スイスチーズモデル
事故を防ぐ守りを、穴のあいたスイスチーズの薄切りを何枚も重ねたものに見立てる考え方。
どの守りにも穴があり、穴はあいたり、ふさがったり、場所を変えたりする。
1枚の穴だけではふつう悪い結果にならず、いくつもの層の穴が一時的に一列にそろったときに、事故の通り道ができる。
穴の出どころは、目の前で仕組みを扱う人の誤り（active failures）と、設計や管理の判断が仕組みに残す弱さ（latent conditions）の2つで、後者は事故の前に見つけて直せる。
3つの例で見る
3つとも同じ骨組みです。守りの層にはどれも穴があり、1枚の穴なら次の層が止めます。穴が一列にそろったときだけ、危険が最後まで届きます。
仕組み
事故を防ぐ守りは何枚も重なっていて、どの守りにも穴があります。1枚に穴があっても次の守りが止めるので、ふつうは事故になりません。穴が一列にそろったときだけ、危険が最後まで届きます。
守りの穴がそろうと、危険はどこまで届くか。3枚の守りの層にそれぞれ穴があり、線の上の穴が1枚ずつそろうたびにオレンジの線が先へ進み、3枚そろうと右の損害まで届く概念図。概念図で、数値ではありません。スイスチーズモデル（Reason、BMJ、2000年）の考え方を図にしたもので、層の数は図のための仮のものです。
身近な例え
例えです。メールの宛先を打つと、似た名前が候補に並びます。選び違えても、送る前に見直すか、送信を取り消せれば止まります。急いで見直しを飛ばし、取り消しの猶予も切っていた日に限って、別の人に届きます。
誤送信は、どんな日に起きるか。宛先を選ぶ・送る前に見直す・送信を取り消すの3つの守りの穴が1つずつそろい、3つそろうと選び違えたメールが別の人に届く概念図。身近な場面に置きかえた例えの概念図です。特定の会社の出来事ではなく、数値もありません。
歴史の例
1986年のチェルノブイリ原子力発電所の事故を、Reason（BMJ、2000年）は、運転員が手順に反して安全の仕組みを次々に切った、目の前の誤りの例に挙げました。IAEAの報告は、1986年のINSAG-1で主な原因を運転員の操作とし、1992年のINSAG-7で原子炉の設計に改めました。2つとも、安全文化の不足を大きな下地に挙げています。
運転員の誤りだけで、事故は説明できるか。運転員の操作・原子炉の設計・安全文化の3つの層の穴が1つずつそろい、3つそろうと爆発に至る概念図。Reason（BMJ、2000年）と、IAEAのINSAG-1（1986年）・INSAG-7（1992年）をもとにした概念図です。層の分け方と並べ方は、図のための整理です。
今の AI の例は、下の「この概念・法則でニュースを読む」の記事で読めます。
この概念・法則でニュースを読む
慣れた人が補ってきたデータの食い違いは、AIで表に出る
なぜ？仕組みごとの台数の食い違いは前からあり、慣れた担当者が補ってきたのに、なぜAIを入れると、その食い違いがすぐに表に出るのか
この記事からわかることAIに任せる仕事を1つ選んで読むデータの置き場を並べ、慣れた人がどれを信じて何を補っているかを聞き、補っていればAIに渡す前にデータを直すか正とする置き場を決め、AIが見つけた食い違いは直すか残すかを人が決める
AIが当たり続けるほど、人が引き継げるかは見えなくなる
なぜ？AIの案を覆す権限と結果の責任は人に残るのに、AIがうまく動くほど、なぜ人の衰えを確かめる手がかりまで消えていくのか
この記事からわかることAIの案を覆す回数で人の判断力を測らず、AIが外れたら人が決め直す前提の判断だけ、ときどきAIの案を見る前に人が先に決めて突き合わせる
消したのがAIか人かより、戻せるかが損の大きさを決める
なぜ？消したのがAIか人かで説明が分かれる中で、なぜ1年分の仕事が丸ごと戻らず、一から作り直すことになったのか
この記事からわかることAIに触らせる場所ごとに、バックアップから昨日の状態に戻せるかを試し、戻せないかバックアップがAIの触れられる所にあるなら、写しを渡すか消す操作を人に残す
どんなときに当てはまるか
何層もの守りで危険を防いでいる仕組みで起きる。設計や管理が残した弱さは何年も眠っていることがあり、目の前の誤りやその場のきっかけと重なったときに事故になる。
見分ける手がかり
事故のあと、話が誰の操作が誤っていたかに集まり、ほかの守りがなぜ止めなかったかが問われない。1つの誤りに見合わないほど大きな損が出ていて、本来なら別の守りが受け止めるはずの分まで失われている。
使うときに気をつけたいこと
事故の原因を、どれか1枚の穴、とくに最後に操作した人の誤りだけに決めない。かといって、目の前の誤りを無かったことにするための見立てでもない。広く使われる分、ほかの分析の方法なしに当てはめすぎるという批判もある。
この概念・法則に関係するニュース
関連する概念・法則
自動化の皮肉 と重ねると
機械に任せて使わなくなった人の技能の衰え（自動化の皮肉）が、機械が外れる日まで試されない守りの弱さ（スイスチーズモデルの、長く気づかれない穴）になり、機械がよく当たるほど衰えが見えなくなる
この概念・法則の出典と記録
- 最初に観測した日
- 2026-10-15
- 出典
- James Reason「The contribution of latent human failures to the breakdown of complex systems」（Philosophical Transactions of the Royal Society B、1990年）／James Reason「Human error: models and management」（BMJ、第320巻、2000年）