Модель швейцарского сыра¶

Модель швейцарского сыра (англ. Swiss cheese model) — это концептуальная модель анализа системных ошибок и аварий, разработанная британским психологом Джеймсом Ризоном в 1990 году. Модель описывает, как в сложных системах (авиация, медицина, атомная энергетика, промышленность) множественные, на первый взгляд незначительные, дефекты и нарушения могут выстроиться в цепочку, приводящую к катастрофе. Визуально система представляется в виде нескольких последовательных слоёв (ломтиков) швейцарского сыра, каждый из которых имеет отверстия разного размера и расположения. Отверстия символизируют слабые места, ошибки или нарушения в защитных барьерах. Катастрофа происходит, когда отверстия во всех слоях временно совпадают, образуя «траекторию полёта» для опасного события.

¶История возникновения

Модель была впервые представлена Джеймсом Ризоном в книге «Human Error» (1990). Ризон, профессор психологии Манчестерского университета, специализировался на изучении человеческого фактора в авиационных и ядерных происшествиях. Он стремился объяснить, почему даже в системах с многоуровневой защитой происходят катастрофы. До этого доминировала «теория домино» (Генрих, 1931), которая рассматривала аварию как линейную последовательность событий, где каждое предшествующее является причиной следующего. Ризон предложил более сложную модель, учитывающую, что дефекты могут существовать в системе задолго до аварии и быть незаметными.

Модель получила широкое признание после публикации отчёта о катастрофе шаттла «Челленджер» (1986) и аварии на Чернобыльской АЭС (1986), где были выявлены многочисленные организационные и технические недостатки, а не только ошибки операторов. В 1990-х годах она была принята в качестве стандарта анализа рисков в гражданской авиации (Международная организация гражданской авиации, ИКАО) и в медицине (Всемирная организация здравоохранения, ВОЗ).

¶Структура модели

¶Слои защиты (ломтики сыра)

Система представляется как набор последовательных защитных барьеров. Каждый барьер — это отдельный «ломтик» сыра. Типичные слои в авиации:

• Первый слой: Проектирование и конструкция самолёта (резервирование систем, автоматика).
• Второй слой: Подготовка пилотов и экипажа (тренажёры, процедуры, проверки).
• Третий слой: Эксплуатационные правила и регламенты (инструкции, контрольные карты).
• Четвёртый слой: Диспетчерское управление и наземные службы.
• Пятый слой: Организационная культура и менеджмент (политика безопасности, обучение, аудит).

¶Отверстия (дефекты)

Отверстия в каждом слое — это уязвимости, которые могут быть двух типов:

1. Активные ошибки (Active failures): Непосредственные действия человека, приводящие к сбою. Например, пилот неправильно считывает показания прибора или медсестра вводит неверную дозу лекарства. Они происходят в момент контакта с системой.
2. Латентные условия (Latent conditions): Скрытые дефекты, заложенные в системе задолго до аварии. Это могут быть:

• Недостатки в конструкции (неудобное расположение органов управления).
• Ошибки в процедурах (неясные или противоречивые инструкции).
• Организационные проблемы (недостаток ресурсов, плохая коммуникация, давление со стороны руководства).
• Культурные факторы (неприятие сообщений об ошибках, «слепое следование» правилам).

Латентные условия, как правило, создаются на высших уровнях управления (менеджмент, конструкторы, регуляторы) и остаются незамеченными до тех пор, пока не совпадут с активными ошибками.

¶Траектория полёта

Катастрофа происходит, когда в определённый момент времени отверстия во всех слоях выстраиваются в линию, образуя «траекторию полёта» для опасного фактора (например, для утечки газа, для ошибки пилота, для инфекции). Если хотя бы один слой не имеет отверстия в этом месте, авария блокируется. Однако при совпадении всех дефектов защита рушится.

¶Применение в различных отраслях

¶Авиация

Модель Ризона является основой для анализа авиационных происшествий. Например, при расследовании катастрофы рейса 447 Air France (2009) были выявлены латентные условия (недостатки в обучении пилотов работе с автопилотом, неоднозначная индикация скорости) и активные ошибки (неверные действия экипажа при обледенении датчиков). Все эти факторы совпали, что привело к крушению.

¶Медицина

В здравоохранении модель используется для анализа врачебных ошибок и предотвращения ятрогенных повреждений. Например, при введении пациенту неправильного лекарства могут быть задействованы следующие слои:

• Слой 1: Система маркировки препаратов (нечитаемые этикетки).
• Слой 2: Процедура проверки (медсестра не сверяет имя пациента с историей болезни).
• Слой 3: Коммуникация между врачом и медсестрой (неразборчивый почерк в рецепте).
• Слой 4: Организационная культура (страх сообщать об ошибках, перегрузка персонала).

