スイスチーズモデルとは？意味・具体例とハインリッヒの法則との違いをわかりやすく

スイスチーズモデルとは、事故は1人のミスで起きるのではなく、何枚も重ねた防護層（チーズの切片）それぞれにある穴が、たまたま一直線に並んだときに起きると説明する事故モデルです。英国マンチェスター大学の心理学者James Reason（ジェームズ・リーズン）の研究から生まれ、航空・原子力・医療の安全管理で広く使われています。

この記事では、図の読み方と2種類の穴の意味をReason本人の論文で確認し、2020年の東証システム障害を実際にスライスへ分解してみます。そのうえで、医療・看護での使い方、ハインリッヒの法則との違い、専門家にも多い誤読、モデルの限界まで整理します。

まとめ：スイスチーズモデルの要点

• 意味：防護層は必ずどこかに穴を持つ。1枚の穴だけでは通常は事故にならず、複数の層の穴が一時的に一直線に並んだときに危険が被害に届く
• 2種類の穴：現場の人が起こす「能動的失敗」と、設計・手順・経営判断が作り込む「潜在的状態」。潜在的状態は事故の前に見つけて直せる
• 提唱者：James Reason。1990年の著書『Human Error』の図が原型で、「スイスチーズ」の呼び名は豪州の航空事故調査機関の長だったRob Leeが付けたとされる
• ハインリッヒの法則との違い：ハインリッヒは事故の「件数の比率」、スイスチーズモデルは1件の事故が「どの層を抜けて起きたか」を扱う
• 使い方の要点：穴をふさぐだけでなく、独立した層を1枚足す選択肢を必ず検討する。複数の層を同時に破る共通原因がないかも確かめる
• 限界：事故を一直線の経路として描くため、部品が仕様どおりに動いたまま相互作用で起きる事故は表しにくい

スイスチーズモデルの意味と図の読み方

Reasonは2000年に英国医師会誌BMJへ寄せた論文「Human error: models and management」で、モデルを次のように説明しています。高度な技術システムは何層もの防護を持ち、ある層は警報や物理的な障壁、自動停止のように設備で作られ、ある層は外科医や操縦士、制御室の運転員のように人が担い、ある層は手順や管理の仕組みに頼っています。理想ではどの層も完全ですが、現実の層は穴の多いスイスチーズの切片に近い、というのがモデルの出発点です。

チーズの切片・穴・矢印が表すもの

BMJ論文は、どれか1枚の切片に穴があっても通常は悪い結果にならず、多くの層の穴が一時的に一直線に並んで「事故の機会の軌道」ができたときに、危険が被害者に届くと書いています。チーズと違うのは、穴が開いたり閉じたり、位置を変えたりし続ける点です。昨日は安全だった手順が、人員が減った今日は穴になる、という動きまでモデルは含んでいます。

能動的失敗と潜在的状態という2種類の穴

BMJ論文は、防護の穴が生まれる理由を2つに分けています。ほぼすべての有害事象は、この2つの組み合わせで起きるとしています。

• 能動的失敗（active failures）：患者やシステムに直接触れている人が起こす不安全行為。スリップ（し損じ）、ラプス（し忘れ）、ミステイク（判断の誤り）、手順違反などで、防護への影響は直接的で、多くは短期間で終わる
• 潜在的状態（latent conditions）：設計者、建設者、手順書の作成者、経営層の判断から生まれ、システムの中に「常在する病原体」のように潜むもの。時間的な圧力、人手不足、不十分な設備、疲労、経験不足といったミスを誘う職場条件を生むほか、信頼できない警報や実行できない手順のように長く残る穴を防護に開ける

能動的失敗は形を事前に予測しにくいのに対し、潜在的状態は事故が起きる前に特定して直せる、とReasonは書いています。この差が、モデルを事後の原因究明だけでなく予防に使える理由です。能動的失敗を蚊にたとえ、1匹ずつ叩いても次々に来るので、防護を強め、蚊が湧く沼を干すのが最善だ、とも述べています。旧来の訳では「即発的エラー」「潜在的エラー」と呼ぶこともあります。

