系統事故建模方法演進研究

□羅建原 程 琦 羅 帆

[1.武漢理工大學 武漢 430070；2.天安財產保險股份有限公司 上海 200000]

在現代社會技術系統中，事故不再是單個組件意外故障或人為錯誤的結果，故傳統事故建模方法不足以分析新環境下的意外事件。新技術環境讓事故致因發生根本變化，并推動了事故模型及其建模方法的演進[1～2]。當今，高新技術快速發展并廣泛應用于工業、商業和國防等各個領域，使得事故環境發生巨大變化，主要包括：（1）科技創新加速：科技發展速度超過了其在工程領域的應用速度。（2）改變事故性質：數字技術靜悄悄地再造了工藝流程和控制系統等工程領域的各個方面，而相關的安全工程技術并沒有與之保持同步。數字系統引入了事故的新“失敗模式”。（3）復雜性增加：復雜性涵蓋許多方面，特別是在互動復雜系統中，大部分復雜性日益增強。（4）耦合性增強：緊耦合將系統某部分的中斷或紊亂交互傳送到遠方，并產生波及效應。上述幾種因素往往交織在一起，共同影響著社會技術系統。

總之，日益復雜的社會技術系統日益挑戰現有事故分析方法，也為新方法的誕生提供了機遇。本文主要從系統角度梳理事故建模方法，并指出其發展趨勢。

一、復雜社會技術系統

社會技術理論認為，人主體和社會機構是技術系統的組成部分，實現組織目標不僅需要通過技術體系的優化，也通過技術和社會方面的聯合優化[3]。因此，現代復雜系統的研究需要理解系統各方面，如技術、人力、社會和組織之間的交互和關系。

復雜系統是由許多以線性和復雜方式彼此交互的組件構成。線性相互作用一般是那些處于生產或維修的序列的簡單活動，或能看到的活動；而復雜非線性的相互作用產生于不熟悉的序列、無計劃的和意想不到的序列，或是不能立刻理解的序列。兩個或多個離散的故障能夠以設計人員無法預測的方式進行交互，從而讓操作人員無法理解或控制，除非無窮盡地建模或測試。

近年來，“系統系”（System of systems,SOS）成為日益流行術語，用于描述由各種異構、互操作的協作系統構成的大規模系統[4]。系統系由多個甚至上百或上千本身獨立的組件系統構成。每個組件系統有不同治理結構，不同的技術，不同的目標；優化方式也各有不同，但是他們所執行的任務相互重疊。毫無疑問，系統系的運行存在多種不確定性、潛在風險和故障。

二、系統性建模方法

（一）系統理論方法

事故建模的新方法應從整體上考慮系統性能。系統性模型是指，當幾個偶然因素（如人力，技術和環境）巧合地存在于特定的時間和空間時，意外發生了[5]。系統性模型將事故視為由系統組件之間復雜相互作用所導致的突發現象，可能導致系統性能下降或意外事故。

系統性模型根植于系統理論。在系統理論的建模方法中，系統由通過信息和控制反饋回路保持平衡的交互組件構成。系統不是靜態設計，而是不斷地自適應以實現其目標、應對本身和環境變化的動態過程。意外被視為是有缺陷過程的結果，涉及到人、社會和組織結構、工程物理活動和軟件系統等諸多組件之間的交互[6]。

（二）認知系統工程方法

科技改變了人的工作性質，從以手工操作為主任務轉向以知識密集及認知為主任務，并影響著分析失誤模型和聯合人-機系統事故建模的方法發展。

認知系統工程作為一個框架，用于工作環境下構建人-機系統的行為模型。傳統的觀點認為，“人因差錯”代表事后分析的合理化[7]，是基于逆向因果關系原則：“如果有影響，那么就必須有一個原因”。而認知系統工程認為，如果我們不理解事情正常運行的原理，那么無法理解事情出錯的原因[8]。Hollnagel和Woods為聯合認知系統引入一個新范例，描述人類和技術作為一個聯合系統如何發揮功能，而不是人與機器如何交互。他們提倡，安全工作始于理解人類和聯合認知系統性能的正常變化，而不是關于特定的、高度推理性的“錯誤機制”。

