何以出错

差错发生的原因有多种。最常见的一种原因是要求人们在任务和流程中做违背自然规律的事情。譬如，在数小时内始终保持警惕，或要求提供精准的控制规范，或经常执行多个任务，并进行多个相互干扰的活动。一个常见的差错是由于中断，如果没有设计和程序的帮助，在承担完全专注的任务时，一旦被打断再次恢复到专注的状态不是件容易的事。最后，也许是最糟糕的归罪方式，是人们对待差错的态度。

当差错导致财务损失，或者，更糟的是，导致人员伤亡，就会成立一个特别委员会调查原因，然后，几乎没有例外，会发现犯错的人。下一步就是谴责和惩罚这些人，伴随着罚款，或者干脆解雇或监禁他们。有时候会从轻处罚：宣告让犯错的当事人进行更多的培训。差错的结果就是谴责和惩罚，责备和培训。对差错的调查和随之而来的处罚给人们带来相当良好的感觉，因为“我们抓到了肇事者”。但这并不能彻底解决问题：同样的差错将一次又一次地反复发生。相反，当差错发生时，如果分析根本原因，然后重新设计产品或程序，差错将不再发生，这样做的后遗症最小。

根本原因分析

根本原因分析也是这样一个游戏——调查事故——的名字，直到发现单一的、潜在的原因。根本原因分析本该意味着，如果有人真的做了错误的决定或者行动，我们应该确定是什么因素导致他们犯错。这就是根本原因分析应该做的。唉，事实是往往人们一旦发现某个人的不当行为，根本原因分析就止步于此。

努力找出事故的原因听起来不错，但这样做会存在缺陷，原因有两个。首先，大多数事故的发生没有单一的原因：通常会有多个事情出错，或者多个事件，只有要它们中的任何一个没有发生，就不会发生事故。这就是着名的“詹姆斯·里森原则”，詹姆斯·里森（James Reason），英国调查人为因素的专家，将人为差错称作“事故的瑞士奶酪模型”（见本章图5.3，会有更详细的讨论）。

其次，为什么一发现人为差错，根本原因分析就停下来了？如果机器设备停止工作了，我们会不停地分析，直到发现失效的零件。接着，我们会继续追问：“为什么零件会损坏？是质量低劣吗？还是零件的规格要求太低？是因为零件承受了过高的负荷吗？”我们不断地提问，直到确信自己真正找到了差错的原因，然后就会着手补救。当我们调查人为差错时，应该做同样的事情。我们应当探寻什么原因导致了差错。在根本原因分析中，当发现人为差错可能是因素之一，我们的工作才刚刚开始：我们将继续分析并找到为什么会发生差错，可以做些什么来防止它再次发生。

美国空军的F-22是世界上最先进的飞机之一。然而，它已经卷入数起事故之中。飞行员抱怨说，他们感觉到了缺氧反应（供氧不足）。2010年一架F-22坠毁，导致飞行员死亡。空军调查委员会参与了此次事件的调查，两年后，即2012年他们发布了一份报告，把事故归咎于飞行员的差错：“由于注意力局限，可见扫描故障和识别空间定向障碍。飞行员没有识别和及时启动俯冲减速板。”

2013年，美国国防部监察长办公室重新审阅了空军调查委员会的报告，不同意这个结果。在我看来，这时应当进行根本原因分析。监察长讯问道：“为什么突然丧失民事行为能力或者无意识没有被认为是影响因素。”不出所料，空军不同意这样的批评。他们认为自己做了彻底的审查，他们的结论“有明确的和令人信服的证据支持”，他们唯一的过错是“没有更加清楚地书写报告”。

如此调侃这两份报告，也没有什么不妥：

空军：这是飞行员的差错，飞行员未能采取正确的行动。

监察长：那是因为飞行员可能是无意识的。

空军：所以你也同意，飞行员没有纠正问题。

五个为什么

根本原因分析的目的是确定事故背后隐含的深层原因，而不是直接原因（浅层的原因）。日本长期以来遵循一定的流程探究问题的根源，他们叫这个步骤“五个为什么”，由丰田佐吉（Sakichi Toyoda）最早提出来，为了提高质量丰田汽车公司将“五个为什么”作为丰田生产系统的一部分。现今，它已经被广泛应用于各行各业。基本上，它意味着在寻找原因时，即使你已经找到了一个，不要停下来，要问问为什么是这个原因。然后再一次询问为什么，继续问，直到你发现真正的、隐藏的原因。难道要正好询问五次吗？不一定，但使用“五个为什么”步骤，强调即使已经找到一个原因，还要继续深入探究。考虑一下，如何在F-22的事故分析中运用这个方法：

五个为什么

这个例子用五个为什么只做了部分的分析。例如，我们需要知道飞机为什么处于俯冲状态（调查报告解释了这个，但太过于技术层面的分析，并未深入到原因探究。同样，我只想说，俯冲可能同缺氧相关）。

“五个为什么”并不能保证成功。多问几个“为什么”，答案可能是模糊的，不同的研究者可能会得到不同的答案。但有一个倾向，如果调查员已达到认知的极限，询问会过早地停下来。“五个为什么”还倾向于为事件寻找唯一的原因，但现实中很多复杂的事件有多重复杂因素。尽管如此，它仍然是很有效的方法。

普遍存在