瑞士奶酪模型
轉載。
一家知名醫院曾發生一起嚴重的用藥錯誤。一位病人本應注射A藥物（心臟用藥），卻被誤注射了發音相似的B藥物（化療藥），導致病人病情危重。事故調查發現了一條漏洞鏈：
1. A藥與B藥的包裝、顏色和名稱在視覺上極為相似，都存放在小玻璃瓶中。這是設計漏洞。
2. 那天藥房庫存緊張，兩種藥品被臨時并排存放在同一個抽屜的相鄰位置。這是倉儲流程漏洞。
3. 護士工作繁忙，在核對時依賴了記憶中的外觀，而未嚴格執行“三查七對”中的朗讀藥品全名。這是執行漏洞，但背后有人力短缺、疲勞的系統因素。
4. 醫院信息系統雖有藥品與診斷不符的警報，但該病人恰好同時患有可能使用B藥的疾病，警報未被觸發。這是技術邏輯漏洞。
事故發生后，醫院成立了跨部門（藥學、護理、信息、設計）小組，實施了系統性改進：重新設計高危藥品包裝（物理區分）、優化藥房存儲邏輯（空間隔離）、在信息系統強制加入更嚴格的用藥確認彈窗（技術防錯）、并審視護士排班制度（管理支持）。這防止了未來同類錯誤的再次發生，無論由哪位護士執行。
人類的認知重要的機制之一是首先從時間和空間的維度理解一件事是如何發生的。上述案例中提到的諸多漏洞，時間上是同時還是先后發生？空間上有何特征？瑞士奶酪模型（Swiss Cheese Model-SCM）給出了部分答案。對于工業安全管理者來說，瑞士奶酪模型應該不會陌生。
瑞士奶酪模型中的瑞士奶酪，通常指埃曼塔奶酪。為寫這篇文章，我特意從電商平臺上買了一份埃曼塔奶酪（見下圖）來品嘗。
瑞士埃曼塔勒地區位于瑞士中部伯爾尼州（Canton Bern）的埃曼河谷（EmmeValley）?，以起伏的綠色丘陵、傳統木屋農場和奶酪生產聞名，是瑞士標志性奶酪 ?Emmental Cheese（埃曼塔奶酪）? 的原產地。埃曼塔奶酪呈淡黃色、硬質，帶有標志性的大孔洞（由發酵氣體形成），風味溫和，帶有堅果香，常用于烘焙或直接食用。
本期主題我們就探討：
? 什么是瑞士奶酪模型（SCM）？
? SCM源自何處？
? SCM的本質是什么？
? SCM的底層邏輯是什么？
? SCM的主要內容是什么？
? SCM和安全管理系統（SMS）有何關系？
? SCM在工業安全管理中有何作用及其發揮作用的機理是什么？
? 如何辯證的看待SCM？
01 |什么是瑞士奶酪模型（SCM）？
瑞士奶酪模型，也稱為“Reason模型”或“累積行為效應模型”，是一個用來說明系統安全事故發生機制的比喻性模型（AQWD1333｜所有模型都是錯誤的-為什么安全管理還需要它？）。
該模型將系統的各個防御層比作一片片瑞士奶酪。每一片奶酪代表一道安全防線（如操作規程、員工培訓、安全設備、監管檢查等）。而奶酪上的孔洞則代表該層防御中存在的潛在缺陷或漏洞。這些孔洞本身并不總是會導致事故，但當多個層面的孔洞因為一系列連續的失效或錯誤而偶然對齊，形成一條暢通無阻的“通道”時，危險（事故隱患）就能穿過所有防御層，最終導致事故的發生。
02 |SCM 模型源自何處？
James Reason（后續有專題探討此人） 于 1960 年代在英國曼徹斯特和萊斯特接受心理學家培訓。1977 年，他被任命為曼徹斯特心理學教授，研究人體工程學、壓力和暈車問題。1990 年，他撰寫了《人為錯誤》一書（后續有專題介紹），該書旨在為人為錯誤提供認知心理學解釋和心理解釋，在書中首次提出瑞士奶酪模型。而模型的靈感來源于對一系列重大復雜系統事故（如切爾諾貝利核事故、挑戰者號航天飛機爆炸等，這些事故后續有專題介紹）的深度調查。瑞森教授發現，這些事故很少是由單一原因造成，而是由一系列貫穿于整個組織系統的失效連鎖反應所導致。
03 |SCM模型是如何演進的？
在 1990 年代首次亮相后，瑞士奶酪模型進行了各種風格修改。
第 1 版 - 1990 年的初始模型描繪了五個平面的序列，一個接一個地躺著：最高層決策者、生產線管理、先決條件、生產活動和防御。
