——聽秦之剛講“人與組織安全表現(xiàn)”

2016年1月，美國通用電氣公司（GE）全球供應(yīng)商和亞太區(qū)可持續(xù)發(fā)展總監(jiān)秦之剛，重點從創(chuàng)立和發(fā)展背景、基本理論和核心思想、與傳統(tǒng)安全行為學(xué)的區(qū)別、主要的分析方法和工具、主要應(yīng)用的企業(yè)和行業(yè)等方面，在北京為近百名企業(yè)代表和各界人士詳細(xì)介紹了“人與組織安全表現(xiàn)”（Human and Organizational Performance，簡稱HOP）在企業(yè)安全管理和事故調(diào)查中的應(yīng)用。

秦之剛在講座中介紹，HOP是當(dāng)今安全領(lǐng)域最前沿的理論與實踐，起源于美國航空業(yè)和核工業(yè)，旨在防止任何“閃失”而造成極其嚴(yán)重的損失和后果。HOP的重要理念是：安全不是沒有事故發(fā)生，安全是防御意識的存在。HOP從個人的行為和心理分析出發(fā)，直至公司組織的行為、團(tuán)隊的文化和整體的表現(xiàn)，及反過來對個人的影響，全面剖析造成安全事故或“錯誤”的根源，并由此提出消除、保護(hù)、防御、減輕后果等具體而科學(xué)的方法。

秦之剛以GE公司的各個工廠的工傷率為例，提出了在重大事故防控方面所面臨的“困境”。在GE，這么多年做了很多的安全工具、安全教育、安全檢查等工作，確實起到了很好的作用。從1995年到2011年，GE有很多“明星工廠”在可記錄工傷率、損失工時工傷率方面，下降幅度非常明顯。從這一趨勢可以發(fā)現(xiàn)，傳統(tǒng)的安全管理對降低工傷率是很有成效的，但是也可以從中發(fā)現(xiàn)，最近幾年的趨勢是很平坦的，尤其是損失工時工傷率方面。小的工傷事件發(fā)生率下降明顯，但是大的工傷事件發(fā)生率在下降一段時間之后，很難再明顯地繼續(xù)下降，重大事故未能取得相應(yīng)的預(yù)防效果。 

圖1  1995-2011年GE可記錄工傷率、損失工時工傷率趨勢圖

全世界的很多“明星工廠”，在整體的工傷率控制方面效果很好，但是仍然會出現(xiàn)意想不到的重大事故。例如，國際上一些大的跨國企業(yè)，如英國石油公司（BP），在2010年4月20日夜間，其位于美國路易斯安那州附近墨西哥灣海域的“深水地平線”鉆井平臺發(fā)生爆炸事故，導(dǎo)致7人重傷、11人死亡。2010年7月16日晚間18時左右，大連新港附近中石油一條輸油管道起火爆炸。

秦之剛通過幻燈片展示了一下“事件嚴(yán)重度金字塔”圖示。一些安全管理規(guī)范的公司，經(jīng)過幾年的安全管理實踐發(fā)現(xiàn)，其事故的下降幅度是在按照金字塔的規(guī)律進(jìn)行的。而對于一些發(fā)生過重大事故的公司來講，右邊的小金字塔則是其現(xiàn)實安全管理中常見的情形，即一些輕微事故是按照金字塔的規(guī)律進(jìn)行下降的，大三角變成了小三角，這被稱為“變形金字塔”，因此可以得出這樣一個結(jié)論：以往很好的安全管理工作，并非沒有成效，但只是針對輕微事故和工傷的防控方面來講的，而對嚴(yán)重的事故則效果不明顯。 

圖2  事件嚴(yán)重度金字塔

在過去10多年中，這些公司以往的安全表現(xiàn)是非常好的，采取了很多卓有成效的措施，如“健康安全框架”“美國自愿者保護(hù)計劃”“GE全球之星”“重點關(guān)注計劃”等，對事故的控制是很有成效的，減少了80%多的傷害事故，但是最近在嚴(yán)重事故率下降方面就沒有那么明顯了，而且沒有辦法控制重大事故的發(fā)生。這就不得不引人深思：我們到底在哪些方面還存在安全管理缺陷？下一步我們應(yīng)該如何推動持續(xù)的改進(jìn)？

GE的做法是，在全公司及供應(yīng)鏈企業(yè)率先實施HOP。

GE在其全球工廠推行“全球之星”健康安全框架管理之后，有效地降低了工傷事故率，但是到一定程度之后，無法有效地進(jìn)一步減少事故的發(fā)生，該公司環(huán)境健康安全的管理層在經(jīng)過長時間的考察和調(diào)研后發(fā)現(xiàn)，在實施各種工傷預(yù)防的措施中忽略了“人”這一關(guān)鍵因素，而且認(rèn)識到人會犯錯誤，這是人的天性，而HOP正好彌補(bǔ)了安全管理上的這一缺陷。

