在解释为什么患者安全需要加强系统设计之前，先讲两个航天事故，以便于理解。

【一】

1997年，美国国家航天局（NASA），发射火星气候探测者号，对火星气候开展研究。

探测者号在太空中飞行几个月后，由于导航错误，最终在火星大气层解体。

发生导航错误的主要原因是，探测器的控制团队使用英制单位发送导航指令，而探测器软件系统使用公制接受和处理导航指令。这个错误改变了导航控制路径，导致约100公里的飞行误差。最终，探测器进入较低的火星轨道，在火星大气压力和摩擦下解体[1]。

探测器的研制费用约3亿多美元。

火星气候探测者飞行事故示意图 [1]

此次事故说明，探测器中的导航指令发送子系统与接受子系统分别是正确的、安全的，但是，两个正确、安全的子系统，集成在一起组成的整个系统并非一定安全。

火星气候探测者飞行事故原因 示意图

【二】

1996年6月4日，在风和日丽的法属圭亚那航天发射场，欧洲阿丽亚娜5型火箭的首次发射。但在点火升空40秒、飞行高度达到4000米，由于惯性参考系统软件的数据转换错误，引起操作失误，致使火箭在发射40秒后爆炸，造成25亿美元的经济损失[2]。

1996年阿丽亚娜5型火箭首次发射爆炸现场

发生飞行事故的主要原因是，阿丽亚娜5型运载火箭的软件系统基于前一代阿丽亚娜4型火箭开发。在4型火箭系统中，水平速率的测量值使用16位的变量及内存，且在4型火箭系统中反复验证，这个值不会超过16位的变量。于是，5型火箭的开发人员简单复用了16位的程序，且并未在5型火箭中予以验证，在发射后，64位带小数点的变量被转换成16位不带小数点的变量，最终，发生了致命的数值溢出，致使箭载计算机及软件 *** ，飞行失败。

此次事故说明，阿丽亚娜4型运载火箭使用的子系统安全，在阿丽亚娜5型火箭使用并非一定安全。

阿丽亚娜5型运载火箭首次发射事故原因 示意图

【三】

几十年以来，美国麻省理工学院（MIT）航空航天系坚持航空航天安全性研究，并将安全性研究扩展至医疗领域，包括患者安全[3]，主要内容介绍如下。

“在许多方面，医疗保健更接近于服务而非产品。尽管工程化的医疗设备在医疗保健中发挥着越来越大的作用，但是，医疗保健中的安全大部分涉及患者的治疗，而不是工程化的医疗设备。还有一些特殊因素，例如，新的危险和疾病一直在出现。

工作场所（医院）安全和患者安全可能比其它行业更紧密地交织在一起，尽管它们仍然存在显着差异。虽然目标和危害发生冲突是正常的，但在许多危害（以及约束）冲突中，医疗保健具有其特殊性。这往往使寻找可接受的安全问题解决方案变得更加困难。例如，考虑以下危险：

1，患者接受的治疗会对其健康产生负面影响。

2，患者未得到所需的治疗，而导致死亡或严重的健康负面影响。

在这种情况下，有时承担特别风险可能是合理的，但是，任何一种选择都可能导致严重的损失。与此同时，在防止不必要的损失方面需付出很多努力。

医疗保健的其它独特因素是信息密集型、人力密集型、复杂、不精确、跨学科和不断变化的。德鲁克（Drucker）曾说过，‘医疗机构是复杂的、难以管理的地方。大型医疗机构可能是人类历史上最复杂的组织。’

从未强调将工程方法用于患者安全。患者不是‘工程化’的，通过生物和健康信息，可能只了解患者的一部分情况。但在医院和医疗保健中，有许多经过工程设计的构件和过程，包括：电子健康记录、医疗器械、药房程序，以及用于消除或控制已知危险的特殊程序，例如，患者交接、通信协议、检查表、识别设备（RFID）等，洗手等程序用于控制感染，其它干预措施用于减少错误位置的手术等。近年来，医疗保健技术有了很大进步，大多数医院有管理质量和安全管理部门，还有许多患者安全组织致力于通过设计医疗系统，以预防‘不良事件’、促进安全。

医疗保健和医院的安全和适应能力不仅仅取决于一线工作人员的行为，包括医生、护士和技术人员，这似乎是霍尔内格尔（Hollnagel）教授的观点：过程、设施、设备的设计，以及人员培训、医院文化、医院安全与质量管理部门设置，都很重要。

