失效反应越强烈，认识越浅薄。
—— [荷] 西德尼·德科（Sidney dekker）
为了认识你的对已经发生的事情的洞察力，你首先要认识自己对失效的反应。一般来说，应对失效有如下几种类型：
  • 倒推式。从事件的结果追溯原因。
  • 反设式。假设人们当时应该怎么做来避免现在的后果。
  • 裁断式。断定人们没有做应该做的事，或忽视了重要的事。
  • 近端式。关注在时间和空间上处于灾祸近端的人。
海军一艘潜艇在夏威夷附近撞沉了一艘日本捕鱼船，船上9名日本渔民遇难。事发时，该潜艇在向市民对外开放，为了展示潜艇的性能，潜艇正在进行“应急打击”，即快速上浮的演练。时间很紧张，船员们和16名市民观众挤在控制室里，他们快速地扫视了一下海面以此检查潜望镜，而重要的机载设备声呐当时却处于失效状态。
事故发生后，舰长的上司、海军司令感到非常震惊。让他困惑的是夏威夷附近海域是世界上最好导航的水域之一，何以会发生这样的灾难呢？按理说舰长按时返航应该是没有任何问题的。在事后举行的听证会上，司令在法庭上看着舰长说：“我真想冲过去揍你一顿，谁让你没多花一点时间进行航前检查。”在海军司令看来，舰长是唯一应受到谴责的人，至于船上的市民和失效的声呐都与事故无关。
对失效的反应干扰你去认识失效。反应越强烈，认识越浅薄。当你说“他们怎么那么傻······”或“他们怎么就没注意······”时，你就是在对失效做出反应。这些反应阻止你对导致失效的原因和当事人做出合理判断，同时阻止你接近更深层原因，即“人为差错”背后的组织因素。
一、倒推式
作为一名调查人员或旁观者，你对事故或事故征候的了解肯定要比当事人多，因为你是事后诸葛亮，有后见之明。
  • 后见之明意味着你能够以旁观者的角度从已知的结果对一连串事件进行倒推。
  • 后见之明让你能够无限接近当时情景的真实本质，人们在哪里以及人们以为自己在哪里，系统状态以及人们以为的系统状态。
  • 后见之明让你明确指出人们错过了什么以及不应该错过什么，没做到什么以及应该做到什么。
图2.1 后见之明改变你看待过往决策的方式，将当时的复杂性变得简单、线性，称为一个非错即对的决策
相对于当事人对事发时的经历，后见之明使你对过往的经历过分简化了。
  • 你认为一连串事件必然导致一个结果。你低估了人们面对问题时的不确定性，忘记了真实结果的不可能性。一旦你了解了真实场景，就会明白已知的结果发生的可能性很小，而其他可能性则大量存在。
  • 你看到的一连串事件都是线性呈现的，不受干扰直接导向已知的结果。一旦从当事人的角度看同样的情景，你会发现很多曲折的多重路径。
  • 因为使用回溯推理，你简化了事件之间的因果关系。当你追溯一连串事件时，很容易从结果出发去匹配原因，却忘记当结果还未出现时，因果耦合是很难进行的。
英国的Clapham Junction铁路事故调查委员会主席明确表达了这种观点。他说：“在后见之明的探照灯照射下，人类的行动和决策没有不带瑕疵、不离谱的。评论者应时刻提醒自己要牢记这一点。”
后见之明使你对过往的经历过分简化。当时的复杂性变得更加简单、线性并且更有预测性。
印度一架飞机在降落时，坠毁在距机场跑道不远的高尔夫球场上。该飞机自动化程度很高，在五边近进时，飞机自动开启下降模式，通过机头俯仰操作来控制空速，而不是通过发动机油门来控制空速。不过，飞行员显然是忘记了这一点，当飞机近进高度太低时，他们已经来不及爬升了。事后，飞机制造商评论道，“飞行员应该知道飞机自动开启了下降模式”。而旁观者一旦明白了这一点，问题就变成了飞行员为什么忘记了这一重要信息。
后见之明让你对重要的事情产生偏好（如开启下降模式）。最终，你会根据人们没能获取重要信息数据来评估其行动和决策。这人为地缩窄了对证据的检查，并且可能错过行为的另外选择和解释。预知一连串事件的结果会产生很大的影响。当你回溯一个信息时，后见之明对你的客观性产生极大影响。