2009年1月，HOP創(chuàng)人Todd Conklin博士向GE能源集團(tuán)的EHS管理團(tuán)隊介紹了HOP。2009年4月，GE環(huán)境健康安全委員會引入了HOP。2009年11月，HOP創(chuàng)始人Tony Muschara博士開始在GE公司Arlington Hgts 進(jìn)行培訓(xùn)。2009年12月，GE HOP指導(dǎo)委員會成立。2010年4月，GE環(huán)境健康安全委員會參與了HOP培訓(xùn)。在受到GE環(huán)境健康安全委員會的官方認(rèn)可之后，HOP完成了從“試點項目”到“GE健康安全項目”的轉(zhuǎn)變。2010年至今，GE所有的試點工廠開始實施HOP。GE在中國有3000多家供應(yīng)商，遍布各個行業(yè)，目前也在推廣與應(yīng)用HOP。

目前，美國的核電廠安全、航空安全、汽車安全等領(lǐng)域，GE業(yè)務(wù)集團(tuán)以及其他公司，如康菲石油公司、雪佛龍石油公司、約翰迪爾公司、利安德巴塞爾化學(xué)公司、美國鋁業(yè)公司等，都在應(yīng)用HOP。

HOP是Todd Conklin博士、Sidney Dekker博士等在基于人性本能會犯錯誤的前提下，開發(fā)出的一套幫助理解員工如何完成作業(yè)以及建立一套安全防御措施的安全管理理念。如何控制因人的錯誤而造成的安全事故，是HOP運用在安全管理上的一種新的思維方式與管理哲學(xué)。

HOP的重要理念是：安全不是沒有事故發(fā)生，安全是防御意識的存在。

HOP比較重視組織/管理部門，以及個人因素。有很多“當(dāng)下因素”會影響組織/管理部門實施安全管理計劃的效果，這種影響就會產(chǎn)生一些危害或不良后果，需要設(shè)定一定的防御措施進(jìn)行限制，有預(yù)防、識別、檢測等措施，以及最后一道措施——降低后果。 

圖3   HOP的核心思想

人都是會犯錯的，即使是完人也不例外。錯誤不是一種選擇。我們都是在不斷的錯誤中學(xué)習(xí)和成長的。Sidney Dekker博士說：“人們不是工作在真空中，在那里他們可以決定并采取行動的全有力地運行。犯錯或不犯錯不是一種選擇。相反，人們的工作要服從多個‘當(dāng)下因素’的制約。” 

安全不是沒有事故發(fā)生，安全是防御強(qiáng)度的體現(xiàn)。要想杜絕安全事故的發(fā)生，就要建立完善的防御體系，在事故發(fā)生之前就找出可能的事故隱患。

秦之剛強(qiáng)調(diào)，HOP不是我們所熟知的一些安全管理體系的“升級版”，如ISO、“美國自愿者保護(hù)計劃”、六西格瑪?shù)龋膊皇且〈鼈?，而是一種新的基于風(fēng)險的運營理念，在做好以往安全管理體系的基礎(chǔ)上，注重從人類易犯錯的角度出發(fā)，保護(hù)員工、產(chǎn)品和企業(yè)財產(chǎn)。HOP不是一個新的舉措，而是一種改進(jìn)現(xiàn)有健康安全管理體系的途徑，幫助我們更全面地發(fā)現(xiàn)和改進(jìn)安全管理問題，以最小化那些由于人為因素引起的事故的頻率及嚴(yán)重程度。

HOP不是一個獨立的項目，而是一種對員工錯誤進(jìn)行客觀討論、調(diào)查、理解和恰當(dāng)回應(yīng)的方法；不是一種去除行為（包括錯誤和失誤）問責(zé)的手段，而是一種建立在“犯錯是人類狀況的一部分”這一基礎(chǔ)之上的運營理念 ；也不是所有組織問題的萬能解決方法，而是為最小化人為錯誤的頻率和后果所設(shè)計的系統(tǒng)、程序和策略；不是針對功能失調(diào)的個人進(jìn)行快速解決問題，而是為提高現(xiàn)行的流程和管理體系的有效途徑。

傳統(tǒng)的安全管理方法，可以降低事故發(fā)生的頻率，但不能夠降低事故發(fā)生的嚴(yán)重性。HOP可以解決兩個問題，一是降低事故發(fā)生的頻率，二是控制重大事故的發(fā)生。

