管理疏忽與危險樹

出自 MBA智库百科(https://wiki.mbalib.com/)

管理疏忽與危險樹（Management Oversight and Risk Tree，MORT）

　　管理疏忽與危險樹(MORT)是一種應用事先設計好的系統化的邏輯樹確定整個系統風險，進行安全分析評價的方法。MORT也是一種全面的職業事故調查和安全計劃分析的方法。它特別關註企業安全管理工作中的疏忽、失誤和管理系統的缺陷，因而也可以說，它是一種最好的對安全管理系統進行分析評價的方法，它對企業安全管理系統的評價、管理缺陷的改進有相當重要的作用。^[1]

　　20世紀60年代中期，美國國家安全委員會(NSC)為解決職業事故以及交通和其他一些領域的事故率難以進一步降低的問題，努力尋求一種新型的現代化管理方法，並把航空航天領域中開發的系統安全技術應用於職業安全衛生工作之中，這些及隨之而來的對變化的探測和控制的研究及行為和組織科學的出現、都為MORT的開發和應用奠定了堅實的基礎。

　　1970年．美國能源研究開發總署為MORT研究提供資金，由約翰遜(W.G.Johnson)主持研究，並於1971年問世。MORT方法借鑒了故障樹分析(FTA)的方法，以一張“邏輯樹”圖，把整個安全管理系統的各有關部分結合起來。在整個分析過程中，系統地結合了當時最先進的安全理論和概念，特別是變化分析、能量與屏障和安全系統等重要概念，始終貫穿於MORT分析之中。除此之外，當時最好的安全實踐經驗，行為、組織、和分析等科學及系統安全技術等也被結合進了MORT之中。因而使MORT成了安全管理方面最為先進、最為全面的管理系統安全分析評價方法。

　　1973年後，經多次修改和完善，MORT文本進一步吸取丁世界各種安全程式計劃的精華。特別在1974牛8月成立系統安全開發中心(SSPC)以後，對MORT進行了更進一步的研究和推廣，並於l978年、1983年、1987年、l992年對其進行了四次全面的修訂，使之更趨完善。

　　MORT應用了一些較為先進的概念，其主要包括變化分析、能量轉移及屏障、安全系統和風險評價等。在MORT中自始至終貫穿著這些概念。因而．對這些概念加以充分的理解和認識，對於瞭解和應用MORT分析方法具有十分重要的意義。

　　除了變化分析及能量轉移與屏障的很念外，在MORT中，還獨創性地建立了安全系統的概念。這個概念的主要觀點包括以下幾個方面：

　　安全管理是企業整個系統中的—個子系統，這個子系統有3個基本功能：建立並應用測定運行系統與計劃的偏離情況並通知有關部門的反饋迴路；建立並應用向有關人員提供減少危險的方法和策略的反饋迴路；建立並應用危險分析方法分析有關測定結果。

　　一般情況下，分析這個系統按照計劃的過程進行生產和其他有關活動。只有當系統的運行偏離計劃時，事故才可能減少。這種偏離包括設備、零件或工具的失效，人的失誤或系統內某種功能的降低。而一個好的安全系統應具有協助企業管理部門減少各種失誤、偏離和失效的能力。

　　作為專業安全人員，其首要工作目標就應是把其安全系統的工作目標與企業這個大系統的目標相結合併與之相一致，使企業管理人員認識、支持安全系統的運行，使安全工作成為企業管理中提高企業生產效率的重要一環。否則，安全工作者的工作職能就會大受影響，其管理職能、分析技術都難以發揮其應有的水平和效率。

　　在MORT中，把安全系統(也可以稱為安全管理系統)簡化為如圖1所示的6個組成部分，即為安全系統模型。

　　圖1（動態安全系統模型）：

　　該圖形象地描述了MORT中所分析研究的各個主要部分及其職能，強調了安全系統對於整個系統工作的利害關係。

　　安全系統的6個主要部分包括管理決策、危險分析、信息收集、參與和反饋、工作流程及性能檢測。而整個系統是一個具有動態反饋—控制—調整的不斷改善的過程，是通過工程設計、教育管理方針和政策、改善環境和實施監督管理來消除和控制危險事件的一整套措施。其主要目的是將系統中所有可識別的危險事件減少的可能性和嚴重件都控制在可接受的水平上。

