中外人为错误模型方法和基础理论的演变与当下最佳实践分享

安健之泉

一、错误这个词的中文英文起源和用法

A.中文词的起源和用法

单字本义

错（錯）：金文从“金”从“昔”，本义为“以金属镶嵌器物”，如西周时期（约公元前1046年—公元前771年）的《诗经·小雅·鹤鸣》“他山之石，可以为错”。后引申为“交错”（《楚辞·国殇》“车错毂兮短兵接”）→ “偏离正轨” → “不正确”（汉代《说文解字》“错，金涂也”，段玉裁注“引申为错乱”）。

误（誤）：篆文从“言”从“吴”，本义为“言语失误”，如西汉武帝时期（约公元前91年前后）的《史记·项羽本纪》“梁父即楚将项燕，为秦将王翦所戮也”，司马贞索隐“误，谬也”。后泛化为“行为或判断的偏差”。

合成逻辑：东汉（公元76—88年）已见“错”“误”连用，但多为短语（如《论衡》“错误中事”），非固定双音词。

魏晋后逐渐凝固为复合词，如《三国志·吴书·吕蒙传》“常恐失计，以负先主，故每至错误，辄自咎责”。

B.英文错误词的起源和用法

英文“错误”（error）这个词有1300年左右的历史，是拉丁语errorem。意思是“游荡的、误入歧途的、误入歧途的；蜿蜒的;怀疑，不确定；也可作“比喻的误入歧途的错误”。

二、历史文献中的使用轨迹

A.唐代以前：偶见非固定搭配。《后汉书·窦融传》：“恐有错误，触犯忌讳。”此处“错”“误”仍为并列动词，指“交错失误”。

B.佛教译经中多用于描述认知偏差（如《大智度论》“众生错谬，不知因果”），但未形成特定术语。

C.宋元明清：词汇化完成。宋代《朱子语类》：“若理会得透彻，自然无许多错错误误。”此处“错误”已作为名词使用。

D.明代《水浒传》第三十回：“若是张都监有错错误误，也要照律问罪。”可见其进入司法语境。

E.清代《红楼梦》第九十四回：“这字迹分明是宝玉的，如何又有错错误误？”说明日常口语化使用。

F.近代以来：受西方逻辑学、法学影响，“错误”被赋予更精准的定义：严复《穆勒名学》（1905）将“error”译为“错误”，强调认知判断的谬误。民国《中华民国民法》第88条：“意思表示之内容有错误……表意人得撤销之。”完成中国法律术语定型。

G.毛泽东在其革命生涯中多次针对党内错误思想（包括右倾机会主义、左倾冒险主义、主观主义等）进行批判，并通过重要文章和讲话系统阐述其观点。以下整理其代表性文献及其发表年代与核心内容：

a)《关于纠正党内的错误思想》（1929年12月）.背景：古田会议上总结红军建军初期的非无产阶级思想问题。核心观点：批判单纯军事观点、极端民主化、主观主义等错误，确立“党指挥枪”的根本原则。强调思想建党，要求党员“用马克思列宁主义的方法去作政治形势的分析和阶级势力的估量”

b)《反对本本主义》（1930年5月）.背景：针对教条主义（主观主义的一种表现），提出“没有调查，没有发言权”。核心观点：批判脱离实际的“本本主义”，强调实践调查的重要性，为后来延安整风的“实事求是”思想奠基。

c)《中国共产党在抗日时期的任务》（1937年5月）。背景：国共合作初期，党内出现对国民党过度妥协的右倾倾向。核心观点：强调“无产阶级必须通过共产党掌握革命领导权”，警惕“阶级投降主义”，提出“独立自主”的统一战线原则。

d)《反对自由主义》（1937年9月）。背景：纠正党内无原则妥协、忽视思想斗争的自由主义倾向。核心观点：列举自由主义的11种表现，指出其根源是“小资产阶级的自私自利性”，要求通过积极思想斗争维护党的团结。

e)《〈共产党人〉发刊词》（1939年10月）。背景：总结大革命和抗战初期经验，批判“左”右倾错误。核心观点：提出“统一战线、武装斗争、党的建设”是党的三大法宝，强调“既要反对‘一切斗争否认联合’的‘左’倾错误，也要反对‘一切联合否认斗争’的右倾错误”。

f)《改造我们的学习》（1941年5月）。背景：整风运动开端，批判教条主义和经验主义。核心观点：抨击“不注重研究现状”“不注重研究历史”“不注重马克思列宁主义的应用”的主观主义作风，提出“实事求是”方法论。

g)《整顿党的作风》（1942年2月）。核心观点：将主观主义列为党风的“三股歪风”之首，强调“理论和实际统一”是党性表现，要求党员“从实际出发，而不是从书本出发”。

h)《反对党八股》（1942年2月）。核心观点：批判形式主义文风，指出“空话连篇、装腔作势”的党八股是主观主义的传播工具，呼吁“生动活泼、新鲜有力的马克思列宁主义文风”。

i)《论联合政府》（1945年4月）。背景：中共七大报告，系统总结党的历史教训。核心观点：强调“坚持真理，修正错误”是党的生命力所在，任何错误“只要符合人民利益就必须纠正”。提出“全心全意为人民服务”的宗旨，将纠错机制上升至党的伦理高度。

j)1956年8月30日，毛主席在中国共产党第八次全国代表大会预备会议第1次会议上的讲话：“所谓犯错误，就是那个主观犯错误，那个思想不对头。……主观主义就是不从客观实际出发，不从现实可能性出发，而是从主观愿望出发。我们这次大会的文件所规定的东西所讲的东西要尽可能符合和接近中国的实际。同时，要根据我们过去的经验，批评那些不符合实际的观点，批评这个主观主义，打击这个主观主义。这个任务早几年我们就开始提出来了。现在，我们反对的是社会主义革命和社会主义建设中的主观主义。……理论与实践的统一，是马克思主义的一个最基本的原则。按照辩证唯物论，思想必须反映客观实际，并且在客观实践中得到检验，证明是真理，这才算是真理，不然就不算。我们这几年的工作是有成绩的，但是主观主义的毛病到处都有。不仅现在有，将来还会有。主观主义永远都会有，1万年，一万万年，只要人类不毁灭总是有的，有主观主义总要犯错误。”《毛选5卷》第297页。