第 2 版 - 該模型的第二個化身是在 1990 年代初開發的，它將四個生產平面減少到三個（組織、工作場所和個人），并將單一防御層擴展到三個。
第 3 版 - 1990 年代中期，在 Reason 的著作中，事故因果關系必須具有 3 個基本要素：危險、防御和損失。他解釋了漏洞、差距和弱點是如何產生的：一線作員的錯誤和違規行為可能會造成短期違規行為、長期和更危險的差距是由設計師、構建者、過程編寫者、高層管理者和維護者的決策造成的。
第 4 版出現在 2008 年：該模型顯示厚奶酪片排成一排，并根據所服務的案例中的元素進行標記。
Reason 在討論他的奶酪片時使用了 Emmentaler 這個詞，以更準確地定位這種硬奶酪的發源地，那里是瑞士中部潮濕的一個山谷，離伯爾尼不遠。他在模型最后一版的動畫片中引進了一只老鼠。老鼠代表了一系列小的、瑣碎的事件和失敗，這些事件慢慢地啃噬了最后一片——一線作員的英勇干預。他在這一版中說，孔洞大小不重要，重要的是孔洞的位置和數量。
04 |SCM模型的本質是什么？
瑞士奶酪模型的本質是線性思維模型。它打破了傳統“尋找替罪羊”的事故調查模式，不再將事故簡單歸咎于最后一個直接操作者的“人為失誤”。它強調：
· 導致事故的漏洞存在于組織的各個層面和各個環節。
· 漏洞是動態的：奶酪上的孔洞會隨著時間、條件的變化而打開、縮小或移動。
· 事故需要“連鎖反應”：單一漏洞通常不足以致命，多個不同層面漏洞的“巧合”對齊才是關鍵。
05 |SCM模型的底層邏輯是什么？
其底層邏輯可以分解為以下幾個核心要點：
1. 縱深防御：任何復雜系統都不應只依賴單一安全措施，而應設置多層、冗余的防御體系。
2. 漏洞的不可避免性：沒有任何一層防御是完美無缺的（每片奶酪都有孔洞）。這些漏洞可能來自主動失效和潛在條件。
3. 事故的“對齊”觸發機制：事故的發生不是一個因果鏈，而是一個“機會窗口”的打開。當不同層面的漏洞在時間和空間上恰好對齊，危險能量或信息就能穿透所有防線。
4. 關注潛在條件：模型強調，除了直接的操作失誤（主動失效），更應關注那些長期存在、被管理所容忍的潛在條件，如資源不足、不良文化、有缺陷的設計等，它們是滋生孔洞的土壤。
06 |SCM的主要內容是什么？
瑞士奶酪模型主要包括三個方面內容，即深度防御和屏障、常駐病原體理論和系統防御的多孔層理論。
一、深度防御和屏障概念
瑞士奶酪模型認為人的績效（HOP-后續有專題探討）是由當地的工作場所條件和遠端的組織因素決定的。即在組織的前端（或一線）遇到的問題不是在那里產生的，而是從不完美的上游流程和部分繼承而來的。
SCM模型的防御層來自 Haddon 的屏障概念（后續有專題探討），而驅動屏障概念發展的核心假設是事故是不受控制的釋放有害能量的結果。Reason 在SCM模型中引入故障樹（FTA-后續有專題探討）和事件樹（ETA-后續有專題探討）分析作為系統安全方法，是屏障概念和分析的關鍵貢獻者。而FTA和ETA是定量風險評價（QRA-后續有專題探討）的基礎。這些方法于 1961 年首次提出，作為評估民兵洲際彈道導彈發射控制系統的一種方式。
FTA和ETA這兩種方法顯然都為系統地（甚至可量化的）考慮放置屏障以阻止事件的傳播及其升級為不受歡迎的結果開辟了道路。
· 按照事故的線性事故軌跡、位置和目的，屏障可分為預防、控制和緩解。
· 按照屏障的屬性可分為材料屏障（被動，如墻壁、扶手）、功能屏障（主動或動態，如密碼、鎖、門）、符號障礙（如標志、許可證）、無形障礙（基于需要體現和應用障礙的人的知識，例如飛機失速速度的知識，低于該速度，飛機將不再飛行）。
二、常駐病原體理論
延斯·拉斯穆森 （Jens Rasmussen） 在 1970 年代后期對 200 起核電站事件進行了分析，發現其中 34% 的事件歸因于人為疏忽（人們沒有做需要做的事情），他意識到疏忽來自某個地方，他們被某事允許，促成，甚至鼓勵。建議我們應該區分兩種類型的錯誤：
· 主動錯誤（可見錯誤）：接近尖銳端，其影響立即被感覺到并可見
