چگونه «مدل پنیر سوئیسی» فاجعه را به عنوان هم‌ترازی نقص‌های متعدد سیستم توضیح می‌دهد

یک خرابی فاجعه‌بار در همان لحظه‌ای که خلبان اهرم اشتباه را می‌کشد یا جراح دوز نادرستی را تزریق می‌کند، رقم نمی‌خورد. در واقع، نتیجه هفته‌ها، ماه‌ها یا سال‌ها قبل، در طول انباشت شرایط پنهان تعیین شده است؛ نرم‌افزار به‌روزنشده، شیفت کاری با کمبود نیرو، یا انحراف عادی‌شده از پروتکل. این همان مرحله‌ای است که اهمیت دارد، زیرا خطای فعال انسانی یک عامل ثابت است؛ تنها زمانی که لایه‌های دفاعی زیرین سیستم از پیش و در سکوت به خطر افتاده باشند، یک اشتباه روزمره می‌تواند بدون مانع از میان لایه‌های محافظتی عبور کرده و فاجعه بیافریند.[1][4]

این مفهوم در سال ۱۹۹۰ توسط روان‌شناس بریتانیایی، جیمز ریزن، صورت‌بندی شد؛ کسی که آنچه را که امروزه به عنوان «مدل پنیر سوئیسی» در حوادث سیستمی شناخته می‌شود، پیشنهاد داد. ریزن در مقاله‌ای در نشریه «تبادلات فلسفی انجمن سلطنتی» تلاش کرد توضیح دهد که چرا سازمان‌های به‌شدت محافظت‌شده و پیشرفته از نظر فناوری، همچنان دچار فروپاشی‌های فاجعه‌بار می‌شوند.[1]

در این چارچوب، یک سیستم پیچیده - مانند یک بیمارستان، یک نیروگاه هسته‌ای یا یک خط هوایی تجاری - توسط چندین لایه محافظتی دفاع می‌شود. این لایه‌ها به گونه‌ای طراحی شده‌اند که تضمین کنند یک نقطه خرابی واحد نمی‌تواند کل عملیات را از کار بیندازد.[4]

این لایه‌های دفاعی همان ورقه‌های پنیر هستند. آن‌ها شامل کنترل‌های مهندسی مانند هشدارهای خودکار و موانع فیزیکی، کنترل‌های اداری مانند چک‌لیست‌ها و رویه‌های عملیاتی استاندارد، و مداخلات انسانی مانند بررسی متقاطع محاسبات توسط کمک‌خلبان می‌شوند.

اما هیچ دفاعی غیرقابل‌نفوذ نیست. هر ورقه دارای «سوراخ‌هایی» است که نشان‌دهنده نقص‌ها، آسیب‌پذیری‌ها یا نقاط ضعف موقت هستند. در یک دنیای ایده‌آل، این ورقه‌ها یکپارچه و توپر هستند، اما در واقعیت، آن‌ها متخلخل‌اند.[2][3]

نکته حیاتی این است که این سوراخ‌ها ثابت نیستند. آن‌ها بسته به شرایط محلی، سطح نیروی کار، تعمیر و نگهداری تجهیزات و فشارهای سازمانی باز و بسته می‌شوند و تغییر مکان می‌دهند. دفاعی که در یک صبح سه‌شنبه بی‌نقص کار می‌کند، ممکن است در طول یک شیفت پرهرج‌ومرج جمعه‌شب پر از سوراخ باشد.[3][4]

این مدل بین دو نوع اساسی از سوراخ‌ها تمایز قائل می‌شود: شکست‌های فعال و شرایط پنهان. درک تفاوت بین این دو، هسته اصلی علم ایمنی مدرن است.[1][4]

شکست‌های فعال همان اعمال ناایمنی هستند که توسط افراد در «خط مقدم» سیستم - خلبان، پرستار، اپراتور اتاق کنترل - انجام می‌شوند. این موارد به شکل لغزش‌ها، فراموشی‌ها، دستپاچگی‌ها، اشتباهات و نقض رویه‌ها بروز می‌کنند.[1][4]

از نظر تاریخی، تحقیقات مربوط به حوادث دقیقاً در همین نقطه متوقف می‌شد. تیم تحقیق فردی را که آخرین اشتباه را مرتکب شده بود شناسایی می‌کرد، او را مقصر می‌دانست، آموزش مجدد را تجویز می‌کرد و مشکل را حل‌شده اعلام می‌نمود.[4]

