基于Reason模型的海事調查模型

文/ 廣東海事局 吳文正 楊 亮

一、背景

IMO最新公布的資料顯示，船舶正承擔著全球范圍內越來越多的貨物運輸，且通過革新技術等更加安全，但確保海運安全依然是海事界需要持續探討的話題。另一方面，對海上事故的調查已成為推動海事立法的一個重要動力，如《78/95海上安全人命公約》就是泰坦尼克號的沉沒催生的。盡管海事調查與安全風險評估相比，方式和方法顯得較為被動，代價也較沉重，然而其在推動安全效果方面更彰顯其功能性，能起到消除根因的作用。因此，海事調查作為研究航運安全、安全評估、事故數據庫建立和分析最重要的手段之一，已越來越為海事界重視并得到了廣泛應用。

為了便于理解和研究事故是如何發生的，安全領域學者提出了一系列的事故因果模型來幫助人們解釋事故發生的過程。Heinrich建立了第一個事故因果模型——多米諾（domino）事故模型，隨后，學者們相繼推出了越來越多的事故模型，其中最為著名的就是Reason模型[1]（也稱奶酪（Swiss Cheese）模型）。本文選取此模型作為研究對象，結合海事實踐，建立一個適用于海事調查的通用模型指導海事調查，并以英國海事調查局調查的一起工傷事故[2]為案例進行驗證說明。

二、調查模型探討

（一）選取Reason模型基于以下兩個理由

1. Reason模型符合系統性考慮事故的要求

Hollnagel[3]等已經論證了系統性認知事故的必要性，且一直在研究如何系統性理解事故，以期待全面理解事故如何發展及其成因。諸如基于線性發展假設的根因模型早已不能滿足現今社會的發展需求。眾多證據表明，每件復雜事故的發展絕非多米諾骨牌那樣呈線性，而是系統內外的多重因素綜合相互作用。因此，在執行海事調查時，我們需要考慮諸多內外部因素及其相互間的作用關系等。

雖然Hollnagel將Reason模型單純地劃分為傳染病類，而非系統類，但筆者認為Reason模型不但具有傳染病模型的特征，也兼備系統模型的特征，這種觀點也得到Reason先生本人的支持。Reason模型綜合考慮了系統的各種因素，包含防御系統、不安全行為、不安全行為的前提條件、管理層和決策層等，并且將其漏洞視做每片奶酪上的空洞。每片奶酪上的空洞一旦能被直線擊穿，整個系統就會引發事故，因此，事故調查人員可以很快地找到有問題奶酪片上的空洞，即系統需要提高和改進的地方，確保奶酪片不再被直線擊穿。

2. Reason模型突出了組織或管理層在事故中的作用

強調組織因素調查的重要性是Reason模型的另一突出貢獻。近年來，研究已表明組織因素在系統事故演變過程中所起的決定性作用。但是據Ghirxi[4]統計，目前73%的海事調查集中在 “壞蘋果”[5]上或者技術原因上，極少重視組織因素。油船污染事故中的當事船船長或值班船員通常會成為主要譴責對象就是最好的例證，其中一個重要的原因就是在調查中沒有完善的調查模型作為指導。Hollnagel認為事故調查結論往往是調查者所預想的結局，因此基于不同調查模型的兩種海事調查完全可能得出截然相反的調查結論。Reason模型強調對于組織決策者和管理層的調查，強調了調查組織因素的重要性。

（二）修改后的Reason事故模型

Reason模型的推出，在提高人們對事故的認知能力的同時，也被批評不夠完善。Reason認為此模型僅僅是千萬模型中的一種，主要目的是幫助人們建立起事故是如何演變的概念，而不能直接應用于事故調查。因此，需要對Reason模型進行改進后才能應用于實踐，如人因分析和分類系統（HFACS）[6]。也有人指出，Reason模型過于強調對人為差錯的調查，而忽略了對外部環境的考慮，比如法制環境、海事管理等。實踐證明，很多事故的發生與外部因素息息相關，這就需要對Reason模型進行修改，以適應海事實踐。基于對HFACS和Reason模型原理的研究，作者提出模型的改進版——Reason-M模型（見圖1）。

