一種簡明、實用的屏障模型

胡月亭高級工程師

（中國石油質量安全環保部，北京 100007）

0 引言

雖然奶酪模型、能量意外釋放論廣為業界所認可，但在實際應用過程中，也出現了一些問題，如，奶酪模型有關“任何屏障都有缺陷（漏洞）”觀念，已給日常風險防控工作帶來不重視屏障質量的負面影響，此外，奶酪模型主要是對人不安全行為的防范，對事故致因的解釋采用了比喻方式，也沒有對模型中屏障給出明確定義，且模型中的Hazard存在定義寬泛問題等[1-7]。另外，能量意外釋放論雖然抓住了事故致因的核心——能量，但并沒有對能量為什么會意外釋放，給出科學、合理的解釋，所有這些都影響著其作用的發揮。

本文基于事故防控工作實踐以及相關理論，通過對奶酪模型、能量意外釋放論的深入分析研究，在二者基礎之上，構建了一種新型、實用的屏障模型，企圖解決上述問題，以期更好地服務于事故防控與原因分析等工作。

1 問題分析

1.1 能量意外釋放論問題分析

如前所述，能量意外釋放論只是認為非需能量的意外釋放，是導致事故發生的根本原因，但能量為什么會意外釋放，能量意外釋放論并沒有給出科學、合理的解釋。對于能量意外釋放的原因，奶酪模型做出了合乎情理的解釋。該理論認為，任何防范屏障都像瑞士奶酪片一樣存在孔洞，每層奶酪片上孔洞的尺寸和位置隨時間而變動，當所有屏障上的孔洞都位于一條直線上時，就形成了通路，能量或有害物質就會像光線一樣穿透所有屏障而被意外釋放，從而導致事故發生[1]。

1.2 奶酪模型問題分析

奶酪模型雖然對能量為何會意外釋放給出了合乎情理的解釋，但其自身也存在一些問題，下面就奶酪模型存在的幾個主要問題進行分析。

1.2.1 奶酪模型中Hazard問題分析

在奶酪模型中，類似“奶酪片”屏障防護的是Hazard（危險源），而國內外相關標準都對Hazard給出了一致的定義：可能導致人身傷害和（或）健康損害的根源、狀態或行為，或其組合[8-9]。根據兩類危險源理論，這里的“根源”即能量或有害物質，是需要防控的事故“元兇”，而“狀態或行為”則是導致約束、限制能量措施失效或破壞的不安全因素，也即防控屏障上的漏洞。由于Hazard中“根源”與“狀態或行為”的性質完全不同，需要防控的是能量或有害物質，而不是Hazard，因為它的外延太過寬泛。

1.2.2 奶酪模型屏障類型問題分析

瑞森教授構建的奶酪模型共有3個版本，分別為MarkΙ、MarkП與MarkШ[1]，如圖1。在MarkΙ中，高層決策問題、直線組織管理缺陷、不安全行為的前提條件以及不安全行為等因素，影響著屏障的性能，導致屏障上出現了能量泄露的通道——漏洞，如圖1左。在MarkП中，屏障影響因素由MarkΙ中的4個演變成了3個，即，組織、工作場所和人員，其中，組織又包括企業文化、組織過程及管理決策。同時，屏障的數量由MarkΙ中的一個變成了3個，出現了奶酪模型的雛形，如圖1中。在MarkШ中，屏障影響因素與MarkП基本相同，只是把位于“尖端”的“人員”又換成了MarkΙ中的“不安全行為”。另外，在該版本中，把屏障影響因素由屏障一側移到了屏障的下方，在該位置增加了Hazard，形成了由Hazard、防控屏障以及（事故）損失3個事故模型基本要素所構成的奶酪模型常見樣式，如圖1右，至于其中的防控屏障究竟是什么，3個版本均沒有給出明確的說明。

圖1 奶酪模型的三個版本Fig.1 The markI-Ш of the cheese model

正因為在奶酪模型沒有給出有關防控屏障的明確定義，致使人們對奶酪模型中的屏障理解，與客觀現實有出入，也與瑞森教授所構建的奶酪模型未必一致。目前，國內外對奶酪模型的理解，傾向于把所有對能量起防控作用的因素都作為奶酪模型中的防控屏障，如，美國CCPS出版物以及我們國內的教科書有關奶酪模型的描述都是如此[10]，如圖2。

