玻尔百科想象一下，在一个雨夜，你的车在距离碰撞仅几英寸的地方停了下来。你心跳加速，但安然无恙。虽然我们的本能是迅速忘记这样的时刻，但这些“侥幸脱险”正是安全科学家所称的近失。它们是免费的教训——无需付出任何代价便得到的严厉警告，掌握着预防未来灾难的关键。在像医疗保健这样的高风险环境中，理解并从这些事件中学习不仅是有益的，更是一项基本责任。然而，组织常常陷入只关注灾难性失败的陷阱，从而忽略了能够使其系统更具韧性的海量数据。
本文深入探讨这些事件的深远重要性。在第一章“原则与机制”中，我们将为安全事件建立清晰的词汇体系，探索解释失败如何发生的理论，并揭示为何近失是预防未来伤害的信息金矿。随后的“应用与跨学科联系”将展示这一强大概念如何在从医院床边到人工智能开发的各个领域付诸实践，阐明其在驾驭复杂性和风险方面的普遍重要性。
想象你正在一个雨夜开车。突然，前方的汽车猛踩刹车。你睁大眼睛，脚踩刹车踏板，轮胎发出刺耳的尖叫声，最终在距离对方汽车保险杠仅一英寸的地方停下。你心跳加速，但安然无恙。坏事没有发生。但真的什么都没发生吗？当然不是。一系列事件已经启动，本可能以撞车告终。但在最后一刻，你快速的反应——一次成功的防御——中断了它。这个令人心跳加速的“差一点”时刻，就是安全科学家所说的近失。这是一堂免费的课，一个严厉的警告，却无需付出扭曲的金属和伤害的代价。
在利害关系无限高的复杂医疗世界里，这些“免费的教训”不仅有趣，它们是一个能够学习、适应并变得更安全的系统的基石。要理解其深远的重要性，我们必须首先学会像安全科学家一样看世界，仔细区分所发生的各种事件。
当医院里出问题时，它很少是一个单一、简单的事件。它是一连串的事件，一个正在展开的故事。为了理解它，我们需要一个清晰的词汇体系。让我们思考几个每天在世界各地医院发生的场景。
首先，想象一个药品供应室。它杂乱无章，外观和名称相似的药物被并排存放在拥挤、标签不清的货架上。这个凌乱的房间本身并不是一个错误。还没有人做错任何事。它是一种不安全状态——一个等待发生的潜伏性危害，就像冬日路面上的一片黑冰。
现在，一位护士在压力之下去那个房间，拿错了药瓶。这个动作——选择了不正确的药物——是一个错误。它偏离了预期的治疗计划。错误已经发生，但它的故事还没结束。
当护士准备给药时，她用条形码扫描仪扫描了病人的腕带和药瓶。警报响起——不匹配！系统捕捉到了这个错误。护士停下来，拿来了正确的药物，病人从未接触到错误的药物。这整个序列，即一个错误发生但在造成伤害前被拦截，就是一个近失。
但如果没有条形码扫描仪呢？如果错误未被发现，错误的药物被给予，病人出现了严重的过敏反应，需要紧急干预呢？这个结果，即错误到达病人并造成伤害，就是一个不良事件。
我们可以让这些区分更加清晰。假设当一个事件到达病人时 ，如果被拦截则 。假设病人受到伤害时 ，没有伤害则 。
最具破坏性的不良事件的一个子集——那些导致死亡或严重、永久性伤害的事件——被称为哨兵事件。这些事件，比如手术海绵的意外滞留，是如此严重，以至于会触发强制性的、深入的调查。
这种分类不仅仅是学术上的吹毛求疵。它是学习的根本基础，因为它让我们看到近失和不良事件并非不同种类的现象。事实上，它们是兄弟，诞生于同一风险家族。
为什么会发生错误？一个常见且有严重缺陷的本能是归咎于犯下最后错误的人——拿错药瓶的护士，点错按钮的医生。这就是“坏苹果”理论。但安全科学向我们表明，这种观点几乎总是错误的。
心理学家James Reason提出了一个更强大的模型来理解失败。他将系统的防御想象成一系列叠在一起的瑞士奶酪片。每一片——一项政策、一项技术、一个培训项目、一个人检查另一个人的工作——都是一道旨在阻止危害的屏障。但每道屏障都有弱点，即“洞”。这些洞不是静止的；它们在不断地打开、关闭和移动。一个危害，就像一条失效轨迹，只有在能够穿过所有奶酪片上一组对齐的洞时，才能导致不良事件。
