“瑞士奶酪模型”，又名“Reason模型”，是英国曼彻斯特大学教授James Reason于1990年在其著名的心理学专著《Human Error》中提出的。
该模型认为，人们为防范事故，设置多重防御体系。对现存危险和潜在损失设置安全防御，层层设防，避免危险的发生。防御体系共同作用可以让人们意识到危险的存在，对迫近的危险提出警告，给出明确的安全指导，
pathogen n. any disease-producing agent (especially a viru
组织活动中发生的事故与环境影响、不安全的监督、不安全行为的前兆、不安全的操作行为四个层面的因素有关，每个层面代表一重防御体系，层面上所存在的空洞代表防御体系中存在的漏洞，这些空洞的位置、大小不是固定不变的。
HAZARDS不安全因素就像一个光源，在每层防御体系上的空洞同时处于一条直线上时，危险就会像光线一样穿过所有漏洞，导致事故发生。这四个层面的因素叠在一起，犹如有孔的奶酪被叠放在一起，所以被称为“瑞士奶酪模型”。
展开全文
“瑞士奶酪模型”设有四层防御体系，各防御体系从不同的维度对缺陷或漏洞进行相互补充式的拦截，危险只有同时穿过四层防护体系才能发生。在导致系统出现意外或者错误的一系列个人失败中。
上图的箭头标识应该是反了。
“瑞士奶酪模型”包括现行失效和潜在失效。“现行失效是指与事故的发生有直接联系的不安全行为，”潜在失效如同隐藏在组织体系中的潜在危险因素，其不作为直接导致事故发生的原因存在，直到事故发生后才会被发现。“潜在失效可以跨过瑞士奶酪模型的前三个层面，与现行失效一起作用，导致事故的发生。”
事故是多重缺陷，多重失效的结果，是人的不安全行为、物的不安全状态与管理缺陷的耦合。