来看看希腊神话中的人物俄狄浦斯（Oedipus）吧。他很开心地去赴约，和一个叫伊俄卡斯忒（Jocasta）的女人发生亲昵行为。事情发生后，他从一个信使那里得到暗示，原来伊俄卡斯忒是他的母亲。你怎么看俄狄浦斯在知道真相前后对这次约会的不同回忆。在知道真相后，他将无法客观地看待自己的行为了。事实上，他不停地回顾整个事件，问自己忽略了什么、错过了什么、误判了什么，哪里没能仔细检查，也就是说他在尽力发现各种“差错”。如果没有后见之明，没有那个信使，这些所谓的“差错”是根本不存在的。
如果关注相关的心理学研究，你会发现已经发生过的事情会受到两种影响：
  • 后见之明的偏好。发现了结果，这增加了我们对可能性的预估。也就是说，作为一个已经知道结局的回顾者，你夸大了自己预知预判的能力，你并不知道这是一种后见之明带来的偏好。
  • 结果的偏好。一旦知道了结果，你对导致结果的决策进行评估时就发生了变化。如果是坏的结果，你不仅会对决策进行判断，而且你的判断很可能还是苛刻的。
一般我们会认为坏的结果一定是坏的原因造成的。很多研究论证了这一点。当我们面对一个坏的结果或者有可能产生坏的结果时，我们会认为引起结果的行为也同样坏。这是一种幻觉，只存在于公平世界里，那里的因和果是成比例的。
坏的程序也会产生好的结果，反之亦然。
在复杂的现实世界里，这种幻觉很不真实。有时即使是坏的程序也会产生好的结果，而好的程序则会有坏的结果。有些行为当时由于偏离了规范程序而是错误的，后来看其实是可行的。这些行为未必导致失败。世界是复杂多样的，安全的路径多种多样，成功的大道不止一条。想想一架五边近进的飞机，只有在准确的时间里保持稳定平衡才能安全着陆。这可以被视为一个韧性指标，衡量人们在生产压力下保持安全的能力，能力高则指标高，反之亦然。在好的程序下，人们会仔细地进行交叉检查和沟通（严格按照程序来，但是在异常状况下有可能导致灾难性的后果。
那么怎么避免后见之明呢？图22展示了看待失败路径的两种角度：
图2.2 看待一连串事件的不同角度：旁观者的角度已知结果和风险，当事者的角度对结果和风险一无所知。
  • 旁观者的角度（你的典型角度）。这个角度让你纵览整个一连串事件触发条件，各种曲折，最终结局，以及导致结果的整个情景的本质。
  • 当事者的角度。当时情况下亲历者的角度。对于他们来说，结果是未知的。他们所做的一切是在事件演变当中进行的。要想认识“人为差错”，你必须站在这个角度上。
二、反设式
应该这样做，或不应该这样做，这种话说起来很容易。但是你想过没有，也许这就是灾难之所在。当你说应该或不应该做什么的时候，其实你就在认识“人为差错”。当你说：
“他们不应该······”
“他们应该······”
“他们没能······”
“他们没有······”
“如果他们······就好了”
这时，你就是在对失效进行反应。这是一种反事实假设，对没有发生的事实进行假设。也许你认为这样做让你更加理解“人为差错”，事实上并非如此。为什么把时间浪费在根本就没发生的事情上？认识“人为差错”的关键是理解失效发生的方式和原因，而不是想象其他的各种可能性，事后诸葛亮谁都会。
事故调查报告充满了这种反事实假设，并详细描述当事人没能采取的行动和遵循的路径。例如：
如果保持机头抬升15°角，推力手柄设置为1.93EPR，起落架及时收起，飞机就能够克服风切变。
反事实假设总是在说某个时刻在某个乌托邦的条件下会发生什么。所以进行反事实假设推理时，运用有针对性的方法进行反失效干涉，会取得丰硕成果。但是，在对行为进行解释时，反推法并不给力。反推法并不是调查当事人错过的选择和机会，它只是后见之明的体现。
图2.3 反设式：从结果去倒推人为什么错失良机没能避免不良后果，但是这样做并没有对人的行为表现做出解释
从结果出发进行反推的影响很广泛。从一个失败的结果开始，为了解释这个失败，你首先想到的就是去搜寻导致失败的其他失败。人错在哪里？错过了什么？等等。但是别忘了，你是在已知结果的前提下倒推原因.是在当事人面对的各种选择里轻松地取样测试。在你面前，岔路清晰可见，机会排列成行.你可以驻足思考，慢慢研究，用一种方式不行，再换另外一种方式.没有压力，也没有不确定性，因为结果已知。从这里出发，你当然能到达你想到的任何地方。