總之，HOP是一種為最小化人為失誤的頻率和后果嚴(yán)重性而設(shè)計的系統(tǒng)、項目和戰(zhàn)略，是經(jīng)理、主管、專業(yè)技術(shù)人員和員工每天使用的來理解和避免工作中人為危害的系統(tǒng)、流程與工具。HOP包括：我們?nèi)绾伪苊馊藶槭д`和人為失誤造成的事件；為了應(yīng)對和避免人為失誤，我們?nèi)绾谓⑽覀兊南到y(tǒng)；作為經(jīng)理和組織，對于人為失誤應(yīng)該如何回應(yīng)。

秦之剛介紹，HOP關(guān)注的是人們的行為，以及這一行為所帶來的結(jié)果。 

圖4  HOP等式示意圖

秦之剛舉例說，在航天業(yè)進(jìn)行發(fā)射任務(wù)的時候，在火箭升空的瞬間，發(fā)射基地的全體人員對著總控制屏幕進(jìn)行倒計時，同時參與發(fā)射工作的人都回憶一下自己的工作程序有沒有疏漏。在按下發(fā)射按鈕的前一瞬間，如果哪個人回憶起有工作疏漏存在，都可以要求停止發(fā)射任務(wù)。每一個人的行為，都可以和結(jié)果掛鉤。

犯錯誤是人類狀況的一部分，要將人所犯錯誤最小化。HOP的一個重要理念是，犯錯誤不等于違規(guī)。人的能力是有局限性的，也是很容易就犯錯誤的。人為犯錯在很多時候是一種無意的行為，是其偏離預(yù)期工作實踐和程序的體現(xiàn)，但是，要查清錯誤背后的動機(jī)，以及造成錯誤的原因。除了人本身的因素之外，其周圍的環(huán)境、組織行為等，也為人犯錯提供了機(jī)會。違規(guī)則是一種故意的行為，是一種偏離既定工作程序（SRA，SOP等）或經(jīng)批準(zhǔn)的工作實踐的體現(xiàn)。因此，要將人為錯誤和違規(guī)加以區(qū)別對待。

在GE，一直以來使用的術(shù)語“人為錯誤”包括錯誤與違規(guī)行為，現(xiàn)在已經(jīng)被糾正過來，對不同的行為進(jìn)行不同的處理。

人為錯誤的根源在哪里呢？在操作不當(dāng)方面，90%是由人為犯錯造成，10%是由設(shè)備故障造成。而在其中90%的人為犯錯里面，70%是由系統(tǒng)引起的誤差所致，30%則是由于滑倒、絆倒或失足所致。 

圖5  人為錯誤的根源示意圖

有時候組織程序越復(fù)雜，越容易犯錯誤，越會降低對錯誤的承受度。秦之剛舉例說，在GE有很多“明星工廠”。作為“明星工廠”的員工，操作時要遵循很多規(guī)范和標(biāo)準(zhǔn)，即標(biāo)準(zhǔn)作業(yè)流程（SOP），但是到底有多少員工是真正在看著SOP來完成工作任務(wù)呢？事實上，按照SOP很難完成任務(wù)。由于要“標(biāo)準(zhǔn)化”操作，還要分析出每個步驟的危害，編寫成詳細(xì)的手冊，但是最后SOP與實際工作還是會出現(xiàn)偏差。作為GE“明星工廠”審核組組長，秦之剛每到一個工廠，都會看到擺得整整齊齊的厚厚的各種標(biāo)準(zhǔn)化工作的手冊。即使一個簡單的工種，比如搬運工作，也會有一本厚厚的手冊。作為一名搬運工，要花幾周的時間去學(xué)習(xí)手冊，還要通過考核。員工不能改變SOP，所以必須摸索出一套實用的方法來完成指定的工作。其實，這樣反而會善意地破壞員工對安全的認(rèn)識，打亂了需要關(guān)注的主次，對最需要關(guān)注的安全事項反而沖淡了。

秦之剛總結(jié)了人類行為表現(xiàn)的原則：人是會犯錯誤的；錯誤的類似情形是可以預(yù)知的；個人的行為是會受影響的；運營相關(guān)的不利因素是可以避免的；我們對失效的態(tài)度非常重要。

秦之剛在講座過程中，會播放一些小視頻或者讓與會者參與做一些小游戲，以增加講座的互動性和趣味性。

秦之剛首先播放了一個“下雪天的故事”視頻。一個人在下雪天去找自己的車時，發(fā)現(xiàn)所有的車都是白色的。在經(jīng)過一番清掃積雪之后，卻發(fā)現(xiàn)誤把隔壁的車當(dāng)成了自己的車，來說明人對事情進(jìn)行判斷時受主觀因素影響還是比較大的。

