Revisiting 瑞士奶酪模型（3）

瑞士奶酪模型的空洞必须理解为hazard，不然外部没有输入资源和hazard时就没有了hazard，此时事故来自何方？事故是必须来自hazard的。Reason在2016年的书中也说了Human factors是危险源。当然，Reason本人并没有直接说奶酪上的空洞是hazard。

防护措施defense可能是措施条文，也可能是护栏、安全帽等物。前者是生产决策的一部分（决策业务必须决策安全），是生产要素；后者，属于材料、设备，可能起生产作用、防护作用或兼顾两种作用，也是生产要素。因此，defense可以与适当的“奶酪”合并，不必抽象出来单独画出。事实上，1997年Reason修改得到的奶酪模型第一版最新画法中，只有四块奶酪，没有单独的defense，而且将每块奶酪都看作是defense，barriers or safeguards。

1997年Reason在奶酪模型的第三版图中，表达了生产要素产生defense及其缺欠、产生hazard的过程，说明hazard（含defense的缺欠）、defense都是生产要素产生的。

归纳起来，生产要素（高层-中层-员工）产生了defense、产生了hazard（一是外部输入即原始的，二是defense的空洞或者缺欠），hazard产生了事故。Hazard含有人因（各类行为）也含有物因。这个结论在奶酪模型的第二版图中看得比较清楚。

奶酪模型的三个版本（画法），不是相互代替关系，是并存的。

关键词：瑞士奶酪；空洞；防护措施；合并

参考：Revisiting 瑞士奶酪模型（1）- 事故是怎样发生的(有修改）

   Revisiting 瑞士奶酪模型（2）-hazard的定义（有修改）