基于STAMP模型的丰城坍塌事故原因分析

章仕杰 傅 贵教授

（中国矿业大学（北京） 应急管理与安全工程学院，北京 100083）

0 引言

近年来，随着社会建设的加快，建筑施工事故时有发生，造成了巨大的损失[1]。事实上，尽管建筑施工事故时有发生，但是人们对建筑施工事故原因依然缺乏系统的认识，未能从以往的事故中吸取教训，预防同类事故。

有效预防事故需要全面认识事故原因，事故预防的理论基础是事故致因理论[2]。传统的链式事故致因模型通常从损失开始往回分析事故原因，通过一系列事件的推断得到一个事故原因链，分析过程简单且易于理解。但是系统论认为链式事故致因模型过于简化了事故原因和事故过程，未能考虑与事故有关的系统因素以及系统各个组件之间的交互影响[3]。

STAMP（Systems-theoretic Accident Model and Processes）是针对复杂系统提出的系统论事故致因模型，最早应用于航天飞机事故的原因分析[4-5]，并取得了较好的应用效果，印证了STAMP模型在复杂系统的事故原因分析中的有效性。之后，STAMP模型被应用于不同领域的复杂事故的原因分析，如航空事故[6]、公共卫生事故[7]、铁路交通事故[8]、航海事故[9]、医疗事故[10]等。

建筑施工事故涉及的组织较多，组织间的关系较为复杂，传统的事故致因模型难以系统地分析发生于多组织中的事故，但是STAMP模型克服了传统事故致因模型的缺点，该模型适用于复杂系统事故的原因分析，能够从控制的角度厘清各个组织内及组织间的事故原因，为事故预防提供指导。

本文选取江西丰城发电厂坍塌事故作为事故样本，该事故涉及到的组织繁多，原因复杂，简单的链式模型难以全面分析事故原因，因此本文选取STAMP模型作为分析工具，对各层级原因进行系统地分析，以期得到全面的事故原因，为同类建筑施工事故的预防提供借鉴与指导。

1 STAMP模型理论

在STAMP中，最基本的概念不是事件，而是约束，安全被视为控制问题，通过控制结构来实现系统的安全性，事故被认为是控制结构中安全约束的缺失或者控制执行不充分造成的[11]。因此，分层控制结构是STAMP模型分析事故的基础，通过分层控制结构可以理清复杂系统组成并分析系统各部分的控制缺陷原因。

STAMP模型认为事故原因一般分为3类，即控制器操作、执行器和被控制过程的行为、控制器和决策者之间的沟通和协调，如图1。

图1 导致危险的控制缺陷分类[12]Fig.1 A classification of control flows leading to hazards[12]

因此，基于STAMP模型分析事故的过程主要包括以下几个方面：识别系统危险以及安全约束；构建系统分层安全控制结构；找出控制结构中的控制缺陷以及违反安全约束的控制动作。本节对STAMP模型理论的介绍有限，详细理论内容参考文献[12]。

2 江西丰城坍塌事故概况

2016年11月24日，江西丰城发电厂三期扩建工程发生冷却塔施工平台坍塌特别重大事故，造成73人死亡，两人受伤，直接经济损失10197.2万元[13]。

2016年11月24日6时左右，混凝土班组、钢筋班组先后完成了第52节混凝土浇筑和第53节钢筋绑扎作业，并离开作业面。

随后5个木工班组共70人先后上施工平台进行第50节模板拆除及第53节模板安装作业，此时第50节混凝土强度未达到要求。此外，与施工平台连接的平桥上有2名平桥操作人员和1名施工升降机操作人员，在7号冷却塔底部中央竖井、水池底板处有19名工人正在作业。

7时33分，7号冷却塔第50-52节筒壁混凝土从后期浇筑完成部位开始坍塌，沿圆周方向向两侧连续倾塌坠落，施工平台及平桥上的作业人员随同筒壁混凝土及模架体系一起坠落，在筒壁坍塌过程中，平桥晃动、倾斜后坍塌，事故持续时间24s。

3 基于STAMP模型事故原因分析

使用STAMP模型分析事故原因需要确定系统危险及安全约束、构建系统安全控制结构。与丰城坍塌事故相关的系统危险是筒壁坍塌。为了防止该建筑施工系统危险的发生，系统应有以下安全约束：

（1）筒壁混凝土及钢筋的质量应符合标准。

（2）筒壁模板应固定牢靠，不得出现模板松懈或脱落情况。

（3）筒壁模板在混凝土强度达到要求之前不得拆除。

本文分析的组织包括基层操作以及管理层，未将政府层面的组织纳入分析范围，构建丰城发电厂三期扩建工程的分层安全控制结构，如图2。为了系统地分析此事故，分别从安全约束、控制缺陷以及控制缺陷产生的原因3个方面阐述各组件的原因，对人因的分析考虑了做出决定的背景以及心智模型缺陷。