在对一起游轮搁浅事故进行调查后，调查人员的结论是：“船员应该把GPS和另一导航设施Loran-C上的位置信息进行对比，尤其是在偏离预定航道时。”5在知道结果的时候这么说很轻松，但是这有什么用呢？就船员来说，这艘游轮的确是在航道上的，并没有发生偏离。我们的任务应该是去发现这一切为什么会发生以及怎样发生的，而不是故作聪明地进行评论。
设想一下，如果你对结果一无所知，身处未知当中，又不得不被未知的一切推着向前走，时间分秒流逝，面前是一片迷茫，岔路丛生，各种选择皆有可能，又全不确定，前前后后布满重重陷阱，而你被时间追赶着，承受着巨大的选择压力，后果未卜，你会做出怎样的选择呢？人们做出的选择与目标、认知和关注点相匹配，否则就会做出另外的选择。
三、裁断式
由于对“人为差错”失望和不安，人们常常不去设法解释其原因，而是用某种判断和裁决取而代之。
我在看《航空周刊》时，读到这样一个标题：“计算机又给飞行员添乱：空难调查再次暴露‘人为差错’和模式混乱。”作者在文中对波音737飞行员最终没能连接自动驾驶感到很失望。
这架波音737飞机在夜间起飞后，飞行员并没有注意到自动驾驶未开启。同时，机长对于飞机转向哪里也糊涂了，他进行了错误滚转操纵，可能他把眼前这架西方生产的新式飞机同自己的那架老式俄罗斯飞机的水平显示搞混了。当时副驾驶也没有阻止他，结果飞机一头栽进海里，机上人员全部遇难。
文中写道，“海上冒出一片气泡，机组人员全部丧生。所发生的一切是那么匪夷所思，令人难以置信”。作者认为，两名飞行员跌进无情的深渊让人难以言表。副驾驶并“没有认识”到当机翼没有保持水平时，是不能接通自动驾驶的。在一望无际的黑暗海面上，这样做更危险，但是他还是这样做了。机长在飞行时“没能明白”到底发生了什么，认为“自动驾驶连接并操纵飞机”，然而事实并非如此。从文中可以看出，作者已经为我们做出了清晰的判断。
在飞机坠毁前一分钟，机长“看错”了姿态指示仪，他显然是“搞混了”，而副驾驶的“错误确认”更加“误导了”机长。“飞行员继续进行错误的滚转，形势越来越紧张，直到无可挽回”。最终，飞机掉进大海。
作者以一个旁观者的视角，以全知者的口吻对一个致死空难进行解读，在对最后的撞地瞬间进行着倒计时：3、2、1，然后-轰。
一切就这样发生了。
以旁观者的视角进行回顾是有问题的，这样做无助于对事情做出解释。你只是以你认为重要而被别人忽视的线索来判断当事人的行为，谴责当事人把形势从可控变成不可逆转，但你根本无法理解当事人的行为。真正的理解应当是将自己置于当事人的境地，设身处地地去感知。只有这样，你才能明白当事人为什么做出那样的举动。
图2.4 你运用的语言暴露了你的立场。这里，你以一个旁观者的视角进行着回顾和判断
当你使用“失效”这个词时，就说明你还是在旁观、回顾。例如，飞行员没能意识到模式的转换。失效这个词意味着还有其他可替代的路径，而当事人没能采用。这是一个反事实假设，比如，如果飞行员意识到模式的转换，结果就会反转······
在陈述医疗事故的时候，因疏忽导致的死亡案例往往被认为是治疗诊断上的判断失误造成的。例如，在数据充足的情况下发生的误诊，没能做出合适的诊断检查和治疗方案，延误诊断，延误治疗。
虽然上述一切看起来像是对“人为差错”的解释，事实上是一种判断。例如，“尽管数据充分还是发生误诊”，其实是当事医生在已知的关键数据上做出的有依据的诊断。把这称为误诊是毫无建设性的，这种回顾式的裁断忽视了真实诊断背后的合理性。
图2.5 裁断式宣称当事人应该做哪些事而并没有做，或做了不应该做的事。这只是对当事人行为的判断而不是对当事人行为的解释
有些调查机构在进行事故原因陈述时，还是常常使用“失效”这个词。例如，最有可能导致风挡事故的三个主要原因，之前的表述是这样的：