مدل پنیر سوئیسی استدلال می‌کند که توقف در مرحله شکست فعال، یک سوءتفاهم بنیادین از نحوه فروپاشی سیستم‌های پیچیده است. شکست‌های فعال محرک فوری هستند، اما به‌ندرت علت ریشه‌ای محسوب می‌شوند.[1][2]

خطر واقعی در شرایط پنهان نهفته است. ریزن این موارد را به عنوان «پاتوژن‌های مقیم» در سیستم توصیف کرد که توسط تصمیمات اتخاذشده در «سطوح پشتیبانی و مدیریتی» - توسط طراحان، سازندگان، نویسندگان رویه‌ها و مدیریت ارشد - ایجاد می‌شوند.[1][4]

یک شرایط پنهان ممکن است رابط کاربری گیج‌کننده در یک دستگاه پزشکی، فرهنگ سازمانی که صحبت درباره نگرانی‌های ایمنی را جریمه می‌کند، یا برنامه تعمیر و نگهداری باشد که تعمیرات حیاتی را برای صرفه‌جویی در هزینه‌ها به تعویق می‌اندازد.[3]

این شرایط می‌توانند سال‌ها در سیستم خاموش بمانند تا اینکه با شرایط محلی و شکست‌های فعال ترکیب شوند و فرصتی برای بروز حادثه ایجاد کنند. آن‌ها همان پوسیدگی‌های زیرینی هستند که ورقه‌های پنیر را مدت‌ها قبل از وقوع خطای نهایی تضعیف می‌کنند.[1][4]

یک فاجعه تنها زمانی رخ می‌دهد که سوراخ‌های موجود در لایه‌های متعدد به‌طور لحظه‌ای در یک راستا قرار گیرند و به مسیر فرصت حادثه اجازه دهند از تمام دفاع‌ها عبور کند. شکست فعال صرفاً آخرین گام در زنجیره‌ای طولانی از آسیب‌پذیری‌های سیستمی است.[4]

با این حال، منتقدان این مدل به محدودیت‌های آن اشاره می‌کنند. این مدل یک ابزار گذشته‌نگر قدرتمند برای توضیح آنچه پس از وقوع حادثه اشتباه پیش رفته است محسوب می‌شود، اما در پیش‌بینی‌های آینده‌نگرانه با مشکل مواجه است.[2]

همان‌طور که محققان در نشریه «تحقیقات خدمات بهداشتی بی‌ام‌سی» اشاره کردند، این استعاره می‌تواند تعاملات پیچیده و غیرخطی در سیستم‌های اجتماعی-فنی مدرن را بیش از حد ساده‌سازی کند. در شبکه‌های به‌شدت درهم‌تنیده، دفاع‌ها همیشه ورقه‌های مستقلی نیستند؛ خرابی در یک لایه می‌تواند به‌طور پویا سوراخ‌هایی در لایه دیگر ایجاد کند.[2]

علاوه بر این، این مدل گاهی اوقات می‌تواند توسط مدیریت مورد سوءاستفاده قرار گیرد تا تقصیر را چنان گسترده پخش کند که هیچ‌کس پاسخگو نباشد، و تمرکز را کاملاً از شایستگی فردی و مسئولیت حرفه‌ای دور کند.[3]

با وجود این انتقادات، این مدل مهندسی ایمنی را متحول کرد. با تغییر تمرکز از فرد به سیستم، این مدل به صنایعی مانند هوانوردی تجاری اجازه داد تا با شکار شرایط پنهان به جای صرفاً مجازات خلبانان، به رکوردهای ایمنی بی‌سابقه‌ای دست یابند.[4]

نکته کلیدی این است که خطای انسانی نشانه‌ای از مشکلاتی عمیق‌تر در درون سیستم است، نه علت ریشه‌ای. انسان‌ها همیشه اشتباه خواهند کرد؛ هدف طراحی سیستم‌هایی است که بتوانند آن اشتباهات را مهار کنند.[1][4]

برای جلوگیری از فاجعه بعدی، سازمان‌ها باید به‌طور فعال شرایط پنهان خود را نظارت و ترمیم کنند، نه اینکه منتظر بمانند تا سوراخ‌ها در یک راستا قرار گیرند و سپس فردی را که در لحظه تکمیل مسیر تصادف در خط مقدم ایستاده بود، مقصر بدانند.[5]