圖1 Reason-M模型

相比原模型，新的模型改進了“防御系統”。Hollnagel認為系統的防御性也體現了系統保障安全的功能，任何一項安全保障功能的喪失都意味著這項防御系統的失效。模型可以幫助海事調查人員建立事故是如何發展的系統概念，這不僅在搜集證據階段具有積極的指導意義，而且在事故分析階段更加凸顯其指導的作用。修改后的模型結構如下：

1. 社會環境因素

社會環境因素包括法制環境和系統外部環境。法制環境主要是指海事立法是否妥當、船旗國履約是否到位、港口國監控是否有效等。系統外部環境主要指自然環境、經濟環境和政治環境等。很多海難就是因為船舶遇到了極端惡劣天氣，遠遠超出其原有設計的航行條件而造成的。

2. 組織（公司）因素

組織因素包括三項內容，分別是公司層面的資源管理、組織（公司）文化和組織（公司）程序等。資源管理包括船舶所需的資源，如人力調配、技術支持和設備支持等。比如船舶配備了不適任的船員會直接導致事故的發生。公司文化是個比較抽象的概念，集中反映了公司集體對安全在生產中的優先性的認識。最明顯的一個例子就是當發現缺陷時公司如何處理安全與生產的矛盾，一些公司往往會把解決航期問題作為首要矛盾來解決，從而引發事故。組織程序主要指公司所建立的與安全相關的操作計劃和程序。ISM規則的實施要求公司建立相應的操作計劃和程序，并且必須符合相關的法規及航運界的操作習慣和良好船藝。

3. 安全監督或工作環境因素

安全監督或工作環境因素主要是指船舶管理層（尤指船長、大副或輪機長）對各項船舶安全操作的管理或者監督是否到位，及船員所工作的內部環境是否有利于船員的安全操作，包括是否對其實施足夠的監督管理，是否設計了不合理的操作，是否及時糾正已查出的缺陷和是否糾正船舶的違規。是否有足夠的安全監督主要指船舶管理層對于船舶安全操作的管理。這一層面上，船長通常是船舶安全操作管理的總負責人。根據ISM規則的規定，公司必須標示船舶關鍵操作的程序和應急情況的應對方案。如果此類操作程序和應對方案未能符合相關規定，船長需要承擔此程序和方案的責任。船舶是否及時糾正缺陷和容忍違規行為深受公司安全文化影響，如2005年6月份“WH18”號船事故[7]。

4. 不安全行為的前提條件

不安全行為的前提條件通常容易進入調查人員的視野，但因受條件和資源限制往往不了了之。此項工作的調查分析涵蓋了人類工程學、心理學等大多數海事調查人員所不具備的學科。這層因素包括船員自身條件、內部工作環境和個人因素。船員自身條件主要是指船員的認知能力和心理狀態，均涉及心理學范疇。內部工作環境是相對于外部工作環境而言的，主要指工作場所設計和航行設備的技術狀態等影響船員作出專業判斷的因素。個人因素通常指人際交往（包括與外界的通信）和個人的認知狀態。有時候，船舶內部良好的人際交往能夠舒緩船舶緊張的工作氣氛，提高船舶的安全操作水平。此外，船員本身的認知水平凸顯船員對于新鮮環境的熟知能力，如根據ISM規則6.3的規定，公司應設法讓新任船員在開航前熟悉崗位適任要求，不同船員熟悉新環境的時間會因認知能力的不同而不同。

5. 不安全行為

Reason-M模型要求對系統進行全面的調查，不僅要調查發生不安全行為的個人，還要深入調查其潛在因素。不安全行為可以分為差錯和違規。

差錯作為人的本性之一，可以再細分為基于技能的差錯、決定的差錯和感知差錯。在船舶日常操作中，很多操作源自于習慣做法或者長期實踐，而這些長期形成的習慣往往會因為疏忽或過失產生基于技能的差錯。基于決定的差錯源于對問題本身的不完全了解、現有的程序或規則未有相應的內容備查等。在一些港口，強制引航就是為避免船員在靠離泊作業過程中因對港口情況不了解而發生基于決定的差錯。感知差錯相對前兩種差錯而言，發生幾率比較小。這種差錯可以理解為一種失誤，一種因船員過早或延誤對一種事物、威脅或場景處置而引起的差錯。