· 被動錯誤（潛在錯誤或常駐病原體）：在系統內長期休眠，只有當它們與其他因素結合時才會變得明顯
它提出了復雜技術系統的崩潰與多種原因疾病（如癌癥或心血管疾病）的觸發和發展方式之間的類比。Rasmussen 發現復雜技術系統中的延遲失敗與體內常駐病原體之間的明顯相似性，這些是在任何事故序列最終開始之前就已經存在的致病因素，它們可能產生的影響不會立即顯現，但可以削弱系統的防御并促進不安全的行為。而這些錯誤是防御層孔洞產生的原因。
三、系統防御的多孔層理論
根據 Reason 的說法，最大限度地減少事故的最佳機會是在延遲行動失敗（潛在失敗）與本地觸發器相結合以破壞或規避系統防御之前識別并糾正它們。以上與關于屏障和能量遏制或防止能量不受控制的釋放的想法是一致的，所有防御措施都旨在提供以下一項或多項功能：
· 建立對當地危害的理解和意識
· 就如何安全操作提供明確指導
· 在危險迫在眉睫時提供警報和警告
· 在危險和潛在情況之間設置安全屏障
· 遏制和消除他們逃離這個屏障時的危險
· 在危險控制失敗時提供逃生和救援手段
Reason認為，瑞士奶酪模型展示的防御會被以下因素弱化
· 生產線管理缺陷
· 監管缺陷
· 容易出錯的組織決策
· 不安全行為在尖銳的一端
07 |SCM和安全管理系統（SMS）有何關系？
瑞士奶酪模型是構建和理解安全管理系統（SMS-后續有專題探討）的理論基石。SMS是一個系統化、程序化的安全管理框架，旨在主動識別和控制風險。瑞士奶酪模型為SMS提供了：
· 哲學基礎：SMS認同“事故源于系統缺陷”這一核心理念。
· 結構框架：SMS的四大組件（安全政策、風險管理、安全保證、安全促進）可以看作是構建更厚實、孔洞更少的“奶酪片”的具體措施：
安全政策：定義了奶酪片的質量標準。
風險管理：主動識別和修復現有的孔洞，并預測新孔洞的產生。
安全保證：持續監控奶酪片的狀態，確保防御層有效。
安全促進：通過培訓和文化建設，讓所有人都關心并參與維護奶酪片的完整性。
· 事故調查工具：在SMS框架下發生不安全事件時，用該模型進行分析，可以系統性地找出所有層面的貢獻因素，而不僅僅是追究個人責任。
08 |SCM在工業安全管理中有何作用以及發揮作用的機理是什么？
瑞士奶酪模型具有以下作用：
· 提供系統性的事故分析工具：幫助調查人員超越表面原因，挖掘組織深層的根本原因。
· 促進從“責罰文化”向“報告文化”的轉變：當員工明白失誤是系統問題的表現而非個人無能時，更愿意主動報告安全隱患。
· 指導風險管理的優先級：通過分析哪些層面的孔洞最多、最大，可以優先分配資源進行改進。
· 強化縱深防御理念：提醒管理者需要設置并維護多層次、多樣化的安全屏障。
瑞士奶酪模型發揮作用的機制在于：
1. 屏障識別：首先識別出系統中所有設計用來阻止危險的安全屏障（物理的、行政的、行為的）。
2. 漏洞分析：分析每個屏障在什么情況下會失效（出現孔洞）。例如，防護裝置可能失效（硬件），規程可能不被遵守（軟件），操作員可能疲勞（人員）。
3. 關聯性分析：在事故調查中，追溯危險是如何穿過一系列失效的屏障的，并分析導致每個屏障失效的主動失效和潛在條件。
4. 系統性改進：根據分析結果，不僅修復最后一道失效的屏障，更要修補上游所有層面的潛在缺陷，如修改設計、優化流程、加強培訓、改善組織文化等，從而讓孔洞更難對齊。
09 |如何辯證看待SCM模型？
瑞士奶酪模型是一個強大的啟發式工具，但并非完美無缺。其優點在于：
· 直觀易懂：比喻形象，易于被不同層次的人員理解和接受。
· 影響力巨大：徹底改變了人們對安全和人因錯誤的認知，是現代安全科學的里程碑。
· 實用性強：為事故分析和系統安全設計提供了清晰、可操作的框架。
而其局限性則表現在以下方面：
1. 過于簡化：現實中的防御層和漏洞遠比靜態的、分層的奶酪片復雜。漏洞之間可能存在動態的、非線性的相互作用。
