胡月亭高级工程师
（中国石油质量安全环保部，北京 100007）
作者简介：胡月亭，中国石油质量安全环保部HSE体系处处长，中国石油大学、中国地质大学、重庆科技学院硕士研究生指导教师，中国技术经济研究会高级会员，美国SPE期刊、英国BMR、《中国安全科学学报》等学术期刊编委或审稿人，著有专著3部（其中，英文专著一部）、译著1部、主审2部、合著10余部，在中外期刊发表研究论文50余篇。
1
【摘 要】本文通过对奶酪模型理论、能量意外释放论存在问题的分析，基于日常工作实践及相关理 论，首次把能量意外释放论与奶酪模型理论结合在一起并加以修正，提出一种新型、实用的屏障模 型，该模型结构简单、层次清晰，不仅消弭了奶酪模型理论、能量意外释放论各自的一些缺陷，而且 还揭示了事故发生的内因、外因，尤其是在事故预防与事故原因分析等方面都有着独特的优势。
【关键词】能量意外释放论；奶酪模型；事故致因模型；事故预防；事故原因分析
0 引言
虽然奶酪模型、能量意外释放论广为业界所认可，但在实际应用过程中，也出现了一些问题，如，奶酪模型有关“任何屏障都有缺陷（漏洞）”观念，已给日常风险防控工作带来不重视屏障质量的负面影响，此外，奶酪模型主要是对人不安全行为的防范，对事故致因的解释采用了比喻方式，也没有对模型中屏障给出明确定义，且模型中的Hazard存在定义宽泛问题等[1-7]。另外，能量意外释放论虽然抓住了事故致因的核心——能量，但并没有对能量为什么会意外释放，给出科学、合理的解释，所有这些都影响着其作用的发挥。
本文基于事故防控工作实践以及相关理论，通过对奶酪模型、能量意外释放论的深入分析研究，在二者基础之上，构建了一种新型、实用的屏障模型，企图解决上述问题，以期更好地服务于事故防控与原因分析等工作。
1 问题分析
1.1 能量意外释放论问题分析
如前所述，能量意外释放论只是认为非需能量的意外释放，是导致事故发生的根本原因，但能量为什么会意外释放，能量意外释放论并没有给出科学、合理的解释。对于能量意外释放的原因，奶酪模型做出了合乎情理的解释。该理论认为，任何防范屏障都像瑞士奶酪片一样存在孔洞，每层奶酪片上孔洞的尺寸和位置随时间而变动，当所有屏障上的孔洞都位于一条直线上时，就形成了通路，能量或有害物质就会像光线一样穿透所有屏障而被意外释放，从而导致事故发生[1]。
1.2 奶酪模型问题分析
奶酪模型虽然对能量为何会意外释放给出了合乎情理的解释，但其自身也存在一些问题，下面就奶酪模型存在的几个主要问题进行分析。
1.2.1 奶酪模型中Hazard问题分析
在奶酪模型中，类似“奶酪片”屏障防护的是Hazard（危险源），而国内外相关标准都对Hazard给 出了一致的定义：可能导致人身伤害和（或）健康损害的根源、状态或行为，或其组合[8-9]。根据两类危险源理论，这里的“根源”即能量或有害物质，是需要防控的事故“元凶”，而“状态或行为”则是导致约束、限制能量措施失效或破坏的不安全因素，也即防控屏障上的漏洞。由于Hazard中“根源”与“状态或行为”的性质完全不同，需要防控的是能量或有害物质，而不是Hazard，因为它的外延太过宽泛。
1.2.2 奶酪模型屏障类型问题分析
瑞森教授构建的奶酪模型共有3个版本，分别为MarkΙ、MarkП与MarkШ[1]，如图1。
在MarkΙ中， 高层决策问题、直线组织管理缺陷、不安全行为的前提条件以及不安全行为等因素，影响着屏障的性 能，导致屏障上出现了能量泄露的通道——漏洞， 如图1左。在MarkП中，屏障影响因素由MarkΙ中的 4个演变成了3个，即，组织、工作场所和人员，其中， 组织又包括企业文化、组织过程及管理决策。同时， 屏障的数量由MarkΙ中的一个变成了3个，出现了 奶酪模型的雏形，如图1中。在MarkШ中，屏障影响因素与MarkП基本相同，只是把位于“尖端”的“人 员”又换成了MarkΙ中的“不安全行为”。另外，在该 版本中，把屏障影响因素由屏障一侧移到了屏障的下方，在该位置增加了Hazard，形成了由Hazard、防控屏障以及（事故）损失3个事故模型基本要素所构成的奶酪模型常见样式，如图1右，至于其中的防控屏障究竟是什么，3个版本均没有给出明确的说明。
