显性失效与潜在条件的区分
别名: active failure · latent condition · potential condition
概念解释
瑞士奶酪模型把导致事故的因素分成两类。显性失效（active failure）是直接发生在操作现场、时间上紧邻事故的行为——按错了一个键、看错了一个数字、跳过了一个步骤，通常由第一线的操作者做出，后果几乎立即显现。潜在条件（latent condition）是早在事故发生之前就已经埋在系统里的设计决策、资源配置或管理安排——一份写得含糊的规程、一次为赶工期压缩的培训、一个从未被真正测试过的默认设置——它们本身不直接造成任何后果，却在系统里潜伏很长时间，等待与某次显性失效凑到一起。区分这两者的意义在于：追问"谁按错了键"只找到显性失效，追问"为什么这个键容易被按错、为什么按错之后没有被拦住"才找到潜在条件。
机制
显性失效之所以容易被当成事故的全部原因，是因为它在时间和空间上离结果最近，调查者天然会先看到它。但显性失效的发生率本身受潜在条件调节：同样一次操作失误，在规程清晰、界面区分度高、培训到位的系统里可能被下一层防御拦住，在潜在条件已经削弱了多道防线的系统里就会长驱直入酿成后果。潜在条件之所以"潜在"，是因为它不像显性失效那样有明确的触发时刻——它是系统设计与组织决策长期累积的结果，往往要等某次事故发生、经过事后追溯，才第一次被人注意到自己一直存在。
怎么研究
辨识潜在条件的常规做法是在事故调查中沿着显性失效向上游追问：这个操作为什么会被允许发生、为什么没有被更早的一层拦住、当时的规程和资源配置是什么样子。这类追问通常整理成一张时间线加上多个"为什么"层级，而不是单一因果箭头。方法论注意点：潜在条件的辨识严重依赖调查者能拿到多久以前的记录与决策背景，如果组织决策的历史不可追溯（口头决定、未留痕的资源削减），潜在条件就会被系统性地遗漏，事故报告因此会呈现出比实际情况更"操作员导向"的因果图景，这是一种由数据可得性造成的偏差，而不是潜在条件真的比显性失效少。
边界
显性失效与潜在条件的界线不是绝对的：一个决策在做出时可能是显性的、有明确责任人的一次选择，但从系统安全的角度看，它一旦沉淀进规程或默认配置，就转化成了潜在条件。这个区分也不意味着显性失效不需要被处理——操作现场确实存在训练不足、注意力分配不当等可以直接改善的问题，区分的目的是防止调查在处理完显性失效之后就停止，而不是否定显性失效的存在。
怎么落地
在复盘任何一次差错或事故时，除了记录操作现场发生了什么，同时列出使这个操作现场缺乏保护的更早决策——谁批准了当前的默认配置、这份规程最后一次核对现实情况是什么时候、当前的培训周期是否早于系统的上一次改动。把这些条目并列写进复盘记录，而不是只在"直接原因"一栏留一行操作员姓名。验证办法：抽查最近几次差错记录，统计"直接原因"与"根本原因"两栏的填写情况——如果绝大多数记录只填了操作员行为、根本原因栏长期空白或写着"加强培训"这类不指向具体系统变更的套话，说明潜在条件的追溯环节没有真正在运转。