緱變彩， 覃亞偉， 王 帆

(1.武漢科技大學(xué) 城市學(xué)院， 湖北 武漢 430083； 2.華中科技大學(xué) 土木工程與力學(xué)學(xué)院， 湖北 武漢 430074；3.長江水利委員會長江科學(xué)院， 湖北 武漢 430015)

系統(tǒng)安全理論與模型發(fā)展研究綜述

緱變彩1， 覃亞偉2， 王 帆3

(1.武漢科技大學(xué) 城市學(xué)院， 湖北 武漢 430083； 2.華中科技大學(xué) 土木工程與力學(xué)學(xué)院， 湖北 武漢 430074；3.長江水利委員會長江科學(xué)院， 湖北 武漢 430015)

復(fù)雜社會技術(shù)系統(tǒng)的安全績效取決于技術(shù)層面因素與組織管理層面因素的相互作用關(guān)系，而非個體要素。事故被認(rèn)為是復(fù)雜系統(tǒng)中各個要素之間相互作用所產(chǎn)生的一種涌現(xiàn)現(xiàn)象，需要用系統(tǒng)安全思想進(jìn)行研究，建立相應(yīng)的系統(tǒng)安全模型。本文簡要回顧了事故致因與系統(tǒng)安全理論的發(fā)展趨勢，將事故致因與系統(tǒng)安全理論依據(jù)研究范式劃分為三代，即規(guī)范性理論與模型、基于系統(tǒng)狀態(tài)偏離標(biāo)準(zhǔn)程度的描述性理論與模型、以及基于系統(tǒng)實(shí)際行為的描述性理論與模型，在此基礎(chǔ)上，總結(jié)了建立系統(tǒng)安全模型的現(xiàn)狀、必要性和挑戰(zhàn)，強(qiáng)調(diào)建立系統(tǒng)安全模型需要從近端因素到遠(yuǎn)端因素、從靜態(tài)分析到動態(tài)建模、從還原論到整體論進(jìn)行轉(zhuǎn)變，將安全分析重點(diǎn)從找尋事故原因轉(zhuǎn)移到事故發(fā)生機(jī)理上來。

系統(tǒng)安全； 復(fù)雜社會技術(shù)系統(tǒng)； 安全風(fēng)險建模

社會技術(shù)系統(tǒng)于20世紀(jì)60年代初由英國Tavistock研究所提出[1]，泛指技術(shù)密集和資金密集、積聚能量巨大的工業(yè)組織，認(rèn)為生產(chǎn)系統(tǒng)都具有技術(shù)和社會表征，而且是緊密聯(lián)系和相互作用的，系統(tǒng)績效取決于這種相互作用而不是個體要素，并由此萌發(fā)了“系統(tǒng)安全”的基本思想，指在一個項(xiàng)目的全生命周期內(nèi)運(yùn)用一定的技術(shù)和管理手段，系統(tǒng)地、有遠(yuǎn)見地識別和控制危險[2]。然而現(xiàn)有的事故模型對組織等社會層面的分析與生產(chǎn)等技術(shù)層面的分析卻往往是分開進(jìn)行，缺少對兩者相互作用關(guān)系的研究。

本文將在回顧事故致因與系統(tǒng)安全理論與模型的基礎(chǔ)上，分析構(gòu)建系統(tǒng)安全風(fēng)險分析模型所面臨的挑戰(zhàn)，以期作為今后構(gòu)建地鐵施工系統(tǒng)安全風(fēng)險分析模型的基礎(chǔ)。

1 事故致因與系統(tǒng)安全理論及模型的發(fā)展

Rasmussen[3]根據(jù)安全風(fēng)險研究的思維范式將安全風(fēng)險分析思路分為三個階段，據(jù)此可將研究安全風(fēng)險的理論和模型按時間劃分為三代(圖1)[4]。

圖1 事故致因與系統(tǒng)安全理論及模型的發(fā)展

1.1 規(guī)范性理論與模型(第一代)