正因为在奶酪模型没有给出有关防控屏障的明确定义，致使人们对奶酪模型中的屏障理解，与客观现实有出入，也与瑞森教授所构建的奶酪模型未必一致。目前，国内外对奶酪模型的理解，倾向于把所有对能量起防控作用的因素都作为奶酪模型中的防控屏障，如，美国CCPS出版物以及我们国内的教科书有关奶酪模型的描述都是如此[10]，如图2。
鉴于防控屏障的定义比较宽泛，把所有对能量防控起作用的因素都作为防控屏障并无不妥[11]，组织的各个层面都有防止能量失控的屏障[1,5]。但问题是，不同层面的防控屏障在防控能量过程中的地位与作用并不相同，因此，把它们混放在同一层面上未必合理。单就奶酪模型而言，其中的屏障应是瑞森教授所指的“尖端”。一是因为“尖端”处于能量防控的最前沿（尖端），起着直接防止能量失控的作用；二是由于它位于瑞森教授所罗列屏障的“尖端”，受其后“组织”、“工作场所”等屏障的影响[1]（MarkП&Ш）。虽然在奶酪模型的3个版本中，“尖端”位置的因素有的是“人员”（MarkП），有的是“不安全行为”（MarkΙ&Ш），但实质上就 是“人员”，也即直接接触能量或有害物质的一线员工，他们就是防止能量失控的直接屏障，而“不安全行为”则是“人员”屏障上的漏洞，也可理解为“人员”屏障的反面（对立面）[12]，它是导致事故发生的直接原因。
鉴于除人的不安全行为之外，物的不安全状态也是导致事故发生的直接原因，因此，作为“物不安全状态”反面（对立面）的硬件设备设施，也应是直接防控能量失控的屏障，但由于瑞森教授是心理学家，主要关注人而未研究物对能量防控的影响[2]。总之，通过上述分析可知，直接防止能量失控的屏障， 应为人员屏障与硬件屏障[3]，其余的应作为直接屏障的影响因素——间接屏障。
诚如前述，实际工作中，直接防护能量或有害物质的屏障只有“硬件屏障”与“人员屏障”两种类型。在硬件屏障中，既包括硬件设备、设施、工器具， 当然也包括安全附件等，因为它们或是能量载体（如飞行的飞机）或作为能量或有害物质的容器 （如高压储罐、管道）等，直接与能量或有害物质接触；在人员屏障中，主要指一线岗位员工（如飞行员），他们工作在生产经营一线，直接接触或通过硬件接触能量或有害物质。总之，他们（它们）对能量或有害物质都起着直接的防控作用，故称直接防控屏障，简称直接屏障。
所谓直接屏障就是直接作用于能量或有害物质防护的屏障，也即出现在模型中的屏障，相反，间接屏障则是只能通过直接屏障而发挥作用，或者对直接屏障产生影响的屏障，因此，间接屏障可称为直接屏障的影响因素或者屏障影响因素，由于其作用已通过直接屏障表现出来，故应隐藏在直接屏障背后，不能再与直接屏障一起出现在模型中。
相对于人员、硬件之类的直接屏障，其影响因素“组织”、“工作场所”，或直线组织的监管、高层的决策乃至其组织的（安全）文化，或者其执行（责任）人、主导者——组织的高层领导、直线管理人员等相关人员，虽然他们对于能量或有害物质的防控至关重要[1]，但他们并不直接与能量或有害物质相接触，而是通过人员、硬件屏障发挥作用[3]，因此， 它们就属于间接屏障。由于间接屏障的作用已通过直接屏障表现出来，如果对二者不加区分而混淆一 起，放到同一个层面上，就会造成相互重叠、重复计数，既不科学合理，也不符合实际，更不利于现实工作中的事故预防，如壳牌公司就要求对高风险的防控至少设置3层以上的屏障[12]，这些屏障就必须是直接屏障。
1.2.3 奶酪模型屏障性质问题分析
如前所述，虽然奶酪模型能对能量意外释放的原因做出合理的解释，但其文学式比喻形式不适于对科学模型的解释[1,4]，更何况“任何屏障都像奶酪存在缺陷（漏洞）”观念，已经造成了不重视风险防控措施质量的不良影响。
Dekker[6]以及Shappell & Wiegmann[7]等对此类问题提出具有代表性的质疑：屏障上为什么会有孔洞？屏障上的孔洞究竟是什么？为什么孔洞的尺寸、位置会随时间而发生变化？为什么当所有屏障上的孔洞在一条直线上就意味着发生了事故？等等。
