瑞士奶酪模型
转载。
一家知名医院曾发生一起严重的用药错误。一位病人本应注射A药物（心脏用药），却被误注射了发音相似的B药物（化疗药），导致病人病情危重。事故调查发现了一条漏洞链：
1. A药与B药的包装、颜色和名称在视觉上极为相似，都存放在小玻璃瓶中。这是设计漏洞。
2. 那天药房库存紧张，两种药品被临时并排存放在同一个抽屉的相邻位置。这是仓储流程漏洞。
3. 护士工作繁忙，在核对时依赖了记忆中的外观，而未严格执行“三查七对”中的朗读药品全名。这是执行漏洞，但背后有人力短缺、疲劳的系统因素。
4. 医院信息系统虽有药品与诊断不符的警报，但该病人恰好同时患有可能使用B药的疾病，警报未被触发。这是技术逻辑漏洞。
事故发生后，医院成立了跨部门（药学、护理、信息、设计）小组，实施了系统性改进：重新设计高危药品包装（物理区分）、优化药房存储逻辑（空间隔离）、在信息系统强制加入更严格的用药确认弹窗（技术防错）、并审视护士排班制度（管理支持）。这防止了未来同类错误的再次发生，无论由哪位护士执行。
人类的认知重要的机制之一是首先从时间和空间的维度理解一件事是如何发生的。上述案例中提到的诸多漏洞，时间上是同时还是先后发生？空间上有何特征？瑞士奶酪模型（Swiss Cheese Model-SCM）给出了部分答案。对于工业安全管理者来说，瑞士奶酪模型应该不会陌生。
瑞士奶酪模型中的瑞士奶酪，通常指埃曼塔奶酪。为写这篇文章，我特意从电商平台上买了一份埃曼塔奶酪（见下图）来品尝。
瑞士埃曼塔勒地区位于瑞士中部伯尔尼州（Canton Bern）的埃曼河谷（EmmeValley），以起伏的绿色丘陵、传统木屋农场和奶酪生产闻名，是瑞士标志性奶酪 Emmental Cheese（埃曼塔奶酪） 的原产地。埃曼塔奶酪呈淡黄色、硬质，带有标志性的大孔洞（由发酵气体形成），风味温和，带有坚果香，常用于烘焙或直接食用。
本期主题我们就探讨：
• 什么是瑞士奶酪模型（SCM）？
• SCM源自何处？
• SCM的本质是什么？
• SCM的底层逻辑是什么？
• SCM的主要内容是什么？
• SCM和安全管理系统（SMS）有何关系？
• SCM在工业安全管理中有何作用及其发挥作用的机理是什么？
• 如何辩证的看待SCM？
01 |什么是瑞士奶酪模型（SCM）？
瑞士奶酪模型，也称为“Reason模型”或“累积行为效应模型”，是一个用来说明系统安全事故发生机制的比喻性模型（AQWD1333｜所有模型都是错误的-为什么安全管理还需要它？）。
该模型将系统的各个防御层比作一片片瑞士奶酪。每一片奶酪代表一道安全防线（如操作规程、员工培训、安全设备、监管检查等）。而奶酪上的孔洞则代表该层防御中存在的潜在缺陷或漏洞。这些孔洞本身并不总是会导致事故，但当多个层面的孔洞因为一系列连续的失效或错误而偶然对齐，形成一条畅通无阻的“通道”时，危险（事故隐患）就能穿过所有防御层，最终导致事故的发生。
02 |SCM 模型源自何处？
James Reason（后续有专题探讨此人） 于 1960 年代在英国曼彻斯特和莱斯特接受心理学家培训。1977 年，他被任命为曼彻斯特心理学教授，研究人体工程学、压力和晕车问题。1990 年，他撰写了《人为错误》一书（后续有专题介绍），该书旨在为人为错误提供认知心理学解释和心理解释，在书中首次提出瑞士奶酪模型。而模型的灵感来源于对一系列重大复杂系统事故（如切尔诺贝利核事故、挑战者号航天飞机爆炸等，这些事故后续有专题介绍）的深度调查。瑞森教授发现，这些事故很少是由单一原因造成，而是由一系列贯穿于整个组织系统的失效连锁反应所导致。
03 |SCM模型是如何演进的？
在 1990 年代首次亮相后，瑞士奶酪模型进行了各种风格修改。
第 1 版 - 1990 年的初始模型描绘了五个平面的序列，一个接一个地躺着：最高层决策者、生产线管理、先决条件、生产活动和防御。
