图片说明：2015年11月9日，张先生从沈阳搭乘中国南方航空CZ6101次航班飞往北京首都国际机场，飞行中突发肠梗阻，空乘帮助联系了地面救护车。但飞机落地后，空乘和急救人员为谁该抬旅客下飞机发生争执，最后旅客只好自行下旋梯再爬进救护车。23日，南航已派人登门致歉，北京首都国际机场急救中心也发出致歉信。本文头图经视觉中国授权，未经允许，不得转载。
近日网上“南航急救门”事件在网上不断发酵，事主张先生11月9日从沈阳搭乘南航CZ6101次航班飞往北京首都国际机场，航班起飞后自己身体出现不适，疼痛难忍，最终抵达北京机场后由于飞机滑行故障，舱门无法打开，坐等50分钟，拖车到达将飞机拖至停机位后方才打开舱门。而在病人如何由机舱运上救护车问题上，机组和救护人员出现推诿。在此生死关头，求生的欲望驱使病人自己 “半蹲半爬”下了舷梯上了救护车，急送医院动手术……
张先生在经历漫长而又离奇的15个小时之后，终于劫后余生。张先生在最后虽表态其无意追溯各方责任，但希望南航和机场通过调查事件的经过，发现目前应急机制上真正存在的问题，并给出改进的方案，以杜绝类似事件发生。
网上有很多专业人士已经对此事件进行了大讨论，大家的观点多数集中在批评机组和机场人员道德观念薄弱、专业技能不足、机舱应急机制不全强等方面。但笔者认为，一架载满旅客的航班从起飞到落地其实是一项运作复杂的系统性任务，涉及到机组、运控、配载、机务、机场、空管（塔台）等众多运行保障单位，这个链条状系统上的任何一个环节都有出故障（出错）的可能，如果不从系统整体的角度来分析，就定位不准导致此次事故的真正原因，也无法分析出提升整体效能的有效措施。
从目前网上看到的机场方和南航方的回应来看，类似的事故不排除会再次发生。 因此，本文拟从系统运营的角度来做一个简要分析，并提出相应的分析方法和建议，亦可应用于电信服务、生产加工等其它需要多环节处理的场合。
张先生的遭遇不是个案，但由于他自身强烈的求生欲望，改变了事情发展最终的结果，因此他还算比较幸运。
先说一个关于17岁少女杰西卡·桑蒂连（Jesica Santillan）的真实悲剧
2003年2月，一个来自墨西哥的少女杰西卡在美国杜克大学的器官移植中心死于心肺移植手术，死因是她和器官捐献者的血型不匹配。这个事故在美国成为了轰动一时的事件，并获得了广泛关注，后期引起了整个美国社会对医疗救护、社会伦理、移民管理等问题的大讨论（亚马逊网站上还有一本专门介绍此事故的书《A Death Retold: Jesica Santillan, the Bungled Transplant, and Paradoxes of Medical Citizenship》）。
事故的过程是这样的：新英格兰器官库（ the New England Organ Bank）为需要器官移植的病人提供器官。杰西卡的外科医生（一位在医疗界著名的医生）贾格斯医生在一天深夜里接到了新英格兰器官库的电话，说为贾格斯医生的另一个病人用的器官找到了，但贾格斯医生认为这些器官对那位病人来说并不合适，于是他在电话中询问了器官库的人，能否将器官用于杰西卡身上。
新英格兰器官库不知何种原因，认为如果贾格斯医生是在为杰西卡寻找那些器官，那么贾格斯医生所在的杜克大学移植中心自然会去先进行血型的匹配。而贾格斯医生则想当然地认为如果新英格兰器官库能为杰西卡提供器官的话，他们肯定会先检验好血型，结果到头来没有一个人去检验过血型。