用于安全和分析的兩個系統性事故模型都是基于認知系統工程原則：認知可靠性、誤差分析方法（CREAM）和功能性共振事故模型（FRAM）。

CREAM 是基于對人行為認知的建模，以評估人為錯誤對系統安全所造成的后果。CREAM 有兩個版本：DREAM（Driver Reliability and Error Analysis Method）用于交通事故分析，BREAM 用于海上事故。

FRAM是定性分析模型，描述系統組件的功能如何產生共振、失去控制和導致事故危險[5]。FRAM的前提是，性能變化、內部變化和外部的變化都是正常的；且從這個意義上講，在復雜社會技術系統中，如航空系統，性能是永遠不穩定的。

（三）社會技術系統分析框架

社會技術系統運行在高度可變和動態環境下，如市場競爭、經濟和政治壓力、立法和社會安全意識，以及快速發展的復雜性科學技術。他們促進高風險社會技術系統的形成與發展。Rasmussen假設，這些因素改變現代社會的動態性，并持續影響運行在復雜系統中的操作準則和人的行為。確定性因果模型（如事件順序鏈）無法勝任對高度適應性社會技術系統中故障和事故的研究。Rasmussen采用基于控制理論的系統導向分析，提出了構建組織、管理和運作結構的框架，創建了意外事件的先決條件。Rasmussen的社會風險管理框架包括結構和動力學兩部分[9]。

1．結構層次

Rasmussen將風險管理視為社會技術系統中的控制問題，其中人員傷亡、環境污染和金融災難起因于物理過程失控。在環境壓力和約束背景下，安全取決于工作流程的控制。

圖1 社會技術系統的層級模型

用于風險管理的社會技術系統包括幾個層級，如圖1所示。頂層L1描述通過立法控制政府在社會安全習慣的活動；第二層L2描述監控者、行業協會和聯合會（如醫療和工程委員會）的活動，其中聯合會負責促進各部門的執法；L3描述了公司活動；L4描述公司的領導、管理和控制工作人員的管理活動；L5描述各個員工直接地與技術或工藝進行互動的控制活動；底層L6描述工程學科的應用，包括應用于有潛在危險的設備和過程控制操作程序的設計。

傳統上，每個層級由特定的學科分別地進行研究。例如，頂層風險管理研究不涉及較低層級上的細節內容。這個框架提出曾被所有水平研究工作忽視的關鍵因素，即縱向穿越水平層級的“垂直”聯合。上級所做出的組織和管理決策應傳達給下級層次，而低層級的進程信息應傳送給上級。這種信息垂直流動形成了閉環反饋系統，它在整體社會技術系統的安全中發揮重要作用。在各個層面上，決策及決策者的行動也可導致事故，而不是僅限于控制層面上工人所導致事故。

如圖1右側所示，復雜社會技術系統的各層日益受到外部破壞性力量的影響。這種外部力量快速變化和不可預測。當不同層級上的系統正經受不同的壓力及每個系統接收不同時間上的操控時，通過強調施加于各個層面上不斷變化約束的協調一致，提高每個層面的安全性，這才是管理意外事件或不確定性的重點。

2．系統動力

在復雜動態環境中，特別是在緊急、高風險和非預期情況下，無法建立適合每種條件下的程序[9]。在核電站運行中，任務和程序都有嚴格規定，違反指令的應給予監管[10]。然而，Vicente認為，考慮到實際工作量和時間的限制，運營商違反正式程序的行為似乎相當理性（理智）。經營者的行為依賴于情景關系，并形成于動態工作環境下。

決策和人類活動應限制在由行政、功能和安全約束所定義的工作邊界內。Rasmussen指出，在分析工作區域安全時，重要的是識別安全操作界限和導致社會技術系統朝著邊界遷移或跨越邊界的動態力量[9]，如圖2所示。動態力量能影響復雜社會技術系統，讓其隨著時間變化改變其行為。安全行為空間是指主體能隨意操作的區域，是由三個邊界線合圍而成：個人不可接受工作量，財政和經濟的制約，以及安全規章和程序。財政壓力產生成本梯度，促進個人行為采取更經濟有效的工作方法；而工作量壓力導致努力梯度，激勵個人改變自己工作習慣，以減少認知或體力的勞動。這些梯度誘導人們改變行為，類似于氣體分子的“布朗運動”。

