Schweizer-Käse-Modell

Das Schweizer-Käse-Modell (englisch Swiss cheese model) ist eine bildhafte Darstellung von latenten und aktiven menschlichen Fehlern als Beitrag zum Zusammenbruch von komplexen Systemen und beschreibt die Verkettung von Unfallursachen. Das Modell wurde ursprünglich vom britischen Psychologen James Reason von der Universität Manchester vorgelegt und hat seitdem eine breite Akzeptanz gefunden.

Das „Schweizer Käsemodell“ der Unfallentstehung zeigt, dass zwar viele Abwehrschichten zwischen Gefahren und Unfällen liegen, dass jedoch in jeder Abwehrschicht Mängel vorhanden sind, die, wenn sie „aufeinander abgestimmt“ sind, dann den Unfall eintreten lassen.

Schweizer-Käse-Modell in der CORONA-Pandemie-Bekämpfung

Video: Sicherheit durch das Schweizer-Käse-Modell

Das Schweizer-Käse-Modell vergleicht Sicherheitsebenen mit hintereinanderliegenden Käsescheiben. Die Löcher im Käse – wie etwa beim Emmentaler – sind ein Bild für die Unvollkommenheit von Sicherheits- oder Schutzmaßnahmen in einem Sicherheitssystem.

Die Käselöcher als Schwachstellen können unerwartet ihre Größe und Lage verändern. Bei einer ungünstigen Kombination vieler ursächlicher Faktoren entwickeln sich einzelne Fehler zu Schäden, Unfällen oder katastrophalen Folgen. Im Modell liegen dann die Käselöcher auf einer Linie und es entsteht die „Gelegenheit zu einer Flugbahn“, so Reason, die alle Sicherheitsbarrieren überwindet. Der Schweizer Käse kann als Modell oder auch als nützliche Metapher aufgefasst werden.

Das Modell kann auch dazu verwendet werden, um eine Schutzwirkung durch mehrere jeweils für sich gesehen unvollkommene Sicherheitsmaßnahmen zu erklären. Im Modell ist zwar jede einzelne Schicht löchrig, die übereinanderliegenden Schichten lassen aber zumeist keinen „Durchbruch“ zu.

Latente und aktive Fehler

Reason untersuchte die Unfallberichte von Katastrophen wie den Reaktorunfall im Kernkraftwerk Three Mile Island, Bhopal, das Challenger-Unglück, den Brand in King’s Cross, Tschernobyl und den Untergang der Herald of Free Enterprise und schlug eine Unterscheidung zwischen aktivem und latentem Versagen vor; später spricht er von Personen- und Systemfehlern. Reason vertritt die Hypothese, dass die meisten Unfälle auf einen oder mehrere von vier Fehlerbereichen zurückgeführt werden können: organisatorische Einflüsse, Aufsicht, Vorbedingungen und konkrete Handlungen. Latente Fehler des Systems seien lange vor einem widrigen Ereignis auf der Führungs- und Organisationsebene angelegt worden, bevor sie zusammen mit ungünstigen Umständen und durch unsichere Handlungen einzelner Personen (aktives Versagen) zum Unfall führten.

Anwendung

Das Schweizer-Käse-Modell für Unfallursachen wird bei der Risikoanalyse und dem Risikomanagement eingesetzt. Es ist Ausgangspunkt zur Planung von Sicherheit u. a. im Ingenieur- und Gesundheitswesen, Schienenverkehr und Luftfahrt. Für Systemsicherheit wird es in der Arbeits- und Organisationspsychologie angewandt.

Im Alltag ereignen sich stets Fehler. Im Modell passieren sie ein Käseloch, werden aber bei einem funktionierenden System von der nächsten Käsescheibe als Sicherheitsbarriere gestoppt.

Auf der Grundlage des Schweizer-Käse-Modells entstanden Critical Incident Reporting Systeme (deutsch Berichtssysteme über kritische Vorkommnisse) zur Meldung von kritischen Ereignissen (englisch critical incident) und Beinahvorfällen (englisch near miss).

Frosch beschrieb Reasons Modell mit mathematischen Begriffen als ein Modell in der Perkolationstheorie, die er als Bethe-Gitter analysierte.

Fehler: Person oder System

Bei einem widrigen Ereignis werden Beschuldigungen zumeist gegen die Akteure an „vorderster Front“ (englisch front line) erhoben. Die Betrachtung eines Schadens oder Unglücks kann jedoch nach Reason auf zweierlei Weise erfolgen: Als Personen- oder als Systemfehler.

