LESSON 018 · SAFETY TRIANGLE
海因里希法则
Heinrich's Law · 一场重伤背后,藏着三百次没出事的侥幸
- 提出者
- 赫伯特·海因里希
- 年份
- 1931
- 领域
- 工业安全 · 事故预防
- 核心比例
- 1 : 29 : 300
一
缘起 · 一个保险公司工程师的统计
ORIGIN
1920 年代的美国工厂,是机器轰鸣、断指截肢稀松平常的地方。赫伯特·威廉·海因里希(Herbert William Heinrich,1886–1962)当时在旅行者保险公司(Travelers Insurance)的工程与检查部门做副经理。他的工作,是替保险公司核算工伤理赔——而要核算,就得弄清楚事故到底是怎么发生的。
海因里希翻阅了公司经手的数万份工伤报告(他自称约 75,000 份),想从一堆零散的惨剧里找出规律。他发现一件反直觉的事:那些酿成重伤、致残、死亡的事故,并不是孤立的天灾;在每一起严重事故的背后,都堆着大量没造成伤害、或只造成轻微伤害的同类事件。冰山露出水面的尖角下面,是庞大的水下部分。
1931 年,他把这些观察写成《工业事故预防:一种科学的方法》(Industrial Accident Prevention: A Scientific Approach)。书里抛出那个后来传遍全世界的比例:1 : 29 : 300——每发生 1 起重伤事故,背后约有 29 起轻伤事故,和 300 起没有造成任何伤害的"惊险一瞬"(near miss,未遂事故)。这就是"海因里希金字塔"(也叫安全三角形)。
海因里希的野心不止于此。他还提出了"事故因果连锁"理论——把事故的发生比作一排多米诺骨牌:只要抽掉中间那一张,整条倒塌链就会停下。这个隐喻,连同那个三角形,奠定了二十世纪工业安全学的基本框架。
二
原典
THE PRIMARY TEXT
HEINRICH · 1931
在一个工种、一类事故里,平均而言:每 1 起造成重大伤害的事故,会伴随 29 起造成轻微伤害的事故,以及 300 起没有造成伤害的事故。
伤害只是事故的偶然结果;同一种不安全行为或不安全状态,反复上演,大多数时候侥幸无事,少数时候轻伤,极少数时候酿成大祸。预防的关键,不在于盯住那 1 起重伤,而在于消除制造出 300 起隐患的那个根源。
——《工业事故预防:一种科学的方法》(McGraw-Hill, 1931)
海因里希进一步用"多米诺骨牌"描述事故的因果链,依次为:① 社会环境与遗传背景 → ② 个人的过失 → ③ 不安全行为或不安全状态 → ④ 事故 → ⑤ 伤害。五张牌依次相撞,最终才砸出伤害。他主张:第三张牌(不安全行为/状态)是最可控的一张,抽掉它,链条就断了。也正是在这里,他给出了那个同样著名、也同样备受争议的论断——约 88% 的事故,源于人的不安全行为。
三
释义 · 大事故是小侥幸喂大的
PLAIN MEANING
剥去工业术语,海因里希法则说的是一件人人都懂、却人人都侥幸忽视的事:严重的事故几乎从不"突然"发生,它是被无数次"这次没事"喂养大的。
想象一个总在抢黄灯、变道不打灯的司机。今天没事,明天没事,连着三百天没事——他会越来越确信自己车技好。可这三百次"没事",不是安全的证明,而是三百次掷骰子都没掷到那一面。骰子的概率没变,迟早有一天,前方会窜出一个行人。那一次重大车祸,不是运气突然变坏,而是侥幸的账,一次性结清。
所以三角形真正的启示是:底座(300 起未遂)和塔尖(1 起重伤)是同一根源的不同结果。你看不见塔尖什么时候冒出来,但你看得见底座在不在变宽。聪明的安全管理,是盯住底座,而不是等塔尖——在轮胎打滑、差点撞上的那一刻就警觉,而不是等真撞了才后悔。