違規可以繼續劃分為日常違規和異常違規。日常違規常見于日常生活中，且易于被船員甚至是船舶或公司管理層默認或忽視，因為這類違規只有在一定條件下才會引發事故，如海圖小改正。異常違規常見于船員存在僥幸心理時，為追求效率而違反規定的行為。如1967年的“Torrey Canyon”污染案，船長為了趕航期抄近路而觸礁，最終釀成大禍。

經修改后的Reason-M模型結合了海事調查的實踐經驗，囊括了日常海事調查所發現的各項要素。在確保海事調查資源的前提下，基于此模型的調查可以保證調查人員能夠完成《海上交通安全法》賦予“查明原因”的職責，防止同類事故再次發生。

三、案例應用分析

案例簡介：2009年1月29日，英國籍集裝箱船“Ville de Mars”號大副在下壓載水艙檢查過程中摔至首尖艙艙底，因搶救無效而死亡。按照反向調查原則和Reason-M模型及公布的事故調查報告證據對該事故進行分析：

1. 不安全行為分析

由于大副已亡，且摔落時未有目擊證人或監控錄像，無法確定大副是如何摔落的，但有一點是肯定的，即大副在下艙前未按照公司操作規程的要求穿戴規定的安全設備，包括安全繩、安全帽等，屬于此次事故中的不安全行為。倘若大副按規程操作，其防御系統也不足以失效。此類不安全行為屬于一種日常的違規行為。

2. 不安全行為的前提條件

對于大副為何不穿戴安全設備，無法向大副本人求證，但根據調查所得到的證據可知，事故前，大副在同樣的狀態下已完成了15次類似的壓載水艙的檢查。15次的成功經歷足以使大副過分相信這樣的工作狀態是安全的。過分自信是一種極度危險的心理狀態，為本次事故埋下了定時炸彈。同樣，船長和公司管理層也有類似的過分自信。大副向船長請示下艙作業時，后者只強調大副應多帶一人到現場，而未強調需遵守安全操作規程，這充分說明船長對大副的安全下艙是過分自信的。

3. 安全監管或工作條件

大副在下艙前，船長未按照公司體系文件的要求簽發相應工作許可，也就未有作業前的安全檢查。首先，作為安全管理的手段，簽發工作許可不光是書面授權某人做某事，更為重要的是將責任分散于不同的管理者，促使簽發者加強安全管理，確保安全操作。其次，船長作為船舶的最高負責人，在大副請示下艙作業時，有責任監督此項工作的安全有序進行。況且，這類缺陷在2008年5月的公司安全體系審核中已被發現并記錄在冊且顯示此缺陷已糾正，但從發現缺陷到事發這半年多的時間里，未有調查、分析和有效的改正措施等的記錄，船舶管理層對缺陷和違規實施了默認或忽視。

4. 組織因素

在公司安全管理體系運行中，公司管理層未能按體系文件規定有效地督促船舶糾正內審中發現的不符合項目——未簽發工作許可。船方在內審后迅速報告了已糾正不符合項，但公司未核實其糾正措施的有效性。可以推斷出船方在內審后所簽發的工作記錄也許屬于紙面工作，而不是按照體系文件要求作業前落實安全措施。此外，公司在船舶高空作業方面未有足夠的重視，導致船長在高空作業管理中失職。

5. 社會環境因素

此次事故的調查也是核查相關法律法規的一次機會。通過核查，發現部分規章未標示進入封閉艙室中掉落艙底的風險，如在“高空作業”的規定中未包括進入封閉艙室作業和上下艙梯的程序。

此外，調查人員還調查了事故發生后的救助記錄，按照此模型標示出救助中發現的問題，對未來同類事故的救助起到警示和教育作用。調查分析全過程見圖2（圖中實線表示已確認的關系途徑，虛線表示可能的未有足夠證據支持的關系途徑）。