Unsicherheit keimt aus den Reihen der Leitung oder Aufsicht, wenn zum Beispiel unerfahrene Piloten für einen Nachtflug in bekanntermaßen schlechten Wetterbedingungen als Besatzung zusammengestellt werden. Organisatorische Einflüsse äußern sich in solchen Fällen durch Ausgabenkürzungen bei der Pilotenausbildung in Zeiten knapper Kassen.

Dasselbe Grundgerüst wird auch im Gesundheitswesen angewandt. Wenn beispielsweise durch einen Tippfehler auf dem Rezept ein Arzt eine gesundheitsschädliche Dosis verschreibt, dann kann das als Flüchtigkeitsfehler des Arztes angesehen werden, wie er etwa unter Zeitmangel entsteht. Mehr als ein Viertel ihrer Arbeitszeit verwenden deutsche Ärzte für die Bürokratie im Gesundheitswesen.

Einzelheiten des aktiven Versagens sind oft nur schwer vorherzusehen. Es können jedoch latente Vorbedingungen identifiziert werden, bevor ein widriges Ereignis eintritt (vergl. Emergenz), um so „angesichts grundsätzlich bestehender personeller und operativer Risiken Systeme robust zu gestalten“ – also nicht vorrangig Fehlervermeidung, sondern Folgenabwehr als Ansatz des Sicherheitssystems.

Theorien und Modelle der Unfallursachen

Im Verständnis von Unfallursachen grenzt sich Reason vom jahrelang angewandten Personenansatz ab. Bei Theorien mit einem Personenansatz werden vorwiegend die unsicheren Handlungen oder Unterlassungen von Personen betrachtet – etwa bedingt durch „Vergesslichkeit, Unaufmerksamkeit, schlechte Motivation, Nachlässigkeit, Fahrlässigkeit und Leichtsinn“. Menschliche Fehler werden als moralisches Problem eingestuft: „Schlechten Menschen passieren schlechte Dinge“, von Psychologen als just-world fallacy (deutsch Trugschluss einer gerechten Welt) bezeichnet.

Die Theorie über „Symptome versus Ursachen“ schlägt vor, statt das Augenmerk besonders auf die offensichtlichen, zum Unfall führenden Fehler zu richten, müssten seine Gründe an der Wurzel untersucht werden; denn unsichere Handlungen und unsichere Bedingungen seien lediglich Symptome. „Symptome versus Ursachen“ wird eher als eine Ermahnung statt als Theorie bei der Untersuchung von Unfallursachen betrachtet.

Als erstes Modell der Unfallverursachung wurde das Domino-Modell von Herbert William Heinrich (1931) beschrieben. Dabei wird der Unfall mit einer Reihe von Dominosteinen verglichen. Sobald ein Stein fällt, wird er alle anderen umwerfen. Es stellt eine vollständige Abfolge von Faktoren dar, wobei der letzte Stein dem Unfall selbst entspricht. Damit wird ein einfaches Ursache-/Wirkungsprinzip beschrieben. Das Modell sollte nicht mit dem Dominoeffekt verwechselt werden.

Neben dem Domino- und Schweizer-Käse-Modell fanden andere Modelle wenig Beachtung.

Die Forschungen von James Reason führte Patrick Hudson von der Universität Leiden, Niederlande fort. Sie wurden unter dem Namen Culture Ladder oder auch Hudson Ladder (dtsch. Kultur- oder Hudson-Leiter) bekannt.

Limitierung und Kritik

In mehreren Publikationen wurde die Limitation des Schweizer-Käse-Modells wie folgt zusammengefasst: es nenne keine Details, wie die Löcher der verschiedenen Käsescheiben wechselwirken. Dadurch eigne es sich auch nicht für die nachträgliche Untersuchung.

Dekker führte 2002 dazu aus, dass die Schichten einander verstärken oder behindern können. Außerdem sage das Modell nicht, wo die Schlupflöcher liegen, warum sie sich dort befinden, welche Gestalt sie haben und wie sie sich über die Zeit verändern.

James Reason äußerte selbst:

„The pendulum may have swung too far in our present attempts to track down possible errors and accident contributions that are widely separated in both time and place from the events themselves.“

Steve Shorrock et al. griffen Reason’s Befürchtung wieder auf, indem sie darauf hinwiesen, dass die Suche nach vorausgehenden, organisatorischen oder systemischen Fehlern z. B. auf Design-, Management- oder Planungsebene, die eigentlichen menschlichen Fehler am Ende des Ereignisses überdecken könne.