規(guī)范性理論與模型主要體現(xiàn)的是一種“深層防御”的思想，通過提高系統(tǒng)的冗余性，建立多層防御，以及將工作流程標(biāo)準(zhǔn)化來改善系統(tǒng)的安全性?！吧疃确烙彼枷胱畲蟮呢暙I(xiàn)在于它迫使人們在對系統(tǒng)進(jìn)行設(shè)計(jì)和運(yùn)行時必須考慮事故可能發(fā)生的路徑，從而為系統(tǒng)的設(shè)計(jì)和運(yùn)行提供參考依據(jù)。然而系統(tǒng)的冗余性也使得系統(tǒng)的復(fù)雜性增加，更重要的是，這些“防御措施”可能會隱藏系統(tǒng)發(fā)展到危險狀態(tài)的過程，降低人們的安全意識[4～5]。

1.2 基于系統(tǒng)狀態(tài)偏離標(biāo)準(zhǔn)程度的描述性理論與模型(第二代)

基于系統(tǒng)狀態(tài)偏離標(biāo)準(zhǔn)程度的描述性理論與模型認(rèn)為事故的發(fā)生是系統(tǒng)狀態(tài)偏離標(biāo)準(zhǔn)程度過大所導(dǎo)致，具體又可以分為以下兩類[6]。

1.2.1 事件序列理論與模型

事件序列理論將事故描述為一系列事件依次發(fā)生所導(dǎo)致的結(jié)果。這些模型假設(shè)事件發(fā)生所產(chǎn)生的影響可以通過預(yù)先定義好的因果關(guān)系進(jìn)行傳播并最終導(dǎo)致事故的發(fā)生，其代表有Heinrich的多米諾理論[7]，Johnson的能量理論[8]，前者認(rèn)為事故是一系列自我平衡事件的轉(zhuǎn)換結(jié)果，即事故是不期望事件發(fā)生后的一種補(bǔ)償，后者則認(rèn)為事故是由于防護(hù)不足導(dǎo)致能量意外釋放所致。

事件序列模型通常采用演繹法或歸納法分析事故發(fā)生的原因或事件導(dǎo)致的后果，如事件樹(ETA)及故障樹(FTA)等。Norman Rasmussen研究并提交的WASH-1400報告[9]建立了概率風(fēng)險評估技術(shù)框架，基于上述方法在核電領(lǐng)域進(jìn)行安全評估，極大地推動了此類模型的研究和應(yīng)用。FTA/ETA由于能夠描述風(fēng)險的三個要素，且計(jì)算簡便，因此也被應(yīng)用于隧道、橋梁等土木工程領(lǐng)域，如Sturk等人[10]用FTA分析了公路隧道施工對周圍環(huán)境的破壞風(fēng)險；Hong 等人[11]采用ETA識別了隧道開挖過程中可能遇到的不利事件并用于幫助盾構(gòu)機(jī)選型設(shè)計(jì)；Choi等人[12]基于ETA構(gòu)建了一個橋梁施工失事場景的自動識別方法。

1.2.2 流行病學(xué)理論與模型

流行病學(xué)理論將事故的發(fā)生比喻成疾病傳播，認(rèn)為事故的發(fā)生是多個因素(如行為偏差、防御措施失效等)共同作用的結(jié)果。與事件序列理論類似，流行病學(xué)理論也是基于因果關(guān)系描述事件所產(chǎn)生的影響是如何傳播的，但與事件序列理論不同的是，流行病學(xué)理論能描述導(dǎo)致事故的因素間更為復(fù)雜的作用關(guān)系，某個事件既可能是幾個事件共同作用的結(jié)果，也可能是導(dǎo)致另外幾個事件發(fā)生的原因之一。

