人都是会犯错的，安全是防御意识的存在

——听秦之刚讲“人与组织安全表现”

2016年1月，美国通用电气公司（GE）全球供应商和亚太区可持续发展总监秦之刚，重点从创立和发展背景、基本理论和核心思想、与传统安全行为学的区别、主要的分析方法和工具、主要应用的企业和行业等方面，在北京为近百名企业代表和各界人士详细介绍了“人与组织安全表现”（Human and Organizational Performance，简称HOP）在企业安全管理和事故调查中的应用。

秦之刚在讲座中介绍，HOP是当今安全领域最前沿的理论与实践，起源于美国航空业和核工业，旨在防止任何“闪失”而造成极其严重的损失和后果。HOP的重要理念是：安全不是没有事故发生，安全是防御意识的存在。HOP从个人的行为和心理分析出发，直至公司组织的行为、团队的文化和整体的表现，及反过来对个人的影响，全面剖析造成安全事故或“错误”的根源，并由此提出消除、保护、防御、减轻后果等具体而科学的方法。

秦之刚以GE公司的各个工厂的工伤率为例，提出了在重大事故防控方面所面临的“困境”。在GE，这么多年做了很多的安全工具、安全教育、安全检查等工作，确实起到了很好的作用。从1995年到2011年，GE有很多“明星工厂”在可记录工伤率、损失工时工伤率方面，下降幅度非常明显。从这一趋势可以发现，传统的安全管理对降低工伤率是很有成效的，但是也可以从中发现，最近几年的趋势是很平坦的，尤其是损失工时工伤率方面。小的工伤事件发生率下降明显，但是大的工伤事件发生率在下降一段时间之后，很难再明显地继续下降，重大事故未能取得相应的预防效果。 

图1  1995-2011年GE可记录工伤率、损失工时工伤率趋势图

全世界的很多“明星工厂”，在整体的工伤率控制方面效果很好，但是仍然会出现意想不到的重大事故。例如，国际上一些大的跨国企业，如英国石油公司（BP），在2010年4月20日夜间，其位于美国路易斯安那州附近墨西哥湾海域的“深水地平线”钻井平台发生爆炸事故，导致7人重伤、11人死亡。2010年7月16日晚间18时左右，大连新港附近中石油一条输油管道起火爆炸。

秦之刚通过幻灯片展示了一下“事件严重度金字塔”图示。一些安全管理规范的公司，经过几年的安全管理实践发现，其事故的下降幅度是在按照金字塔的规律进行的。而对于一些发生过重大事故的公司来讲，右边的小金字塔则是其现实安全管理中常见的情形，即一些轻微事故是按照金字塔的规律进行下降的，大三角变成了小三角，这被称为“变形金字塔”，因此可以得出这样一个结论：以往很好的安全管理工作，并非没有成效，但只是针对轻微事故和工伤的防控方面来讲的，而对严重的事故则效果不明显。 

图2  事件严重度金字塔

在过去10多年中，这些公司以往的安全表现是非常好的，采取了很多卓有成效的措施，如“健康安全框架”“美国自愿者保护计划”“GE全球之星”“重点关注计划”等，对事故的控制是很有成效的，减少了80%多的伤害事故，但是最近在严重事故率下降方面就没有那么明显了，而且没有办法控制重大事故的发生。这就不得不引人深思：我们到底在哪些方面还存在安全管理缺陷？下一步我们应该如何推动持续的改进？

GE的做法是，在全公司及供应链企业率先实施HOP。

GE在其全球工厂推行“全球之星”健康安全框架管理之后，有效地降低了工伤事故率，但是到一定程度之后，无法有效地进一步减少事故的发生，该公司环境健康安全的管理层在经过长时间的考察和调研后发现，在实施各种工伤预防的措施中忽略了“人”这一关键因素，而且认识到人会犯错误，这是人的天性，而HOP正好弥补了安全管理上的这一缺陷。

