D4 · 出版卷 20

安全、健康与风险

危险源、风险控制、关键控制与变更管理

学习目标

完成本课后，学习者应能够区分危险源、暴露、风险和控制；围绕合理事故事件组织风险评估；应用控制层级；定义关键控制表现和核验；使用蝴蝶结逻辑而不把它误作定量证明；整合职业健康、应急和变更管理；并沟通不确定性与停止工作条件。

安全健康义务来自所在地法律、批准系统以及工作中各方的权利和职责。本教程不定义法定合规，也不授权作业。学习者若遇到未受控的严重危险，应遵循适用的停止、撤离、报告与应急安排，而不是先完成教材计算。

风险语言应服务行动。危险源是可能造成伤害的来源或情境；暴露描述接触或机会；风险是在声明控制与情境下的可能性与后果；控制改变事件路径或暴露。一个警示标签不等于消除或工程预防。

从具体事件开始，例如地压失稳进入有人区域、移动设备碰撞、突水、火灾、通风丧失、爆炸性空气、能量失控或有害慢性暴露。说明位置、活动、人员或受体、运行状态和后果。“岩土风险”这类宽泛标签会隐藏路径。

证据来自观测、事故、未遂事件、任务分析、变更、监测和专业模型。考虑正常、启动、停机、维护、异常和应急状态，以及承包与交叉作业。过去未发生伤害不能证明风险可接受。

按适用框架优先消除危险，其次是替代或工程隔离，再到行政控制和个体防护。真实系统常使用多层。评估每项控制是否独立、可靠、可用、实际执行，并能承受可预见变化。

行政控制可能必不可少，却依赖信息、能力、工作负荷、沟通和监督；个体防护存在适配、兼容和维护限制。不能把设计缺陷转嫁成劳动者行为要求。

蝴蝶结把威胁和预防控制放在顶事件之前，把后果和缓解控制放在之后，有助于暴露路径与依赖。定义削弱控制的升级因素及其管理措施。一张图只围绕一个一致事件，不应塞入互不相关危险。

图示是定性论证，不是概率计算，也不证明控制有效。每道屏障必须连接表现要求和证据。停电、测量错误、淹水或通信中断等共同原因可能同时击穿多层表面独立的控制。

关键控制一旦缺失或失效，会显著增加死亡或其他高后果事件风险。应定义其目标、责任角色、表现要求、启动条件、可用性、可靠性、检查或核验、数据、失效响应和变更控制，只保留对事件真正关键的控制。

核验问控制现在是否存在且有效；审计问管理系统能否长期支持控制。由于罕见事件可能在控制薄弱期间仍不发生，只看结果统计不够，需要与表现相连的先行证据。

按决定比例选择方法，从现场检查到正式任务、设计或重大危险分析。说明参与者、证据、假设、现有控制、不确定性和行动权限。风险矩阵可辅助排序，但不应制造虚假算术，或让高频低后果事件遮住灾难情景。

可能性不确定时做敏感性分析，使用合理最坏情况和控制退化情景。若不确定性使关键控制无法获得保证，应限制或暂停暴露直到证据改善。“需要更多数据”必须同时规定安全过渡状态。

健康危险可能潜伏期长且缺少即时信号。粉尘、噪声、振动、热、化学物、柴油排放、辐射、工效和疲劳需要暴露评估、工程控制、适用时的健康监护以及个人信息保护。生产数据通常不能替代暴露数据。

采用有代表性的相似暴露组、任务与时间资料、合格仪器和不确定性；同时调查峰值和累积暴露。健康控制应与劳动者共同设计，并在工艺、材料、设备或排程改变时复核。

应急计划把合理情景连接到探测、报警、通信、指挥、撤离、避难、救援、医疗和外部协调。计划需要最新矿山几何、通道、公用系统和人员信息。演练检验假设并暴露响应延迟。

韧性包括冗余、受保护系统、替代路线、备用电力和恢复能力。不能只依赖一种通信或一个人。演练完成不等于成功；经验必须记录并关闭行动。

变更包括设计、地质、方法、设备、自动化、人员、排程、材料、承包方、控制、软件、法规和临时措施。实施前筛查受影响危险与控制。临时变更需要到期条件、责任和恢复计划。

变更记录连接源对象并告知受影响角色，实施后核验控制。多个小变化累积后可能越过设计边界，即使每次看似很小；关键假设或公共系统变化时触发更广复核。

报告应记录条件、决定和系统因素，而不是只寻找个人错误。保全证据，区分事实、推断与指称。按照法律和政策保护报告者免受报复，同时对故意忽视保持问责。

除伤害外，也分析成功恢复和弱信号。行动须指向因果控制，具有责任和效果核验，并检查意外后果。数据库中“已关闭”不证明风险降低。

一个合成开发巷接近位置不确定的旧空区。顶事件为水和物料无控涌入有人巷道。威胁包括空区位置错误、探孔覆盖失败和意外水力连接；预防控制包括隔离几何、独立核验测量、探孔设计与响应标准；缓解控制包括远程作业、排水能力、撤离与应急通信。

核验发现测量是最新的，但探孔记录缺少方向和完孔证据。由于关键预防控制未被证明，工作面在既定安全距离内暂停。缺失证据补齐并独立复核；不能靠增加警示就降低风险等级。

选择一个合成高后果事件，建立紧凑蝴蝶结，包含三个威胁、三个后果、至少两个预防和两个缓解控制、一个共同原因以及一个核验失败。为两个关键控制写表现标准，并说明保证丧失时的安全响应。

合格记录不使用真实事故或具名个人，尊重报告与停工安排，并区分图上屏障和现场已核验表现。