個人を責めるアプローチとシステムを見るアプローチ

BMJ論文の主題は、ヒューマンエラーへの向き合い方が「個人アプローチ」と「システムアプローチ」の2つに分かれることでした。個人アプローチは、不注意や意欲の低さを原因と見て、注意喚起や懲戒で減らそうとします。システムアプローチは、人は間違えるものだと前提を置き、間違いが起きても被害に至らない防護を作ろうとします。スイスチーズモデルは後者の考え方を図にしたものです。Reasonは同じ論文で「人間の性質は変えられないが、人が働く条件は変えられる」と書いています。人がなぜ間違えるかの分類はヒューマンエラーの定義と発生メカニズムで整理しています。

提唱者ジェームズ・リーズンとモデルの成り立ち

スイスチーズモデルは最初から今の姿だったわけではありません。Reason本人が共著者となった欧州航空航法安全機構（EUROCONTROL）の報告書『Revisiting the “Swiss Cheese” Model of Accidents』（EEC Note No.13/06、2006年10月）と、モデルの歴史を検証したLarouzee & Le Coze（Safety Science 126号、2020年）をもとに変遷をまとめます。

1990年『Human Error』の5つの平面

原型は、Reasonが1990年に出した『Human Error』（Cambridge University Press）の第7章です。John WreathallとReasonは、生産システムの要素を「上位の意思決定者」「現場管理者」「前提条件」「生産活動」「防護」の5つの平面として前後に並べ、どの平面でも失敗が起こりうると描きました。EUROCONTROL報告書は、この時点の図でチーズらしく見えるのは穴が1つある最後の平面だけだったと指摘しています。

「スイスチーズ」の呼び名と広まり方

同じ報告書には、Reason自身は「スイスチーズ」というラベルを考案しておらず、名付け親はおそらく、当時キャンベラにあった豪州航空安全調査局（BASI）の局長Rob Leeだと書かれています。報告書は普及に影響した人物も挙げています。Rob Leeは配下の調査官に「Reasonモデル」を使うよう求め、Dan Maurinoは1993年のICAO（国際民間航空機関）の人的要因ダイジェスト第7号でMark Iを航空界に紹介しました。ShappellとWiegmannは、このモデルを分類表に落とし込んだ事故分析手法HFACS（Human Factors Analysis and Classification System）を米海軍・海兵隊の事故分析で使い、2000年2月に米連邦航空局（FAA）の報告書として体系を公表しています。

具体例：東証arrowhead障害のスライス分解

スイスチーズモデルは医療や工場の話として紹介されることが多いのですが、ITシステムの障害にもそのまま当てはまります。2020年10月1日、東京証券取引所の株式売買システム「arrowhead」が止まり、終日売買停止になった件を、日本取引所グループの独立社外取締役による調査委員会の調査報告書（2020年11月30日）と、東証の再発防止策検討協議会の資料（2020年10月23日）だけを使って分解します。

引き金は、7時04分に起きた共有ディスク装置1号機のメモリ故障です。東証の要件定義書は機器が故障しても30秒以内に切り替えて処理を続けるよう求めていましたが、「オンパニック」という設定値が「False」だったため、2号機への自動切替は働きませんでした。相場情報を配信できなくなった東証は8時54分に証券会社との通信経路を遮断して売買を止め、当日中の再開は混乱が大きいと判断して、11時45分に終日停止を公表しました。

調査報告書によると、製品マニュアルの記載は旧機種の仕様に基づくもので、3代目arrowheadで採用した機種では仕様が変わっていたのに改訂されていませんでした。富士通が詳細設計書に設定値を書き、東証がレビューしましたが、仕様変更は東証に報告されていなかったため、誤りを見つけられませんでした。本番稼働前のテストでは生存監視の通信を遮断する試験で業務が続いたことをもって、故障時の引き継ぎ設計全体が正しいと判断しています。どの穴も、当日の運用担当者の操作ではなく、何年も前の設計や確認の段階で作り込まれた潜在的状態です。

