应急设计：三大支柱与人类行为

第8章 应急设计

引言

这位年轻的急救员无法预见到她在周六早班将要面对的情况。她非常清楚，急救工作没有固定模式。几分钟内，她可能就从在站里安静地喝着咖啡，转变为在城市另一角落抢救生命。但今天早晨她即将目睹的现场却截然不同。这不仅是因为火车相撞事故涉及的伤亡人员众多，更因为她是到场的第一位专业医疗救援人员。这意味着她必须负责应对这一混乱局面最初的几分钟。

在她的团队接到求助的911呼救电话后，短暂的救护车行驶途中，她回顾了在大规模伤亡事件（MCI）培训研讨会上所学到的内容。作为一名急救员，她主要考虑的是如何为大量伤亡人员优先安排紧急医疗救治；但当她看了一眼口袋里随身携带的小型急救员现场指南时，她意识到作为第一个到达现场的急救员，她必须至少在最初几分钟内管理整个行动，直到更有经验的指挥官抵达现场。现场指南中的规程提醒了她需要执行的各项任务。几分钟后，当她的团队到达现场时，她试图遵循该规程，但却被此起彼伏的求救声、浓烟以及围观者向她大声喊出的各种信息所干扰。“列车另一侧有很多伤亡人员”，“那边轨道上有婴儿”，“第一节车厢里有无法脱困的伤亡人员”。

她打开了救护车上配备的大规模伤亡事件应急包。里面的工具让她想起了自己接受过的大规模伤亡事件培训，并帮助她专注于需要遵循的规程。这些工具很简单。事件指挥背心将她标识为现场负责人。绿色、黄色、红色和黑色分诊丝带让她想起了必须遵循的分诊方案。在急救员现场指南中，她找到了需要用扩音器呼叫的通告，而印刷的事故指挥优先协议则帮助她在不断受到其他工作人员和调度干扰的情况下仍能遵守规程。这并非一个简单的现场，但为这类事件设计并组织好的工具引导着这名急救员度过了最初几分钟的压力时期，直到足够多的急救员抵达现场，并由一位经验更丰富的指挥官接手指挥。

本章节将重点介绍如何为紧急情况设计应急工具。首先会探讨紧急情况的特征以及这种状况对人类表现的影响。然后，详细阐述应急系统的三大支柱——环境、操作人员和设备——以及它们之间的相互作用。本章的最后一部分将提供针对应急系统的具体设计指南，并通过案例研究实施来展示这些原则。

紧急情况下的认知

为了进行应急设计，首先需要了解紧急情况的特征以及这些条件如何影响人类行为。紧急情况有多种表现形式，可能从小型紧急事件（例如做饭时被厨房刀具划伤）到重大事故（例如一辆载有50名游客的巴士在偏远地区翻车）。紧急情况的通用定义是：其对健康、生命、财产或周围环境构成直接风险，并需要紧急干预以防止情况恶化和/或在事后立即提供姑息治疗。这些不可预测的情况会使身处紧急情况中的人们面临模糊状况。

在这种情况下产生的最显著感受是困惑和失控。不可预测的情况会引发不信任和恐惧——这些感受在实际威胁生命的状况下可能会加剧。此外，经历紧急状况的人还需要迅速且高效地做出反应。这些令人沮丧的感受加上时间压力，通常会导致高认知负荷和极度不适（Edland & Svenson, 2013; Hwang, 1994）。

“认知负荷”指的是我们为处理、存储和检索从周围环境获取的信息所付出的认知努力，而高认知负荷通常由大量复杂且无序的信息涌入引起。在紧急情况发生时，我们周围环境的突然变化以及由敌对情境引发的危险和恐惧都会导致高认知负荷。与压力相关的激素释放会引起感官觉醒。因此，我们会观察到更高程度的信息，但我们的大脑难以处理所有这些信息（汉密尔顿，1982）。这种信息过载需要更多的认知注意力，从而再次导致高认知负荷。