秦之剛還舉例道，由于一些工廠的開關(guān)可能不是一次性安裝上去的，就會造成不同廠家的開關(guān)“開”與“關(guān)”的位置不一樣，如果遇到緊急情況，員工在壓力之下很容易混淆二者之間的區(qū)別。他還發(fā)現(xiàn)有一家工廠用的起重機(jī)遙控器，由于是兩個廠家生產(chǎn)的，“上”與“下”的位置也不一樣，如果員工熟悉了其中一臺起重機(jī)，再用另一臺起重機(jī)時，就很容易造成混淆，從而引起誤操作導(dǎo)致事故發(fā)生。

他與前排的一位代表進(jìn)行了一個“斯特魯測驗”的小游戲。他先讓代表說出色塊的顏色，再讓代表說出字體顏色與字本身的顏色意義一致的字的顏色，最后讓代表說出字體顏色與字本身的顏色意義不一致的字的顏色。通過這個小游戲，秦之剛總結(jié)道：人是有感知的，也是有經(jīng)驗的，當(dāng)設(shè)計的工作是將兩種工作經(jīng)驗混在一起的時候，會對工作造成干擾。人是生物體，有一定的局限性，因此，外界的組織行為對人會產(chǎn)生影響，犯錯誤也就“理所當(dāng)然”了。 

圖6  斯特魯測驗

秦之剛播放了一個“鱷魚的故事”視頻：一名專業(yè)的鱷魚訓(xùn)練師在表演頭部伸進(jìn)鱷魚嘴巴的游戲時，由于只擦了左邊臉部的汗液，而忘記了擦右邊臉部的汗液，導(dǎo)致汗珠滴進(jìn)了鱷魚的舌部，對其造成了刺激，使其突然緊閉了嘴巴，把鱷魚訓(xùn)練師的頭部緊緊咬住。鱷魚的這種反常行為，是由鱷魚訓(xùn)練師的疏忽造成的。從這個故事中，秦之剛為大家揭示了一個道理：任何一個事件，人要犯錯的話，都是有一些誘因在里面的。

秦之剛總結(jié)道，事故無時不刻都在，只是等著“被”發(fā)生。當(dāng)工廠發(fā)生事故時，往往第一時間就是急著找出那個犯錯誤的人，并進(jìn)行根本原因分析，如用“5W”法進(jìn)行分析：為什么會發(fā)生工傷事故？因為是新員工；為什么新員工發(fā)生了工傷事故？因為沒有接受培訓(xùn)；為什么沒有進(jìn)行培訓(xùn)？因為工作疏漏……事實上，工傷事故不是由員工造成的，員工只是啟動了工廠里存在的潛在“危害”（缺陷），使之發(fā)生了傷害事故。事故一直存在工廠里，只是等著員工去“啟動”它。

秦之剛強(qiáng)調(diào)，要明確的一點是，我們是人類，不是機(jī)器人，我們是會犯錯誤的。許多年來，我們一直試圖使工人們“更關(guān)心”，并且“更加關(guān)注”他們正在做的事情，這樣他們就不會“犯錯誤”（如發(fā)生工傷意外）了，但并非完全奏效。在HOP這種新的思維方式或“新觀點”中，我們正在改變我們對“失敗”（犯錯誤）的反應(yīng)，我們對員工的錯誤和失?。ǚ稿e誤）不是應(yīng)該表現(xiàn)出驚訝或譴責(zé)員工，而是通過成立學(xué)習(xí)小組的形式，相互聆聽和學(xué)習(xí)可以改進(jìn)的地方。

因為HOP認(rèn)為錯誤并不是一個選擇，不能將錯誤簡單歸結(jié)為一種違規(guī)的行為，因為這樣會使我們忽視很多導(dǎo)致這種錯誤發(fā)生的重要因素。很多時候，我們將這種錯誤視作一種“偏差”。偏差可分幾種情形，一種是極少發(fā)生的“故意偏差”，因這是一種主觀上有選擇的破壞規(guī)則的行為，所以這不是HOP包括的范疇；還有一種是“無意偏差”，這是一種人類易犯的錯誤；還有一種是“日常偏差”，員工普遍都會發(fā)生這種情況。后面兩種“偏差”是HOP主要研究和分析的對象。