实际上，现实工作中的事故防控屏障的不完善是客观现实，并不难理解，未必一定要假设为带有孔洞的奶酪片。因为任何事物都有其自身的薄弱之处，如，钢铁虽坚固但会被腐蚀，玻璃虽硬但易碎，橡胶柔韧但易老化等，再如，采用螺栓固定会出现螺母松动、脱落，等等，是物都有可能会因其自身特质缺陷而出现不安全状态；同理，由于人是具有主观能动性的高等动物，是人都可能会出现不安全行为。总之，无论人或物都有自身缺陷，它是由人与物自身的本质特征所决定，这种人员与硬件屏障自身具有的特质缺陷被称为潜在型危害因素[13]，它是一种客观存在。
正是由于人员与硬件屏障都有其特质缺陷，为防止因此出现问题，就应针对其特质缺陷，采取相应的预防措施，使这种缺陷始终处于潜在状态，如，通过强化对员工教育培训与监督，防止人的不安全行为，做好对钢铁壳体防腐工作，橡胶制品则在其将要老化前及时更换……总之，虽然所有屏障都有失效（出现不安全行为或不安全状态）的可能性，但由于预防工作得力、到位，实际上并没有出现不安全行为或状态，使得这种特质缺陷始终处于潜在状态，屏障就能够有效发挥作用，这种状态在屏障模型图中以虚线孔洞示意，如图3左。相反，如果预防工作不得力、不到位，如橡胶制品已经老化仍未更换，螺栓出现了螺母松动、脱落，人员出现了违规行为，等等, 使得这种特质缺陷由潜在变成了现实，这时的屏障也就失去了应有的防控作用，这种状态在屏障模型图中以实线孔洞示意，如图3中。潜在型危害因素失控就成为了现实型危害因素[13]，现实型危害因素就是我们所谓的隐患。
对于硬件屏障而言，屏障一旦失去作用，这种状态会一直持续下去，除非采取了相应措施，如进行了修复或更换，如图3右，否则就不会再发挥作用。由于出现问题的屏障被修复或更换之后，缺陷重新回到了潜在状态，因此，图中左右两个屏障是等效的，如图3。相反，人员屏障会出现时而起作用时而不起作用情况，因为人员屏障当事人的安全行为（遵章守纪）与不安全行为（违规乱纪）易于变换，相对于硬件屏障，具有易变性。
总之，屏障能否发挥作用，主要取决于其自身特质缺陷问题，但也不排除还有其它方面的原因，因此，做好屏障维护工作，应重点做好对屏障本质缺陷的维护与预防，在此基础上，还有根据具体实际，考虑其他可能出现的情况。
2 模型构建
基于上述分析，根据两类危险源理论，在能量意外释放论、奶酪模型基础之上，构建了一种新型的事故防控模型。该模型在结构形式上类似于奶酪模型，也具有3个要素：能量或有害物质、防控屏障以及失控所造成的事故（注：图4为未失控情形，故无事故）。但在组成成分上，其与奶酪模型又有着很大的不同。首先，在防控屏障类型方面，一方面，防控屏障只有直接屏障,间接屏障作为直接屏障背后的支撑，并不出现在本模型之中，解决了直接屏障与间接屏障之间的混淆问题；另一方面，直接屏障既有人员屏障也有硬件屏障，弥补了奶酪模型中缺乏对物的不安全状态防控的缺陷。其次，在防控屏障性质方面，防控屏障虽有出现漏洞的可能，但 所设置的防控屏障不应有漏洞，因为一旦出现了漏洞就起不到应有的防控作用，而非像奶酪模型所示的那样所有屏障都有漏洞。另外，在该模型中，把导致事故发生的致因物定义为能量或有害物质，而非 Hazard，这既符合能量意外释放论原理，也解决了原奶酪模型中Hazard外延过于宽泛的问题。
本模型中的屏障并不喻作带有孔洞的奶酪片，而是现实屏障的示意图片，对事故致因的解释不像奶酪模型那样，“屏障上孔洞的尺寸、位置会随时间而发生变化，当所有屏障上的孔洞在一条直线上就意味着事故的发生”，而是因为对能量或有害物质的防控一般都具有多重屏障，只要其中任何一个屏障能够发挥作用，就能够确保能量或有害物质的受控，只有所有屏障都失去了作用，事故才可能发生，如图4，因此，本模型既强调屏障数量又注重屏障质量。
3 模型释义及其功用
3.1 模型释义
本文把防控屏障分为直接与间接屏障两类。在该模型中，防控能量或有害物质意外释放的防控屏障只有直接屏障，但直接屏障能否发挥作用取决于间接屏障[3]，因此，在分析研究直接屏障时必须联系间接屏障。这样，一则避免了把直接屏障与间接屏障混为一谈，解决了直接屏障与间接屏障间的数量重复、功能重叠问题；二则使得直接屏障与间接屏障间层次分明、逻辑清晰，在直接屏障的基础上，分析研究间接屏障，能够追本溯源，形成环环相扣的因果关系链条，尤其有利于事故原因的追溯分析[14]。更重要的是，这符合客观实际情况，因为无论是LOPA、Bow-Tie等风险管理工具方法中的防控屏障，还是实际工作中的各种风险防控措施（屏障），直接与能量或有害物质接触而发挥防控作用的，就 是人员、硬件屏障两种类型[11-12，14]，其它类型的屏障 （措施）并不直接作用于能量或有害物质的防控。