第 2 版 - 该模型的第二个化身是在 1990 年代初开发的，它将四个生产平面减少到三个（组织、工作场所和个人），并将单一防御层扩展到三个。
第 3 版 - 1990 年代中期，在 Reason 的著作中，事故因果关系必须具有 3 个基本要素：危险、防御和损失。他解释了漏洞、差距和弱点是如何产生的：一线作员的错误和违规行为可能会造成短期违规行为、长期和更危险的差距是由设计师、构建者、过程编写者、高层管理者和维护者的决策造成的。
第 4 版出现在 2008 年：该模型显示厚奶酪片排成一排，并根据所服务的案例中的元素进行标记。
Reason 在讨论他的奶酪片时使用了 Emmentaler 这个词，以更准确地定位这种硬奶酪的发源地，那里是瑞士中部潮湿的一个山谷，离伯尔尼不远。他在模型最后一版的动画片中引进了一只老鼠。老鼠代表了一系列小的、琐碎的事件和失败，这些事件慢慢地啃噬了最后一片——一线作员的英勇干预。他在这一版中说，孔洞大小不重要，重要的是孔洞的位置和数量。
04 |SCM模型的本质是什么？
瑞士奶酪模型的本质是线性思维模型。它打破了传统“寻找替罪羊”的事故调查模式，不再将事故简单归咎于最后一个直接操作者的“人为失误”。它强调：
· 导致事故的漏洞存在于组织的各个层面和各个环节。
· 漏洞是动态的：奶酪上的孔洞会随着时间、条件的变化而打开、缩小或移动。
· 事故需要“连锁反应”：单一漏洞通常不足以致命，多个不同层面漏洞的“巧合”对齐才是关键。
05 |SCM模型的底层逻辑是什么？
其底层逻辑可以分解为以下几个核心要点：
1. 纵深防御：任何复杂系统都不应只依赖单一安全措施，而应设置多层、冗余的防御体系。
2. 漏洞的不可避免性：没有任何一层防御是完美无缺的（每片奶酪都有孔洞）。这些漏洞可能来自主动失效和潜在条件。
3. 事故的“对齐”触发机制：事故的发生不是一个因果链，而是一个“机会窗口”的打开。当不同层面的漏洞在时间和空间上恰好对齐，危险能量或信息就能穿透所有防线。
4. 关注潜在条件：模型强调，除了直接的操作失误（主动失效），更应关注那些长期存在、被管理所容忍的潜在条件，如资源不足、不良文化、有缺陷的设计等，它们是滋生孔洞的土壤。
06 |SCM的主要内容是什么？
瑞士奶酪模型主要包括三个方面内容，即深度防御和屏障、常驻病原体理论和系统防御的多孔层理论。
一、深度防御和屏障概念
瑞士奶酪模型认为人的绩效（HOP-后续有专题探讨）是由当地的工作场所条件和远端的组织因素决定的。即在组织的前端（或一线）遇到的问题不是在那里产生的，而是从不完美的上游流程和部分继承而来的。
SCM模型的防御层来自 Haddon 的屏障概念（后续有专题探讨），而驱动屏障概念发展的核心假设是事故是不受控制的释放有害能量的结果。Reason 在SCM模型中引入故障树（FTA-后续有专题探讨）和事件树（ETA-后续有专题探讨）分析作为系统安全方法，是屏障概念和分析的关键贡献者。而FTA和ETA是定量风险评价（QRA-后续有专题探讨）的基础。这些方法于 1961 年首次提出，作为评估民兵洲际弹道导弹发射控制系统的一种方式。
FTA和ETA这两种方法显然都为系统地（甚至可量化的）考虑放置屏障以阻止事件的传播及其升级为不受欢迎的结果开辟了道路。
· 按照事故的线性事故轨迹、位置和目的，屏障可分为预防、控制和缓解。
· 按照屏障的属性可分为材料屏障（被动，如墙壁、扶手）、功能屏障（主动或动态，如密码、锁、门）、符号障碍（如标志、许可证）、无形障碍（基于需要体现和应用障碍的人的知识，例如飞机失速速度的知识，低于该速度，飞机将不再飞行）。
二、常驻病原体理论
延斯·拉斯穆森 （Jens Rasmussen） 在 1970 年代后期对 200 起核电站事件进行了分析，发现其中 34% 的事件归因于人为疏忽（人们没有做需要做的事情），他意识到疏忽来自某个地方，他们被某事允许，促成，甚至鼓励。建议我们应该区分两种类型的错误：
· 主动错误（可见错误）：接近尖锐端，其影响立即被感觉到并可见