委员会确定了事故的原因可能是：（1）在严重对流天气演变成下击微爆时，飞行机组决定继续进近；（2）飞行机组没能及时意识到风切变；（3）飞行机组没能建立和保持正确的飞行姿态和推力设置来脱离风切变。
谈论“人们没能做到什么”对于认识“人为差错”起不到什么作用。例如，没能认识到风切变并不能解释机组是如何认知他们的行为方式的，也不能帮助其他机组避免同样的状况。这样的语言让你无法有效认识差错。你只是继续沿用判断式的框架，倒叙一连串事件，而事件的因果你已经一清二楚了。
怎样避免裁断式？可以借鉴瑞士航空111的事故报告。调查人员关注这架大型喷气式客机的飞行员在发现驾驶舱冒烟后所采取的行动。备降机场（Halifax）就在附近，但他们没能进行紧急下降。相反，飞行员用大量时间来评估当时情景，执行检查单，准备空中放油以减小着陆重量等。随着驾驶舱烟雾发展成失火，飞机状态失控，最终在海上坠毁，机上人员无一幸免。一个有趣的问题是：机组的观点是什么？他们采取的行动是否有意义？让我们看一下调查报告。
当飞行员在0115：36开始向Halifax机场下降时，他们认为遇到的只是一个空调冒烟的不正常情况，不需要紧急下降。基于对有限情况的了解，他们开始准备完成一个快速下降，而不是一个紧急下降和着陆。
图2.6 你可以用当事人的角度看待他们对情景的评估和采取的行为
调查报告试图从机组的角度来进行阐述，报告也承认当时判断失效的线索是有限的，机组采取的行动是基于有限的认知。这是一种设身处地的方法。
为什么飞行员不急于备降？作者再次设身处地地分析这件事情：
飞行员对Halifax机场不熟悉，并且没有可用的进近图。飞行管理系统没有06号跑道的反向仪表着陆程序。飞行员知道必须花费更多时间来熟悉机场的进近着陆程序，尽管可以通过前机了解机场的天气情况，但是对跑道的长度和方向并不了解。正常运行需要了解跑道及仪表进近的信息，这些信息对于安全进近和着陆是很重要的，尤其是对于夜航和不熟悉的机场。飞行员也知道飞机的重量超过了非紧急状态下的最大着陆重量。
另外，除了这些外部环境，飞行员也发现客舱正在提供餐食服务，也就意味着客舱需要花一些时间进行安全着陆准备。他们也没有从客舱得到空调冒烟的报告。他们还认为如果客舱在没有准备的情况下实施紧急下降，飞机处于不稳定进近和着陆状态，会对乘务组和旅客造成更大风险。结论是，如果飞行员知道飞机会起火，他们就会对相关风险进行完全不同的评估。
报告认为如果飞行员能够认识到情况的严重性，他们会采取不同的措施。问题是他们没有意识到情况的严重性。如何解读飞行员的行为以及导致的结果？对于其他飞行员有何意义？这才是问题的关键，瑞士航空111事故调查报告对此做出了有意义的探索。
四、近端式
对失效反应的关注很容易集中在离事故最近的人身上，他们对避免错误或引发事故至关重要，被视为事故的导火索。如果没有他们，灾难可能就不会发生。
有人从伦敦给我打电话，想了解火车驾驶员怎么可能闯过红灯。英国刚刚经历了一次最恶劣的铁路灾难一在伦敦帕丁顿车站附近的Ladbroke Grove，一辆通勤火车迎面撞上了一辆高速行驶的市间旅客列车。这次碰撞及后续引起的大火造成了多名旅客身亡。调查的结论是“人为差错”。通勤火车驾驶员正好通过车站外的109信号灯，信号灯此时正好是红色信号，或叫“不安全”信号。该司机怎么会没有发现信号灯是红色的呢？当时拍摄的一张照片公布了一个令人震惊的事实：一个列车驾驶员一边开着高速火车，一边看着报纸。
为了更好地理解差错，我们必须审视这些人所在的系统整体的工作状态。我们可将一个运行的系统分为一线端（直接端）和系统端（后台端）：
  • 一线端（例如，火车车厢、飞机驾驶舱、手术台)，与关键安全进程直接相关的人。
  • 系统端是一个组织或一系列的组织，他们可以支持或限制一线端的行为(例如，航空公司、医院、设备的供货商，甚至是一些规章和条例)。