（1）在人员屏障方面。人员屏障主要通过人们对规程、措施等的执行，产生正确规范的动作行为而发挥作用。这里的人员并不以蓝领、白领区分，而 是看是否从事一线岗位工作，如工厂的操作、检维修人员，医院的医生、护士以及飞行员、驾驶员等，就是充当人员屏障的一线岗位员工。当然，当管理 （决策）人员从事一线员工业务时，也将被视为一线员工，如医院院长主刀做手术时，就是在作为一线岗位员工——主刀医生而发挥作用，而不是在行使医院院长的管理（决策）职能。
（2）在硬件屏障方面。硬件屏障主要通过硬件的完好性而确保其有效发挥作用。硬件既包括设备、设施、工器具，也包括安全附件等，安全附件只有安全防护功能，而设备、设施、工器具等，与人员屏障一样，一般都具有实用与安全两个方面的功能，如压力容器，既起到容纳高压物质的容器作用，也起到防止其泄露的安全防护功能。有些硬件屏障能够单独发挥作用，有些硬件屏障则需与人员屏障 一起才能起作用。
（3）关于间接屏障。虽然组织的管理与监督等间接屏障在风险防控中发挥着极其重要的作用，但它们并不直接作用于能量或有害物质，而是通过一线员工或硬件设备设施而发挥作用。如，在人员屏障方面，通过组织管理，选择合适的岗位员工，并进行有效的培训，使其能够胜任本岗位工作，再加上组织的监督，确保其正确履职，就能够使人员屏障的作用得以有效发挥；在硬件屏障方面同样也是如此，通过组织管理，首先组织相关人员做好硬件的设计、建造与安装等方面的工作，在此基础上，再组织做好对硬件运行期间的检查、维护工作，使其功能正常发挥，就能够确保硬件屏障有效发挥作用。
当然，如果组织监管不力，人员、硬件屏障就会出现问题，如，选人用人不合适，或培训不到位等，就会在工作中出现不当操作，这就是人的不安全行为，表现为人员屏障上的漏洞；在硬件方面，如果设计、建造或安装等方面存在问题，或者检查、维护工作不到位等，硬件就会出现问题，这就是物的不安全状态，表现为硬件屏障上的漏洞。另外，如果再进一步追溯造成组织监管不力的深层次问题，不难发现一定是不良安全文化在作祟[13，15]，鉴于篇幅所限，本文对此不再作深入分析。
总之，人员、硬件屏障是直接与能量或有害物质接触的第一层级防控屏障，组织监管则是通过人员、硬件屏障才能发挥作用的第二层级防控屏障，组织的安全文化是整个组织的安全价值观，既可以通过组织监管，再作用于人员、硬件屏障而发挥作用，也能够直接作用于人员屏障而发挥作用，它属于第三层级防控屏障。虽然这些屏障都能够起到事故防控作用，但它们并不在一个层面上，而是分别位于3个不同的层级，其中，第一层级的防控屏障为直接屏障，第二、三层级的防控屏障为间接屏障，间接屏障通过直接屏障发挥作用，如图5。
3.2 实例印证
本部分仅就本模型中最为关键的直接、间接屏障问题进行实例印证。
石油石化行业是典型的高风险行业，目前普遍采用防控屏障概念，其中，壳牌公司是全球蝴蝶结模型（屏障防控）应用时间最长、效果最好的一家公司。壳牌公司规定，在对高风险进行防控时，至少要设置3个以上的屏障。当然，这些屏障只能是像物理保护、安全仪表系统等硬件屏障，或者如人员遵章守纪操作、巡检与应急等人员屏障，总之，屏障都应是人员或硬件组成的直接屏障，而像管理体系（组织监管）、安全文化之类的间接屏障，作为对人员、硬件屏障的背后支撑，如图6，已通过直接屏障发挥了作用，不能再作为独立的屏障计入其中[3,12]，否则，就会造成重复计数。图6已在OGP[3]等国际机构以及壳牌公司、道达尔公司[16]等国际石油公司广泛应用。
3.3 模型功用
本模型结构简单、层次清晰，在事故原因分析与事故预防方面，都具有独特的优势。
3.3.1 用于事故原因分析
通过本模型，能够科学地分析导致事故发生的致因物、直接原因、间接原因以及深层次原因， 如图7。