圖2 安全操作邊界

在經過一段時間后，這種適應性行為使人們跨越安全工作法規的邊界和朝著功能上可以接受行為的邊界進行系統遷移。如果失去控制邊界權，這可能會導致意外。Rasmussen聲稱，這些適應環境壓力的不協調企圖發展緩慢而穩步地“為事故做準備”。切爾諾貝利核電站事故表明，幾個事故不是由巧合的獨立故障和人為失誤引起的，而是由于組織在侵略性競爭環境中承受著成本效益壓力，迫使組織行為向著事故進行系統性遷移[9]。

因此，為提高社會技術系統安全性，必須定義安全操作界限，使得參與者能看到邊界，從而有機會控制行為的波動范圍。

（四）STAMP方法

1．事故的系統理論模型

事故的系統理論模型（System-theoretic model of accidents，STAMP）假設，系統理論是分析事故的有效途徑，特別是系統性事故[6]。當控制系統不能充分處理外部干擾、組件故障或系統組件之間的紊亂相互作用時，事故就發生了。安全被認為是一個控制問題，并由嵌入在自適應社會技術系統的控制結構來實施管理或約束。如果要理解為何會發生事故，就要確定為什么控制結構是無效的。為防止未來發生意外，就需要設計一個執行必要約束的控制結構。系統被視為相互關聯的組件，是由信息和控制的反饋回路來保證系統處在動態的平衡狀態。于是，STAMP使用反饋控制系統作為特定因果模型：（1）在有目的系統中，各子系統維持著防止事故發生的約束；（2）如果發生了意外，這些約束就已無效了；（3）STAMP通過調查所涉及的系統，特別是人力組織子系統，找出缺失或不適當功能（那些未能維持約束的功能）；（4）通過分析反饋和控制操作，STAMP保持工作狀態。

STAMP所關注的最基本對象不是事件，而是強制制約。因此，風險和事故被視為是由違反系統安全約束的組件之間的相互作用所致的結果。強制執行這些約束的控制流程必須將系統行為變化限制在安全范圍內和適應所施加約束的調整。控制不力可能源自缺少安全約束，不適當的通訊約束，或者源自強制約束處在較低水平，或無法達到約束要求。

三、形式化方法和事故分析

（一）事故分析的邏輯形式體系

許多事故調查報告的結構、內容、質量和有效性一直受到質疑。他們不能準確地反映事件，或無法確定因果關系的關鍵因素，有時結論含有不正確事故原因。報告中的遺漏、含糊或不準確信息可能導致不安全系統設計和誤導立法[11]。因此，迫切需要提高傳統事故調查報告中信息準確性。

通過強調定義和精確描述的重要性，并提供描述和推理事故的某些符號，形式化方法可以改善事故分析效果。形式化方法是以數學為基礎的技術，提供了嚴格和系統的框架，以規范、設計和驗證計算機系統（包括軟件和硬件）。形式化方法本質上是由三個主要部分所構成的正式規范語言：確認句子語法結構良好的規則（語法）；在所考慮范疇內，以精確、有意義的方式解釋句子的規則（語義）；并從規范推斷出有用信息的規則（證明）[12]。形式化分析方法提供了這樣一種手段：證明規范可實現，證明系統已正確執行，證明系統的性能，而不必通過系統運行來確定其行為。在工業和研究領域中，使用形式化方法需要大量綜合經驗[13]。具體應用形式化方法的實例，可以參見有關文獻[14～16]。

形式化方法已成功地應用于設計和驗證關鍵安全系統。但是，為進一步洞察事件和事故報告中的諸多方面，該方法仍需要擴展。單一的建模語言不太可能模擬事故中的所有因素及各個方面。同樣，擴大形式化方法在模擬完整的社會技術系統時也有局限性，這需要更多的數學專家參與解決，但不是任何因素或過程都可以形式化的。