100個動作中人的可靠性是怎么樣的呢？秦之剛舉例道，假如完成一項有100個步驟的工作任務(wù)，每一個步驟完成的正確率為99%，最終完成整項任務(wù)的“不出錯”的概率卻只有37%（0.99100）。秦之剛總結(jié)道，即使每一個工作步驟看似完美到近乎100%的正確，到最后整項任務(wù)完成的總犯錯的概率竟然可高達(dá)60%以上。

員工犯錯的根源在哪里呢？哪些因素對人的犯錯影響最大？根據(jù)長期的數(shù)據(jù)統(tǒng)計與分析，一個人受組織因素犯錯的影響是很大的，比受個人因素的影響要大得多：任務(wù)環(huán)境因素占75%，個體因素占25%。 

圖7  “當(dāng)下因素”的6大分類

秦之剛舉了一個他親身經(jīng)歷過的組織風(fēng)險因素的例子。在一家塑料工廠，管理者一直在努力提高工人清洗過程中換螺桿的速度，時間從20分鐘縮減到15分鐘，又縮減到10分鐘，最后創(chuàng)記錄地縮減到7分鐘。實際上，在換螺桿的過程中，為了保證員工的安全，要將該設(shè)備有關(guān)的能源鎖定，加上清洗操作的時間，7分鐘的時間是很難完成安全措施和清洗作業(yè)的。受“考核指標(biāo)”這一組織行為的影響，員工為了提高所謂的工作效率，肯定會在“安全保障”方面節(jié)省時間，去“冒險”操作也就在所難免了，不安全的行為也就發(fā)生了。管理者重視安全，但只在口頭上加以強(qiáng)調(diào)，而不像是安排生產(chǎn)那樣，提出具體的要求和指標(biāo)，這實際上會產(chǎn)生負(fù)面的組織因素，使員工通過“冒險”而將提高生產(chǎn)率放在首位，只考慮各種生產(chǎn)指標(biāo)而置安全于腦后，“現(xiàn)實很殘酷”。

秦之剛還播放了一個“電梯的故事”小視頻，來說明組織行為對個體行為的影響是很大的。在一個電梯里，多個乘電梯的人的行為很容易受第一個進(jìn)電梯的人的影響。當(dāng)其脫下帽子，即使其他人不愿意“從眾”，但是受到集體壓力的影響，還是與大家的“脫帽子”行為保持了一致。

現(xiàn)場還演示了一個搭建積木塔的游戲。當(dāng)積木塔搭好后，開始從下面抽一個個木塊，也就象征著一個個防御被破壞掉。當(dāng)積木塔下面出現(xiàn)的洞越來越多的時候，說明整個防御體系出現(xiàn)了問題。由于領(lǐng)導(dǎo)與員工看待問題的角度不一樣，即使有很多木塊從底部或中間已被抽去，在塔倒下來之前，領(lǐng)導(dǎo)從上往下看，整個塔看上去仍是完整無缺的，所有的問題不一定能夠被及時發(fā)現(xiàn)，當(dāng)最后一根“稻草”壓死“駱駝”的時候，一切都為時已晚。通過這個游戲，秦之剛強(qiáng)調(diào)，一定要及時發(fā)現(xiàn)安全管理中的“潛在陷阱”。這也正像我們在進(jìn)行安全文化建設(shè)的時候，會將所有好的要素設(shè)計進(jìn)去，但是受“當(dāng)下因素”的影響，原來好的要素會慢慢地變異，一些潛在情況也會逐漸顯現(xiàn)，如潛在的系統(tǒng)缺陷、觸發(fā)失誤的“陷阱”等。

組織本身也會發(fā)生“蛻變”，也會成為不安全因素。員工是很多事故的“觸發(fā)因素”，而員工觸發(fā)的潛在條件卻隱藏在我們的組織中。失誤并不是原因，而是后果，是一個被“觸發(fā)”的后果。

要培養(yǎng)員工的習(xí)慣性的“不安意識”（而不是“安全意識”），更要考慮出錯的“可能性”。這是一種關(guān)于出錯可能性和潛在的系統(tǒng)薄弱環(huán)節(jié)的恐懼的態(tài)度，提示員工要在失誤之前就做好相應(yīng)的準(zhǔn)備工作。“生于憂患，死于安樂。”在安全生產(chǎn)方面，同樣適用。

秦之剛強(qiáng)調(diào)，HOP（人與組織安全績效）不是BBS（行為安全學(xué)）的“升級版”。他詳細(xì)地列舉了兩者之間的區(qū)別。

HOP不是一個獨立的新項目，是在原來已有的工具、理念基礎(chǔ)上對人與組織犯錯的更深的認(rèn)識，是一種可以與健康安全、環(huán)境、質(zhì)量結(jié)合在一起的運營理念，是一個更大的發(fā)展。但BBS是一個獨立的項目。

