壳牌老员工 30 年的安全反思

转载。张劲长

他叫 Tony Gower-Jones。他曾在壳牌工作 27 年，既做过化工，也做过油气；后来在英国铁路、能源企业担任高管；如今是 Tripod 基金会董事会成员。2025 年 12 月，他在德国亚琛过程安全会议上，系统回顾了整个行业几十年来“从事故中学习”的演进过程，以及我们仍然没有学会的那些东西。

这场演讲，没有新名词轰炸，也没有空洞口号，所有内容都来自真实事故和真实教训。

一、行业并不是原地踏步，我们已经走了很远

如果把时间拨回到上世纪七八十年代，工业事故的密度令人震惊。短短十几年间，全球先后经历了弗利克斯堡、塞维索、博帕尔、挑战者号、切尔诺贝利、派珀·阿尔法等一系列世界级灾难性事故。平均不到两年，就会发生一起重大事故。

Tony 直言不讳地说：那个时代的工业，本质上是不安全的。但也正是这些事故，逼着行业开始真正反思“安全到底该怎么做”。

二、20 世纪 80 年代，真正的转折点出现了

在一连串惨痛教训之后，行业逐渐意识到，仅靠规章制度和个人经验是远远不够的。于是，一整套今天我们已经非常熟悉的概念开始出现：1、安全管理体系，2、安全案例，3、风险导向、而非纯规则导向的管理方式。

核心只有三个问题：会出什么问题？我们靠什么控制？如何确保这些控制始终有效？这是一次根本性的变化，安全，开始从“照章办事”，走向“系统思考”。

三、早期的安全案例，并没有真正被“用起来”

Tony 也非常坦率地指出，最早一代安全案例本身存在明显问题：1、分析极其详细，却异常复杂；2、专业术语密集；3、以文字为主，缺乏直观表达；4、很多现场人员根本看不懂。在不少工厂里，这些厚厚的文件甚至只是被拿来顶住防火门。文件是有了，但安全并没有因此自动发生。

四、一个关键共识：问题不在“人不行”

真正改变行业安全理念的，是壳牌在 20 世纪 80 年代末、90 年代初的一系列研究。这些研究得出了几个非常重要、也非常“反直觉”的结论：

1、大多数员工都是好人；

2、如果他们出错，往往是环境促成的；

3、事故前置条件，早在屏障失效之前就已经存在；

4、事故不是瞬间发生的，而是一步步累积的结果；

正是在这样的认识下，蝴蝶结模型 和 Tripod 屏障模型逐渐成形。事故不再被简单理解为“某个人犯了错”，而是一个完整的因果链条：危险 → 屏障 → 失效 → 事件 → 后果

五、到了 90 年代中期，问题反而变得更尖锐

到 90 年代中期，油气行业已经做到了很多事情，风险是清楚的，控制措施是明确的，安全案例已经写完，该做什么，文件里也都写得很清楚。但严重事故和死亡事故，仍然在发生。

Tony 抛出了一个当时并不讨喜的问题：也许，工程师并不是什么都懂。真正的挑战，已经不在技术，而在于如何创造一个环境，让人“下意识地做正确的事”。

六、安全开始走向“人”和“文化”

1996 年到 2004 年，壳牌与合作伙伴开发了后来广泛传播的Hearts and Minds（心与行）工具包。这个工具包背后的理念非常清晰：1、事故成因是多因素叠加的；2、没有一种方法能解决所有问题；3、不同问题，需要不同干预；4、干预必须基于扎实研究；5、普通管理者也能使用；6、能在不同文化背景下落地。

从这一阶段开始，安全真正进入了行为、文化和管理环境的层面。

七、生命守护规则：把注意力放在最关键的屏障上

2005到2010 年，壳牌系统回顾了近 20 年的致命事故，并用 Tripod 方法进行分析。结论非常明确：1、约8个核心屏障，涉及了40% 的致命事故；2、扩展到18个屏障，可覆盖约 75%；3、由此形成了后来的生命守护规则（Life-Saving Rules）。

结果同样清晰：壳牌的致命事故下降了约 70%；行业数据显示，如果这些规则被完全有效执行，全球 70% 以上的致命事故是可以避免的。

八、事故调查在进化，但管理层关注的仍是“结果”

2014 年之后，事故学习方法持续演进，从事故学习指南到调查洞察指南，以及Tripod 事故分析法。调查开始更多关注于：“设想中的工作”与“真实发生的工作”，组织因素如何影响个人行为，重复违规背后的系统原因。

但 Tony 提出了一个非常现实的问题：为什么我们的高层会议，依然只在讨论伤害率？

九、伤害率，并不等于安全水平

Tony 用大量实例说明：1、在工时巨大的系统中，伤害率本身具有很强的随机性；2、同一套数据，刷新一次就可能得到不同结论；3、管理层往往只关注“数字是否好看”。

他引用了早在上世纪就被提出的警告：被衡量的东西，才会被管理---即便这种衡量本身毫无意义，甚至会伤害组织的真正目标。

十、真正值得讨论的，是屏障是否可靠

Tony 给出的方向非常明确。真正有价值的安全对话，不应围绕排名和伤害率以及对外指标，而应聚焦于：关键屏障是否可靠；安全关键活动是否真正完成；管理层行为是否支持安全；组织决策是否在制造风险前置条件---“我们在做管理决策的时候，是不是在不知不觉中，把现场一步步推向更容易出事的状态？”

安全不是一个数字，而是一种持续对话的能力---安全不取决于报表有多好看，而取决于一个组织，能不能长期、真实、反复地讨论风险，并据此不断调整自己的做法。

十一、留给整个行业的挑战：改变高层的安全对话方式

在演讲最后，Tony 向行业提出了一个直接而严肃的挑战：

1、董事会上的安全讨论，应该是什么样？

2、CEO、CFO 面对投资人时，应该如何谈安全？

3、股东大会上的安全信息，是否真实反映风险？

如果我们真的理解事故的因果链，就应该用它来设计新的指标，引导更好的对话，而不是粉饰结果。

写在最后

Tony 并没有否定行业过去几十年的努力。恰恰相反，他明确强调：我们在人员安全和过程安全上，都取得了巨大的进步，这是几代安全从业者共同努力的成果，这些成就，值得被认真肯定。

但如果我们停留在“成绩单”，而不继续改进学习方式和对话方式。事故一定会以新的形式重新出现。

在 2025 年的最后一天，也许最重要的不是总结“做了多少”，而是认真问一句：我们，真的学会从事故中学习了吗？