图2 丰城发电厂三期扩建工程安全控制结构Fig.2 The safety control structure of phase III expansion project of Fengcheng power plant

3.1 物理过程及环境因素分析

有可能造成坍塌的物理因素有：混凝土质量问题、模板未固定牢靠以及模板拆除时混凝土强度未达到要求。根据事故调查结果，造成此次坍塌事故的物理过程及环境影响因素是拆模时混凝土强度未达到要求、混凝土质量无保障以及天气因素的影响。

GB 50573-2010[14]标准中明确规定“采用悬挂式脚手架施工筒壁，拆模时其上节混凝土强度应达到6MPa以上”，按照标准中的规定，拆除第50节筒壁模板时，第51节混凝土强度应该达到6MPa以上。但是在实际施工过程中，拆除第50节模板时，第50节筒壁混凝土强度为0.89～2.35MPa，第51节筒壁混凝土强度小于0.29MPa，混凝土强度未达到拆除模板的要求，是导致筒壁坍塌的直接原因。

混凝土供应商提供的混凝土存在质量问题。首先，该供应商缺少相关资质，不符合向该扩建工程项目供应混凝土的条件；其次，该供应商未按要求向混凝土添加外加剂，导致混凝土质量不符合要求。

造成混凝土强度不达标的环境影响因素是当地气温骤降，作为外部干扰因素，温度降低对混凝土强度的降低产生了一定的影响，但不是导致拆模时混凝土强度不足的主导因素。

3.2 基层操作原因分析

本节主要分析现场项目部组织的具体施工过程的控制原因。首先，对该层的决策和控制动作产生的背景进行阐述；其次，分析与此次事故有关的不正确的决策及控制动作；最后，分析导致错误的决策及控制动作产生的原因。分析结果，如图3。

图3 基层操作对事故的影响Fig.3 The roles of operators in the accident

3.2.1 决策和控制动作产生的背景

安全需求及约束。上岗前必须通过安全培训；筒壁模板安装必须牢靠，不得出现模板松动和脱落的情况；拆除筒壁模板前必须得到项目部的批准；明确操作规程与作业步骤；接受项目部的监督与检查。

控制。设置现场项目部的安全生产管理机构；在筒壁模板拆除之前送检同条件养护试块强度；拆模前报告施工单位项目部；对施工人员进行安全培训及作业指导。

做决定所在的环境。造成事故发生的不安全控制动作并非偶然出现的，而是操作人员长久养成的习惯性行为。施工人员与劳务公司未签订合同，在未接受良好培训的情况下即上岗工作，对施工作业要求与流程并不了解，长期自行安排施工作业；施工作业队伍未配备合格安全员，现场项目部对施工人员安全技术交底不认真、不彻底，疏于对施工现场安全检查，导致施工人员长期盲目作业，完成任务是唯一的目标，即使违章作业也不会受到处罚，对安全不重视；“大干100天”活动导致工期缩短，施工进度被迫加快。

3.2.2 不正确的交互、错误的决策及不恰当的控制动作

造成本次坍塌事故的直接原因是混凝土强度不足的情况下违规拆除筒壁模板，除此之外，也出现了其他一些不正确的决策和控制动作及不正确的交互，主要有：施工人员违规进行垂直交叉作业；施工人员擅自施工作业，未向现场项目部报告；未送检试块至第三方质量检测所进行检测；现场项目部未设置安全生产管理机构；现场项目部未制定拆模作业控制措施；拆模前未报告总承包单位及监理单位；混凝土供应方未正确添加混凝土早强剂。

3.2.3 不正确决策及控制动作产生的原因

分析出基层操作的控制结构中的缺陷之后，还应弄清楚产生这些不正确交互、错误的决策以及不合适的控制动作的原因，这些原因主要包括不正确的控制算法、心智模型的缺陷。

不正确的控制算法。在基层操作的控制结构中，现场项目部（控制器）缺少对施工人员（执行器）的技术指导与安全交底，缺少在施工方案中制定拆模管理控制措施；施工人员（执行器）违规作业，不遵守已有的施工技术标准。

心智模型缺陷。整个基层操作人员所做出的控制动作，无论是正确的还是不正确的，都是根据当时系统的认识所做出的，当动作发出者的心智模型与系统实际模型相匹配时，就会发出正确的控制动作，否则就会发出错误的控制动作。

此次坍塌事故中，操作人员未能发出正确的控制动作的主要原因包括：施工人员不知道拆模作业的具体要求；不知道垂直交叉作业是违规的；施工人员知道自己违章作业，但是认为不会受到处罚；现场项目部人员不认为需要对施工人员进行安全培训；现场项目部人员低估了混凝土强度不足的危险性；现场项目部人员不知道检查施工现场的作用；现场项目部人员不认为施工必须遵守作业规程。