人为错误的科学起源始于20世纪40年代。

三、人为错误作为科学概念的出现

1.人为错误是弗洛伊德和心理动力学追随者、行为主义者以及格式塔心理学派人士感兴趣的话题。弗洛伊德认为潜意识在行为中扮演着重要角色（例如，同名的“弗洛伊德式失误”；Freud和Brill引文1914）。在早期心理物理学研究中，错误本身并未被研究，但错误被用作一种客观可观察的表现衡量标准（Amalberti引文2001；Green和Swets引文1966）。行为主义研究也对可观察的错误指标感兴趣（Watson引文1913），并对诸如训练的负迁移等现象（例如，Singleton引文1973）的兴趣有限。感知错误是格式塔学派的常见研究课题（Wehner 和 Stadler，引文 1994）。例如，解读视错觉的系统性错误可以被视为早期人类错误“机制”的代表（Reason，引文 1990）。巴特利特（Bartlett，引文 1932）的图式理论是行为主义和心理物理学主流学派的一个有趣例外，该理论关注内部脚本在引导行为中的作用。在某种程度上，巴特利特的研究预示了“认知革命”的到来。

2.第二次世界大战期间部署的装备和技术使得理解和解决人为错误成为当务之急。1942年，一位年轻的心理学毕业生阿方斯·查帕尼斯（Alphonse Chapanis）加入美国陆军空军航空医学实验室，成为该实验室的首位心理学家。他研究了波音B-17的控制装置，这种飞机在紧急迫降中屡见不鲜。查帕尼斯发现，襟翼和起落架具有相同的开关，它们位于同一位置并按顺序操作。他发现，在高负荷着陆期间，飞行员收起的是起落架而不是襟翼。查帕尼斯通过在起落架控制杆上安装一个小橡胶轮，并在襟翼控制杆上安装一个小楔形装置来解决了这一设计问题，这种方法我们现在称之为类比映射（Gentnor 1983）或形状编码。 Fitts 和 Jones (Citation1947) 在 Chapanis 的工作基础上进一步指出，许多其他所谓的“飞行员失误”（Fitts 和 Jones 使用引号）实际上是驾驶舱设计的问题：“实际上，当今所有美国陆军航空队飞机的飞行员，无论经验或技能如何，都报告说他们在使用驾驶舱控制时有时会犯错误。通过根据人为需求设计和定位控制装置，可以大幅降低这些错误的发生频率，从而降低飞机事故的发生率”（第2页）。这项开创性的工作不仅使这些（所谓的）飞行员失误几乎消失，而且更正式的人为错误研究也由此开启。

3. 二战后，控制论和计算等新兴研究领域的语言和隐喻在认知心理学这一新兴领域中，以新的人为错误概念的形式得到了体现。信息处理模型，例如布罗德本特（Broadbent，引文1958）的注意力阶段模型，明确了不同的认知信息处理单元执行不同功能的观点，这些功能使人类能够处理来自环境的信息并据此采取行动。最早基于信息处理的人为错误方法之一是佩恩和奥特曼（Payne and Altman，引文1962）的分类法。这将与感觉或知觉相关的错误归类为“输入错误”，与信息处理相关的错误归类为“中介错误”，与身体反应相关的错误归类为“输出错误”。因此，并非所有错误都是一样的。

Chapanis 和 Fitts 的开创性研究还表明，犯错的人往往和心理学家一样，对错误发生的原因感到困惑。这需要人们更加关注错误的心理基础，进而开始挑战迄今为止人类错误思维中隐含的“理性行为者”或效用理论，该理论由丹尼尔·伯努利在 18 世纪首次提出，并在 20 世纪 50 年代左右在经济学中流行起来（Tversky 引文 1975）。局部理性或有限理性的概念（Simon，引文，1957）被提出，即决策或行动的理性必须从个体在特定情境中的局部视角来定义，同时考虑到他们的知识、目标以及他们所处的环境约束（Gibson，引文，1979；Woods and Cook，引文，1999）。据观察，人类并非寻求理性地优化结果，而是以“满足者”的身份行事（Simon，引文，1956），他们在一套适应性策略工具箱中运用“快速而节俭”的启发式方法（Gigerenzer，引文，2001）。Rasmussen 和 Jensen（引文，1974）证明了研究现实世界问题解决过程中的正常表现和适应性的好处，并指出人们所采用的过程往往与“心理学家对复杂、理性问题解决的浓厚兴趣所导致的预期”不同（Rasmussen and Jensen，引文，1974，7）。在另一篇早期论文中，虽然仍然侧重于错误的分类，但 Buck (Citation1963) 证明了观察火车驾驶的正常表现的好处，而不是仅仅审查故障。

4. 20世纪80年代初，诺曼（Norman）借鉴巴特利特（Bartlett）二战前提出的图式理论，提出了激活-触发-图式（Activation-Trigger-Schema）错误模型（Norman，1981）。仅仅几年之后，随着认知系统工程领域的发展，人为错误研究方法开始受到质疑。内维尔·莫雷（Neville Moray）和约翰·森德斯（John Senders）组织的北约人为错误会议提供了一个重要的讨论平台。伍兹（Woods，1983）提交的立场文件呼吁探究“人为错误背后的原因”，并思考设计如何导致“系统诱导错误”（Weiner，1977）而非“人为错误”。霍尔纳格尔（Hollnagel，1983）质疑人为错误作为一种现象的存在，并呼吁将重点放在理解决策和行动上，以解释绩效差异。在20世纪90年代，这些观点获得了支持，但远非主流（我们稍后会回顾），人为错误在很大程度上仍然与理性看待人类行为的观点保持一致。例如，Pheasant（引文1991）将错误定义为“错误的信念或错误的行为”（第181页），Sanders和McCormick（引文1993）将错误称为“不恰当或不良的人类决策或行为”（第658页）。显然，确定性的错误观与基于有限理性的作用和错误发生环境的错误观之间存在着日益加剧的矛盾，例如情境规划（Suchman引文1987）和分布式认知（Hutchins引文1995）等概念。