2. 隱含的“被動”視角：模型似乎將事故描述為“孔洞偶然對齊”，可能弱化了組織中有意識的決策和權衡（如為了效益而犧牲安全）所起的主動作用。
3. 對“恢復力”關注不足：模型側重于危險如何“突破”防御，但對系統如何通過人員的適應性、即興發揮和恢復力來成功阻止事故（即孔洞沒有對齊的情況）解釋不足。
4. 可能導向“屏障堆砌”：如果理解片面，可能導致管理者簡單地增加更多防御層（更多奶酪片），而不是改善現有屏障的質量和管理系統，這反而可能使系統變得更加復雜和脆弱。
5.瑞士奶酪很難成為一個真正的“系統性”模型，因為它無法解釋或描繪組織決策的復雜出現、防御的侵蝕、漂移和越軌行為的正常化。
SCM是一個線性思維模型，模型表明只有當其他事情出錯時，事情才會出錯。對于每一個效應，都必須有一個原因。這意味著您可以追溯序列并引起事后諸葛亮。復雜的系統幾乎以復雜的方式失效。盡管 SCM 有時被稱為系統模型，但它并不是被認為是系統思維的東西。
當 SCM 確實談論人類行為時，它依賴于判斷詞匯，例如領導不力、不安全的行為等。之所以安全越來越被視為行政命令和管理控制的問題，SCM 可能是促成這一趨勢的原因，SCM 傳達了這樣一種理念，即上游系統的良好管理和技術秩序確保了尖端的安全，安全官僚化和影響深遠的合規文化已經變得普遍且難以遏制。
安全官僚化和合規文化的成因在于，除了上文提及的因素，還在于組織基于瑞士奶酪模型進行安全管理，因為涉及多層生產線管理和監督，需要一個用于監視和監控人類行為的機制，這導致出現的現象是安全不是向下的實際和道德責任，而是可能成為一種官僚主義的責任。這一趨勢還催生了上文提到的龐大的安全官僚機構和合規文化。而官僚主義和合規文化給我們留下了一個在許多行業普遍存在的問題是，安全職業缺乏目標和愿景，某些情況下監管機構被掏空和弱化。
10 |瑞士奶酪模型強調從系統設計和互動中尋找根本原因，你怎么看？
一個家庭計劃清晨6點出發去機場趕國際航班，結果全員睡過頭，抵達機場時艙門已關閉，假期泡湯。
表面原因是：全家人都睡過頭了。但奶酪模型揭示了更深層的家庭“系統故障”：
1. 第一層奶酪（個人設備）： 父親設定的手機鬧鐘，因前晚軟件更新被意外重置為“工作日模式”，周末不響。（技術設備層）
2. 第二層奶酪（家庭協作）： 母親原本有讓父親“雙保險”設定鬧鐘的習慣，但這次因打包行李太累，睡前沒有再次確認。（溝通與習慣層）
3. 第三層奶酪（應急預案）： 家中原本有一個老式物理鬧鐘作為備份，但電池上周耗盡后無人更換。（備用系統層）
4. 第四層奶酪（外部緩沖）： 他們計劃提前3小時到機場，本有充足的緩沖時間應對小意外（如堵車）。但睡過頭直接耗盡了所有緩沖。（時間冗余層）
事后的家庭會議認識到，依賴單一節點（一個人的手機）是脆弱的。他們建立了新的家庭出行系統：出行前夜，必須由兩人獨立設定鬧鐘（手機+物理鬧鐘），并必須在睡前共同確認。這不再是依賴某個人的“不忘事”，而是建立了一個容錯的家庭流程。
瑞士奶酪模型是安全工程和風險管理領域的基石理論，是一個極其出色的入門和溝通工具，它奠定了現代安全管理的系統觀。但在處理高度復雜的系統時，需要結合其他更動態的理論（如韌性工程、系統理論事故模型與過程STAMP等-后續有專題探討）來彌補其不足。它的核心價值在于提醒我們：安全是一個持續修補漏洞、加固防御的系統工程，永遠不能掉以輕心。
瑞士奶酪模型的核心在于事故不是單一原因造成的，而是多層防御體系中多個獨立漏洞（“孔洞”）罕見地串聯對齊，導致風險穿透了整個系統。它本質上反對“唯個人錯誤論”，強調從系統設計和互動中尋找根本原因。
你所在的組織如何使用SCM的？ 歡迎在評論區分享你的觀點。你的反饋和聲音是我們持續輸出有針對性高質量內容的重要來源。如果你在安全管理/HSE/EHS管理專業能力提升、職業發展遇到瓶頸或困惑，也歡迎給我留言。
-結束-?
關注@斯圖安全問道，和我一起系統拆解安全管理基本概念、理論、模型、方法和工具，知其然知其所以然，助力EHS人員職業發展，也歡迎將本文分享給有需要的朋友。