圖2 CCPS出版物中的奶酪模型Fig.2 The cheese model in CCPS publishing

鑒于防控屏障的定義比較寬泛，把所有對能量防控起作用的因素都作為防控屏障并無不妥[11]，組織的各個層面都有防止能量失控的屏障[1,5]。但問題是，不同層面的防控屏障在防控能量過程中的地位與作用并不相同，因此，把它們混放在同一層面上未必合理。單就奶酪模型而言，其中的屏障應是瑞森教授所指的“尖端”。一是因為“尖端”處于能量防控的最前沿（尖端），起著直接防止能量失控的作用；二是由于它位于瑞森教授所羅列屏障的“尖端”，受其后“組織”、“工作場所”等屏障的影響[1]（MarkП&Ш）。雖然在奶酪模型的3個版本中，“尖端”位置的因素有的是“人員”（MarkП），有的是“不安全行為”（MarkΙ&Ш），但實質上就是“人員”，也即直接接觸能量或有害物質的一線員工，他們就是防止能量失控的直接屏障，而“不安全行為”則是“人員”屏障上的漏洞，也可理解為“人員”屏障的反面（對立面）[12]，它是導致事故發生的直接原因。

鑒于除人的不安全行為之外，物的不安全狀態也是導致事故發生的直接原因，因此，作為“物不安全狀態”反面（對立面）的硬件設備設施，也應是直接防控能量失控的屏障，但由于瑞森教授是心理學家，主要關注人而未研究物對能量防控的影響[2]。總之，通過上述分析可知，直接防止能量失控的屏障，應為人員屏障與硬件屏障[3]，其余的應作為直接屏障的影響因素——間接屏障。

誠如前述，實際工作中，直接防護能量或有害物質的屏障只有“硬件屏障”與“人員屏障”兩種類型。在硬件屏障中，既包括硬件設備、設施、工器具，當然也包括安全附件等，因為它們或是能量載體（如飛行的飛機）或作為能量或有害物質的容器（如高壓儲罐、管道）等，直接與能量或有害物質接觸；在人員屏障中，主要指一線崗位員工（如飛行員），他們工作在生產經營一線，直接接觸或通過硬件接觸能量或有害物質。總之，他們（它們）對能量或有害物質都起著直接的防控作用，故稱直接防控屏障，簡稱直接屏障。

所謂直接屏障就是直接作用于能量或有害物質防護的屏障，也即出現在模型中的屏障，相反，間接屏障則是只能通過直接屏障而發揮作用，或者對直接屏障產生影響的屏障，因此，間接屏障可稱為直接屏障的影響因素或者屏障影響因素，由于其作用已通過直接屏障表現出來，故應隱藏在直接屏障背后，不能再與直接屏障一起出現在模型中。

相對于人員、硬件之類的直接屏障，其影響因素“組織”、“工作場所”，或直線組織的監管、高層的決策乃至其組織的（安全）文化，或者其執行（責任）人、主導者——組織的高層領導、直線管理人員等相關人員，雖然他們對于能量或有害物質的防控至關重要[1]，但他們并不直接與能量或有害物質相接觸，而是通過人員、硬件屏障發揮作用[3]，因此，它們就屬于間接屏障。由于間接屏障的作用已通過直接屏障表現出來，如果對二者不加區分而混淆一起，放到同一個層面上，就會造成相互重疊、重復計數，既不科學合理，也不符合實際，更不利于現實工作中的事故預防，如殼牌公司就要求對高風險的防控至少設置3層以上的屏障[12]，這些屏障就必須是直接屏障。

1.2.3 奶酪模型屏障性質問題分析

如前所述，雖然奶酪模型能對能量意外釋放的原因做出合理的解釋，但其文學式比喻形式不適于對科學模型的解釋[1,4]，更何況“任何屏障都像奶酪存在缺陷（漏洞）”觀念，已經造成了不重視風險防控措施質量的不良影響。