3. 二战后，控制论和计算等新兴研究领域的语言和隐喻在认知心理学这一新兴领域中，以新的人为错误概念的形式得到了体现。信息处理模型，例如布罗德本特（Broadbent，引文1958）的注意力阶段模型，明确了不同的认知信息处理单元执行不同功能的观点，这些功能使人类能够处理来自环境的信息并据此采取行动。最早基于信息处理的人为错误方法之一是佩恩和奥特曼（Payne and Altman，引文1962）的分类法。这将与感觉或知觉相关的错误归类为“输入错误”，与信息处理相关的错误归类为“中介错误”，与身体反应相关的错误归类为“输出错误”。因此，并非所有错误都是一样的。

Chapanis 和 Fitts 的开创性研究还表明，犯错的人往往和心理学家一样，对错误发生的原因感到困惑。这需要人们更加关注错误的心理基础，进而开始挑战迄今为止人类错误思维中隐含的“理性行为者”或效用理论，该理论由丹尼尔·伯努利在 18 世纪首次提出，并在 20 世纪 50 年代左右在经济学中流行起来（Tversky 引文 1975）。局部理性或有限理性的概念（Simon，引文，1957）被提出，即决策或行动的理性必须从个体在特定情境中的局部视角来定义，同时考虑到他们的知识、目标以及他们所处的环境约束（Gibson，引文，1979；Woods and Cook，引文，1999）。据观察，人类并非寻求理性地优化结果，而是以“满足者”的身份行事（Simon，引文，1956），他们在一套适应性策略工具箱中运用“快速而节俭”的启发式方法（Gigerenzer，引文，2001）。Rasmussen 和 Jensen（引文，1974）证明了研究现实世界问题解决过程中的正常表现和适应性的好处，并指出人们所采用的过程往往与“心理学家对复杂、理性问题解决的浓厚兴趣所导致的预期”不同（Rasmussen and Jensen，引文，1974，7）。在另一篇早期论文中，虽然仍然侧重于错误的分类，但 Buck (Citation1963) 证明了观察火车驾驶的正常表现的好处，而不是仅仅审查故障。

4. 20世纪80年代初，诺曼（Norman）借鉴巴特利特（Bartlett）二战前提出的图式理论，提出了激活-触发-图式（Activation-Trigger-Schema）错误模型（Norman，1981）。仅仅几年之后，随着认知系统工程领域的发展，人为错误研究方法开始受到质疑。内维尔·莫雷（Neville Moray）和约翰·森德斯（John Senders）组织的北约人为错误会议提供了一个重要的讨论平台。伍兹（Woods，1983）提交的立场文件呼吁探究“人为错误背后的原因”，并思考设计如何导致“系统诱导错误”（Weiner，1977）而非“人为错误”。霍尔纳格尔（Hollnagel，1983）质疑人为错误作为一种现象的存在，并呼吁将重点放在理解决策和行动上，以解释绩效差异。在20世纪90年代，这些观点获得了支持，但远非主流（我们稍后会回顾），人为错误在很大程度上仍然与理性看待人类行为的观点保持一致。例如，Pheasant（引文1991）将错误定义为“错误的信念或错误的行为”（第181页），Sanders和McCormick（引文1993）将错误称为“不恰当或不良的人类决策或行为”（第658页）。显然，确定性的错误观与基于有限理性的作用和错误发生环境的错误观之间存在着日益加剧的矛盾，例如情境规划（Suchman引文1987）和分布式认知（Hutchins引文1995）等概念。

一旦环境和其他系统因素被认为是导致错误的原因，下一步自然就是关注错误发生的复杂系统的动态方面。 Rasmussen (Citation1997) 的迁移模型提出，系统内的行为在系统约束的核心集内是可变的，行为会根据效率（受管理压力的影响）和努力（受个人偏好的影响）的梯度进行调整，最终随着时间的推移迁移到不可接受的性能边界。近年来，弹性工程应运而生，它旨在研究系统在变化和干扰发生之前、期间或之后调整其功能的内在能力，使其能够在预期和意外条件下维持所需的运行”（Hollnagel 引文，2014）。这一发展导致了安全第一（Safety-I）思维（即专注于预防事故和事件）向安全第二（Safety-II）思维（理解日常运作以及事物通常如何“正常运转”）的重新定义。虽然有人强调这些观点是互补而非冲突的，但安全第二主张更加关注系统内正常的性能波动，尤其是在传统上持安全第一观点的高层（例如政府、监管机构）（Hollnagel 等人引文，2013）。

从“错误”（error）一词的词源、科学文献中对人为错误的日益频繁的提及以及不同理论基础的起源来看，人为错误作为一个概念显然是该学科的核心，但尚未得到完全解决。在扩展人因风险评估 (EHF) 中，人为错误的概念起源于一个事实：人为错误往往是“设计诱发失误”。自此以后，这种观点与更机械化、更通俗的错误观和“指责论”之间一直存在着对立。这种对立弥漫在当今的科学界。接下来，我们将探讨如何从更普遍的角度，包括 EHF 学科之外的视角，来看待人为错误。学者提出了一系列关于人为错误及其在安全和事故成因中的作用的广泛观点（承认安全并非讨论人为错误的唯一相关背景）。然后，我们将探讨如何通过应用 EHF 方法定义、建模和分析“人为错误”。

四、理解人为错误的视角、模型和方法

4.1. 关于安全与人为错误的视角

学者提出四个视角来综合我们对人为错误的理解：机械视角、个体视角、互动视角和系统视角。表1总结了每个视角的关键方面。

4.1.1. 机械论观点

机械论观点关注技术，并以确定性的方式看待人类行为。该观点以工程原理和牛顿科学为基础，认为人类行为可以在一定程度上预测，并且人为错误的可靠性可以计算。机械论观点是一种还原论观点，它采取微观视角，与预防失误的安全-I思维相一致。它倾向于将失误视为事故的原因。

4.1.2. 个人视角

这种视角可以被概念化为处理“不良行为”（Dekker，引文，2006）或不良行为。这种视角的使用可能指的是“人为因素”。这种方法通常与“责备主义”联系在一起，在环境、健康和安全领域（EHF）已经过时。然而，它仍然可以在一些基于行为的安全方法以及常用于解决公共安全问题的教育和执法干预措施中得到体现。例如，这种方法仍然主导着道路安全研究和实践，其中驾驶员行为被视为道路交通事故的主要原因，驾驶员教育和执法是常见的干预策略（例如，Salmon 等人，引文，2019）。

