中國的很多安全事件發(fā)生，好像習慣了先撇清自己責任的模式。寧波老虎吃人，園方立刻說，那位游客因逃票翻墻進入虎園。針對園區(qū)管理不規(guī)范的質(zhì)疑，園方又說，虎園圍墻3米多高，而且掛有“內(nèi)有猛獸，請勿攀爬”的警示牌。如果這樣模式處理事故，類似事故永遠不可避免。

曼徹斯特大學教授James Reason事故奶酪模型（事故致因鏈）認為：

事故的發(fā)生不僅有一個事件本身的反應鏈，還同時存在一個被穿透的組織缺陷集，事故促發(fā)因素和組織各層次的缺陷（或安全風險）是長期存在的并不斷自行演化的，但這些事故促因和組織缺陷并不一定造成不安全事件，當多個層次的組織缺陷在一個事故促發(fā)因子上同時或次第出現(xiàn)缺陷時，不安全事件就失去多層次的阻斷屏障而發(fā)生了。

（Reason 2008年事故致因模型）

組織的各層次是事故防御系統(tǒng)的各個層面，各層面的缺陷好象不同奶酪切片上的許多孔洞。一個奶酪切片上的孔洞不一定會造成壞的結果，但當不同切片上的孔洞（缺陷）穿起來成一條直線的時候，壞的甚至更壞的結果就出現(xiàn)了。奶酪中的孔洞（缺陷）一般來源于兩個原因：主動失效（active failures）和潛在失效（latent failures）。主動失效一般是指人的不安全動作，對防御系統(tǒng)有直接的影響，通常都是短暫和偶然發(fā)生的。潛在失效一般是指組織管理缺陷，如設計的不足、管理決策的失誤，它是長期的和表面上不可見的，但當它與促發(fā)事故的主動失效因素共同作用的時候，也就凸顯出來，變成了可見的孔洞（如圖，事故箭頭穿透孔洞，事故發(fā)生了）。

主動失效源于人的偶發(fā)的、不可控的不安全動作，但如能在事故發(fā)生之前，對潛在失效因素進行分析、補救和主動管理起來，事故就不一定會發(fā)生或事故損失小，或者不一定會造成更大的損失（事故箭頭無法穿越全部孔洞）。反之，更大的事故損失往往是眾多因素組合失效的結果。

寧波老虎吃人的事故奶酪也如此，無論老虎放養(yǎng)區(qū)有隔離河、界區(qū)有柵欄屏障和警示牌，其奶酪切片一定存在潛在失效的孔洞（園區(qū)管理缺陷），否則事故就不會發(fā)生了：除了柵欄屏障和警示牌，是否設置攝像警戒探頭、跨越紅外報警等裝置，或者對高危猛獸區(qū)外圍設置兩道鐵絲網(wǎng)柵欄，從而打消游客攀爬的念頭（即使自殺也沒可能），或者這是遲菲所說的本質(zhì)安全。

去年北京老虎吃人，園區(qū)也一樣存在潛在失效的孔洞。園區(qū)之后進行了安全設施改造，老虎活動區(qū)與自駕車設置隔離河。網(wǎng)友提出的“雇人每天喊300遍‘別下車’、進入虎園自駕車車門貼封條”，其實不失為園區(qū)防范潛在失效（園區(qū)管理缺陷）的辦法。

沒有絕對的安全，安全防范細節(jié)“永遠在路上”。即使看似完善的本質(zhì)安全（即Reason事故奶酪中的Unsafe conditions），出事故的概率仍然存在，因為系統(tǒng)里最不可靠的人因素、主動失效因素仍然存在（即Unsafe acts）。這是對安全事故機理的科學認識。

Reason模型有利于我們理解并做出積極的、事前安全風險管理，而不是被動的、事后反應；有利于組織去追求識別潛在失效因素（安全風險）并管控，而不僅是糾纏于防止主動失效因素的避免，從而使事故防御系統(tǒng)具備更高的安全可靠性。北京老虎吃人事件后，有位網(wǎng)友的觀點：我是人，我有可能犯錯誤。在你的地盤，在你的管理責任范圍內(nèi)，你應該想方設法讓我少犯錯誤，這才是正道！

