為什麼討論安全,需要討論人為因素?
回顧飛航安全成熟的歷史中,我們知道1970年代是重要的轉捩時刻:原本認為「機械解釋了飛航意外」的觀點,發生了兩架747於Tenerife的同一條跑道相撞的重大飛安事故。由於這不是任何一個機械因素所能解釋,使得管理安全人員關心的焦點,迅速轉向探究人為因素,並發展能夠管理人為因素的方式。人為因素是個跨學科的學門,關心作業環境中與人相關的議題,由人因工程學、人體生理學、認知心理學等等綜整而成。但無論如何,最後產生最後一個行為而導致意外事件發生的還是人,因此人為因素特別關心的,其實是人的不安全行為。
到底人為因素有多重要,使得在討論安全的時候幾乎不可忽略人為因素,和人所產生的不安全行為?一項研究分析了台灣空軍共523項意外事件,統計出了1762個人為因素;其中包含725個不安全行為,佔全部人為因素的41.1%。其中,技術操作錯誤為226次(43.2%)、決策判斷錯誤為223次 (42.6%)、知覺錯誤為116次(22.2%)、違規錯誤160次(30.6%)(徐華君等人,2010)。據此可知,單純以725個不安全行為發生在523次意外事件的比例估計,每一個意外事件大概會包含1.3個不安全行為,並且操作技術、決策判斷為主要的不安全行為。這顯示人為因素的不安全行為是重要的危害因子,要控制安全,就得要對人為因為和不安全行為有適當的管理。
人為因素的定義
由於人為因素是一個跨學科的學門,較可能因學者和手冊的不同而有定義的差異。我們先舉ICAO 9859安全管理手冊的文件怎麼處理人為因素的問題看起:
Human factors is about: understanding the ways in which people interact with the world, their capabilities and limitations, and influencing human activity to improve the way people do their work. (ICAO 9859 Safety Management Manual, 4ed)
在張有恆(2016)的飛航安全管理裡面,也另外列舉了來自FAA的定義,我們也可以參考看看:
Human Factor is a multi-disciplinary effort to generate and compile information about human capabilities and limitations and apply that information to equipments, systems, facilities, procedures, jobs, environments, training and personnel management for safe, comfortable and effective human performance.
除了確認這是一個跨學科的學門之外,在以上兩個定義之中,你可以觀察到人為因素關心的議題,至少包含兩個重點:
- 人與世界如何互動。人在與外在世界互動的過程中,這個介面如何運作。
- 人本身的能力和限制。因此,有的人為因素的課程不會叫做Human Factor,而是叫做「人的表現及其限制」(Human Performance & Limitation)。
這兩個核心關心的焦點,確認了人為因素的探討範圍。為了能夠理解「人如何與世界互動」,並進一步對焦這些人為因素來進行控制、減少人為因素,SHELL MODEL就是一個嘗試處理這個問題的分析架構。
SHELL MODEL

SHELL MODEL在1970年代左右被發展出來,目的在理解「人如何與他的世界互動」。由於是「人」如何與「世界」互動,因此這個組合就有幾個顯著的特徵:
- 「人」在世界的中心,所以中間的L指的是Liveware的意思,指的是核心關心的人。