4.1.3. 互动主义视角

这种视角通常应用于“安全-I”情境中，仍然将错误视为事故的原因，但也承认环境和组织因素的贡献作用。有时被称为“简单系统思维”（Mannion 和 Braithwaite 引文，2017），它确实考虑系统对行为的影响，但通常以线性或机械的方式，并且仅限于组织情境。与机械论和个体视角不同，互动论视角并不意味着对人类的负面看法，通常恰恰相反（例如，Branton（1916-1990）以人为本的人体工程学方法；Osbourne 等人，2012）。

4.1.4. 系统视角

这种视角以系统理论和复杂性科学为基础，对跨多个组织的系统行为采取更广泛的视角，并承认更广泛的社会影响。它与互动论视角的区别在于，它以系统本身为分析单位（通常考虑组织边界之外的因素）；它考虑非线性相互作用；它通常将事故视为“系统故障”，而非采用“错误即原因”的观点。独特的是，这种视角可以解释那些没有潜在“错误”但系统各层级人员的正常表现导致其超出安全运行范围的事故。Johnston 和 Harris（Citation2019）在讨论波音 737 Max 故障时解释说：“还必须记住，波音公司没有人愿意用人命换取更高的利润……尽管个人的信念和优先事项不同，但组织可能会做出并执行任何参与者都不想做的决定……（第 10 页）。系统视角通常与 Safety-II 保持一致，旨在优化性能而不仅仅是防止故障。它也与以人为本的设计方法兼容，即在更广泛的系统功能理解范围内考虑用户的需求和观点（例如 Clegg Citation2000）。

4.2. 人因绩效模型

人因绩效模型（见表2）主要源于个体和互动性远期高频（EHF）视角，为错误产生的机制提供了概念性表征。这些模型应结合其发展背景进行解读，并随着科学发展的变化而不断涌现。结构性模型，例如信息处理方法，与个体视角相符。这些模型侧重于认知结构和“头脑中”的认知。相比之下，功能性模型，例如感知周期模型（Neisser，1976年引文）、可重写例程模型（Baber and Stanton，1997年引文；Stanton and Baber，1996年引文）以及情境控制模型（Hollnagel，1993年引文；Hollnagel and Woods，2005年引文），则与互动性视角相符，并考虑人类与其环境之间以目标为导向的互动。重要的是，从现象学角度来看，人为错误的表现形式会因建模视角的不同而有所不同。有些模型比其他模型更能阐明某些观点，而有些模型在某些情况下的预测效度会高于其他模型。因此，所选模型会影响人为错误的实际情况。

4.3. 人为错误识别方法

模型的选择也会影响所采用的方法。二十年前，Kirwan (Citation1998a) 回顾并分析了 38 种人为错误识别方法，此后又有更多方法被开发出来。这包括人为可靠性分析 (HRA)、人为错误识别 (HEI) 和事故分析方法。因此，我们将回顾（见表 3）的范围限制在 Stanton 等人 (Citation2013) 描述的方法，因为它们代表了普遍可用且被 EHF 从业者使用的方法。为了了解每种方法的相对影响力，我们使用 Scopus 数据库来统计每篇描述该方法的开创性出版物的引用量和其他文章指标。虽然这些引用量只是粗略的衡量，并不能反映实际应用情况，但它们确实能帮助我们了解这些方法在学术文献中的突出地位。

广义上，所审查的人为错误方法分为两类：回顾性方法和前瞻性方法；然而，也存在一个涵盖这两类方法的子集。

回顾性人为错误分析方法可以洞察哪些行为导致了事故或不良事件，大多数方法鼓励分析师对错误（例如，疏忽、失误或失误）和绩效影响因素（例如，时间压力、主管行为、工作场所程序）进行分类。人为因素分析和分类系统 (HFACS；Weigmann 和 Shappell 引文，2001) 是唯一被确定为仅用于回顾性的方法。HFACS 最初是为航空业开发的，现已应用于多个安全关键领域（例如，海事，Chauvin 等人引文，2013；采矿业，Patterson 和 Shappell 引文，2010；以及铁路，Madigan、Golightly 和 Madders 引文，2016）。 HFACS 提供了涵盖四个组织层级（不安全行为、不安全行为的前提条件、不安全监管和组织影响）的错误和故障模式分类法。

前瞻性人为错误方法用于识别特定任务中可能发生的所有错误类型，以便提前实施设计补救措施。这些方法通常与任务分析结合使用，使分析师能够系统地识别可能出现的错误。例如，系统性人为错误减少和预测方法 (SHERPA；Embrey 引文 1986，引文 2014) 为分析师提供了基于行为的“外部错误模式”和“心理错误机制”的分类法，分析师可以利用这些分类法，根据对被分析过程进行任务分析得出的操作来识别可信错误。在确定合适的补救措施之前，需要描述可信错误及其相关的绩效影响因素，并评估其概率和关键性。前瞻性方法也可以支持人为错误评估 (HRA)，即根据基线人为错误概率和相关的绩效影响因素，对任务进行人为错误发生的定量概率评估。例如，人为错误评估与减少技术 (HEART；Williams 引文 1986) 和认知信度与错误分析方法 (CREAM；Hollnagel 引文 1998)。如表 3 所示，CREAM 是所有方法中被引用次数最多的。

所有人为错误评估方法在不同程度上都依赖于基础的机械论、个体论或互动论视角。毫无疑问，这些方法很有用，但建议谨慎使用。由于围绕错误概率估计 (Embrey 引文 1992) 以及整体方法学信度和效度 (Stanton 等人引文 2013) 的不确定性，HRA 方法的准确性受到了挑战。还有人认为，对错误进行分类和计数支持了一种世界观，即人类是不可靠的系统组件，需要控制，甚至被自动化取代（Woods 和 Hollnagel 引文 2006）。Embrey（引文 1992）和 Stanton 等人（引文 2006）都认为，方法应该侧重于识别潜在错误，而不是量化错误，这样做的好处是可以获得定性洞察，并有机会找到可以指导设计或重新设计的补救措施。