3.3 管理层因素分析

此次坍塌事故的管理层主要包括建设方、工程总承包方、施工方以及监理方。管理层的原因分析结果，如图4。

图4 管理层对事故的影响Fig.4 The roles of management layer in the accident

3.3.1 决策和控制动作产生的背景

安全需求和约束。监督与落实在筒壁模板拆除之前试块送检制度；保证拆模前混凝土强度符合要求；保证施工人员通过培训合格，按照规程要求施工作业。

控制。现场安全检查及处罚措施；拆模作业评估后批准作业；施工单位、总承包单位、监理单位共同现场见证和验收拆模作业。

做决定所在的环境。项目建设方提出“烟囱及7号冷却塔应考虑力争年底到顶计划”导致施工方压缩了施工工期，施工进度加快，对安全的重视程度下降。建设方、工程总承包方、施工方以及监理方都共同对建设项目的安全负责，但是存在管理交叉与重叠，容易导致职责不明确。实际上整个项目是施工方在主导，建设方、工程总承包方以及监理方对项目建设现场并不了解。

3.3.2 不正确的交互、错误的决策及不恰当的控制动作

虽然此次坍塌事故是施工现场的不安全控制动作直接导致的，但是管理层的因素不可忽略。管理层应该保证施工现场的生产安全，但是在事故报告中各方均未能尽职尽责。主要控制缺陷如下：

（1）建设方。未经论证压缩施工工期；未对总承包单位进行安全技术交底；未发现施工方案存在的问题；对施工单位、承包方及监理方的监督不力；未对现场监理人员进行评议；法定建设单位与项目指挥部关系不清、管理权限不明确。

（2）承包方。未设置独立安全生产管理机构和安全总监岗位；未发现施工方案存在问题；对施工单位检查不力；未现场见证与验收拆模作业；未论证缩短工期的可行性与安全性；未组织与开展项目全员安全生产应急演练。

（3）监理方。未对新入职监理人员进行培训；未纠正施工单位的违规行为；对施工单位缺少监督与检查；未提出见证拆模作业要求；未发现与纠正现场监理失职问题；未发现施工方案存在问题；安排不符合要求人员开展监理工作。

（4）施工方。未设立独立安全生产管理机构；对施工现场安全检查不力；对作业人员安全培训和安全技术指导不足；未制定拆模管理控制措施；未应对天气变化制定对策措施；拆模前未报告总承包单位及监理单位；未落实试块送检制度；混凝土强度不足情况下未制止拆模作业；未将筒壁工程作为危险性较大分部分项工程进行管理。

3.3.3 不正确决策及控制动作产生的原因

不正确的控制算法。建设方、监理方以及工程总承包方都疏于与施工作业现场的安全管理，导致现场施工违章长期存在也不会受到处罚。虽然各方都制定了安全检查与监督的制度，但是执行不到位，且各方管理职责存在交叉与重复，导致职责划分不清与责任推卸。

心智模型。管理层对实际生产系统不了解，心智模型存在缺陷。管理层各方对生产系统的安全监管失效表明其对系统监管认识错误，未能正确匹配心智模型与实际生产系统模型，导致整个管理系统的混乱，产生了不安全决策与不安全控制动作。

多个控制器之间的合作。建设方、施工方、承包方以及监理方作为系统的控制器，共同管理项目安全生产，其管理内容与职责存在交叉之处，导致不正常的交互影响的产生，如：每一个控制器都认为即使自己不发出控制动作别的控制器也会发出控制动作，多个控制器发出了相互矛盾的控制动作。

3.4 事故控制措施及建议

加强组织间的沟通。建筑施工事故涉及多组织，通过分析发现，组织间沟通缺失是导致不恰当的决策和控制动作产生的重要原因，因此加强组织间的沟通，确保系统内的各个层级有效沟通可以降低事故的发生。

重视安全培训的作用。通过控制动作和心智模型的分析可以看出，组织存在安全培训不到位的错误动作，各个组织员工的安全知识和安全意识都存在欠缺，需要加强安全培训，重视安全培训对事故预防的作用。

4 结论

（1）运用STAMP模型分析该施工事故，得到了物理过程、基层操作和管理层的原因，也找出了基层操作与管理层之间以及各层级内不同组织之间的交互影响原因。

（2）建设方、施工方、监理方以及承包方对项目管理内容交叉与重叠导致职责不清，且四方之间的沟通与协调缺失是导致错误决策和不恰当控制动作产生的主要因素。

（3）基层不安全控制动作直接导致事故发生，但取决于管理因素，管理层的原因是预防同类事故的重点。