　　安全系統的主要作用是，找出影響危險定性分析和安全決策實施的主要因素；正確預測系統的變化過程。確定危險分析過程是否恰當、合適；確定監控系統能否充分保證系統按計劃運行及運行是否恰當。

　　在圖1所示“動態安全系統模型”中，“管理決策”過程是利用系統的目的、要求、現有資源等有關條件，建立起安全系統本身的目標，制定有關政策，建立組織機構，制訂發展計劃；“工作流程”是利用基層管理部門對人、物和生產過程按管理決策實施的過程；系統性能由系統的輸出顯示，直接反映出系統的實際情況；系統的目標是根據已擬訂的計劃確定理想的輸出，用來衡量系統性能的優劣；“性能監測”就是及時將系統輸出與目標相比較，及時發現偏差，及時反饋給有關職能部門；“信息收集”具有三個基本的功能，即測定目標達到的程度，指出需要的變化及指出變化的方法；“參與和反饋”採用獎勵、懲罰等手段，鼓勵和支持正確行為，反對和制止不良行為，而“危險分析”過程則是利用一系列系統安全分析方法，對系統的輸出結果進行全面、系統的評價和分析，並提出建設性意見，供管理決策等有關部門參考。

　　作為一個管理系統失誤及缺陷的分析手段和方法，MORT應用的主要目的和用途是：

　　1、預防與管理上的疏忽、失誤和管理系統的缺陷有關的事故，為消除潛在的事故做指導。

　　2、評價現有的安全管理系統，分析和確定事故因素，把剩餘危險安排在適當的管理階段，以便採取相適應的措施。

　　3、優化分配各有關因素，以有利於安全計劃和危險管理。

　　4、對已發生的事故進行全面細緻的調查分析，探求事故發生的過程，澄清事故發生的原因，為進行事後處理、決策提供依據。

　　基於以上目的，MORT的使用一般可分為3種類型：

　　1、事故發生後，對事故發生的原因進行全面調查和分析。

　　2、對安全管理系統進行全面的分析和評價，找出有關缺陷，防止事故發生。

　　3、假定某些問題存在，通過MORT方法找出解決問題的最佳手段和方法。

　　MORT簡圖如圖2（MORT主要分支圖）所示：

　　MORT圖中所應用的符號及各自代表的意義如圖3所示，其有關定義如下：

　　1、缺陷事件，這類事件包括不正常事件和中間事件。在MORT分析中主要指疏忽或適當的條件。

　　2、基本事件。在MORT中指基本功能或組成部分的失效。

　　3、不發展事件，在MORT中指因缺乏信息或後果，或缺乏解決方法而不再繼續分析的事件。這類事件最終被轉化為假定危險。

　　4、正常事件，指在正常情況下，應當或必然發生的事件。

　　5、滿意事件，MORT中特指正常發生的中間事件。

　　6、或門，一個或一個以上輸入事件發生，輸出事件即發生。

　　7、與門，當且僅當所有輸入事件都發生，輸出事件才發生。

　　8、條件或門，當一個或一個以上輸入事件發生，且條件a被滿足時，輸出事件才發生。

　　9、條件與門，當且僅當所有輸入事件都發生，且條件a被滿足時，輸出事件才發生。

　　10、轉移符號，用來將某分析過程從樹的某一部位轉移到另一部位，前者表示從某處轉出，後者表示轉入某處。

　　11、已確定假定危險的事件，並轉到假定危險部分。

　　MORT圖包括1500多個基本事件，上千條判斷準則，並從工程、設計、教育、管理環境等各有關方面提出了98個一般問題。

　　在MORT圖中，主要包括三個分枝。如圖2所示，左邊為特殊管理因素分枝，簡稱為S分枝，中間為管理系統因素分枝，簡稱為M分枝，右邊為假定危險分枝，簡稱為R分枝。頂上事件為造成損失的類型和損失的大小，而導致頂上事件發生則有兩個基本原因：管理疏忽和漏洞(S/M)和假定危險(R)。S分枝主要瞭解發生了什麼，M分枝則找出發生了事故的根源，瞭解為什麼事故會發生。特殊管理因素是與被研究的事故有關的、特別的管理疏忽和漏洞。在MORT中，S分枝是按時間發生的前後順序由左向右排列事件，按對結果影響的直接程度由上向下排列事件。因而我們可以看出，為了較早地中斷事故的發展過程，在MORT樹的左下側，即事故發展的早期階段設置屏障是最佳的防止事故發生的手段。