正如预期的那样，所审查的方法均未采用系统视角。

5. 人为错误的使用、误用和滥用

显而易见，当前的科学研究涵盖了关于人为错误的多种视角、多种理论框架和多种方法。所有这些都有助于提升远期出血风险 (EHF) 在安全关键行业中的知名度。同样，从公众对 EHF 的认知角度来看，人为错误的概念在媒体报道中广泛存在，并且倾向于与 EHF 同义使用 (Gantt and Shorrock Citation2017)。研究表明，媒体的“指责主义”会让人们更容易认同应受惩罚的个人，而更难将责任归咎于更广泛的组织 (Nees, Sharma, and Shore Citation2020)。事实上，媒体倾向于修改该术语，将责任归咎于与事件最密切相关的人（例如飞行员失误、驾驶员失误、护士失误）。人为错误与设计失误之间悬而未决的矛盾会导致意想不到的后果。即使使用这样的术语，也会鼓励人们关注“人为因素”，而不是更广泛的系统 (Shorrock Citation2013)。套用Parasuraman和Riley（引文1997）关于自动化的观点：人为错误（human error）一词可以被“利用”、“误用”和“滥用”。探讨这些主题有助于进一步探索当前的科学现状。

5.1. 人为错误的使用和效用

5.1.1. 一个直观且有意义的概念

人为错误具有“直观的意义”（Hollnagel和Amalberti引文2001，2）。对于环境、健康和福利（EHF）学科以外的人士或EHF新手来说，这很容易解释。将行为定义为错误，即非故意的行为或疏忽，而不是故意的违规行为，可能有助于减少不公正的指责。大多数人也会至少在原则上认同“人非圣贤，孰能无过”（Alexander Pope 1688-1744）这句话。事实上，反复试验是正常学习过程的重要组成部分，错误有助于维护系统安全，因为它能培养操作员在系统管理方面的专业知识 (Amalberti Citation2001)。Singleton (Citation1973, 731) 指出，熟练的操作员“善于利用错误”，并且“之所以高效，是因为他们拥有卓越的纠错能力，而非规避错误的能力”。

5.1.2. 错误和英勇的恢复源于相同的潜在过程

错误也促成了偶然的创新 (Reason Citation2008)。例如，如果 Wilson Greatbatch 没有在他的实验性心律记录装置中安装错误尺寸的电阻，他就不会注意到由此产生的电路会发出电脉冲，并且很可能不会受到启发，在 1956 年制造出第一台起搏器 (Watts Citation2011)。同样，如果亚历山大·弗莱明保持实验室整洁有序，他就不会在休假回来后发现培养皿里长满了霉菌，从而发现青霉素（Bennett and Chung Citation2001）。根据安全II的论证，这些事件表明，导致人为错误的流程与导致理想结果的流程相同。因此，通过自动化或严格控制来消除失误，也可能削弱人类的创新能力、适应能力、创造力和韧性。

5.1.3. 学习机会

几十年来，人为错误模型和分类法一直是扩展高频（EHF）的重要工具。它们促进了从险情和事故中吸取教训（例如 Chauvin 等人，2013；Baysari、McIntosh 和 Wilson，2008），改进人机界面的设计（例如 Rouse 和 Morris，1987），以及设计容错系统（例如 Baber 和 Stanton，1994）。

5.2. 人为错误的误用和滥用

相反，人为错误也以多种方式被误用、滥用或两者兼而有之。这些与人为错误的概念及其在语言中的使用方式缺乏精确性有关。这也与潜在的指责文化、对事故原因的简单解释、对一线工人的关注以及不恰当的补救措施的实施有关。

5.2.1. 理论和语言应用的缺乏精确性

对人为错误概念的一个关键科学批评是，它代表了一种“民间”认知模型。也就是说，人为错误是一种不可观察的概念，用于进行因果推断，但因果关系背后的机制尚不明确（Dekker 和 Hollnagel 引文 2004）。这一观点得到了人为错误多种模型的支持。在语言方面，Hollnagel 和 Amalberti（引文 2001）认为，人为错误的误用可能与将其视为原因、过程或结果有关：

1. 人为错误作为事故原因：当人为错误被用作不良事件的原因或解释时，调查就此停止。这阻碍了调查的深入，并可能忽视其他可能造成事故的更广泛因素。 “人为错误并非失败的解释，它需要解释”（Dekker Citation2006, 68）。将错误框架化为失败的原因会产生多种负面后果，例如强化指责、推荐不恰当的对策（例如再培训、行为矫正）以及未能针对真正导致失败的系统性问题采取行动。Reason（Citation2000）将拍打蚊子与排干沼泽进行了类比。我们可以拍打蚊子（通过指责和再培训个人），也可以排干蚊子滋生的沼泽（通过解决系统性因素）。然而，一线人员的行动仍然是官方事故调查的重点。例如，西班牙铁路事故调查委员会对2013年圣地亚哥-德孔波斯特拉火车脱轨事故的调查重点是火车司机的失误（Vizoso Citation2018），法国民事调查与分析局的调查法航447空难的航空安全关注点在于飞行员未能控制飞机（Salmon、Walker和Stanton引文，2016）。

2. 人为错误作为过程：当人为错误被讨论为一个过程或事件时，重点在于失误本身，而非其结果。这种方法的一个问题是，失误通常被定义为偏离“良好”过程（Woods和Cook引文，2012）；即客观现实中的某种“基本事实”。但这引发了进一步的问题，例如适用什么标准以及我们如何解释局部理性。鉴于其他偏差相对常见且不会产生不良后果（实际上往往会导致成功后果），这也引发了关于其对其他偏差意味着什么的问题。

3. 将失误与其结果混为一谈：Hollnagel和Amalberti（引文，2001）讨论的人为错误的最终用法是根据其后果（即事故事件）来定义失误。这种意义上的人为错误与已经发生的伤害相混淆。例如，尽管开创性的医疗保健报告《人非圣贤，孰能无过》（Kohn、Corrigan 和 Donaldson，引文 1999）呼吁系统性变革，并成为关注患者安全的催化剂，但它也混淆了医疗伤害与医疗失误，从而将焦点放在了个体医护人员的表现上。提及人为错误也带来了意想不到的后果，即医疗保健部门认为他们无需其他学科的帮助就能解决所面临的问题，从而未能跟上安全科学的现代发展（Wears 和 Sutcliffe，引文 2019）。