2009年1月，HOP创人Todd Conklin博士向GE能源集团的EHS管理团队介绍了HOP。2009年4月，GE环境健康安全委员会引入了HOP。2009年11月，HOP创始人Tony Muschara博士开始在GE公司Arlington Hgts 进行培训。2009年12月，GE HOP指导委员会成立。2010年4月，GE环境健康安全委员会参与了HOP培训。在受到GE环境健康安全委员会的官方认可之后，HOP完成了从“试点项目”到“GE健康安全项目”的转变。2010年至今，GE所有的试点工厂开始实施HOP。GE在中国有3000多家供应商，遍布各个行业，目前也在推广与应用HOP。

目前，美国的核电厂安全、航空安全、汽车安全等领域，GE业务集团以及其他公司，如康菲石油公司、雪佛龙石油公司、约翰迪尔公司、利安德巴塞尔化学公司、美国铝业公司等，都在应用HOP。

HOP是Todd Conklin博士、Sidney Dekker博士等在基于人性本能会犯错误的前提下，开发出的一套帮助理解员工如何完成作业以及建立一套安全防御措施的安全管理理念。如何控制因人的错误而造成的安全事故，是HOP运用在安全管理上的一种新的思维方式与管理哲学。

HOP的重要理念是：安全不是没有事故发生，安全是防御意识的存在。

HOP比较重视组织/管理部门，以及个人因素。有很多“当下因素”会影响组织/管理部门实施安全管理计划的效果，这种影响就会产生一些危害或不良后果，需要设定一定的防御措施进行限制，有预防、识别、检测等措施，以及最后一道措施——降低后果。 

图3   HOP的核心思想

人都是会犯错的，即使是完人也不例外。错误不是一种选择。我们都是在不断的错误中学习和成长的。Sidney Dekker博士说：“人们不是工作在真空中，在那里他们可以决定并采取行动的全有力地运行。犯错或不犯错不是一种选择。相反，人们的工作要服从多个‘当下因素’的制约。” 

安全不是没有事故发生，安全是防御强度的体现。要想杜绝安全事故的发生，就要建立完善的防御体系，在事故发生之前就找出可能的事故隐患。

秦之刚强调，HOP不是我们所熟知的一些安全管理体系的“升级版”，如ISO、“美国自愿者保护计划”、六西格玛等，也不是要取代它们，而是一种新的基于风险的运营理念，在做好以往安全管理体系的基础上，注重从人类易犯错的角度出发，保护员工、产品和企业财产。HOP不是一个新的举措，而是一种改进现有健康安全管理体系的途径，帮助我们更全面地发现和改进安全管理问题，以最小化那些由于人为因素引起的事故的频率及严重程度。

HOP不是一个独立的项目，而是一种对员工错误进行客观讨论、调查、理解和恰当回应的方法；不是一种去除行为（包括错误和失误）问责的手段，而是一种建立在“犯错是人类状况的一部分”这一基础之上的运营理念 ；也不是所有组织问题的万能解决方法，而是为最小化人为错误的频率和后果所设计的系统、程序和策略；不是针对功能失调的个人进行快速解决问题，而是为提高现行的流程和管理体系的有效途径。

传统的安全管理方法，可以降低事故发生的频率，但不能够降低事故发生的严重性。HOP可以解决两个问题，一是降低事故发生的频率，二是控制重大事故的发生。

总之，HOP是一种为最小化人为失误的频率和后果严重性而设计的系统、项目和战略，是经理、主管、专业技术人员和员工每天使用的来理解和避免工作中人为危害的系统、流程与工具。HOP包括：我们如何避免人为失误和人为失误造成的事件；为了应对和避免人为失误，我们如何建立我们的系统；作为经理和组织，对于人为失误应该如何回应。