- 在SHELL MODEL中,「世界」的組成內涵是:硬體(Hardware, H)、軟體(Software, S)、環境(Enviornment, E)以及其他人(Liveware, L)。
若關心的對象是操縱航機的駕艙組員,則SHELL MODEL中上面關於「世界」的這四個面項,放在航空的情境中舉例像是:
- 硬體(H):例如,航機的硬體。有近地系統(Ground Proximity Warning System, GPWS)和沒有安裝GPWS的航機,來自硬體能夠協助及警示駕艙組員的能力就不相同。沒有安裝的飛機,可能相當仰賴駕艙組員目視警覺與地障隔離是否充分,有安裝的則有系統給予提示。
- 軟體(S):例如,航機的軟體政策。在天氣不好的時候,飛機可以執行進場,但如果不符合穩定進場的條件要進行重飛,可以重飛幾次?這是程序問題。
- 環境(E):例如,惡劣天候。颱風、側風、火山灰、低能見度操作的條件處理方式,和一般正常天氣良好、目視天氣的條件,人在處理環境的方式肯定不同。
- 其他人(L):例如,另外一個駕艙組員、航管、空服等等其他作業人員。駕艙組員和航管合作方式,也可能因為不同人互動的溝通方式、溝通誤解,而造成不同種類的結果。
SHELL MODEL重點是互動介面
乍看SHELL MODEL,會覺得好像在說廢話:區辨出人在世界中的樣子,不就是我們每天的日常嗎?似乎並沒有什麼神奇的地方。但回頭看SHELL MODEL的圖,「人」和「互動的世界」中間有一個微小卻是SHELL MODEL的關鍵:他的交接處不是直線,是曲線。也就是說,真正重要的是介面。
介面的意思是什麼?是「因為世界的…狀況」所以「人怎麼受到影響」的意思。比如說:
- 因為在颱風天起飛,組員時時刻刻注意天氣預報是否符合標準,用掉了許多注意力資源,導致忽略確認是否在正確的跑道上。
- 因為日本空域航管的日式英文口音,導致組員聽英文反覆聽不懂,又不好意思說聽不懂,造成溝通上的困擾。
- 因為航機的機載裝備損壞,導致不符合進入RVSM空域的條件,組員需要重新選擇可以使用的高度。
在SHELL MODEL的分析中,不能只是指認出世界(硬體、軟體、環境與其他人)的「特徵」,而是這個「特徵」如何與人互動。如果記不得這件事情,只要記得SHELL MODEL在人與其他互動的時候是「曲線」:我們要說明清楚這個「曲線」是什麼意思。
為什麼SHELL MODEL不常拿來管理安全?
既然SHELL MODEL這麼完整的分析了人與世界互動的方式,我們應該可以預期,人為因素風險就可以被全部都辨認出來,並且採取相對應的管理方式。但答案可能要讓大家失望:SHELL MODEL現在看起來比較像是個「教學使用的模型」,在人為因素課程中向同仁表示可能的影響來源,但不太像是目前管理安全所使用的可操作方案。
為什麼呢?我自己經驗的原因如下
- SHELL MODEL分析,經常都是事後的能夠說的出來,但事前說不出來怎麼一回事。比如說,颱風天風很大、天氣很糟,環境很挑戰,這是已知。但我要如何從因為知道天氣很糟,就知道說飛機可能會在不正確的跑道上,甚至因為天氣的壓力導致組員忽視在不正確的跑道的提示,而從這個地方起飛?事前是沒辦法說清楚的。
- 好吧,就算SHELL MODEL事後說的出來,他也可以變成一種統計的指標吧?只要統計S、H、E和L出現的次數,就知道哪種是比較大的問題。這個說法合理,但真正的問題是分類方法太粗糙了。環境有這麼多種環境、硬體也有這麼多種不同的硬體、軟體也有這麼多種軟體,全部加一加當成是同一種也不太合理。並且,如果重點是介面,這每一種狀況人與世界互動的介面都不相同,相加弄成同一種就更奇怪。因此,直接用SHELL MODEL進行統計來進行安全管理,目前是沒有看過有公司採取這樣的做法。