BBS通常需要很密集的資源，要發(fā)動所有的員工來觀察周圍同事的行為與所制定標(biāo)準(zhǔn)的偏差，并且只專注員工具體的行為，而不是去承認(rèn)人是會犯錯誤的。HOP則使用基于風(fēng)險的方法，承認(rèn)人是會失誤的，在動態(tài)的工作流程中創(chuàng)造一個完全沒有失誤的工作環(huán)境是不可能的。

BBS認(rèn)為所有的失誤和危險行為都是可以避免的，認(rèn)為可以將員工塑造成不犯錯誤的“機(jī)器人”。HOP則關(guān)注組織、文化和管理系統(tǒng)上的一些弱點如何造成一些行為的產(chǎn)生，并致力于降低失誤的頻率和減輕失誤引起的事件的嚴(yán)重程度。 

圖8  HOP超越了海因里希規(guī)則

如圖8所示，海因里希規(guī)則能夠幫助降低事故發(fā)生的頻率，但是對于死亡事故或重特大事故，則不能減輕其嚴(yán)重性。而HOP則可以做到這一點。因此，HOP比BBS更加有效。

在GE，BBS的反饋記錄會有前后矛盾的現(xiàn)象。在航空和核電領(lǐng)域，HOP則被證實有可靠的應(yīng)用記錄。GE和其他一些公司一直在致力于把HOP推廣應(yīng)用到更廣泛的行業(yè)，并處于領(lǐng)先的地位。

HOP的主要分析方法有：重要風(fēng)險和關(guān)鍵步驟；偏移和積累；HOP防御體系；行為表現(xiàn)模型；風(fēng)險熱圖；防御強(qiáng)度矩陣等。

重要風(fēng)險和關(guān)鍵步驟 

圖9  重要風(fēng)險和關(guān)鍵步驟

風(fēng)險步驟是指對產(chǎn)品、服務(wù)或資產(chǎn)存在潛在傷害的過程或行動。比如在實際工作中，即使對于比較簡單的搬運、包裝之類的作業(yè)，也會有很多復(fù)雜的各方面的安全標(biāo)準(zhǔn)。

在這些風(fēng)險步驟中，有一些是關(guān)鍵步驟。關(guān)鍵步驟是指任何不當(dāng)?shù)男袆踊蚴怯酗L(fēng)險的重要舉措，都會觸發(fā)立即發(fā)生的不可逆轉(zhuǎn)的嚴(yán)重傷害。關(guān)鍵步驟主要出現(xiàn)的情形和表現(xiàn)為：任何無法挽回的節(jié)點；觸動能源、信息、物質(zhì)的轉(zhuǎn)移的步驟；常發(fā)生于與潛在的高能量設(shè)備打交道；對昂貴的或稀缺資源的運作過程；工作職責(zé)（權(quán)利）的交換；在作業(yè)設(shè)備（設(shè)施）的操作中，一個步驟或誤操作會打破一個系統(tǒng)的流程，造成危險因素間的相互作用，并引起嚴(yán)重的后果等。這些關(guān)鍵步驟，就是我們進(jìn)行安全防御的重點。一次出錯的薄弱環(huán)節(jié)發(fā)生在關(guān)鍵步驟上，是非常危險的，需要我們加以重點保護(hù)，并設(shè)置多重防御。如不但要提醒，還要進(jìn)行確認(rèn)、報警等。

秦之剛以手槍為例，進(jìn)行了詳細(xì)說明。手持手槍所面臨的風(fēng)險行為有：給手槍上膛；未戴眼耳類的防護(hù)裝備；把手槍指向非指定目標(biāo)；未使用安全手柄；拉回?fù)翦N等。這些風(fēng)險行為不代表著就是關(guān)鍵步驟，其關(guān)鍵步驟是：扣動扳機(jī)；打出已裝載的子彈。

關(guān)鍵步驟的3個特點是：一觸即發(fā)；造成傷害；不可逆轉(zhuǎn)。只有在關(guān)鍵步驟上加強(qiáng)安全防御，才能有效保證最終的安全。