（1）事故的发生是出现了某种能量或有害物质的失控，因为它们是事故发生的根源所在。分析是没有辨识出该种能量或有害物质而造成屏障缺失，还是对其设置的防控屏障出现了问题。
（2）如果是防控屏障的问题，应对防控屏障作进一步分析。通过分析查找出事故发生的直接原因，人员屏障漏洞（人的不安全行为）问题，还是硬件屏障漏洞（物的不安全状态）问题，从而采取有的放矢的应对措施，防控此类事故的再次发生。
（3）之所以出现人员屏障或硬件屏障的问题，其背后的原因是一定是因为直线责任组织在安全监督管理方面存在这样或那样的问题，在此基础上，进行有的放矢的整改。它是导致此类事故发生的间接原因或管理原因。
（4）直线责任组织之所以在安全监督管理方面出现问题，其根源就在于不良的安全文化，由于安全文化不良，使其不能够真正重视安全生产工作，存在着得过且过的侥幸心理等。
3.3.2 用于事故预防
（1）由该模型可知，能量或有害物质是导致所有事故发生的“元凶”，因此，为防止事故的发生，必须首先把可能导致事故发生的能量或有害物质找出来，这样才能够根据所要防控的能量或有害物质的性质，有的放矢地设置相应的防控屏障予以防控。
（2）由于任何防控屏障都有因其本质特征所固有的缺陷，由于这种缺陷的存在，如果预防工作不到位，就会产生不安全的状态（行为），从而使防控屏障丧失正常的防控作用，因此，要使所设置的屏障有效发挥屏蔽作用，还必须查找出其上可能的漏洞、缺陷，然后采取针对性措施进行补救、完善，从而使防控屏障真正发挥应有作用。为此，应在风险管理策划阶段，也即在屏障出台后、实施前，通过对防控屏障的评审[13]，辨识其上的缺陷、漏洞，以进一步提升屏障质量，从而使其真正发挥防控作用。
总之，基于该模型分析，为做好事故预防工作，应在防控屏障出台后、实施前，对其进行评审，辨识其上的缺陷、漏洞，再进行修改、完善，从而使屏障发挥应有的作用，这样既提升了风险防控效果，也从源头上铲除了隐患产生的根源，这些都是事故防控领域亟待解决的突出问题[13]，也是该模型在事故预防方面的贡献。另外，在宏观策略层面，要做到长治久安，应通过培育企业良好安全文化，促进组织监管，进而促使人员、硬件屏障更好发挥作用，使能量、有害物质始终受控，从而杜绝事故发生。
4 案例分析
4.1 事故经过
某工地项目经理（现场主要领导）向泥工班长交代了比往常多一倍的工作任务，浇筑楼房第16-10层的建筑导墙，但未交待安全注意事项。随后，班长带领一队工人在16层处实施16-10层建筑导墙的浇筑。为了节省时间、完成超过往常的浇筑任务，班长违反安全规定，拆除了16-10层欲浇筑导墙周边的安全防护栏杆。拆除之后形成了从16-10层共7层、高21m、长3m、宽2m的天井。在完成浇筑任务后，班长要求工人把天井盖板盖上再下班，此时一名泥工因过度疲劳，劝班长先下班明天再盖盖板，于是班长再次违反安全操作规程，留着未盖盖板的天井，走上电梯，准备下班。正在这时，一名未扣安全帽带的安装工人推着手推车边跑边喊班长等他一起下班，但是上电梯，他拉车后退时，忽视了身后的天井，跌落其中。由于安全帽没扣帽带，坠入天井后的安装工，安全帽先脱落，其后脑砸在了天井井底附近的墙壁凸起处，随后落至安全网上，当场死亡[17]。
4.2 原因分析
利用建立的新模型分析事故原因，如图8。
4.2.1 直接原因
物的不安全状态：班长违反安全规定，拆除了16-10层欲浇筑导墙周边的安全防护栏杆，造成天井缺护栏；没有护栏的天井应盖板，但员工因劳累未盖，造成天井盖板缺失。
人的不安全行为：安全意识淡薄，匆忙之时忽视了身后的无护栏、盖板天井，拉车后退坠入天井。
4.2.2 间接原因—组织监管问题
（1）现场主要领导只管工作不顾安全：项目经理向泥工班长交代了比往常多一倍的工作任务，浇筑楼房第16-10层建筑导墙，且未交待安全注意事项。
（2）管理人员为了效率放弃安全：为了节省时间、完成超过往常的浇筑任务，班长违反安全规定，拆除了16-10层欲浇筑导墙周边的安全防护栏杆。
（3）管理人员安全管理不严格：班长要求工人把天井盖板盖上再下班，由于员工疲劳未盖盖板，在班长默许下，留着未盖盖板的天井就准备下班。