· 被动错误（潜在错误或常驻病原体）：在系统内长期休眠，只有当它们与其他因素结合时才会变得明显
它提出了复杂技术系统的崩溃与多种原因疾病（如癌症或心血管疾病）的触发和发展方式之间的类比。Rasmussen 发现复杂技术系统中的延迟失败与体内常驻病原体之间的明显相似性，这些是在任何事故序列最终开始之前就已经存在的致病因素，它们可能产生的影响不会立即显现，但可以削弱系统的防御并促进不安全的行为。而这些错误是防御层孔洞产生的原因。
三、系统防御的多孔层理论
根据 Reason 的说法，最大限度地减少事故的最佳机会是在延迟行动失败（潜在失败）与本地触发器相结合以破坏或规避系统防御之前识别并纠正它们。以上与关于屏障和能量遏制或防止能量不受控制的释放的想法是一致的，所有防御措施都旨在提供以下一项或多项功能：
· 建立对当地危害的理解和意识
· 就如何安全操作提供明确指导
· 在危险迫在眉睫时提供警报和警告
· 在危险和潜在情况之间设置安全屏障
· 遏制和消除他们逃离这个屏障时的危险
· 在危险控制失败时提供逃生和救援手段
Reason认为，瑞士奶酪模型展示的防御会被以下因素弱化
· 生产线管理缺陷
· 监管缺陷
· 容易出错的组织决策
· 不安全行为在尖锐的一端
07 |SCM和安全管理系统（SMS）有何关系？
瑞士奶酪模型是构建和理解安全管理系统（SMS-后续有专题探讨）的理论基石。SMS是一个系统化、程序化的安全管理框架，旨在主动识别和控制风险。瑞士奶酪模型为SMS提供了：
· 哲学基础：SMS认同“事故源于系统缺陷”这一核心理念。
· 结构框架：SMS的四大组件（安全政策、风险管理、安全保证、安全促进）可以看作是构建更厚实、孔洞更少的“奶酪片”的具体措施：
安全政策：定义了奶酪片的质量标准。
风险管理：主动识别和修复现有的孔洞，并预测新孔洞的产生。
安全保证：持续监控奶酪片的状态，确保防御层有效。
安全促进：通过培训和文化建设，让所有人都关心并参与维护奶酪片的完整性。
· 事故调查工具：在SMS框架下发生不安全事件时，用该模型进行分析，可以系统性地找出所有层面的贡献因素，而不仅仅是追究个人责任。
08 |SCM在工业安全管理中有何作用以及发挥作用的机理是什么？
瑞士奶酪模型具有以下作用：
· 提供系统性的事故分析工具：帮助调查人员超越表面原因，挖掘组织深层的根本原因。
· 促进从“责罚文化”向“报告文化”的转变：当员工明白失误是系统问题的表现而非个人无能时，更愿意主动报告安全隐患。
· 指导风险管理的优先级：通过分析哪些层面的孔洞最多、最大，可以优先分配资源进行改进。
· 强化纵深防御理念：提醒管理者需要设置并维护多层次、多样化的安全屏障。
瑞士奶酪模型发挥作用的机制在于：
1. 屏障识别：首先识别出系统中所有设计用来阻止危险的安全屏障（物理的、行政的、行为的）。
2. 漏洞分析：分析每个屏障在什么情况下会失效（出现孔洞）。例如，防护装置可能失效（硬件），规程可能不被遵守（软件），操作员可能疲劳（人员）。
3. 关联性分析：在事故调查中，追溯危险是如何穿过一系列失效的屏障的，并分析导致每个屏障失效的主动失效和潜在条件。
4. 系统性改进：根据分析结果，不仅修复最后一道失效的屏障，更要修补上游所有层面的潜在缺陷，如修改设计、优化流程、加强培训、改善组织文化等，从而让孔洞更难对齐。
09 |如何辩证看待SCM模型？
瑞士奶酪模型是一个强大的启发式工具，但并非完美无缺。其优点在于：
· 直观易懂：比喻形象，易于被不同层次的人员理解和接受。
· 影响力巨大：彻底改变了人们对安全和人因错误的认知，是现代安全科学的里程碑。
· 实用性强：为事故分析和系统安全设计提供了清晰、可操作的框架。
而其局限性则表现在以下方面：
1. 过于简化：现实中的防御层和漏洞远比静态的、分层的奶酪片复杂。漏洞之间可能存在动态的、非线性的相互作用。
