轉(zhuǎn)載。張勁長

他叫 Tony Gower-Jones。他曾在殼牌工作 27 年，既做過化工，也做過油氣；后來在英國鐵路、能源企業(yè)擔(dān)任高管；如今是 Tripod 基金會(huì)董事會(huì)成員。2025 年 12 月，他在德國亞琛過程安全會(huì)議上，系統(tǒng)回顧了整個(gè)行業(yè)幾十年來“從事故中學(xué)習(xí)”的演進(jìn)過程，以及我們?nèi)匀粵]有學(xué)會(huì)的那些東西。

這場(chǎng)演講，沒有新名詞轟炸，也沒有空洞口號(hào)，所有內(nèi)容都來自真實(shí)事故和真實(shí)教訓(xùn)。

一、行業(yè)并不是原地踏步，我們已經(jīng)走了很遠(yuǎn)

如果把時(shí)間撥回到上世紀(jì)七八十年代，工業(yè)事故的密度令人震驚。短短十幾年間，全球先后經(jīng)歷了弗利克斯堡、塞維索、博帕爾、挑戰(zhàn)者號(hào)、切爾諾貝利、派珀·阿爾法等一系列世界級(jí)災(zāi)難性事故。平均不到兩年，就會(huì)發(fā)生一起重大事故。

Tony 直言不諱地說：那個(gè)時(shí)代的工業(yè)，本質(zhì)上是不安全的。但也正是這些事故，逼著行業(yè)開始真正反思“安全到底該怎么做”。

二、20 世紀(jì) 80 年代，真正的轉(zhuǎn)折點(diǎn)出現(xiàn)了

在一連串慘痛教訓(xùn)之后，行業(yè)逐漸意識(shí)到，僅靠規(guī)章制度和個(gè)人經(jīng)驗(yàn)是遠(yuǎn)遠(yuǎn)不夠的。于是，一整套今天我們已經(jīng)非常熟悉的概念開始出現(xiàn)：1、安全管理體系，2、安全案例，3、風(fēng)險(xiǎn)導(dǎo)向、而非純規(guī)則導(dǎo)向的管理方式。

核心只有三個(gè)問題：會(huì)出什么問題？我們靠什么控制？如何確保這些控制始終有效？這是一次根本性的變化，安全，開始從“照章辦事”，走向“系統(tǒng)思考”。

三、早期的安全案例，并沒有真正被“用起來”

Tony 也非常坦率地指出，最早一代安全案例本身存在明顯問題：1、分析極其詳細(xì)，卻異常復(fù)雜；2、專業(yè)術(shù)語密集；3、以文字為主，缺乏直觀表達(dá)；4、很多現(xiàn)場(chǎng)人員根本看不懂。在不少工廠里，這些厚厚的文件甚至只是被拿來頂住防火門。文件是有了，但安全并沒有因此自動(dòng)發(fā)生。

四、一個(gè)關(guān)鍵共識(shí)：?jiǎn)栴}不在“人不行”

真正改變行業(yè)安全理念的，是殼牌在 20 世紀(jì) 80 年代末、90 年代初的一系列研究。這些研究得出了幾個(gè)非常重要、也非常“反直覺”的結(jié)論：

1、大多數(shù)員工都是好人；

2、如果他們出錯(cuò)，往往是環(huán)境促成的；

3、事故前置條件，早在屏障失效之前就已經(jīng)存在；

4、事故不是瞬間發(fā)生的，而是一步步累積的結(jié)果；

正是在這樣的認(rèn)識(shí)下，蝴蝶結(jié)模型 和 Tripod 屏障模型逐漸成形。事故不再被簡(jiǎn)單理解為“某個(gè)人犯了錯(cuò)”，而是一個(gè)完整的因果鏈條：危險(xiǎn) → 屏障 → 失效 → 事件 → 后果

五、到了 90 年代中期，問題反而變得更尖銳

到 90 年代中期，油氣行業(yè)已經(jīng)做到了很多事情，風(fēng)險(xiǎn)是清楚的，控制措施是明確的，安全案例已經(jīng)寫完，該做什么，文件里也都寫得很清楚。但嚴(yán)重事故和死亡事故，仍然在發(fā)生。

Tony 拋出了一個(gè)當(dāng)時(shí)并不討喜的問題：也許，工程師并不是什么都懂。真正的挑戰(zhàn)，已經(jīng)不在技術(shù)，而在于如何創(chuàng)造一個(gè)環(huán)境，讓人“下意識(shí)地做正確的事”。

六、安全開始走向“人”和“文化”