偏移和積累  

圖10  偏移和積累示意圖

在創(chuàng)建一個新的企業(yè)的時候，制定安全標(biāo)準(zhǔn)時往往是很高的。如果沒有適當(dāng)?shù)臋C(jī)制加以保障，隨著時間的推移，對這些安全標(biāo)準(zhǔn)的執(zhí)行水平會逐步下降，這就是“偏移”。不安全的因素會潛伏在工作中，也會隨著時間的推移逐步增加和積累。當(dāng)安全標(biāo)準(zhǔn)下降與事故風(fēng)險增加的點交集在一起的時候，事故就發(fā)生了。HOP就是要找尋標(biāo)準(zhǔn)的起點和危險的來源，弄清楚這么長時間到底發(fā)生了什么。真正帶給大家安全的是圖10所示的黃線所指的“實際安全范圍”，也就是安全區(qū)。隨著安全標(biāo)準(zhǔn)下降，危險程度增高，“實際安全范圍”會變得越來越窄。當(dāng)其狹窄到一定程度，兩條線就相交在一起，安全區(qū)消失了，事故隨即發(fā)生。 HOP的工作就是盡量不要讓兩條線相交，并盡量使兩者的距離變寬，這樣就使個人和組織有足夠的安全空間，可以保持組織安全管理體系的完整性。

HOP防御體系 

圖11  HOP防御體系

“當(dāng)下因素”在整個HOP防御體系中的位置如圖11所示，其中的6個方格代表任務(wù)環(huán)境因素、個體因素的6個方面。這些都是導(dǎo)致事故發(fā)生的“誘因”，重要的是要建立起多層的事故防御體系，主要分為預(yù)防、識別、檢測、降低四個階段。“預(yù)防”包括對員工的培訓(xùn)、教育等，對工作場所進(jìn)行規(guī)范；“識別”主要是對一些高壓、危險的工序或設(shè)備進(jìn)行辨識；“檢測”是各種檢測監(jiān)測設(shè)備的應(yīng)用；“降低”是應(yīng)急救援體系的建立與應(yīng)用。在這個防御體系的建立過程中，會出現(xiàn)一些“漏洞”，成為有缺陷的防御，這就需要及時進(jìn)行反饋，如圖11中的紅線所標(biāo)識的部分。

HOP應(yīng)用于事故調(diào)查

在事故調(diào)查中，我們也可以應(yīng)用HOP關(guān)于組織因素中幾個造成事故的因素作為我們在事故調(diào)查時找出根本原因的參考，我們稱為系統(tǒng)的缺失。事故的發(fā)生并不是某個員工造成的，事故的背后是組織系統(tǒng)的缺失或存在弱項和缺陷長期積累到一定的“點”由員工觸發(fā)的。 

圖12  HOP應(yīng)用于事故調(diào)查

如果將HOP防御體系進(jìn)行“逆向思維”，就可以進(jìn)行事故調(diào)查和原因分析了。發(fā)生了事故，說明“實際績效”偏離了“理想績效”，兩者之間存在“缺口”或“差距”。要了解造成“缺口”的原因，就要對“當(dāng)下因素”進(jìn)行調(diào)查與分析。“當(dāng)下因素”主要包括工作要求/期望；工具、資源/環(huán)境；獎懲措施；個人動機(jī)/偏好；能力/充足的準(zhǔn)備；知識/技能。在“當(dāng)下因素”中需要做的防御措施，反過來也就是導(dǎo)致事故發(fā)生的根本原因，主要有任務(wù)、組織架構(gòu)、規(guī)程/期望、工作管理、行政管控、危險控制流程、培訓(xùn)/任職資格、工程設(shè)計流程、績效提升流程、技術(shù)、人力資源、決策制定、交流、管理/監(jiān)督實踐等。這就可以對事故原因進(jìn)行系統(tǒng)的分析，找出潛在的“潛在的體系缺陷”（LSW），并提出提升建議（防御強(qiáng)度矩陣），進(jìn)而改變管理方式，并進(jìn)行實施及監(jiān)控。

在事故的整改報告中，我們也可以運用防御表來羅列所采用的各項整改措施，以清除知曉整改的總體狀況。由此可見，HOP并不是一個新的工具，而是將以往的工具進(jìn)行了整合。這些防御工具都是比較傳統(tǒng)的安全管理工具。

行為表現(xiàn)模型

按照員工的學(xué)習(xí)特點，可以將其分為三類：基于知識的模式、基于規(guī)定的模式、基于技巧的模式。第一種模式錯誤概率是最高的，大1/2，如圖13的紅色區(qū)域所示；第二種模式的錯誤概率是千分之一，如圖13的黃色區(qū)域所示；第三種模式的錯誤概率是萬分之一，如圖13的綠色區(qū)域所示，這類人導(dǎo)致的一般都是大事故。 

