福島核事故發(fā)生三年多了，世界、特別是中國(guó)的輿論還沒有平息，還在談?wù)摻?jīng)驗(yàn)教訓(xùn)。不同的人有不同的理解，得出不同的結(jié)論，這再正常不過了。雖然"現(xiàn)代核電"還不盡人意，但把世界能源"唯一添加"的這個(gè)"人類智慧創(chuàng)造的偉大奇跡"說成"魔鬼"[A]，有點(diǎn)"數(shù)典忘宗"。福島事故、包括之前的所有重大核事故對(duì)人類的"啟示"究竟是什么，好像一時(shí)還沒有"一致"的結(jié)論，但也不必感到"震驚"。

不過，最近情況有變化。盡管還沒看到全文，但美國(guó)國(guó)會(huì)委托、核管會(huì)(NRC)資助美國(guó)科學(xué)院的報(bào)告有些新意："某些與核電廠管理、設(shè)計(jì)和運(yùn)行的因素妨害電廠人員取得更大的成功，并使整個(gè)事故的更加嚴(yán)重"[B]，"NRC和美國(guó)核工業(yè)必須監(jiān)視并維護(hù)強(qiáng)大的安全文化，并應(yīng)尋求各種機(jī)會(huì)提高評(píng)估與改善核安全努力的透明度，加強(qiáng)溝通"[C]。

更使人"為之一震"的是世界核運(yùn)營(yíng)者協(xié)會(huì)（WANO）倫敦中心總經(jīng)理、執(zhí)行理事肯恩 埃利斯（Ken Ellis）最近在NEI上連續(xù)發(fā)表的兩篇文章[1,2]。他用福島后不久意大利"協(xié)和號(hào)"海難說明，"可以做到安全"不等于"已經(jīng)做到安全"的事"俯仰皆是"，并非核能所"特有"；"人為差錯(cuò)"是現(xiàn)代工業(yè)活動(dòng)事故的普遍性成因。"理解高度可靠性行業(yè)如民航、宇航、制藥，以及核電業(yè)的人如何"做事"極其重要，特別是在他們不遵守規(guī)則時(shí)…"人和設(shè)施構(gòu)成復(fù)合系統(tǒng)差不多就是個(gè)有機(jī)過程，經(jīng)受的許多影響、人際互動(dòng)和人際關(guān)系，遠(yuǎn)遠(yuǎn)超出工程技術(shù)規(guī)范和可靠性預(yù)測(cè)。"自滿是一帆風(fēng)順電廠的大問題"；組織機(jī)構(gòu)的風(fēng)險(xiǎn)偏好表現(xiàn)在管理者和主管們的決策中；個(gè)別管理人員對(duì)風(fēng)險(xiǎn)的容忍和合理化以及他們的技術(shù)深度（或缺乏深度）也可能促進(jìn)不安全的工作實(shí)踐。行動(dòng)比言語更有說服力，領(lǐng)導(dǎo)的行動(dòng)給公司員工定了"調(diào)子"。的確，許多人不習(xí)慣按"規(guī)則"辦事，更熱衷揣測(cè)領(lǐng)導(dǎo)的"意圖"。所以核工業(yè)的領(lǐng)導(dǎo)要"謹(jǐn)言慎行"，以免鑄成大錯(cuò)，遺憾終生。

我是個(gè)"退休的核工程師"，我想說：我國(guó)核能發(fā)展有"很大"進(jìn)步，但不能估價(jià)過高；有完整的核工業(yè)體系，有"后發(fā)優(yōu)勢(shì)"，但技術(shù)基礎(chǔ)還相當(dāng)薄弱；之前和今后幾乎在每個(gè)環(huán)節(jié)上還要與"外方"合作或"引進(jìn)技術(shù)"，才能前進(jìn)一步。我們還有嚴(yán)峻的學(xué)習(xí)任務(wù)。如果自以為"了不起"，能"傲視群雄"了，就可能成為"孤家寡人"。要警惕：我們很可能犯與原蘇聯(lián)類似的錯(cuò)誤，因?yàn)槲覀儙资曜哌^的道路和指導(dǎo)思想有很大的相同之處。