Dekker[6]以及Shappell & Wiegmann[7]等對此類問題提出具有代表性的質疑：屏障上為什么會有孔洞？屏障上的孔洞究竟是什么？為什么孔洞的尺寸、位置會隨時間而發生變化？為什么當所有屏障上的孔洞在一條直線上就意味著發生了事故？等等。

實際上，現實工作中的事故防控屏障的不完善是客觀現實，并不難理解，未必一定要假設為帶有孔洞的奶酪片。因為任何事物都有其自身的薄弱之處，如，鋼鐵雖堅固但會被腐蝕，玻璃雖硬但易碎，橡膠柔韌但易老化等，再如，采用螺栓固定會出現螺母松動、脫落，等等，是物都有可能會因其自身特質缺陷而出現不安全狀態；同理，由于人是具有主觀能動性的高等動物，是人都可能會出現不安全行為。總之，無論人或物都有自身缺陷，它是由人與物自身的本質特征所決定，這種人員與硬件屏障自身具有的特質缺陷被稱為潛在型危害因素[13]，它是一種客觀存在。

正是由于人員與硬件屏障都有其特質缺陷，為防止因此出現問題，就應針對其特質缺陷，采取相應的預防措施，使這種缺陷始終處于潛在狀態，如，通過強化對員工教育培訓與監督，防止人的不安全行為，做好對鋼鐵殼體防腐工作，橡膠制品則在其將要老化前及時更換……總之，雖然所有屏障都有失效（出現不安全行為或不安全狀態）的可能性，但由于預防工作得力、到位，實際上并沒有出現不安全行為或狀態，使得這種特質缺陷始終處于潛在狀態，屏障就能夠有效發揮作用，這種狀態在屏障模型圖中以虛線孔洞示意，如圖3左。相反，如果預防工作不得力、不到位，如橡膠制品已經老化仍未更換，螺栓出現了螺母松動、脫落，人員出現了違規行為，等等, 使得這種特質缺陷由潛在變成了現實，這時的屏障也就失去了應有的防控作用，這種狀態在屏障模型圖中以實線孔洞示意，如圖3中。潛在型危害因素失控就成為了現實型危害因素[13]，現實型危害因素就是我們所謂的隱患。

對于硬件屏障而言，屏障一旦失去作用，這種狀態會一直持續下去，除非采取了相應措施，如進行了修復或更換，如圖3右，否則就不會再發揮作用。由于出現問題的屏障被修復或更換之后，缺陷重新回到了潛在狀態，因此，圖中左右兩個屏障是等效的，如圖3。相反，人員屏障會出現時而起作用時而不起作用情況，因為人員屏障當事人的安全行為（遵章守紀）與不安全行為（違規亂紀）易于變換，相對于硬件屏障，具有易變性。

圖3 模型中不同狀況的屏障示意圖Fig.3 Barrier diagram of different conditions in the model

總之，屏障能否發揮作用，主要取決于其自身特質缺陷問題，但也不排除還有其它方面的原因，因此，做好屏障維護工作，應重點做好對屏障本質缺陷的維護與預防，在此基礎上，還有根據具體實際，考慮其他可能出現的情況。

2 模型構建

基于上述分析，根據兩類危險源理論，在能量意外釋放論、奶酪模型基礎之上，構建了一種新型的事故防控模型。該模型在結構形式上類似于奶酪模型，也具有3個要素：能量或有害物質、防控屏障以及失控所造成的事故（注：圖4為未失控情形，故無事故）。但在組成成分上，其與奶酪模型又有著很大的不同。首先，在防控屏障類型方面，一方面，防控屏障只有直接屏障,間接屏障作為直接屏障背后的支撐，并不出現在本模型之中，解決了直接屏障與間接屏障之間的混淆問題；另一方面，直接屏障既有人員屏障也有硬件屏障，彌補了奶酪模型中缺乏對物的不安全狀態防控的缺陷。其次，在防控屏障性質方面，防控屏障雖有出現漏洞的可能，但所設置的防控屏障不應有漏洞，因為一旦出現了漏洞就起不到應有的防控作用，而非像奶酪模型所示的那樣所有屏障都有漏洞。另外，在該模型中，把導致事故發生的致因物定義為能量或有害物質，而非Hazard，這既符合能量意外釋放論原理，也解決了原奶酪模型中Hazard外延過于寬泛的問題。

