安全科学学及其应用探讨

2019-03-09傅贵

安全 2019年2期

傅贵

（中国矿业大学（北京）应急管理与安全工程学院，北京 100083）

0 引言

目前存在多种安全导论、安全概论、安全原理类书籍及课程，其内容都包括安全科学的基本概念、基本问题和基础理论。如果将这些内容归至安全科学学中，会有很多好处：第一，可使安全导论、安全概论或安全原理类课程教学内容的逻辑主线更清晰，便于教与学；第二，可改善相关教学内容的质与量；第三，可使理论更实用。安全科学学的定义和内容有相关论述[1]，但目前对安全科学学的研究工作并不充分，对内容体系的认知也不一致，实用性偏弱。因此，本文将对安全科学学的内容体系及体系中的每一部分进行探讨，以达到逐步完善安全科学学的目的。

1 安全科学学的定义和内容

1.1 安全科学学的定义

（1）科学的定义。综合百度百科和维基百科关于科学的论述，“科学是关于客观世界（自然界、人类社会、思维活动与成果）正确认识和改造客观世界手段的结构化知识体系”。根据这一定义，从认识或改造的对象来说，科学的基础部分即基础科学应该是认识自然界的自然科学、认识人类社会的社会科学和认识思维活动与成果即知识体系的科学学。相应地，科学的应用部分即应用科学是关于改造客观世界手段的工程科学、管理科学和应用科学学。从认识和改造客观世界的方法论来说，基础科学可以有系统科学，应用科学可以有系统工程学。科学的内容组成，如图1。当然上述学科之间也会有交叉。

图1 科学的内容Fig.1 The content of science

（2）安全科学的定义。对应科学的定义，在科学地确切定义“事故”之后，可以给出安全科学的定义，即安全科学是关于事故的正确认识和预防事故手段的结构化知识体系。按照图1所示的科学的组成框架，可类似地给出安全科学的内容框架的完整版，如图2（a）。但是，与“科学”这个知识体系的各分支学科都有很大的规模和很丰富的内容不同，在当前，安全基础科学和应用科学各自可能都没有丰富的内容，因此把安全科学的基础科学和应用科学合并在一起从而简化内容框架是比较实用的。合并简化后各分支学科使用较常见的名字来命名，合并简化版的安全科学的内容框架，如图2（b）。

图2 安全科学的内容框架Fig.2 The content framework of safety science

上面是根据科学的定义、内容组成导出的安全科学内容框架（图2），根据并不是很充分，但却比较容易理解。后面将会看到，这样理解的安全科学内容框架与根据事故致因理论得到的安全科学分类系统是一致的。

（3）科学学和安全科学学的定义。在图1中，自然科学、社会科学乃至系统科学及以它们为基础形成的应用科学是人类关于客观世界正确认识、改造客观世界手段的知识体系，也就是人类思维的成果。那么，研究这个知识体系（即科学）及其组成概念、命题、原理、公理、规律等的科学就是科学学，其本身也是一个知识体系。简单而明确地说，科学学是以各门科学为研究对象的科学[2]，研究各门科学的基本问题、基础理论和分类系统。据此，安全科学学就是以安全科学为研究对象的科学[1]。这里的研究对象是指直接研究对象。后面将会看到，整个安全科学的研究对象是事故，因此作为安全科学一部分的安全科学学，其最终研究对象仍然是事故。作为安全科学学直接研究对象的安全科学，目前在我国还没有成为安全学科的官方名称，在教育部2011年版的《学位授予和人才培养学科目录》中，安全学科叫做安全科学与工程，在国家标准《学科分类与代码》（GB/T 13745-2009）中，安全学科称之为“安全科学技术”。为简单起见，人们一般将安全科学与工程、安全科学技术合并简称为“安全学科”。笔者认为，安全科学与工程、安全科学技术2个官方名称中均包含有安全学科的基础和应用2部分，基础部分研究事故原因、应用部分研究事故预防手段，按照上面给出的科学的定义，将基础和应用部分合起来，也就是把安全科学与工程、安全科学技术合起来称为“安全科学”是合理的，是符合国际上安全科学（Safety Science）的含义的。如此，以往所称的“安全学科”就和“安全科学”的含义相同了，本文中将两词等同使用。

