人为差错模型人为因素与航空法规课件

人为差错模型主讲人：罗守华《人为因素与航空法规》01.MEDA事件模型02.SHEL模型03.蝴蝶结模型04.REASON模型目录contentsMEDA事件模型MEDA———全称“维修差错决断辅助工具”(maintenanceerrordecisionaid，MEDA)，是由波音公司和FAA、美联航、大陆航等联合开发的一种致力于调查致错因素的维修差错决断方法。MEDA针对的是已发生的差错，强调全面评价导致差错的所有因素，属于事后分析技术。MEDA,在研究过程中，提出了差错模型和违规模型，用于指导航空维修差错的分析(MEDA实施见附录A)。MEDA事件模型诱因分析研究表明，员工在工作中，一般不会无缘无故偏离标准程序出现差错或违规行为(极少数例外)。员工在执行工作中，影响其正常工作并有可能导致发生行为偏离的因素，称为诱因(contributingfactor)，又可称为致因。在MEDA最初研究阶段，研究人员认为诱因(一个或多个)会导致员工出现差错，差错最终导致维修事故/征候(可统称为事件“event”)发生。差错事件诱因（一个或多个）导致导致诱因导致差错和事件模型MEDA事件模型差错模型随着对事件诱因的梳理，并深入研究诱因对差错的影响，研究人员认识到，当诱因出现时，差错不是必然发生的，但发生差错的概率会提高，而差错发生后，也不一定会导致事件发生。事故调查显示，由单一诱因引起差错和事件的情况并不多见，一般是多个诱因共同作用，导致差错概率增加，并最终导致事件发生概率增加。差错事件诱因（一个或多个）导致导致概率提高概率提高诱因导致差错和事件模型导致诱因诱因诱因诱因诱因诱因差错事件概率提高导致概率提高复合诱因差错模型MEDA事件模型违规模型统计数据表明，有60%~80%事件是在差错和违规的共同作用下导致的，只有20%~40%的事件是由纯差错导致发生。因此，在研究事件发生原因时，必须考虑违规的“贡献”。诱因单一模型违规差错事件导致概率提高导致概率提高导致概率提高诱因违规差错导致概率提高导致概率提高诱因违规导致概率提高事故/征候导致概率提高复合模型诱因违规模型MEDA事件模型综合模型综上，经过系统的整理和研究，得出MEDA事件模型。多个诱因的出现，会导致维修人员在工作出现差错几率增加并诱使员工违规。大量事件研究表明，大部分诱因是可以通过维修单位的程序加以控制的。控制较低层面的诱因，可以防止严重的事故出现。MEDA事件模型诱因诱因导致概率提高诱因诱因诱因导致概率提高差错导致概率提高诱因诱因导致概率提高违规导致概率提高概率提高差错导致概率提高SHEL模型SHEL模型要素SHEL模型的名字是由模型中各组成部分的第一个字母S、H、E、L构成的：软件(即非结构体)是指用于指导维修工作的技术资料。S:软件(software)环境既包括执行维修任务的狭义环境，又包括广义环境。E:环境(environment)硬件(即结构体)包括执行维修工作的技术装备，同时包括被维修的对象。H:硬件(hardware)在系统中有两个位置，居于核心的人是直接从事维修工作的人员，位于外边的人是指与该维修人员相关的其他人员。L:生命件/人(lifeware)SHEL模型SHEL模型关注点(1)人与软件(2)人与硬件（3）人与环境(4)人与人冲突人有可能曲解程序，编写的手册不实用、检查单设计不合理、计算机软件未经测试、计算机软件难于使用、不能满足工作要求。没有足够维修工具维修设备不适合飞机的维修性设计差(如部件可达性差)与其他人关系协调，沟通不良、人力短缺、缺少监督、缺少来自管理层的支持。工作场地不舒服如机库空间狭小温度过高或过低噪声过大照明不好等等蝴蝶结模型2004年，美国联邦航空局(FAA)下属的专业科研技术团队开发了一套“领结图”技术，简称蝴蝶结(bow-tie，BT)模型，并以此作为安全分析的主要机制，同时该理论也被其他负责航空安全管理及高危性产业的安全管理机构所采用，其基本原理如图所示。