圖4 新型的事故致因模型Fig.4 The new accident-causation model

本模型中的屏障并不喻作帶有孔洞的奶酪片，而是現實屏障的示意圖片，對事故致因的解釋不像奶酪模型那樣，“屏障上孔洞的尺寸、位置會隨時間而發生變化，當所有屏障上的孔洞在一條直線上就意味著事故的發生”，而是因為對能量或有害物質的防控一般都具有多重屏障，只要其中任何一個屏障能夠發揮作用，就能夠確保能量或有害物質的受控，只有所有屏障都失去了作用，事故才可能發生，如圖4，因此，本模型既強調屏障數量又注重屏障質量。

3 模型釋義及其功用

3.1 模型釋義

本文把防控屏障分為直接與間接屏障兩類。在該模型中，防控能量或有害物質意外釋放的防控屏障只有直接屏障，但直接屏障能否發揮作用取決于間接屏障[3]，因此，在分析研究直接屏障時必須聯系間接屏障。這樣，一則避免了把直接屏障與間接屏障混為一談，解決了直接屏障與間接屏障間的數量重復、功能重疊問題；二則使得直接屏障與間接屏障間層次分明、邏輯清晰，在直接屏障的基礎上，分析研究間接屏障，能夠追本溯源，形成環環相扣的因果關系鏈條，尤其有利于事故原因的追溯分析[14]。更重要的是，這符合客觀實際情況，因為無論是LOPA、Bow-Tie等風險管理工具方法中的防控屏障，還是實際工作中的各種風險防控措施（屏障），直接與能量或有害物質接觸而發揮防控作用的，就是人員、硬件屏障兩種類型[11-12，14]，其它類型的屏障（措施）并不直接作用于能量或有害物質的防控。

（1）在人員屏障方面。人員屏障主要通過人們對規程、措施等的執行，產生正確規范的動作行為而發揮作用。這里的人員并不以藍領、白領區分，而是看是否從事一線崗位工作，如工廠的操作、檢維修人員，醫院的醫生、護士以及飛行員、駕駛員等，就是充當人員屏障的一線崗位員工。當然，當管理（決策）人員從事一線員工業務時，也將被視為一線員工，如醫院院長主刀做手術時，就是在作為一線崗位員工——主刀醫生而發揮作用，而不是在行使醫院院長的管理（決策）職能。

（2）在硬件屏障方面。硬件屏障主要通過硬件的完好性而確保其有效發揮作用。硬件既包括設備、設施、工器具，也包括安全附件等，安全附件只有安全防護功能，而設備、設施、工器具等，與人員屏障一樣，一般都具有實用與安全兩個方面的功能，如壓力容器，既起到容納高壓物質的容器作用，也起到防止其泄露的安全防護功能。有些硬件屏障能夠單獨發揮作用，有些硬件屏障則需與人員屏障一起才能起作用。

（3）關于間接屏障。雖然組織的管理與監督等間接屏障在風險防控中發揮著極其重要的作用，但它們并不直接作用于能量或有害物質，而是通過一線員工或硬件設備設施而發揮作用。如，在人員屏障方面，通過組織管理，選擇合適的崗位員工，并進行有效的培訓，使其能夠勝任本崗位工作，再加上組織的監督，確保其正確履職，就能夠使人員屏障的作用得以有效發揮；在硬件屏障方面同樣也是如此，通過組織管理，首先組織相關人員做好硬件的設計、建造與安裝等方面的工作，在此基礎上，再組織做好對硬件運行期間的檢查、維護工作，使其功能正常發揮，就能夠確保硬件屏障有效發揮作用。