关键的洞见在于两种洞的区别。由一线人员——医疗的“尖峰端”——犯下的错误是主动失效。它们就像轨迹最后、可见的部分。但这些主动失效几乎总是由潜伏性条件塑造和引发的：这些是系统中由远离床边的设计师、管理者和领导者造成的隐藏弱点。令人困惑的药品包装、有缺陷的用户界面、长期的人员短缺、频繁触发以至于人们开始忽略的警报（“警报疲劳”）——这些就是奶酪片上的洞。它们是潜伏的病原体，是等待发生的事故。
在这个模型中，近失仅仅是失效轨迹被最后一片奶酪挡住的情况。最初的危害存在，潜伏性条件排列使其通过了几层，但最后一道防御坚守住了。这意味着一个近失和一个不良事件共享完全相同的根本原因——同一组潜伏性条件。唯一的区别是结果，而结果往往只取决于运气。
这把我们带到了所有安全科学中最优美和最反直觉的思想。如果近失和不良事件有相同的原因，我们应该研究哪一个来学习如何使我们的系统更安全？显而易见的答案似乎是不良事件——那些撞车、那些悲剧。它们引人注目，吸引我们的注意力，并要求我们做出回应。但这是一个陷阱，一个由结果偏见——我们倾向于根据最终结果来判断一个过程质量的好坏——所造成的认知错觉。
事实是，近失是学习的更强大、更可靠的来源。这有两个深层的原因。
首先是简单的数量力量。在任何复杂系统中，近失的频率远高于不良事件。想象一个外科部门进行了次手术。仔细的分析可能会显示，有次近失——即被发现的错误——但只有次导致病人伤害的不良事件。如果我们只调查这个悲剧，我们就扔掉了的数据！这次近失是个免费的教训，个机会去发现我们系统中的潜伏性条件，而无需病人付出代价。只关注罕见的灾难，就像试图只研究致命车祸来理解交通安全，而忽略每天发生的成千上万的轻微碰撞和侥幸脱险。
第二个原因更为微妙，它触及了无偏见学习的核心。从系统失效到实际病人伤害的最后一步，往往包含一个偶然因素——病人的特定生理状况、他们的恢复能力、他们的脆弱性。考虑两个相同的医院单元，使用完全相同的有缺陷的药物订购系统。该系统有一个潜伏缺陷，导致的时间会订购错误的剂量。现在，假设X单元是一个癌症病房，病人非常脆弱，而Y单元是一个普通病房，病人更健壮。因为X单元的病人更脆弱，同样的用药错误更有可能对他们造成伤害。
如果我们只计算不良事件，我们可能会看到X单元有个不良事件，而Y单元只有个。我们可能会得出结论，X单元的过程安全性差得多。但我们错了。底层的系统——错误的来源——是相同的。结果的差异是由于病人的脆弱性，这是一个与过程安全性无关的因素。现在，如果我们计算近失呢？有缺陷的系统产生错误随后被发现的次数在两个单元中将是相同的——比如说，每个单元次近失。近失率给了我们一个关于系统健康状况的纯粹、稳定且无偏见的信号，剥离了最终结果的随机噪音。它让我们在防御崩溃之前看到裂缝。
如果近失是信息的金矿，那么核心挑战就变成了挖掘。我们如何将这些事件从阴影中带到阳光下，以便进行分析？答案不是一项技术或政策，而是一种文化。
想象你是一名临床医生，刚刚发现了自己的一个错误——一次近失。你面临一个选择：报告它还是保持沉默。这个计算中包含哪些因素？有为学习做出贡献的好处，但也有成本：填写报告的时间和精力，以及最强大的，对指责、羞辱或惩罚的恐惧。
在传统的惩罚性文化中——有时被称为“合规文化”——被指责的感知成本可能非常高。理性的选择，特别是如果近失很严重且更可能被视为严重失误时，是隐藏它。这造成了一个毁灭性的悖论：指责文化系统性地过滤掉了最有价值的数据。系统对其最大的风险变得盲目，因为一线人员太害怕而不敢说出来。
解毒剂是心理安全。这是团队内部的一种共同信念，即承担人际风险是安全的——可以直言不讳、提出问题、承认错误、报告近失，而不用担心被羞辱或报复。培养这种环境是公正文化的目标。公正文化不是“无指责”文化。它认识到，虽然大多数错误是系统引起的，但某些行为代表了对安全的有意识漠视（鲁莽行为），必须区别对待。它为无可指责的人为错误、需要指导的高风险行为以及可能需要制裁的鲁莽行为之间提供了清晰、公平和预先商定的界限。
通过创造心理安全，公正文化改变了报告的计算方式。它降低了被指责的感知成本，使得临床医生报告所有近失，特别是严重的近失，变得理性和容易。只有创造出这种发现的人类引擎，组织才可能利用近失的丰富数据流，真正开始学习。
