黃　浪，吳　超

(中南大學 資源與安全工程學院，湖南 長沙 410083)

0　引言

事故致因理論是從大量典型事故調查與分析中提煉出的事故發(fā)生機理，大量研究與實踐已經(jīng)證明事故致因模型在安全科學理論研究與事故預防實踐中的重要性，具體表現(xiàn)在：是事故預防與控制的理論依據(jù)，也是事故調查與分析工具；安全科學原理研究的路徑之一[1]，安全學是從研究生產(chǎn)安全事故層面發(fā)展起來的；是特定時期人們安全理念的集中反映，同時事故模型影響人們對安全的認識[2]。針對已提出的大量事故致因模型，國內學者鐘茂華[3]、羅春紅[4]、樊運曉[5]、魏曉陽[6]，以及國外學者Sklet[7]、Swuste[8-10]等進行了一些梳理，但在時效性、系統(tǒng)性等方面還存在欠缺，尤其是對事故致因建模的基本問題(如方法論、結構體系等)的研究還不足。鑒于此，本文對目前國內外的事故致因模型進行總結與歸納，提煉事故致因建模的一般方法等基礎性問題。在此基礎上，對未來事故致因建模所遇到的挑戰(zhàn)和發(fā)展趨勢進行展望，以期為事故致因建模的研究與應用提供借鑒。

1　事故致因模型綜述與分析

1.1　已有事故致因模型歸類比較

吳超等[11]將安全系統(tǒng)劃分為微觀安全系統(tǒng)、中觀安全系統(tǒng)和宏觀安全系統(tǒng)；Coze[12]指出在系統(tǒng)安全分析和事故致因分析中，在個人層級和社會層級之間建立“微觀-中觀-宏觀”聯(lián)系屬于基礎理論和方法論問題；Durugbo[13]從“微觀-中觀-宏觀”3個維度論述系統(tǒng)信息流建模研究現(xiàn)狀；Yoon等[14]認為在事故分析是應該從宏觀、中觀和微觀3個層面分析事故致因?；诖?，以系統(tǒng)粒度為切入點，從微觀、中觀、宏觀3個層面綜述與比較事故致因模型(如圖1所示)：微觀層面的事故致因模型主要著眼于微觀安全系統(tǒng)，如以人或機為中心的、以人機交互為中心的事故致因模型；中觀層面的事故致因模型主要著眼于中觀安全系統(tǒng)，如以公司等組織系統(tǒng)為中心的事故致因模型；宏觀層面的事故致因模型主要著眼于宏觀安全系統(tǒng)，如以社會技術系統(tǒng)的大環(huán)境為背景的事故致因模型。對現(xiàn)有事故致因模型的歸納分析如表1所示。

從表1可知，現(xiàn)有事故致因模型主要集中在微系統(tǒng)層面和中系統(tǒng)層面，這是由生產(chǎn)方式的變化、人在生產(chǎn)過程中所處地位的變化和人們安全理念的變化決定的。

可預見的是隨著科學技術的發(fā)展，宏系統(tǒng)層面的事故致因模型將會得到越來越多的關注，這也是面對Leveson[61]提出的技術飛速發(fā)展、事故本質發(fā)生改變、新的危險源類型的出現(xiàn)、系統(tǒng)復雜性和耦合性的提高、單類型事故容錯性下降、安全需求和功能需求沖突等挑戰(zhàn)時，新一代事故致因模型最基本的特征。