核電是"舶來品"，要學(xué)習(xí)，就要遵守、使用"共同語言"，不過份"自信"。科學(xué)的東西不能"中學(xué)為體西學(xué)為用"，什么都要中國(guó)"特色"。允許不同意見公開討論，是制度性的進(jìn)步，有利于科學(xué)知識(shí)的普及，提高國(guó)人的"辨識(shí)"能力。科學(xué)機(jī)構(gòu)和國(guó)家機(jī)關(guān)不能消極對(duì)待和不作為，最起碼不能容忍"虛誑"盛行。

如果大膽預(yù)言世界還有下一次"嚴(yán)重事故"的話，可以斷言，即使是"外因"，也不是福島事故的"重復(fù)"。在這點(diǎn)上，美國(guó)科學(xué)院的報(bào)告有可取之處：核電廠業(yè)主和監(jiān)管部門"必須積極找出潛在影響核電廠安全的新信息并做出響應(yīng)"。

肯恩 埃利斯先生文章，有些段落和語句很費(fèi)解，有疑慮處最好是核對(duì)原文，也歡迎指出謬誤，以防誤導(dǎo)。凡有指正和不同意見，編譯者一定設(shè)法作答（dumhai@126.com）。

事故調(diào)查經(jīng)常歸結(jié)為"人為差錯(cuò)"。但這種調(diào)查結(jié)果實(shí)際上只是理解運(yùn)行復(fù)雜系統(tǒng)如核電廠的人如何"做事"的"冰山一角"。真正降低風(fēng)險(xiǎn)，需要弄清人員績(jī)效問題的真相。

（一）

意大利"協(xié)和"號(hào)（Costa Concordia）是有衛(wèi)星和雷達(dá)導(dǎo)航系統(tǒng)的超現(xiàn)代化游輪。2012年，按照預(yù)定航線航行時(shí)，還有滿配合格人員的船橋，但在游輪離港前已停止活動(dòng)。有兩套3航海圖，1：100000和1：20000的地圖特別適用于淺海。還有成套的操作規(guī)程，在某些淺海區(qū)限制船速。既然有這些層次的"縱深防御"，這樣的船會(huì)擱淺是"不可思議"的。但她真的擱淺了，就在2012年1月13日。[D]

擱淺地遠(yuǎn)遠(yuǎn)偏離班輪預(yù)定航線，游輪曾在淺海區(qū)以三倍最大速度航行，撞在島礁上。

 
附圖1. 2012-01-13,協(xié)和號(hào)游輪在地中海、意大利的吉廖島附近觸礁。船上4200人中，11人死亡，24人失蹤。

問題不在于船。與復(fù)雜系統(tǒng)的基本原理不同，人不遵守物理或熱力學(xué)定律，他們可能發(fā)生意外。原來在島嶼附近淺水區(qū)，危險(xiǎn)的嗡嗡聲很平常，人稱"吉廖島歡迎您"。旅客愛聽，島民愛聽。幾個(gè)月前，吉廖市長(zhǎng)曾感謝協(xié)和號(hào)游輪的另一個(gè)船長(zhǎng)，因?yàn)?無與倫比的景象變成了不可或缺的傳統(tǒng)"。

"理解高度可靠性行業(yè)如民航、宇航、制藥，以及核電業(yè)的人如何"做事"極其重要，特別是在他們不遵守規(guī)則時(shí)…"

在傳統(tǒng)上，我們把"縱深防御"看作一系列屏障、安全系統(tǒng)和過程，那是相互分層、嚴(yán)格控制、精心設(shè)計(jì)的構(gòu)造。

在核電廠，第一層是一系列防止放射性物質(zhì)意外釋放的實(shí)體屏障。這意味著鈾芯塊密封在燃料細(xì)棒內(nèi)，后者又密封在反應(yīng)堆壓力容器內(nèi)，而壓力容器則密封在安全殼廠房?jī)?nèi)。

另外，有多重性和多樣性的安全系統(tǒng)，確保核燃料保持充分受控和冷卻。這些系統(tǒng)設(shè)計(jì)和建造達(dá)到了"最高標(biāo)準(zhǔn)"，定期試驗(yàn)、維護(hù)，并由外部專家如WANO同行評(píng)估隊(duì)進(jìn)行評(píng)估。

