胡月亭高級(jí)工程師 邱少林高級(jí)工程師 劉景凱教授級(jí)高級(jí)工程師 曾明榮教授級(jí)高級(jí)工程師 杜 民高級(jí)工程師

(1.中國(guó)石油天然氣集團(tuán)公司，北京 100035；2.中國(guó)安全生產(chǎn)科學(xué)研究院，北京 100012)

0 引言

目前，我國(guó)有關(guān)生產(chǎn)安全風(fēng)險(xiǎn)管理方面的術(shù)語(yǔ)與概念比較龐雜、混亂，如與Hazard相關(guān)的名詞術(shù)語(yǔ)就有20多個(gè)，其中，在國(guó)家標(biāo)準(zhǔn)中對(duì)Hazard就有5種不同的翻譯方式。這些基礎(chǔ)名詞術(shù)語(yǔ)的多樣化、不統(tǒng)一，不僅妨礙學(xué)術(shù)的溝通交流，也直接影響日常風(fēng)險(xiǎn)管理工作。因此，亟需對(duì)這些風(fēng)險(xiǎn)管理基礎(chǔ)名詞進(jìn)行梳理分析，給出明晰定義和統(tǒng)一稱謂，并厘清它們之間的邏輯關(guān)系以及這些基礎(chǔ)名詞術(shù)語(yǔ)在事故致因和防控中的作用和地位等。本文基于屏障模型辨析安全生產(chǎn)風(fēng)險(xiǎn)管理基礎(chǔ)名詞術(shù)語(yǔ)及它們之間的相互關(guān)系，從而更好地理解和應(yīng)用風(fēng)險(xiǎn)管理，做好事故防控。

1 屏障模型基本內(nèi)涵

瑞士奶酪模型認(rèn)為，防范能量或有害物質(zhì)意外釋放的屏障(即風(fēng)險(xiǎn)控制措施)，像有孔洞的瑞士奶酪片一樣，層層遮擋在危害因素(Hazard)之前，這些孔洞的尺寸、位置隨時(shí)間在不斷變動(dòng)，當(dāng)某一時(shí)刻所有屏障上的孔洞都位于一條直線上時(shí)，就形成通路，從而導(dǎo)致事故發(fā)生。

瑞士奶酪模型對(duì)于事故致因的解釋，雖然直觀、形象、生動(dòng)，但也存在很多問(wèn)題。單從屏障理論的角度，該模型把屏障比作自始至終都帶有漏洞的“瑞士奶酪”，給人們?cè)斐伞皼](méi)有無(wú)缺陷的屏障”的錯(cuò)覺(jué)，由此會(huì)誤導(dǎo)人們對(duì)屏障本質(zhì)的認(rèn)識(shí)，降低對(duì)屏障質(zhì)量的重視程度。另外，瑞士奶酪模型把所有對(duì)防控能量或有害物質(zhì)起作用的事物都視作屏障，且放在同一層面上，與客觀實(shí)際不符，致使實(shí)際應(yīng)用過(guò)程中遇到許多難以解釋的問(wèn)題。

1.1 屏障模型

筆者嘗試對(duì)瑞士奶酪模型進(jìn)行改進(jìn)，構(gòu)建在結(jié)構(gòu)形式上類似于瑞士奶酪模型的屏障模型，如圖1。屏障模型具有3個(gè)部分：一是導(dǎo)致事故的源頭、根源——能量或有害物質(zhì)；二是失控的能量或有害物質(zhì)對(duì)可能波及的對(duì)象(稱之為“受體”)造成的事故損失；三是分隔在能量或有害物質(zhì)與“受體”之間，防止能量或有害物質(zhì)失控的手段——防控屏障，只要其中任一屏障有效發(fā)揮作用，就能夠防控事故發(fā)生，否則，事故就可能發(fā)生。

圖1 屏障模型示意圖

1.2 屏障模型基本特點(diǎn)