當然，如果組織監管不力，人員、硬件屏障就會出現問題，如，選人用人不合適，或培訓不到位等，就會在工作中出現不當操作，這就是人的不安全行為，表現為人員屏障上的漏洞；在硬件方面，如果設計、建造或安裝等方面存在問題，或者檢查、維護工作不到位等，硬件就會出現問題，這就是物的不安全狀態，表現為硬件屏障上的漏洞。另外，如果再進一步追溯造成組織監管不力的深層次問題，不難發現一定是不良安全文化在作祟[13，15]，鑒于篇幅所限，本文對此不再作深入分析。

總之，人員、硬件屏障是直接與能量或有害物質接觸的第一層級防控屏障，組織監管則是通過人員、硬件屏障才能發揮作用的第二層級防控屏障，組織的安全文化是整個組織的安全價值觀，既可以通過組織監管，再作用于人員、硬件屏障而發揮作用，也能夠直接作用于人員屏障而發揮作用，它屬于第三層級防控屏障。雖然這些屏障都能夠起到事故防控作用，但它們并不在一個層面上，而是分別位于3個不同的層級，其中，第一層級的防控屏障為直接屏障，第二、三層級的防控屏障為間接屏障，間接屏障通過直接屏障發揮作用，如圖5。

3.2 實例印證

本部分僅就本模型中最為關鍵的直接、間接屏障問題進行實例印證。

石油石化行業是典型的高風險行業，目前普遍采用防控屏障概念，其中，殼牌公司是全球蝴蝶結模型（屏障防控）應用時間最長、效果最好的一家公司。殼牌公司規定，在對高風險進行防控時，至少要設置3個以上的屏障。當然，這些屏障只能是像物理保護、安全儀表系統等硬件屏障，或者如人員遵章守紀操作、巡檢與應急等人員屏障，總之，屏障都應是人員或硬件組成的直接屏障，而像管理體系（組織監管）、安全文化之類的間接屏障，作為對人員、硬件屏障的背后支撐，如圖6，已通過直接屏障發揮了作用，不能再作為獨立的屏障計入其中[3,12]，否則，就會造成重復計數。圖6已在OGP[3]等國際機構以及殼牌公司、道達爾公司[16]等國際石油公司廣泛應用。

圖5 本模型的事故防控機理分析Fig.5 The theory of accident-prevention of the model

圖6 蝴蝶結模型示意圖Fig.6 The Bow-tie model

3.3 模型功用

本模型結構簡單、層次清晰，在事故原因分析與事故預防方面，都具有獨特的優勢。

3.3.1 用于事故原因分析

通過本模型，能夠科學地分析導致事故發生的致因物、直接原因、間接原因以及深層次原因，如圖7。

圖7 事故原因分析Fig.7 The analysis of the causation of accidents

（1）事故的發生是出現了某種能量或有害物質的失控，因為它們是事故發生的根源所在。分析是沒有辨識出該種能量或有害物質而造成屏障缺失，還是對其設置的防控屏障出現了問題。

（2）如果是防控屏障的問題，應對防控屏障作進一步分析。通過分析查找出事故發生的直接原因，人員屏障漏洞（人的不安全行為）問題，還是硬件屏障漏洞（物的不安全狀態）問題，從而采取有的放矢的應對措施，防控此類事故的再次發生。

（3）之所以出現人員屏障或硬件屏障的問題，其背后的原因是一定是因為直線責任組織在安全監督管理方面存在這樣或那樣的問題，在此基礎上，進行有的放矢的整改。它是導致此類事故發生的間接原因或管理原因。

（4）直線責任組織之所以在安全監督管理方面出現問題，其根源就在于不良的安全文化，由于安全文化不良，使其不能夠真正重視安全生產工作，存在著得過且過的僥幸心理等。

3.3.2 用于事故預防

（1）由該模型可知，能量或有害物質是導致所有事故發生的“元兇”，因此，為防止事故的發生，必須首先把可能導致事故發生的能量或有害物質找出來，這樣才能夠根據所要防控的能量或有害物質的性質，有的放矢地設置相應的防控屏障予以防控。