圖1　安全系統(tǒng)的劃分Fig.1　Division of safety system

表1　事故致因模型歸類

1.2　事故致因的層次體系

根據(jù)上述分析及文獻[52]對事故致因因素的數(shù)目與分布的論述，人們對事故致因的認識經(jīng)歷了從局部到系統(tǒng)的轉變，即從系統(tǒng)元素到系統(tǒng)整體的轉變。因此，以“點-線-面-體”為主線分析事故致因的結構體系(如圖2所示)，其中：點源事故致因模型將事故歸咎于單一致因(如圖2中的“A1-A”，“A2-A”等)，只是從某一方面或某一角度研究事故發(fā)生規(guī)律，如早期的事故頻發(fā)傾向理論和事故遭遇傾向性理論。該類模型忽略了事物間的普遍聯(lián)系，因此逐漸被新的事故鏈模型所取代，由單一致因因素向多因素理論發(fā)展；線源事故致因模型將單個的“點源”因素視為有前后關聯(lián)的事件，將事故描述為線性的鏈式結構(如圖2中的“A11-A1-A”，“A31-A14-A1-A”等)，如Heinrich提出的因果連鎖模型，以及后期Bird，Adams和北川徹三改進Heinrich模型以后分別提出的事故因果連鎖模型。線源事故模型從縱深方向理清了事故致因，但忽視了因素間的橫向關聯(lián)。此外，該類模型將“線”的末端作為事故的初始事件，這和點源事故致因模型類似；面源事故致因模型，隨著系統(tǒng)復雜程度的提高，事故致因的范圍不再局限于單一的點源或線源事故模型，而是“多點”、“多線”組成的事故致因網(wǎng)絡，即面源事故致因模型(如圖2中的“A11-A1-A”和“A31-A3-A”組成的事故致因網(wǎng))，如軌跡交叉模型、瑟利模型、流行病學模型、“2-4”模型等；體源事故致因模型，事故致因不再是簡單的事故連，也不是同一層面的事故致因網(wǎng)絡，而是在線源事故致因和面源事故致因的基礎上，考慮不同致因鏈關鍵節(jié)點之間的橫向關聯(lián)，即事故致因具有等級層次結構的立體網(wǎng)狀結構(如圖2中的“A11-A1-A”，“A13-A14-A2-A”，“A31-A3-A”和“A11-A14-A31”之間的立體事故致因體系)。該類模型指出事故因素間存在遞進的層次結構，這種層次結構的躍遷對應著事故的涌現(xiàn)過程，如綜合論事故致因模型、AcciMap模型、STAMP模型等。

圖2　事故致因的結構體系Fig.2　Structure system of accident-causing

2　事故致因建模的一般方法

方法是1種特定順序或形式，即單一目的的規(guī)程或實踐，方法學是研究方法、方式的綜合與提煉。在事故致因建模方法方面，魏曉陽等[6]進行了初步分析，但對事故致因建模方法的提煉方面還存在欠缺。因此，筆者在對上述50余種事故致因模型歸納分析的基礎上，從建模的理論基礎與建模的一般方法2方面提煉事故致因建模的方法學基礎性問題。事故是復雜的系統(tǒng)涌現(xiàn)現(xiàn)象，事故致因理論建模涉及多種建模理論，如模型輪、相似理論、系統(tǒng)論和系統(tǒng)辨識等最基本理論，還有復雜系統(tǒng)理論、自組織理論、網(wǎng)絡理論、定性理論等。

基于安全科學方法學[3]的視角，通過分析與歸納現(xiàn)有事故致因模型的構建思路與方法，提煉事故致因建模的一般方法：相似比較法、概率統(tǒng)計法、推理歸納法、組合改進法、因果分析法(見表2)。

3　事故致因建模方法的發(fā)展趨勢

不同的生產(chǎn)力發(fā)展階段出現(xiàn)的安全問題不同，現(xiàn)有模型都是在特定的時代和特定的應用背景下提出來的，因此也就有其特定的適用范圍。隨著社會技術系統(tǒng)復雜性的提高，尤其是進入信息時代、大數(shù)據(jù)時代、工業(yè)4.0時代、人工智能時代以后，傳統(tǒng)的事故致因模型將不能滿足復雜系統(tǒng)事故調查與分析。因此，如何抓住科技和社會變革時機，扭轉傳統(tǒng)的事故致因建模理論、方法與技術滯后于科學技術發(fā)展的局勢，提前對事故致因建模所受到的沖擊和變革進行研究將會對人類的安全發(fā)展，以及安全科學學科發(fā)展帶來巨大影響。

