第十一章 做了那么多，为何阻止不了重大事故发生？—咨询师回忆录

时间定在周五上午九点，地点还是行政楼三楼那间会议室。这一次，何总坐在长桌尽头。各车间主任、设备部、仪表班、电气班、工艺组、班组长都到了。小黄坐在角落，笔记本开着，投影上放着两张图：一张是评估结果汇总，一张是四维共识框架。白板上还留着上一场会没擦干净的“职责—角色—接口”。

老周先通报评估结果。

九十八人参与第一次评估，通过率百分之六十六点七。车间主任和安全员通过率最高。磨选车间赵主任拿了八十五分，开了个好头。年轻刘班组长方法掌握不错，但几乎一个人完成了整个辨识过程，其他成员参与度低，“课堂氛围”那一栏基本没给分。矿石车间那位五十多岁的班组长不合格，面对白板时紧张，口音重，说的还是“注意安全”“小心高空”“做好防护”那些笼统的话，没有按流程走。

老周说完，靠在椅背上，说了一句：“知道哪些地方需要补了。”

何总没有批评谁。他说：“不合格不是丢人，是告诉我们哪里需要补。今天这个会，不是追责会，是把角色和下一步讲清楚。”

然后他转向我：“上次我跟陈老师聊过，项目要转起来，四个东西要对齐：目标、角色、流程、信任。今天先把这个讲清楚。陈老师，你讲。”

我站起来，走到投影前。四维共识的框架已经放在那里：GOAL、ROLE、PROCESS、Interpersonal。我没有展开太多理论，只把角色表讲了一遍。

何总是CHAMPION，定方向、批资源、扫障碍。我是COACH，提供方法、做诊断、带他们走，但不替他们审批作业票，不替他们做隐患排查。老周是TEAM LEADER，负责日常对接、协调内部资源、推动执行。车间主任、班组长、安全员是TEAM MEMBER，参与培训、执行、提供现场反馈。四个角色缺一不可，四个维度缺一不可。

何总听完，问了一句：“我只要确认一次就够了？”

“一次不够。”我说，“但有一次就能确定方向。”

他点了点头，没再追问。然后他说：“好，那你最后讲一讲，为什么我们非要做风险辨识能力评估。讲透。不要只讲方法，讲清楚这件事到底卡在哪里。”

会议室安静下来。我走到白板前，拿起笔，先画了两个框。

左边写：风险分级管控。右边写：隐患排查治理。

“双机制，大家都熟。”我说，“风险分级管控，隐患排查治理。一个负责分风险，一个负责查隐患。听起来很完整。但它有一个隐藏前提——风险已经被识别出来了，措施已经可靠了。”

我在两个框上面画了一条横线，写上：前提。

“你分级管控，管控什么？管控的是已经识别出来的风险。你隐患排查，排查什么？排查的是风险管控措施有没有失效。那么问题来了：如果风险本身没有被识别出来，你管控什么？排查什么？如果措施本身不可靠，你查它有没有失效，又有什么意义？”

没人说话。仪表班老班长低头看着桌面。

“所以双机制在实际运行中常常是跛脚的。它的设计逻辑是‘管控已知’，而不是‘发现未知’。风险分级管控的前提是风险已经被识别，它把辨识当成了已经完成的前置条件。隐患排查治理的前提是措施已经到位，它把辨识当成了过去式。于是，当企业面对一个新的工艺、一个变化的环境、一个从未见过的场景时，双机制就失灵了——因为那个风险不在清单上，分级管控没有对象，隐患排查没有方向。”

我停了一下，在白板上写下三个词。

风险辨识 → 分级管控 → 隐患排查。

“完整的链条应该是这样。风险辨识是持续发现新的风险、跟踪已有风险的变化。分级管控是根据风险的大小和性质，匹配相应的控制措施和资源。隐患排查是验证控制措施是否有效、是否在运转。三者是递进关系，也是循环关系。隐患排查发现的新问题，要回到风险辨识重新评估；重新评估之后，管控措施需要调整；调整之后，再次通过隐患排查来验证。”

我转身看着他们。

“但这一切的前提，是风险辨识能力。没有这个能力，分级管控就是无源之水，隐患排查就是无根之木。我讲过一句话：风险辨识是能力，不是知识。今天我把这句话往下推一层。知识是什么？你知道LOTO叫上锁挂牌，知道SIS叫安全仪表系统，知道HAZOP叫危险与可操作性分析。能力是什么？是你站在现场，看到一根仪表气管、一个手阀、一张‘禁止操作’的纸条时，能想到：这是SIS的动力源，这个阀被关，SIS就瞎了。知识让你会写清单，能力让你找对措施。”

我在白板上写了三个机制。

“第一，风险辨识能力评估。第二，关键管控措施分级管控。第三，全员隐患排查验证。”

“这不是推翻双机制，是给它补上第一块砖。双机制解决‘管什么、查什么’，三机制先解决‘识得准不准、措施可不可靠、验证全不全’。双机制像两条腿，三机制先保证眼睛没瞎、鞋没破。”