正如 Hollnagel 和 Amalberti（引文 2001）所指出的，人为错误在语言中的每一种用法都带有负面含义。这一点至关重要，因为尽管日常生活和职场中的许多人都承认“人人都会犯错”，但我们在认知上存在偏见，认为坏事（即错误及其相关的不良后果）只会发生在坏人身上——即所谓的“公正世界假说”（Furnham Citation2003 的评论；另见 Reason Citation2000）。同样，“因果关系信条”（Hollnagel Citation2014）认为，每起事故必有其原因，而且通常都是坏的原因（因为坏的原因先于坏的后果），这些坏的原因可以追溯到确定的“根本原因”（或一系列原因），所有事故都可以通过找到并处理这些原因来预防。这种思维模式强化了对发现“坏事”的关注。然而，正如我们所见，当代思维认为，人们的行为是有限且局部理性的，在这种情境中，适应性和可变性不仅常见，而且实际上对于维持系统性能至关重要。 “正常表现”对事故的贡献现在已被广泛接受（Dekker Citation2011b；Perrow Citation1984；Salmon et al. Citation2017）。

5.2.2. 事故的责任追究和简单解释

因果关系信条与个人对事故承担责任的法律传统相符，其中不良原因是犯罪或未能履行法律义务。Dekker (Citation2011a) 描述了社会态度的转变，从17世纪前宗教和迷信解释不幸事件，到如今采用被认为更科学、更合理的“事故”概念。事故被视为“仅仅是时空的巧合，既非人为因素也非神灵所为”（Green Citation2003, 31）。直到1979年的三哩岛和1977年的特内里费岛等大规模工业灾难发生后，风险管理方法才开始崭露头角，公众对风险的接受度也相应降低到“对失败的零容忍”（Dekker Citation2011a, 123）。这给找出应受谴责的行为人并确保其受到法律制裁带来了额外的压力。

另一个因素是结果偏差，即当事件后果越严重时，更有可能受到谴责和定罪（Henriksen 和 Kaplan 引文 2003；Dekker 引文 2011b）。防御性归因理论（Shaver 引文 1970）认为，与严重程度较低的事故相比，严重程度较高的事故更容易受到谴责，因为严重程度较高的事件会引发我们对事故随机性的自我保护性防御机制。而更多的谴责则能带来一种对世界的掌控感。在发生不利事件（尤其是灾难性事件）后进行谴责，可以恢复对“专家”（可能是个人或组织）的信任感。这种信任的修复对于技术持续扩张至关重要，也表明了一种“根本性的、近乎原始的谴责需求……”（Horlick-Jones 引文 1996，71）。

后见之明也发挥着重要作用（Dekker 引文，2006）。事故发生后，人们很容易陷入这样的陷阱：将事件及其发生前的条件视为线性且确定的。后见之明偏差与归因偏差相结合，有助于强化管理人员、法官、调查人员以及其他回顾事故的人员的信念，使他们“说服自己……他们绝不会如此轻率或鲁莽”（Hudson 引文，2014，760）。西方国家的刑法往往基于这样的理念：不良事件源于理性行为者的自由行动（Horlick-Jones 引文，1996）。这种“潜伏的决定论”（Fischoff 引文，1975）也增强了我们对自己预测未来事件能力的信心，这意味着我们可能无法考虑此前尚未出现的因果路径。

5.2.3. 关注一线员工

几乎所有人为错误模型和方法都未能考虑到系统各个层级的人为因素（Dallat、Salmon 和 Goode，2019）。相反，它们让分析师关注操作员和用户的行为，尤其是那些处于“一线”或“尖端”的人员，例如飞行员、控制室操作员和驾驶员。这与当代对事故成因的理解不一致，当代理解强调工作系统中其他参与者的决策和行动在事故轨迹中的作用（Rasmussen，1997；Salmon 等人，2020）。此外，数十年来关于安全领导力（Flin 和 Yule，2004）和安全氛围（Mearns、Whitaker 和 Flin，2003）的研究强调了管理决策和行动在创造安全（或不安全）环境中的重要性。然而，值得注意的是，尽管经过数十年的研究，我们对人为错误的了解仍然主要局限于一线工作人员或用户，而对安全关键系统中更高层级的错误性质和普遍性却关注甚少。这或许可以用以下事实来解释：行为与结果之间的关系或耦合会影响责任的归属（Harvey and Rule Citation1978）。其中的关键方面包括因果关系和可预见性（Shaver Citation1985）。远离一线的人员做出的决策或行动与事故事件之间通常存在时间差。在此期间，其他决策、行动或情况存在许多改变事件进程的机会。此外，如果决策与事件在时间上分离，则更难预见后果，尤其是在意外后果屡见不鲜的复杂系统中。

我们定义人为错误的方式也可能在考虑系统更高层级人员的作用时带来困难。一线员工通常遵循规则和程序，这些规则和程序提供了规范标准，可以用来评判他们的行为。相比之下，设计师、经理等通常拥有更大的自由度。他们的决策更容易理解为在相互竞争的需求之间进行权衡，例如，经理由于预算限制而无法增聘员工，或者设计师为了最大化可用性而放弃功能性。在很多方面，我们为限制一线员工的行为而制定的繁琐规则和程序，掩盖了我们理解他们的决策和行动同样涉及权衡（例如，在成本与质量、效率与安全之间）的能力，并有助于强化对人为错误的关注。

关注一线员工的其他原因更为务实，例如，在事件发生很久之前就做出的具体决策可能没有得到很好的记录或记忆，这在实际操作中存在困难。即使可以确定相关人员，也可能很难找到他们。关注一线员工，或“最后一个接触系统的人”，可以很容易地解释这一点。简单的因果解释更受管理者和法院的青睐（Hudson 引文，2014），而且比能够识别系统性故障的深入调查成本更低。

此外，研究表明，简单的因果解释可以减少公众对不良事件（例如校园枪击案）的不确定性（Namkoong 和 Henderson 引文，2014）。这也有利于组织关注个人责任。这不仅在法律上是可取的，而且能够以一种使组织能够继续照常运作的方式构建问题，使其结构、文化和权力体系保持完整（Catino 引文，2008；Wears 和 Sutcliffe 引文，2019）。

