GB/T28001-2001 《职业健康安全管理体系规范》提出了组织建立、实施、保持职业健康安全管理体系的系统化方法。从管理科学和安全科学的角度，标准涵盖了系统安全管理的思想。系统安全管理从内容
GB/T28001-2001 《职业健康安全管理体系规范》提出了组织建立、实施、保持职业健康安全管理体系的系统化方法。从管理科学和安全科学的角度，标准涵盖了系统安全管理的思想。系统安全管理从内容上可划分为两个部分：系统化管理和系统安全工程。经过管理体系多年的实践，人们对系统化管理相对较为熟悉，而对系统安全工程方法还需进一步加以理解和掌握。系统安全工程认为，系统中发生事故是由于系统中存在导致事故的对象 --—— 危险源，控制系统中的事故，核心问题是控制系统中的危险源；系统安全工程强调通过危险源辨识识别系统中的危险源；通过风险评价确定危险源导致事故的可能性和后果情况，以及判定系统的安全性；通过风险控制实现系统事故控制。组织是否能够建立、实施、保持一个有效的职业健康安全管理体系，关键在于是否能准确掌握和贯彻系统安全工程的原理和方法。本文就组织实施职业健康安全管理体系，在系统安全工程的基本原理和相关方法上的理解难点，做出一些论述。
一、标准中所涉及有关系统安全工程术语概念的理解
??GB/T28001-2001 《职业健康安全管理体系 规范》中涉及有关系统安全工程的术语有：事故 (accident) ；事件 (incident) ；危险源 (hazard) ；危险源辨识 (hazard identification) ；风险 (risk) ；风险评价 (risk assessment) ；可容许风险 (tolerable risk) ；安全 (safety) 。标准中对上述术语有明确的定义，应深入理解。
??事故、事件是不希望看到的情况。危险源的对象有两种：根源或状态。从安全工程能量意外释放论的角度，根源即指能量物质或载体，状态即指约束能量物质或载体意外释放能量措施的缺陷。事故、事件与危险源在对象上有着根本的区别，通俗地讲，事故、事件是有一定场景的事情，而危险源是客观存在的物质实体，危险源的潜在能力一旦得到诱发，就会导致事故、事件。管理缺陷并不作为危险源对象，管理缺陷在体系中作为不符合 (nonconformance) 来控制。现存的问题是，组织在识别危险源对象和规范描述上存在诸多问题，出现了诸如“高处坠落”、“人员未经培训”等危险源对象。
??危险源辨识过程包含着识别危险源的存在和确定危险源的特性。识别危险源存在是将工作场所或工作活动中的危险源对象找出来；确定危险源的特性是指危险源通过什么方式、途径、条件，造成哪些人的伤害。现存的问题是，组织的危险源辨识过程不完整。
??风险是指危险源导致特定危险情况的可能性和后果的组合，经常出现的错误倾向是把风险单纯和后果联系起来。风险评价过程包含着评估风险大小和确定风险是否可容许。组织可容许风险标准的确定，应以法规为最低要求，在此基础上依据方针要求可进一步提高。组织的安全状态是指组织的可容许风险标准一旦确定，应将其所有危险源的风险程度都控制在可容许风险标准之下。组织最低的安全状态是满足法规，在法规的基础上随着组织可容许风险标准的提高，组织的安全程度在提高。因此，组织的危险源所处风险程度决定组织的安全程度。值得注意的是，在安全工程领域经常以危险源可能导致的事故后果来确定危险源的重要程度，组织可针对事故后果比较大的“重要危险源”采取重点的监控和制定相应的应急计划。 GB18218-2000 《重大危险源辨识》中的“重大危险源 (major hazard) ”概念是有特定含义的。
二、危险源辨识过程的准确、完整性
??危险源辨识的过程一定包含着识别危险源对象和确定危险源通过什么方式、途径、条件，造成哪些人的伤害。危险源对象有两种：根源，即能量物质或载体；状态，即约束能量物质或载体意外释放能量措施的缺陷。例如，一带电导线可以视为根源危险源，而带电导线外部的绝缘层破损可视为状态危险源。无论是根源或状态，都要针对组织的具体工作场所或工作活动识别其存在，并在此基础上确定其特性。
