果链，在分析形成的人因失误事件时不包含组织外部因素。24Model将导致事故发生的因素进行分类，建立1个事故原因分类的框架,涵盖了人因、物因、组织因素和组织外部因素，并对模型中各模块进行了清晰的定义，方便一般实践人员进行快速事故分析和统计分析。

非模块化的模型中，STAMP有3个基本结构，分别为安全约束、分层安全控制结构和过程模型，事故分析时不设定分析范围，模型涵盖了人因、物因、组织因素和组织外部因素。FRAM以功能界定系统，而不是以系统结构或组件的关系来界定系统，将系统运行看作一个个功能的衔接，提出了“功能共振”(Functional Resonance)的概念，对系统的动态运行进行了很好的理论描述，分析的事故致因完整的包含人因、物因、组织因素和组织外部因素。

1.3　事故发生的路径比较

从事故发生的路径来看有简单的链式，复杂链式和系统网状。如表3所示，多米诺模型、SCM和HFACS描述的事故发生路径为简单链式，多米诺模型认为每个模块代表的事故致因骨牌接连倒下，事故就会发生，逻辑清晰，但简单的线性描述无法真实地反映现今复杂社会技术系统下各个因素的非线性的交互关系。轨迹交叉模型描述的事故发生路径为复杂链式，该模型中提出了2条平行的路径交叉导致事故发生的思路，是1种在简单链式基础上形成的更复杂的链式模型，该模型在描述事故发生上仍然存在简单线性的思维，不利于对事故的系统化描述。社会技术系统层次模型和AcciMap，CREAM，STAMP，24Model，FRAM描述的事故发生路径为系统网状，以上模型汲取了系统理论的思维方式，在描述事故发生路径上认为事故致因因素之间既有层次关系，又有因果关系，交互错杂形成网络，更接近真实的物质世界。

(2)学校应加强校园安全管理，注重欺凌行为的预防。一方面，学校要加强宣传工作，让学生了解相应法律及欺凌行为的危害，从思想上降低学生实施欺凌行为的冲动。学校可以采取多样化的宣传方式，通过图片、视频、戏剧化表演等方式增强教育的趣味性，使学生切实感受到欺凌的危害性；另一方面，学校也要不断寻求新的管理方式，消灭校园监控管理盲区，加强对校园的安全巡视工作，课间时段要鼓励班主任或任课教师走进教室及走廊，及时了解学生及班级情况。

表3　事故发生的路径比较

2　讨论

多米诺模型是最早形成的事故致因模型，对事故预防的研究有奠基作用，但未全面地考虑事故的影响对象，在模型的组成中未考虑组织因素，且基于线性思维的模型不能全面描述系统的真实情况。

轨迹交叉模型将事故的影响对象仅限定为人员，且在模型的组成中未考虑组织因素，而且模型的概念缺少清晰的定义，实际使用中不易着手分析。该模型提出了切断人的不安全行为和物的不安全状态在时空中交叉以预防事故的思路，为复杂链式结构，但这是事故发生的一条可能路径而不是全部路径，故无法全面描述真实的系统组件交互情况。

SCM和HFACS作为流行病学模型提出了潜在缺陷和显性缺陷导致了事故发生的观点，将事故的影响对象包含了人员，设备，社会财富，相对于多米诺模型和轨迹交叉模型有进步，但仍不全面。该模型建立了屏障的预防思维，但SCM型和HFACS仍然对系统进行了线性的描述，未包含组织外部因素，且相关模块都缺少明确的定义，对实际使用造成了困扰。

社会技术系统层次模型和AcciMap为事故分析提供了层级的框架，该模型的事故影响对象和组成涵盖全面，事故的发生路径描述为系统网状，但模型中各模块缺少定义界定，使用时存在很多主观成分，并且无原因分类不利于进行大量事故统计分析。

CREAM的事故影响对象涵盖全面，事故的发生路径描述为系统网状，但组成中未包含组织外部因素。该模型基于人因可靠性分析，能进行事故分析和定量的人为失误概率预测，但在无人为失误发生的事故分析时，该模型便会失效，而且在概率预测时，方法繁复，效率较低。

STAMP的事故影响对象和组成涵盖全面，事故的发生路径描述为系统网状。该模型提出安全约束、分层安全控制结构和过程模型的概念，将安全看作一个控制问题，作为非模块化的系统性模型且各模块具有清晰定义对单个事故分析极为详尽，但分析效率低，且缺乏模块的原因因素分类，不利于大量事故统计分析。