认知负荷下的决策

许多研究探讨了认知负荷如何影响人类表现。这些研究表明，高认知负荷会降低我们提前规划和进行精确计算的能力。重症监护室和手术室是医护人员面临高工作负荷的典型工作环境。生命体征监护仪警报产生大量信号（其中一些是假的），导致认知负荷和时间压力（比坦、迈耶、辛纳尔和兹莫拉，2004；伍兹，1995）。那些对短时记忆造成较大负担的任务，例如计算、规划和快速决策，必然带来严重的时间压力，从而加剧这种状况（卡尼曼，1973）。关于在时间压力下行为的研究发现，例如，当行人感觉必须尽快到达目的地时，常常采取风险更高的行为，优先考虑便利性而非安全（卡达利和维达吉里，2013；卡拉塔罗夫、里默和奥龙‐吉拉德，2018）。

当处于高认知负荷状态时，我们的分析性思维模式会受到抑制，而自发的直觉方法则占据主导地位。由于缺乏推理和缓慢的序列化处理过程，会产生一种被称为“注意力隧道效应”的现象——即注意力狭窄和情境意识丧失，导致我们错过重要的线索和提示（威肯斯，2005）。由于操作人员的注意力资源有限，这些理论模型支持了这一观点：认知负荷需要额外的注意力资源，而注意力的过度需求会导致需要更高层次认知功能的活动表现下降（巴德利，2003）。

这些模棱两可的情况导致身处紧急情况的受害者以及前来帮助他们的人在决策过程中表现欠佳（克莱因，2011）。因此，理想情况下，我们希望人们在这些事件发生时无需做出决策。作为需要在紧急情况下运行的系统的设计者，我们的目标是构建一条简单清晰的路径，以帮助工作人员在没有两难或顾虑的情况下应对紧急情况。当我们知道需要做什么时，不确定感就会消解，即使在紧急情况的混乱中，我们也能专注于必须采取的行动。这就是为什么每次我们进行飞机旅行时，在起飞和降落前都会被提醒查看最近出口的原因。一旦发生罕见的紧急情况，我们将无需寻找出口——我们会知道它在哪里。

人类操作员（如急救人员）可能需要在非理想条件下高效地执行任务，例如在远离标准设施的环境中作业，有时甚至缺乏必要的基础设施或电力。伴随着巨大的噪音和其他干扰，在某些情况下还伴随着对自身安全的担忧。这些复杂情况增加了他们的工作负荷和认知压力水平。与卷入紧急情况的人员不同，应急组织中的工作人员在此类情况下的决策过程涉及影响其行为的额外因素——他们的经验。这些专业工作人员被带入紧急情况中，需要在混乱的条件下进行领导和决策，这会带来高认知负荷，并可能产生关乎生命安全的后果。

用于解释经验丰富专业操作人员在压力下行为和决策的领先模型之一是识别启动决策模型（克莱因，1999）。该模型描述了一个从识别情境开始的过程，接着进行快速的模式匹配，并回忆过去解决类似模式的典型方案。然后，操作员利用心理模拟能力，在实施解决方案之前评估所选择的行动方案。克莱因（1999）指出，该模型中的一个关键要素是操作员的经验。有经验的操作员依靠直觉来找到他们所识别模式的典型解决方案。格林霍尔，2002对直觉的定义——一种快速判断，通常无意识地察觉导致该判断的认知过程——解释了为什么直觉在高认知负荷下的决策中如此重要。当我们过于忙碌而无法将注意力投入到需要做出的决策中时，直觉是一种可靠的捷径。

如何改善人们在紧急情况下的表现？

一旦设计人员了解了影响紧急情况下人类行为的主要条件，并知道这些行为的表现方式，他们就可以制定出我们希望用户在操作设备或执行紧急情况下的程序时进行互动的指南。这些指南将帮助我们开发出符合紧急情况下预期人类行为的工具。无论是简单的标识、多功能电子工具，还是优先协议和检查清单，其设计都应能够在紧急情况这一特殊环境下指导用户如何使用。

在高认知负荷下高效工作的方法之一是默认采取自动行为。一个此类实施方式的例子体现在急救人员在紧急情况下的工作方式——他们接受过严格培训，需遵循非常严格的规程，几乎不需要额外判断。急救人员只需选择为特定临床情况设计的规程，之后该规程将引导急救人员完成适用于此临床状况的所有步骤和程序。