（4）在如此危险的工作场所，现场管理人员没有给予事故当事人都应有的关注与提醒。
4.2.3 深层原因—不良安全文化问题
发生事故的组织中的人员安全意识淡薄，安全价值观低下，工作中没有安全意识，更不要说把安全当作首要考虑的问题：突然安排太多工作量，埋下事故隐患，上级领导只管生产不顾安全，给其下属造成不良影响；下属管理人员，为了节省时间，完成超量任务，违反安全规定拆除安全围栏，造成了现场不安全状态；收工后，由于员工疲惫未按要求盖上盖板，管理人员也听之任之，又埋下新的事故隐患；正是由于员工安全意识淡薄，在如此不安全的环境中，仍然疏忽大意，加之匆忙、着急，忙中出错，退落至天井中。总之，由于组织的安全文化不良，在该组织中无论领导干部、管理人员还是一线员工，安全意识淡薄，不把安全当回事，对安全生产存在侥幸心理，从而造成大量安全监管问题出现，最终使得所有“人员屏障”、“硬件屏障”，层层失效，起不到防控作用，从而导致能量失控、事故发生。
4.3 模型释义
纵向上：安全文化不良是导致屏障失去防控作用的源头。组织的安全文化不良导致该组织在日常管理中不能正确处理安全生产与生产经营业务活动的关系，致使整个组织范围内不重视安全生产工作，导致组织安全生产无人过问，更没有人放在心上，总之，不良的安全文化使得安全监管方面出现了很多问题。正是由于组织对安全生产工作的不重视，在安全上监管的不作为或乱作为等，造成组织施工作业现场，人的不安全行为、物的不安全状态大量出现，也即，所应设置的很多“硬件屏障”如天井缺护栏、天井盖板都不复存在，从而导致事故发生的可能性大大增加，最后仅存的人本能自我保护
屏障在慌忙之中也出现了漏洞，就形成了能量或有害物质失控的通路，屏障就失去了对能量或有害物质的防控作用。
横向上：能量或有害物质是导致“受体（人、物、环境等）”遭受到损害的源头。要避免事故发生，须使能量（人身的重力势能）或有害物质受控，为此应设置相应屏障，并使其发挥屏蔽作用，以确保能量到达应到的地方发挥有效作用。相反，如果所设置屏障出现了问题，就不能发挥其应有作用。一般而言，每种能量或有害物质都要一些防控屏障，由于监管不到位等原因，会使大多数屏障失去作用，这种情况下，导致事故发生的可能性就会大大增加，如果最后一层屏障再失去作用，就会给能量的非正常流转形成通道，从而造成能量的失控，导致事故的发生。在本例中，最先是硬件屏障失去作用（护栏拆除、盖板未盖），最后是软件屏障出了问题
（没有意识到附近没有护栏或盖板的天井而倒退跌
入天井），由于所设置的每一道屏障都失去作用，就形成能量失控的通路，也即能量穿透所有屏障，导致能量失控，失控的能量（人身的重力势能）作用在“受体（人）”上，造成当事人死亡。
5 结论
（1）本模型简单、实用，在理论上解决了奶酪模型中的比喻问题，在实际应用上解决了因奶酪模型“任何屏障都有缺陷（漏洞）”而带来的轻视屏障质量的负面问题，认为凡有漏洞的屏障都不起作用，必须确保每道屏障的质量，这对于日常的事故防控工作至关重要。
（2）本文首次提出了直接屏障、间接屏障概念，并把直接屏障限定为人员、硬件屏障，认为模型中的屏障应由直接屏障所组成，间接屏障为其背后的支撑，这样就解决了不同层次屏障间功能重叠、数量重复的问题，既科学合理，也符合客观实际。同时，通过把硬件屏障添加到模型中去，弥补了奶酪模型中缺少对物的不安全状态防控的缺陷。
（3）本模型与能量意外释放论结合在一起，能量意外释放论揭示了事故发生的内因，本模型解释了事故发生的外因，使得在事故致因理论方面更趋科学、合理。同时，本模型采用能量而非hazard（危害因素）作为事故源头，不仅解决了奶酪模型中hazard外延宽泛的问题，而且也解释了能量意外释放论未能说明的能量失控的原因。
（4）在事故原因分析方面，本模型结构简单、层次清晰，能够科学地分析导致事故发生的致因物、直接原因、间接原因以及深层次原因，在事故原因分析方面具有独特优势。在事故预防方面，首先在微观技术层面，基于本模型对屏障质量要求，提出了对出台后、实施前的屏障进行评审的建议，能够有效提升屏障质量，防止因其质量差而造成隐患多发、不起作用等问题，其次在宏观策略层面，本模型揭示了安全文化建设对于事故防控的重大意义。