除此以外，還有強(qiáng)健的"應(yīng)急響應(yīng)計(jì)劃"，也定期排演、改進(jìn)。

所有這些加在一起，我們就有了一個(gè)傳統(tǒng)的"縱深防御"觀念。實(shí)際上它是與設(shè)備、過程和人員密切結(jié)合在一起的。

作為工程師和核專業(yè)人員，我們常常從這個(gè)"方程"的最初兩個(gè)因素獲取"慰籍"。我們理解設(shè)計(jì)或運(yùn)行設(shè)備的強(qiáng)健性。我們知道封閉在反應(yīng)堆內(nèi)設(shè)備的材料性能和設(shè)備制造需要的工藝技術(shù)。

同樣地，我們領(lǐng)悟讓這些機(jī)械運(yùn)轉(zhuǎn)的細(xì)節(jié)和可靠的過程邏輯。我們理解編入每個(gè)規(guī)程的安全措施，旨在指導(dǎo)我們一步接一步地、從頭到尾安全發(fā)電。

復(fù)雜系統(tǒng)

這些是可預(yù)測(cè)、可重復(fù)的系統(tǒng)。供給一套定義的限值，它們就給出一套定義和有限的輸出。所謂'復(fù)雜系統(tǒng)'經(jīng)常是個(gè)工程奇跡；例如航空器。飛機(jī)是個(gè)復(fù)雜的、相互關(guān)聯(lián)但又由單個(gè)部件構(gòu)成的集合體。這個(gè)系統(tǒng)如果其部件同時(shí)正確地運(yùn)作，作為一個(gè)整體，就會(huì)行駛唯一的功能。這個(gè)機(jī)器可以解體，而后復(fù)原，仍能正常運(yùn)作。

在這類系統(tǒng)中，使用"度量"標(biāo)準(zhǔn)如故障前平均時(shí)間（MTBF）、有限模式和效應(yīng)分析（FMEA）和單點(diǎn)易損性（SPV），風(fēng)險(xiǎn)能夠量化為部件可靠性總和。有量化的風(fēng)險(xiǎn)，就能決定這個(gè)水平的風(fēng)險(xiǎn)是否可接受。

復(fù)雜系統(tǒng)發(fā)生事件，事故調(diào)查員將使用牛頓因果關(guān)系分析，找出哪里出了問題。他們相信，能從結(jié)果開始并及時(shí)沿著因果鏈追蹤，重建整個(gè)事件，因?yàn)闆]有初始原因或供給系統(tǒng)的輸入，就沒有"效應(yīng)"。

事件或事故后，我們的自然反應(yīng)是根據(jù)事件的線性鏈，建造更多"縱深防御"實(shí)體屏障。追查事件到一個(gè)根本原因是事故分析的目標(biāo)；根本原因使設(shè)備故障或動(dòng)作，它往往是"人為差錯(cuò)"。

別誤解我的意思。這種方法過去完全適用于我們行業(yè)，現(xiàn)今適用，將來仍然是強(qiáng)有力的工具。但它沒有講述整個(gè)故事，通常沒有充分考慮人的因素。據(jù)我的經(jīng)驗(yàn)，人是這個(gè)組合的最重要的組成部分，也可能最具挑戰(zhàn)性。

復(fù)合系統(tǒng)

作為人類，我們可以有意或無意地繞過設(shè)備和過程。設(shè)備按照物理規(guī)律、熱力學(xué)定律以及材料的性能運(yùn)轉(zhuǎn)，但人處在綜合設(shè)施和千變?nèi)f化的工作場(chǎng)所，對(duì)某種現(xiàn)象，不同的人有不同的理解和認(rèn)識(shí)。我們基于個(gè)人的經(jīng)驗(yàn)、感受的壓力，并對(duì)自己發(fā)現(xiàn)所處的狀態(tài)做出反應(yīng)。

人是另一類系統(tǒng)的重要組成部分，有人稱之為復(fù)合系統(tǒng)。他們經(jīng)受到許多影響、人際互動(dòng)和人際關(guān)系，遠(yuǎn)遠(yuǎn)超出工程技術(shù)規(guī)范和可靠性預(yù)測(cè)。