1.內陸開放高地建設為重慶市現代農業探索國際化路徑提供條件。在“一帶一路”倡議下，長江黃金水道、中歐班列、“南向通道”、江北國際機場等國際大通道建設初見成效，兩江新區、中新互聯互通項目和自貿試驗區等國家級開放平臺初步成型，為現代農業探索國際化新路徑提供必要條件。

（二）因果關系概率模型

到目前為止，所討論的事故建模方法是基于因果關系的確定性模型。這些模型聚焦于確定性因果關系序列的識別，但是其結果是難以驗證的[17]。例如，它不能保證一組效果將會產生，盡管在某個特定時刻存在所謂的充分必要條件。而因果關系概率模型則重點關注在給定情景中讓效果更可能出現的條件，以支持事故分析。概率因果關系是指一組哲學理論，其目的是利用概率理論工具來表征因果效應之間的關系[17]。理論背后的核心思想是，原因提高了其影響的概率。若要了解因果關系概率模型的應用，可閱讀相關文獻[18～20]。

四、社會學和組織分析方法

重大事故的調查都強調，在尋求復雜系統的事故原因時，必須考慮技術和組織系統之間的交互與依存關系。Shrivastava認為，工業事故能確認其原因，即人力、組織和技術[21]。這些事故后果呼吁設計新的政策，以防止未來發生此類危機。

一些關于航空和海運意外事故的研究表明，人因和組織是事故和事故征候的主要致因因素。Johnson和Holloway分析了北美在1996～2006年的主要航空和海上事故并得出結論，組織因素的比例超過了人為錯誤的比例[22]。例如，美國航空事故中的因果關系表明：48%的組織因素，37%的人為原因，12%的設備原因，3%其他原因；海上事故的分析歸類顯示：53%的組織因素，24～29%的人為差錯，10～19%為設備故障，2～4%為其他原因。

從文化和組織的角度，Hopkins研究了英國皇家委員會關于朗福德埃索氣廠爆炸的事故報告。認為，事故主要成因都與一系列的組織失敗有關：警示標志問題、通信問題、不重視重大危險源、敷衍了事的審核，以及沒能從以前故障中汲取教訓[23]。

Sagan從關于核武器組織研究中發現，政治影響組織，許多利益沖突起因于指揮和控制、以及軍事和文職領導人之間矛盾。權力和政治必須受到重視，不僅在尋找組織事故的原因過程中，而且在組織設計和變革的艱難過程中，以提高組織的安全性和可靠性[24]。

2011年3月11日，日本福島第一核電站爆炸。福島核事故獨立調查委員會經過6個月的調查，向參眾兩院提交了事故正式調查報告，認為“事故并非自然災害，明顯是人禍”。報告認為，福島第一核電站事故是由于政府、監管機構和東京電力公司的一些串通行為以及缺乏明確指導所造成的。

五、討論和結論

系統建模方法將事故視為一種突發現象，起因于諸多系統組件之間的復雜非線性相互作用。這些互動和事件很難理解，僅通過安全工程的標準技術來分析是不夠的，它們不能充分洞察無故障運行的諸多組件之間的不正常交互。

Rasmussen的框架應用于埃索氣廠爆炸等事故的分析。這些案例研究表明，Rasmussen的框架在解釋事故原因后驗方面的有效性。此外，要進一步地研究這個框架并擴展至事故的預測，并探討將其應用于關鍵社會技術系統中的風險和安全性分析。

同樣，STAMP應用到諸多事后事故分析的案例研究[26]。現在，應從方法上發展STAMP模型，包括開發適應于有缺陷的分類控制模型和解釋指南。STAMP模型在系統設計早期階段的主動事故調查方面進行了拓展。Leveson和Dulac討論使用STAMP模型進行危害分析，安全（風險）評估，并作為綜合風險管理體系的基礎[27]。