1.2 安全科学学的内容

前面已经将安全科学学定义为以安全科学为直接研究对象的科学。由于安全科学的研究对象是事故[3]，所以安全科学学的最终研究对象依然是事故这一客观现象。下面阐述安全科学学的研究内容，以使安全科学学这一安全科学的分支具有实质性内容和具体化。

参照科学学的研究内容，笔者认为安全科学学也应有3个主要内容：第一，安全科学的基本问题；第二，安全科学的基础理论；第三，安全科学的分类系统。目前这3个方面在世界范围内都未有统一认识[4]，给安全科学的发展和应用实践带来了很大的困难，突出表现在国内外人才培养方案中，教学课程内容的交叉或重复现象普遍存在。笔者根据安全科学的学科建设实践，得到一些安全科学学的初步认识，在本文中进行阐述。

2 安全科学的基本问题

对于任何一个学科，都必须明确其基本概念、研究对象、研究目的、研究内容、研究方法、学科属性、研究范围、基本规律、学科定义、内容边界等10个学科基本问题（图3），有了这些对学科的基本认识，才能进行学科建设，发展学科。下面阐述笔者对安全学科中这10个基本问题的理解。

图3 10个学科基本问题Fig.3 The 10 fundamentals of a science

2.1 基本问题之一：安全科学的基本概念

笔者认为，安全科学有3个最基本的概念，它们是事故、危险源和风险。本节兼谈安全和危险的概念，它们虽是重要概念但并不是基本概念，原因是它们可由3个基本概念导出，且在组织安全实务中并不被直接使用。

2.1.1 事故的概念

从百度百科和维基百科中能查到事件的概念，它是时空中一个确定的点，由位置坐标和时间坐标唯一标识，其有损失负效应或收益正效应2种属性。据此可以给出事故的定义，即组织根据适用要求规定的、造成确定量损失的一个或者一系列意外事件[5-6]。其含义是，一切事故都发生在组织[7]之内，都是组织事故，没有个人事故[8]，这为有效预防事故提供了极大的方便；事故是其所发生或可能发生的组织根据自己的实际需要、根据其所应该遵守的规定从客观世界事件集合里动态规定或者选择出来的一个子集；故事具有安全健康方面、经济方面、环境方面量值确定的损失或者破坏，可以是一个、也可以是几个事件合起来的负效应事件。

利用上述事故定义及其中的深刻含义，可以将我国常常提到的公共安全事故、生产安全事故、城市安全事故，质量、安全、健康、环保、安保、稳定、信息安全等事故，边境、国家安全事故，化工、煤炭行业事故等任何事故，都统一起来用同样的策略预防；可以明确解释“一切事故均可预防”的重要安全理念和“隐患即事故”的实用做法，在众多方面都具有实用性。上述定义解决了我国一直没有事故的明确定义、实用中难以统计和理解事故次数的问题。

2.1.2 危险源的概念

国际标准ISO45001将危险源定义为“伤害和疾病的潜在来源”。伤害和疾病是事故的后果，因此可以说，危险源是事故的一个或者多个来源，也就是事故的原因。ISO45001没有说明危险源的具体内容，可以理解为物质、能量、行为等“本身”，也可以理解为物质、能量、行为的“异常状态”。但是，处于正常状态的物质、能量、行为等本身并不引起事故，其异常状态才导致事故，异常状态是人们识别和消除的重点，因此将ISO45001中的危险源的主要内容理解为异常状态更加合理，与ISO45001同源的GB/T28001-2011中定义的危险源也包含“异常状态”的内容。归纳起来说，ISO45001中的危险源既包括能量、物质或行为本身也包括它们的异常状态，但主要是异常状态。