我放下笔，看了一圈。

“我知道你们有人要问。现在问。”

设备部主管先开口：“上锁挂牌会不会影响生产？其他车间要用气怎么办？”

“不是所有阀都锁。”我说，“先识别关键阀。对关键阀，要设计正常用气调整的合法路径，比如旁路、调压、备用气源、许可制度。不能因为方便就牺牲关键保护。生产要连续，但连续不能靠取消保护换。锁的是误操作，不是锁生产。”

车间主任问：“培训沟通也是措施，为什么不行？”

“培训沟通是意识措施，失效概率高。它可以做，但不能单独控制高风险。高风险关键措施必须有硬约束：锁、联锁、权限、限位、监测、备用。软措施管人，硬措施管阀门。人会忘，锁不会。”

仪表主管问：“SIS都上了，为什么还要管仪表气阀门？”

“SIS是独立保护层，但仪表气是支持系统。支持系统失效，保护层就是空架子。共因失效最可怕。你把SIS当免死金牌，它就会在关键时刻变成一张纸。”

安全员问：“风险辨识能力评估是不是考试？”

“不是考定义。”我说，“给一张现场图，问：如果这个阀被关，哪个联锁失效？关键措施是什么？可靠性多少？怎么验证？答得出，才是能力。答不出，背再多法规也没用。”

矿石车间那位老班组长一直没说话。这时他抬起头，声音不大：“陈老师，我文化不高，矩阵我记不住。是不是我就不合格？”

我看着他。

“你上次不是不会，是没人要求你用这种方式讲。你脑子里有现场，有经历，有那些差点出事的事。能力不是背矩阵，是把你经历过的事讲出来，再问一句：如果那个阀被关，会怎样？下次我们点对点辅导，不从矩阵开始，从你经历过的那次管道憋压开始。”

他没再说话，但身体往后靠了一点。

何总最后开玩笑似地问：“三机制是不是把双机制推翻了？”

大家都笑了，会议室气氛轻松了一些。

“不是推翻，双机制本身没错，是我们在做的时候缺少了支持系统。”我说，“双机制解决‘管什么、查什么’，三机制先解决‘识得准不准、措施可不可靠、验证全不全’。没有第一块砖，后面全是空的。”

我看时间差不多了，开始做最后总结。

“接下来一周，不写大而全的风险清单。只做一件事：对关键管控措施进行梳理并分级管控。”

我转身在白板上写了一个案例标题：“SIS上了，仪表气阀却没锁。”

“这是行业里某公司的真实教训，也是我们前期风险识别过程里反复出现的一类问题-事件频繁发生而管控手段没有有效升级。某公司投了SIS，反应器超温超压联锁，按说保护层升级了。但有一段时间，车间多次发生仪表气压力低事件。原因不复杂：车间仪表气入口管道阀门，经常被其他车间的人关闭，或者把流量减少。其他车间用气紧张，就动这个阀。这个阀一关，仪表气压力下降，SIS执行机构推力不足，联锁阀动作慢，甚至不动作。”

“我问车间：发生过多少次？他们说好几次了，而且还没有低压报警，都是中控看数据发现。我问：怎么处理的？车间说：培训、沟通、贴纸条，跟兄弟车间打招呼。我问：上锁挂牌了吗？没有。权限控制了吗？没有。阀门状态监测了吗？没有。”

“我再问车间主任：如果这个阀被关了，SIS还能动作吗？他说不能。我问：那这个阀是不是关键管控措施？他说是。我问：那你们为什么只靠培训沟通？他沉默了很久。”

会议室里没人说话。

“培训沟通是措施，但可靠性太低。人会忘，会换班，会图方便，会以为‘就关小一点没事’。上锁挂牌不是不信任人，是承认人会犯错。把关键阀门锁在开位，挂牌，谁要动必须走许可。这样才把措施从‘希望它有效’变成‘验证它有效’。”

“如果控制措施不可靠，再怎么隐患排查和分级管控也没有。隐患排查都是在查确定的措施，但措施本身有问题，无法避免事故发生。你查培训记录，查沟通纪要，查巡检表，查不到‘这个阀会被别人关’。该出事还是会出事，而且都可能是大事。”

我放下笔，看着大家。

“所以，接下来一周，每个装置交出几样东西：关键管控措施清单、失效后果、现有措施可靠性、分级、责任人、验证方式、硬控制计划。高风险措施，能上锁的上锁，能联锁的联锁，能权限控制的权限控制，不能只靠培训沟通。一周后，我们进入下一章——全员隐患排查。但记住，那不是去查一般隐患，是去验证关键管控措施是否还可靠。”

散会时，没人笑。有人低声说了一句：“原来我们一直在查措施，没查措施本身。”

我听见了。

我知道，思维的门，已经推开了。风险辨识是能力，不是知识。能力不足，双机制空转；措施不可靠，排查再多也只是在确认无效。三机制不是理论创新，是补课。补的是第一块砖。

而接下来，全员隐患排查，就是去验证这块砖还在不在。