Formaggio svizzero
A cosa serve
Serve dopo un guaio, quando si cerca il colpevole. James Reason mostrò che un incidente non passa mai da un buco solo: passa quando i buchi di tutte le difese si allineano nello stesso momento. Guardare le fette una dietro l'altra sposta la domanda da «chi ha sbagliato» a «quali difese avevano un buco proprio lì».
Le difese, dalla prima all'ultima
Si ferma su: Controllo automatico
Quello che scrivi resta su questo browser e non viene inviato da nessuna parte.
Una difesa senza buchi non esiste: se una fetta ne ha zero, quasi sempre vuol dire che non è stata guardata abbastanza da vicino. La domanda utile non è come eliminare i buchi, è se due difese vicine abbiano i buchi nello stesso punto, perché in quel caso la seconda non sta aggiungendo niente alla prima.
Domande frequenti
Come si usa questo modello
Da dove viene il modello del formaggio svizzero?
Dallo psicologo britannico James Reason, che lo propose nel 1990 studiando gli incidenti nei sistemi complessi. È diventato lo schema di riferimento nella sicurezza aerea e in quella sanitaria, dove serve proprio a spostare l'indagine dall'errore della singola persona alle condizioni che lo hanno reso possibile.
Che cosa sono i buchi nelle fette?
Sono i casi in cui quella difesa non funziona: il controllo che viene saltato quando si va di fretta, la revisione fatta da chi ha scritto il codice, l'allarme che nessuno guarda di notte. I buchi si spostano nel tempo, ed è per questo che una difesa che ha retto per anni può cedere all'improvviso.
Quante difese servono?
Non è il numero che conta ma la loro indipendenza. Quattro controlli fatti dalla stessa persona nello stesso momento sono una difesa sola disegnata quattro volte: hanno gli stessi buchi negli stessi punti. Due difese che falliscono per ragioni diverse valgono più di cinque che falliscono insieme.
De onde vem o modelo do queijo suíço?
Do psicólogo britânico James Reason, que o propôs em 1990 ao estudar acidentes em sistemas complexos. É o esquema de referência na segurança aérea e da saúde, porque desloca a investigação do erro de uma pessoa para as condições que o permitiram.
O que são os buracos nas fatias?
São os casos em que aquela defesa não funciona: a verificação saltada por falta de tempo, a revisão feita por quem escreveu o código, o alerta que ninguém vigia de noite. Os buracos mudam de sítio, e uma defesa que aguentou anos pode ceder de repente.
Quantas defesas chegam para dormir descansado?
Não é o número que conta, é a independência. Quatro verificações feitas pela mesma pessoa no mesmo momento são uma defesa desenhada quatro vezes, com os mesmos buracos nos mesmos sítios. Duas defesas que falham por motivos diferentes valem mais do que cinco que falham juntas.