1 事故归因系统观

1.1 系统安全理论的提出

20世纪50年代以来，科学技术进步的一个显著特征是设备、工艺及产品越来越复杂。战略武器研制、宇宙开发及核电站建设等使得作为现代科学技术标志的大规模复杂系统相继问世，这些复杂的系统往往由非常复杂的关系相连接，人们在研制、开发、使用及维护这些大规模复杂系统的过程中，逐渐萌发了系统安全的基本思想。于是，美国在20世纪50年代到60年代研制洲际导弹的过程中，系统安全理论应运而生。

导弹的推进剂是由气体加压到420 kg/cm2,温度低达-196℃的低温液体，这种推进剂的化学性质非常活泼且有剧毒，其毒性远远超过第二次世界大战中使用的毒气的毒性，其爆炸性比烈性炸药更强烈，并且比工业中使用的腐蚀性化学物质更有腐蚀性。当时负责该项目的美国空军的官员们并没有认识到他们着手建造的导弹系统潜伏着巨大的危险性。在洲际导弹试验开始的头一年半里就发生了四次爆炸，造成了惨重的损失。在此以前，美国空军曾发生过大量的飞行事故，空军官员们一般都把飞机失事归咎于飞行员们的操作失误。由于导弹上没有飞行员，现在不能再把造成导弹爆炸的责任推到驾驶员身上，这些事故纯粹是由于物的故障造成的，很明显，爆炸的原因应归咎到导弹投人试验、发射构思、设计、制造及维护等方面的问题。于是，美国开始了系统安全理论的研究。

起初，没有可以用来解决这些复杂系统安全性的方法。为此，人们做了许多工作，研究开发防止系统事故的新概念和新方法，在保留工业安全原有的概念和方法中正确成分的前提下，并且吸收其他领域科学技术和管理方法，形成了系统安全理论。

所谓系统安全（System Safety），是在系统寿命周期内应用系统安全管理及系统安全工程原理，识别危险源并使其危险性减至最小，从而使系统在规定的性能、时间和成本范围内达到最佳的安全程度。系统安全的基本原则是在一个新系统的构思阶段就必须考虑其安全性的问题：制定并开始执行安全工作规划——系统安全活动，并且把系统安全活动贯穿于系统寿命周期直到系统报废为止。

1.2 系统安全理论的主要观点

系统安全理论包括很多区别于传统安全理论的创新概念：

(1) 在事故归因理论方面，改变了人们只注重操作人员的不安全行为而忽略硬件的故障在事故归因中作用的传统观念，开始考虑如何通过改善物的系统的可靠性来提高复杂系统的安全性,从而避免事故。

(2）没有任何一种事物是绝对安全的，任何事物中都潜伏着危险因素。通常所说的安全或危险只不过是一种主观的判断。能够造成事故的潜在危险因素称作危险源，来自某种危险源的造成人员伤害或物质损失的可能性叫做危险。危险源是一些可能出问题的事物或环境因素，而危险表征潜在的危险源造成伤害或损失的机会，可以用概率来衡量。

(3) 不可能根除一切危险源和危害，但可以减少来自现有危险源的危险性，宁可减少总的危险性而不是只彻底去消除几种选定的危险。

(4) 由于人的认识能力有限，有时不能完全认识危险源和危险，即使认识了现有的危险源，随着生产技术的发展，新技术、新工艺、新材料和新能源的出现，又会产生新的危险源。由于受技术、资金、劳动力等因素的限制，对于认识了的危险源也不可能完全根除。由于不能全部根除危险源，只能把危险降低到可接受的程度，即可接受的危险。安全工作的目标就是控制危险源，努力把事故发生概率减到最低，即使万一发生事故时，把伤害和损失控制在较轻的程度上。

1.3 系统安全中的人失误

作为系统安全应用对象的导弹系统、武器系统是一些由机械、电子零部件组成的硬件系统，当把系统安全推广到核电站等包括人在内的系统时，就又遇到了人的因素问题。人作为一种系统元素，发挥功能时会发生失误。与以往工业安全的术语“人的不安全行为”不同，系统安全中采用术语“人失误”。

里格比（Rigby）认为，人失误是人的行为的结果超出了系统的某种可接受的限度。换言之，人失误是指人在生产操作过程中实际实现的功能与被要求的功能之间的偏差，其结果是可能以某种形式给系统带来不良影响。

人失误产生的原因包括两方面：一是由于工作条件设计不当，即可接受的限度不合理引起人失误；二是由于人员的不恰当行为造成人失误。除了生产操作过程中的人失误之外，还要考虑设计失误、制造失误、维修失误以及运输保管失误等，因而较以往工业安全中的“不安全行为”，人失误对人的因素涉及的内容更广泛、更深入。

20世纪70年代末的美国三里岛核电站事故曾引起一阵恐慌，特别是印度的博帕尔农药厂的毒气泄漏事故和前苏联的切尔诺贝利核电站事故等一些巨大的复杂系统的意外事故给人类带来了惨重的灾难。对这些事故的调查表明，人失误、特别是管理失误是造成事故的罪魁祸首。因而，当今世界范围内系统安全理论研究的一个重大课题，就是关于人失误的研究。