流行病學(xué)模型最著名的代表為Reason的“瑞士奶酪”模型[5]，Reason將系統(tǒng)的不同層面表示為瑞士奶酪的切片，切片上的“洞”表示系統(tǒng)各個層面的缺陷。事故從最遠(yuǎn)端的組織決策(即規(guī)劃、設(shè)計(jì)、管理、溝通等)失誤開始，這些缺陷為事故的發(fā)生創(chuàng)造了最初的潛在條件；組織決策上的失誤可能導(dǎo)致現(xiàn)場管理者的管理難度加大(如需要完成的任務(wù)繁雜)，并造成工作條件惡化(如工作量過大，進(jìn)度吃緊)，從而導(dǎo)致人的失誤或違規(guī)操作，并導(dǎo)致事故發(fā)生(圖2)。該理論可以作為風(fēng)險評估模型的建?？蚣埽鏡en等人[13]基于“瑞士奶酪”理論構(gòu)建了一個具有五層層次結(jié)構(gòu)的風(fēng)險評估模型，用層次結(jié)構(gòu)來描述從根本原因到事故后果的因果作用關(guān)系及風(fēng)險的傳播過程。

圖2 瑞士奶酪模型

然而，無論是事件序列理論還是流行病學(xué)理論，都是基于事件因果關(guān)系來描述事故的發(fā)生，這種思路有一定的局限性。正如Rasmussen所說：“基于事件解釋事故的發(fā)生對于改善系統(tǒng)安全沒有多少幫助……很明顯，我們需要一種新的方法來描述系統(tǒng)行為，將重點(diǎn)放在實(shí)際的、動態(tài)的工作情景中導(dǎo)致人的失誤或違規(guī)操作的機(jī)理，而不是人的失誤或違規(guī)操作本身”[3]。而Leveson認(rèn)為，解決這一問題需要采用系統(tǒng)工程思想[14]。

1.3 基于系統(tǒng)實(shí)際行為的描述性理論與模型(第三代)

基于系統(tǒng)實(shí)際行為的描述性理論，如Barry Turner的人為災(zāi)難理論(MMD)[15]，Charles Perrow的常態(tài)事故理論(NAT)[16]，Karlene Roberts提出的高可靠性組織理論(HRO)[17]等，對現(xiàn)在事故致因和系統(tǒng)安全的研究思路有著很深的影響，如MMD理論認(rèn)為：(1)事故有著共同的產(chǎn)生模式，可以用來分析并提高系統(tǒng)的安全性；(2)事故發(fā)生有一個較長的孵化期，事故發(fā)生原因可以深究到過去一系列不利因素的累積；(3)事故不能僅僅歸咎于技術(shù)問題，組織與管理才是事故發(fā)生的關(guān)鍵。NAT理論認(rèn)為系統(tǒng)交互的復(fù)雜程度和耦合程度是決定系統(tǒng)安全與否的兩個重要特點(diǎn)。而HRO理論認(rèn)為要從本質(zhì)上限制事故的發(fā)生并實(shí)現(xiàn)盡可能高的系統(tǒng)績效，一個組織(稱為高可靠性組織)通常需要具備四個特點(diǎn)：(1)安全與生產(chǎn)應(yīng)同等重要，且組織內(nèi)部對該目標(biāo)一致認(rèn)同；(2)權(quán)力分散與權(quán)力集中的管理模式需同時存在；(3)較強(qiáng)的組織學(xué)習(xí)能力；(4)廣泛使用系統(tǒng)冗余。

Rasmussen[3]是開創(chuàng)基于控制論、系統(tǒng)論分析系統(tǒng)安全的先驅(qū)之一，他認(rèn)為類似博帕爾、切爾諾貝利這樣的事故并不是各個備件失效和人為失誤疊加所造成的巧合，而是在競爭激烈的環(huán)境中受到經(jīng)濟(jì)效益的壓力導(dǎo)致組織行為系統(tǒng)性的向事故發(fā)生的邊界遷移(圖3)。