24Model的事故影响对象和组成涵盖全面，事故的发生路径描述为系统网状。对模型中的模块做出了清晰定义。作为模块化的系统模型保证了效率充分性原则(ETTO， Efficiency-Thoroughness Trade-Off)[24]，且利于大量事故统计分析，但24Model在事故原因概率分析上描述不够好，需要进一步加强。

FRAM的事故影响对象和组成涵盖全面，事故的发生路径描述为系统网状。该模型提出的“功能共振”描述系统的动态性具有优势，而且事故分析从“功能”角度展开避免讨论了系统内的层级，保持级别不变性[15]使得分析更简洁。FRAM未进行原因元素分类使得分析事故需要特定专家进行深度和广度的详细分析，但这样处理不利于大量事故统计分析。

事故致因模型发展从简单的线性思维发展到今天的系统思维，对系统的描述越来越合理。总体而言，事故影响对象由单一的人员到人员、设备、社会财富、环境、无形资产的全部涵盖；模型的组成也日趋全面，囊括了人因、物因、组织因素和组织外部因素；对事故发生路径的描述具有从线性向系统网状发展的趋势。以上分析可以看出，清晰的模块定义能保证分析结果的准确，SCM、HFACS、社会技术系统层次模型、AcciMap由于缺少对模块的准确定义，在实际使用中存在误差。CREAM、STAMP、24Model和FRAM中各模块的定义清晰，保证分析的可靠性；在解释事故发生过程和实际安全管理运行中，以上模型各有利弊，不同需求下的模型选用需要根据充分性和效率考量而决定，重视分析的充分性可以选用STAMP和FRAM此类无原因因类的系统性模型。重视效率分析的则选用CREAM和24Model此类事故致因元素分类的系统性模型。未进行原因分类的事故致因模型在事故分析的广度和深度上有优势，但需要专家进行分析，一般一线操作者较难操作，会增加企业的学习成本；原因因素分类虽然人为限制了事故分析深度，但提高了方法的易用性且更利于大量事故统计分析。在今后的事故致因模型研究中，需要完善事故分析指导方法，保证事故分析的准确可靠，进而建立基于事故致因模型的概率分析方法，实现量化的安全管理。

3　结论

1)事故致因模型中所涵盖的影响对象从仅包含人员到对人员、设备、社会财富、环境和无形资产的全面覆盖，体现了社会发展对事故威胁对象的更全面关注和对更多安全议题的探讨。

2)事故致因模型的组成从工业时代初期的重点关注人因和物因，到全面的关注人因，物因，组织因素和组织外部因素，强调从系统性和整体性的角度去确保安全。另外，为避免出现列举原因因素而出现挂一漏万的情况，事故致因模型趋于对包含的各模块给出清晰定义以保证分析结果的准确性。

3)事故发生的路径描述由简单的链式向复杂的系统网状发展。多米诺模型、轨迹交叉模型、SCM和HFACS都是对事故发生的路径进行链式的描述，无法满足越来越复杂的社会技术系统的描述需求。社会技术系统层次模型和AcciMap、CREAM、STAMP、24Model和FRAM则将事故发生的路径进行系统网状的描述，更符合真实的物质世界。

4)在安全研究和安全管理实践中应根据充分性和效率的需要对事故致因模型的使用进行取舍。对复杂社会技术系统进行描述时，选用各模块有充分定义的系统性事故致因模型。重视充分性，可选用如STAMP和FRAM此类无原因分类的模型，利用专家对事故进行深度和广度的充分分析，但方法学习成本较高且在大量事故的统计分析上存在障碍。重视效率，可选用如CREAM和24Model此类事故致因元素分类的模型，并能进行大量事故的统计分析。

[1]GARG D P. Sociotechnical systems: Factors in analysis, design, and management[J]. Proceedings of the IEEE, 1975, 63(8):1263-1263.

[2]HEINRICH H W, PETERSEN D C, ROOS N R. Industrial accident prevention: A safety management approach [M]. McGraw-Hill Companies, 1980.

[3]LEVENSON N G. System safety and computers [M]. Boston: Addison Wesley, 1995.

[4]REASON J. Human Error [M]. New York: Cambridge university press, 1990.

[5]SHAPPELL S A, WIEGMANN D A. A human error approach to aviation accident analysis: The human factors analysis and classification system [M]. Farnham: Ashgate Publishing, Ltd., 2012.

[6]DE Landre J, GIBB G, WALTERS N. Using incident investigation tools proactively for incident prevention[C]//Proceedings of the Australian & New Zealand Societies of Air Safety Investigators Conference, 2006.