1)大數(shù)據(jù)思維與方法將對事故調查與分析、事故致因建模產(chǎn)生變革性影響：由于數(shù)據(jù)統(tǒng)計和分析方法的限制，傳統(tǒng)的事故致因建?？赡芎鲆暬蚝喕艘恍┲乱蛞蛩?，大數(shù)據(jù)將改變安全數(shù)據(jù)的采集、挖掘和分析方法，實現(xiàn)安全數(shù)據(jù)的全樣本采集與分析，更加科學地揭示事故致因；傳統(tǒng)事故致因模型注重因果關系分析和對事故的解釋(解釋型事故致因模型)，基于大數(shù)據(jù)的事故致因建模更加注重事故現(xiàn)象和安全數(shù)據(jù)之間關聯(lián)關系的分析；傳統(tǒng)的事故致因模型基本都是定性分析，基于大數(shù)據(jù)的事故模型可發(fā)現(xiàn)事故發(fā)生的潛在規(guī)律，如事故發(fā)生的周期性、關聯(lián)性、地域性、時間性等規(guī)律，使事故致因分析從定性向定量轉變；傳統(tǒng)的事故模型都是基于對已經(jīng)發(fā)生的事故分析基礎上構建的，盡管對預防事故具有重要意義，但通過經(jīng)歷事故來獲取預防措施具有滯后性。大數(shù)據(jù)的核心理念是如何利用大數(shù)據(jù)進行預測，基于大數(shù)據(jù)的事故模型有助于提前、快速的識別將要發(fā)生的事故，真正做到事故的超前預防；基于大數(shù)據(jù)的事故致因模型可構建全新的安全科學分支學科(即安全大數(shù)據(jù)學)，進而拓展安全科學的內涵和外延；從動態(tài)和變化的觀點來分析事故致因的模型很少，不利于系統(tǒng)分析事故致因，基于大數(shù)據(jù)的事故致因模型可給出對事故調查分析、預測預防更為普遍和有效的方法。

表2　事故致因理論建模一般方法

2)在人工智能時代和工業(yè)4.0時代，社會技術系統(tǒng)越來越數(shù)字化、網(wǎng)絡化、復雜化與智能化，將對傳統(tǒng)的事故致因建模產(chǎn)生深遠影響：復雜巨系統(tǒng)事故的多米諾效應越來越大，而這些變化都是以信息驅動為基礎的，系統(tǒng)對信息的依賴性更強，系統(tǒng)信息流(信息損失、不正確信息和信息流異常流動)或信息不對稱在事故致因中將越來越突出，基于“安全信息”的事故致因建?？赡艹蔀樾乱淮闹髁魇鹿誓Ｐ?；傳統(tǒng)的事故致因理論和系統(tǒng)安全各自發(fā)展，從不同的視角提供事故預防的手段，但二者之間缺少聯(lián)系，新形勢下人類的安全認識觀和安全價值觀將發(fā)生變化，向事故學習的觀念也將發(fā)生變化；雖然系統(tǒng)思維已經(jīng)成為社會技術系統(tǒng)事故分析的主導范式，認為事故是1種復雜的系統(tǒng)現(xiàn)象，但對事故的認識仍然是不完全的，社會技術系統(tǒng)重特大事故依然時有發(fā)生。此外，基于傳統(tǒng)事故模型的事故調查與分析還可導致處于系統(tǒng)“尖底”的人或設備被不正確指責；事故性質的變化，數(shù)碼技術、信息技術、互聯(lián)網(wǎng)技術、大數(shù)據(jù)技術給大多數(shù)行業(yè)帶來一場革命，帶來新的系統(tǒng)故障模式，進而改變事故性質。例如一些應用于電器元件的傳統(tǒng)方法(冗余)，在面對使用數(shù)字技術和軟件技術而導致的事故時是不充分的。冗余在某種程度增加系統(tǒng)的復雜性，進而增加系統(tǒng)風險；安全科學的研究對象和研究手段也將發(fā)生變化，事故調查與分析、事故致因建模需要跨學科、跨領域、跨部門的新研究模式。

此外，新的安全科學研究范式(如安全韌性理論、高可靠性理論、正常事故理論等)也會對對事故致因模型及其建模方法產(chǎn)生沖擊。

4　結論

1)以系統(tǒng)粒度為切入點，提出以“微觀-中觀-宏觀”為主線的事故致因模型比較分析框架，并對現(xiàn)有國內外已經(jīng)提出的50余種事故模型進行歸納分析。

2)通過分析現(xiàn)有事故致因模型從系統(tǒng)局部到系統(tǒng)整體的發(fā)展沿革，提煉以“點源-線源-面源-體源”為分析主線的事故致因模型結構體系。

3)基于安全科學方法學的視角，通過分析與歸納現(xiàn)有事故致因模型的構建思路與方法，提煉事故致因建模的一般方法：相似比較法、概率統(tǒng)計法、推理歸納法、組合改進法與因果分析法，并通過實例分析，論證了所提煉方法的合理性和科學性。

4)對新形勢(信息時代、大數(shù)據(jù)時代、工業(yè)4.0時代、人工智能時代)下的事故致因模型及其建模方法所遇到的挑戰(zhàn)與發(fā)展趨勢進行了分析。

[1]吳超. 近10年我國安全科學基礎理論研究的進展綜述[J].中國有色金屬學報, 2016, 26(8): 1675-1692.