秦之刚介绍，HOP关注的是人们的行为，以及这一行为所带来的结果。 

图4  HOP等式示意图

秦之刚举例说，在航天业进行发射任务的时候，在火箭升空的瞬间，发射基地的全体人员对着总控制屏幕进行倒计时，同时参与发射工作的人都回忆一下自己的工作程序有没有疏漏。在按下发射按钮的前一瞬间，如果哪个人回忆起有工作疏漏存在，都可以要求停止发射任务。每一个人的行为，都可以和结果挂钩。

犯错误是人类状况的一部分，要将人所犯错误最小化。HOP的一个重要理念是，犯错误不等于违规。人的能力是有局限性的，也是很容易就犯错误的。人为犯错在很多时候是一种无意的行为，是其偏离预期工作实践和程序的体现，但是，要查清错误背后的动机，以及造成错误的原因。除了人本身的因素之外，其周围的环境、组织行为等，也为人犯错提供了机会。违规则是一种故意的行为，是一种偏离既定工作程序（SRA，SOP等）或经批准的工作实践的体现。因此，要将人为错误和违规加以区别对待。

在GE，一直以来使用的术语“人为错误”包括错误与违规行为，现在已经被纠正过来，对不同的行为进行不同的处理。

人为错误的根源在哪里呢？在操作不当方面，90%是由人为犯错造成，10%是由设备故障造成。而在其中90%的人为犯错里面，70%是由系统引起的误差所致，30%则是由于滑倒、绊倒或失足所致。 

图5  人为错误的根源示意图

有时候组织程序越复杂，越容易犯错误，越会降低对错误的承受度。秦之刚举例说，在GE有很多“明星工厂”。作为“明星工厂”的员工，操作时要遵循很多规范和标准，即标准作业流程（SOP），但是到底有多少员工是真正在看着SOP来完成工作任务呢？事实上，按照SOP很难完成任务。由于要“标准化”操作，还要分析出每个步骤的危害，编写成详细的手册，但是最后SOP与实际工作还是会出现偏差。作为GE“明星工厂”审核组组长，秦之刚每到一个工厂，都会看到摆得整整齐齐的厚厚的各种标准化工作的手册。即使一个简单的工种，比如搬运工作，也会有一本厚厚的手册。作为一名搬运工，要花几周的时间去学习手册，还要通过考核。员工不能改变SOP，所以必须摸索出一套实用的方法来完成指定的工作。其实，这样反而会善意地破坏员工对安全的认识，打乱了需要关注的主次，对最需要关注的安全事项反而冲淡了。

秦之刚总结了人类行为表现的原则：人是会犯错误的；错误的类似情形是可以预知的；个人的行为是会受影响的；运营相关的不利因素是可以避免的；我们对失效的态度非常重要。

秦之刚在讲座过程中，会播放一些小视频或者让与会者参与做一些小游戏，以增加讲座的互动性和趣味性。

秦之刚首先播放了一个“下雪天的故事”视频。一个人在下雪天去找自己的车时，发现所有的车都是白色的。在经过一番清扫积雪之后，却发现误把隔壁的车当成了自己的车，来说明人对事情进行判断时受主观因素影响还是比较大的。

秦之刚还举例道，由于一些工厂的开关可能不是一次性安装上去的，就会造成不同厂家的开关“开”与“关”的位置不一样，如果遇到紧急情况，员工在压力之下很容易混淆二者之间的区别。他还发现有一家工厂用的起重机遥控器，由于是两个厂家生产的，“上”与“下”的位置也不一样，如果员工熟悉了其中一台起重机，再用另一台起重机时，就很容易造成混淆，从而引起误操作导致事故发生。

他与前排的一位代表进行了一个“斯特鲁测验”的小游戏。他先让代表说出色块的颜色，再让代表说出字体颜色与字本身的颜色意义一致的字的颜色，最后让代表说出字体颜色与字本身的颜色意义不一致的字的颜色。通过这个小游戏，秦之刚总结道：人是有感知的，也是有经验的，当设计的工作是将两种工作经验混在一起的时候，会对工作造成干扰。人是生物体，有一定的局限性，因此，外界的组织行为对人会产生影响，犯错误也就“理所当然”了。 