圖3 系統(tǒng)向事故邊界自然遷移

Rasmussen認(rèn)為任何工作都會受到管理、功能和安全上的約束，工作目標(biāo)與約束形成了個體行為，個體要么適應(yīng)約束要么改變約束來達(dá)成既定目標(biāo)，而在這個過程中，管理提供了一個“效益梯度”，而個體提供了一個“效率梯度”，例如管理者通常為了經(jīng)濟(jì)效益，期望在最短時間內(nèi)完成既定任務(wù)，但這樣會大大增加工人的工作量，而工人為了按期完工便會采取一些捷徑。因此，在這兩個梯度的共同作用下，系統(tǒng)會逐漸向安全邊界遷移直到觀察或感覺到危險的存在，如果未察覺到危險或察覺到危險但未采取措施，系統(tǒng)繼續(xù)遷移越過安全邊界從而導(dǎo)致事故發(fā)生。與之前通過標(biāo)準(zhǔn)流程控制系統(tǒng)行為的偏離程度不同，Rasmussen認(rèn)為應(yīng)通過提高邊界的可見性并學(xué)習(xí)如何在邊界應(yīng)對危險來控制系統(tǒng)行為，即構(gòu)建一個“安全梯度”來遏制系統(tǒng)滑向事故邊界的趨勢，為此，Rasmussen將風(fēng)險管理描述為一個控制過程，并指出風(fēng)險管理必須建立在依據(jù)控制需求得出的危險源分類之上[3]。

Leveson[14]基于系統(tǒng)論建立了系統(tǒng)理論事故模型STAMP，認(rèn)為事故是復(fù)雜系統(tǒng)中各個要素相互作用(如人、技術(shù)、環(huán)境之間的影響)所產(chǎn)生的一種涌現(xiàn)現(xiàn)象，缺少對這些相互作用施加約束的控制行為將導(dǎo)致事故的發(fā)生。因此，安全實(shí)際上是一個控制問題，事故分析應(yīng)嘗試從控制論的角度對整個社會技術(shù)系統(tǒng)進(jìn)行建模分析，而這個控制結(jié)構(gòu)的基本組成是約束、反饋回路和控制層級。按照Leveson的觀點(diǎn)，系統(tǒng)不是靜態(tài)的，而是一個不斷適應(yīng)周圍變化來實(shí)現(xiàn)目標(biāo)的動態(tài)過程，由于系統(tǒng)處于不斷變化之中，系統(tǒng)安全的控制實(shí)際是一個不斷施加約束來維持或確保這個適應(yīng)過程安全進(jìn)行的過程。據(jù)此，Leveson從控制論的角度將事故原因分為三類：(1)安全約束不足；(2)控制行為的執(zhí)行不足；(3)反饋不足或缺失。

相比之下，第三代系統(tǒng)安全定量分析模型仍處于發(fā)展之中，除了Leveson基于系統(tǒng)動力學(xué)構(gòu)建的STAMP(Systems-Theoretic Accident Model and Processes)模型[18]之外，Mohaghegh等人[19, 20]基于事件序列圖、故障樹、貝葉斯網(wǎng)絡(luò)和系統(tǒng)動力學(xué)建立了系統(tǒng)安全風(fēng)險分析混合模型SoTeRiA(Social-Technical Risk Analysis)，Stroeve等人[21, 22]則提出了TOPAZ(Traffic Organization and Perturbation AnalyZer)模型，采用基于Agent的動態(tài)風(fēng)險建模技術(shù)和Monte Carlo仿真技術(shù)分析飛機(jī)地面滑行存在的碰撞風(fēng)險。表1總結(jié)了三種模型的不同之處。

表1 三種模型的對比

2 從第二代到第三代之動機(jī)與挑戰(zhàn)

目前，第三代事故致因與系統(tǒng)安全理論仍處于發(fā)展階段，相應(yīng)的分析模型則更少，主要仍以第二代分析模型為主。那么究竟是否需要第三代安全風(fēng)險模型呢？這與建模分析的目的有關(guān)，如果分析目的只是“問責(zé)”，那么基于解析法的第二代事故致因與系統(tǒng)安全模型就足夠了，因?yàn)榇祟惸Ｐ涂梢杂行У刈匪菔录慕?jīng)過直至發(fā)現(xiàn)對事故負(fù)有責(zé)任的人或物。然而實(shí)際中往往發(fā)現(xiàn)，對于某幾個人的問責(zé)并不能阻止類似事故的重演，新的管理者同樣面臨著前任管理者所面臨的問題，這是因?yàn)榇祟惙治霾⒉荒艹浞纸沂臼鹿拾l(fā)生的原因從而從根本上改善系統(tǒng)安全；相反，如果分析的目的是如何構(gòu)建更安全的系統(tǒng)，那么就需要第三代系統(tǒng)安全分析模型，將重點(diǎn)從找尋事故起因上轉(zhuǎn)移到研究系統(tǒng)的行為模式上來[14]。