5.2.4. 不恰当的修复措施

实践中，对人为错误的关注经常导致人们建议采取不恰当的系统修复或应对措施。例如，在许多行业中，事故调查仍然会提出针对一线工人的建议，例如围绕风险进行再培训或教育（Reason Citation1997；Dekker Citation2011b）。此外，安全工程和职业健康与安全 (OHS) 中普遍存在的层次控制方法，可能会强化这样一种理念：人是系统中的“薄弱环节”，需要通过工程和管理机制进行控制。如果没有适当的环境健康与安全 (EHF) 投入，这种安全理念可能会强化试图约束行为的以人为本的干预措施，例如在已经繁琐、无人能够完全监督或理解的规则和程序中添加新的规则和程序。这与基于以人为本设计、改善工作生活质量和促进工人福祉的传统环境健康与安全 (EHF) 干预措施形成鲜明对比。一个当代的例子是，自动化技术正逐渐应用于我们日常生活的更多方面，例如驾驶，其根源在于“人类天生不可靠”。这体现了许多安全和事故预防方法所基于的确定性假设，这种假设忽略了复杂系统的基本属性，例如非线性、涌现性、反馈回路和性能变异性（Cilliers 引文 1998；Grant 等人引文 2018）。因此，解决方案往往基于不恰当的确定性和结构性假设，而非支持人类适应和应对复杂性。与此相关，规则、程序和技术的不断施加增加了系统的复杂性和耦合性，这反过来又会增加故障的可能性（Perrow 引文 1984）。

6. 人体工程学和人为因素（EHF） 中的系统视角和方法

毫无疑问，人为错误术语、理论和方法的恰当运用推动了相关研究的进展，但人为错误与“系统故障”之间的潜在矛盾仍未得到解决。人为错误的误用和滥用会导致诸多弊端，这可能会减缓安全改进的进程。因此，在 20 世纪 90 年代被认为是激进的人为错误观点正逐渐成为主流，当前的科学发展也正朝着系统方法的方向发展。事实上， 人体工程学和人为因素(EHF) 通常被概念化为一门系统学科（例如 Dul 等人，引文 2012；Moray，引文 2000；Wilson，引文 2014；Salmon 等人，引文 2017）。具体而言，在考虑故障时，我们建议我们比人为错误、设计失误（Fitts 和 Jones，引文 1947），甚至比 Weiner（引文 1977）提出的“系统诱发故障”更进一步，将事故认定为“系统故障”。

采用系统方法，无论是为了检验故障还是为了支持成功，都需要结构化和系统化的方法来支持系统理论和系统思维等概念的实际应用。虽然互动主义视角下的方法在某些情况下可能是合适的，例如，在比较设计选项或预测风险评估时，但它们并不以整个系统为分析单位，也不考虑潜在的非线性相互作用。

目前，一套核心的系统方法正在被广泛使用（Hulme 等人，2019 年）。这些方法包括 AcciMap（Svedung 和 Rasmussen，2002 年）、系统理论事故模型与过程（STAMP；Leveson，2004 年）、认知工作分析（CWA；Vicente，1999 年）、系统团队合作事件分析（EAST；Walker 等人，2006 年）、网络化危害分析与风险管理系统（Net-HARMS；Dallat、Salmon 和 Goode，2018 年）以及功能分析共振方法（FRAM；Hollnagel，2012 年）。这些方法考虑了复杂系统的关键特性（见表 4）。与人为错误方法（表 3）相比，系统方法以系统为分析单位，而非仅关注人类行为，从而提供了一个截然不同的视角。因此，生成的分析有助于识别可能相互作用并产生其他方法会归类为错误的行为类型的条件或组件。重要的是，这不仅包括故障，也包括正常性能。值得注意的是，目标系统的边界必须始终针对特定目的并从特定视角进行定义，这可能更广泛（例如社会层面；Salmon 等人，引文 2019），也可能更狭窄（例如由运营团队及其相关活动、环境和工具组成；Stanton，引文 2014）。边界定义取决于所需的详细程度以及对外部影响强度的判断，但对于定义“分析单元”至关重要。

表 4. 根据复杂系统属性定义的人为错误。

虽然系统方法已经应用了一段时间，但人们仍然呼吁在一系列领域（Hulme 等人，2019 年；Salmon 等人，2017 年）更频繁地应用，从航空（例如 Stanton、Li 和 Harris，2019 年）、医疗保健（Carayon 等人，2014 年）、核电（例如 Alvarenga、Frutuoso e Melo 和 Fonseca，2014 年）到应对恐怖主义风险（Salmon、Carden 和 Stevens，2018 年）。由于系统方法能够更好地应对现代社会技术系统的复杂性，其在实践中的应用日益广泛。例如，在空中交通管理方面，欧洲空中航行安全组织 (EUROCONTROL) 主张摒弃简单的人为错误概念，转而采用系统思维及相关概念和方法，例如本文中引用的那些（Shorrock 等人，2014 年）。诸如 Net-HARMS（Dallat、Salmon 和 Goode，2018 年）之类的方法已经开发出来，其明确目的是供从业人员和研究人员使用。

系统视角和系统方法的一大优势在于能够解决事故的责任追究和简单解释的问题，将信息扩展到远距离高频事件 (EHF) 专业人员及其所在组织之外。例如，欧洲空中航行安全组织公正文化工作组促使欧盟法规承认了公正文化（Van Dam、Kovacova 和 Licu，2019 年），并在 15 年多的时间里，开展了有关公正文化和司法的教育和培训。这包括汇集检察官、空中交通管制员、飞行员以及安全和远高频（EHF）专家的研讨会和年度会议（Licu、Baumgartner 和 van Dam 引文，2013），内容涵盖系统思维和公正文化。此外，还提供了与媒体互动的指导，以协助记者了解公正文化，并最终促进媒体以平衡、客观的方式报道空中交通管理事件（EUROCONTROL 引文，2008）。虽然文化变革是一个缓慢的过程，但这些活动着眼于长期，旨在逐步转变人们的思维方式。