这里与“南航急救门事件”中的张先生不同的就是，张先生可以自己忍痛自救，“半蹲半爬”下了舷梯上了救护车，而杰西卡没有可能自己爬起来向医生提出必须要验血型匹不匹配。手术就在双方各自想当然认为对方已经完成了血型匹配的状况下进行了，结果导致了杰西卡的死亡。
杰西卡离世以后，专家小组围在一起讨论整个流程中到底是哪里出了差错。事实上新英格兰器官库的流程中，对于血型匹配这个环节一共配备有12位医护人员，以确保不遗漏检查。通常情况下，如果有一个人忘了检验血型，按理来说另外十一个人至少有一人会意识到错误，所以在器官库的单一流程中这种失误是基本上可以避免。
但是由于涉及到了与贾格斯医生沟通，又换了一个病人受体，因此系统交界两个环节的衔接出了问题，而当时又缺乏必要的冗余措施，结果酿成悲剧。而从张先生和杰西卡所遭遇的事件来看，都涉及到一个多环节系统如何有效运作的问题。
我们下面接着来看看一个简化的例子
我们在制造业的生产线上可以经常看到如上图所示的流水线，为简化起见，假设上面代表的是一个笔记本电脑组装生产线，包括有5道工序。如果每道工序有1%的可能出现差错导致次品，那么能否测算这条生产线的成品率是多少？学过概率的朋友很容易解答出这个问题。经过第一道工序之后的成品率是（1－1%）＝99%，经过5道工序之后的成品率是99%的5次幂等于95%，也就是说次品率等于5%。
而更进一步，如果上面的工序较为复杂的话，假设有50道工序，其它的条件不变，则最后的成品率是99%的50次幂等于60%，也就是说次品率等于40%，相当惊人是吧？
这个简单的例子可以说明，即便是每个环节中出问题或故障的概率很低，但如果不加控制的话，在最后的输出环节导致问题或故障的概率远比我们预想中的要高出许多。而在实际的制造行业或其它服务性行业中，由于存在的环节更为复杂多变，我们则更需要从系统运营的角度采取手段加以控制，才能降低最后输出故障或事故的概率。
但是具体如何做呢？ 我们再看一个与事故和灾害有关的模型
如上图所示，在wikipedia上可以找到由英国心理学者詹姆斯·里森 ( James Reason ) 研发出的一套分析事故和灾害，并进行风险控制和分析的模型，这个模型通常被称为瑞士奶酪模型 ( Swiss Cheese Model )。模型的概念如下：
切成片的瑞士奶酪中会有好些洞洞，每一片奶酪的洞洞位置可能都不同，我们可以称之为随机发生的“缺陷”。当我们把随机捡起的很多片奶酪一层层往上叠的时候，会发生什么事？由于你把奶酪很多层叠在一起，你越来越不可能立刻看穿所有切片，不过这个概率仍旧不为零。
有一个很小但是可能的几率，当你把奶酪片堆起来后，不同奶酪片上的某个洞洞，也就是“缺陷”排成了一条线，如图中的红色线条。你的视线可以由这个很小的洞洞穿透所有的奶酪片，这时候，也就意味着中国的一句古话，”祸不单行“、”屋漏偏逢连夜雨“，一系列的疏忽或出错最后导致了巨大悲剧或事故的产生。
而在网络上所报道的许多导致巨大伤亡的灾害事故，调查小组经常会把责任归咎于人浮于事、制度建立不全、最后一个环节把关不严等等，殊不知从全系统运营的角度来看，产生事故的原因就是由于每片“奶酪”对应的环节缺陷由于缺乏控制，最后形成了一条缺陷直通的通道，而且各片“奶酪”上的缺陷发生存在波动性，最后这条视线可穿透所有奶酪的通道也可大可小，意味着概率也随之变化。
那如何进行风险或故障的控制呢？应用这个模型，在上图之中，同样用笔记本装配线的例子，如果通过在每个环节增加冗余检验的步骤（图上用橙色表示），每个环节点的次品率仍然都是1%的话，最后总的次品率现在是多少？可以理解的是，此时如果终点还出现次品，则必须每个环节的冗余检测都出现漏检的情况，而这个概率，是0.1的五次幂，也就是说现在终点产生次品的概率大大降低为0.1的五次幂，而相应的，成品率为1 减去0.01的五次幂，得到了大大提高。