我国在“双重预防机制”的有关文中虽未明确定义危险源，但使用了“把隐患排查挺在事故前面，把风险管理挺在隐患排查前面”的表达[9]，可以推断，这些文件将危险源理解为能量、物质或行为等本身，而将引发事故的异常状态理解为“隐患”，也就是，我国文件中的危险源与隐患之和等于ISO45001中的危险源。“双重机制”是，第一段进行风险管理，管理危险源（明确界定的能量、物质和行为本身），第二段进行隐患排查，排查“隐患”（能量、物质和行为的异常状态），两阶段可同时或分工进行；而ISO45001的做法是一次性进行风险管理，兼顾管理能量、物质和行为本身，主要管理它们的异常状态。无论是风险管理、隐患排查，其方法的实质都是风险管理过程或方法，即识别、评估和控制。

关于危险源的含义，学术界有长期争论，但如果注意到ISO45001和我国法律环境的差异，争论就基本不再必要，双重预防机制也可以得到合理的科学解释。

2.1.3 风险的概念

风险是危险源发生某种事故的不确定性[10]，用危害程度来衡量，其值可以用危险源引发某种本文定义的事故的可能性和所引发的事故的严重性的乘积来表示。只要注意到风险的定义依赖于危险源和所引发的事故，风险的概念就不再虚无缥缈和难以理解。组织整体有时被视为一个危险源，此时它的风险值就是组织的整体风险[11]。

2.1.4 安全与危险的概念

当安全和危险被理解为一种状态时，它由事故、危险源、风险3个基本概念导出，而且组织在日常安全实务的统计中并不直接使用这2个概念，因此不把它们看作安全科学的基本概念。安全或危险状态由组织规定的风险值范围确定，风险值由组织规定的事故和危险源确定，因此由风险值确定的安全或危险状态是一种确定的明确状态，这给企业或组织的安全实务带来极大方便。将安全解释为“无危则安、无损则全”，或用象形字来解释安全，均因无法统计而在实务中不能操作，也无法与国际接轨。

2.2 第2至第10个基本问题

2.2.1 基本问题之二：安全科学的研究对象

研究对象对于一个学科十分重要，它是这个学科独立存在、与其他学科有明确区别的基础。笔者认为，安全学科的研究对象是“事故”。事故的概念，前面已有准确定义，需要注意的是，该定义所描述的事故已经不仅仅是瞬间造成人员伤害或者其他损失的传统意义的事故了。关于安全学科的研究对象有许多不同的观点[12]，有的认为是人、机器、环境与管理或者由它们组合起来的系统，有的认为是不安全行为和不安全状态、有的认为是风险，还有的认为是安全或者天灾人祸等安全问题等等。笔者认为，作为研究对象，必须是具体的和明确的，非专业人士也能容易明白和容易记忆的，“看得见”或“摸得着”的客观现象，还必须具有演绎性[13]，能够演绎出研究目的、研究内容、研究方法等其他学科基本问题、学科的基础理论以及学科分类系统。笔者就是根据这些要求确定的安全科学的研究对象。

2.2.2 基本问题之三：安全学科的研究目的

根据研究对象，安全科学的研究目的就非常明显了，那就是“预防事故”。旨在减少事故发生后损失的“应急救援”或者“应急管理”，其实质也具有预防意义，这只要把应急救援看作一项工作任务就可以理解。应急救援过程中，没有意外（事故）发生，则安全地完成了任务，反之则是发生了事故。救援任务虽有一定的特殊性，但与完成其他任务也类似地需要按安全操作程序管理，是组织安全管理体系的一部分[7]。明确的研究对象和研究目的构成了安全科学与其他学科的本质区别。

2.2.3 基本问题之四：安全学科的研究内容

根据研究对象和研究目的，可以导出安全学科的研究内容，即研究事故发生、发展规律，开发预防事故的各种手段。其中，事故的发生、发展规律是安全学科的基础部分（事故致因理论），预防事故发生的各种手段是安全科学的应用部分。