この事例の核心は、マニュアルの誤記を見つけるはずの設計レビューと本番前テストが、どちらも同じ記載を正しい前提として組み立てられていた点です。報告書も、重要な設定を決める局面で製品マニュアルだけを拠り所にしていたことを1つ目の原因に挙げました。共通の前提が1つ崩れたことで、3枚の切片の同じ位置に穴がそろって開いたわけです。層の枚数を数えても、互いに独立していなければ安全の厚みは増えません。再発防止策も、設定値の修正と総点検、共有ディスク装置を経由しない売買停止機能の開発、停止と再開のルール整備と、層ごとに分かれています。運用側の障害対応の流れはITIL準拠のインシデント管理プロセスで扱っています。

医療・看護でのスイスチーズモデル

医療は、このモデルが広く使われている分野の1つです。Perneger（2005年）は、スイスチーズモデルが医療事故と患者安全事象を分析するときの支配的な枠組みになったと書いています。先に引用した2000年の論文も、Reasonが医療者に向けてBMJに書いたものです。

誤薬・患者取り違えを防ぐ防護層の例

与薬を例にすると、防護層は処方時の電子カルテのアラート、薬剤師の監査、看護師による患者氏名とリストバンドの照合、投与前のダブルチェック、投与後の観察と重なります。能動的失敗は「似た名前の薬を取り違える」「照合を飛ばす」といった現場の行為で、潜在的状態は「似た外観の薬剤が隣の棚にある」「夜勤の人数が少なくダブルチェックが形だけになる」「アラートが多すぎて無視される習慣がある」といった仕組みの側の弱点です。個人の注意を求める対策だけで終わらせず、棚の配置やアラートの設計という潜在的状態のほうを直すのが、モデルに沿った対策です。米国の医薬品安全使用協会（ISMP）も、病院向けのベストプラクティス（2024〜2025年版）で、ラベル貼付や教育といった効果の弱い対策だけに頼らず、より効果の強い対策と組み合わせるよう求めています。独立したダブルチェックは、化学療法薬や静注インスリンのように誤りのリスクが最も大きい一部の薬に限るよう勧めています。

ヒヤリ・ハットとインシデントの位置づけ

厚生省（当時）の「リスクマネージメントマニュアル作成指針」（平成12年）は、ヒヤリ・ハット事例を「患者に被害を及ぼすことはなかったが、日常診療の現場で、“ヒヤリ”としたり、“ハッ”とした経験を有する事例」と定義しています。厚生労働省の医療安全対策検討会議が2002年4月にまとめた「医療安全推進総合対策」は、インシデントを「誤った医療行為などが患者に実施される前に発見されたもの、あるいは、誤った医療行為などが実施されたが、結果として患者に影響を及ぼすに至らなかったもの」とし、ヒヤリ・ハットと同義に扱っています。アクシデントは医療事故に当たる語です。モデルに当てはめると、インシデントには2通りあります。途中のどこかの層で誤りが見つかり患者に届かなかったものと、すべての層を抜けて実施されたのに、結果としてたまたま影響が出なかったものです。後者は防護が働いたのではなく運がよかっただけなので、アクシデントと同じ重みで「どの層を抜けたか」を分析する価値があります。報告書に「どの層で止まったか」「どの層を抜けたか」を残すと、次にふさぐべき穴が見えてきます。

専門家でも割れる解釈と、よくある誤読

図が単純なぶん、読み手によって意味がずれます。スイス・ジュネーブ大学のPernegerは2005年、このモデルを「よく知っている」と答えた医療の質・安全の専門家85人に、図の各要素の意味を尋ねました（BMC Health Services Research 5巻71号）。回答者は品質関連の学会とウェブで募った自主参加者で、「正答」は著者がReasonのモデルに沿うかどうかで事前に決めたものです。その基準で正答率は平均66.5%となり、でたらめに答えた場合の50%は上回るものの、合意にはほど遠い結果でした。