另一种旨在提高商业航空在紧急情况下的表现的方法是机组资源管理（CRM）。该方法起源于美国国家运输安全委员会和美国国家航空航天局在20世纪70年代初进行的研究，并首次发表于美国国家运输安全委员会建议A‐79‐047于1979年提出，该方法旨在通过关注人际沟通、领导力和驾驶舱决策来提高机组人员的表现（Keyes，1990）。CRM方法关注的不是操作飞机所需的技术知识和技能，而是紧急情况下管理飞行所需的认知技能。这些目标被转化为详细协议，指导机组成员不仅应对紧急情况的技术方面，还包括与其他团队成员的沟通。因此，该方法应对了紧急情况下可能出现的可预见挑战，包括机组沟通减少、错误决策增加以及偏离标准操作程序后纠正的可能性降低。CRM方法确保飞行员能够最大限度地专注于驾驶飞机的主要任务，并使工作负荷在机组成员之间均衡分配，通过信息交流保持协调与合作。

设计如何影响人类行为

“我们无法改变人类状态，但我们可以改变人类所处的环境”（Reason，2000）是人本设计的主要主题。因此，我们的设计方法应聚焦于构成人们所处环境的各种因素。我们可以考虑两种层面的条件——物理层面和认知层面。例如，在物理层面，由于我们的视力受限于眼睛的物理尺寸，呈现设计会影响人们能够看清标识的距离。在认知层面，我们知道，例如，噪音和干扰会影响决策能力。因此，如果我们能提供一个安静无干扰的环境，就可以帮助人们提升决策能力。

还有很多其他例子可以说明设计如何影响人类的行为，但在我们具体讨论应急设计之前，需要先从系统层面进行分析。我们应该了解参与该场景的参与者是谁，他们之间的互动是什么，以及我们的设计能够影响哪些行动。

应急系统的三大支柱

在设计解决方案时，我们需要首先审视整个系统，确定主要参与者，并了解影响其行为的因素。系统包含三个主要组成部分：周围环境、人工操作员和设备。良好的设计会考虑这三大支柱的特征与限制，以及它们彼此之间的交互。我们将首先描述这三大支柱，然后讨论它们之间的交互。

环境

环境包括系统运行所在位置的所有特征，例如位置、外部信息源、组织特征，甚至文化特征。设计质量取决于对与环境相关的大量数据点的研究广度和深度，以及将经验教训融入设计的程度。然而，环境本身无法被改变或控制。尽管环境的特征是我们系统的一部分，但我们应将其视为一种无法控制的外部力量。在许多情况下，设计人员错误地认为能够控制系统的环境组件，但现实证明这是不正确的，从而导致了系统故障。

虽然我们无法改变环境的特征，但环境确实会影响系统运行的方式，且其部分可能受其他系统控制。因此，环境需要被视为系统组件之一。环境有时可能是紧急情况的部分原因，有时也可能是解决方案的一部分。

以地震为例：如果一个房间没有被设计成抗震结构，它可能无法在这种情况下降保持韧性，并可能对occupants（居住者）构成威胁。另一方面，如果这个房间具备在地震条件下维持其韧性的特性，它就可能成为避难所的来源。

操作人员

操作人员是影响系统性能和效率的关键因素。即使技术能够独立执行任务，并且许多任务可以在无人为干预的情况下完成，操作人员仍扮演着重要监控者的角色，随时准备在系统开始超出其性能边界时进行干预。例如，谢里丹1978年量表从参与程度的角度定义了操作员角色，这一方法在自动驾驶汽车等系统中已被证明具有实用性（谢里丹、弗普兰克和布鲁克斯，1978年）。但定义操作员角色仅是问题的一部分。还必须设计出符合用户生理和认知能力及其局限性的系统。人机系统集成（也称为人因工程学）的研究为设计人员提供了工具和方法，用于研究操作员的行为与能力，以及其在系统运行过程中需要完成的必要任务。这种以用户为中心的方法指导了所有交互式设备元件的设计开发，包括呈现层和输入方法，使操作人员能够从系统的其他部分获取重要信息并施加控制。尽管我们称之为以用户为中心的设计，但需要注意的是，被设计的是设备，而不是用户。

设备

因此，设备是我们系统中的主要变量。设备可以是人造装置或一种过程，旨在与环境中的操作人员共同作为系统的一个组成部分来运行。设备是唯一一个我们实际能够设计或施加影响的系统组件，因此其设计过程最为重要。然而，尽管设备可被视为系统的核心，设计人员绝不能忽视其与另外两个支柱的集成及相互作用——即操作人员是谁，以及系统将在何处运作（环境）。