系统端向一线端提供资源（例如，设备、培训、工作的同事）来完成所需要完成的工作。但同时系统端也会设定一些限制及施加一些压力（不要迟到，不要花费不必要的资金，使客户保持满意）。因而系统端有时会塑造、产生、甚至是增加了一线端出现差错的机会。
对于列车驾驶员来说，在109信号灯成为著名案例后不久，LadbrokeGroved事件“驾驶员差错”的结论失去了可信性。信号109及混乱的设备架和很多其他信号灯的延迟，都被忽略了。很多驾驶员过去多年来都是在不安全的状态下通过了109信号灯，而且驾驶员工会曾多次抱怨可视性的缺失（看不到信号）。
在Ladbroke Grove事故相同的列车上，本应该安装有自动刹车系统（ATB），但考虑到成本问题，很多列车都没有安装ATB，或仅勉强安装了低配版的ATB系统，这在某些程度上更加依赖驾驶员和交通信号灯系统。
图2.7可以通过观察整个系统来了解事故产生的原因。而我们往往更加关注所发生事故的直接原因，即：直接可避免灾难的原因
面对恶劣的、突然性的事件，相关的组织总是反复强调事件本身，而不去对造成事件发生的整个系统进行改变。事件往往被重新描述以使其变得不那么耸人听闻，而不是修正事件所产生的原因。一旦组织关注事件本身产生的原因，灾难就有可能不会发生。
只盯住一个独立个体的失效而造成的奥斯卡事故，反映出了潜在的系统性缺陷。奥斯卡是一架航空公司的老旧波音747飞机，它已开始产生自动驾驶的故障，但出事的那天早上似乎所有的事都和飞行员作对。飞机遇到了比预报更大的逆风，而且目的地机场天气极其恶劣。因天气原因，副驾驶不具备实施此次进近的资质，但仍继续实施进近，而此时副驾驶和机械师同时肠胃炎发作。管制员又要求这架“巨无霸”实施短进近，而这种指令几乎无法给如此老旧的自动驾驶系统以足够的时间使飞机稳定在合适的轨迹上。飞机差一点撞上机场附近的一个隐藏在云雾里的建筑物，幸好第二次进近飞机安全落地。
奥斯卡的机长事后被起诉，“使其旅客处于危险之中”（飞行员只是做了每次飞行都做的事情)。此案集中在机组的错误决定。为什么机组没有携带更多的燃油为备降做好充分的准备？为什么机组没有提前终止进近？为什么没有选择附近的其他机场落地。这些问题始终忽略或隐藏了机组面对的组织和运行困境，更不必说上述所提到的老旧自动驾驶实施短五边进近所面临的困难。关注客户服务及公司形象；为完成进近而放弃应有的资质；让合格的机组承担更多的工作；目的地机场繁忙的交通状况并被迫实施小三边的进近；迫使机组立即做出备降到其他国家或基于仅有燃油继续飞往目的地的正确评估一所有这些都没有被提出。
被中伤的机长被降为副驾驶，并被罚款，后来他自杀了。而航空公司通过处罚一个单一的个体一法庭上的被告者—错误及不可靠的行为挽回了其形象。
关于整体系统的潜在分裂（且昂贵）的教训，可以通过几个没有代表性的个别事件转化为独立的问题。这样的转化减轻了组织在观念上、信条上应该采取的行为，或相应调查和调查的优先顺序上的改变。只有那些不可靠的人离开，系统才将是安全的。
1994年，一架大型军用直升机坠毁在苏格兰的一个山丘上，事故原因被认为是飞行员粗心导致的，机组连同29名机上乘客全部遇难。而事情的另一面却再也没有被提起。官方调查报告把飞行员称为年轻人，意为没有经验，就这样，调查报告毫不费力地“摧毁了两个好人的名誉”。实际上，其他飞行员对此结论感到很不满，因为最根本的、潜在的严重缺陷并没有被真正检查出来（从1994年起至今，自动化直升机仅在飞行操纵的非指令性运动UFCM方面，就有多达160份报告)。
真正理解安全和风险不是要清除“坏苹果”或其他错误所引起的大伤害。综合审视一线端和系统端，关注如何与一线端相互作用，并决定什么是正常的，什么是我们对组织的期待，只有这样才能扩展视野。扩大视野意味着不仅盯住一线端，更要结合系统端的政策、优先性、设计选择，帮助一线端人们更好地实施并达到目的。
来源：（荷） 西德尼·德科（Sidney dekker）.理解“人为差错”实战指南[M].北京：中国工人出版社.2017.2
继续阅读
阅读原文
关键词
飞机
飞行员
机场
事故
机组