中国的很多安全事件发生，好像习惯了先撇清自己责任的模式。宁波老虎吃人，园方立刻说，那位游客因逃票翻墙进入虎园。针对园区管理不规范的质疑，园方又说，虎园围墙3米多高，而且挂有“内有猛兽，请勿攀爬”的警示牌。如果这样模式处理事故，类似事故永远不可避免。
曼彻斯特大学教授James Reason事故奶酪模型（事故致因链）认为：
事故的发生不仅有一个事件本身的反应链，还同时存在一个被穿透的组织缺陷集，事故促发因素和组织各层次的缺陷（或安全风险）是长期存在的并不断自行演化的，但这些事故促因和组织缺陷并不一定造成不安全事件，当多个层次的组织缺陷在一个事故促发因子上同时或次第出现缺陷时，不安全事件就失去多层次的阻断屏障而发生了。
（Reason 2008年事故致因模型）
组织的各层次是事故防御系统的各个层面，各层面的缺陷好象不同奶酪切片上的许多孔洞。一个奶酪切片上的孔洞不一定会造成坏的结果，但当不同切片上的孔洞（缺陷）穿起来成一条直线的时候，坏的甚至更坏的结果就出现了。奶酪中的孔洞（缺陷）一般来源于两个原因：主动失效（active failures）和潜在失效（latent failures）。主动失效一般是指人的不安全动作，对防御系统有直接的影响，通常都是短暂和偶然发生的。潜在失效一般是指组织管理缺陷，如设计的不足、管理决策的失误，它是长期的和表面上不可见的，但当它与促发事故的主动失效因素共同作用的时候，也就凸显出来，变成了可见的孔洞（如图，事故箭头穿透孔洞，事故发生了）。
主动失效源于人的偶发的、不可控的不安全动作，但如能在事故发生之前，对潜在失效因素进行分析、补救和主动管理起来，事故就不一定会发生或事故损失小，或者不一定会造成更大的损失（事故箭头无法穿越全部孔洞）。反之，更大的事故损失往往是众多因素组合失效的结果。
宁波老虎吃人的事故奶酪也如此，无论老虎放养区有隔离河、界区有栅栏屏障和警示牌，其奶酪切片一定存在潜在失效的孔洞（园区管理缺陷），否则事故就不会发生了：除了栅栏屏障和警示牌，是否设置摄像警戒探头、跨越红外报警等装置，或者对高危猛兽区外围设置两道铁丝网栅栏，从而打消游客攀爬的念头（即使自杀也没可能），或者这是迟菲所说的本质安全。
去年北京老虎吃人，园区也一样存在潜在失效的孔洞。园区之后进行了安全设施改造，老虎活动区与自驾车设置隔离河。网友提出的“雇人每天喊300遍‘别下车’、进入虎园自驾车车门贴封条”，其实不失为园区防范潜在失效（园区管理缺陷）的办法。
没有绝对的安全，安全防范细节“永远在路上”。即使看似完善的本质安全（即Reason事故奶酪中的Unsafe conditions），出事故的概率仍然存在，因为系统里最不可靠的人因素、主动失效因素仍然存在（即Unsafe acts）。这是对安全事故机理的科学认识。
Reason模型有利于我们理解并做出积极的、事前安全风险管理，而不是被动的、事后反应；有利于组织去追求识别潜在失效因素（安全风险）并管控，而不仅是纠缠于防止主动失效因素的避免，从而使事故防御系统具备更高的安全可靠性。北京老虎吃人事件后，有位网友的观点：我是人，我有可能犯错误。在你的地盘，在你的管理责任范围内，你应该想方设法让我少犯错误，这才是正道！
当然Reason事故奶酪也有其缺陷，如hazard来源、组织行为与个人行为的定义等，科学网傅贵老师的24model对其进行了提升改进。
关于瑞士奶酪中hazazd的理解
Prof.Reason在瑞士奶酪模型中并没有说明Hazard是什么，但他在列举时，列举出了物质、能量和毒性（mass, energy or toxicity），即物的方面，但没有说明它的来源，认为它在满足条件时就会发作而酿成事故。Reason认为hazard是生产过程中当然存在的东西，不用管它从哪里来、何时发作以及怎样发作酿成事故，努力做好防护就是。也因此，瑞士奶酪模型中没有根源原因这个概念，而特别重视防护措施（defences）是否有缺欠。
重视防护措施没有错，但“不管它从哪里来”这一点与现场实际不大相符，实际工作中必须要把hazard找不出来，减弱它的危险性（risk）、甚至消除它，这样才能预防事故。至于所找到的hazard是不是事故的根源原因，那倒没有多大关系，尽可能把hazard找全更重要。
瑞士奶酪模型没有说明hazard的来源，这样理解也不算背离它的思想（瑞士奶酪SCM是一个大框架，可以有很多理解，也因此Reason在1997年SCM的奶酪上不做任何文字标识，因为标什么都不能表达奶酪、孔洞的思想）：hazard来自于输入生产系统的原始资料或输出产品等物的方面、生产过程中原始资料和人力资源、相互关系等的不安全处理行为。不安全处理行为或者简称为不安全行为，从高级管理层到中级管理层到一线员工，都在累积着、形成着。由此是不是可以理解瑞士奶酪模型中的箭头到尖端方向逐步变粗呢？恐怕还不能这样理解，因为很多图中，箭头并没有粗细，而是一个等粗的箭头。另一个问题是，尽管在瑞士奶酪上将hazard画在事故发生过程的起始位置上，但是并不能将这个“起始”位置理解为生产过程的起始端，在生产过程的末端即产品端、中间过程都可能有hazard存在。“起始”位置仅仅是事故发生过程的“起始”位置而不是生产过程的“起始”位置。归结起来，把Reason的RCM上的hazard理解为人的不安全行为和物的不安全状态也未尝不可。
不管理论家认为hazard的中文是危险、危险源或者隐患或者其他的什么，实际工作中确实有hazard identification这个说法或者做法（见下图）。识别什么呢？当然是识别不安全物态和各类不安全行为，参考ISO45001（DIS版）等标准可知。很多的情况是按照规章去识别，当然还有一少部分不安全物态和不安全动作在章程上并没有，也就谈不上违章，但却是不安全的。由此可以看出，hazard就是不安全物态和不安全行为。如果此时将hazard翻译成危险源，那么危险源就应该包括不安全物态和不安全行为。
英文里没有隐患一词。如果将隐患理解为事故的直接来源，那正好隐患就是hazard，按照上面的理解，那隐患就等于危险源。如果将危险源理解为隐患的来源（管理好的危险源不出事、管理不好的危险源就变成了隐患，即事故的直接来源），隐患导致事故（“危险源→隐患→事故”），这种理解和英文无法对应。只在一种语言里面能表达，在另一种或几种语言中不能表达的东西，其科学性应该是不大可靠的。
不能不承认的是，在中文里面或者说在我国，多了隐患这个词汇，是把事故的发生根源区分得更细致了，不但把达到某一指标的储气罐理解为危险源，还把它的缺欠（泄漏点）理解为隐患。但是按照英文世界的理解，把储气罐上的缺欠（如泄漏点）这一个东西，叫做危险源或者隐患，其实也并不影响实际工作的细致和效果。弄两个词出来，即使人糊涂又与英文表达不接轨，平添困难，与实际工作也并无多大帮助。既然词汇已经出现了，只能采取中英文分开理解的办法了。
至于说实际工作中把整个储气罐而不是其上的泄漏点当作危险源，只要把概念使用加以修正就可以符合英文世界的含义。