Если все эти отверстия совпадают, пациент получает неверное лечение. Модель подчёркивает, что наказание отдельного врача (активная ошибка) не решает проблему, если не устранить латентные условия (например, не улучшить систему маркировки).

¶Атомная энергетика

Авария на Чернобыльской АЭС (1986) часто анализируется через призму модели швейцарского сыра. Были выявлены многочисленные латентные условия:

• Конструктивные недостатки реактора РБМК-1000 (положительная обратная связь по мощности).
• Отсутствие защитной оболочки (контейнмента).
• Нарушение регламента испытаний (проведение эксперимента при низкой мощности).
• Организационная культура (секретность, подавление критики, неподготовленность персонала).

Активные ошибки (отключение систем безопасности, нарушение инструкций) совпали с этими латентными условиями, что привело к взрыву.

¶Промышленность и транспорт

Модель применяется на железнодорожном транспорте (например, при анализе крушений поездов), в химической промышленности (аварии на заводах), в нефтегазовом секторе (разливы нефти). В каждом случае выявляются как технические неисправности, так и организационные сбои.

¶Критика и ограничения

Несмотря на широкую популярность, модель швейцарского сыра подвергается критике:

1. Упрощение реальности: Модель предполагает, что все слои защиты независимы и последовательны. В реальности они могут быть взаимосвязаны (например, ошибка в одном слое может ослабить другой). Критики (например, Сидни Деккер) утверждают, что модель не учитывает сложные нелинейные взаимодействия в системах.
2. Статичность: Модель изображает систему в статике, но в реальности дефекты могут меняться со временем (отверстия могут увеличиваться, смещаться или закрываться). Она не объясняет, как именно возникают латентные условия.
3. Сложность идентификации отверстий: На практике трудно определить, какие именно дефекты являются «отверстиями», а какие — нормальными особенностями системы. Это может приводить к субъективным интерпретациям.
4. Фокус на ошибках, а не на успехах: Модель ориентирована на анализ катастроф, но не объясняет, почему в большинстве случаев система работает успешно, несмотря на наличие множества дефектов. Это может создавать ложное впечатление о неизбежности аварий.
5. Недостаточная прогностическая сила: Модель хорошо описывает уже произошедшие аварии (ретроспективно), но не позволяет надёжно предсказывать будущие катастрофы, так как требует знания всех возможных комбинаций дефектов.

¶Альтернативные модели

В ответ на критику были разработаны другие подходы к анализу системных ошибок:

• Модель «швейцарского сыра» в версии 2.0 (Ризон, 2015): Джеймс Ризон доработал модель, введя понятие «динамических отверстий», которые могут смещаться и изменяться под воздействием внешних факторов.
• Модель «системной безопасности» (Нэнси Левенсон, 2004): Основана на теории управления и рассматривает безопасность как свойство системы, которое не сводится к набору барьеров. Она использует модели STAMP (Systems-Theoretic Accident Model and Processes) и STPA (System-Theoretic Process Analysis).
• Модель «человеческого фактора» (SHELL): Анализирует взаимодействие между человеком (Liveware), оборудованием (Hardware), программным обеспечением (Software), средой (Environment) и другими людьми (Liveware). Более детализирована, чем модель Ризона.
• Модель «домино» (Генрих): Простая линейная модель, устаревшая, но всё ещё используемая в некоторых отраслях.

¶Значение и влияние

Модель швейцарского сыра стала одним из самых влиятельных концептов в области безопасности и управления рисками. Она сместила акцент с поиска виновных (индивидуальная ответственность) на системный анализ (организационные причины). Это привело к внедрению в авиации, медицине и промышленности принципов «справедливой культуры» (just culture), где ошибки рассматриваются как источник информации для улучшения системы, а не как повод для наказания. Модель также используется в обучении персонала, при разработке протоколов безопасности и в судебной экспертизе при расследовании происшествий.

¶Интересные факты

• Название модели происходит от визуальной аналогии: швейцарский сыр (например, «Эмменталь») имеет характерные крупные дырки, которые в модели символизируют дефекты.
• Модель часто иллюстрируется в виде стопки ломтиков сыра с отверстиями, которые выстроены в ряд, образуя «тоннель» для опасного фактора.
• В 2019 году модель была адаптирована для анализа кибербезопасности, где слои защиты представляют собой межсетевые экраны, антивирусы, политики доступа и обучение пользователей.
• В России модель используется в авиационной отрасли (МАК — Межгосударственный авиационный комитет), в атомной энергетике (Росатом) и в медицине (Росздравнадзор).