考慮飛機(jī)的例子：飛機(jī)本身是個(gè)復(fù)雜的部件構(gòu)成的系統(tǒng)。讓它實(shí)際上飛行是個(gè)復(fù)合系統(tǒng)，涉及飛行員和機(jī)組人員。這些人技術(shù)高超而且經(jīng)驗(yàn)豐富。他們也受疲勞、日程安排的壓力、職業(yè)生涯的壓力、培訓(xùn)的質(zhì)量、全體人員的動(dòng)態(tài)乃至氣候等一切事務(wù)的影響。

考慮人為因素，復(fù)合系統(tǒng)差不多就是個(gè)有機(jī)過程。和輸出取決于輸出、而且與輸入成正比的機(jī)器不同，人可以承認(rèn)、忽略、懷疑或誤解供給系統(tǒng)的這種輸入；輸入和輸出是相互依賴的，但它們確切的關(guān)系并不清晰。

作為人類，他們回顧事件時(shí)，對(duì)發(fā)生了什么、他們處在事件之中對(duì)正發(fā)生什么，以及未來如果面對(duì)事故演變將會(huì)發(fā)生什么，也可能有非常不同的觀念和看法。實(shí)際上經(jīng)常很難確定這些中哪個(gè)最接近真實(shí)。

在復(fù)合系統(tǒng)中，部件響應(yīng)局限于它們接受什么樣的信息以及它們?cè)谑侄魏蜁r(shí)機(jī)方面采取行動(dòng)的自由度。人在系統(tǒng)組合中，不僅僅有硬接線的機(jī)器，輸入和輸出不能總被重建。這也意味著起始條件中極小量的變化可能導(dǎo)致后來顯著的差異，實(shí)際上它們之間已沒有任何比例關(guān)系。

著名的英國(guó)化學(xué)家特里沃克萊茨（Trevor Kletz）說過，"說事故起因于人為過失，就像說墜落是因?yàn)榈匦囊Α＿@是事實(shí)，但無助于事故預(yù)防"。[E]

事故調(diào)查者和事故報(bào)告的讀者需要承認(rèn)，絕對(duì)重建有涉案人員非線性反應(yīng)的事件或許"令人為難"，要設(shè)法規(guī)避。以下的演進(jìn)嘗試代表復(fù)合系統(tǒng)的行為，從而不那么多地集中于人因失誤和違規(guī)，但集中于真實(shí)動(dòng)態(tài)工作環(huán)境中產(chǎn)生它們行為的機(jī)制。

（二）

一般說來，運(yùn)營(yíng)核電廠是、或者應(yīng)當(dāng)是風(fēng)險(xiǎn)預(yù)知決策（risk- informed decision making）的鍛煉。風(fēng)險(xiǎn)是個(gè)別輸入的總和，或許是配置不當(dāng)或者整合不良活動(dòng)的產(chǎn)物。有良好風(fēng)險(xiǎn)意識(shí)的管理者可以看出"先兆"叢生，而且隨時(shí)會(huì)停止運(yùn)行。（只是看到了，他們必須考慮有足夠的時(shí)間進(jìn)入現(xiàn)場(chǎng)并執(zhí)行標(biāo)準(zhǔn)，而不是沉迷于處理行政問題的會(huì)議）。

某些事故先兆包括：

" 領(lǐng)導(dǎo)班子，或者領(lǐng)導(dǎo)能力不足

" 夜間操作：我們不適合夜間操作

" 時(shí)間壓力（實(shí)際的或感知的）

" 來自主管或公司辦公室的非正式消息

" 接受的各種異常

" "無懈可擊"的感覺

" 沒有正確識(shí)別風(fēng)險(xiǎn)（概率乘后果）

" 標(biāo)準(zhǔn)在暗暗降格

自滿是一帆風(fēng)順電廠的大問題。良好的績(jī)效和記錄致使"自信"不會(huì)發(fā)生錯(cuò)誤，有一種"無懈可擊"的感覺，導(dǎo)致標(biāo)準(zhǔn)下滑。有人說"我們有那么多安全系統(tǒng)保護(hù)反應(yīng)堆，不會(huì)發(fā)生故障"時(shí)，要承認(rèn)標(biāo)準(zhǔn)在下滑，因?yàn)椴粦?yīng)依賴這些系統(tǒng)。

