Введение
В начале 1970-х годов британский психолог Джеймс Ризон, изучавший морскую болезнь и вращавший испытуемых в креслах, совершил обычную бытовую ошибку: вместо чайных листьев он засыпал в чайник кошачий корм. Этот случай заставил его задуматься: «Как я мог сделать нечто настолько глупое?». Вопрос оказался настолько интеллектуально захватывающим, что Ризон оставил исследования морской болезни и посвятил свою жизнь изучению человеческих ошибок, особенно в высокорисковых сферах.
Результатом этого пути стала модель швейцарского сыра (Swiss Cheese Model, SCM) — одна из самых влиятельных концепций в истории науки о безопасности. Бывший председатель Национального совета по безопасности на транспорте США Роберт Самволт писал: «Некоторые учёные играют ключевую роль в основании целой области знания: Зигмунд Фрейд — в психологии, Ноам Хомский — в лингвистике, Альберт Эйнштейн — в современной физике. В области безопасности доктор Джеймс Ризон сыграл такую же роль».
1. Идея модели: ломтики сыра и «траектория аварии»
1.1. Как устроена модель
Модель Ризона предлагает простую, но глубокую метафору. Организационная система безопасности представляется в виде нескольких слоёв защиты — ломтиков швейцарского сыра, сложенных друг на друга. Каждый слой — это барьер, призванный предотвратить ошибку или опасность: процедуры, обучение, технические средства, организационный контроль.
В каждом ломтике есть «дырки» — уязвимости, слабые места, недостатки системы. Важно, что эти дырки не статичны: они постоянно меняют размер и положение. В идеальном мире, как говорил сам Ризон, каждый барьер был бы «цельным, без дырок». Но в реальности каждый слой защиты несовершенен.
Авария происходит тогда, когда дырки во всех слоях случайно выстраиваются в одну линию — и «траектория аварийной возможности» (как выражался Ризон) проходит через все барьеры. Отдельная ошибка или сбой в одном слое не приводит к катастрофе, но совпадение слабостей во всех слоях делает её неизбежной.
1.2. Активные ошибки и латентные условия
Ключевое новшество модели Ризона — различение двух типов «дырок»:
Именно латентные условия Ризон считал наиболее опасными и одновременно наиболее перспективными для управления: они присутствуют в системе годами и «выстреливают» в момент, когда совпадают с активными ошибками.
2. История возникновения: десять лет становления
Модель не родилась мгновенно. Как показывает исторический анализ, между первой публикацией Ризона об организационных авариях и появлением знаменитой метафоры прошло около десяти лет.
В 1980-х годах Ризон участвовал в интенсивных интеллектуальных дебатах вместе с такими фигурами, как Дональд Норман, Йенс Расмуссен, Чарльз Перроу и Барри Тёрнер. Это было время бурного развития науки о безопасности: исследователи изучали человеческие ошибки, модели «инкубации» аварий, теории надёжности организаций и культуры безопасности.
Сама модель была впервые формально представлена в 1990 году в фундаментальном труде Ризона «Human Error» (Человеческая ошибка). Однако, как отмечают исследователи, название «модель швейцарского сыра» закрепилось позже и, возможно, было предложено не самим Ризоном, а его коллегой Данте Орланделлой или австралийским пионером безопасности Робом Ли.
Важную роль в развитии модели сыграл Джон Ритолл. Метафора оказалась настолько удачной, что Ризон использовал на своих выступлениях настоящие ломтики сыра в качестве наглядного пособия.
3. Важность модели: сдвиг от вины к системе
Влияние модели швейцарского сыра на культуру безопасности трудно переоценить. Она произвела настоящую революцию в том, как организации понимают причины аварий.
3.1. Отказ от «культуры обвинения»
До Ризона доминировал упрощённый подход: аварии случаются из-за ошибок конкретных людей, значит, нужно их найти и наказать. Модель швейцарского сыра показала, что аварии — это результат системных сбоев, а не индивидуальной небрежности. Даже самая грубая ошибка оператора почти всегда имеет корни в организационных решениях, принятых задолго до инцидента.
Это фундаментально изменило подход к расследованию аварий: вместо вопроса «Кто виноват?» пришёл вопрос «Почему система позволила этому случиться?»
3.2. Проектирование многоуровневой защиты
Модель показала, что надёжная система безопасности не может полагаться на один барьер. Нужно создавать множество слоёв защиты, чтобы даже при сбое в одном из них опасность была остановлена другими. Этот принцип лёг в основу подходов к безопасности в авиации, медицине, атомной энергетике, на транспорте и даже в кибербезопасности.