2.2.4 基本问题之五：安全学科的研究方法

根据研究内容可以得到，安全科学的研究方法是社会科学方法、自然科学方法和系统科学方法，这和许多其他学科的研究方法也是类似的。

2.2.5 基本问题之六：安全学科的属性

关于安全学科的学科属性，以前的表述是“文理综合、学科交叉、行业横断”[14]。“文理综合”是说，安全学科既不属于我国传统所称的“文科”，也不属于传统所称的“理科”，是文理综合学科。“学科交叉”是说，安全学科和很多学科相交叉，也就是研究事故原因、预防对策时要用到其他许多学科的知识。“行业横断”的含义当然是安全科学把所有行业的事故都作为研究对象的意思，即安全学科涉及很多行业。其实，安全学科还有一个属性就是事故预防，我国及世界上都没有任何一个安全科学以外的学科是以“事故”为研究对象、以“事故预防”为研究目的的，这一点构成了安全学科的本质属性，即“事故预防”。基于上述，安全学科的属性应该表达为“文理综合、学科交叉、行业横断、事故预防”。

2.2.6 基本问题之七：安全科学的研究范围

安全科学的研究对象是事故，研究目的是预防事故。根据事故的定义，它发生在社会组织当中，所以安全学科的研究范围一定是组织，即事故必须在组织内预防。组织掌握人、财、物、文化、信息等所有事故预防的资源，以组织为范围预防事故才可能是有效的。

2.2.7 基本问题之八：安全学科的基本规律

科学是知识体系，它由一系列的概念、命题、原理、公理、规律等组成[15]。安全学科作为一个学科，一个知识体系，一定会有自己的“公理”，也即基本规律。安全科学以事故为研究对象，事故发生发展的规律就是安全科学的规律。前人已经提出很多这样的规律[16]，笔者认为最基本的有：①一切事故都有原因；②事故的原因分为不安全行为和不安全状态2大方面；③安全累积原理，即事故的严重度和发生频率之间具有三角形分布关系；④事故的根本原因在于组织错误；⑤凡是可能发生的事故终究会发生（墨菲定理）。所有事故都完全遵循这5条基本规律。前3条由Heinrich提出[16]，第4条是组织行为学原理，第5条是墨菲定理，它们都为人们所熟知。

2.2.8 基本问题之九：安全学科的定义

根据上文介绍的几个基本问题，尤其是根据研究对象和研究目的，很容易给出安全科学的定义，它是“关于事故的正确认识和预防事故的结构化知识体系的科学”，实际上是“研究事故发生原因、发展规律和预防事故各种手段的知识体系”，也可以简单地说成是“关于事故预防的科学”。定义中“事故发生原因与发展规律”是安全科学的基础科学部分，而“预防事故发生的各种手段”则是安全科学的应用科学部分。应急与预防的关系，上文已有描述。

2.2.9 基本问题之十：安全学科的内容边界

GB/T 13745-2009对学科分类的依据是“学科的研究对象，学科的本质属性或特征，学科的研究方法，学科的派生来源，学科的研究目的与目标等5方面”。根据前面对研究对象、本质属性、研究目标的阐述，可以断定，一切以事故预防为目的的研究内容都属于安全学科，这就是安全学科的边界。

3 安全科学的基本基础理论

安全科学的研究对象是“事故”，其研究目的是“预防事故”。预防事故是整个安全科学的最终研究目的，安全科学的全部研究内容都是围绕这样一个目的而组织在一起的。要达到预防事故的目的，必须知道事故的原因，因此事故致因理论就成了安全科学的基础理论。事故有很多具体原因（物理的、化学的、人文的等等），但必须给出它们的分类及分类间的逻辑关系框架，才能看清楚事故的全部原因，为逐步实现全部解决提供基础。因此，事故致因理论无非就是关于事故、事故原因的定义或分类以及他们之间逻辑关系的理论。事故致因理论用事故致因模型来表达，两者可以混用。