系统与三大支柱之间的互动

三大支柱并非彼此独立，它们之间的相互交互可能会影响系统结果。尽管只能对设备的设计进行调整，但如果忽视其与另外两大支柱的相互关联，可能会导致整个系统出现故障。例如，环境及其与操作人员的互动可能会给设备带来操作挑战，比如在黑暗环境中难以使用设备，除非具备辅助寻找控制装置的功能。充分考虑这一点的设计有助于克服并减轻此类局限性。

在系统层面，我们需要考虑韧性。系统设计人员应预见到系统不会始终在其定义的边界内运行，而确保系统在紧急情况下仍能正常运作是一项关键考量。故障和外部力量可能使系统脱离其舒适区，此时系统应能够应对这些情况，避免崩溃、失灵或产生不良后果。因此，在为紧急情况设计时，韧性至关重要。韧性被定义为系统吸收变化和干扰，并在预期和非预期条件下维持功能的能力（Fairbanks 等，2014）。在紧急情况下，有韧性的系统不应崩溃，而应继续正常运行。由于在我们的设计方法中，只能控制设备，因此我们应预测环境中可能发生的情况、设备可能出现的故障以及操作人员在紧急情况下的行为，从而在设备中设计特定功能，使整个系统具备应对极端条件的韧性。列出系统中的关键要素以及本系统与周围系统之间的依赖关系，有助于明确哪些功能需要设置冗余，以应对可能发生的故障。

应急设计指南

环境

尽管我们无法改变这一组件，但我们需要了解其特性，并知道它在系统中可能如何影响其他支柱。

紧急情况。一个给定系统的环境组成部分可能已经具备使其具有韧性的关键特性，但就本讨论而言，这些特性将不被视为本系统设计过程的一部分。这些特性可能由其他系统设计而成，当前的系统设计需要将其作为与环境交互的一部分加以考虑。然而，设计人员不能假设环境中的任何部分都是我们可以设计或配置的特性。例如，在设计一个新的911呼叫中心时，尽管呼叫中心的设计需要使用不间断电源（UPS）系统来确保可靠的电力供应，但UPS设备的设计并不属于呼叫中心设计的一部分。UPS设备将在另一个系统中作为组件进行设计，而呼叫中心将直接“原样”使用该UPS设备。因此，UPS设备将成为该系统环境的一部分。

操作人员

一旦我们了解了紧急情况下人类行为的特征，并据此开发设备，我们就应专注于对操作人员进行使用设备的培训。目标是使操作人员能够无需投入过多精力和注意力即可操作设备。这将确保即使在高认知负荷的情况下，操作人员也能执行必要的程序。在紧急情况下，人们会自发地行动，而应急设计应当引导他们无需计划和思考就能采取正确的行动。我们改变操作人员的能力仅限于培训。但除非这些行动变得“自动的”，即人类不再需要思考该做什么，而是自发地行动（卡尼曼，2011），否则培训在紧急情况下的作用很小。到了这一阶段，个人无需为此行动分配认知资源，因此即使在紧急情况下也能无缝完成。

为了将这一过程转变为“自动的”程序，我们需要对人员进行训练，直到行动成为一种习惯。实现这一目标的一个众所周知的方法是使用记忆法，这是一种用于记住步骤和程序的常用辅助手段。例如，其中一个CRM检查清单在紧急情况期间使用以下易于记忆的缩写来支持机组人员：
P—汇集事实
I—识别问题
L—寻找解决方案
O—操作
T—评估情况

另一种培训方法是通过模拟。克莱因在其著作《权力的来源》中得出结论：良好的模拟有时比直接经验能提供更多的培训价值。这也是我们越来越多地看到各种职业将其作为培训实践的一部分使用模拟工具的原因之一。

设备

设备应根据以下指南进行精心设计：
• 简单性——设计简单易懂且易于操作的用户界面。
• 独立性——设备不应依赖其他系统，并应具备可能的冗余连接，以避免单点故障。
• 韧性——设计时应考虑到设备可能发生故障，需准备备用方案。

