SHELL 模型

起源与发展

  1. 原始提出：1972年由英国学者Elwyn Edwards教授在《The Man-Machine Interface》等著作中首次提出，核心是界定安全工作中“人”所处的系统界面原理

出处：Edwards, E. (1972). The Man-Machine Interface. HMSO, London.

  1. 图表化完善：1975年由Frank Hawkins在《Human Factors in Flight》中发展为“积木式”图形结构，明确了以Liveware（人）为中心的四大交互界面

出处：Hawkins, F. (1975). Human Factors in Flight. Pergamon Press, Oxford.

  1. 国际标准化：被国际民航组织（ICAO）纳入Doc 9859《Safety Management Manual》（安全管理手册，第3/4版），作为人为因素分析与安全管理体系（SMS）实施的核心工具

出处：ICAO. (2013/2018). Safety Management Manual (Doc 9859, 3rd/4th ed.). International Civil Aviation Organization, Montreal.

  1. 国内教材收录：《民航安全管理》（钟科、温宝琴等，清华大学出版社，2017）、《飞行中人的因素》（中国民航飞行学院，清华大学出版社）等权威教材将其列为核心模型，章节位置分别为第1章第3节（P25）、第2章第2节（P35）

应用场景

  1. 事故/事件调查：识别界面不匹配作为事故致因（如特内里费空难中L-L界面沟通失效、L-S界面程序执行不当）

  2. 系统设计优化：指导驾驶舱、管制系统、维修设施的人因设计

  3. 安全管理体系（SMS）：用于风险评估、人为因素培训、安全绩效监控

  4. 人为差错管理：制定针对性防控措施，减少界面不匹配

核心定义与组成结构

模型核心概念

  • 模型名称：SHELL由四个核心要素英文首字母组成：

    • S：Software（软件）—非物理性系统支持

    • H：Hardware（硬件）—物理设备与设施

    • E：Environment（环境）—内部与外部运行条件

    • L：Liveware（人件）—工作场所中的人员（模型中心）

  • 核心假设：人为差错主要源于Liveware与其他组件的界面不匹配（mismatch），而非单纯的人员失误；系统安全的关键是优化四大界面匹配度

  • 图形结构：中心为Liveware方块（边缘不规则，代表人类性能的变异性），周围环绕Software、Hardware、Environment方块，同时包含Liveware-Liveware（人-人）交互界面

五大组成要素详细定义

要素 英文定义（ICAO原文） 具体内容 典型问题
Liveware（人） Humans in the workplace 飞行员、管制员、维修工程师、签派员等一线人员，核心是其生理、心理与团队特征 疲劳、技能水平差异、注意力波动、沟通障碍
Hardware（硬件） Machines and equipment 航空器、驾驶舱仪表、操纵装置、管制设备、维修工具等物理设施 设计不符合人体工学、显示不清晰、操作反馈延迟
Software（软件） Procedures, training, support, etc. 标准操作程序（SOPs）、手册、检查单、法规、计算机程序、培训体系 程序复杂、更新不及时、表述模糊、培训不足
Environment（环境） Working environment for L-H-S system 内部（座舱温度、噪声、振动）+外部（天气、地形、空域结构）+组织环境（文化、压力） 温度异常、噪声干扰、恶劣天气、组织压力
Liveware-Liveware（人-人） Relationships among persons 机组内部、机组与管制员、维修团队、一线与管理层之间的交互 沟通不畅、角色冲突、团队协作失效
*引用ICAO Doc 9859, Chapter 1.4, Figure 1-4, P17-18

四大关键界面分析

Liveware-Hardware（L-H）界面：人-硬件交互

  • 定义：人与物理设备、设施的交互关系，即传统人机界面

  • 核心研究：设备设计是否符合人的生理（人体测量）、心理（信息处理）特征

  • 典型不匹配：

    1. 驾驶舱仪表布局不合理，关键信息显示位置不当

    2. 操纵装置力反馈不足，导致误操作

    3. 座椅人体工学设计缺陷，引发疲劳

  • 出处：ICAO Doc 9859, P18；《飞行中人的因素》，P36

Liveware-Software（L-S）界面：人-软件交互

  • 定义：人与非物理系统支持（程序、手册、信息系统）的交互

  • 核心研究：信息呈现、程序逻辑、培训有效性、知识更新

  • 典型不匹配：

    1. 检查单步骤复杂，不易记忆

    2. 手册更新不及时，与实际操作不符

    3. 计算机软件界面不友好，信息过载

  • 出处：ICAO Doc 9859, P18；《民航安全管理》，P26

Liveware-Liveware（L-L）界面：人-人交互

  • 定义：工作环境中人与人之间的关系，包括团队协作、沟通、角色分配

  • 核心研究：机组资源管理（CRM）、团队动力学、组织文化、领导力

  • 典型不匹配：

    1. 机组沟通不畅，导致指令误解

    2. 管制员与机组信息传递错误

    3. 组织文化不良，导致安全问题隐瞒

  • 出处：ICAO Doc 9859, P18；《飞行中人的因素》，P37

Liveware-Environment（L-E）界面：人-环境交互

  • 定义：人与内部（座舱物理环境）、外部（天气、地形）及组织环境的交互

  • 核心研究：环境因素对人的生理、心理影响，以及适应机制

  • 典型不匹配：

    1. 座舱噪声超标，影响沟通与听力

    2. 高空低气压导致缺氧，影响判断

    3. 恶劣天气（雷暴、结冰）导致工作负荷激增

  • 出处：ICAO Doc 9859, P19；《民航安全管理》，P27

应用步骤

  1. 确定分析对象：明确系统边界与核心Liveware群体（如机组、管制员）

  2. 界面分解：逐一分析L-H、L-S、L-L、L-E四大界面

  3. 不匹配识别：

    • 收集数据：事件报告、操作记录、人员反馈、系统测试

    • 评估标准：符合人体工学标准、程序逻辑合理性、团队协作规范

  4. 风险评估：确定不匹配的严重程度与发生概率

  5. 改进措施：

    • L-H：设备改造、界面优化

    • L-S：程序简化、培训强化、手册更新

    • L-L：CRM培训、沟通机制建立

    • L-E：环境控制、人员防护、工作负荷管理

  6. 效果验证：监控措施实施后的界面匹配度与安全绩效

引用《Safety Management Manual》

模型局限性与拓展

局限性

  1. 静态框架：对动态系统变化（如自动化程度提升）的适应性有限

  2. 人为中心：对技术系统自身复杂性的考虑不足

  3. 界面边界：部分界面（如L-E中的组织环境）界定不够清晰

*引用Hawkins, F. (1993). Human Factors in Flight (2nd ed.). Pergamon Press, Oxford.

拓展应用

  1. HFACS模型结合：与人为因素分析与分类系统（HFACS）结合，实现从界面不匹配到组织因素的多层次分析

  2. 维修/空管领域应用：拓展至航空维修（L-H界面：工具设计；L-S界面：维修程序）、空管（L-L界面：管制员团队协作）

  3. 非航空领域：应用于医疗、核电、轨道交通等复杂系统安全管理

文献

文献名称 作者/机构 出版信息 核心内容
Safety Management Manual ICAO Doc 9859, 4th ed., 2018 SHELL模型定义、应用步骤、与SMS结合
Human Factors in Flight Frank Hawkins 2nd ed., 1993, Pergamon Press 模型图形化发展、界面分析案例
The Man-Machine Interface Elwyn Edwards 1972, HMSO, London 模型原始理论基础
《民航安全管理》 钟科、温宝琴等 2017, 清华大学出版社 国内民航安全管理实践中的模型应用