　　M分枝則考慮一般管理因素，考慮整個管理系統的缺陷，研究直接或間接促成事故的一般管理系統的問題。S因素和M因素是有所區別的，在評價S分枝時，分析人員應將事故發生的過程著重加以考慮。評價M分枝時，則應在整體管理系統概念上考慮。

　　假定危險是在評價該被系統所接受的事故發生的危險性，它主要分2種類型，即①其發生頻率和後果是可以接受的；②後果嚴重僅無法消除的；③因控制危險的代價太大而接受的。

　　使用MORI時，關鍵是逐個因素地水查MORT圖，從具有事故損失或潛在事故的問題的實際著手，對三個分枝中的每一因素都依次進行考慮，並可將與事故有關的因素圈上適當的顏色，如把顯示系統缺陷的因素塗成紅色，顯示系統良好狀態的因素塗成綠色，而那些需要更多信息才能做出判斷的因素，則徐成藍色，若圖中的某一部分對於某一具體問題不適用或不需要加以考慮時，也可以用黑色刪去。

　　在MORT中，S分枝主要分析管理上的疏忽和失誤，即導致事故的真正原因是什麼，主要應用於事故調查。M分枝則註重管理系統缺陷。即疏忽、失誤產生的深層次原因，特別是那些即使沒有任何人失誤或疏忽，包可能引發事故的管理制度上的缺陷，如管理系統的不封閉，有盲區等，主要適用於對安全管理系統進行評價。相對於其他一些評價管理系統的方法，MORT的M分枝有著邏輯性強，應用面廣，註重根本原因而不是僅關註錶面現象的優勢，對真正提高安全管理系統的水平將會起到很好的作用。

　　R分枝則是MORT方法的創新所在，其主要思路中首先就拋棄了事故有關管理水平之間的一些不正確的觀點，認為有些事故的發生，即上述三類事故，並非管理系統的問題，而是“正常”現象，管理水平的向低主要應取決於是否發生了上述三種類型之外的事故，發生的頻度如何，後果怎樣？這與空喊事故為零，或一發生事故就人人自危的管理方法是有天壤之別的。

　　MORT特別適用於管理水平較高、安全要求較高的大型企業或系統，但也有著一些需要改進之處。而且作為一種對安全管理系統進行全面的分析、評價的方法，MORT在我國的推廣應用也遇到了一些難題，其本身也存在著一定的缺陷。其一，MORT中有些因素的評價受使用者的主觀因素的影響較大，使用時，因使用者水平不同，理解的差異也使MORT的效果頗受影響；其二，MORT在某些方向過於細緻、繁雜、費工、費時，使得其不太適用於小型企業或系統；其三，MORT中許多內容都是依據美國的法規、標準而設，因而不符合我國的具體國情。

　　一、MORT原理及結構簡述

　　管理疏忽和危險樹追究與傷亡事故有關的所有問題，分析發生事故的全部途徑。管理疏忽和危險樹的頂端是一起事故造成的嚴重後果．諸如重大傷亡事故、財產損失等。接著向下，該樹有以下三個主要分支。首先是S分支，與被研究的突發事故有關的管理疏忽和漏洞。其次是膨分支。這是常規管理因素，它們可能是明顯的故障．也可能是管理系統的弱點．它們是直接或間接促成被分析事故的一般管理系統的問題。最後是R分支，這是被接受的危險的一覽表。所謂被接收的風險是一系列已經知道其存在，但還沒有有效措施進行控制的危險因素．目的是喚起人們的註意．更加努力研究以減少這些危險。

　　該方法的獨特之處是將常規管理系統問題與產生重大事故的那些突發問題設在不同的兩個分支．上。考察一般管理系統的問題可使人們聯想起事故發生的背景：對特別事故的遠因分析又可使人去思考一般管理系統的哪個方面存在欠缺。