可見，為了預(yù)防事故的發(fā)生或重演，有必要構(gòu)建第三代系統(tǒng)安全風(fēng)險分析模型。然而從第二代模型轉(zhuǎn)變?yōu)榈谌Ｐ椭饕媾R三個挑戰(zhàn)。

2.1 從近端因素到遠(yuǎn)端因素

事故的發(fā)生背后都有其組織管理原因，組織因素幾乎在所有事故中都伴有重要角色并成為理解與預(yù)防事故發(fā)生的關(guān)鍵[23]，如杭州地鐵一號線蕭山湘湖段“11.15”事故，其主要原因既包括基坑超挖，鋼支撐體系存在薄弱環(huán)節(jié)等技術(shù)問題，也包括監(jiān)測、監(jiān)理工作嚴(yán)重失職等管理原因，然而管理因素究竟如何影響實(shí)際施工過程卻難以進(jìn)行定量分析[24]。而第二代系統(tǒng)安全模型主要是還原事故發(fā)生場景，分析造成事故發(fā)生的技術(shù)或人為的近端因素，因此如何將遠(yuǎn)端的組織管理因素納入到模型中是系統(tǒng)安全風(fēng)險建模面臨的挑戰(zhàn)之一。

2.2 從靜態(tài)分析到動態(tài)建模

復(fù)雜社會技術(shù)系統(tǒng)是一個為實(shí)現(xiàn)系統(tǒng)目標(biāo)不斷適應(yīng)自身及周邊環(huán)境變化的動態(tài)過程，事故是由于系統(tǒng)的模塊如人、組織結(jié)構(gòu)、工程任務(wù)、技術(shù)設(shè)備在這一過程中相互作用所導(dǎo)致的一種涌現(xiàn)現(xiàn)象[25]。因此，第三代系統(tǒng)安全風(fēng)險分析模型必需考慮系統(tǒng)隨時間發(fā)展的自適應(yīng)過程，尤其是在系統(tǒng)受到生產(chǎn)力(如成本、進(jìn)度)的壓力時；此外，系統(tǒng)變量之間還會存在一定程度的延遲，一些不利因素的結(jié)果并不會立即顯現(xiàn)，而這種延遲有時會掩蓋事故發(fā)生的征兆，增加事故分析的難度[26]。例如Goh等人[27]在分析Tasmania巖石崩落事故后發(fā)現(xiàn)，在事故發(fā)生之前已經(jīng)有不少的征兆，事故的起因可以追溯到較早的時間。因此他們得出結(jié)論，事故的發(fā)生也不是一蹴而就，而是各種不利因素隨時間發(fā)展不斷累積疊加最終導(dǎo)致的。然而，基于事件因果關(guān)系的第二代模型無法反映系統(tǒng)的時間特性，因此，如何建立系統(tǒng)的動態(tài)模型是系統(tǒng)安全風(fēng)險建模面臨的又一個挑戰(zhàn)。