"每一次'好险,差点出事',都不是一次幸免,而是一次免费的警告。海因里希法则的全部价值,就是教你把这些免费警告当回事——因为它们是你能拿到的、关于那场尚未发生的灾难的唯一情报。"
四
后人之论
LATER INTERPRETATIONS
五
案例 · 塔尖与底座
CASE STUDIES
CASE 01
旅行者保险的七万份报告
1931
海因里希法则的起点,就是一堆冷冰冰的理赔卷宗。海因里希从约 75,000 份工伤档案中归纳出 1 : 29 : 300,并据此向工厂主疾呼:与其在重伤发生后赔钱,不如在 300 次未遂里就动手。
这是"用数据讲安全"的开端。无论后来比例如何被修正,"严重事故有大量先兆"这个核心直觉,从此进入工业管理的常识。
CASE 02
杜邦的安全文化
20 世纪中后期
化工巨头杜邦(DuPont)以严苛的安全文化闻名,奉行"一切事故皆可预防"。它把海因里希的逻辑制度化:要求员工上报每一次未遂事件与隐患,哪怕只是地上一滩水、一根没收好的电线,都要登记追踪。
让"虚惊"被看见、被记录,正是把金字塔底座变成可管理对象。杜邦的工伤率长期远低于行业,靠的不是运气,而是不放过任何一次免费警告。
CASE 03
挑战者号与"偏差的正常化"
1986
美国挑战者号航天飞机升空 73 秒后爆炸,七名宇航员遇难。事后查明,问题出在固体火箭助推器的 O 形密封圈在低温下失效。而真正令人扼腕的是:此前多次发射,工程师早已发现密封圈被烧蚀的痕迹——一次次的"还好没出事",被当成了"设计有余量"的证据。
社会学家黛安·沃恩称之为"偏差的正常化":每一次侥幸都把异常重新定义为正常,底座越垫越高,直到塔尖崩塌。这正是海因里希法则的反面教材——看见了先兆,却把它读反了。
CASE 04
BP 德州城炼油厂爆炸
2005
英国石油(BP)位于美国得州城的炼油厂发生爆炸,15 人死亡、180 余人受伤。讽刺的是,事发前该厂的个人工伤率(滑倒、割伤之类)一直很漂亮,管理层据此自信满满。
事后调查(贝克报告)点破了致命混淆:"人身安全"指标好,不等于"过程安全"风险低。割伤手指的频率,和整座装置爆炸的概率,是两套互不相干的系统。盯着金字塔底座的擦伤,完全没看见塔尖的工艺隐患——这正是马努埃尔批评的现实版。
CASE 05
航空业的"海恩法则"
当代
在中文航空与高铁安全语境里,常引用一句"海恩法则":每一起严重事故的背后,必有 29 次轻微事故、300 起未遂先兆和上千起事故隐患。它其实是海因里希金字塔的变体与本土化表达,被广泛用于民航、铁路、核电的安全教育。
现代航空安全体系正是这套逻辑的极致实践:建立强制的未遂事件上报与免责机制,鼓励机组主动报告"差点出事",把每一次虚惊都变成全行业的学习样本。这也是民航成为最安全交通方式的底层原因之一。
六
反例与限制
CRITIQUE & LIMITS
海因里希法则是安全管理的"圣经",但当代安全科学对它的修正甚至否定,同样深刻。把它当口号背诵,不如把下面几条争议看清:
① 1 : 29 : 300 不是普世常数这组数字来自 1920 年代特定行业、特定工种的统计,不同行业、不同事故类型的真实比例千差万别(伯德测得的就是 1 : 10 : 30 : 600)。把它当成放之四海皆准的精确公式,是误用。它表达的是"金字塔形状",不是"金字塔尺寸"。
② 原始数据无从复核海因里希那 75,000 份档案和"88% 源于人"的算法,从未完整公开,原件早已散佚。一个被奉为定律的数字,其经验基础却近乎一个黑箱——这是马努埃尔等人最尖锐的质疑。
③ 小事故与大事故未必同因这是最致命的一条。法则暗含"减少 300 起小隐患,就能防住那 1 起大事故",但现代研究(如安德鲁·霍普金斯对 BP 的分析)表明:导致擦伤滑倒的原因,和导致爆炸坍塌的原因,常常是两回事。专注消除高频小事故,可能给人虚假的安全感,却对低频巨灾毫无防御。过程安全 ≠ 人身安全。