图6  斯特鲁测验

秦之刚播放了一个“鳄鱼的故事”视频：一名专业的鳄鱼训练师在表演头部伸进鳄鱼嘴巴的游戏时，由于只擦了左边脸部的汗液，而忘记了擦右边脸部的汗液，导致汗珠滴进了鳄鱼的舌部，对其造成了刺激，使其突然紧闭了嘴巴，把鳄鱼训练师的头部紧紧咬住。鳄鱼的这种反常行为，是由鳄鱼训练师的疏忽造成的。从这个故事中，秦之刚为大家揭示了一个道理：任何一个事件，人要犯错的话，都是有一些诱因在里面的。

秦之刚总结道，事故无时不刻都在，只是等着“被”发生。当工厂发生事故时，往往第一时间就是急着找出那个犯错误的人，并进行根本原因分析，如用“5W”法进行分析：为什么会发生工伤事故？因为是新员工；为什么新员工发生了工伤事故？因为没有接受培训；为什么没有进行培训？因为工作疏漏……事实上，工伤事故不是由员工造成的，员工只是启动了工厂里存在的潜在“危害”（缺陷），使之发生了伤害事故。事故一直存在工厂里，只是等着员工去“启动”它。

秦之刚强调，要明确的一点是，我们是人类，不是机器人，我们是会犯错误的。许多年来，我们一直试图使工人们“更关心”，并且“更加关注”他们正在做的事情，这样他们就不会“犯错误”（如发生工伤意外）了，但并非完全奏效。在HOP这种新的思维方式或“新观点”中，我们正在改变我们对“失败”（犯错误）的反应，我们对员工的错误和失败（犯错误）不是应该表现出惊讶或谴责员工，而是通过成立学习小组的形式，相互聆听和学习可以改进的地方。

因为HOP认为错误并不是一个选择，不能将错误简单归结为一种违规的行为，因为这样会使我们忽视很多导致这种错误发生的重要因素。很多时候，我们将这种错误视作一种“偏差”。偏差可分几种情形，一种是极少发生的“故意偏差”，因这是一种主观上有选择的破坏规则的行为，所以这不是HOP包括的范畴；还有一种是“无意偏差”，这是一种人类易犯的错误；还有一种是“日常偏差”，员工普遍都会发生这种情况。后面两种“偏差”是HOP主要研究和分析的对象。

100个动作中人的可靠性是怎么样的呢？秦之刚举例道，假如完成一项有100个步骤的工作任务，每一个步骤完成的正确率为99%，最终完成整项任务的“不出错”的概率却只有37%（0.99100）。秦之刚总结道，即使每一个工作步骤看似完美到近乎100%的正确，到最后整项任务完成的总犯错的概率竟然可高达60%以上。

员工犯错的根源在哪里呢？哪些因素对人的犯错影响最大？根据长期的数据统计与分析，一个人受组织因素犯错的影响是很大的，比受个人因素的影响要大得多：任务环境因素占75%，个体因素占25%。 

图7  “当下因素”的6大分类

秦之刚举了一个他亲身经历过的组织风险因素的例子。在一家塑料工厂，管理者一直在努力提高工人清洗过程中换螺杆的速度，时间从20分钟缩减到15分钟，又缩减到10分钟，最后创记录地缩减到7分钟。实际上，在换螺杆的过程中，为了保证员工的安全，要将该设备有关的能源锁定，加上清洗操作的时间，7分钟的时间是很难完成安全措施和清洗作业的。受“考核指标”这一组织行为的影响，员工为了提高所谓的工作效率，肯定会在“安全保障”方面节省时间，去“冒险”操作也就在所难免了，不安全的行为也就发生了。管理者重视安全，但只在口头上加以强调，而不像是安排生产那样，提出具体的要求和指标，这实际上会产生负面的组织因素，使员工通过“冒险”而将提高生产率放在首位，只考虑各种生产指标而置安全于脑后，“现实很残酷”。