關于瑞士奶酪中hazazd的理解

Prof.Reason在瑞士奶酪模型中并沒有說明Hazard是什么，但他在列舉時，列舉出了物質(zhì)、能量和毒性（mass, energy or toxicity），即物的方面，但沒有說明它的來源，認為它在滿足條件時就會發(fā)作而釀成事故。Reason認為hazard是生產(chǎn)過程中當然存在的東西，不用管它從哪里來、何時發(fā)作以及怎樣發(fā)作釀成事故，努力做好防護就是。也因此，瑞士奶酪模型中沒有根源原因這個概念，而特別重視防護措施（defences）是否有缺欠。

重視防護措施沒有錯，但“不管它從哪里來”這一點與現(xiàn)場實際不大相符，實際工作中必須要把hazard找不出來，減弱它的危險性（risk）、甚至消除它，這樣才能預防事故。至于所找到的hazard是不是事故的根源原因，那倒沒有多大關系，盡可能把hazard找全更重要。

瑞士奶酪模型沒有說明hazard的來源，這樣理解也不算背離它的思想（瑞士奶酪SCM是一個大框架，可以有很多理解，也因此Reason在1997年SCM的奶酪上不做任何文字標識，因為標什么都不能表達奶酪、孔洞的思想）：hazard來自于輸入生產(chǎn)系統(tǒng)的原始資料或輸出產(chǎn)品等物的方面、生產(chǎn)過程中原始資料和人力資源、相互關系等的不安全處理行為。不安全處理行為或者簡稱為不安全行為，從高級管理層到中級管理層到一線員工，都在累積著、形成著。由此是不是可以理解瑞士奶酪模型中的箭頭到尖端方向逐步變粗呢？恐怕還不能這樣理解，因為很多圖中，箭頭并沒有粗細，而是一個等粗的箭頭。另一個問題是，盡管在瑞士奶酪上將hazard畫在事故發(fā)生過程的起始位置上，但是并不能將這個“起始”位置理解為生產(chǎn)過程的起始端，在生產(chǎn)過程的末端即產(chǎn)品端、中間過程都可能有hazard存在。“起始”位置僅僅是事故發(fā)生過程的“起始”位置而不是生產(chǎn)過程的“起始”位置。歸結起來，把Reason的RCM上的hazard理解為人的不安全行為和物的不安全狀態(tài)也未嘗不可。

不管理論家認為hazard的中文是危險、危險源或者隱患或者其他的什么，實際工作中確實有hazard identification這個說法或者做法（見下圖）。識別什么呢？當然是識別不安全物態(tài)和各類不安全行為，參考ISO45001（DIS版）等標準可知。很多的情況是按照規(guī)章去識別，當然還有一少部分不安全物態(tài)和不安全動作在章程上并沒有，也就談不上違章，但卻是不安全的。由此可以看出，hazard就是不安全物態(tài)和不安全行為。如果此時將hazard翻譯成危險源，那么危險源就應該包括不安全物態(tài)和不安全行為。

英文里沒有隱患一詞。如果將隱患理解為事故的直接來源，那正好隱患就是hazard，按照上面的理解，那隱患就等于危險源。如果將危險源理解為隱患的來源（管理好的危險源不出事、管理不好的危險源就變成了隱患，即事故的直接來源），隱患導致事故（“危險源→隱患→事故”），這種理解和英文無法對應。只在一種語言里面能表達，在另一種或幾種語言中不能表達的東西，其科學性應該是不大可靠的。

不能不承認的是，在中文里面或者說在我國，多了隱患這個詞匯，是把事故的發(fā)生根源區(qū)分得更細致了，不但把達到某一指標的儲氣罐理解為危險源，還把它的缺欠（泄漏點）理解為隱患。但是按照英文世界的理解，把儲氣罐上的缺欠（如泄漏點）這一個東西，叫做危險源或者隱患，其實也并不影響實際工作的細致和效果。弄兩個詞出來，即使人糊涂又與英文表達不接軌，平添困難，與實際工作也并無多大幫助。既然詞匯已經(jīng)出現(xiàn)了，只能采取中英文分開理解的辦法了。

至于說實際工作中把整個儲氣罐而不是其上的泄漏點當作危險源，只要把概念使用加以修正就可以符合英文世界的含義。