安全管理的过去和未来：安全Ⅰ与安全Ⅱ

曾经有个段子说：我们刚吃上肉，你们又要吃素了；我们刚穿暖衣服，你们又要露脐了；我们刚进城，你们又要到乡下旅游了……。

对于安全管理，有的公司（手工小工厂）在讲“事故三角形模型”，认为安全管理的重点是人为差错。但是，有的公司（如航空公司、核电公司）则认为“事故三角形模型”已经过时了。

安全管理的过去和未来显然是不一样的。我们把过去的安全观叫安全Ⅰ，

把过去的安全观叫

安全Ⅱ。

安全Ⅰ和安全Ⅱ区别入下表：

（丹麦）埃里克·郝纳根（Erik Hollnagel）. 安全Ⅰ与安全Ⅱ 安全管理的过去和未来[M].北京：出版社:中国工人出版社.2015-11，153页

安全I 阶段聚焦调查事故发生的原因，找到根本原因，堵上漏洞，构建屏障，是一种事后补救的措施。而安全II 阶段的关注重点在于了解各作业如何正确实施，在作业实施过程中一旦发现有走偏的预兆时，主动及时的纠偏，需要让员工在变动中构建自我恢复能力，是一种主动预防性的措施。安全管理的目的是确保尽量多的事情是正确的，它不是被动的反映，而是主动的实施。

这两者可以用正态分布来比喻，安全I 关注正态分布曲线的两端，这两端通常有异常，很显眼。而安全II关注正态分布的中间，这个区域很多，都是正确实施的操作，哪么如何让正确持续下去，我认为这就是一个新的思考。

从另一个思维来说，安全I追求零事故，追求分子为零。不同的是，安全II追求正确实施的数量，追求分母做大。这个观点我的解读是安全I喊的是口号，安全II才是脚踏实地。这是一个关注点的转换。安全I关注绩效指标，那么从而导致的是对考核的畏惧，追求口号，追求零的心态，这样会带来什么影响不言而喻。如果我们脚踏实地，追求每次都把事情做好，实施好，这样的心态就不一样了。

以使用频率而不是严重性的观念作为学习的出发点，是普遍的学习理论。一般认为，无论是否与安全相关，必须履行以下三个条件以便于学习实践得以发生：

1.必须有学习的机会。可以学到东西的情况必须足够频繁，以便于学习实践得以发展。在此期间，它们必须频繁发生，学到的东西才不会忘记。由于事故是不经常发生的，它们不是学习的良好起点。因为它们是罕见的，经验教训可能忘记。出于同样的原因，也很难准备学习一事故发生时，关注的主要是应对它和恢复系统，而不是从中吸取教训。

2.为了学习，情况或事件必须在某种方式上是类似的。学习的情况必须有足够多的共同点，以便概括整合。如果事件都非常相似，它就很容易理解，因为我们天生有概括能力。但如果事件是很不一样的一正如严重的事故一或者如果它不可能出于其他原因来概括(要找到一些共同，点)，那学习起来就很难。我们不可能只是从结果中学习，因为相似或相同的结果可能有不同的原因。我们需要超越这些并从原因中学习。但原因是推断和构造的，而不是通过观察得来的。简单的事件，在实践中可能有一对一的因果对应关系，因为在这两者之间有几个链接或步骤。但对复杂的事件，则不一样。事故越严重，从结果到原因的步骤越多，解释中的细节越多，因此存在更多的不确定性。这意味着我们可以通过假定一些基础的因果机制来学习，然后我们所学习到的是机制很好地提供了解释（就是社会上可接受的)，但这不一定是真正发生的。然而，问题是我们是否应致力于加强我们在一个特定事故模型或理论的信念，或我们是否应该尝试了解实际发生了什么，从中进行概括。

3.必须有机会来反馈，证明已经得以学习，验证所学到的是有效的。这里面的先决条件是事件是频繁和类似的。如果不是这样，那么就很难确定学会了正确的事情。学习不只是随机改变行为，而是这种变化被认为应该使某些结果更有可能发生，而其他结果不太可能发生。因此，必须尽可能确定学习过程（即行为的预期变化)是否发生了，是否达到了预期的效果。如果一直没有变化，学习就有效果。如果已经在相反的方向发生变化，那么学习到的肯定是错误的。

我们可以通过映射情况，根据它们的频率（它们怎么经常发生)和它们的相似性（两个事件是如何类似的）说明这三个标准的结果。如果我们简单地使用事故、事故征候和日常表现三个主要类别，映射看起来如图8.4中所示。（注意，顺便说一句，这可以被看作传统的事故金字塔135度逆时针旋转。)一般的学习理论证实了我们已经知道的，即在经常发生以及类似的事件中找到学习的最佳基础。因此，学习应基于频率，而不是严重性，这意味着事故既不是最好的也不是唯一的学习的基础。

关于学习，安全-I和安全-Ⅱ之间的区别可以表述如下。

安全-I调查的目的是找到哪里错了，而安全-Ⅱ调查的目的是找到什么没有正确实施。安全-I首先是通过重建假设的失效序列（或事故发生时间表），然后找到发生故障或失效的组件或子系统。这自然而然地使严重性成为最重要的标准。安全-Ⅱ是通过构建日常的、成功的表现描述，寻找如何表现变异性（单独或合并）可能导致失去控制。这自然使得频率成为最重要的标准。找到什么出了错导致搜索差错、失效和故障。找到什么没有正确实施创建需要了解工作通常如何发生和如何正确实施。只有当发生后才有可能理解在特定的实例中什么没有正确实施。

然而，强调学习应该基于频率，而不是严重程度，并不是反对关注事故和事故征候。它只是反对只将事故和事故征候作为学习的基础的论点。至关重要的是学习每天发生了什么一从表现变异性和表现调整一这就是为什么事情有时候会出错，这是提高表现最有效的方法。

另一个方面从安全经济学角度作者也做了分析，安全I导致的就是安全投入被认为是成本，没有安全投入，也没有安全事故发生，会被认为是节约了大量成本。但是安全II就认为安全投入是生产的一部分，是促进生产的。

如果我们估计事故的概率（p），安全投资的成本(I)，事故成本(A)，然后决策矩阵可用于排列四个备选方案的顺序：

安全-1