一次近失的旅程并不止于一份内部报告。它把我们带到一个最后的、非常个人化的问题：我们应该告诉病人吗？错误发生了，但被发现了。病人没有受到伤害。告诉他们可能只会引起不必要的焦虑。保持沉默不是更仁慈吗？
这个问题迫使我们权衡我们的道德责任。不伤害原则（do no harm）建议我们应该避免引起焦虑。但尊重自主权原则（respect for autonomy）认为，一个有能力的病人有权知道发生在他们身上的事，包括关于他们安全风险的信息。隐藏近失，即使是出于好意，也是一种家长式作风，会破坏信任。
此外，行善原则（beneficence）和公正原则（justice）都指向透明。正如我们所见，从近失中学习是保护未来病人的方法。一种保密的文化，即使是围绕“无害”事件，也会腐蚀我们试图建立的开放、学习文化的根基。事实上，有证据表明，坦诚披露的行为本身可以成为系统变革的强大催化剂，导致未来风险的可衡量减少。
因此，伦理和实践上的前进道路是完全透明。向病人披露近失——解释发生了什么，它是如何被发现的，以及正在采取什么措施来防止它再次发生——不是承认失败。它是展示对学习的承诺。它关闭了最后的闭环，将一个潜在的伤害时刻转变为建立信任的行为，不仅强化了照顾病床上病人的责任，也强化了为所有未来的病人不断、不懈地改善系统安全的责任。近失那令人心跳加速的时刻，变成了一个更安全系统平稳的心跳。
在探讨了“近失”构成的基本原则之后，我们可能会想把它当作一个奇特的安全术语归档。但这样做将完全错失其要点。科学中一个思想的真正美妙之处不在于其定义，而在于其连接不同领域、解决实际问题以及改变我们看待世界方式的力量。“近失”的概念就是这样一个思想的绝佳例子。它不仅仅是关于“躲过一劫”；它是一个深刻的学习原则，回响在医院的大厅、计算机代码的逻辑以及流行病的数学模型中。它是理解和驾驭复杂系统的通用钥匙。
让我们在利害关系最高的地方开始我们的发现之旅：现代医院。
想象一个繁忙的外科诊所。日复一日地进行着手术，大多数结果都成功。但在一个周二的下午，一位外科医生在一名护士发现错误之前，差点对病人使用了一支贴错标签的注射器。病人没有受伤。这个事件是什么？一个恐慌的瞬间，很快被遗忘？还是一个礼物？安全科学将这个“侥幸脱险”重新定义为一份珍贵的数据——一次近失。一个忽略此类事件的系统是在盲目飞行，等待着不可避免的坠毁。一个从中学习的系统则走在通往完美的旅程上。
如何建立这样一个学习系统？它始于一个简单、有纪律的过程。与其在漫长的一天结束后依赖记忆，不如在每次手术后立即进行结构化述评，使用清单来引导对话，这样可以大大增加捕捉这些转瞬即逝事件的机会。近失的细节——贴错标签的注射器——被记录下来，不是为了指责，而是为了分析。是光线不好吗？是标签令人困惑吗？是团队疲劳了吗？这些系统性收集的数据将轶事转化为强大的统计信号。有了足够的数据点，我们可以使用像统计过程控制这样的工具——借鉴自工业制造业——来看看我们所做的改变是否真的在改进过程，或者是否有一个新的、看不见的问题正在出现。
这种捕捉近失的简单行为揭示了一个深刻的真理：要从错误中学习，我们必须首先创造一个可以安全谈论错误的环境。这就是“公正文化”的核心。它在无意的人为错误（任何人都可能犯的疏忽）、高风险行为（已经常态化的捷径）和鲁莽行为（有意识地漠视安全）之间做出了关键的区分。公正文化不惩罚错误；它试图理解其系统性原因。它不忽视鲁莽行为；它认识到这是一种必须处理的危险。
这一原则不仅仅是一句感觉良好的口号；它是医疗保健各个角落安全的基石。在一个进行癌症基因组学的高科技分子诊断实验室中，“公正文化”政策允许技术人员报告复杂的新一代测序工作流程中的微小偏差而不用担心报复。这份单一的报告可能通过揭示实验室数百万美元流程中的一个缺陷来防止未来的误诊。这样的系统必须精心设计，平衡开放报告的需求与《健康保险流通与责任法案》(HIPAA)下的患者隐私以及《临床实验室改进修正案》(CLIA)下的质量文件记录等法律和伦理要求。
