瑞士奶酪模型

20世纪90年代,英国心理学教授詹姆斯·瑞森等人提出了瑞士奶酪模型,也叫航空事故理论模型.其主要思想是:组织活动可以分为不同的层面,每个层面都有一定的漏洞,当不安全因素像一束不间断的光源,刚好能够透过所有层面的漏洞时,事故就会发生.这些层面叠加起来,就像一组有漏孔的奶酪片叠放在一起,所以被称为瑞士奶酪模型.以飞机失事为例,一场空难平均至少包含天气恶劣,飞行员疲劳,机场信标故障,航管员交流不畅等问题,然后就是一个接一个的误判断与误操作,不断连续叠加,直至无法挽回.此模型提出后在航天,航空,海事,交通,医疗等行业得到了广泛应用,并成为人为事故分析的标准模型.


链接1：“瑞士奶酪模型”用于临床风险管控

链接2：瑞士奶酪模型在护理风险管理中的实践研究

链接3：“瑞士奶酪模型”用于静脉用药配置中心差错风险管控  

意外事故的瑞士奶酪模型



纵观人类历史，多少宏大的工程得以实现，我们能将人送上月球，把机器人送上火星，能于九天拦截导弹，在大洋底掘通隧道……与此同时，类似挑战者号、泰坦尼克号或“深水地平线”钻油平台的事故却不时发生，给工程伟绩蒙上一层阴影。

意外事件为何发生？20年前，里森等人提出“瑞士奶酪模型（Swiss cheese model）”。瑞士奶酪内部存在许多空洞。一个环环相扣精密运行的安全系统好比一摞瑞士奶酪，每一片奶酪代表一道防线，而奶酪上的孔洞就是潜在的系统漏洞。大部分威胁会被某一片奶酪拦下，但如果一摞奶酪的孔碰巧连成了一条可以直穿而过的通道——设备失常、人员违规、再加上未曾修补的内部系统问题——威胁便可能一层层突破卫戍，最终演变成一场重大事故。以飞机失事为例，一场空难平均包含至少七个问题：天气恶劣，飞行员疲累，机场信标故障，航管员交流不畅……然后就是一个接一个的坏抉择与误操作，不断连续累加，直至无可挽回。

[转载]意外事故的瑞士奶酪模型

研究工程事故的彼得罗斯基博士（Henry Petroski）认为，事故发生通常源于两大类失误。其一是对于新技术过分乐观自信，直至灾难发生才能看清其缺陷。其二则是，未能遵守安全操作中的老规矩。

不幸的是，心理学研究显示，人生来就易犯这些失误。

我们天性乐观，却不知道这种乐观普遍基于毫无根据的盲目自信。90%的司机相信自己的车技高于平均水平就是佐证。乐观的好处，在于让我们遭遇挫折时可以重新振作。但“过分乐观”则可能令人低估现状的危急而高估自己力挽狂澜的能力。泰坦尼克号起航时，意气风发的船长无疑对这艘巨轮的防损设计深怀信心，然而钢板薄脆、航速过快、救生艇不足、船舱设计更有致命失误……当巨大冰山穿越这一个个“奶酪上的洞”撞上巨轮，千余魂魄便永沉北大西洋。

我们对“群体的智慧”深信不疑，却不知道，只有在这一群人没有系统性偏见、同时每个人又是独立观察的前提下， 所有人各自犯的错误才有可能互相抵消，从而提高最后决策的准确率。而在一个集团内部，每个人都难以避免一定程度的乐观偏见。再者，内部员工即使抱有疑虑，也很可能因为害怕反抗上级而不敢强硬反对，最终表现为“从众效应”。在卡那维拉尔角那个寒冷的日子里，尽管有工程师建议中止任务，但最终挑战者号还是被发射升空，然后因为一个在低温里失效的O型封环，在空中解体成令人心碎的一团烟云。这样的例子在不鼓励挑战权威的“高权力距离指数文化”中更为常见，下属对上司往往用委婉暗示的方式提出建言，平常有充足时间互相揣摩意思时还好，倘若在分秒必争的危急时刻，注意到警讯的下属很可能依然习惯性地用缓和的语气回报，而已经在压力下的决策者则难以立刻领会到其中蕴含着必须立刻严肃看待的信息——1990年到2000年间，权力距离指数极高的大韩航空事故频发到成为“安全记录最差的航空公司之一”，与其机长的无上权威，以及内部的森严等级大有关系。