（2）由于任何防控屏障都有因其本質特征所固有的缺陷，由于這種缺陷的存在，如果預防工作不到位，就會產生不安全的狀態（行為），從而使防控屏障喪失正常的防控作用，因此，要使所設置的屏障有效發揮屏蔽作用，還必須查找出其上可能的漏洞、缺陷，然后采取針對性措施進行補救、完善，從而使防控屏障真正發揮應有作用。為此，應在風險管理策劃階段，也即在屏障出臺后、實施前，通過對防控屏障的評審[13]，辨識其上的缺陷、漏洞，以進一步提升屏障質量，從而使其真正發揮防控作用。

總之，基于該模型分析，為做好事故預防工作，應在防控屏障出臺后、實施前，對其進行評審，辨識其上的缺陷、漏洞，再進行修改、完善，從而使屏障發揮應有的作用，這樣既提升了風險防控效果，也從源頭上鏟除了隱患產生的根源，這些都是事故防控領域亟待解決的突出問題[13]，也是該模型在事故預防方面的貢獻。另外，在宏觀策略層面，要做到長治久安，應通過培育企業良好安全文化，促進組織監管，進而促使人員、硬件屏障更好發揮作用，使能量、有害物質始終受控，從而杜絕事故發生。

4 案例分析

4.1 事故經過

某工地項目經理（現場主要領導）向泥工班長交代了比往常多一倍的工作任務，澆筑樓房第16-10層的建筑導墻，但未交待安全注意事項。隨后，班長帶領一隊工人在16層處實施16-10層建筑導墻的澆筑。為了節省時間、完成超過往常的澆筑任務，班長違反安全規定，拆除了16-10層欲澆筑導墻周邊的安全防護欄桿。拆除之后形成了從16-10層共7層、高21m、長3m、寬2m的天井。在完成澆筑任務后，班長要求工人把天井蓋板蓋上再下班， 此時一名泥工因過度疲勞，勸班長先下班明天再蓋蓋板， 于是班長再次違反安全操作規程， 留著未蓋蓋板的天井，走上電梯， 準備下班。 正在這時，一名未扣安全帽帶的安裝工人推著手推車邊跑邊喊班長等他一起下班，但是上電梯，他拉車后退時，忽視了身后的天井，跌落其中。由于安全帽沒扣帽帶，墜入天井后的安裝工，安全帽先脫落，其后腦砸在了天井井底附近的墻壁凸起處，隨后落至安全網上，當場死亡[17]。

4.2 原因分析

利用建立的新模型分析事故原因，如圖8。

圖8 屏障模型的事故原因分析Fig.8 The cause analysis by the barrier model

4.2.1 直接原因

物的不安全狀態：班長違反安全規定，拆除了16-10層欲澆筑導墻周邊的安全防護欄桿，造成天井缺護欄；沒有護欄的天井應蓋板，但員工因勞累未蓋，造成天井蓋板缺失。

人的不安全行為：安全意識淡薄，匆忙之時忽視了身后的無護欄、蓋板天井，拉車后退墜入天井。

4.2.2 間接原因—組織監管問題

（1）現場主要領導只管工作不顧安全：項目經理向泥工班長交代了比往常多一倍的工作任務，澆筑樓房第16-10層建筑導墻，且未交待安全注意事項。

（2）管理人員為了效率放棄安全：為了節省時間、完成超過往常的澆筑任務，班長違反安全規定，拆除了16-10層欲澆筑導墻周邊的安全防護欄桿。

（3）管理人員安全管理不嚴格：班長要求工人把天井蓋板蓋上再下班，由于員工疲勞未蓋蓋板，在班長默許下，留著未蓋蓋板的天井就準備下班。

（4）在如此危險的工作場所，現場管理人員沒有給予事故當事人都應有的關注與提醒。

4.2.3 深層原因—不良安全文化問題

發生事故的組織中的人員安全意識淡薄，安全價值觀低下，工作中沒有安全意識，更不要說把安全當作首要考慮的問題：突然安排太多工作量，埋下事故隱患，上級領導只管生產不顧安全，給其下屬造成不良影響；下屬管理人員，為了節省時間，完成超量任務，違反安全規定拆除安全圍欄，造成了現場不安全狀態；收工后，由于員工疲憊未按要求蓋上蓋板，管理人員也聽之任之，又埋下新的事故隱患；正是由于員工安全意識淡薄，在如此不安全的環境中，仍然疏忽大意，加之匆忙、著急，忙中出錯，退落至天井中。總之，由于組織的安全文化不良，在該組織中無論領導干部、管理人員還是一線員工，安全意識淡薄，不把安全當回事，對安全生產存在僥幸心理，從而造成大量安全監管問題出現，最終使得所有“人員屏障”、“硬件屏障”，層層失效，起不到防控作用，從而導致能量失控、事故發生。