2.3 從還原論到整體論

傳統(tǒng)的建模思路通常是將復(fù)雜社會技術(shù)系統(tǒng)進(jìn)行分解后再分別建模分析，然而，許多學(xué)者質(zhì)疑這種基于解析的、還原論思想方法的合理性，他們認(rèn)為這種思路與事故的系統(tǒng)理論思想并不一致[28]。相比之下，整體論認(rèn)為復(fù)雜系統(tǒng)整體大于系統(tǒng)個體之和。安全分析的系統(tǒng)思想是把安全看作一種涌現(xiàn)現(xiàn)象，是系統(tǒng)整體的一個屬性，由系統(tǒng)中的元素相互作用產(chǎn)生，而非其元素自身屬性。例如，對盾構(gòu)機(jī)本身的安全性和可靠性分析并不能得出使用該盾構(gòu)機(jī)進(jìn)行地鐵施工是否安全的結(jié)論，而必需將其置于復(fù)雜的“人—機(jī)—環(huán)境”交互過程之中才有意義。因此，一個系統(tǒng)模型不能依靠子模型的簡單疊加，而應(yīng)是一個系統(tǒng)思想為導(dǎo)向的整體模型，將失效事件看作系統(tǒng)工作的一種產(chǎn)物，將事故損失看作系統(tǒng)工作的一種結(jié)果[29]。因此，如何基于整體論的思想進(jìn)行建模是系統(tǒng)安全風(fēng)險建模面臨的第三個挑戰(zhàn)。

3 結(jié) 語

在過去的幾十年間，人類建造的系統(tǒng)和建造這些系統(tǒng)所處的環(huán)境一直在不斷發(fā)生改變，這些改變給人類安全建造和運(yùn)行這些系統(tǒng)帶來了諸多挑戰(zhàn)，需要采取系統(tǒng)安全思想來指導(dǎo)相應(yīng)的安全工作，基于系統(tǒng)論、控制論構(gòu)建第三代的系統(tǒng)安全風(fēng)險分析模型，對事故發(fā)生的規(guī)律進(jìn)行總結(jié)，從而更好地預(yù)防事故的發(fā)生。

[1] Rice A K. The Enterprise and Its Environment[M]. London：Tavistock Publications，1963.

[2] Roland H E，Moriarty B. System Safety Engineering and Management[M]. New York：John Wiley，1990.

[3] Rasmussen J. Risk management in a dynamic society：a modelling problem[J]. Safety Science，1997，27(2-3)：183-213.

[4] Saleh J H，Marais K B，Bakolas E，et al. Highlights from the literature on accident causation and system safety：review of major ideas，recent contributions，and challenges[J]. Reliability Engineering and System Safety，2010，95(11)：1105-1116.

[5] Reason J. Managing the Rsks of Organizational Accidents[M]. Birmingham ：Ashgate Publishing Limited，1997.

[6] Hollnagel E. Barriers and Accident Prevention[M]. Birmingham：Ashgate Publishing Limited，2004.

[7] Heinrich H W. Industrial Iccident Prevention[M]. New York：McGraw-Hill，1936.

[8] Johnson W G. The Management Oversight and Risk Tree (MORT) Safety Assurance Systems[R]. USA：National Safety Council，1980.

[9] Rasmussen N. Reactor Safety Study, an Assessment of Accident Risks in US Nuclear Power Plants[R]. Washington DC：US Nuclear Regulatory Commission，1975.

[10]Sturk R，Olsson L，Johansson J. Risk and decision analysis for large underground projects, as applied to the Stockholm Ring Road tunnels[J]. Tunnelling and Underground Space Technology，1996，11(2)：157-164.

[11]Hong E S，Lee I M，Shin H S，et al. Quantitative risk evaluation based on event tree analysis technique: application to the design of shield TBM[J]. Tunnelling and Underground Space Technology，2009，24(3)：269-277.

[12]Choi H H，Lee S Y，Choi I Y，et al. Reliability-based failure cause assessment of collaTPed bridge during construction[J]. Reliability Engineering and System Safety，2006，91(6)：674-688.

[13]Ren J，Jenkinson I，Wang J，et al. A methodology to model causal relationshiTP on offshore safety assessment focusing on human and organizational factors[J]. Journal of Safety Research，2008，39(1)：87-100.

[14]Leveson N. A new accident model for engineering safer systems[J]. Safety Science，2004，42(4)：237-270.

[15]Turner B A. Man-made Disasters[M]. London: Wykeham Publications，1978.

[16]Perrow C. Normal Accidents: Living with High-risk Technologies[M]. New York：Basic Books，1984.