WU Chao. Some advances in safety science fundamental theories of China in the recent ten years[J]. The Chinese Journal of Nonferrous Metals, 2016, 26(8): 1675-1692.

[2]陳寶智, 吳敏. 事故致因理論與安全理念[J]. 中國安全生產(chǎn)科學技術, 2008, 4(1): 42-45.

CHEN Baozhi,WU Min. Etiologies of accident and safety concepts[J]. Journal of Safety Science and Technology, 2008, 4(1): 42-45.

[3]鐘茂華, 魏玉東, 范維澄, 等. 事故致因理論綜述[J]. 火災科學, 1999, 8(3): 36-42.

ZHONG Maohua, WEI Yudong, FAN Weicheng, et al. Overview on accident-causing theories[J]. Fire Safety Science, 1999, 8(3): 36-42.

[4]羅春紅, 謝賢平. 事故致因理論的比較分析[J]. 中國安全生產(chǎn)科學技術, 2007, 3(5): 111-115.

LUO Chunhong, XIE Xianping. Comparison study of accident-causing theories[J]. Journal of Safety Science and Technology, 2007, 3(5): 111-115.

[5]樊運曉, 盧明, 李智,等. 基于危險屬性的事故致因理論綜述[J]. 中國安全科學學報, 2014, 24(11): 139-145.

FAN Yunxiao, LU Ming, LI Zhi, et al. A review of accident modelling approaches based on components of hazards[J]. China Safety Science Journal, 2014, 24(11): 139-145.

[6]魏曉陽, 汪洋, 嚴新平, 等. 事故建模方法研究進展[J].中國安全科學學報, 2016, 26(3): 46-52.

WEI Xiaoyang, WANG Yang, YAN Xinping, et al. Processes in research on methods for modeling accidents[J].China Safety Science Journal, 2016, 26(3): 46-52.

[7]Sklet S. Comparison of some selected methods for accident investigation[J]. Journal of Hazardous Materials, 2004, 111(1-3):29-37.

[8]Swuste P, Gulijk C V, Zwaard W. Safety metaphors and theories, a review of the occupational safety literature of the US, UK and The Netherlands, till the first part of the 20th century[J]. Safety Science, 2010, 48(8):1000-1018.

[9]Swuste P, Gulijk C V, Zwaard W, et al. Occupational safety theories, models and metaphors in the three decades since World War II, in the United States, Britain and the Netherlands: A literature review[J]. Safety Science, 2014, 62(1):16-27.

[10]Swuste P, Gulijk C V, Zwaard W, et al. Developments in the safety science domain, in the fields of general and safety management between 1970 and 1979, the year of the near disaster on Three Mile Island, a literature review[J]. Safety Science, 2016, 86:10-26.

[11]吳超.安全科學方法學[M].北京: 中國勞動社會保障出版社, 2011: 32-63.

[12]Coze J C L. Disasters and organisations: From lessons learnt to theorizing[J]. Safety Science, 2008, 46(1):132-149.

[13]Durugbo C, Tiwari A, Alcock J. Modelling information flows for organizations: a review of approaches and future challenges[J]. International Journal of Information Management, 2013, 33(2): 597-610.

[14]Yoon Y S, Ham D H, Wan C Y. Application of activity theory to analysis of human-related accidents: method and case studies [J]. Reliability Engineering &System Safety, 2016, 150, 22-34.

[15]隋鵬程, 陳寶智, 隋旭.安全原理[M]. 北京: 化學出版社, 2005: 15-16.

[16]Gordon J E. The epidemiology of accidents [J]. American Journal of Public Health & the Nations Health, 1949, 39(4):504-15.

[17]Houston D. New approaches to the safety problem[M]. MajorLoss Prevention, 1971.

[18]Hollnagel E.Cognitive reliability and erroranalysis method[M]. Oxford: Elsevier Science, 1998.

[19]Hollnagel E. Barriers and accident prevention[M]. Hampshire: Ashgate, 2004.

[20]Rasmussen J, Pedersen O, et al.Classification system for reporting events involving humanmalfunctions[M]. Ispra, Italy: Joint Research Centre,1981.

