老虎吃人的事故奶酪

中国的很多安全事件发生，好像习惯了先撇清自己责任的模式。宁波老虎吃人，园方立刻说，那位游客因逃票翻墙进入虎园。针对园区管理不规范的质疑，园方又说，虎园围墙3米多高，而且挂有“内有猛兽，请勿攀爬”的警示牌。如果这样模式处理事故，类似事故永远不可避免。

曼彻斯特大学教授James Reason事故奶酪模型（事故致因链）认为：

事故的发生不仅有一个事件本身的反应链，还同时存在一个被穿透的组织缺陷集，事故促发因素和组织各层次的缺陷（或安全风险）是长期存在的并不断自行演化的，但这些事故促因和组织缺陷并不一定造成不安全事件，当多个层次的组织缺陷在一个事故促发因子上同时或次第出现缺陷时，不安全事件就失去多层次的阻断屏障而发生了。

（Reason 2008年事故致因模型）

组织的各层次是事故防御系统的各个层面，各层面的缺陷好象不同奶酪切片上的许多孔洞。一个奶酪切片上的孔洞不一定会造成坏的结果，但当不同切片上的孔洞（缺陷）穿起来成一条直线的时候，坏的甚至更坏的结果就出现了。奶酪中的孔洞（缺陷）一般来源于两个原因：主动失效（active failures）和潜在失效（latent failures）。主动失效一般是指人的不安全动作，对防御系统有直接的影响，通常都是短暂和偶然发生的。潜在失效一般是指组织管理缺陷，如设计的不足、管理决策的失误，它是长期的和表面上不可见的，但当它与促发事故的主动失效因素共同作用的时候，也就凸显出来，变成了可见的孔洞（如图，事故箭头穿透孔洞，事故发生了）。

主动失效源于人的偶发的、不可控的不安全动作，但如能在事故发生之前，对潜在失效因素进行分析、补救和主动管理起来，事故就不一定会发生或事故损失小，或者不一定会造成更大的损失（事故箭头无法穿越全部孔洞）。反之，更大的事故损失往往是众多因素组合失效的结果。

宁波老虎吃人的事故奶酪也如此，无论老虎放养区有隔离河、界区有栅栏屏障和警示牌，其奶酪切片一定存在潜在失效的孔洞（园区管理缺陷），否则事故就不会发生了：除了栅栏屏障和警示牌，是否设置摄像警戒探头、跨越红外报警等装置，或者对高危猛兽区外围设置两道铁丝网栅栏，从而打消游客攀爬的念头（即使自杀也没可能），或者这是迟菲所说的本质安全。

去年北京老虎吃人，园区也一样存在潜在失效的孔洞。园区之后进行了安全设施改造，老虎活动区与自驾车设置隔离河。网友提出的“雇人每天喊300遍‘别下车’、进入虎园自驾车车门贴封条”，其实不失为园区防范潜在失效（园区管理缺陷）的办法。

没有绝对的安全，安全防范细节“永远在路上”。即使看似完善的本质安全（即Reason事故奶酪中的Unsafe conditions），出事故的概率仍然存在，因为系统里最不可靠的人因素、主动失效因素仍然存在（即Unsafe acts）。这是对安全事故机理的科学认识。

Reason模型有利于我们理解并做出积极的、事前安全风险管理，而不是被动的、事后反应；有利于组织去追求识别潜在失效因素（安全风险）并管控，而不仅是纠缠于防止主动失效因素的避免，从而使事故防御系统具备更高的安全可靠性。北京老虎吃人事件后，有位网友的观点：我是人，我有可能犯错误。在你的地盘，在你的管理责任范围内，你应该想方设法让我少犯错误，这才是正道！