[7]CELIK M, CEBI S. Analytical HFACS for investigating human errors in shipping accidents[J]. Accident Analysis & Prevention, 2009, 41(1): 66-75.

[8]CHEN S T, WALL A, DAVIES P, et al. A Human and Organisational Factors (HOFs) analysis method for marine casualties using HFACS-Maritime Accidents (HFACS-MA)[J]. Safety Science, 2013, 60(12):105-114.

[9]LI W C, HARRIS D. Pilot error and its relationship with higher organizational levels: HFACS analysis of 523 accidents[J]. Aviation, Space and Environmental Medicine, 2006, 77(10): 1056-1061.

[10]PATTERSON J M, SHAPPELL S A. Operator error and system deficiencies: analysis of 508 mining incidents and accidents from Queensland, Australia using HFACS[J]. Accident Analysis & Prevention, 2010, 42(4): 1379-1385.

[11]HOLLNAGELE. Cognitive reliability and error analysis method (CREAM) [M]. Amsterdam: Elsevier, 1998.

[12]HOLLNAGEL E, WOODS D D. Joint cognitive systems: Foundations of cognitive systems engineering [M]. Boca Raton: CRC Press, 2005.

[13]RASMUSSEN J. Risk management in a dynamic society: a modelling problem[J]. Safety science, 1997, 27(2): 183-213.

[14]LEVENSON N. Engineering a safer world: Systems thinking applied to safety [M]. Cambridge: Mit Press, 2011.

[15]傅贵, 陆柏, 陈秀珍. 基于行为科学的组织安全管理方案模型[J]. 中国安全科学学报, 2005, 15(9): 21-27.

FU Gui, LU Bai, CHEN Xiuzhen. Behavior based model for organizational safety management[J]. China Safety Science Journal, 2005, 15(9):21-27.

[16]傅贵, 殷文韬, 董继业. 行为安全 “2-4” 模型及其在煤矿安全管理中的应用[J]. 煤炭学报, 2013, 38(7): 1123-1129.

FU Gui, YIN Wentao, DONG Jiye. Behavior-based accident causation: the “2-4”model and its safety implications in coal mine[J].Journal of China Coal Society，2013，38(7):1123-1129.

[17]傅贵, 樊运晓, 佟瑞鹏, 等. 通用事故原因分析方法(第4版)[J]. 事故预防学报, 2016, 2(1): 7-12.

FU Gui, FAN Yunxiao, TONG Ruipeng, et al. A universal methodology for the causation analysis of accidents(4th Edition)[J]. Journal of Accident Prevention, 2016,2(1): 7-12.

[18]HOLLNAGEL E. FRAM. The functional resonance analysis method: modelling complex socio-technical systems [M]. Farnham: Ashgate Publishing, Ltd., 2012.

[19]樊运晓, 卢明, 李智, 等. 基于危险属性的事故致因理论综述[J]. 中国安全科学学报, 2014, 24(11): 139-145.

FAN Yunxiao, LU Ming, LI Zhi, et al. A review of accident modelling approaches based on components of hazards[J]. China Safety Science Journal, 2014, 24(11): 139-145.

[20]陈宝智, 吴敏. 事故致因理论与安全理念[J]. 中国安全生产科学技术, 2008, 4(1): 42-46.

CHEN Baozhi, WU Min. Etiologies of accident and safety concepts[J]. Journal of Safety Science and Technology, 2008, 4(1): 42-46.

[21]覃容, 彭冬芝. 事故致因理论探讨[J]. 华北科技学院学报, 2005, 2(3): 1-10.

QIN Rong, PENG Dongzhi. Discuss of the accident-causing theory[J]. Journal of North China Institute of Science and Technology, 2005, 2(3): 1-10.

[22]钟茂华, 魏玉东. 事故致因理论综述[J]. 火灾科学, 1999, 8(3): 36-42.

ZHONG Maohua, WEI Yudong. Overview on accident-causing theories[J]. Fire Safety Science, 1999, 8(3): 36-42.

[23]SALMON P M, CORNELISSEN M, TROTTER M J. Systems-based accident analysis methods: A comparison of Accimap, HFACS, and STAMP[J]. Safety Science, 2012, 50(4): 1158-1170.

[24]HOLLNAGEL E. The ETTO principle: efficiency-thoroughness trade-off: why things that go right sometimes go wrong [M]. Farnham: Ashgate Publishing, Ltd., 2009.