誤読の典型は2つあります。1つは、現場のミス（能動的エラー）を「穴」ではなく「矢印」や「穴の並び」と捉えることです。こう読むと、ミスをした人が事故そのものに見え、システムアプローチから個人を責める見方へ戻ってしまいます。もう1つは、対策を穴ふさぎだけで考えることです。穴をふさぐ案は9割が選んだのに、層を足す案は3割にとどまりました。穴は開閉し位置も変わり続けるので、すべてをふさぎ切ることはできません。ReasonもBMJ論文で、より効果的な防護を作ることと、穴を生む沼を干すことを最善の対策に挙げています。層を足す選択肢のうち、エラーが起きても危険側に倒れない設計はフールプルーフとフェイルセーフの考え方そのものです。

ハインリッヒの法則との違い

2つは対立する理論ではなく、見ている対象が違います。

ハインリッヒの法則は、1941年版の著書『Industrial Accident Prevention』で、同種の事故330件のうち、重い傷害または休業を伴う傷害（major or lost-time injury）が1件、軽い傷害が29件、傷害のない事故が300件という比率を示したものです。ヒヤリ・ハットを数えて報告させる根拠にはなりますが、集めた事例をどう分析するかは語りません。その分析の枠組みを与えるのがスイスチーズモデルです。2つを併用するなら、ヒヤリ・ハットの報告様式に「どの防護層で止まったか」「どの層を抜けたか」の欄を設けると、件数と構造の両方が1つの報告から取れます。ハインリッヒの法則の原典の中身と「古い」と言われる理由はバードの法則とハインリッヒの法則の違いで詳しく扱っています。

現場で使う手順：防護層の棚卸し

スイスチーズモデルは、図を見せて終わりにすると「穴は必ずある」という標語で止まります。事故やヒヤリ・ハットの分析に使うなら、次の順で層と穴を書き出します。

1. 危険と損失を決める：何が誰に届くと困るのかを1文で書く（例：誤った薬剤が患者に投与される、売買が止まる）
2. 防護層を並べる：設備の層、人の層、手順・管理の層に分けて、危険側から被害側へ順に並べる
3. 各層の穴を書く：能動的失敗と潜在的状態を分けて書く。潜在的状態は「なぜその穴が開いていたか」を問うと出てくる
4. 層の独立性を確かめる：複数の層が同じ人、同じ部品、同じ情報源に依存していないかを書き出し、その共通部分が誤ったときに、どの層が別の手がかりで誤りを見つけられるかを確かめる
5. 対策を選ぶ：潜在的状態の穴をふさぐ案と、独立した層を足す案の両方を出してから比べる

手順3で「なぜ」を掘る作業には、なぜなぜ分析を組み合わせられます。このとき、層ごとに分けて掘り、1つの原因に絞り込まないことが大切です。最初の層の「なぜ」だけを深掘りすると、他の層の穴が対策から漏れます。

手順4は軽く扱われがちですが、効果が大きい手順です。東証の例では、マニュアル、設計レビュー、テストの3層が同じマニュアルの記載を前提にしていたため、記載の誤り1つで3層が同時に破れました。医療のダブルチェックも同じで、ISMPは2019年の安全情報で、2人が互いの結果を知らずに別々に確認する「独立した」ダブルチェックを求め、一緒に作業したり確認者に答えを示唆したりすると、2人とも同じ誤りの経路をたどりうると指摘しています。指示書との照合は2人で行っても、指示書そのものの誤りを見つける層にはなりません。

スイスチーズモデルの限界と批判

EUROCONTROLの報告書は、このモデルには欠点があり無批判に受け入れられているわけではない、Reason本人も時間とともに限界を認めてきた、と書いています。Larouzee & Le Coze（2020年）は、批判を2つの系統に整理しました。