秦之刚还播放了一个“电梯的故事”小视频，来说明组织行为对个体行为的影响是很大的。在一个电梯里，多个乘电梯的人的行为很容易受第一个进电梯的人的影响。当其脱下帽子，即使其他人不愿意“从众”，但是受到集体压力的影响，还是与大家的“脱帽子”行为保持了一致。

现场还演示了一个搭建积木塔的游戏。当积木塔搭好后，开始从下面抽一个个木块，也就象征着一个个防御被破坏掉。当积木塔下面出现的洞越来越多的时候，说明整个防御体系出现了问题。由于领导与员工看待问题的角度不一样，即使有很多木块从底部或中间已被抽去，在塔倒下来之前，领导从上往下看，整个塔看上去仍是完整无缺的，所有的问题不一定能够被及时发现，当最后一根“稻草”压死“骆驼”的时候，一切都为时已晚。通过这个游戏，秦之刚强调，一定要及时发现安全管理中的“潜在陷阱”。这也正像我们在进行安全文化建设的时候，会将所有好的要素设计进去，但是受“当下因素”的影响，原来好的要素会慢慢地变异，一些潜在情况也会逐渐显现，如潜在的系统缺陷、触发失误的“陷阱”等。

组织本身也会发生“蜕变”，也会成为不安全因素。员工是很多事故的“触发因素”，而员工触发的潜在条件却隐藏在我们的组织中。失误并不是原因，而是后果，是一个被“触发”的后果。

要培养员工的习惯性的“不安意识”（而不是“安全意识”），更要考虑出错的“可能性”。这是一种关于出错可能性和潜在的系统薄弱环节的恐惧的态度，提示员工要在失误之前就做好相应的准备工作。“生于忧患，死于安乐。”在安全生产方面，同样适用。

秦之刚强调，HOP（人与组织安全绩效）不是BBS（行为安全学）的“升级版”。他详细地列举了两者之间的区别。

HOP不是一个独立的新项目，是在原来已有的工具、理念基础上对人与组织犯错的更深的认识，是一种可以与健康安全、环境、质量结合在一起的运营理念，是一个更大的发展。但BBS是一个独立的项目。

BBS通常需要很密集的资源，要发动所有的员工来观察周围同事的行为与所制定标准的偏差，并且只专注员工具体的行为，而不是去承认人是会犯错误的。HOP则使用基于风险的方法，承认人是会失误的，在动态的工作流程中创造一个完全没有失误的工作环境是不可能的。

BBS认为所有的失误和危险行为都是可以避免的，认为可以将员工塑造成不犯错误的“机器人”。HOP则关注组织、文化和管理系统上的一些弱点如何造成一些行为的产生，并致力于降低失误的频率和减轻失误引起的事件的严重程度。 

图8  HOP超越了海因里希规则

如图8所示，海因里希规则能够帮助降低事故发生的频率，但是对于死亡事故或重特大事故，则不能减轻其严重性。而HOP则可以做到这一点。因此，HOP比BBS更加有效。

在GE，BBS的反馈记录会有前后矛盾的现象。在航空和核电领域，HOP则被证实有可靠的应用记录。GE和其他一些公司一直在致力于把HOP推广应用到更广泛的行业，并处于领先的地位。

HOP的主要分析方法有：重要风险和关键步骤；偏移和积累；HOP防御体系；行为表现模型；风险热图；防御强度矩阵等。

重要风险和关键步骤 

图9  重要风险和关键步骤

风险步骤是指对产品、服务或资产存在潜在伤害的过程或行动。比如在实际工作中，即使对于比较简单的搬运、包装之类的作业，也会有很多复杂的各方面的安全标准。

在这些风险步骤中，有一些是关键步骤。关键步骤是指任何不当的行动或是有风险的重要举措，都会触发立即发生的不可逆转的严重伤害。关键步骤主要出现的情形和表现为：任何无法挽回的节点；触动能源、信息、物质的转移的步骤；常发生于与潜在的高能量设备打交道；对昂贵的或稀缺资源的运作过程；工作职责（权利）的交换；在作业设备（设施）的操作中，一个步骤或误操作会打破一个系统的流程，造成危险因素间的相互作用，并引起严重的后果等。这些关键步骤，就是我们进行安全防御的重点。一次出错的薄弱环节发生在关键步骤上，是非常危险的，需要我们加以重点保护，并设置多重防御。如不但要提醒，还要进行确认、报警等。