事故致因理论大约有4类，其中线性、非线性是2个主要的类或发展脉络：一是线性事故致因理论（模型）；二是非线性事故致因模型，也称之为复杂或者系统性事故致因理论；三是线性与非线性组合事故致因理论；四是多个事故的统计规律。线性和非线性模型是主流。以下分别简述[17]。

3.1 线性事故致因模型

线性事故致因模型的英文是Cause-Effect Chain，即原因引起结果、一个原因引起另一个原因最终引起事故的链条，也叫事故致因链。经过近百年发展，形成了古典、近代和现代3个阶段的事故致因链。能量模型也属于线性事故致因模型。

第一阶段是古典事故致因链。这一阶段，人们只是从事故引发人个人特质和物态上找事故原因，而没有涉及事故引发人所在组织的控制作用。这一阶段的研究者最远可以追溯至Greenwood & Woods（1919），但形成的完整的、影响力最大的事故致因链条是Heinrich（1931）的骨牌模型，之后Mintz & Blum（1949）、Gordon（1949）、Gibson（1961）、

Haddon（1962）等陆续对骨牌模型上的模块内容进行了改进，为近代事故致因链的形成打下了基础。

第二阶段是近代事故致因链。具有代表性的是Bird & Loftus（1976）提出的事故致因链，这个事故致因链把“管理原因”作为事故的根本原因，但并未给出管理原因的明确定义，人们仍然无法应用其得到确切的事故原因，作为事故预防的基础。

第三阶段是现代事故致因链。在此阶段，人们把事故的根本原因“管理原因”用比较具体的事项来表达，提出这类事故致因链的有Reason（1990）[18]、Stewart（2002）[19]等，最具代表性和影响力的是Reason的瑞士奶酪模型（Swiss Cheese Model，SCM）。SCM模型认为事故的发生是由于事故引发者的不安全动作引起的，不安全动作是由于其生理、心理、精神状态不佳产生的，而不佳的心理、生理、精神状态则是由于其所在部门管理不到位引起的，管理不到位最终是由其所在组织高层的组织因素所产生。该事故致因链认为事故引发人个人错误是由于组织因素或者组织行为决定的，比Heinrich的古典事故致因链、Bird & Loftus的近代事故致因链更加明确了对事故引发人引发事故有重要控制或者影响作用的组织因素（Reason 1990，Shappell & Wiegmann,2000[20]）。他告诉人们，要预防事故，从组织行为开始，十分重要。

但遗憾的是，SCM模型对危险源的、组织行为、防御系统，都未有明确定义，依然不便于事故原因分析。2013～2018年，笔者课题组以SCM等模型为基础，对课题组2005年提出的模型进行集中改进，形成了事故致因“2-4”模型（24Model）第5版（图4）。在24Model上，和以往的链式事故致因模型一样，都是把事故的原因分成行为和物态2大类，但是24Model给出了其上所有事故原因的明确定义，并认为组织内任何人的不安安全动作都具有相同产生机制。

3.2 非线性事故致因模型

非线性事故致因理论（模型）用系统方法分析事故原因，认为事故发生在一个系统中（而不是组织中），这个系统由人员、机器（设备设施）、运行环境、管理等子系统组成，事故的原因分类地“凝结”在系统内的各个子系统内。其模型用“人（Man）-机（Machine）-环（Medium）-管（Management）-目标（Mission）”模型（5M）来表达。该事故致因模型认为事故的发生是由于系统或者子系统受到外界扰动后出故障，进而引起整个系统出故障的过程。此学说有很长的发展历史，康奈尔大学的Wright在1940年最初提出时，只有人、机、环3个元素（子系统），1966年Miller在美国南加州大学加上了“管理”（见Miller，1991），1976年美国航空安全基金会的Jerome加上了“目标”（Mission）。1976、1991年曾经有人提出应该加上“资金”（Money）这个元素（子系统），但是没有持续下来。目前5M模型的应用还是比较广泛的[21]。