屏障模型除把瑞士奶酪模型中的事故致因物由“危害因素(Hazard)”改變?yōu)椤澳芰炕蛴泻ξ镔|(zhì)”之外，二者最大的區(qū)別體現(xiàn)在防控屏障上。

首先，在屏障質(zhì)量方面，與瑞士奶酪模型不同，屏障模型中的防控屏障為不能有漏洞的真實(shí)屏障。這里的“不能有漏洞”并非意味著屏障的盡善盡美，沒(méi)有任何缺陷，而是屏障必須發(fā)揮其應(yīng)有作用或功能，如果屏障出現(xiàn)漏洞，就意味著屏障失去防控作用。因此，必須高度關(guān)注屏障的質(zhì)量，確保屏障不出現(xiàn)漏洞。

其次，在屏障數(shù)量方面，屏障模型根據(jù)屏障性質(zhì)，對(duì)屏障進(jìn)行分級(jí)、分類。屏障分級(jí)是把屏障劃分為直接用于能量或有害物質(zhì)防控的直接屏障、通過(guò)直接屏障而起防控作用的間接屏障。在直接屏障中，只有人員類屏障(一線崗位員工操作)與硬件類屏障(現(xiàn)場(chǎng)設(shè)備設(shè)施情況)2種基本類型。間接屏障作為直接屏障的支撐，由于其作用已通過(guò)直接屏障得以反映，不能再出現(xiàn)在屏障模型中，因此，在屏障模型中，屏障的數(shù)量就是人員、硬件類直接屏障的數(shù)量。這樣不僅厘清不同層面屏障間邏輯關(guān)系，而且屏障的數(shù)量可數(shù)，為量化風(fēng)險(xiǎn)防控奠定科學(xué)基礎(chǔ)。屏障模型可以彌補(bǔ)瑞士奶酪模型沒(méi)有對(duì)屏障類型進(jìn)行劃分，解決不同層級(jí)的屏障都混放在對(duì)能量或有害物質(zhì)防控的同一個(gè)層面上，導(dǎo)致屏障功能重疊、數(shù)量重復(fù)的問(wèn)題，能真實(shí)地反映客觀實(shí)際。

