Formaggio svizzero
A cosa serve
Serve dopo un guaio, quando si cerca il colpevole. James Reason mostrò che un incidente non passa mai da un buco solo: passa quando i buchi di tutte le difese si allineano nello stesso momento. Guardare le fette una dietro l'altra sposta la domanda da «chi ha sbagliato» a «quali difese avevano un buco proprio lì».
Le difese, dalla prima all'ultima
Si ferma su: Controllo automatico
Quello che scrivi resta su questo browser e non viene inviato da nessuna parte.
Una difesa senza buchi non esiste: se una fetta ne ha zero, quasi sempre vuol dire che non è stata guardata abbastanza da vicino. La domanda utile non è come eliminare i buchi, è se due difese vicine abbiano i buchi nello stesso punto, perché in quel caso la seconda non sta aggiungendo niente alla prima.
Domande frequenti
Come si usa questo modello
Da dove viene il modello del formaggio svizzero?
Dallo psicologo britannico James Reason, che lo propose nel 1990 studiando gli incidenti nei sistemi complessi. È diventato lo schema di riferimento nella sicurezza aerea e in quella sanitaria, dove serve proprio a spostare l'indagine dall'errore della singola persona alle condizioni che lo hanno reso possibile.
Che cosa sono i buchi nelle fette?
Sono i casi in cui quella difesa non funziona: il controllo che viene saltato quando si va di fretta, la revisione fatta da chi ha scritto il codice, l'allarme che nessuno guarda di notte. I buchi si spostano nel tempo, ed è per questo che una difesa che ha retto per anni può cedere all'improvviso.
Quante difese servono?
Non è il numero che conta ma la loro indipendenza. Quattro controlli fatti dalla stessa persona nello stesso momento sono una difesa sola disegnata quattro volte: hanno gli stessi buchi negli stessi punti. Due difese che falliscono per ragioni diverse valgono più di cinque che falliscono insieme.
Woher kommt das Schweizer-Käse-Modell?
Vom britischen Psychologen James Reason, der es 1990 beim Studium von Unfällen in komplexen Systemen vorgeschlagen hat. In der Luftfahrt und im Gesundheitswesen ist es das Bezugsschema, weil es die Untersuchung vom Fehler eines Menschen zu den Umständen verschiebt, die ihn möglich machten.
Was sind die Löcher in den Scheiben?
Es sind die Fälle, in denen diese Schutzmaßnahme nicht greift: die Prüfung, die unter Zeitdruck ausfällt, die Durchsicht durch die Person, die den Code geschrieben hat, der Alarm, auf den nachts niemand schaut. Löcher wandern, und eine Maßnahme, die jahrelang hielt, kann plötzlich nachgeben.
Wie viele Schutzmaßnahmen reichen für ruhigen Schlaf?
Es kommt nicht auf die Zahl an, sondern auf ihre Unabhängigkeit. Vier Prüfungen derselben Person im selben Moment sind eine Maßnahme, viermal gezeichnet, mit denselben Löchern an denselben Stellen. Zwei Maßnahmen, die aus verschiedenen Gründen versagen, schlagen fünf, die gemeinsam versagen.