Rasmussen（1997）、Leveson（2015）[22-23]特别推崇系统论事故致因模型，他们发展了系统论事故致因科学思想，把系统进一步扩大为整个社会管理体系，应用了社会-技术系统的概念，分别形成了新的系统论事故致因思想或者思维方式，表达为AcciMap、事故的系统思维模型（Systems Thinking and Modelling Programs，STAMP），其中前者是后者的基础。Erik Hollnagel提出的认知可靠性和失误分析方法（Cognitive Reliability and Error Analysis Method, CREAM）（1998）、功能共振分析方法（Functional Resonance Analysis Method, FRAM）（2012）[24-25]也被称为系统论模型[26]。我国安全实务（如安全评价）中也广泛应用系统论事故致因模型。

系统论事故致因模型尽管有很多需要研究改进的方面，但系统方法是科学界长期发展并获得广泛应用的科学方法，以此为基础形成的系统论事故致因模型，在事故原因与预防对策的研究中，其影响力和实际效果不应忽视。

3.3 组合事故致因理论和多个事故的统计致因理论

组合事故致因模型是指一个模型中，事故原因、事故间既具有线性关系，也具有非线性影响关系。如图4所示的事故致因“2-4”模型，其静态形式中，事故原因间的影响关系是线性，而动态形式中，事故原因间的影响关系是非线性的。在模型STAMP、AcciMap中也同时具有这2种关系。

图4 24Model（第五版）Fig.4 The 24Model(the 5th edition)

关于多个事故的统计致因模型，Heinrich提出的事故三角形就是典型实例[16]。

综上所述，事故致因理论（模型）的发展主要有2条路线：一是非线性路线，用于得到事故的系统原因；二是线性路线，用于得到事故的行为原因和物态原因。不管是哪一条路线，理论本身都存在很大的发展空间，但其应用都有实际效果。根据这2类事故致因理论，可得到事故的很多具体原因，这些具体原因就是制定事故预防对策的基础。因此它们构成了安全科学的基础理论。

4 安全科学的分类系统

前已述及，安全科学的研究对象是事故，研究目的是预防事故。要预防事故，首先要找到事故原因的基本框架，其次分出不同类的事故原因，再其次制定事故预防对策。根据前面所述的线性事故致因理论，事故的原因可以区分为人的不安全行为、物的不安全状态2大类；根据前面述及的非线性（系统性）事故致因理论可以得到事故的系统原因。对应地，事故预防的对策有安全管理手段（具体地说是行为控制手段，解决人的不安全行为）、安全工程技术手段（解决物的不安全状态）和系统安全方法（解决事故的系统原因）。用这3种事故预防方法，预防各个产业、行业、生活领域的生产运营、事故应急过程中的质量、安全、安保、卫生、环保等各类事故。这3种事故预防方法就构成了安全科学的大部分内容，再加上研究这3种方法的安全科学学就是安全科学的全部内容。据此可以给出安全科学的分类系统，如图5。

安全科学的分类系统，就是安全科学一级学科与其下设置的二、三、四等级别的子学科连接起来形成的系统。我国在国家标准GB/T 13745-2009、学位授予和人才培养一级学科简介[27]、国家自然科学基金委员会学科代码系统中都已有安全科学的分类系统，但限于当时的条件，这些分类系统是按照实用和现实存在原则形成的，与事故致因理论有一定差异。图5所示的分类系统是根据对安全科学基本问题的理解、事故致因理论构建的一个新的学科分类系统，它将安全科学分为安全工程学、安全管理学、系统安全学、安全科学学4个二级学科及13个三级学科。该系统与“学位授予和人才培养一级学科简介”中安全科学的分类体系高度兼容，虽因对安全的定义使得二级学科数目有所减少，但理论基础已基本将其锁定。图5所示的分类系统将安全科学分为四大部分，这与根据科学的定义推导出来的结果（图2（a））是完全一致的。