④ "归咎于人"掩盖了系统之责那句"88% 是人的不安全行为",把事故责任推给一线工人,替管理失误、设计缺陷、监管缺位开脱。瑞森的瑞士奶酪模型正是对此的反动:多数灾难的根,埋在组织的潜在条件里,而非某个工人的一时大意。
⑤ 紧盯底座,可能忽视"黑天鹅"金字塔假设灾难总有大量同质先兆。但有些巨灾是没有先兆、或先兆完全不同的极端事件——它们不在那 300 起未遂的统计分布里。把全部精力投向减少常见隐患,反而可能对真正的低频高危风险视而不见。
所以使用海因里希法则的正确姿势是:用它的"重视先兆、善待虚惊"之神,弃它的"精确比例、归咎于人"之形。它最值钱的一句话不是"1 : 29 : 300",而是"别等塔尖崩了才回头看底座"——但你也要记得,有些塔尖,底座里根本没写过预告。
七
相关理论网络
CONNECTIONS
瑞士奶酪模型
Swiss Cheese Model · Reason
⟶ 修正升级
从"怪个人"转向"查系统"。海因里希盯不安全行为,瑞森盯组织防护层上排成一线的漏洞。
偏差的正常化
Normalization of Deviance · Vaughan
⟷ 反面机制
每次侥幸都把异常重定义为正常,底座越垫越高。它解释了"先兆为何被无视",是金字塔的暗面。
黑天鹅
Black Swan · №004
⟹ 边界互补
海因里希管的是"有大量先兆"的灾难;黑天鹅管的是"无先兆"的极端事件。两者划清了风险的两个世界。
古德哈特定律
Goodhart's Law · №005
⟸ 误用警示
把"工伤率"设成考核指标,就会有人粉饰底座数据,让金字塔好看,而真实风险照旧——BP 的教训。
帕累托法则
Pareto Principle · №016
∥ 分布同构
少数根源制造多数事件。找到那个反复制造 300 起隐患的"关键少数"原因,撬动整座金字塔。
破窗理论
Broken Windows Theory
⟷ 隐喻呼应
一扇没修的破窗会招来更多破坏。小隐患不治会累积放大——与"小事故是大事故温床"同一直觉。
墨菲定律
Murphy's Law
⟺ 风险心态
"会出错的终将出错"。海因里希给墨菲定律装上了概率与预防的引擎:错误迟早结清,故须提前拆链。
高可靠性组织
High Reliability Organizations
⟶ 实践延伸
核电、航母、民航等"零容错"组织的核心做法之一,正是对微小异常的极度敏感——金字塔思维的现代化身。
八
致用
APPLICATION
海因里希法则不只属于工厂——任何"灾难有先兆"的领域,都能借它一双眼睛。
安全与运维
建立未遂事件上报机制,并配套免责文化——让人敢报"差点出事"。被记录的虚惊越多,越说明系统在主动暴露隐患,而非掩盖。沉默的安全记录,往往最危险。
区分两种风险
牢记 BP 的教训:"小事故少"不等于"大灾难不会来"。把"高频低危"(擦伤滑倒)与"低频高危"(爆炸坍塌、数据泄露、资金链断裂)分开管理,别用前者的好看数字麻痹自己。
质量与产品
每一次客户投诉、每一个被及时拦下的 Bug、每一次"差点上线的事故",都是金字塔底座的信号。把缺陷与未遂当情报收集,而不是当尴尬掩盖,才能在塔尖崩塌前修补。
个人与健康
身体的小警报——反复的疲惫、偶尔的胸闷、那次"差点没刹住"的车——都是免费警告。别用"这次没事"安慰自己,那只是骰子还没掷到那一面。把小信号当真,是对未来的自己最划算的投资。
别只盯人
出了事先问"谁错了",是海因里希留下的坏习惯;先问"这套系统为什么允许这个错发生",才是瑞森教的对的姿势。惩罚个人能平息一时,修补系统才能防住下一次。
九
反观三问
THREE QUESTIONS
我最近一次"好险,差点出事"是什么时候?我是把它当成了一次幸免,还是一次免费的警告?
