Das Schweizer-Käse-Modell (englisch Swiss cheese model) ist eine bildhafte Darstellung von latenten und aktiven menschlichen Fehlern als Beitrag zum Zusammenbruch von komplexen Systemen und beschreibt die Verkettung von Unfallursachen. Das Modell wurde ursprünglich vom britischen Psychologen James Reason von der Universität Manchester dargelegt und hat seitdem eine breite Akzeptanz gefunden.
Das Schweizer-Käse-Modell vergleicht Sicherheitsebenen mit hintereinanderliegenden Käsescheiben. Die Löcher im Käse wie etwa beim Emmentaler sind ein Bild für die Unvollkommenheit von Sicherheits- oder Schutzmaßnahmen in einem Sicherheitssystem. Die Käselöcher als Schwachstellen können unerwartet ihre Größe und Lage verändern. Bei einer ungünstigen Kombination vieler ursächlicher Faktoren entwickeln sich einzelne Fehler zu Schäden, Unfällen oder katastrophalen Folgen. Im Modell liegen dann die Käselöcher auf einer Linie und es entsteht die „Gelegenheit zu einer Flugbahn“, so Reason, die alle Sicherheitsbarrieren überwindet. Anstelle eines Modells kann der Schweizer Käse auch als nützliche Metapher aufgefasst werden.
Latente und aktive Fehler
Reason untersuchte die Unfallberichte von Katastrophen wie Three Mile Island, Bhopal, Challenger, King’s Cross, Tschernobyl und Zeebrugge und schlug eine Unterscheidung zwischen aktivem und latentem Versagen vor; später spricht er von Personen- und Systemfehlern. Reason vertritt die Hypothese, dass die meisten Unfälle auf einen oder mehrere von vier Fehlerbereichen zurückgeführt werden können: organisatorische Einflüsse, Aufsicht, Vorbedingungen und konkrete Handlungen. Latente Fehler des Systems seien lange vor einem widrigen Ereignis auf der Führungs- und Organisationsebene angelegt worden, bevor sie zusammen mit ungünstigen Umständen und durch unsichere Handlungen einzelner Personen (aktives Versagen) zum Unfall führten.
Anwendung
Das Schweizer-Käse-Modell für Unfallursachen wird bei der Risikoanalyse und dem Risikomanagement eingesetzt. Es ist Ausgangspunkt zur Planung von Sicherheit u. a. im Ingenieur- und Gesundheitswesen,Schienenverkehr und Luftfahrt. Für Systemsicherheit wird es in der Arbeits- und Organisationspsychologie angewandt.
Im täglichen Leben ereignen sich Fehler, die im Modell ein Käseloch passieren, aber bei einem funktionierenden System von der nächsten Käsescheibe als Sicherheitsbarriere gestoppt werden.
Auf der Grundlage des Schweizer-Käse-Modells entstanden Critical Incident Reporting Systeme (deutsch Berichtssysteme über kritische Vorkommnisse) zur Meldung von kritischen Ereignissen (englisch critical incident) und Beinahvorfällen (englisch near miss).
Frosch beschrieb Reasons Modell mit mathematischen Begriffen als ein Modell in der Perkolationstheorie, die er als Bethe-Gitter analysierte.
Fehler: Person oder System
Bei einem widrigen Ereignis werden Beschuldigungen zumeist gegen die Akteure an „vorderster Front“ (englisch front line) erhoben. Die Betrachtung eines Schadens oder Unglücks kann jedoch nach Reason auf zweierlei Weise erfolgen: Personen- oder Systemfehler.
Unsicherheit keimt aus den Reihen der Leitung oder Aufsicht, wenn zum Beispiel unerfahrene Piloten für einen Nachtflug in bekanntermaßen schlechten Wetterbedingungen als Besatzung zusammengestellt werden. Organisatorische Einflüsse äußern sich in solchen Fällen durch Ausgabenkürzungen bei der Pilotenausbildung in Zeiten knapper Kassen.