- 更麻煩的是,SHELL MODEL說不出錯誤的發生,最後一刀是怎麼桶下去的。比如說,未預期狀況下施放逃生滑梯,前一個人操作機艙門的時候沒有正確切換模式(ARM切換成DISARM),在SHELL MODEL中這是他人L的原因。但這沒有解釋「人」是怎麼「沒看到指示燈號、沒有正確的心智模型」導致同仁執行最後一個錯誤的行為—SHELL MODEL沒有能力處理這個問題。
也因此,如果真的要對人為因素進行管理,單靠SHELL MODEL模型是無法解決的。而追根究柢,這其實是人為因素的分類問題。因此,我們需要尋找一些其他的模式。
人為因素中的不安全行為:根據心理歷程的分類
人為因素的不安全行為分類,一直是一個非常困擾的問題。在還沒有HFACS等分類工具之前,人為因素的不安全行為分類,絕大多數是現象上的分類。例如:
- A走路滑手機,導致未注意前方路況,而撞到電線竿。這個行為人走路未注意到前方物體,很可能被認為是疏忽未注意。
- B開車滑手機,導致未注意前方路況,而撞到人。這個現象上跟前一個一樣,都是滑手機撞到,唯一差別只是撞到電線竿還是撞到人的差別,而這不影響,應該也被認為是疏忽未注意。
如果完全按照純現象上的分類,我們會覺得這兩件是同一種人為因素的不安全行為。但當我們這樣做,很快就會有一些人提出不同見解:
依道路交通管理處罰條例第31之1條規定,汽車駕駛人於行駛道路時,以手持方式使用行動電話、電腦或其他相類功能裝置進行撥接、通話、數據通訊或其他有礙駕駛安全之行為者,處新臺幣三千元罰鍰。也因此,這可能違反相關規則。駕駛人已經通過國家駕照的檢定並取得駕照,沒有道理不知道開車不能滑手機。因此,這算是明知故犯,在人為因素中的不安全行為應該歸類為故意違反。
你會發現這裡有一個關鍵問題:
我們怎麼知道「駕駛人知不知道開車不能滑手機?」
沒錯,我們不知道。這裡就是人為因素不安全行為分類的困難:不清楚當事人心理歷程的實際狀態,就不可能做好不安全行為的分類。在這個例子裡:
- A和B兩位駕駛人都有可能同時需要分配注意力資源在走路看路/開車看路和使用手機兩件事情上,因此是一個肇因於注意力的失誤。
- 但同時,若B是已知駕駛人開車不能滑手機的規定卻仍執行,這是一個違規的意圖性偏離。但他如果不知道,是技能不充分卻仍然上路的三寶,這是訓練和技能不足的問題。那到底B是哪一個?這個是需要問了他本人、他本人基於誠實善良告訴調查人員,我們才會知道。
因此,對人為因素的不安全行為進行分類,需要根據心理歷程的根本原因來進行。分類的重點在釐清是哪一個心理歷程錯誤,導致了最後的不安全行為發生。之後,我們再根據不同的心理歷程錯誤,來發展不同的風險緩解措施,並透過有效測量來觀測變化、評估介入是否有效。
根據心理歷程根本原因,不安全行為大概可分為失誤(Slip)、疏忽(Lapse)、知覺偏誤(Perception Error)、錯誤(Mistake)和違規(Violation)五種,並由HFACS的四種不同分類:技能、知覺、決策、不符合來加以測量。最後,則是對應到不同分類的風險緩解措施。下圖是我們對不安全行為分類的結果。

人為因素分析與分類系統(HFACS)
由上面的分析,我們可以有一些小結論:
- 人為因素的「不安全行為」是直接導致結果發生的行動。而不安全行為的分類,應該考慮心理歷程的根本原因。
- SHELL MODEL說明了「人為因素」有軟體、硬體、環境、其他人等各種與人的介面,這些介面都會對人產生影響。
由於人為因素分析的分類方法非常多種,但是要同時考慮前兩者,目前最優先推薦的是是「人為因素分析與分類系統」(Human Factors Analysis and Classification System, HFACS; Shappell & Wiegmann, 2003)的分析架構。人為因素分析與分類系統(因為這字太多了,以下我們全部都簡稱HFACS)是一個相對較大型的人為因素分析工具和分類系統,我們接下來要細部介紹這個模式怎麼運行。
奠基於Reason’s Model的HFACS模型

HFACS是一個奠基在Reason’s Model(俗稱起士理論)的人為因素分類模型。Reason’s Model是這樣說的:
