1、一一 BOWTIEBOWTIE模型安全原理模型安全原理Contents二二 BOWTIEBOWTIE模型要素组成模型要素组成三三 BOWTIE XPBOWTIE XP软件使用软件使用1. 模型概念BowTie模型最早出现在澳大利亚昆士兰大学关于帝国化学工业公司危害分析的课程讲义，随后壳牌公司将其应用于阿尔法钻井平台爆炸灾难分析中，至今这一模型已被广泛应用到生产领域的安全管理和风险识别工作中。2016年，在哥本哈根举行的IATA国际运行会议上，该模型作为民航安全管理&风险分析的有效工具，被重点推介。2016年6月集团安委会正式通过英国民航局(CAA)及安全管理咨询公司CROSS MANAGEME
2、NT引入此模型理念。完整的BOWTIE模型图包含8大要素：危险源（Hazard）风险事件（Top Event）风险隐患（Threat）潜在结果（Consequence）预防措施屏障（Barriers）纠正措施屏障（Barriers）干扰因素（Escalation）干扰因素的措施屏障（Barriers）。BOWTIE模型是风险管理的一种工具办法，BOWTIE旨在通过设置防止一定量的不安全事件发生的屏障方式进行风险管控，来达到降低结果发生的概率或严重程度。在含有防止顶层风险事件发生的保护性结图方法中，针对隐患隐患的预防性措施屏障预防性措施屏障，其在顶层事件顶层事件的左边针对结果结果的纠正纠正或止损
3、性措施屏或止损性措施屏障障，其在顶层事顶层事件件的右边1. 模型概念1. 模型概念为什么要用BOWTIE？1.集团、公司安全绩效管理的新思路和开展需求。2.更直观、更全面地展示、分析、控制安全风险。2. 理论支撑BOWTIE模型实质是一系列安全管理理论和模型的集合：（一）奶酪奶酪REASONREASON模型模型REASON模型是曼彻斯特大学教授James Reason在其著名的心理学专著Human error一书中提出的概念模型，通过国际民航组织的推荐成为航空事故调查与分析的理论模型之一。REASON模型的内在逻辑是：事故的发生不仅有一个事件本身的反应链，还同时存在一个被穿透的组织缺陷集，事故
4、促发因素和组织各层次的缺陷（或安全风险）是长期存在的并不断自行演化的，但这些事故促因和组织缺陷并不一定造成不安全事件，当多个层次的组织缺陷在一个事故促发因子上同时或次第出现缺陷时，不安全事件就失去多层次的阻断屏障而发生了。2. 理论支撑（二）冰山理论冰山理论模型模型事事 故故事故征候事故征候差差 错错&风险风险不安全事件不安全事件2. 理论支撑（三）CAPA理论CAPA（Corrective Action&Preventive Action）是ISO9001推荐的一种质量管理的方法。对已出现的或潜在的不合格原因进行分析、采取必要的措施，防止不合格发生或再发生，以及在产品性能、过程能力、成本及服
5、务等方面采取纠正/预防措施，从而不断提高产品/过程质量水平以达到顾客满意。8.5.2 纠正措施 组织应采取措施，以消除不合格的原因，防止不合格的再发生。纠正措施应与所遇到不合格的影响程度相适应。应编制形成文件的程序，以规定以下方面的要求： a) 评审不合格（包括顾客抱怨）； b) 确定不合格的原因； c) 评价确保不合格不再发生的措施的需求； d) 确定和实施所需的措施； e) 记录所采取措施的结果（见4.2.4）； f) 评审所采取的纠正措施的有效性。 8.5.3 预防措施 组织应确定措施，以消除潜在不合格的原因，防止不合格的发生。预防措施应与潜在问题的影响程度相适应。应编制形成文件的程序，
6、以规定以下方面的要求： a) 确定潜在不合格及其原因； b) 评价防止不合格发生的措施的需求； c) 确定并实施所需的措施； d) 记录所采取措施的结果（见4.2.4）； e) 评审所采取的预防措施的有效性。 2. 理论支撑（四）ICAO风险矩阵（RISK MATRIX）风险程度R 可能性概率P 后果严重度S一一 BOWTIE BOWTIE模型安全原理模型安全原理Contents二二 BOWTIEBOWTIE模型要素组成模型要素组成三三 BOWTIE XPBOWTIE XP软件使用软件使用1. 危险源“危险源是一种潜在可能造成人员伤亡、设备结构损伤、材料功能失能的条件、物体或活动。”（EASA
7、）BOWTIE模型中危险源如何确定：1.任何可能造成伤害或损失的来源，都是危险源。如：雨雪天气运行、易燃物、在繁忙跑道上滑行2.危险源常伴随后果，但不意味着危险源就是后果！危险源的描述中不应包括后果。如：起飞时飞机失控、明火&爆炸、飞机相撞n起飞时飞机失控n明火&爆炸n飞机相撞雨雪雨雪天气易燃物繁忙跑道滑行 如何准确定义一个危险源： 1. 危险源火眼金睛哪个不是危险源：机场终端区机场终端区的雷雨的雷雨新疆风沙新疆风沙天气运行天气运行机场上空的机场上空的鸟群鸟群冲出跑道冲出跑道污染跑道污染跑道舆论媒体的舆论媒体的负面影响负面影响机场终端区机场终端区的雷雨的雷雨新疆风沙新疆风沙天气运行天气运行机场