Dasselbe Grundgerüst wird auch im Gesundheitswesen angewandt. Durch einen Tippfehler auf dem Rezept verordnet ein Arzt eine gesundheitsschädliche Dosis. Das kann als Flüchtigkeitsfehler des Arztes angesehen werden, wie er etwa unter Zeitmangel entsteht. Mehr als ein Viertel ihrer Arbeitszeit verwenden deutsche Ärzte für die Bürokratie im Gesundheitswesen (Bürokratiekosten: 4,3 Milliarden Euro pro Jahr in den Arztpraxen der niedergelassenen deutschen Ärzte).
Einzelheiten des aktiven Versagens sind oft nur schwer vorherzusehen. Es können jedoch latente Vorbedingungen identifiziert werden, bevor ein widriges Ereignis eintritt (vergl. Emergenz), um so „angesichts grundsätzlich bestehender personeller und operativer Risiken Systeme robust zu gestalten“ – also nicht vorrangig Fehlervermeidung, sondern Folgenabwehr als Ansatz des Sicherheitssystems.
Theorien und Modelle der Unfallursachen
Im Verständnis von Unfallursachen grenzt sich Reason vom jahrelang angewandten Personenansatz ab. Bei Theorien mit einem Personenansatz werden vorwiegend die unsicheren Handlungen oder Unterlassungen von Personen betrachtet – etwa bedingt durch „Vergesslichkeit, Unaufmerksamkeit, schlechte Motivation, Nachlässigkeit, Fahrlässigkeit und Leichtsinn“. Menschliche Fehler werden als moralisches Problem eingestuft: „Schlechten Menschen passieren schlechte Dinge“, von Psychologen als just-world fallacy (deutsch Trugschluss einer gerechten Welt) bezeichnet.
Die Theorie über „Symptome versus Ursachen“ schlägt vor, statt das Augenmerk besonders auf die offensichtlichen, zum Unfall führenden Fehler zu richten, müssten seine Gründe an der Wurzel untersucht werden; denn unsichere Handlungen und unsichere Bedingungen seien lediglich Symptome. „Symptome versus Ursachen“ wird eher als eine Ermahnung statt als Theorie bei der Untersuchung von Unfallursachen betrachtet.
Als erstes Modell der Unfallverursachung wurde das Domino-Modell von Herbert William Heinrich (1931) beschrieben. Dabei wird der Unfall mit einer Reihe von Dominosteinen verglichen. Sobald ein Stein fällt, wird er alle anderen umwerfen. Es stellt eine vollständige Abfolge von Faktoren dar, wobei der letzte Stein dem Unfall selbst entspricht. Damit wird ein einfaches Ursache-/Wirkungsprinzip beschrieben. Das Modell sollte nicht mit dem Dominoeffekt verwechselt werden.
Neben dem Domino- und Schweizer-Käse-Modell fanden andere Modelle wenig Beachtung.
Die Forschungen von James Reason führte Patrick Hudson von der Universität Leiden, Niederlande fort. Sie wurden unter dem Namen Culture Ladder oder auch Hudson Ladder (dtsch. Kultur- oder Hudson-Leiter) bekannt.
Limitierung und Kritik
In mehreren Publikationen wurde die Limitation des Schweizer-Käse-Modells wie folgt zusammengefasst: es nenne keine Details, wie die Löcher der verschiedenen Käsescheiben wechselwirken. Dadurch eigne es sich auch nicht für die nachträgliche Untersuchung.
Dekker führte 2002 dazu aus, dass die Schichten einander verstärken oder behindern können. Außerdem sage das Modell nicht, wo die Schlupflöcher liegen, warum sie sich dort befinden, welche Gestalt sie haben und wie sie sich über die Zeit verändern.
James Reason äußerte selbst:
„The pendulum may have swung too far in our present attempts to track down possible errors and accident contributions that are widely separated in both time and place from the events themselves.“
Steve Shorrock et al. griffen Reason's Befürchtung wieder auf, indem sie darauf hinwiesen, dass die Suche nach vorausgehenden, organisatorischen oder systemischen Fehlern z. B. auf Design-, Management- oder Planungsebene, die eigentlichen menschlichen Fehler am Ende des Ereignisses überdecken könne.