3.3. Фокус на латентные условия
Ризон сместил внимание с «острого конца» (непосредственных исполнителей) на «тупой конец» — организационные решения, проектирование систем, культуру и процессы. Это позволило организациям предотвращать аварии, а не просто реагировать на них.
3.4. Основа для «справедливой культуры»
Модель швейцарского сыра стала теоретическим фундаментом для концепции «справедливой культуры» (Just Culture), где честные ошибки анализируются, а не наказываются, и где люди не боятся сообщать о проблемах. Без понимания, что ошибки — это следствие системных условий, а не злого умысла, невозможно построить культуру открытости и доверия.
4. Споры и критика модели
Несмотря на огромное влияние, модель швейцарского сыра стала объектом острой критики.
4.1. Основные направления критики
Чрезмерное упрощение. Модель слишком линейна и не отражает сложность реальных систем, где причины аварий запутаны и нелинейны.
Статичность. Модель даёт «моментальный снимок» системы, но не объясняет, как динамически развиваются организационные решения, дрейф и нормализация отклонений.
«Картезианско-ньютоновский» взгляд. Модель предполагает, что аварию можно разложить на отдельные причины и связи, что не соответствует реальной сложности.
Слишком широкое применение. Модель используется повсеместно, иногда без должного понимания её ограничений.
Отсутствие предсказательной силы. Модель описывает, как происходят аварии, но не позволяет их прогнозировать.
4.2. Защита модели: критика критиков
В ответ на эти нападки появились работы, защищающие наследие Ризона. Эндрю Хопкинс в эссе «Leveson and Dekker on Reason: How the Critics Got the Swiss Cheese Model Wrong» утверждает, что аргументы Деккера и Левенсон «имеют мало оснований». Он отмечает, что многие критики, стремясь утвердить собственные теории, сознательно или бессознательно упрощают модель Ризона, чтобы затем её опровергнуть.
Защитники модели подчёркивают:
Метафора ≠ теория. Модель — это визуальный инструмент для коммуникации, а не полная теория причинности. Её сила в простоте и запоминаемости, а не в исчерпывающем объяснении всех нюансов.
Системные основания. Несмотря на кажущуюся простоту, модель глубоко системна: она показывает, что аварии — это результат совпадения множества факторов на разных уровнях организации.
Практическая ценность. Модель продолжает широко использоваться в высокорисковых отраслях именно потому, что она работает.
Как отмечает один из критиков, даже соглашаясь с ограничениями модели, он продолжает использовать её в обучении, «потому что она помогает создать образ, который отлично работает в сочетании с концепцией "работы как она есть" против "работы как она представлена"».
5. Наследие Ризона и будущее модели
Джеймс Ризон ушёл из жизни 5 февраля 2025 года в возрасте 86 лет. Он оставил после себя не просто модель, а целую парадигму мышления о безопасности.
Модель швейцарского сыра была принята Международной морской организацией (IMO) в качестве руководящего принципа при расследовании морских аварий. Она применяется в авиации, медицине, ядерной энергетике, строительстве и многих других отраслях.
Будущее модели, вероятно, лежит не в её замене, а в её дополнении. Как показывает история, наиболее продуктивный подход не отвергать простые метафоры ради сложных теорий, а использовать их вместе. Модель швейцарского сыра остаётся эффективным инструментом для:
✔️Объяснения концепции многоуровневой защиты
✔️Обучения персонала основам системного мышления
✔️Перехода от «культуры вины» к «культуре справедливости»
✔️Выявления латентных условий в организации
Заключение
Модель швейцарского сыра Джеймса Ризона — это не просто удачная метафора. Это инструмент, изменивший понимание безопасности во всём мире. Она напоминает нам, что:
✔️Аварии почти никогда не происходят по одной причине
✔️Ошибки людей — это чаще всего симптомы системных проблем
✔️Надёжная безопасность требует множества слоёв защиты
✔️Вместо поиска виноватых нужно искать и устранять латентные условия
Да, модель несовершенна. Да, она упрощает сложную реальность. Но, как сказал один из исследователей, «модель остаётся актуальной из-за её системных оснований и устойчивого использования в высокорисковых отраслях».
Возможно, главный урок Ризона заключается в том, что безопасность — это не отсутствие ошибок, а способность системы выдерживать их, не разрушаясь. И в этом смысле дырки в швейцарском сыре не проклятие, а напоминание о том, что мы всегда можем сделать систему более устойчивой, если будем смотреть не на отдельные ошибки, а на всю систему целиком.