[21]Wickens C. Engineering psychology and human performance[M]. New York: HarperCollins, 1992.

[22]Hollnagel E. Cognitive reliability and error analysis method[M]. Oxford: Elsevier, 1998.

[23]Shorrock S, Kirwan B. Development and application of a human error identification tool for air traffic control[J]. Applied Ergonomics, 2002, 33(4):319-36.

[24]Tuominen R, Saari J. A model for analysis of accidents and its application[J]. Journal of Occupational Accidents, 1982, 4(2-4):263-273.

[25]Emery L W, Mungan N, Nicholson R W. Systematic cause analysis technique (SCAT) Manual.(OH Literature Digest)[J]. Journal of Petroleum Technology, 1970, 22(12):1569-1576.

[26]CCPS, Guidelines for Investigating Chemical Process Incidents[M]. Center for Chemical Process Safety of the American Institute of Chemical Engineers, 1992, ISBN 0-8169-0555-X.

[27]趙寶柱, 沈廷萍,劉如民. 個人因素事故致因模型的探討[J]. 安全與環(huán)境工程, 2004, 11(1): 80-83.

ZHAO Baozhu,SHEN Tingping, LIU Rumin. Discussion on the model of accident phenomenon attributes to personal factors[J]. Safety and Environmental Engineering, 2004, 11(1): 80-83.

[28]袁大祥, 柯丹丹. 事故的系統(tǒng)論[J]. 系統(tǒng)工程學報, 2004, 19(2): 183-186.

YUAN Daxiang, KE Dandan. System theory of accident[J].Journal of Systems Engineering, 2004, 19(2): 183-186.

[29]Gordon R, Flin R,Mearns K. Designing and evaluating a human factorsinvestigation tool (HFIT) for accident analysis[J]. Safety Science, 2005, 43(3):147-171.

[30]Gibson JJ. The contribution of experimental psychology to the formulation of the problem of safety-a brief for basic research. In behavioral Approaches to Accident Research. New York, NY: Association for the aid of Cripple Children. 1961: 77-89.

[31]Haddon W. A note concerning accident theory and research with special reference to motor vehicle accidents[J]. Annals of the New York Academy of Sciences, 1963, 107(2): 635-646.

[32]田水承, 李紅霞, 王莉. 3類危險源與煤礦事故防治[J]. 煤炭學報, 2006, 31(6): 706-710.

TIAN Shuicheng, LIHongxia, WANG Li. Three types hazard theory and prevention of coalmine accidents[J]. Journal of China Coal Society, 2006, 31(6): 706-710.

[33]黃浪, 吳超, 楊冕, 等. 基于能量流系統(tǒng)的事故致因與預防模型構建[J]. 中國安全生產(chǎn)科學技術, 2016, 12(7): 55-60.

HUANG Lang, WU Chao, YANG Mian, et al. Modeling of accident causing and prevention based on energy flow system[J]. Journal of Safety Science and Technology, 2016, 12(7): 55-60.

[34]孟現(xiàn)飛, 張炎治, 宋學鋒, 等. 基于危險源的事故致因機理及兩極化管理[J]. 中國安全科學學報, 2011, 21(9): 34-38.

MENG Xianfei, ZHANG Yanzhi, SONG Xuefeng, et al. Accident causation mechanism and polarized management based on hazards[J]. China Safety Science Journal, 2011, 21(9): 34-38.

[35]Bowles J B, Peláez C E. Fuzzy logic prioritization of failures in a systemfailure mode, effects and criticality analysis[J]. Reliability Engineering & SystemSafety, 1995, 50: 203-213.

[36]錢新明, 陳寶智. 事故致因的突變模型[J]. 中國安全科學學報, 1995, 5(2): 1-4.

QianXinming, Chen Baozhi. The catastrophe model for accident-causion[J].ChinaSafetyScienceJournal, 1995, 5(2): 1-4.

[37]Heinrich H W, Petersen D, Roos N. Industrial accident prevention-a safety management approach[M]. New York:McGrawHill, Inc, 1980: 22-25.

[38]Heinrich H.W. Industrial accident prevention[M]. New York: McGraw-Hill, 1931.

[39]Frank E Bird. Management guide to loss control[M]. Atlanta:Institute Press, 1974: 5-50.

[40]Adams J. The management of risk and uncertainty [J]. Policy Analysis, 1999, 355(1): 1-49.

[41]Reason J.Human Error[M]. New York Cambridge: University Press,1990.