8、上空的机场上空的鸟群鸟群冲出跑道冲出跑道污染跑道污染跑道2. 风险事件 在BOWTIE中，风险事件（TOP EVENT）是伴随风险源（HAZARD）次生出现的，每个风险事件都有对应的风险源，而每个风险源往往可能有多个风险事件伴随。BOWTIE模型中风险事件如何确定：例如危险源为雨雪天气运行，那么风险事件就可以描述为飞机机翼带冰雪起飞，或者飞机在湿滑跑道上起飞。风险事件是风险源具体状态+体量（规模）+发生时间+发生地点+发生可能性的综合。风险事件可以描述的更为具体，取决于你制定BOWTIE的深度和维度。例如：1.公司B737飞机在长治机场湿跑道条件下起飞2.新疆乌鲁木齐机场因雨雪天气关闭时间持续
9、2小时请注意，风险事件的描述中同样是不包含事件后果的2. 风险事件 火眼金睛哪个不是风险事件：北京北京- -乌鲁木齐乌鲁木齐航班机长不满航班机长不满足新机长天气足新机长天气标准，导致航标准，导致航班取消班取消西宁机场高西宁机场高温，西宁温，西宁- -北京航班存北京航班存在限载在限载飞机定检未飞机定检未完成导致飞完成导致飞机起飞后出机起飞后出现单发返航现单发返航3. 风险隐患风险隐患（THREAT）也叫威胁，是通过产生风险事件从而导致危险源出现的原因或可能性BOWTIE模型中风险隐患如何描述：1、风险隐患的描述要直接2、每一个风险隐患都必须对应一个后果（但多个风险隐患可以对应同一个后果）3、每一
10、个风险隐患是独立存在的，不存在两个风险隐患相互干扰、影响4、在描述风险隐患时可以从人、机、料、法、环等方面逐一考虑和划分4. 潜在结果潜在结果（CONSEQUENCE），是风险事件发生后所可能产生的结果。BOWTIE模型中风险隐患如何描述：1、潜在结果只是结果事件，而不是事件造成的后续人员伤亡、物体损伤等例如飞机失去控制、航班备降&返航、冲出跑道、飞机相撞2、每一个潜在结果都必须至少对应一个风险隐患火眼金睛哪个不是潜在结果：重着陆重着陆中断起飞中断起飞宣布最低宣布最低油量油量飞机机尾擦飞机机尾擦伤更换尾翼伤更换尾翼偏出跑道偏出跑道飞机颠簸造飞机颠簸造成成2 2名乘务员名乘务员受伤受伤4. 潜在
11、结果5&6 预防和纠正措施屏障在BOWTIE中，预防和纠正措施，根据措施的实施阶段和程度不同，大体可细分为4种：1、清除性措施（Elimination），即通过落实此措施，可直接避免隐患发生2、预防性措施（Prevention），即通过落实此措施，在隐患出现后可避免风险事件发生3、减少性措施（Reduction），即通过落实此措施，在风险事件发生后可减少潜在后果发生的可能性4、止损性措施（Mitigation），即通过落实此措施，在潜在后果出现后，减少后果带来的损失7. 干扰因素干扰因素（ESCALATION），是可能造成措施屏障失效的因素或者事件。BOWTIE模型中干扰因素如何描述：1、制定
12、一个BOWTIE时，往往要考虑措施屏障的有效性，一旦在评估一个措施屏障为失效时，就要考虑其失效的原因，而这就是干扰因素。2、干扰因素的引入是BOWTIE运用PDCA闭环管理的一个重要体现，BOWTIE的制定者可以根据需要，对每个预防&措施屏障进行干扰因素的分析，当然也可以仅针对某个或某些有效性较低的措施进行干扰因素分析，从而再针对干扰因素制定专门的措施屏障，最终达成闭环管控。8. 干扰因素措施屏障干扰因素的措施屏障，原理与预防&纠正措施屏障相同，此处不再赘述。1、清除性措施（Elimination），即通过落实此措施，可直接避免隐患发生2、预防性措施（Prevention），即通过落实此措施，
13、在隐患出现后可避免风险事件发生3、减少性措施（Reduction），即通过落实此措施，在风险事件发生后可减少潜在后果发生的可能性4、止损性措施（Mitigation），即通过落实此措施，在潜在后果出现后，减少后果带来的损失如何完成一个BOWTIE第一步 确定一个危险源和相应的风险事件：如何完成一个BOWTIE第二步 确定该风险事件的风险隐患和潜在后果：如何完成一个BOWTIE第三步 确定风险隐患的措施屏障以及潜在后果的措施屏障：如何完成一个BOWTIE第四步 确定措施屏障的干扰因素(如有)：如何完成一个BOWTIE第五步 确定干扰因素的措施屏障并最终生成一个BOWTIE：一一 BOWTIE B
14、OWTIE模型安全原理模型安全原理Contents二二 BOWTIE BOWTIE模型要素组成模型要素组成三三 BOWTIE XPBOWTIE XP软件使用软件使用1. 界面介绍BOWTIE XP软件的界面截图1. 界面介绍BOWTIE XP软件的操作演示2. 案例练习练习1危险源: 在高速公路上开车请识别风险事件、隐患、后果及相应的措施屏障和干扰因素，形成一个BOWTIE2. 案例练习2. 案例练习练习2危险源: 载量限制请识别风险事件、隐患、后果及相应的措施屏障和干扰因素，形成一个BOWTIE2. 案例练习第一步：确定危险源和风险事件2. 案例练习第二步：确定威胁和对应的潜在结果2. 案例练习第三步：制定预防和纠正措施2. 案例练习第四步：分析可能的干扰因素并制定相关的措施