MA潜在造成危害的事件预防控制措施不期望的不安全事件后果减轻控制措施事故树分析事故树分析BT模型示意图蝴蝶结模型BT模型特点（1）有助于理解哪些基本事件可能导致事故树中顶层事件的发生；（2）有助于理解哪些安全功能故障可使顶事件发展成为事件树中的特定后果。MA潜在造成危害的事件预防控制措施不期望的不安全事件后果减轻控制措施事故树分析事故树分析BT模型示意图蝴蝶结模型危险源识别是对故障条件或导致顶层不安全事件发生的征兆进行认定的行为并能按照潜在的安全结果及其影响界定这些顶层不安全事件的性质，相关定义如下:(1)危险源:具有伤及员工、损坏设备或结构、导致原料损耗，或降低执行规定功能能力的状态、对象、活动或事件。(4)风险:包括危险导致的所有潜在影响的频率和严重程度。(3)后果:由于结果导致的伤害员工、损坏设备或结构、损耗原料或降低执行规定功能能力的程度，后果具有一定的级别。(5)风险控制:为降低与危险相关的风险而设置的系统、活动、行动或程序，风险减轻的内容包括：危险的排除(首选)、危险频率的减少(屏障)、危险结果产生可能性的减小、危险结果严重性的降低。(2)风险事件:单独或与其他风险事件共同导致不良事件发生的故障情况、主要原因、征兆或先导事件。蝴蝶结模型BT模型的缺点由于BT模型是由事故树和事件树组成，它同时受到两者的限制。例如:①标准事故树不适用于冗余、常见原因或非独立原因事件发生的场景;②事故树也无法应用于多变量场景，因为它们经常要在过程系统中建模;③更重要的是，由于事故树和事件树的静态结构，它们不能用于动态性的事故。BT模型的优点在所有事故分析模型中，BT模型已经被证明是可靠的和有效的工具，部分是由于它能够将一个时间的原因和后果在图形模型中展现出来。它已广泛应用于不同的安全与风险场景，如过程安全分析、事故风险评估、风险管理和安全屏障的实现。REASON模型REASON模型原型1991年，英国曼彻斯特大学的JamesReason博士通过对世界上发生的重大事故调查分析后，提出了航空事故理论模型即REASON模型。航空生产是有组织的系统活动，这些组织活动可以被划分为不同的层面，如图所示。REASON模型航空系统组织层面从系统的高度来看，各个层面的组织活动与事故的最终发生都有关系，在每个层面上都存在漏洞，不安全因素就像一个不间断的光源，刚好能透过所有这些漏洞时，事故就会发生。这些层面叠在一起，如同有孔的奶酪叠放在一起，因此REASON模型也被称为瑞士奶酪模型。航空系统是一个综合的生产系统，这个系统由决策者、生产管理层、一线生产层及防护和安全措施构成。REASON模型航空事故发生机理REASON模型的重要价值在于：它揭示了事故的发生不仅与和事故直接相关的生产活动(现行失效)有关，还与离事故较远的其他层面的活动和人员有关，这些其他层面的缺陷和漏洞被称为潜在失效。潜在失效多为管理决策缺陷，这些缺陷或漏洞在过去已经存在，一直处于潜伏状态。（1）现行失效不同层面的活动在时间、空间或逻辑上与事故的间隔有近有远。与事故在时间、空间或逻辑间隔上较近的活动对事故发生的影响是直接的，显性的，这些层面上的漏洞被称为现行失效。（2）潜在失效潜在失效是指远在事故发生之前所做出的决定或者所采取的措施而导致的结果，通常产生于决策者、管理当局或生产管理部门。REASON模型降低事故概率途径仅仅认识到现行失效，惩罚差错的当事人，只能在一定程度上降低事故率。若要最大限度地降低事故率，必须挖掘在时间、空间和逻辑上远离事故现场的深层次各个层面上的漏洞，并修复它们，这样才能更彻底地完善系统，降低事故率。1减少系统漏洞REASON模型还强调了在系统内增加或强化人为差错防御屏障的概念，尤其是深层的防御屏障。这些防御屏障的增加将进一步降低不安全光线穿过系统的概率，进一步避免人为差错产生的不良后果，减少事故的发生。2增加防御屏障REASON模型REASON模型应用ICAO模型认为组织中存在的管理决策和组织程序的漏洞(或不足)是事故发生的源头，这些隐患(或不足)可通过两条途径导致事故发生，因此将其称为组织事故性模型。ICAO的组织事故模型(REASON模型修订)ICAO将航空系统划分组织、工作场所、工作员工和防御四个层面，并指出防御包括规章、培训和技术