[42]Dechy N, Dien Y, Funnemark E, et al.Results and lessons from the ESReDA’s accident investigation working group [J].Safety Science, 2012,50(6):1380-1391.

[43]Australian Transport Safety Bureau. Analysis, causality and proof in safetyinvestigations. Aviation Research and Analysis Report AR-2007-053.AustralianCanberra City:Transport Safety Bureau, 2008.

[44]Underwood P, Waterson P. Systems thinking, the Swiss Cheese Model and accident analysis: A comparative systemic analysis of the Grayrigg train derailment using the ATSB, AcciMap and STAMP models[J]. Accident Analysis & Prevention, 2014, 68(1):75-94.

[45]Johnson W.G. The Management Oversight and Risk Tree-MORT including Systems Developed by the Idaho Operations Officeand Aerojet Nuclear Company. Available from: www.nri.eu.com, the website of the Noordwisk Risk Initiative, 1973.

[46]Johnson W.G. MORT Safety assurance systems, Marcel Dekker,New York, USA, 1980.

[47]Bellamy L J, Geyer T A W, Wilkinson J. Development of a functional model which integrates human factors, safety management systems and wider organizational issues[J]. Safety Science, 2008, 46(3):461-492.

[48]Bento J.P.MTO-analysavh?ndelsesrapporter, OD-00-2, Oljedirektoratet, Stavanger, 1999.

[49]Hudson P T W, Reason J T, Bentley P D, et al. Tripod delta: proactive approach to enhanced safety[J]. Journal of Petroleum Technology, 1994, 46(1):58-62.

[50]J REASON. Driving errors, driving violations and accident involvement[J]. Ergonomics, 1995, 38(5):1036-1048.

[51]劉燕, 莊越. 三腳架事故致因模型的結構化重構研究[J], 中國安全科學學報, 2016, 26(4): 60-66.

LIU Yan, ZHUANG Yue. A study on structural reconstruction of Tripod-DELTA[J].China Safety Science Journal, 2016, 26(4): 60-66.

[52]王瑛, 汪送, 管明露. 復雜系統(tǒng)風險傳遞與控制[M]. 北京: 國防工業(yè)出版社, 2015: 16-25.

[53]馮慶善. “樹生”事故致因理論模型[J]. 油氣儲運, 2014(2):115-120.

FENG Qingshan.“Tree type” model of accident cause theory[J].Storage and Transportation of Oil and Gas, 2014(2):115-120.

[54]何學秋, 馬尚權.安全科學的“R-M”基本理論模型研究[J]. 中國礦業(yè)大學學報, 2001, 30(5): 425-429.

HEXueqiu, MA Shangquan.Research on model of“R-M” theory in safety science[J]. Journal of China University of Mining& Technology, 2001, 30(5): 425-429.

[55]Wiegmann DA, Shappell SA. A Human error approach to aviation accidentanalysis: the human factors analysis and classification system[M]. Aldershot:Ashgate; 2003.

[56]Li W C, Harris D. Pilot error and its relationship with higher organizational levels: HFACS analysis of 523 accidents[J]. Aviation Space & Environmental Medicine, 2006, 77(10):1056-1061.

[57]傅貴,殷文韜, 董繼業(yè), 等.行為安全“2-4”模型及其在煤礦安全管理中的應用[J]. 煤炭學報, 2013, 38(7): 1123-1129.

FU Gui, YIN Wentao, DONG Jiye, et al. Behavior-based accident causation: the“2-4”model and its safety implications in coal mines[J]. Journal of China Coal Society, 2013, 38(7): 1123-1129.

[58]范秀山. 事故致因理論: 缺陷塔模型[J]. 中國安全科學學報, 2012, 22(2): 3-9.

FAN Xiushan. Fault tower model as an accident causation theory[J]. China Safety Science Journal, 2012, 22(2): 3-9.

[59]Rasmussen J. Risk management in a dynamic society: a modeling problem[J].Safety Science, 1997, 27(2/3): 183-213.

[60]Svedung I, Rasmussen J. Graphic representation of accident scenarios: mapping system structure and the causation of accidents[J]. Safety Science,2002, 40(5),397-417.

[61]Leveson N. A new accident model for engineering safer systems[J]. Safety Science, 2002, 42(4):237-270.

[62]Leveson N. Applying systems thinking to analyze and learn from events[J]. Safety Science, 2011, 49(1):55-64.