秦之刚以手枪为例，进行了详细说明。手持手枪所面临的风险行为有：给手枪上膛；未戴眼耳类的防护装备；把手枪指向非指定目标；未使用安全手柄；拉回击锤等。这些风险行为不代表着就是关键步骤，其关键步骤是：扣动扳机；打出已装载的子弹。

关键步骤的3个特点是：一触即发；造成伤害；不可逆转。只有在关键步骤上加强安全防御，才能有效保证最终的安全。

偏移和积累  

图10  偏移和积累示意图

在创建一个新的企业的时候，制定安全标准时往往是很高的。如果没有适当的机制加以保障，随着时间的推移，对这些安全标准的执行水平会逐步下降，这就是“偏移”。不安全的因素会潜伏在工作中，也会随着时间的推移逐步增加和积累。当安全标准下降与事故风险增加的点交集在一起的时候，事故就发生了。HOP就是要找寻标准的起点和危险的来源，弄清楚这么长时间到底发生了什么。真正带给大家安全的是图10所示的黄线所指的“实际安全范围”，也就是安全区。随着安全标准下降，危险程度增高，“实际安全范围”会变得越来越窄。当其狭窄到一定程度，两条线就相交在一起，安全区消失了，事故随即发生。 HOP的工作就是尽量不要让两条线相交，并尽量使两者的距离变宽，这样就使个人和组织有足够的安全空间，可以保持组织安全管理体系的完整性。

HOP防御体系 

图11  HOP防御体系

“当下因素”在整个HOP防御体系中的位置如图11所示，其中的6个方格代表任务环境因素、个体因素的6个方面。这些都是导致事故发生的“诱因”，重要的是要建立起多层的事故防御体系，主要分为预防、识别、检测、降低四个阶段。“预防”包括对员工的培训、教育等，对工作场所进行规范；“识别”主要是对一些高压、危险的工序或设备进行辨识；“检测”是各种检测监测设备的应用；“降低”是应急救援体系的建立与应用。在这个防御体系的建立过程中，会出现一些“漏洞”，成为有缺陷的防御，这就需要及时进行反馈，如图11中的红线所标识的部分。

HOP应用于事故调查

在事故调查中，我们也可以应用HOP关于组织因素中几个造成事故的因素作为我们在事故调查时找出根本原因的参考，我们称为系统的缺失。事故的发生并不是某个员工造成的，事故的背后是组织系统的缺失或存在弱项和缺陷长期积累到一定的“点”由员工触发的。 

图12  HOP应用于事故调查

如果将HOP防御体系进行“逆向思维”，就可以进行事故调查和原因分析了。发生了事故，说明“实际绩效”偏离了“理想绩效”，两者之间存在“缺口”或“差距”。要了解造成“缺口”的原因，就要对“当下因素”进行调查与分析。“当下因素”主要包括工作要求/期望；工具、资源/环境；奖惩措施；个人动机/偏好；能力/充足的准备；知识/技能。在“当下因素”中需要做的防御措施，反过来也就是导致事故发生的根本原因，主要有任务、组织架构、规程/期望、工作管理、行政管控、危险控制流程、培训/任职资格、工程设计流程、绩效提升流程、技术、人力资源、决策制定、交流、管理/监督实践等。这就可以对事故原因进行系统的分析，找出潜在的“潜在的体系缺陷”（LSW），并提出提升建议（防御强度矩阵），进而改变管理方式，并进行实施及监控。