由于"冗余"步骤的介入检测出了次品，整个系统的成品率得到了几何级数的提高，当然，由于系统每个环节都加入了“冗余”的检测步骤，相应的成本也会增加，但是，风险得到了有效控制。这就是瑞士奶酪模型传递给我们的参考价值。
好了，到这里大概各位已经明白我想要表达的意思了。从让一个完整系统有效运营的角度来分析，我们必须——
找出“南航急救门事件”中应急系统存在的关键环节，并在这些环节中加入必要的“冗余”检验
同时考虑到各环节不同的特点和波动性，所增加的冗余资源也有不同。这里可以画出张先生“南航急救门事件”所涉及系统运作的流程图，如下图所示，其中“地勤服务”环节涵盖了“廊桥接机”、“舷梯车”、“拖车”等环节：
整个系统所涉及的包括三大角色包括机组、机场、医院，而最重要的调度方在塔台应急小组和120应急小组。
当飞机在飞行途中有旅客突发急症的紧急事件时，若处于飞行状态，则应由机组人员进行应急处置。而当飞机着陆后，就应有塔台应急小组协调各方进行处置，尤其是机场的地勤服务和救护待命小组的协调。而当病人转运上救护车后，即转由120应急小组进行协调处置。
在病人流转的过程中，塔台应急小组和120应急小组需要进行实时动态连接。每一个环节的橙色含义是，当出现异常情况，该环节无法向下走的时候，必须进入冗余步骤，即立即灵活处置或向上一级（病人在机场内时，为塔台应急小组协调员；病人已在救护车上时，为120应急小组协调员）请示并得到协调处置，以免耽误宝贵的救治时间。
如在“地勤服务”这个大环节中，塔台应急小组在收到机组反馈的病人状况后，完全可以紧急调度飞机不要滑行至远端机位，而是就近安排至最近的廊桥安排救护收病。此次事件中机组曾经联系塔台，希望能派急救车、楼梯车来滑行道先把旅客接走，但没得到答复。而且，飞机滑行时刹车系统出现故障不能继续滑行时，塔台可以紧急调度拖车，但却足足等了50分钟。可以说在“地勤服务”的冗余步骤中，所有的冗余都失效了。
因此，笔者认为这是一个事后追责的一个关键点，因为这个关键点的“冗余”步骤失效，完全可能导致一个孕妇的死亡或张先生的离去。当然万幸的是，在“南航急救门事件”中，在“救护收病”这个环节，张先生忍着剧痛自己启动了系统外的“冗余”步骤，用自身的灵活性推动了系统的流程进展。他的这个动作实际上成为了改变系统结果的最重要的一个变量，如果不是这个变量的加入，靠未配备“冗余”步骤的北京机场的应急系统，恐怕此次事件会酿成悲剧也未可知。
最后，有人说如果这次“南航急救门事件”的当事人如果是一个政府官员或公众人士，可能所有的环节都会如应急演习一般迅速良好的运转。但在这种突然发生的应急事件中，我们的应急机制如果能够体现出对每一个不分贵贱生命的尊重，才真正是检验一个国家良心的尺子。
希望本文所提到的用全系统运营的观点来审视流程中出现的风险环节，并落实“冗余”步骤的方法能为相关部门所用，从而减少类似事故的发生机会，善莫大焉。
参考文献：
1、“Swiss cheese model”，https://en.wikipedia.org/wiki/Swiss_cheese_model
2、 运营管理概论（中文版）
by Christian Terwiesch， https://class.coursera.org/whartonoperationszh-002
备注：授权虎嗅独家发表，联系人：李学军：QQ:627055821，Email:leeon.lee@189.cn