大きな事故が起きると、私たちは「誰が悪かったのか」を知りたくなります。

　原因となった人物を特定し、その人を批判することで、事故が「解決した」ように感じてしまいます。

　しかし、事故の原因をたった一人の人間や一つの出来事に帰着させることは、再発防止の観点からは極めて不十分です。

　今回は、事故がなぜ起きるのかを理解し、どうすれば防げるのかを考えるための、安全科学における有名なモデルを紹介します。

　スイスチーズモデル（Swiss Cheese Model）は、マンチェスター大学の安全心理学者ジェームズ・リーズンが1990年の著書『Human Error』で提唱した事故原因のモデルです。

　航空、医療、原子力、産業安全など幅広い分野で採用され、リスク分析と安全管理の基盤となっています。

　このモデルでは、危険源と私たちの間には、穴の空いたスイスチーズのような不完全な障壁（防護層）が何枚か並んでいると考えます。

　それぞれのチーズは事故を防ぐための対策を表し、穴はその対策の弱点や不備を表しています。

　普段は、チーズの穴がそれぞれ違う位置にあるため、１枚のチーズに穴があっても別のチーズが危険を食い止めてくれます。

　しかし、すべてのチーズの穴が不幸にも一直線に並んでしまった時、危険源はすべての障壁を突き抜けて事故に至る。

　リーズンはこれを「事故の軌道（trajectory of accident opportunity）」と呼びました。つまり、事故は通常1つの原因だけで起きるのではなく、複数の原因や要因が重なって起きるものです。

　このモデルに従えば、私たちがやるべきことは、チーズの枚数をなるべく増やすこと（対策を多重にすること）と、チーズの穴をなるべく小さくすること（個々の対策の精度を高めること）です。

　スイスチーズモデルの重要な示唆は、たった1枚のチーズに注目してそこに関わる当事者を断罪しても、事故リスクの低減は限定的だということです。

　事故の背後には、直接的な原因（顕在的失敗）だけでなく、組織の意思決定や管理体制の不備、安全文化の問題といった潜在的な要因が存在します。

　事故後に当事者を罰することは、問題の一部にしか対処していないのです。

　多重防護の威力は、数字で見ると一目瞭然です。たとえば、1つの対策が機能する確率が99%だとしましょう。

　99%は十分に高い数字に思えますが、作業の繰り返し回数や、行為者の人数を考えると、失敗は必ず起こります。ところが、同じ精度の対策を２重にすれば、両方が同時に失敗する確率は１万分の１に下がります。３重なら100万分の１、４重なら１億分の１です。

　これはそれぞれの失敗が独立している場合の理論値ですが、たとえ不完全な対策であっても、重ねていけば信頼性は飛躍的に向上するという原理は変わりません。

　逆に言えば、どんなに優れた対策でも、１つの対策だけに頼ることは危険です。

　安全装置の導入は歓迎すべきことですが、それは「１枚のチーズが増えた」ということであり、それだけで安心してよいわけではありません。

　安全装置に依存して他の対策がおろそかになれば、せっかく増やしたチーズの効果が、他のチーズの穴が大きくなることで打ち消されてしまいます。

　スイスチーズモデルの実践では、事故が起きた時に「誰のせいか」ではなく「どのチーズのどの穴が重なったのか」を分析し、それぞれの穴に対して対策を講じることが重要です。

　１つの事故に対して、直接的な原因だけでなく、背景にある組織的・環境的な要因まで掘り下げ、可能な限り多くの対策を打つことで、同様の事故の再発確率を下げられます。

　さらに、事故がなぜ起きたのかに着目して分析を深めていけば、新たな背後要因が見つかることがあります。

　これは言い換えれば新しいチーズの材料でもあるわけですから、これを漏らさず拾い上げ、対策をより強固にしていくことができれば、次の事故のリスクを確実に減らすことができるのです。

　事故原因の調査をする時の姿勢も重要です。「誰が悪いか」に注目してしまうと、事故当事者は「自分が罰せられるかもしれない」と考え、詳しい経緯を話そうとしません。

　その結果事故が起きた本当の理由や背後要因が抽出できなければ、新しいチーズは生まれません。

　重要なのは「あなたを責めるためにやっているのではなく、同じ事故をもう起こしたくないので、その目的のために協力して一緒に考えてくれないか」という姿勢を見せることです。

　事故に対する怒りや悲しみを誰かにぶつけたい気持ちは理解できます。しかし、私たちがやるべきことは断罪ではなく、複数の原因と背後要因を究明し、チーズを増やし、穴を小さくする対策を可能な限り講じていくことなのです。