[17]Roberts K H. Managing high-reliability organizations[J]. California Management Review，1990，32(4): 101-113.

[18]Leveson N，Daouk M，Dulac N，et al. Applying STAMP in Accident Analysis [DB/OL]. [2013-12-08]. http://sunnyday.mit.edu/caib/walkerton.pdf.

[19]Mohaghegh Z，Mosleh A. Incorporating organizational factors into probabilistic risk assessment of complex socio-technical systems: principles and theoretical foundations[J]. Safety Science，2009，47(8)：1139-1158.

[20]Mohaghegh Z, Kazemi R, Mosleh A. Incorporating organizational factors into probabilistic risk assessment (PRA) of complex socio-technical systems：a hybrid technique formalization[J]. Reliability Engineering and System Safety，2008，94(5)：1000-1018.

[21]Stroeve S H, Blom H A P, Bakker G J. Systemic accident risk assessment in air traffic by Monte Carlo simulation[J]. Safety Science， 2008，47(2)：238-249.

[22]Stroeve S H，Sharpanskykh A，Kirwan B. Agent-based organizational modeling for analysis of safety culture at an air navigation service provider[J]. Reliability Engineering and System Safety，2011，96(5)：515-533.

[23]Leveson N， Dulac N，Marais K，et al. Moving beyond normal accidents and high reliability organizations：a systems approach to safety in complex systems[J]. Organization Studies，2009，30(2-3)：227-249.

[24]解東升，錢七虎，戎曉力. 地鐵工程建設(shè)安全風(fēng)險管理研究[J]. 土木工程與管理學(xué)報，2012，29(1)：61-67.

[25]Marais K，Dulac N，Leveson N. Beyond Normal Accidents and High Reliability Organizations：Lessons from the Space Shuttle[C]. Cambridge ：Paper presented at the ESD External Symposium，2004.

[26]Lofquist E A. The art of measuring nothing：the paradox of measuring safety in a changing civil aviation industry using traditional safety metrics[J]. Safety Science，2010，48(10)：1520-1529.

[27]Goh Y M，Love P E D，Brown H，et al. Organizational accidents：a systemic model of production versus protection[J]. Journal of Management Studies，2012，49(1)：52-76.

[28]Hollnagel E，Woods D D，Leveson N. Resilience Engineering：Eoncepts and Precepts[M]. Aldershot： Ashgate Publishing Limited，2006.

[29]Santos-Reyes J，Beard A N. A systemic approach to managing safety[J]. Journal of Loss Prevention in the Process Industries，2007，21(1)：15-28.

Review of the Development and Research on System Safety Theories and Models

GOUBian-cai1,QINYa-wei2,WANGFan3

(1.Wuhan University of Science and Technology City College, Wuhan 430083, China;2.School of Civil Engineering and Mechanics，Huazhong University of Science and Technology,Wuhan 430074, China; 3.Changjiang River Scientific Research Institute, Wuhan 430015, China)

The safety performance of a complex socio-technical system is determined by the interaction between organizational and managerial factors and technical factors, rather than the single element within the system. The accident can be viewed as an emergent phenomenon arises from the interaction of different agents, which requires a system safety perspective and the related system safety model. The development of accident causation and system safety was reviewed. The theories and models were classified into three generations according to the research paradigms, namely prescriptive theories and models, descriptive theories and models in terms of deviations from norms, and descriptive theories and models in terms of actual behaviors. Based on the review, current trends, motivation and challenges of establishing a system safety model were summarized. The importance of shift from proximal factors to distal factors, from static analysis to dynamic modeling, and from reductionism to holism has been emphasized that the focus should be transferred from causes to mechanisms.

system safety; complex socio-technical system; safety risk modeling

2014-05-03

2014-07-17

緱變彩(1986-)，女，河南安陽人，助教，碩士，研究方向?yàn)槭┕ぐ踩?Email：1621109445@qq.com)

中央高校基本科研業(yè)務(wù)費(fèi)專項(xiàng)資金資助項(xiàng)目(2013QN028)

X91

A

2095-0985(2014)04-0083-05