圖2 “Ville de Mars”船大副工傷事故調查分析圖

四、討論

1. Reason-M模型基本涵蓋了海事調查中發現的各要素

案例分析中，模型覆蓋了從社會因素到不安全行為的各種不同條件，反過來說，這種覆蓋也說明了海事案例中的所有要素是能夠用新模型的分類方法進行分類的。如果將所有的海事案例按照此模型進行調查分析，根據其建立起來的事故數據庫將具有明顯的分類性。對于海事管理機構來說，可以有針對性地提高海事安全管理效能，突出重點以解決事故調查中發現的突出問題。

從另一方面看，Reason-M模型相比原模型在實踐中更具有適用性。原有的模型出發點是重點解決基于80%的事故是因人為差錯引起的假設，因此不適用于諸如天災類事故等，而新模型在適當改變了結構和增加了必要的要素后提升了適用性和應用前景。這種應用性可見于ESTONIA案例[8]。

2. 安全管理建議更加具有針對性

安全管理的針對性主要體現在兩方面：一是對于海事部門來說，應用模型的事故調查中搜集事故數據變得更有條理性，調查后提出的安全管理建議更加具有針對性和實用性；二是對于公司來說，事故調查使得公司安全管理的薄弱環節充分暴露。熟悉掌握事故模型可以幫助事故調查人員系統地理解事故，綜合考慮各項事故要素，以便在事故數據搜集過程中系統地排查事故數據的必要性、有效性和可靠性。以上案例說明，對于公司組織因素的調查，其重要性不亞于一次ISM體系的外審。相比較于ISM體系審核側重文件審查而言，應用事故模型的事故調查更加側重于體系在實際運行過程的檢驗。新調查模型不再只盯著現場的海員，而是還原了系統在事故演變中涉及的因素，著重強調了管理層的作用。這種調查如果形成潮流，勢必推動公司管理層主動加強安全投入。從事故分析圖2可以看出，不同層面或者同一層面的不同條件之間的作用關系的復雜程度伴隨層級的增加而增加。也就是說，越是靠近管理層的層級，其在安全管理中發揮的作用越大。因此，組織因素在模型結構所有要素中處于最高的層級，其對船舶安全的影響也就最明顯，因此，在以后的海事調查中，我們切不可忽視對公司組織因素的調查。此外，這種調查公司組織因素的重要性也正說明了企業是安全生產的最終責任主體。

五、幾點建議

（1）調查人員需要經過系統培訓，以提高其對模型的熟知能力，確保正確使用模型。

（2）任何調查模型都是基于一定的假設，Reason-M模型也不例外，有著其弊端，這在以后的實踐中可以得到證實并加以改進。

（3）此模型不僅可以用于事故調查，也可以用于航運界自身的安全分析評估。

（4）本文的不足之處在于只應用一個事故案例，因此該事故模型需要在實踐中多次驗證改進。

[1]REASON J.Human Error[M].Cambridge:Cambridge University Press,1990.

[2]MAIB.Report on the investigation of the fatality of a chief officer in a ballast tank on board the container ship ville de mars in the Gulf of Oman[EB/OL].(2009-09-23)[2010-09-23].http://www.maib.gov.uk.

[3]HOLLNAGEL E.The ETTO principle: efficiency-thoroughness trade-off: Why things that go right sometimes go wrong[M].Surrey:Ashgate Publishing Limited,2009.

[4]GHIRXI K T.Application of scientific tools for the analysis of accident investigation reports about engine room fires[EB/OL].(2009-01-28)[2010-08-13].http://www.surship.eu.

[5]DEKKER S.The Field Guide to Understanding Human Error[M].Burlington:Ashgate Publisher,2006.

[6]WIEGMANN D A,SHAP PELL S A. Human error analysis of commercial aviation accidents: Application of the human factors analysis and classification system (HFACS)[J].Aviation, Space and Environmental Medicine,2001,72(11):1006-1016.

[7]萬成考,武毅峰,孫巍.SMS運行檢查在海事調查中的重要性[J].世界海運,2010(6):66-68.

[8]WU Wen-zheng.An application of human factors analysis and classification system to identify organizational factors in maritime accidents[D].Malmo:World Maritime University,2010.