??实际的危险源辨识过程中，可通过确定系统中存在的能量物质或载体识别根源危险源对象；通过确定约束能量物质或载体意外释放能量措施的缺陷，识别状态危险源的存在。但无论如何不能缺少对危险源对象的特性确定，即识别的危险源对象通过什么方式、途径、条件，造成哪些人的伤害。
??组织可采用多种方法进行危险源辨识，如询问、交谈、现场观察、头脑风暴、查阅记录等都是一些简单、实用的方法。但对一些较为复杂的系统，有时要采用一些有针对性的、专业性的方法，如危险与可操作性研究（ HAZOP ）、事件树分析（ ETA ）、故障树分析（ FTA ）等。
??下面以一简单例子来说明危险源辨识过程、方法、准确和完整性。
??如图 1为一反应装置流程示意图。设Ａ、Ｂ两种物料在该装置中生成产品Ｃ。如果反应器中Ｂ的浓度超过Ａ，则发生爆炸反应。
??通过对反应系统的分析，识别反应器中能量物质 A 和 B 的混合物的根源危险源对象。通过 HAZOP 分析，可确定 A 和 B 混合物危险源的特性。如表 1 ，是针对输送物料 A 管线做出的部分 HAZOP 分析。表 2 是基于表 1 得出的危险源辨识结果。
表 1 反应器输送系统危险与可操作性研究
| 指导语句 | 偏 离 | 可能的原因 | 后 果 |
| 没有或不 | 未按设计要求输送原料Ａ | ① 原料Ａ的贮槽是空的 ②泵发生故障 ③管线破裂 ④阀门关闭 | 反应器内Ｂ的浓度大，会发生爆炸反应 |
表 2 危险源辨识
| 部位 | 危险源 | 特性 |
| 反应器 | A 和 B 的混合物 | ① 如果原料Ａ的贮槽是空的，会导致反应器内Ｂ的浓度大，会发生爆炸反应，伤及人员。 ②如泵发生故障，会导致反应器内Ｂ的浓度大，会发生爆炸反应，伤及人员。 ③如管线破裂，会导致反应器内Ｂ的浓度大，会发生爆炸反应，伤及人员。 ④如阀门关闭，会导致反应器内Ｂ的浓度大，会发生爆炸反应，伤及人员。 |
三、掌握风险评价的基本原理
??组织进行风险评价，重点不是采用了某一方法。掌握风险评价的基本原理，结合组织的具体情况得出适用于组织的风险评价方法，才是最重要的。风险是危险源导致特定危险情况发生的可能性和后果的组合。评估危险源的风险大小只能从危险源导致特定危险情况发生的可能性和后果两方面入手。因此，风险评价的关键问题集中到如何寻求危险源导致特定危险情况发生的可能性和后果两方面。在安全工程专业领域有很多关于风险评价的专业性方法，但在职业健康安全管理体系实施过程中开展风险评价，应采用简捷、实用的方法。下面通过两个简单的实例来说明风险评价的基本原理。
??表 3 和表 4 表达了一种风险评价和相应控制策划的方法。此方法在某冶金企业应用，针对炼铁炉可能会发生爆炸这一危险源进行风险评价，应用表 3 ，确定可能性为“不可能”、后果为“严重伤害”，得出评价结果为“重大风险”。对照表 4 ，显然评价结果与企业的运行经验不相适应。要想得出合理的评价结果，必须针对企业的具体情况研究、分析、运用评价方法，对于冶金企业危险源在数量上是很多的，把企业众多的危险源导致特定危险情况的可能性分成三个级别的话，对于炼铁炉发生爆炸的可能性，可以选择的只能是最低的级别；炼铁炉发生爆炸的后果在三个级别中显然应选择最高级别，得出的中度风险评价结果相对还比较合理。但是此种风险评价方法是否适用于冶金企业，就需要探讨。具有很大危险源数量的
表 3 风险评价表
| | 轻微伤害 | 伤害 | 严重伤害 |
| 极不可能 | 可忽略风险 | 较大风险 | 中度风险 |
| 不可能 | 较大风险 | 中度风险 | 重大风险 |
| 可能 | 中度风险 | 重大风险 | 巨大风险 |
?????????????????????表 4 风险控制策划
| 风险 | 措施 |
| 可忽略的 | 不需采取措施且不必保留文件记录。 |
| 较大的 | 不需要另外的控制措施，应考虑投资效果更加的解决方案或不增加额外成本的改进措施，需要监测来确保控制措施得以维持。 |