简单性的设计是最复杂的。这是因为人类行为相比由环境或内部故障引起的物理故障更难预测。适合操作员的设计首先应使其能够控制设备，提供符合控制任务、环境以及操作员能力的控制装置。这种设计不仅应涵盖正常操作，还应包括故障情况和使用错误。此设计的一个重要方面是告知操作员系统状态的方式，以及他或她控制所需使用的工具。

设备需要向操作员提供必要的信息，以辅助其对系统做出控制决策，并提供可发送设备指令的工具。良好的设计应提供所有必要信息，但不会因信息过多而使用户感到不堪重负。这些信息应与当前系统状态和用户能力相关。

具备这些特征的简单工具的良好示例是规程和检查清单。这些应急工具易于遵循，所需记忆和规划最少，并且可以使用非常基础的材料进行呈现。

案例研究

本章节的这一部分展示了上述设计原则如何应用于应急设备的设计，以指导在紧急情况下的操作程序和人类行为。本章开头提出的大规模伤亡事件（MCI）示例将用于分析大规模伤亡事件应急包设计中体现的设计原则。尽管该应急包并非基于技术的工具，但基本的设计理念仍适用于其独特用途。

大规模伤亡事件

大多数紧急服务将大规模伤亡事件定义为伤亡人员数量超过现场可分配的医疗资源来救治的紧急情况。这些事件通常由事故、突然袭击或灾难引起。因此，大规模伤亡事件之间的差异大于它们的相似性。为了克服这种差异，已制定大规模伤亡事件协议以指导应对这些混乱事件，其主要目标是在尽可能短的时间内将所有伤亡人员转运至同时接诊的医院。

大规模伤亡事件协议指导抵达现场的紧急医疗服务（EMS）团队快速高效地开展行动。到达大规模伤亡事件现场后，紧急医疗服务现场指挥官即承担管理职责（沙皮拉和舍默，2002）。首要目标是评估并报告紧急情况。随后，在现场指挥官的带领下，团队开始实施大规模伤亡事件治疗程序，推动所有伤亡人员经历三个主要阶段：（1）分诊和挽救生命的干预措施，（2）将伤员转运至指定地点，以接受基本治疗以稳定其状况，并立即疏散重伤员，以及（3）根据分诊分类疏散所有伤员（艾纳夫等，2004）。这三大支柱可用于指导工具开发，以支持大规模伤亡事件指挥官应对此类事件。

大规模伤亡事件环境

可以想象，大规模伤亡事件环境极为混乱。紧急服务人员在应对伤亡人员时，应预料到现场环境将混乱无序，缺乏系统性的运作或安排。由于这是一种突发情况，现场发现的大多数人员可能会感到困惑，仅能提供有关事件原因和伤亡人员位置的部分信息。烟雾、黑暗和分散的位置可能会限制能见度，影响对现场情况的清晰了解。鉴于这些特征，急救人员可使用的应急工具应在最低照明条件下易于阅读，并且内容应简短、易于遵循。

大规模伤亡事件环境的另一个独特特征是，与其他工作环境不同，操作人员没有可以预先设计和规划的工作站。现场的位置甚至工具都可能有所不同，且操作人员在到达之前对工作环境知之甚少。因此，急救人员的设备应能在不同地形中可移动，并且不应依赖外部电源或照明。

大规模伤亡事件人因操作员

对于紧急服务人员而言，大规模伤亡事件极为紧张，因为缺乏必要资源，且他人的生命取决于他们的表现。操作人员需要在信息有限、条件严苛和高认知负荷的情况下做出大量决策，并对其行动进行优先排序。程序需要遵循的措施取决于许多参数，急救人员将不得不持续收集有关情况的额外信息，并相应地调整他们的决策。

为大规模伤亡事件培训和准备急救人员具有挑战性，因为很难模拟大规模伤亡事件伴随的复杂情况尤其是压力。在大多数紧急服务中，大规模伤亡事件指挥官接受过管理事件的培训，但由于没有两次大规模伤亡事件是完全相同的，指挥官必须接受过处理多种程序的培训，并针对特定的大规模伤亡事件做出诸多决策。这种灵活性需要难以训练和准备的技能，因为各种不同的参数使得明确每种行动方案的优缺点变得复杂。

大规模伤亡事件模拟是训练急救员团队在此类情况下工作的有效工具。逼真的模拟将要求急救员在资源有限的情况下处理大量伤亡人员，不仅训练他们提供救治的能力，也训练他们管理大规模伤亡事件行动的能力。这包括遵循为此类事件设计的特定规程。