反應(yīng)式?jīng)Q策是個(gè)冒險(xiǎn)的"交易"；一旦遭遇，只知什么是個(gè)可接受的風(fēng)險(xiǎn)（見附圖2）。但當(dāng)面對(duì)異常環(huán)境和是否繼續(xù)進(jìn)行存在不確定性時(shí)，必須有人做出決定。在核工業(yè)內(nèi)，這種狀況經(jīng)常涉及不常見試驗(yàn)或績(jī)效演變（ITPE）程序和文件（如INPO SOER 91-01）。這種程序需要跨職能的團(tuán)隊(duì)開會(huì)討論風(fēng)險(xiǎn)和后果，如需要?jiǎng)t編寫程序，而且應(yīng)當(dāng)開發(fā)緩解對(duì)策應(yīng)對(duì)出錯(cuò)的某些環(huán)節(jié)。
 

附圖2：運(yùn)行極端條件間反應(yīng)式退役路徑示意圖（適用于金融投資）

在復(fù)合系統(tǒng)內(nèi)，可能因多種常見的人類行為危及安全裕度。違犯運(yùn)行規(guī)程可能變?yōu)槌B(tài)；可能是容忍的某種慢慢降低標(biāo)準(zhǔn)在"暗中為害"。組織機(jī)構(gòu)的風(fēng)險(xiǎn)偏好表現(xiàn)在管理者和主管們的決策中；企業(yè)意識(shí)到工作規(guī)劃的安全影響了嗎？個(gè)別管理人員對(duì)風(fēng)險(xiǎn)的容忍和合理化以及他們的技術(shù)深度（或缺乏深度）也可能促進(jìn)不安全的工作實(shí)踐。

領(lǐng)導(dǎo)的行動(dòng)給公司員工定了"調(diào)子"，行動(dòng)比言語更有說服力。正如WANO'人員績(jī)效卓越原理'所說，"很容易通過簡(jiǎn)單地觀察領(lǐng)導(dǎo)者的行動(dòng)， 跟據(jù) 專注、判斷或控制什么以及對(duì)事件或危機(jī)的反應(yīng)，認(rèn)識(shí)他或她的價(jià)值觀和信念…"[WANO-GL 2002-02]。

我們的目標(biāo)是縮小構(gòu)成可接受風(fēng)險(xiǎn)因素族群。人類演員能駕馭自如的工作空間受行政法規(guī)、功能和安全相關(guān)制約條件的約束。與其努力控制行為，防止偏離特定的、預(yù)先計(jì)劃的道路，不如把焦點(diǎn)放在運(yùn)行狀況控制上，使邊界明晰可知，并給工作人員訓(xùn)練應(yīng)對(duì)邊界狀態(tài)處理技能的機(jī)會(huì)。

核工業(yè)的標(biāo)準(zhǔn)導(dǎo)則如受歡迎的加拿大'事件樹工具'列出了常規(guī)工作的良好實(shí)踐，能幫助改善安全：

" 班前簡(jiǎn)要布置工作

" 自檢

" 利用和堅(jiān)守運(yùn)行規(guī)程：什么是工作人員應(yīng)有的態(tài)度？運(yùn)行規(guī)程僅僅"只供參考"還是應(yīng)當(dāng)定期提到？執(zhí)行規(guī)程期間，要逐字逐句地遵守規(guī)程并妥善保存嗎？

" 三次溝通：在每個(gè)階段"逐條"確認(rèn)指令，以降低"誤解"的風(fēng)險(xiǎn)。接到特定指令（一）；工作人員"復(fù)令"，重申他或她理解這個(gè)命令（二）；然后確認(rèn)那種理解（三）

" 保守決策：采取任何行動(dòng)，特別是在情況不明時(shí)，"漸進(jìn)"更安全

" 質(zhì)疑的態(tài)度：面對(duì)不確定性，決不繼續(xù)進(jìn)行。進(jìn)行咨詢并求得澄清

我對(duì)人們學(xué)習(xí)和成長(zhǎng)的能力有極強(qiáng)的信心。我相信人，我們有能力評(píng)估并適應(yīng)變化的環(huán)境，幫助復(fù)合系統(tǒng)保持安全。我們是唯一能通過真實(shí)運(yùn)行條件下存在的壓力迷宮，找到前進(jìn)方向的人，不"活"在藍(lán)圖和計(jì)算機(jī)模型的理論世界里。