2. 隐含的“被动”视角：模型似乎将事故描述为“孔洞偶然对齐”，可能弱化了组织中有意识的决策和权衡（如为了效益而牺牲安全）所起的主动作用。
3. 对“恢复力”关注不足：模型侧重于危险如何“突破”防御，但对系统如何通过人员的适应性、即兴发挥和恢复力来成功阻止事故（即孔洞没有对齐的情况）解释不足。
4. 可能导向“屏障堆砌”：如果理解片面，可能导致管理者简单地增加更多防御层（更多奶酪片），而不是改善现有屏障的质量和管理系统，这反而可能使系统变得更加复杂和脆弱。
5.瑞士奶酪很难成为一个真正的“系统性”模型，因为它无法解释或描绘组织决策的复杂出现、防御的侵蚀、漂移和越轨行为的正常化。
SCM是一个线性思维模型，模型表明只有当其他事情出错时，事情才会出错。对于每一个效应，都必须有一个原因。这意味着您可以追溯序列并引起事后诸葛亮。复杂的系统几乎以复杂的方式失效。尽管 SCM 有时被称为系统模型，但它并不是被认为是系统思维的东西。
当 SCM 确实谈论人类行为时，它依赖于判断词汇，例如领导不力、不安全的行为等。之所以安全越来越被视为行政命令和管理控制的问题，SCM 可能是促成这一趋势的原因，SCM 传达了这样一种理念，即上游系统的良好管理和技术秩序确保了尖端的安全，安全官僚化和影响深远的合规文化已经变得普遍且难以遏制。
安全官僚化和合规文化的成因在于，除了上文提及的因素，还在于组织基于瑞士奶酪模型进行安全管理，因为涉及多层生产线管理和监督，需要一个用于监视和监控人类行为的机制，这导致出现的现象是安全不是向下的实际和道德责任，而是可能成为一种官僚主义的责任。这一趋势还催生了上文提到的庞大的安全官僚机构和合规文化。而官僚主义和合规文化给我们留下了一个在许多行业普遍存在的问题是，安全职业缺乏目标和愿景，某些情况下监管机构被掏空和弱化。
10 |瑞士奶酪模型强调从系统设计和互动中寻找根本原因，你怎么看？
一个家庭计划清晨6点出发去机场赶国际航班，结果全员睡过头，抵达机场时舱门已关闭，假期泡汤。
表面原因是：全家人都睡过头了。但奶酪模型揭示了更深层的家庭“系统故障”：
1. 第一层奶酪（个人设备）： 父亲设定的手机闹钟，因前晚软件更新被意外重置为“工作日模式”，周末不响。（技术设备层）
2. 第二层奶酪（家庭协作）： 母亲原本有让父亲“双保险”设定闹钟的习惯，但这次因打包行李太累，睡前没有再次确认。（沟通与习惯层）
3. 第三层奶酪（应急预案）： 家中原本有一个老式物理闹钟作为备份，但电池上周耗尽后无人更换。（备用系统层）
4. 第四层奶酪（外部缓冲）： 他们计划提前3小时到机场，本有充足的缓冲时间应对小意外（如堵车）。但睡过头直接耗尽了所有缓冲。（时间冗余层）
事后的家庭会议认识到，依赖单一节点（一个人的手机）是脆弱的。他们建立了新的家庭出行系统：出行前夜，必须由两人独立设定闹钟（手机+物理闹钟），并必须在睡前共同确认。这不再是依赖某个人的“不忘事”，而是建立了一个容错的家庭流程。
瑞士奶酪模型是安全工程和风险管理领域的基石理论，是一个极其出色的入门和沟通工具，它奠定了现代安全管理的系统观。但在处理高度复杂的系统时，需要结合其他更动态的理论（如韧性工程、系统理论事故模型与过程STAMP等-后续有专题探讨）来弥补其不足。它的核心价值在于提醒我们：安全是一个持续修补漏洞、加固防御的系统工程，永远不能掉以轻心。
瑞士奶酪模型的核心在于事故不是单一原因造成的，而是多层防御体系中多个独立漏洞（“孔洞”）罕见地串联对齐，导致风险穿透了整个系统。它本质上反对“唯个人错误论”，强调从系统设计和互动中寻找根本原因。
你所在的组织如何使用SCM的？ 欢迎在评论区分享你的观点。你的反馈和声音是我们持续输出有针对性高质量内容的重要来源。如果你在安全管理/HSE/EHS管理专业能力提升、职业发展遇到瓶颈或困惑，也欢迎给我留言。
-结束-
关注@斯图安全问道，和我一起系统拆解安全管理基本概念、理论、模型、方法和工具，知其然知其所以然，助力EHS人员职业发展，也欢迎将本文分享给有需要的朋友。