LF. 理論カリキュラム100 ／ 第5部 落ちても墜ちない
055
スイスチーズモデル
大きな失敗が起きたとき、人は必ず犯人を探す。
だが事故研究の世界では、この問いの立て方自体が的を外している。
事故は一つの原因では起きられないのである。
命題
事故は単一の原因では起きない。複数の防御壁の穴が一直線に並んだときに起きる。
前提講 054
出典 ジェームズ・リーズン(1990)。
1 ／ 5
心理学者ジェームズ・リーズンが1990年に示したスイスチーズモデルは、防御壁を穴あきチーズのスライスに喩える。
設計・点検・手順・判断、どの壁にも必ず穴がある。
穴のない壁は作れない。
2 ／ 5
それでも普段事故が起きないのは、ある壁の穴を別の壁が塞いでいるからである。
設計の穴は点検が捕まえ、点検の穴は運用の判断が捕まえる。
3 ／ 5
事故が起きるのは、複数の壁の穴が偶然一直線に整列したときである。
危険は全ての穴を通り抜けて実害に達する。
事故とは単一原因の産物ではなく、欠陥の整列という確率事象である。
4 ／ 5
含意の第一: 事故後の犯人探しは構造的に的を外す。
最後の壁にいた人間を罰しても、手前に並んだ穴は一つも塞がらない。
原因は人ではなく整列にある。
5 ／ 5
含意の第二: 対策は穴をゼロにすることではない。
壁の枚数を増やし、穴の位置をずらし、整列の確率を下げること。
穴のない壁は作れないが、穴の揃わない重ね方は設計できる。
事例
123便の事故をこのモデルで読み直すと構造が見える。
7年前の尻もち事故の際の圧力隔壁修理に不備があった（修理の壁の穴）。
亀裂は以後の点検で捕捉されなかった（点検の壁の穴）。
そして4系統の油圧配管が同一区画に集中していた（系統分離の壁の穴）。
どれか一枚でも塞がっていれば結果は違った可能性がある。
事例続
国際的な事故調査が「誰が悪いか」ではなく「どの穴がどう並んだか」を特定する形式を取るのは、罰は穴を塞がないが、究明は塞ぐからである。
よくある誤解
「原因は複合的だから誰も悪くない」は誤読である。
責任の所在と再発防止の設計は別の問題だ。
「あの外注が悪かった」で分析を締めた瞬間、自分側の壁の穴は次回まで温存される。
まとめ
事故は穴の整列である。
犯人探しをやめ、壁を増やし穴をずらすことだけが、機能する対策である。
宿題
直近の失敗について「防げたはずの壁」を時系列で3枚以上挙げ、最後の一枚ではなく最初の一枚に対策を打つ。
次講
壊れた後の話 — 復旧という信頼性
LF.
第5部 落ちても墜ちない
055 スイスチーズモデル