組織社會學家在理解復雜社會技術系統中的事故方面做出了顯著貢獻。他們強調事故的組織方面，而往往忽視了技術問題。針對社會技術系統，系統的理論方法提供了安全分析框架，適用于包括技術、人力、社會和組織因素及系統組件之間交互的建模。社會技術系統必須視為一個整體，強調并行和系統地考慮社會和技術層面，包括社會結構和文化、社會互動過程[28]。

在新的系統性事故模型進展方面，基于認知系統工程的FRAM模型應進行深入的研究，并應用于復雜的社會技術系統的建模，以理解人類和系統性能的可變性，以及變化如何與事故的因果關系相關。

雖然形式化方法成功地應用于關鍵安全系統的設計和驗證，但是他們需要擴展以洞察許多因素，包括事故中人的行為和組織因素。所開發的語言和語義仍需進一步地研究，以適應針對現代復雜系統事故各個方面的建模，如組織、文化、社會屬性和人的表現。

未來的研究需要綜合地分析新系統模型在廣泛社會技術系統類型中的適用性，特別是在安全關鍵領域，如交通、核電、海洋、國防和航空航天。進一步的研究應關注新的系統性事故模型在各種復雜社會技術領域的比較和對比。

復雜系統具有動態特性，為應對環境波動而不斷調整自己的行為。系統的這種適應性無法在系統設計期間編入預定程序[29]。系統可能會在安全法規的邊界處變得不穩定或失去控制。因此，應變能力是組織保持控制的能力，以阻止區域內發生事故。韌性工程是阻止這種情況發生的有效方法、原則和工具。系統性事故模型支持對韌性工程的分析。STAMP已應用到面臨高風險和高性能要求的組織韌性分析[29]。

現代社會技術系統的復雜性，對新的安全分析及模型提出了跨學科研究挑戰，因此，迫切需要研究人員走出自己的傳統邊界，在更廣泛的系統觀點下洞察現代社會技術系統的復雜性，以便從安全的多個維度進行理解和構建系統事故模型。

基于上述分析，本文提出綜合視角下的事故分析框架，如圖3所示。

圖3 基于復雜社會技術系統的事故分析框架

（1）在具體分析時，可以選擇元件、組件、系統或系統系作為分析對象，并界定對象邊界；（2）從選擇維度上，選擇物理功能維度，或選擇社會組織維度，或政治等其他維度，或多種維度的組合。一般地，關于簡單事故的分析，選擇基于物理功能維度的傳統事故模型，還可進一步地關聯多個事故模型進行分析。關于復雜事故的分析，可基于社會組織維度選擇系統事故模型。（3）從組件之間耦合關系上，有松散和緊密耦合之分。（4）從事故因果關系上，有線性簡單與非線性復雜之分。（5）從模型拓展及趨勢來看，傳統事故模型需要拓展或提升，以適應在復雜社會技術系統中的事故分析的需要。同樣，系統事故模型要避免忽視技術因素的不足，通過深化分析內容，兼顧更多的技術分析因素。

隨著復雜社會技術系統的發展，系統系的概念或模式為分析不確定性事件提供了更廣闊視角。系統系旨在通過控制約束或組件之間的協調來實現未來特定目標。系統系事故模型關注未來情景下正常運行組件之間交互所導致的不確定性分析，突出以盡可能預測未知的方式分析不確定性，也是事故分析的一種新挑戰。

[1]郭文晶,劉祖德,蔣暢和.事故致因理論和研究方法分析研究[J].現代商貿工業,2012,23:207-208.

[2]陳寶智,吳敏.事故致因理論與安全理念[J].中國安全生產科學技術,2008,01:42-46.

[3]TRIST E L,BAMFORTH K W.Some Social and Psychological Consequences of the Long wall Method of Coal-Getting[J].Human Relations,1951,4:3-39.

[4]羅建原,羅帆.西方系統系理論初探[J].當代經濟管理,2014,04:6-9.

[5]HOLLNAGEL E.Barriers and Accident Prevention[M].Hampshire:Ashgate,2004.

[6]LEVESON N.A New Accident Model for Engineering Safer Systems[J].Safety Science,2004,42(4):237-270.