参考文献
[1] Eurocontrol Experimental Centre. Revisiting the Swiss Cheese Model of Accidents[R]. EEC Note. 13/06, October 2006:4-21.
[2] 傅贵.安全学科结构研究[M].澳洲:安全科学出版社,2015:26-30.
[3] IOGP. Report 544, Standardization of Barrier Definitions[R]. Supplement to Report 415, April, 2016:32-33.
[4] Patrick Hudson. Integrating Organizational Culture into Incident Analyses: Extending the Bow Tie Model[C].
Proceeding of the International Oil &Gas Exploration & Production HSE Conference, SPE 127180, Rio De Janeiro,
Brazil, 2010:1-13.
[5] Reason, J. Human Error[M]. New York: University of Cambridge Press, 1990:173-250.
[6] Dekker, S. The Field Guide to Human Error Investigations[M]. Farnham: Ashgate Press, 2002:51-62.
[7] Shappell & Wiegmann. The Human Factors Analysis and Classification System[R]–HFACS. FAA. US Department of Transportation, 2000:2-3.
[8] GB/T 28001-2015,职业健康安全管理体系[S].
[9] OHSAS18001-2007,Occupational Health and Safety Management System–Requirements[S].
[10] H Darstellungen. A Practical Approach to Hazard Identification for Operation and Maintenance Workers[J]. John Wiley &Sons, USA, 2010:52-53.
[11] Snorre Sklet. Safety Barriers: Definition, Classification and Performance[J]. Journal of Loss Prevention in the Process Industries, 2006(19):494-506.
[12] Mehmood Ahmad, Modified Swiss Cheese Model to Analyze the Accidents[J]. Chemical Engineering Transactions, 2015,43:23-31.
[13] 胡月亭.安全风险预防与控制[M].北京:团结出版社,2018:179-190.
[14] AQ/T 3054-2015,保护层方法（LOPA）应用导则[S]. [15] 埃德加·沙因.组织文化与领导力[M].北京:中国人民大学出版社,2011:171-253.
[16] Total Co. One MAESTRO audit Protocol Revision 02[R] (March 2018). PSR/HSE/AUDIT Division. March 2018:2-29.
[17] 傅贵.事故的直接原因及危险源与隐患关系解析[J].中国安全科学学报,2018,28(5):1-5.
本文刊载于《安全》2019年第9期P75-82，P87
联系客服