公正文化的原则在最敏感的人类情境中找到了其最深刻的应用。考虑一下照顾经历亲密伴侣暴力患者的挑战。这里的“近失”可能是一次错失为患者提供安全计划的机会，或者是一次可能使幸存者面临更大风险的沟通中断。要从这些事件中学习，医院必须建立一个基于创伤知情关怀的报告系统——一个非惩罚性、保护机密性，并在审查过程中包括幸存者倡导者的系统。自动将每一次披露报告给执法部门，这一看似“安全”的行动，如果它加剧了幸存者的危险并破坏了他们的信任，实际上可能是一次灾难性的失败。一个真正的学习系统会跟踪预期结果和意外后果，利用近失来微调其响应，使其既安全又人道。
有时，近失的信号并不指向流程中的缺陷，而是指向一个更深、更令人警觉的问题。来自单个从业者的一系列近失——用药错误、监测疏忽——可能是对一个从业者功能受损（可能由于药物滥用或职业倦怠）的第一个也是唯一的警告。在这里，近失是一个关键的诊断工具。一个有效的风险管理系统不会等到灾难发生。它根据前兆信号采取行动，启动保密的适任性评估，并为医生提供帮助，同时保护患者。这是在法律报告义务、同行评审保密性以及不伤害的伦理要求之间取得的微妙平衡，而这一切都是由几个“无害”的近失信号触发的。
当我们从定性故事转向定量科学时，“近失”概念的力量才真正绽放。通过将近失视为数据，我们可以解锁风险分析和预测的数学工具。
在工业质量管理的世界里，像六西格玛这样的框架将“缺陷”定义为任何未能满足关键质量要求的失败。如果医院的目标是“无本可预防伤害的住院”，那么实际的不良事件就是一个缺陷。但近失是什么？它不是结果的缺陷（没有发生伤害），但它是过程中存在缺陷的清晰信号。这个区别至关重要。虽然我们计算缺陷以了解我们的表现如何，但我们分析近失来学习如何做得更好。
这个想法让我们能够变得主动。通过系统地收集所有安全事件的数据，从近失（伤害为零）到灾难性事件，我们可以建立一个经验性的风险地图。例如，在失效模式与影响分析（FMEA）中，一种用于预测和预防失效的工具，我们需要一个量表来评定失效的潜在严重性。与其猜测，我们可以使用实际伤害的历史分布。近失锚定了我们量表的底部（），而我们数据的统计“尾部”——那些罕见但毁灭性的事件——定义了顶部（）。一次近失不再只是一个单一的数据点；它是赋予我们整个风险模型现实基础的光谱中的一个重要组成部分。
也许最富未来感和最激动人心的应用在于人工智能的安全。想象一个推荐药物剂量的人工智能。我们如何信任它？我们不能等到它伤害了病人才能发现其真实的错误率。这就是近失变得不可或缺的地方。当一名临床医生发现一个危险的人工智能建议并进行干预时，那次近失就是一个黄金数据点。使用贝叶斯统计的工具，每一次观察到的近失都让我们能够更新我们对人工智能潜在可靠性的信念。我们从基于实验室测试的安全性先验假设开始，但随着我们在现实世界中观察到近失，我们对风险的后验估计变得越来越准确。这种从前兆中持续学习的方式使我们能够依据预防原则采取行动：当存在严重伤害的合理风险时，我们不需要绝对的确定性来采取预防措施。近失为我们提供了证据和伦理上的理由，要求制造商在第一起悲剧发生之前进行修复。
小而无害的失败可以教我们如何预防大而有害的失败，这一思想不仅限于医学或工程学。它是一个普遍的原则。在流行病学中，“近失”可以以一种更抽象但同样强大的方式来定义。在大流行期间，一次成功的接触者追踪行动是在被感染者将疾病传染给他人之前找到并隔离他们。一个被追踪到但其通知延迟了几个关键日子的人，就代表了一次近失——系统几乎未能打破一条传播链。通过识别这些延迟的原因并设计干预措施来缩短它们，公共卫生官员可以将这些时间上的近失转化为疾病传播的可衡量减少 [@problem_-id:4515611]。
从航空航天业的保密报告系统（将飞行员报告的近距离碰撞视为空中交通管制的宝贵教训），到软件工程师在代码审查期间发现一个关键错误，模式都是相同的。成功和安全不是通过庆祝没有失败来建立的，而是通过谦卑和不懈地寻找其前兆来建立的。
近失教给我们一种智慧。它告诉我们，世界比我们想象的更复杂，我们的系统比我们相信的更脆弱。但它也给了我们一个工具——一盏灯笼。通过照亮这些小裂缝，这些事情几乎出错的时刻，我们可以看到为每个人建立更强大、更安全、更具韧性的系统的道路。我们学到，最响亮的灾难时刻往往伴随着最安静的警告耳语。我们巨大的挑战，也是我们巨大的机遇，就是学会如何倾听。