大规模伤亡事件管理设备

在大规模伤亡事件期间，考虑到大规模伤亡事件环境和人为操作特性的各个方面的需求，使得设计大规模伤亡事件管理设备的任务变得复杂且具有挑战性。该设备应支持大规模伤亡事件治疗程序，引导指挥官完成上述三个主要阶段。我们将考察大规模伤亡事件指挥官正在使用的设备，并说明其如何在另外两个支柱的约束下进行设计。

大规模伤亡事件指挥官使用的第一个工具是急救员现场指南。这是一本列出急救人员需要遵循的主要规程的小册子，用于帮助他们回忆特定紧急情况下的协议。由于该指南体积小且包含多种情况的信息，大多数急救人员都会将其放在口袋中随身携带，以便随时取用。尽管这看似是一种非常低科技的信息获取方式，但其能够在任何时间、任何条件下（只要有光源）被访问的特点，使其非常适合大规模伤亡事件环境。

除了小型现场指南外，大规模伤亡事件指挥官还将配备一个大规模伤亡事件应急包，以支持其职责，并为到达现场的急救人员提供专为大规模伤亡事件设计的工具。为了能够有效履行指挥官职责，担任此角色的急救员必须易于被识别和听到。一件标有角色名称（医疗服务指挥官）的高可见性背心将告知所有人谁负责现场。电池供电扩音器将协助指挥官向其他急救人员和救援队传达指令。为帮助在高工作负荷下克服记忆局限性，大规模伤亡事件应急包还包括事件指挥优先级规程——在大规模伤亡事件期间应遵循的详细操作指南，以及工作表和剪贴板。

尽管急救人员始终需要评估患者的状况，但在大规模伤亡事件中，他们需要救治多名患者，这就产生了一项特殊需求——如何记录有关患者的信息，以便后续接手该患者的急救人员能够获得此前已收集的全部信息。大规模伤亡事件应急包配备了两种简单工具，用于传递这些重要信息。第一种是一套永久性记号笔，第二种是四种颜色的分诊标签：红色（急症）用于标记需要立即救治的伤亡人员，黄色（急症）用于可耐受救治延迟的重伤员，绿色（非急症）用于可以安全等待治疗的人员，以及黑色用于已死亡伤员。这些标签可在初次评估后快速标记伤亡人员的救治优先级。同样，简单性是大规模伤亡事件环境中的一项重要特征，因为这些工具无需特殊设置，可在任何条件下使用。这种简单性还有助于操作人员（急救员）作为记忆辅助工具，帮助其遵循大规模伤亡事件规程（图8.1）：

大规模伤亡事件指挥官所使用的设备遵循了本章节前面讨论过的几项基本设计原则：
1. 它们被设计用于在各种大规模伤亡事件环境中运行，因为它们不依赖于资源或环境中的特定条件。
2. 由于这些应急工具是非电子的，基于纸张和纸板制成，因此具有抗故障性，能够在极端和意外情况下有效运行。
3. 考虑到大规模伤亡事件中的人类状态，它们操作非常简便，可作为操作人员的提醒工具，引导他们完成所需的程序。

结论与意义

虽然我们无法改变人类状态，但我们的设计可以改变人类行为。充分考虑三大系统组件（三大支柱）之间互动的设计，能够构建出抗故障且即使在意外情况下也能正常运行的有韧性系统。

设计过程应从明确定义系统目标开始。接下来，需要定义系统边界——即会影响系统的要素和条件，以及系统在正常和应急操作期间将提供的所需功能。系统边界还将界定哪些部分将包含在设计中，哪些部分将作为环境的一部分提供给系统。然后，设计过程应识别环境对另外两个组成部分——操作人员和设备——的影响。设计应着重于我们希望用户执行的行动，以及设备必须具备的功能特性，以支持操作人员完成这些所需行动。

为应对紧急情况，我们的设计应考虑紧急情况的类型以及所需的行动。然后，我们需要设计设备，使用户能够自发地执行这些行动，而无需进行任何决策，并且在设计设备时不应依赖外部资源。最后但同样重要的是，我们需要对操作人员进行培训，使他们能够在紧急情况下操作设备并实现系统目标，即使在人类决策能力受限时也能如此。