4.3 模型釋義

縱向上：安全文化不良是導致屏障失去防控作用的源頭。組織的安全文化不良導致該組織在日常管理中不能正確處理安全生產與生產經營業務活動的關系，致使整個組織范圍內不重視安全生產工作，導致組織安全生產無人過問，更沒有人放在心上，總之，不良的安全文化使得安全監管方面出現了很多問題。正是由于組織對安全生產工作的不重視，在安全上監管的不作為或亂作為等，造成組織施工作業現場，人的不安全行為、物的不安全狀態大量出現，也即，所應設置的很多“硬件屏障”如天井缺護欄、天井蓋板都不復存在，從而導致事故發生的可能性大大增加，最后僅存的人本能自我保護屏障在慌忙之中也出現了漏洞，就形成了能量或有害物質失控的通路，屏障就失去了對能量或有害物質的防控作用。

橫向上：能量或有害物質是導致“受體（人、物、環境等）”遭受到損害的源頭。要避免事故發生，須使能量（人身的重力勢能）或有害物質受控，為此應設置相應屏障，并使其發揮屏蔽作用，以確保能量到達應到的地方發揮有效作用。相反，如果所設置屏障出現了問題，就不能發揮其應有作用。一般而言，每種能量或有害物質都要一些防控屏障，由于監管不到位等原因，會使大多數屏障失去作用，這種情況下，導致事故發生的可能性就會大大增加，如果最后一層屏障再失去作用，就會給能量的非正常流轉形成通道，從而造成能量的失控，導致事故的發生。在本例中，最先是硬件屏障失去作用（護欄拆除、蓋板未蓋），最后是軟件屏障出了問題（沒有意識到附近沒有護欄或蓋板的天井而倒退跌入天井），由于所設置的每一道屏障都失去作用，就形成能量失控的通路，也即能量穿透所有屏障，導致能量失控，失控的能量（人身的重力勢能）作用在“受體（人）”上，造成當事人死亡。

5 結論

（1）本模型簡單、實用，在理論上解決了奶酪模型中的比喻問題，在實際應用上解決了因奶酪模型“任何屏障都有缺陷（漏洞）”而帶來的輕視屏障質量的負面問題，認為凡有漏洞的屏障都不起作用，必須確保每道屏障的質量，這對于日常的事故防控工作至關重要。

（2）本文首次提出了直接屏障、間接屏障概念，并把直接屏障限定為人員、硬件屏障，認為模型中的屏障應由直接屏障所組成，間接屏障為其背后的支撐，這樣就解決了不同層次屏障間功能重疊、數量重復的問題，既科學合理，也符合客觀實際。同時，通過把硬件屏障添加到模型中去，彌補了奶酪模型中缺少對物的不安全狀態防控的缺陷。

（3）本模型與能量意外釋放論結合在一起，能量意外釋放論揭示了事故發生的內因，本模型解釋了事故發生的外因，使得在事故致因理論方面更趨科學、合理。同時，本模型采用能量而非hazard（危害因素）作為事故源頭，不僅解決了奶酪模型中hazard外延寬泛的問題，而且也解釋了能量意外釋放論未能說明的能量失控的原因。

（4）在事故原因分析方面，本模型結構簡單、層次清晰，能夠科學地分析導致事故發生的致因物、直接原因、間接原因以及深層次原因，在事故原因分析方面具有獨特優勢。在事故預防方面，首先在微觀技術層面，基于本模型對屏障質量要求，提出了對出臺后、實施前的屏障進行評審的建議，能夠有效提升屏障質量，防止因其質量差而造成隱患多發、不起作用等問題，其次在宏觀策略層面，本模型揭示了安全文化建設對于事故防控的重大意義。