圖13  行為表現(xiàn)模型

秦之剛以駕駛技能學(xué)習(xí)為例，對這三類人進(jìn)行了分析。如果一個人從來沒有摸過車，這個人應(yīng)該屬于第一種基于知識的模式，開車時“照本宣科”“一板一眼”。如果一個人已經(jīng)開了一兩年車，這個人應(yīng)該屬于第二種基于規(guī)定的模式，這類人的技能還不是很熟練，還會拘泥于各種規(guī)定，靠“背口訣”來掌握駕車技巧。對于出租車駕駛員來說，則屬于第三種基于技巧的模式，他們有時“肆無忌憚”地邊開車邊打手機(jī)。

我們常常習(xí)慣于對發(fā)生的事故做統(tǒng)一的整改，如再培訓(xùn)：員工再次學(xué)習(xí)標(biāo)準(zhǔn)操作指南等，從而忽略了人的不同的行為表現(xiàn)模式。對于新員工、有經(jīng)驗的員工和技術(shù)熟練的員工，我們不能用統(tǒng)一的方法來對待。新員工缺乏經(jīng)驗和技術(shù)，全面的只是性培訓(xùn)是比較合適的。而對于一個技術(shù)熟練的人，則要為其創(chuàng)造不同的學(xué)習(xí)方式，如組織學(xué)習(xí)小組，進(jìn)行同類人員的經(jīng)驗分享等。

風(fēng)險熱圖

HOP推行的理念是“安全不是沒有事故，安全是防御意識的存在。”基于此，企業(yè)需要做的是如何識別并找到工廠中容易造成嚴(yán)重后果的危害（活動或流程），我們稱之為工廠的“風(fēng)險熱圖”。有了“風(fēng)險熱圖”，就可以根據(jù)所識別的每一個風(fēng)險熱圖建立防御，我們稱之為防御強(qiáng)度。

如何確定風(fēng)險比較大的操作呢？可以將企業(yè)里的各個操作，按照發(fā)生事故的頻率及其潛在后果進(jìn)行矩陣式排列。這樣就能夠?qū)⒏鱾€操作的事故防御的優(yōu)先次序排列了出來，進(jìn)而能夠按照輕重緩急的布局進(jìn)行預(yù)防措施的實施了。 

圖14  風(fēng)險熱圖

防御強(qiáng)度矩陣

用以下防御矩陣圖，可以幫助我們進(jìn)行全面的思考，針對每一個風(fēng)險采取比較全面的措施來加以防控。   

圖15  防御強(qiáng)度矩陣

管理層和安全人員想要知道所在工廠的危害情況，一張風(fēng)險熱圖就可以說明工廠的主要高風(fēng)險危險了。如果想要了解具體某種危害的控制措施，看防御強(qiáng)度就可以知道工廠現(xiàn)有哪些防護(hù)措施，現(xiàn)有防護(hù)措施看上去是否充足等。防御強(qiáng)度針對的是某一個具體的危害，它可以將工廠針對現(xiàn)有某一危害的防御措施全部列出，工廠可以組織小組成員對所列出的防御措施進(jìn)行現(xiàn)場驗證，以確定其是否有效。

在講座的最后部分，秦之剛還列舉了HOP在企業(yè)中的實際應(yīng)用和成果。比如GE水處理集團(tuán)，所有的EHS指標(biāo)都有了顯著的提升。Lynn航空公司2010年的重傷率下降了65%。伊利諾伊州醫(yī)療集團(tuán)工廠通過應(yīng)用簡單的HOP工具，將每周的工傷率降低至4.5，每周減少40小時的工傷損失工時。

2016年9月28日秦之剛在第八屆中國國際安全生產(chǎn)論壇上介紹HOP

經(jīng)過多年應(yīng)用HOP，秦之剛稱收獲了很多經(jīng)驗，也有很多教訓(xùn)。他認(rèn)為組織領(lǐng)導(dǎo)力是至關(guān)重要的，使用者需要接受培訓(xùn)；需要樹立一些“樣板”或“模范”，不要去轟轟烈烈地去搞運動，要扎扎實實、一步一個腳??；需要找出潛在事故預(yù)防影響的早期跡象，比如報告了更多的未遂事故、隱患等，事故率的降低對嚴(yán)重事故有重大影響；要提高對引起事件發(fā)生的潛在與系統(tǒng)因素的分析，并提高糾正措施的有效性；要改善員工/領(lǐng)導(dǎo)的對話，從對失誤的挑剔轉(zhuǎn)向潛在的系統(tǒng)缺陷的辨識；推進(jìn)HOP的跨學(xué)科的應(yīng)用，甚至質(zhì)量管理部門、人事管理部門、工會等，都可以參與進(jìn)來。