在事故的整改报告中，我们也可以运用防御表来罗列所采用的各项整改措施，以清除知晓整改的总体状况。由此可见，HOP并不是一个新的工具，而是将以往的工具进行了整合。这些防御工具都是比较传统的安全管理工具。

行为表现模型

按照员工的学习特点，可以将其分为三类：基于知识的模式、基于规定的模式、基于技巧的模式。第一种模式错误概率是最高的，大1/2，如图13的红色区域所示；第二种模式的错误概率是千分之一，如图13的黄色区域所示；第三种模式的错误概率是万分之一，如图13的绿色区域所示，这类人导致的一般都是大事故。 

图13  行为表现模型

秦之刚以驾驶技能学习为例，对这三类人进行了分析。如果一个人从来没有摸过车，这个人应该属于第一种基于知识的模式，开车时“照本宣科”“一板一眼”。如果一个人已经开了一两年车，这个人应该属于第二种基于规定的模式，这类人的技能还不是很熟练，还会拘泥于各种规定，靠“背口诀”来掌握驾车技巧。对于出租车驾驶员来说，则属于第三种基于技巧的模式，他们有时“肆无忌惮”地边开车边打手机。

我们常常习惯于对发生的事故做统一的整改，如再培训：员工再次学习标准操作指南等，从而忽略了人的不同的行为表现模式。对于新员工、有经验的员工和技术熟练的员工，我们不能用统一的方法来对待。新员工缺乏经验和技术，全面的只是性培训是比较合适的。而对于一个技术熟练的人，则要为其创造不同的学习方式，如组织学习小组，进行同类人员的经验分享等。

风险热图

HOP推行的理念是“安全不是没有事故，安全是防御意识的存在。”基于此，企业需要做的是如何识别并找到工厂中容易造成严重后果的危害（活动或流程），我们称之为工厂的“风险热图”。有了“风险热图”，就可以根据所识别的每一个风险热图建立防御，我们称之为防御强度。

如何确定风险比较大的操作呢？可以将企业里的各个操作，按照发生事故的频率及其潜在后果进行矩阵式排列。这样就能够将各个操作的事故防御的优先次序排列了出来，进而能够按照轻重缓急的布局进行预防措施的实施了。 

图14  风险热图

防御强度矩阵

用以下防御矩阵图，可以帮助我们进行全面的思考，针对每一个风险采取比较全面的措施来加以防控。   

图15  防御强度矩阵

管理层和安全人员想要知道所在工厂的危害情况，一张风险热图就可以说明工厂的主要高风险危险了。如果想要了解具体某种危害的控制措施，看防御强度就可以知道工厂现有哪些防护措施，现有防护措施看上去是否充足等。防御强度针对的是某一个具体的危害，它可以将工厂针对现有某一危害的防御措施全部列出，工厂可以组织小组成员对所列出的防御措施进行现场验证，以确定其是否有效。

在讲座的最后部分，秦之刚还列举了HOP在企业中的实际应用和成果。比如GE水处理集团，所有的EHS指标都有了显著的提升。Lynn航空公司2010年的重伤率下降了65%。伊利诺伊州医疗集团工厂通过应用简单的HOP工具，将每周的工伤率降低至4.5，每周减少40小时的工伤损失工时。

2016年9月28日秦之刚在第八届中国国际安全生产论坛上介绍HOP

经过多年应用HOP，秦之刚称收获了很多经验，也有很多教训。他认为组织领导力是至关重要的，使用者需要接受培训；需要树立一些“样板”或“模范”，不要去轰轰烈烈地去搞运动，要扎扎实实、一步一个脚印；需要找出潜在事故预防影响的早期迹象，比如报告了更多的未遂事故、隐患等，事故率的降低对严重事故有重大影响；要提高对引起事件发生的潜在与系统因素的分析，并提高纠正措施的有效性；要改善员工/领导的对话，从对失误的挑剔转向潜在的系统缺陷的辨识；推进HOP的跨学科的应用，甚至质量管理部门、人事管理部门、工会等，都可以参与进来。