| 中度的 | 应努力降低风险，但应仔细测定并限定预防成本，并应在规定时间期限内实施降低风险措施。 在中度风险与严重伤害后果相关的场合，必须进行进一步的评价，以更准确地确定伤害的可能性，以确定是否需要改进的控制措施。 |
| 重大的 | 直至风险降低后才能开始工作。为降低风险有时必须配给大量资源。当风险涉及正在进行中的工作时，就应采取应急措施。 |
| 巨大的 | 只有当风险已降低时，才能开始或继续工作。如果无限的资源投入也不能降低风险，就必须禁止工作。 |
| 冶金企业，只是将所有危险源导致特定危险情况的可能性分成三个级别，显然不能满足有针对性地评估危险源导致特定危险情况的可能性，后果的分级也是一样。因此，应针对具体企业的危险源状况，开发有针对性的风险方法。 下面是某企业一个机械车间针对性的现场评价实例。 表 5 评价方法 | 评价要素 | 评价点数 | | 受伤程度 ① 重大 ② 很重的伤 ③ 轻伤 | 7~10 4~6 1~3 | | 受伤可能性 ① 没有工具 直接 ② 有工具 直接 ③ 间接地接近 | 7~10 4~6 1~3 | | 接近机械的频率 ① 频繁接近，以小时为单位 ② 稍频繁一周 2 、 3 次 ③ 偶尔接近一月 2 、 3 次 | 7~10 4~6 1~3 | 将 3 个评价要素相加的综合点数，分级为 A 、 B 、 C 三级，确定风险程度。标记 C 为可容许风险。 ????????????????????表 6 风险分级 | 风险标记 | 综合点数 | 风险程度 | | A | 21~30 | 高 | | B | 11~20 | 中 | | C | 1~10 | 低 | 表 7 评价应用 | 部位 | 危险源 | 特性 | 受伤程度 | 受伤可能性 | 频率 | 评价点数 | 标记 | | 包装设备 | 箱组装机 | 被组装机柄夹伤 | 手指缺损 5 | 用工具直接接触 5 | 每周 3 次 7 | 17 | B | | 破碎机 | 清除堵塞部位接触的刃物 | 因惯性旋转接触刃物受伤 | 数根手指缺损 5 | 用工具直接接触 4 | 偶尔接近 1 | 10 | C | | 成型机 | 飞边剪切机 | 不注意时启动机械切伤 | 手指、手的切伤 3 | 用工具直接接触 9 | 每天 9 | 21 | A | ??从表 8 可以看到，包装设备上的危险源经过增加措施，可以将风险程度降至可容许程度；成型机上的危险源增加现有措施，还不足以将风险程度降至可容许程度，还需进一步考虑其他措施。 表 8 对策方案 | 危险源 | 特性 | 对策前 评价 | 对策方法 | 对策后的评价 | | 受伤程度 | 受伤可能性 | 频率 | 标记 | | 箱组装机 | 被组装机柄夹伤 | 15-B | 设置连锁装置、安装安全罩 | 2 | 1 | 7 | 10-C | | 飞边剪切机 | 不注意时启动机械切伤 | 21-A | 设置连锁装置、安装安全罩 | 2 | 1 | 9 | 12-B | 四、关于风险控制策划的原则 ??系统安全工程强调通过危险源辨识（ hazard identification ）识别系统中的危险源；通过风险评价（ risk assessment ）确定危险源导致事故的可能性和后果组合情况，评价风险等级，确定危险源的风险程度是否在可容许范围内；针对风险评价结果实施风险控制（ risk control ），进而实现系统安全。风险控制一般应掌握如下原则： 1 、对于风险程度超过可容许风险标准的危险源，要对危险源增加控制措施，使之风险程度降低到可容许程度，在体系中可通过目标、管理方案来实现。 2 、对于风险程度已经在可容许范围内的危险源，在考虑其他因素的基础上，如不对危险源增加措施，就需加强对危险源原有控制措施的监测和维护。 3 、对于一些不需采取任何措施其风险程度就可处于可忽略状态的危险源，可暂不考虑对其的控制要求。其实对于那些在经验上就不需考虑任何控制措施的危险源，在危险源辨识时就要加以考虑，而避免广义地识别危险源，增加不必要的工作量。 |