1996 年到 2004 年，殼牌與合作伙伴開發(fā)了后來廣泛傳播的Hearts and Minds（心與行）工具包。這個(gè)工具包背后的理念非常清晰：1、事故成因是多因素疊加的；2、沒有一種方法能解決所有問題；3、不同問題，需要不同干預(yù)；4、干預(yù)必須基于扎實(shí)研究；5、普通管理者也能使用；6、能在不同文化背景下落地。

從這一階段開始，安全真正進(jìn)入了行為、文化和管理環(huán)境的層面。

七、生命守護(hù)規(guī)則：把注意力放在最關(guān)鍵的屏障上

2005到2010 年，殼牌系統(tǒng)回顧了近 20 年的致命事故，并用 Tripod 方法進(jìn)行分析。結(jié)論非常明確：1、約8個(gè)核心屏障，涉及了40% 的致命事故；2、擴(kuò)展到18個(gè)屏障，可覆蓋約 75%；3、由此形成了后來的生命守護(hù)規(guī)則（Life-Saving Rules）。

結(jié)果同樣清晰：殼牌的致命事故下降了約 70%；行業(yè)數(shù)據(jù)顯示，如果這些規(guī)則被完全有效執(zhí)行，全球 70% 以上的致命事故是可以避免的。

八、事故調(diào)查在進(jìn)化，但管理層關(guān)注的仍是“結(jié)果”

2014 年之后，事故學(xué)習(xí)方法持續(xù)演進(jìn)，從事故學(xué)習(xí)指南到調(diào)查洞察指南，以及Tripod 事故分析法。調(diào)查開始更多關(guān)注于：“設(shè)想中的工作”與“真實(shí)發(fā)生的工作”，組織因素如何影響個(gè)人行為，重復(fù)違規(guī)背后的系統(tǒng)原因。

但 Tony 提出了一個(gè)非?，F(xiàn)實(shí)的問題：為什么我們的高層會(huì)議，依然只在討論傷害率？

九、傷害率，并不等于安全水平

Tony 用大量實(shí)例說明：1、在工時(shí)巨大的系統(tǒng)中，傷害率本身具有很強(qiáng)的隨機(jī)性；2、同一套數(shù)據(jù)，刷新一次就可能得到不同結(jié)論；3、管理層往往只關(guān)注“數(shù)字是否好看”。

他引用了早在上世紀(jì)就被提出的警告：被衡量的東西，才會(huì)被管理---即便這種衡量本身毫無意義，甚至?xí)M織的真正目標(biāo)。

十、真正值得討論的，是屏障是否可靠

Tony 給出的方向非常明確。真正有價(jià)值的安全對(duì)話，不應(yīng)圍繞排名和傷害率以及對(duì)外指標(biāo)，而應(yīng)聚焦于：關(guān)鍵屏障是否可靠；安全關(guān)鍵活動(dòng)是否真正完成；管理層行為是否支持安全；組織決策是否在制造風(fēng)險(xiǎn)前置條件---“我們?cè)谧龉芾頉Q策的時(shí)候，是不是在不知不覺中，把現(xiàn)場(chǎng)一步步推向更容易出事的狀態(tài)？”

安全不是一個(gè)數(shù)字，而是一種持續(xù)對(duì)話的能力---安全不取決于報(bào)表有多好看，而取決于一個(gè)組織，能不能長期、真實(shí)、反復(fù)地討論風(fēng)險(xiǎn)，并據(jù)此不斷調(diào)整自己的做法。

十一、留給整個(gè)行業(yè)的挑戰(zhàn)：改變高層的安全對(duì)話方式

在演講最后，Tony 向行業(yè)提出了一個(gè)直接而嚴(yán)肅的挑戰(zhàn)：

1、董事會(huì)上的安全討論，應(yīng)該是什么樣？

2、CEO、CFO 面對(duì)投資人時(shí)，應(yīng)該如何談安全？

3、股東大會(huì)上的安全信息，是否真實(shí)反映風(fēng)險(xiǎn)？

如果我們真的理解事故的因果鏈，就應(yīng)該用它來設(shè)計(jì)新的指標(biāo)，引導(dǎo)更好的對(duì)話，而不是粉飾結(jié)果。

寫在最后

Tony 并沒有否定行業(yè)過去幾十年的努力。恰恰相反，他明確強(qiáng)調(diào)：我們?cè)谌藛T安全和過程安全上，都取得了巨大的進(jìn)步，這是幾代安全從業(yè)者共同努力的成果，這些成就，值得被認(rèn)真肯定。

但如果我們停留在“成績(jī)單”，而不繼續(xù)改進(jìn)學(xué)習(xí)方式和對(duì)話方式。事故一定會(huì)以新的形式重新出現(xiàn)。

在 2025 年的最后一天，也許最重要的不是總結(jié)“做了多少”，而是認(rèn)真問一句：我們，真的學(xué)會(huì)從事故中學(xué)習(xí)了嗎？