医疗保健领域的许多重点都放在事后调查上。然而，已开始出现文化变革，例如，建立‘公正文化’（just culture），将调查从专注于责备转变为学习如何改进系统的设计。一般来说，在医疗保健中普遍流行的调查技术和实践不是很复杂（与用于工程系统相比），需要改进。

当前，医疗保健和医院安全方法的一个局限性是缺乏整体的系统观点，虽然提高安全性的尝试是真诚的，但在很大程度上是零碎的、脱节的。就像众所周知的盲人和大象一样，每个人都专注于‘大象’的一个部分，而忽略了其他部分。对医生和护士等个人的要求和责任过多，而对医院的运营和整个医疗系统的控制有限。通过使用系统思维和系统安全方法，可以实现更全面的安全要求。

MIT安全性研究情况提示以下两点：

第一，安全是一门科学技术，与临床医疗有所区别。

第二，安全性设计需要系统思维，加强系统设计。

【四】

介绍了两个国外航天安全性事故，介绍了MIT安全性研究成果，人们或许初步理解了为什么患者安全需要加强系统设计。

实际上，安全性设计必须从整个系统开始，早已写入国军标[4]。

国军标定义：安全（Safety）是指不发生事故的能力[4]。

事故，是指造成人员伤亡、职业病、设备损坏或财产损害的一个或一系列意外事件[4]。

国军标 [4] 中的一项明确规定：

国军标《军用软件安全性分析指南》

[文字注释]：整体系统中除EUC外，可能包含若干PE安全相关系统与和其它技术安全相关系统（比如减压阀），在整体系统中，PES或者是独立于EUC起控制等作用，或者是EUC的组成部分，软件总是运行于某PES之中。在整体系统之外，还可能有外部安全设施（比如排水沟、堤坝、防护墙）。对于危险的控制可由PE安全相关系统、其它技术安全相关系统和外部安全设施来完成。只有将软件与所在的系统结合起来考虑，分析软件安全性才有意义。图2表明了安全相关软件同其所在系统（包括整体系统和PES子系统）的关系。

【五】

为什么患者安全需要加强系统设计？

举例解释：病人单独服用头孢类药物安全、单独服用白酒安全，但是，同时服用头孢类药物和白酒，则不安全。

由此看到，两个安全的子系统，当它们组成在一起时，整个系统不一定安全。因此，不仅要分别分析两个子系统的安全性，而且要分析当它们组成在一起的整个系统的安全性。此例与火星气候探测者事故是同一个性质的安全性问题。

再举例解释：病人A服用青霉素不过敏、安全，但是，病人B服用青霉素，则不一定安全，还需重新做试验。

此例与阿丽亚娜5型运载火箭首次发射事故是同一个性质的安全性问题。

【六】

综上，解释了为什么患者安全需要加强系统设计的问题。由此，探讨若干建议：

遵从安全性标准，加强医院保障患者安全的顶层系统设计，完善保障患者安全的方法和规章制度，以保障不同科室、不同部门、不同环节、针对不同病人，在协同工作中的患者安全。

加强医护人员保障患者安全的意识和责任；同时，加强医学院校中的职业素养和患者安全知识的教育。

加强临床中自主和智能系统的研究与应用，自主和智能系统可以降低医护在知识经验、职业素养、技术水平等方面的差异、减少个人情绪、职业倦怠、工作疲劳、人员变动对临床工作的影响，以保障患者安全、提高医疗质量和效率。

【参考文献】

16-11-06。

学科沙龙 | 程序史上的著名BUG你知道哪些

[2] 刘克、单志广、王戟、何积丰等，“可信软件基础研究”重大研究计划综述，中国科学基金第三期，2008。

[3] Nancy Leveson，A Systems Approach to Safety and Resilience，Aeronautics and Astronautics Dept., MIT，2020。

[4] 中国人民 *** 总装备部，军用软件安全性分析指南，GJB/Z 142-2004。

【原文】

本文转载于美篇【Poplar】为什么患者安全需要加强系统设计？致谢作者！封面图片和第一张图片来自网络，尊重原作者版权。

编辑：肖明朝重庆医科大学附属第一医院泌尿外科