我所依赖的"安全感",是因为真的没有风险,还是仅仅因为那张骰子还没掷到出事的那一面?
当问题发生时,我的第一反应是找一个人来怪罪,还是去查那套让错误得以发生的系统?
十
延伸阅读
FURTHER READING
-
H. W. Heinrich《Industrial Accident Prevention: A Scientific Approach》
McGraw-Hill, 1931 — 海因里希法则与多米诺骨牌理论的原始出处
-
Frank E. Bird & George Germain《Practical Loss Control Leadership》
DNV / ILCI, 1985 — 伯德 175 万起事故研究与新版安全金字塔
-
James Reason《Managing the Risks of Organizational Accidents》
Ashgate, 1997 — 瑞士奶酪模型,从"人为失误"到"组织事故"的转向
-
Fred A. Manuele《Reviewing Heinrich: Dislodging Two Myths From the Practice of Safety》
Professional Safety, 2011 — 对 1:29:300 与"88%源于人"最有力的批评
-
Diane Vaughan《The Challenger Launch Decision》
University of Chicago Press, 1996 — "偏差的正常化",先兆为何被系统性无视
-
维基百科:Heinrich's law / Accident pyramid
en.wikipedia.org/wiki/Heinrich's_law — 含比例演变与现代争议综述
美国安全工程师弗兰克·伯德(Frank E. Bird Jr.)认为海因里希的数据太老、样本太窄,于是做了一次大得多的研究:分析了北美保险公司约 175 万起事故报告,覆盖近 300 家企业。
他得出一个新的金字塔——1 起重伤 : 10 起轻伤 : 30 起财产损失事故 : 600 起未遂。比例与海因里希不同,但金字塔的形状一致:塔尖之下,永远垫着一层又一层的轻微事件与虚惊。伯德的"损失控制"理论,把海因里希的洞见做实、做大,成了现代企业安全管理的主流框架。
英国心理学家詹姆斯·瑞森提出"瑞士奶酪模型",是对海因里希"归咎于人"思路的根本修正。他认为:灾难极少是某个工人一时疏忽造成的,而是组织的多层防护(制度、设计、监管、培训)上各有漏洞——像几片奶酪的孔——偶然排成一条直线,灾难才得以穿过。
瑞森区分了"人为失误"与"潜在条件":前者是台前的不安全行为,后者是管理层埋下的系统隐患。海因里希盯住第三张骨牌(人的行为),瑞森把目光拉回到谁摆好了这排骨牌——这是安全科学从"怪工人"转向"查系统"的分水岭。
美国安全专家弗雷德·马努埃尔(Fred Manuele)写了篇影响很大的批评文章《重审海因里希:从安全实践中剔除两个神话》,直指法则的两块软肋。
第一,那 88% 归咎于人的数据,从未公开、无从复核,海因里希的原始档案早已散佚。第二,也是最致命的一点——"减少小事故就能防止大事故"的假设并不成立:割伤手指与油罐爆炸,往往根本不是一个原因。盯着降低擦伤率,未必能挡住下一场灾难。这一批评,催生了"过程安全"与"人身安全"必须分开管理的现代共识。