30多年來我個(gè)人"工具箱"里的問題，全都像頭上的安全帽或手中的運(yùn)行規(guī)程一樣寶貴，如"可能出現(xiàn)的最壞情況是什么？"這是個(gè)從不會(huì)完全得到解答的問題，對(duì)我們的想象力沒有限制。但如果人們繼續(xù)努力的步驟是關(guān)鍵的話，能得到理解。通過提問什么可能出錯(cuò)，利用我們所有的運(yùn)行經(jīng)驗(yàn)、運(yùn)行規(guī)程細(xì)節(jié)和全體員工的經(jīng)驗(yàn)，我們嘗試"組合"一個(gè)可能的事故。有這些知識(shí)，我們能夠起草一個(gè)"緩解戰(zhàn)略"。這個(gè)過程有點(diǎn)像沒有"圖畫"但裝配一個(gè)"七巧板"；部件是過程的構(gòu)成部分或系統(tǒng)的組成部分，圖畫是事故，而目標(biāo)是防止給定的部件構(gòu)成事故。事故后的調(diào)查工作"方向"相反：分解這個(gè)大圖畫是怎樣由過程或系統(tǒng)細(xì)節(jié)組合成的。悲哀的事實(shí)在于，事故調(diào)查經(jīng)常斷言，事故正靜靜躺在有缺陷的組織程序內(nèi)，等待出現(xiàn)的機(jī)會(huì)。

管理"人員績(jī)效"風(fēng)險(xiǎn)的建議如下：

1. 經(jīng)常談?wù)擄L(fēng)險(xiǎn)、復(fù)雜性，以及它們的關(guān)系

2. 進(jìn)行職場(chǎng)行為預(yù)期和觀察間的差距分析。正如"所得非所欲"強(qiáng)調(diào)的，期望和現(xiàn)實(shí)之間往往有差異

3. 主動(dòng)征求不同意見，防止有意的"盲區(qū)"

4. 辯論什么才是可接受的"邊界"

5. 討論人們行為的前因，包括公司非正式信息

6. 決不允許懷疑、挑戰(zhàn)"不確定性"

7. 需要證明系統(tǒng)運(yùn)行足夠安全；不夠安全則停機(jī)

8. 要求運(yùn)行決策（ODM）論壇討論面對(duì)異常運(yùn)行挑戰(zhàn)方面的問題

9. 要當(dāng)心，是否根本原因調(diào)查的結(jié)論是個(gè)粗心大意的調(diào)查結(jié)果，揭示的只是部分情況？

10. 擴(kuò)大縱深防御戰(zhàn)略的范圍，包括復(fù)合系統(tǒng)及其內(nèi)在的"非線性"概念

11. 創(chuàng)設(shè)核安全文化監(jiān)督專家組，每季度召開會(huì)議。

應(yīng)當(dāng)討論上面列出的問題，考慮多少行動(dòng)或系統(tǒng)可作為"先兆"，積極嘗試阻止事故發(fā)生。

依據(jù)資料：

1. Ken Ellis, Putting people in the mix: part I, NEI, 18 July 2014

2. Ken Ellis, Putting people in the mix: part 2, NEI, 21 July 2014

參考資料與注釋：

A. 江曉原，核電就是魔鬼，也只能和它同行嗎？，洪橋.社會(huì)與美學(xué)筆記，2012-04-08

B. NEWS from The National Academies, FOR IMMEDIATE RELEASE, Date: July 24, 2014

C. WNN，US report urges focus on 'extreme' events，25 July 2014

D. Lloyd Young, Costa Concordia cruise ship runs aground off coast of Italy, The Boston Globe Gallery, January 18, 2012

E. Trevor Kletz (1922-31 October 2013)，was a prolific British author on the topic of chemical engineering safety. He is credited with introducing the concept of inherent safety, and was a major promoter of Hazop。When he retired in 1982 he had established a safety culture within the company based on communication, and had begun a second career and an international reputation as an author and speaker. Most of his books are concerned with case studies from industry and the human and technical causes. Shortly after his retirement he expanded a paper entitled "What you don't have, can't leak" into the book which began the concept of inherent safety.