不會有單一的成因就導致意外事件的發生,一定是一連串的防禦都失效,才最後導致了意外事件的發生。
這個想法被HFACS所引用,認為就算有最後一個直接導致意外事件的不安全行為,前面一定也有一連串與人相關的防禦行為失效。因此,HFACS的價值在於將人為因素分層次,並且對不同層次及分類的內涵有了明確的定義。
這也是為什麼我們選擇HFACS的原因:雖然人為因素的分類方式有很多種,但Shappell & Wiegmann(2003)的HFACS,將人為因素分成不安全行為、前置狀況、不安全督導、組織影響四個層次;當所有層次都無法阻絕風險穿過時,意外就會發生。這個多層次的人為因素分析架構,有助於我們用系統化的方式確認人為因素的根本原因,並據此發展出針對不同層次的改善措施。
由上圖可知,在原生Shappell & Wiegmann(2003)的HFACS有四層:
- 第一層的顯性失效(Active Failure):不安全行為(Unsafe Acts)
- 第二層的隱性失效(Latent Failure):不安全行為的前置因子(Precondition for Unsafe Acts)
- 第三層的隱性失效(Latent Failure):不安全督導(Unsafe Supervision)
- 第四層的隱性失效(Latent Failure):和組織影響(Organizational Influence)
各自依實際需求改編HFACS:以NASAHFACS為例
HFACS提出之後是給我們一個大的觀念:人為因素分類,可以分層次變成立體的方式來分析,但分類內容並沒有被規定一定是如何。後續的學者及組織都陸續依各自的實際需求進行修改。一項根據43個HFACS出版的研究所進行的評估,發現有60%以上的HFACS都是各自修改後的模型(Hulme等人,2019)。由於我們是以介紹錯誤的根本原因為目的,容易理解是最主要的原則,因此這裡使用的是美國太空總署針對人為因素所自行改編的NASAHFACS並經過適度刪減來作為介紹,但與其他HFACS均大同小異。
如果把美國航太總署(NASA)所改編的NASAHFACS當作框架,這個版本有一些好處如下:
- NASAHFACS的手冊、快速參考均可至官方網站下載,屬於公開資訊。
- 相較於其他版本的HFACS,我們認為他有較清楚的定義說明,所屬子類別也較為明確。
- 相較於原生HFACS的用詞,NASAHFACS所使用的語詞較為中性。這也接續著NASA對於人為因素的看法:除了做的不好的部分,也有做的好的部分,屬於強項能力的部分也應該被標記和分類出來。
一個NASAHFACS的圖表像是如下。重要的是,因為目的只是在介紹心理歷程,故我們只挑主要想介紹的部分;這個經過挑選和刪減的內容,只適合用來當作學習心理歷程,不代表NASA的原意、也不代表NASA使用經刪減的方式來做分類評分。若欲研究應回到NASAHFACS的手冊。

關於NASA-HFACS的原版手冊,請參考NASA OSMA (Office of Safety and Mission Assurance,安全及任務保證辦公室)的人為因素頁面。
不安全行為分類
原來在HFACS稱作不安全行為(Unsafe Acts)的類別,NASAHFACS僅以行為(Acts)來命名。下面分別有四個大分類:決策(Decision-Making)、技能(Skill-Based)、知覺(Perception)及符合規定(Compliance)。在這裡,我們根據心理歷程前後調整了類別順序的安排,並大幅度刪減不會介紹到的分類,只留下常用的子分類。也因此,這個只挑選部分項目進行介紹的方式,無法符合NASAHFACS的原意,如果需要更多資訊,請務必回原頁面檢視原本指導手冊。
知覺(Perception)