[7]WOODS D D,JOHANNESEN L J,COOK R I,SARTER N B.Behind Human Error:Cognitive Systems,Computers and Hindsight[C].SOAR Report 94-01,Wright-Patterson Air Force Base,Ohio,CSERIAC,1994.

[8]HOLLNAGEL E,WOODS D D.Joint Cognitive Systems:Foundations of Cognitive Systems Engineering[M].New York:Taylor &Francis,2005.

[9]RASMUSSEN J.Risk Management in a Dynamic Society:A Modeling Problem Safety [J].Science,1997,27(2/3):183-213.

[10]VICENTE K J,MUMAW R J,ROTH E M.Operator monitoring in a complex dynamic work environment:A qualitative cognitive model based on field observations [J].Theoretical Issues in Ergonomics Science,2004,5(5):359-384.

[11]LEVESON N G.Software:System Safety and Computers[M].Reading,MA:Addison-Wesley,1995.

[12]LAMSWEERDE A V.Formal Specification:A Roadmap.Proceedings of the Conference on The Future of Software Engineering [M].Limerick,Ireland:ACM Press,2000:147-159.

[13]HINCHEY M G,BOWEN,J P.Applications of Formal Methods[C].International Series in Computer Science,Herts,UK:Prentice Hall,1995.

[14]吳建安,吳雪蓮,孫丙宇.自然災害應急預案形式化表示技術[J].計算機系統應用,2012,09:133-136+26.

[15]崔琳琳,柴躍廷.企業群體協同機制的形式化建模及存在性研究[J].清華大學學報(自然科學版),2008,04:486-489.

[16]閆仕宇,胡義香,蔣輝,申君.形式化方法在核事故評價系統中的應用[J].南華大學學報(自然科學版),2012,03:73-78.

[17]JOHNSON C W.Failure in Safety-Critical Systems:A Handbook of Accident and Incident Reporting.Glasgow [M].Scotland:University of Glasgow Press,2003.

[18]陸寧云,何克磊,姜斌,呂建華.一種基于貝葉斯網絡的故障預測方法[J].東南大學學報(自然科學版),2012,S1:87-91.

[19]趙金寶,鄧衛,王建.基于貝葉斯網絡的城市道路交通事故分析[J].東南大學學報(自然科學版),2011,06:1300-1306.

[20]李東寧,尚云龍,鄭中義.淺議貝葉斯網絡應用于海上交通事故致因分析的可行性[J].交通建設與管理,2009,05:140-144.

[21]SHRIVASTAVA P B.Anatomy of a Crisis [M].Second Edition,London:Paul Chapman,1992.

[22]JOHNSON C W,HOLLOWAY C M.A Longitudinal Analysis of the Causal Factors in Major Maritime Accidents in the USA and Canada (1996-2006)[C].Bristol,UK:Proceedings of the 15th Safety-Critical Systems Symposium,2007.

[23]HOPKINS A Lessons from Langford:The Esso Gas Plant Explosion[C].Sydney:CCH,2000.

[24]SAGAN S.Limits of Safety.Organizations,Accidents,and Nuclear Weapons[M].Princeton,NJ:Princeton University Press,1993.

[25]伍浩松,王海丹.福島核事故獨立調查委員會公布調查報告 福島核事故被認定“明顯是人禍”[J].國防科技工業,2012,10:77.

[26]JOHNSON C,Holloway C M.The ESA/NASA SOHO Mission Interruption:Using the STAMP Accident Analysis Technique for a Software Related‘Mishap’[J].Software:Practice and Experience,2003b,33:1177-1198.

[27]LEVESON N G,DULAC N.Safety and Risk Driven Design in Complex Systems-of-Systems[C].Orlando:1st NASA/AIAA Space Exploration Conference,2005.

[28]MARAIS K,DULAC N,LEVESON N.Beyond Normal Accidents and High Reliability Organizations:The Need for an Alternative Approach to Safety in Complex Systems[C].Cambridge,MA:ESD Symposium,Massachusetts Institute of Technology,2004.

[29]HOLLNAGEL E,WOODS D D,LEVESON N.Resilience Engineering:Concepts and Precepts[M].Alders hot:Ash gate,2006.