7. 从人因绩效到系统工效学转变的总结

EHF 中系统视角的兴起无疑影响了人因误差术语、理论和方法的普及和使用。图 2 总结了与四种人因误差视角相关的理论、模型和方法的随时间发展。这突显了模型和方法在相对较短的时期内，尤其是从 20 世纪 70 年代末到 21 世纪初的蓬勃发展。Hollnagel（引文 2009）将方法发展（尤其是人因误差方法）的激增归因于 1979 年的三哩岛核事故。他认为这是人因学第二个时代的开始，在这个时代，人被视为一种负担。值得强调的是，许多系统方法是与人因误差方法并行发展的，一些值得注意的例子也源自核能领域（例如 CWA）。图 2 表明，EHF 在过去三十年中一直在多种视角下运作，而并不一定经历了范式转变。有趣的是，已经有一些视角融合的例子，例如借鉴 SHERPA 的 Net-HARMS 方法，以及 CWA 采用的 SRK 分类法。然而，鉴于 EHF 已不再是一门“新”学科，而且只有这本期刊最近庆祝了创刊 60 周年，因此现在是时候讨论更清晰的前进方向了。

图 2. 不同视角的模型（白框）、方法（白色椭圆）和基础理论（灰色框）的演变概览。请注意，与视角的对比旨在提供近似和模糊的理解，而非严格的分类。

8. 系统内犯错是人之常情：一种建议的前进方向

人为错误的概念已经到了关键时刻。尽管世界各地的研究人员和从业人员仍在使用“错误”一词，但随着人们转向系统视角，人们对其实用性、有效性以及最终的相关性提出了越来越多的质疑。我们认为，EHF 内部存在三个阵营（Shorrock Citation2013）：1）一部分人继续“善意”使用该术语，认为我们必须继续谈论错误才能从中吸取教训；2）一部分人继续为了方便起见（例如在非 EHF 领域进行交流时）使用该术语，但拒绝使用这个过于简单的概念，转而关注更广泛的组织或系统问题；3）一部分人已经放弃使用该术语，认为该概念缺乏清晰度和实用性，使用起来有害。我们预测第三种群体将继续壮大。我们承认，从心理学的角度来看，“错误”的概念在描述偏离个人期望和意图的行为方面具有价值。在系统设计中，人为错误或许也需要被积极考虑，然而，互动性高能效比 (HEI) 方法关注所有类型的绩效，而非仅仅关注错误或故障，这为分析师提供了更细致的视角。然而，重要的是，我们已经看到人为错误的概念是如何被误用和滥用的，尤其是与“错误即原因”的观点联系在一起，导致了意想不到的后果，包括指责和不恰当的修复。

我们提出了一系列实用建议，旨在帮助 EHF 以及我们相关学科的同事摆脱对个体、机械、应受指责的“人为错误”的关注，转向构建一个整体的系统性能体系。建议如下：

1. 拒绝将“人为错误”视为事故和不良事件的根源。关注系统故障的原因，并采取干预措施，提升系统管理干扰和性能波动的能力。

2. 拒绝针对个人行为的对策。倡导建立干预网络，应对系统性问题。

3. 拒绝对事故进行过于简单的解释。承认理性是有限的，避免陷入事后诸葛亮的陷阱。

4. 承认人类是资产和问题解决者，在不完美和复杂的环境中运作，通常怀有良好的意图，并且绝对不会故意发生事故（根据定义）

5. 避免使用带有指责意味的词语。不要使用“人为错误”或“违规”等词语，而要使用中性且符合事实的词语（例如：决策、行动、事件、后果）。

6. 努力识别组件和系统层面的性能差异。采取干预措施，支持正向差异（例如适应性），并减少负向差异（例如漂移）。

7. 继续以预测的方式应用交互 HEI 方法来支持设计，同时意识到更广泛的系统影响

8. 采用系统视角，拥抱系统方法。持续开发和调整系统方法，使其可扩展且在实践中可用。

9. 采用系统视角，拥抱系统方法。持续开发和调整系统方法，使其可扩展且在实践中可用。

10. 为其他学科（例如工程、设计、职业健康和安全）以及更广泛的机构（例如媒体、法院、政界人士）的同事提供教育。介绍复杂性科学、系统视角和系统方法。

11. 将复杂性科学、系统视角和系统方法纳入EHF能力框架。支持下一代EHF专业人员继续向系统视角转变。

重要的是，我们必须考虑拟议的变革对该学科其他领域的影响。从人为错误转向系统视角将从根本上改变我们看待和衡量诸如情境意识（参见Stanton等人，2017年引文）、工作负荷（Salmon等人，2017年引文）和团队合作等概念的方式。这也对工作和工作设计等领域具有重大影响，我们可能会看到人们对以社会技术系统理论（Clegg，2000年引文）为基础的方法的兴趣重新燃起，同时也会对组织如何支持员工产生新的理解，例如通过促进员工自主应对不确定性（Griffin和Grote，2020年引文）。在讨论即将结束时，最后需要注意的是，一个关键的系统思维原则与在复杂系统中保持对不同世界观和视角的认知有关。唐内拉·梅多斯（Donella Meadows，1941-2001）指出，系统变革的最高杠杆点是超越范式的力量，这强调了任何学科都应考虑的至关重要性。任何世界观都并非确定无误，思维的灵活性而非僵化性，确实可以成为“彻底赋能”的基础（Meadows Citation1999, 18）。

9. 结论

人为错误有助于我们加深对人类行为的理解，并为我们提供了一套至今仍在使用的方法。然而，它仍然是一个难以捉摸的概念。它的科学基础及其在实践中的应用一直受到质疑。虽然其直观性无疑帮助扩展高频理论（EHF）在各行各业获得了认可，但它在学科内外的广泛应用却带来了意想不到的后果。认识到人类只是作为更广泛复杂系统的一部分运作，必然会得出一个结论：我们必须超越对个体失误的关注，转而关注系统故障，从而理解和优化整个系统。现有的系统视角理论和方法支持这一转变，而且当前的科学发展表明，这些理论和方法的应用正在不断增加。我们希望，我们提出的未来发展方向能够为EHF社区提供一个讨论点，并激发辩论，因为我们在应用EHF的过程中，面临着日益复杂的社会技术系统中的新挑战。

美国能源部对核电厂常见的人为错误的经验总结和编码。