從認知心理學的訊息處理觀點出發,人的訊息處理歷程就像是一台電腦,會先從鍵盤或是滑鼠這樣的輸入(Input)來源開始。知覺錯誤是輸入階段發生的錯誤,例如看錯、聽錯等,導致後續訊息處理的不正確。
編碼 | 內容 | 內涵 | 範例 |
AP101 | 錯誤知覺產生的錯誤(Error due to Misperception) | 發生在知覺(資訊輸入)階段的錯誤,如看錯、聽錯或產生幻覺等。 | 駕駛員對儀表板設計不熟悉,將左側發動機震動的指示讀成右側發動機的震動,進而將正常運作的發動機關閉。(1989年1月8日,英倫航空92號航班) |
技能(Skill-Based)
相較於知覺層次為訊息處理的輸入層次,技能的錯誤為輸出上的錯誤,為非意圖的狀況下產生了不想要的結果。一般來說,技能分類的核心成因為注意力的錯誤和記憶力的錯誤。職能不足、不知如何執行導致的技能錯誤亦屬於本分類,只是在隱性層次(Latent Failure)上有對應的分類需要評定,如不安全行為的前置因子的個人準備度問題、不完整督導的訓練問題、和組織層次的訓練手冊規範。
編碼 | 內容 | 內涵 | 範例 |
AS101 | 不經意動作(Inadvertent Operations) | 個人不具意圖狀況下,因不經意動作開啟或關閉了設備、開關或接觸到操縱面。個人可能未注意到這個動作。 | 組員於駕艙中不小心打翻咖啡,咖啡濺灑至無線電控制面板,使得面板開始發燙冒煙、干擾無線電通訊,最終轉降。(2019年2月6日,神鷹航空2116航班) |
AS102 | 檢查表/程序錯誤(Checklist / Procedural Error) | 個人因注意力或記憶的錯誤、或是職能無法,導致執行程序及檢查表過程中發生執行錯誤。 | |
-注意力的錯誤 | 肇因於注意力,通常是因為自動化歷程的錯誤,所發生的程序錯誤。 | 組員航行過程中要開駕艙門,在轉開門旋鈕時未經確認,轉到Rudder配平的鈕,導致航機180度翻轉。 (2011年9月6日,全日空140號班機) | |
-記憶的錯誤 | 肇因於記憶,通常是應做而未做,所發生的程序錯誤。 | 組員更換計劃中起飛跑道,將注意力專注在起飛數據計算,未使用檢查表,未將航機設定至起飛外型,航機系統亦未顯示異常,導致升力不足墜毀。(1987年8月16日,西北航空255航班) | |
-職能的錯誤 | 肇因於不充分訓練,使得個人職能無法因應程序需要,所導致的程序錯誤。 | 組員於進場階段遭遇失速,卻拉高航機仰角和收外型,使得空速更低,不符合失速改正程序。(2009年2月12日,科根航空3407航班) |
決策(Decision-Making)
決策錯誤的心理歷程,是個人未形成有效的心智模型、或形成了錯誤的心智模型,導致個人採取了錯誤的後續行為。以回答一個數學題舉例,這個有點像是不是看錯、不是計算錯誤,而是用錯誤的方式理解題目,導致最後計算方式符合當時自己心智模型期待,但答案卻是錯誤的。
編碼 | 內容 | 內涵 | 範例 |
AD101 | 採取不正確行動(Incorrect Action Executed) | 個人因錯誤的心智模型運作,錯誤的安排任務執行的優先順序,或是執行了錯誤的行動。 | 實際上是左側發動機異常導致的震動,卻因駕駛員將右側發動機關閉的同時解除了自動油門,使得左側發動機燃油輸入的減少,導致震動停止,讓駕駛員誤確認是右側發動機異常。(1989年1月8日,英倫航空92號航班) |
AD102 | 不適當的實時評估(Inadequate Real Time Assessment) | 個人對行動所產生的風險不適當的評估,導致不正確的決策及接續的不安全情境。 | 目的場站天氣不好,組員嘗試降落兩次均未能成功,依手冊規定除非有很好的理由,否則應予轉降至備降站。組員在考量油量後,仍然執行第三次進場,降落仍然未成功轉降至備降站,於航路中宣告低油量。(2018年7月8日,中華航空170號航班) |
