the Swiss cheese model
expressãosegurançagovernança e riscocultura de operações
O modelo de acidentes de James Reason: toda camada de defesa tem furos, e o desastre acontece quando os furos se alinham.
Cada fatia - firewall, revisão, monitoramento, treinamento - é imperfeita, e tudo bem; a meta de projeto é garantir que os furos nunca se alinhem. É a teoria por baixo da defesa em profundidade, e a resposta honesta ao 'mas tínhamos um controle para isso': vocês tinham uma fatia.
O modelo de James Reason representa cada defesa como uma fatia de queijo com furos, em que os furos são as fragilidades daquela camada. Nenhuma camada é completa, e um incidente acontece apenas quando os furos de todas as camadas se alinham e permitem um caminho. É o modelo padrão na segurança da aviação e da saúde e se transfere limpo para segurança e confiabilidade.
Seu valor sobre a metáfora do elo mais fraco é que ele explica por que os sistemas em geral funcionam apesar de todo componente ser falho, e por que incidentes sérios quase sempre são uma combinação, e não uma falha isolada. Ele também prevê algo útil: os furos se movem, já que as fragilidades de uma camada mudam com configuração, pessoal e carga, então um caminho bloqueado no mês passado pode estar aberto agora.
O que decorre para a prática é que acrescentar uma camada só ajuda se os furos dela estiverem em lugares diferentes, que é o mesmo argumento de independência de cinto e suspensórios. Também reenquadra a análise de incidentes: a pergunta não é qual controle falhou, já que vários falharam, e sim por que os furos se alinharam e o que teria bloqueado o caminho. Essa é investigação mais produtiva que achar o ponto único a culpar, e é por isso que o modelo é associado a post-mortems sem culpabilização.
Também conhecido como: Swiss-cheese model