• 事故の描き方への批判：Leveson、Dekker、Hollnagelらによるもの。モデルは静的で線形、単純すぎるとされる。危険から被害への一直線の矢印では、要素どうしの複雑な相互作用を表しにくい
• 汎用的すぎるという批判：ShappellとWiegmannらによるもの。何が穴に当たるかの定義があいまいで、分析者によって結論が変わる。HFACSはこの不足を分類表で補う試み

Larouzeeらは、それでもモデルはシステム全体を見る土台を持ち、高リスク産業で使われ続けているので今も有効だと結論づけています。実務での判断はこうです。人の行為と防護の抜けが絡む事故の説明や、ヒヤリ・ハットを振り返る出発点には、スイスチーズモデルが使えます。ただし穴の定義があいまいなので、事例を集計・比較するならHFACSのような分類表を併用し、分析者による差を減らします。一方、ソフトウェアや自動制御のように各部品が仕様どおりに動いたまま、組み合わせで事故に至る場合は、故障や誤りという「穴」を探す枠組みでは原因を捉えにくくなります。この種の事故には、制御構造と安全制約の観点で分析するLevesonのSTAMPや、機能のばらつきの重なりで捉えるHollnagelのFRAMを検討してください。

よくある質問

スイスチーズモデルを簡単に言うとどういう意味ですか？

「どの安全対策にも穴はあり、事故は複数の対策の穴が同時に重なったときに起きる」という考え方です。Reasonは2000年のBMJ論文で、チーズと違ってこの穴は開いたり閉じたり、位置を変えたりし続けると説明しています。1人のミスを責めるより、ミスが起きても被害に届かないように対策を何層にも重ね、各層の穴を減らすことを重視します。

スイスチーズモデルを考えたのは誰ですか？

英国マンチェスター大学の心理学者James Reasonです。1990年の著書『Human Error』の図が原型で、1997年の著書と2000年のBMJ論文で今の形になりました。ただし「スイスチーズ」という呼び名はReason本人ではなく、豪州航空安全調査局の局長だったRob Leeが付けたとされています。

スイスチーズモデルとハインリッヒの法則の違いは何ですか？

ハインリッヒの法則が示すのは、同種の事故330件のうち重い傷害が1件、軽い傷害が29件、傷害のない事故が300件という件数の比率です。対してスイスチーズモデルは、1件の事故がどの防護層の穴を抜けて起きたかという構造を描きます。前者を根拠にヒヤリ・ハットを集め、後者でその原因を層ごとに分析する組み合わせが実務的です。

スイスチーズモデルの具体例はありますか？

2020年10月1日の東証arrowhead障害が分かりやすい例です。共有ディスク装置のメモリ故障に対し、製品マニュアル、設計レビュー、本番前テスト、自動切替の設定値、売買停止の手段、当日再開のルールという複数の層に穴が開いていたため、機器1台の故障が終日の売買停止まで届きました。医療では、似た名前の薬の取り違えが、処方アラート、薬剤師の監査、看護師の照合をすべて抜けて投与に至る誤薬が典型例です。

看護の現場ではどのように使えばよいですか？

厚生労働省の2002年の「医療安全推進総合対策」は、インシデントを患者に実施される前に発見された誤りと、実施されたが患者に影響が出なかった誤りと定義しています。この報告を振り返るとき、「誰が間違えたか」で終わらせず、「どの層で止まったか」「どの層をすり抜けたか」「その層の穴は人員配置・物品の配置・手順のどれから来たか」を書き出す使い方が基本です。対策は個人への注意喚起で終わらせず、穴をふさぐ案と、独立した確認の層を足す案の両方を検討します。

関連記事

• バードの法則とは？1：10：30：600の意味とハインリッヒの法則との違い、「古い」と言われる理由
• ヒューマンエラーの定義と発生メカニズムから見る現場リスクの本質
• フールプルーフとは？語源・意味と身近な例、フェイルセーフとの違い
• なぜなぜ分析とは？5回のなぜで真因に迫る手順・事例・現場での進め方を解説
• インシデント管理とは？ITIL準拠のプロセスと監視・オンコールの実装を運用目線で