AD103 | 忽視警示(Ignore a caution / warning) | 個人知覺且理解到警示,但被忽略。 | 通過Missed Approach Point之後航機,進入儀器天氣,組員無法目視跑道,下降率過大,組員仍意圖將飛機降落。組員一共忽略了17次EGPWS系統的”Sink Rate”和”Glideslope”聲音警告,最終飛機墜落在距離跑道數公里前的海面上。(2018年9月28日,紐幾內亞航空73號航班) |
符合規定(Compliance)
符合規定,在過去較常稱作違反規定(Violation),主要奠基在因明知規定但意圖不服從的心理歷程,所導致的不安全行為。因字詞本身可能就有貶抑意涵,可能導致受調查者的抗拒和不同意的感受,故在這裡可以看到NASA試圖使用較為中性字詞,以盡可能還原到意圖不服從心理歷程的努力。
編碼 | 內容 | 內涵 | 範例 |
AC101 | 常態性違規(Violation: Work Around, Widespread, Routine) | 個人系統性的執行偏離程序及規定,且這些偏離程序均未經過風險評估。通常這些偏離行為發生之後,都沒有紀律性或管理性的處置。 | 駕艙組員持續性不遵守標準作業程序,且均未有管理性的處置。(2014年7月23日,復興航空222航班;2015年2月4日,復興航空235航班) |
AC102 | 紀律性違規(Violation: Lack of Discipline) | 個人在沒有特殊原因或需求之下違反規定。通常是很少見的違規,且發生在特定人員而非群體。沒有證據支持這些違規是被指示或授權執行。 | 發生事故後,在組員的組織中檢驗出酒精殘留,推估組員在執勤期間受到酒精影響。(2008年9月14日,北俄羅斯航空821航班) |
由於不同的錯誤類型都有其根本的心理歷程,我們的目的是在確認發生錯誤的根本心理歷程的原因,並且增加對於這一類錯誤的認識。後面的章節將依序介紹肇因於注意力和記憶、心智模型錯誤、以及無法符合規定的可能原因。
結論
航機操作、機務維修、空服、運務到簽派,只要有人在作業環境中,人為因素的不安全行為都可能發生。為了能夠讓同仁理解人會犯錯在整個作業中的重要影響,IOSA等航空公司的檢查規範,要求人員於其訓練中必需包含人為因素的相關訓練。但人為因素不只是一個「知識」型的學科,而是一個「姿勢」型的學科:學員在個人生活中經驗中反思人為因素,才能對人身而容易犯錯的可能性保持謙卑,並提醒自己小心謹慎。這也是我們的目的:人為因素的訓練,知識不是很重要,體會過犯錯並從中學習,最終才能實際形成改變。
參考資料
徐華君、李倫文、許悅玲、李文進(2010)。〈應用「人為因素分析與歸類系統」與「飛安自願報告」分析空軍運輸機隊潛在飛行風險〉。《危機管理學刊》,7(2),59-68。
Wiegmann, D. A. & Shappell, S. A. (2003). A Human Error Approach to Aviation Accident Analysis: The Human Factors Analysis and Classification System. Ashgate.
Hulme, A., Stanton, N. A., Walker, G. H., Waterson, P., Salmon, P. M. (2019). Accident analysis in practice: A review of Human Factors Analysis and Classification System (HFACS) applications in the peer reviewed academic literature. In Human Factors and Ergonomics Society 2019 Annual Meeting
NASA OSMA: https://sma.nasa.gov/sma-disciplines/human-factors