风险管理 知微见著（2）

瑞士奶酪模型：杜绝链效应

在“航空事故理论”中有一个叫作瑞士奶酪的理论模型。这个模型是由一个名叫詹姆斯·瑞森的人提出来的，所以也称“瑞森模型”，其核心思想是：组织活动可以分为不同层面，每个层面都会存在漏洞，不安全因素就像一个不间断的光源，当它刚好能透过所有这些漏洞时，事故就一定会发生。这些层面叠在一起，犹如把瑞士奶酪叠放在一起，所以被称为“瑞士奶酪模型”。

我们知道，瑞士奶酪每一层上都有许多洞，这些洞就好比是错误发生的管道。如果错误只穿透一层或两层奶酪（防卫机制），往往不会被注意到或者造成较大的影响；如果错误穿透多层奶酪，就会造成显而易见的事故。事故的发生往往不只是一个因素或事件本身造成的，更是因为存在着缺陷的某种集合，才使反应链能够贯通重重阻隔而发生。就像一块瑞士奶酪，你初看每一块上都有很多洞，但是叠在一起，没有一个洞是让你能一眼看穿的，也就是说没有形成一个贯通的缺陷路径。所以，防范错误的关键，不仅仅在于堵住空洞，更在于避免各个环节的空洞出现联动性。

瑞士奶酪模型源于“人类必然会犯错”这个基本假设，强调在作业流程的每一个环节，不论理论上规范得如何完整，执行面都一定还是存在着因为人性或生物体疲乏造成的潜在缺失，好比瑞士奶酪上的一个个空洞。瑞士奶酪模型就是要为人为的失误建立一个系统保障，尽量创造一个不容易犯错的执行环境，避免重大事故的发生。

安全冗余：多重备份并非多此一举

说到“安全冗余”，不禁让人想起一个抠门老外的生命悲剧。58岁的英国酒店大亨维克斯（Gary Vickers）有17年驾驶经验，当时驾驶他的塞斯纳双引擎小型飞机，与其42岁的女友克拉克（Kay Clarke）到巴黎购物。回程时，维克斯获悉英国的油价更便宜，每公升油价较法国便宜9便士，为了节省油钱，竟把可装满386公升油的油缸只装了244公升。但他没有料到会遇上逆风，结果导致燃油耗尽，引擎熄灭，最后落得机毁人亡的下场。

维克多的悭俭有悖安全冗余的道理。所谓“安全冗余”，通常指通过多重备份来增加系统的可靠性。换句话讲，就是为了更好地保证安全，设置一些看似多余的、不必要的安全设施或制度。举例来说，在电力系统中线路双重保护属于设备性冗余，为的是保障电网安全；倒闸操作双监护是通过制度冗余来保障人身安全。

实际上，在生活与工作中，安全与危险同在，不会存在绝对的安全或危险。要想继续保持安全状态，就必须采取多重措施，以“冗余”这样一种安全理念来预防，把危险因素限制在可控的范围内。