我们认为人人都知道安全重要，不可能不被重视，却不知道，短视是人性中永恒的弱点，重要但不“紧迫”的事情往往会被一再拖延。而耗费巨资的安全管理体系其目的不是为了保护财产——事实上，有些安全措施反而会增加事故发生时的财产损失——而是为了减少伤亡。如此，以营利为目标的公司更缺乏动力去时时监测安全体系是否可靠。钻井防喷器能监测钻孔内压力有无剧增，并在剧增时封闭阀门或钻孔以防爆炸。但检修一个防喷器绝非易事，需要先将其从钻孔处拆卸下来，再运到地表修复，最后再安装回原处，维修成本高达每分钟700美元。在节省了不少检修次数与费用后，2010年，墨西哥湾“深水地平线”钻油平台爆炸，最终导致11死17伤，成为一场“堪比911的巨大灾难”，而英国石油公司付出的代价超过45亿美元。

我们相信增加负责人能增加安全系数，却不知道，随着人数增多，责任被分散，每个人的责任越来越小，最终反而无人迅速采取行动。我国目前地底管道错综密布，其中最为危险的当属高压线、燃气管以及输油管道，光是地下油气管道，我国就有至少六万公里。据江西建设处李日龙介绍，能干涉管网建设的部门包括城建、电力、公安等十多个部门，还有许多相关单位负责维护管理。但在青岛2013年的青岛管道爆燃事故中，原油漏入排水涵道后的七小时内，应急处置显然迟迟未曾有人负责，没有警戒，没有封路，更没有疏散群众，最终酿成惨重伤亡。

要克服“乐观偏差”？哈佛大学的规划专家本特•弗林夫伯格（bent Flyvbjerg）建议在开始行动前使用“参考类别预测”，首先把行动方案归类到一个参考类别，接着找出这个参考类别的统计数据，最后利用统计数据预测成功率的大致范围。要借助“群体的智慧”？ 心理学家加里克莱恩（Gary Klein）提出“事前验尸”法，在做出最终决策前，邀请所有参与决策者一起设想决策已经实施一年并遭遇惨败，然后花十分钟独立写下失败的缘由，最后再将所有观点收集起来讨论。要避免“从众效应”？ 正如航空界的发现，新手飞行员掌舵而资深飞行员监视，是种相当安全的飞行方式。实践中，可以让下属先提出决策，再由上级寻找计划中的漏洞。要超越“短视的人性”？不妨先引入更多的外部意见，顺便说一句，当壳牌等石油外企接受外部审计时，中石油则在年报中承认自己的“健康安全环境数据来自公司自身统计，没有经过外部审核”。

百年前，泰坦尼克号的悲剧推动了雷达研究进步，催生了国际浮冰巡逻队，并最终带来了《国际海上人命安全公约》（SOLAS），船只必须配备足够救生艇、游轮必须有能力在半小时内疏散所有旅客等诸多关于救生设备和航行安全的规定都由此而生。灾难若不能带来改善，何以告慰逝者，何以保护生者？

药品说明书看似累赘，但每一个不良反应都源自真实经历这种折磨的人。安全要求看似繁冗，但每一条规章细则都可能是鲜血与生命换来的教训。在安逸的日子里，当你对“不近人情”的安全制度心生怨望时，不妨想想中石化员工王全林2013年11月22日7时32分用手机拍摄的一张漏油点照片，3小时后，照片中站在近处的20个施工人员，3伤，9死，8失踪。人类是种短视又健忘、软弱又麻木、在风险面前会盲目乐观、在止损时刻会孤注一掷的动物。命若琴弦，而灾难只是幽潜，从未真正走远。