2 基于屏障模型的風(fēng)險(xiǎn)管理基礎(chǔ)術(shù)語(yǔ)辨析

2.1 危害因素與危險(xiǎn)源、隱患

目前，在我國(guó)與Hazard對(duì)應(yīng)的詞語(yǔ)很多，如危險(xiǎn)因素、有害因素、不安全因素、危險(xiǎn)、危險(xiǎn)源、危險(xiǎn)(源)、危害、危害源、危害(源)、風(fēng)險(xiǎn)源、風(fēng)險(xiǎn)點(diǎn)、風(fēng)險(xiǎn)因素、危害因素、隱患等，因此，應(yīng)把這些詞語(yǔ)進(jìn)行整合。如前所述， Hazard單在國(guó)家標(biāo)準(zhǔn)中就有5種不同的中文翻譯，其中，在安全生產(chǎn)領(lǐng)域?qū)⑵渥g成 “危險(xiǎn)源”最為常見(jiàn)?！堵殬I(yè)健康安全管理體系》把Hazard定義為：可能導(dǎo)致人身傷害和(或)健康損害的根源、狀態(tài)或行為，或其組合。兩類危險(xiǎn)源(Hazard)理論也認(rèn)為，危險(xiǎn)源(Hazard)分2類，一類是系統(tǒng)中存在的、可能意外釋放而引發(fā)事故的物質(zhì)，它就是屏障模型中需要防控的能量或有害物質(zhì)，即“根源”類Hazard；另一類則是導(dǎo)致限制、約束能量或有害物質(zhì)措施(屏障)失效的各種不安全因素，它就是屏障模型中人員、硬件屏障上的漏洞，即“行為或狀態(tài)”類Hazard。由此可見(jiàn)，Hazard包括導(dǎo)致事故發(fā)生的“根源”類Hazard與“行為、狀態(tài)或其組合”類Hazard 2種類型。鑒于漢語(yǔ)語(yǔ)境中“危險(xiǎn)源”一詞的“源”表示“根源、源頭”十分合適，但不適于表示“行為或狀態(tài)”，因此，一直以來(lái)把Hazard譯作“危險(xiǎn)源”存在很大爭(zhēng)議，同時(shí)它也與“重大危險(xiǎn)源”的定義不一致。相反，“危害因素”一詞為中性詞語(yǔ)，既可表示源頭、根源類物質(zhì)，也能表示行為、狀態(tài)類情形，而且“危害因素”還可以理解為危險(xiǎn)因素、有害因素、危險(xiǎn)有害因素以及危險(xiǎn)、有害因素的簡(jiǎn)稱，因此，把Hazard譯作“危害因素”十分合適。目前，在對(duì)2018版《職業(yè)健康安全管理體系》翻譯時(shí)，已將Hazard由“危險(xiǎn)源”改譯為“危害因素”。同時(shí)，在企業(yè)風(fēng)險(xiǎn)管理活動(dòng)中，人們也更習(xí)慣使用“危害因素”這個(gè)術(shù)語(yǔ)?？傊?，把Hazard譯作“危害因素”既可以解決“危險(xiǎn)源”無(wú)法涵蓋“行為、狀態(tài)”類Hazard的問(wèn)題，也能夠整合與Hazard相關(guān)的眾多名詞，同時(shí)還與Hazard形成一一對(duì)應(yīng)的關(guān)系。

另外，在兩類危害因素中，鑒于能量或有害物質(zhì)是導(dǎo)致事故發(fā)生的根源或源頭性的東西，即危害因素定義中的“根源、源頭”，因此，把這類危害因素稱為“源頭類危害因素”更為合適，“源頭類危害因素”可稱為“危險(xiǎn)源”，如“重大危險(xiǎn)源”中的“危險(xiǎn)源”正是此意；另一類則是在防控源頭類危害因素過(guò)程中，伴隨防控屏障(措施)而出現(xiàn)的、可能導(dǎo)致防控屏障(措施)失效的不安全因素，即危害因素定義中不安全的“狀態(tài)或行為”，與源頭類危害因素相對(duì)應(yīng)，它們是導(dǎo)致事故發(fā)生的外部原因。由于它們是在防控源頭類危害因素過(guò)程中，伴隨防控屏障(措施)出現(xiàn)的衍生品，因此，此類危害因素可形象地稱為衍生類(派生類)危害因素。

根據(jù)風(fēng)險(xiǎn)管理原理，要防控事故的發(fā)生，首要任務(wù)是找出可能導(dǎo)致事故發(fā)生的致因因素——危害因素，如圖2。為此，應(yīng)首先辨識(shí)出導(dǎo)致事故發(fā)生的源頭類危害因素，只有這樣才能有的放矢地設(shè)置針對(duì)性屏障(措施)進(jìn)行防控，同時(shí)還要辨識(shí)出導(dǎo)致屏障(措施)失效的“行為、狀態(tài)”類危害因素——衍生類危害因素，只有這樣才能確保屏障(措施)持續(xù)有效發(fā)揮作用，從而達(dá)到防控事故發(fā)生的目的。由屏障模型理論可知，限制、約束能量或有害物質(zhì)的直接屏障(措施)分為2大基本類型：人員屏障與硬件屏障。鑒于任何類型的屏障都可能會(huì)因其自身本質(zhì)特征缺陷而失效，如人員屏障可能會(huì)出現(xiàn)人的不安全行為；硬件屏障可能會(huì)出現(xiàn)物的不安全狀態(tài)。這種由于屏障(措施)自身本質(zhì)特征缺陷可能出現(xiàn)但尚未出現(xiàn)的衍生類危害因素就是“潛在型危害因素”(The Potential Hazard)，如螺栓固定的組件可能但還未出現(xiàn)螺母松動(dòng)脫落，人員可能但還未出現(xiàn)違章行為等。對(duì)潛在型衍生類危害因素預(yù)防失效而轉(zhuǎn)變?yōu)椤艾F(xiàn)實(shí)型危害因素”(The Actual Hazard)，現(xiàn)實(shí)型危害因素就是所謂的“隱患”?！半[患”的出現(xiàn)就會(huì)使屏障(措施)失去作用，至少影響其作用的發(fā)揮，從而可能導(dǎo)致源頭類危害因素失控，造成事故發(fā)生。

圖2 危害因素與危險(xiǎn)源、隱患關(guān)系示意圖

由此可見(jiàn)，要防止事故發(fā)生，首先要設(shè)置屏障防控源頭類危害因素，即危險(xiǎn)源；防控屏障(措施)上的漏洞就是由潛在性危害因素失控形成的現(xiàn)實(shí)型危害因素，即隱患，人員類屏障上的隱患即人的不安全行為；硬件類屏障上的隱患即物的不安全狀態(tài)，它們正是導(dǎo)致事故發(fā)生的直接原因，表現(xiàn)為直接屏障上的漏洞，間接屏障上的漏洞也是“隱患(管理缺陷)”，間接屏障上的漏洞(管理缺陷)是導(dǎo)致直接屏障漏洞產(chǎn)生的原因，也就是事故的管理(間接)原因，它們是事故直接原因產(chǎn)生的原因，如圖3。

圖3 與危害因素(Hazard)相關(guān)的名詞術(shù)語(yǔ)關(guān)系圖

需要指出的是，理論與現(xiàn)實(shí)會(huì)有所出入，隱患管理亦如此，例如，按照國(guó)家隱患排查治理要求，因安全標(biāo)準(zhǔn)升級(jí)也會(huì)產(chǎn)生新的隱患界定；在隱患排查治理上，企業(yè)往往只是針對(duì)物態(tài)隱患進(jìn)行立項(xiàng)整治，對(duì)于人的行為型隱患大多并不在隱患排查治理的范疇，等等。

2.2 風(fēng)險(xiǎn)、危害因素及其相互關(guān)系

危害因素是指可能導(dǎo)致人身傷害和(或)健康損害的根源、狀態(tài)或行為，或其組合，其實(shí)質(zhì)是將來(lái)可能引發(fā)事故的原因，是一種需要辨識(shí)出來(lái)并加以防控的客觀存在。鑒于并非所有危害因素都需要防控，因此應(yīng)通過(guò)風(fēng)險(xiǎn)評(píng)估，根據(jù)危害因素的風(fēng)險(xiǎn)程度，決定是否防控以及如何防控(即風(fēng)險(xiǎn)分級(jí)管控)。風(fēng)險(xiǎn)是評(píng)判辨識(shí)出來(lái)的危害因素是否需要防控、如何防控的一種評(píng)價(jià)指標(biāo)、衡量參數(shù)。所謂風(fēng)險(xiǎn)是指(危害因素導(dǎo)致)事故發(fā)生的可能性與事故后果嚴(yán)重程度的組合。源頭類危害因素決定著事故后果的嚴(yán)重程度，衍生類危害因素決定著事故發(fā)生的可能性。總之，事故發(fā)生可能性及其后果嚴(yán)重程度主要是由危害因素所決定，危害因素決定風(fēng)險(xiǎn)程度的大小、高低，當(dāng)然同時(shí)還受其他因素的影響。

由此可見(jiàn)，危害因素與風(fēng)險(xiǎn)的關(guān)系類似于“皮”與“毛”的關(guān)系，危害因素是主體，風(fēng)險(xiǎn)是附著在危害因素之上的客體，是反映危害因素危險(xiǎn)程度的一種特征指標(biāo)，有危害因素必然有與之相對(duì)應(yīng)的風(fēng)險(xiǎn)。在風(fēng)險(xiǎn)管理活動(dòng)中，辨識(shí)客觀存在的危害因素，評(píng)估辨識(shí)出來(lái)的危害因素的風(fēng)險(xiǎn)，所謂“風(fēng)險(xiǎn)辨識(shí)”實(shí)質(zhì)上是“風(fēng)險(xiǎn)(源)”辨識(shí)，“風(fēng)險(xiǎn)(源)”即安全生產(chǎn)領(lǐng)域的“危害因素”。如上所述，雖然風(fēng)險(xiǎn)是對(duì)危害因素的一種評(píng)價(jià)指標(biāo)，但因危害因素是客觀存在，因而依附于危害因素的屬性——風(fēng)險(xiǎn)，在一定程度上講，也是一種客觀存在，即所謂“風(fēng)險(xiǎn)無(wú)處不在”，正是因?yàn)槲：σ蛩氐钠毡榇嬖凇?/p>

3 基于屏障模型的事故致因解釋

事故究竟如何發(fā)生？能量意外釋放論解釋事故發(fā)生的內(nèi)因，屏障模型解釋事故發(fā)生的外因，二者結(jié)合在一起，則能夠科學(xué)合理地解釋事故的致因機(jī)理。

能量意外釋放論認(rèn)為，事故之所以發(fā)生，究其實(shí)質(zhì)，就在于客觀存在的能量或有害物質(zhì)失去控制而意外釋放，波及到“受體”(人員、財(cái)物、環(huán)境等)，當(dāng)對(duì)“受體”的沖擊超過(guò)其承受程度(門限值)時(shí)，就會(huì)受到傷害、破壞或污染等，這就意味著事故的發(fā)生，否則，就是未遂事故。因此，只要有能量或有害物質(zhì)存在，就有事故發(fā)生的可能。

屏障模型理論認(rèn)為，能量或有害物質(zhì)之所以失去控制，就是因?yàn)榉揽啬芰炕蛴泻ξ镔|(zhì)的直接屏障——人員屏障與硬件屏障，都因其自身本質(zhì)特征缺陷而存在潛在危害因素，其失控就會(huì)轉(zhuǎn)變?yōu)楝F(xiàn)實(shí)型危害因素——隱患，隱患會(huì)導(dǎo)致屏障失去作用，造成能量或有害物質(zhì)失控，進(jìn)而造成事故發(fā)生。當(dāng)然，鑒于對(duì)能量或有害物質(zhì)的防控一般都具有多重屏障(人員類屏障、硬件類屏障)，既使個(gè)別或部分屏障存在隱患，只要其中任何一個(gè)屏障能夠發(fā)揮防控作用，就能夠防控事故發(fā)生，這就是多重屏障設(shè)計(jì)能夠提升安全系數(shù)的道理，更何況，屏障即使存在隱患，也不一定立即、完全喪失作用，這就是事故是小概率事件的道理。

4 基于屏障模型的事故防控認(rèn)識(shí)

源頭類危害因素即能量、有害物質(zhì)，它們是導(dǎo)致事故發(fā)生的根源、源頭，只要有源頭類危害因素存在，就有事故發(fā)生的可能。雖然“消除”源頭類危害因素，可做到一勞永逸，但可被 “消除”的源頭類危害因素并不多，即便采用“替代”或“減少”措施，也未必能夠使其風(fēng)險(xiǎn)程度削減到“合理、實(shí)際且盡可能低”的水平，因此，絕大多數(shù)源頭類危害因素防控，都將通過(guò)工程控制和管理控制2類措施分別與屏障模型中的硬件類屏障和人員類屏障相對(duì)應(yīng)。

鑒于約束、限制源頭類危害因素(能量或有害物質(zhì))的防控屏障(措施)都具有可能致使屏障產(chǎn)生漏洞的潛在型危害因素，如果其失控轉(zhuǎn)化為現(xiàn)實(shí)型危害因素(隱患)，屏障就會(huì)失去作用，因此，要有效防控事故發(fā)生，必須確保防控屏障上潛在型危害因素始終處于“潛在”狀態(tài)。如前所述，衍生類危害因素按照存在狀態(tài)，可分為潛在型危害因素與現(xiàn)實(shí)型危害因素，若按照其表現(xiàn)形式，又可分為直接屏障漏洞與間接屏障漏洞，間接屏障漏洞(不良安全文化、組織監(jiān)管問(wèn)題等)導(dǎo)致直接屏障漏洞的產(chǎn)生。因此，應(yīng)通過(guò)培育企業(yè)良好安全文化或強(qiáng)化組織監(jiān)管等手段，也就是通過(guò)發(fā)揮間接屏障的作用，確保直接屏障完好無(wú)漏洞，從而確保源頭類危害因素(能量或有害物質(zhì))受控，事故就不會(huì)發(fā)生。

綜上所述，要做好事故防控工作，首先要通過(guò)本質(zhì)安全措施，或從根本上消除源頭類危害因素，或通過(guò)替代/減少手段消減源頭類危害因素，做到本質(zhì)安全，避免事故發(fā)生。否則，就需要建立安全屏障(風(fēng)險(xiǎn)控制措施)，做好對(duì)源頭類危害因素的防控。對(duì)安全屏障進(jìn)行控制時(shí)，應(yīng)通過(guò)間接屏障做好對(duì)直接屏障的維護(hù)工作，提升直接屏障質(zhì)量，使衍生類危害因素始終處于潛在狀態(tài)，從而使防控屏障發(fā)揮其應(yīng)有作用，在此基礎(chǔ)上，還應(yīng)該考慮通過(guò)增加安全屏障數(shù)量來(lái)提升安全系數(shù)。當(dāng)然，應(yīng)對(duì)潛在型衍生類危害因素防控失當(dāng)而出現(xiàn)的現(xiàn)實(shí)型衍生類危害因素(隱患)，應(yīng)通過(guò)隱患排查治理，立即消除隱患，使屏障重新發(fā)揮防控作用。

5 結(jié)論

(1)眾多與Hazard相關(guān)的名詞可梳理整合為“危害因素”一詞，危害因素按其致因機(jī)理，可分為源頭類危害因素(危險(xiǎn)源)與衍生類危害因素2大類型。衍生類危害因素按其存在狀態(tài)，可分為潛在型危害因素與現(xiàn)實(shí)型危害因素，其中，現(xiàn)實(shí)型危害因素就是隱患。風(fēng)險(xiǎn)管理實(shí)質(zhì)上就是圍繞上述3類危害因素進(jìn)行管理。

(2)危害因素是一種客觀存在，風(fēng)險(xiǎn)是反映危害因素危險(xiǎn)程度的一種特征指標(biāo)、衡量參數(shù)。在危害因素與風(fēng)險(xiǎn)的關(guān)系中，危害因素是主體，風(fēng)險(xiǎn)是附著在危害因素之上的屬性、客體。衍生類危害因素決定著發(fā)生事故的可能性；源頭類危害因素決定著事故后果嚴(yán)重程度；同時(shí)還受其他相關(guān)因素的影響。因此，有危害因素必然有與之相對(duì)應(yīng)的風(fēng)險(xiǎn)，反之亦然。

(3)屏障模型既可用于對(duì)風(fēng)險(xiǎn)管理基本術(shù)語(yǔ)的解釋，還可用于事故致因分析，也可用于事故防控，同時(shí)，也是屏障類工具、方法的基本組成單元，因此，屏障模型可作為屏障理論的基本模型。