　　二、電子政務安全事故影響因素解析

　　根據MORT圖的結構分析可知。對於電子政務信息資產損失事故的分析應從三大分支進行分析：

　　S因素、M因素和R因素。

　　(1)S分支(突發事故管理因素)

　　①事故前

　　事故之所以會發生,有三個缺一不可的必要條件：偶然的事件、未能屏蔽。以及重要信息處於危險位置。

　　導致偶然事件的兩個缺一不可的必要條件．是安全防護失控和周圍存在異常環境。一方面，根據網路的七層結構。網路的任何一層控制不當都可能造成安全防護技術管理的失控。主要的失控因素可以歸納為物理層控制不當、網路層控制不當、系統層控制不當、應用層控制不當以及數據層控制不當。另一方面．周圍存在的異常環境則指信息系統面臨的威脅．通常是以人為威脅為主，因此可以劃分為內部攻擊或外部攻擊．任何一種攻擊都能促使異常環境形成。內部攻擊：內部威脅往往由內部合法人員造成，他們具有對信息系統的合法訪問權。分為惡意和非惡意兩種。惡意攻擊是指出於各種目的而對所使用的信息系統實施的攻擊。非惡意攻擊是指誤操作、經驗不足、安全意識薄弱而導致的特殊行為，對信息系統造成了無意的破壞。外部攻擊：主要來源於互聯網．分為被動攻擊、主動攻擊、臨近攻擊和分發攻擊。

　　重要信息處於危險位置是指應嚴格遵守“涉密信息不上網．上網信息不涉密”的原則合理存放政務信息。否則將導致重要信息暴露在不安全的位置上。

　　②事故中

　　電子政務信息系統的關鍵業務活動在遇到自然災害、系統軟體硬體故障、網路病毒、人員欺詐與惡意行為等威脅時．能否避免信息系統的中斷、能否減小事故的影響．關鍵控制環節就是能否適當地實施計劃以恢復與遏制中斷的後果。安全事件的應急響應能力和恢復能力不足將是導致事故重大損失的關鍵原因。

　　③事故後

　　事故後的處理也是特殊管理因素的重要組成，因為事後對教訓的總結、追求事故致因是對整個電子政務安全管理體系各個控制環節的反饋．將對後期應急預案的調整修訂、安全管理平臺的總體控制能力提升起到決定性作用。

　　(2)M分支(常規管理因素)

　　在這一分支中．各因素的排列遵循前文的管理系統工程分析中垂直結構的劃分原則．在水平方向上自左至右表示管理體系垂直結構的自頂向下．在水平方向上依次列舉M因素有：最高決策層、管理層、執行層和操作層。

　　首先，最高決策層的角色主要包括：機關高層領導、決策顧問專家。一個組織的信息安全目標、指導方針和安全策略是電子政務安全管理體系的根基，把握這些根基的正是組織的最高決策者。因此，他們對機關總體安全狀況的瞭解或判斷的失誤必將是導致信息安全事故發生的源頭。

　　第二層是管理層．主要指主管信息化部門的管理者，是直接調動組織人、物、財等管理要素的組織協調環節。他們對管理技術的運用不當導致了上級的安全策略不能有效實現。導致信息資產損失發生的潛在弱點可能是管理層在制定安全管理制度、機構設置．以及對人員安全行為規範等的組織協調方面的缺陷。

　　第三個層次是執行層，主要角色有：系統設計開發人員、監控及值班等運行維護人員、審計員等。

　　這一層是貫徹執行管理指令的控制環節．在信息系統生命周期全過程中(設計、實施、運行維護、廢棄)直接發揮作用，因此他們的管理疏忽將是導致信息資產遭受損失的直接原因。

　　最底層是操作層．主要指政府內非信息化部門的業務系統及網路的普通用戶，是從事和完成各項具體業務工作的。由於他們電腦操作技能和安全意識普遍較低，因此是導致信息資產遭受損失的重尊因素。

　　(3)R分支(已被接受的風險)

　　尺分支是被接收的風險是一系列已經知道其存在，但還沒有有效措施進行控制的危險因素。

　　(4).電子子政務安全事故的MORT圖

　　根據前文對造成信息資產損失的三大致因分支的剖析。推導出電子政務安全事故的MORT圖的主幹圖。如圖所示: