Модель швейцарського сиру: як поєднання слабких місць призводить до системної події
Автор: Український психологічний ХАБ · Опубліковано: 7 жовтня 2026 року · Редакційна політика
Модель швейцарського сиру — це концептуальна модель системної безпеки, яка пояснює небезпечну подію не однією «фатальною помилкою», а проходженням загрози крізь кілька недосконалих рівнів захисту. Кожен рівень може зупинити небезпечний розвиток подій, але кожен має слабкі місця. Коли слабкості кількох бар’єрів поєднуються так, що жоден із них не перериває траєкторію загрози, виникає інцидент, аварія або інший небажаний результат. Саме цю системну логіку Джеймс Різон популяризував у класичній статті про моделі людської помилки. Reason, 2000
Сенс моделі полягає в зміні одиниці аналізу. Замість питання «хто припустився помилки?» вона змушує запитати: які технічні, процедурні, інформаційні, організаційні та людські бар’єри мали зупинити небезпеку; де саме вони були ослаблені; чому слабкі місця змогли поєднатися; і що треба змінити в системі, щоб аналогічна траєкторія надалі переривалася раніше. Це один із найвідоміших способів мислити про ергономіку і людський фактор у безпечних системах.
Що таке модель швейцарського сиру
У найпростішому зображенні система має кілька послідовних шарів захисту. Їх малюють як скибки швейцарського сиру. Суцільна частина кожної скибки означає те, що бар’єр працює: обладнання блокує небезпечну дію, процедура вимагає перевірки, інтерфейс робить критичний стан видимим, команда виявляє розбіжність, сигналізація попереджає про відхилення або організаційне правило не дозволяє продовжити процес без потрібних умов.
Отвори в скибках означають слабкі місця захисту. Це можуть бути недоліки конструкції, неоднозначний інтерфейс, неповна процедура, несправність, суперечливі цілі, дефіцит ресурсів, невдала передача зміни, пропущена перевірка, невірна дія оператора або поєднання кількох чинників. Отвір не дорівнює «поганій людині» і не має одного універсального психологічного значення.
У статті 1990 року Різон описав, як у складних високоризикових технологіях віддалені за часом організаційні рішення можуть створювати латентні слабкості, що стають видимими лише тоді, коли поєднуються з локальними умовами й діями на передньому краї системи. Reason, 1990 Пізніше сирна метафора зробила цю ідею надзвичайно наочною.
Звідки взялася модель і чому її пов’язують з Джеймсом Різоном
Модель часто переказують так, ніби Джеймс Різон одного дня «вигадав швейцарський сир». Історія складніша. Його роботи про людську помилку, активні та латентні відмови, організаційні аварії й системні захисти формувалися протягом 1980-х і 1990-х років. У 1990 році він уже описував взаємодію локальних активних відмов із прихованими системними слабкостями та багаторівневими захистами.
Історико-критичний огляд Джастіна Ларузі та Жана-Крістофа Ле Коза показує, що сучасна форма моделі визрівала приблизно десятиліття, мала кілька графічних версій і виникла в середовищі активної співпраці дослідників та практиків безпеки. Larouzee & Le Coze, 2020 Тому точніше говорити про модель Різона як про результат розвитку його ширшої моделі організаційної аварії, а не про одну ізольовану картинку.
Версія зі скибками сиру стала особливо відомою після статті Різона 2000 року в BMJ. стаття Різона про моделі людської помилки У ній протиставлено персональний і системний підходи до помилки: перший концентрується на людині, яка помилилася, другий — на умовах, захисних механізмах і властивостях системи, що роблять помилки можливими та визначають їхні наслідки.
Що означають шари, отвори та траєкторія події
Скибки — це рівні захисту, контролю або відновлення. Вони можуть бути технічними, організаційними, процедурними або людськими. В одній системі таким шаром буде фізичне блокування небезпечної команди, в іншій — подвійна перевірка, автоматичний контроль діапазону, диспетчерське попередження, контрольний список, правило розподілу повноважень або можливість зупинити процес при невизначеності.
Отвори — це конкретні способи, якими відповідний шар може не спрацювати саме в певній ситуації. Частина слабкостей існує довго: наприклад, невдале компонування екрана, суперечлива процедура або систематичний дефіцит персоналу. Інші виникають локально й тимчасово: наприклад, неправильно введене значення, пропущений сигнал, невдале перемикання режиму або неповне передавання інформації.
Стріла або траєкторія в класичній схемі означає розвиток небезпеки до втрати. У дослідженні Томаса Пернегера фахівці з якості й безпеки суттєво відрізнялися в тому, як інтерпретували навіть базові елементи цієї метафори. Perneger, 2005 Це важливий результат: картинка корисна для мислення й комунікації, але її не можна вважати самодостатньою формальною мовою аналізу.
Головна ідея залишається стійкою: одна слабкість не обов’язково стає подією, якщо інші бар’єри зупиняють її наслідки. Небезпечний результат з’являється тоді, коли система в конкретний момент не має достатнього ефективного захисту на всій траєкторії розвитку загрози.
Активні помилки і латентні умови: центральне розрізнення
Різон розрізняв активні відмови та латентні умови. Активна відмова відбувається близько до моменту події й безпосередньо взаємодіє з небезпекою: оператор обирає неправильний режим, працівник пропускає крок, команда неправильно інтерпретує сигнал, технік виконує не ту дію. Її наслідок часто видно швидко, тому після інциденту саме вона притягує найбільше уваги.
Латентні умови виникають раніше й можуть довго залишатися непомітними. Вони пов’язані з рішеннями щодо конструкції, закупівель, ресурсів, навчання, процедур, розподілу відповідальності, технічного обслуговування, пріоритетів і організації роботи. Латентна умова сама по собі може не спричинити жодної події протягом місяців або років, але вона створює контекст, у якому локальна помилка легше виникає, важче виявляється або отримує серйозніші наслідки.
У ранній роботі Різона про «латентні людські відмови» підкреслено саме часову віддаленість багатьох причин від моменту аварії. Reason, 1990 У пізніших викладах частіше використовується поняття латентних умов, оскільки воно точніше відображає системний характер проблеми: слабкість може бути закладена не в чиємусь одиничному вчинку, а в способі проєктування та функціонування організації.
Водночас «активне» не означає «винне», а «латентне» не означає «головна причина». Це різні часові й системні позиції чинників у розвитку події. Які з них справді мали причинне значення, визначають за даними конкретного розслідування, а не за самою картинкою.
Як кілька слабких місць перетворюються на одну системну подію
Модель найкраще працює як послідовність запитань. Спочатку існує небезпека — стан або процес, здатний завдати шкоди. Між небезпекою та небажаним результатом система розміщує кілька захистів. Кожен захист має свою функцію, умови спрацювання й межі. Подія стає можливою, коли в конкретній ситуації кожен критично потрібний захист або не спрацьовує, або виявляється недостатнім.
Важливим є не саме число слабкостей. П’ять незначних недоліків можуть не мати спільної траєкторії й тому ніколи не взаємодіяти. Дві залежні слабкості можуть, навпаки, мати вирішальне значення. Системний аналіз питає про функціональні зв’язки: який бар’єр мав перехопити загрозу, від чого він залежав, що зробило його неефективним і чи мала система можливість відновитися після першої помилки.
Через це фраза «отвори збіглися» є метафоричним скороченням. У реальному аналізі потрібно встановити часову послідовність, причинні та сприятливі чинники, залежності між бар’єрами, контекст роботи й альтернативні пояснення. Саме тут закінчується сила малюнка й починається робота конкретного методу розслідування.
Приклад: один небезпечний результат, п’ять різних слабких місць
Уявімо диспетчерську систему, де оператор має підтвердити зміну режиму обладнання. Передбачено п’ять захистів: інтерфейс повинен чітко показати активний режим; небезпечна команда потребує окремого підтвердження; критична зміна має створити помітне попередження; передавання зміни повинно містити інформацію про незавершені дії; а процедура вимагає перевірити стан обладнання після зміни.
У день інциденту назва двох режимів на екрані візуально схожа. Підтвердження використовує ту саму кнопку, що й звичайні дії. Сигнал про зміну загубився серед багатьох однаково пріоритетних сповіщень. Під час передавання зміни незавершену операцію не проговорили. Після команди оператор перевірив не фактичний стан системи, а запис у журналі, який оновлювався із затримкою.
Якщо дивитися лише на останню дію, висновок звучатиме: «оператор обрав неправильний режим». Модель швейцарського сиру показує іншу структуру: локальна дія пройшла крізь інтерфейс, підтвердження, сигналізацію, комунікацію й післяопераційну перевірку. Кожен із цих шарів мав шанс перервати траєкторію, і жоден цього не зробив. Саме така реконструкція створює набагато більше точок для запобігання повторенню події.
Цей приклад не доводить, що будь-яка помилка оператора завжди спричинена інтерфейсом чи організацією. Він показує спосіб аналізу: простежити всю систему захисту замість того, щоб завершити розслідування на першій помітній людській дії.
Чому модель змінила розмову про людську помилку
Класична стаття Різона протиставила персональний підхід системному. Reason, 2000 У персональному підході помилка пояснюється неуважністю, забудькуватістю, недостатньою мотивацією або моральною слабкістю конкретної людини. Типовою відповіддю стають повторне навчання, дисциплінарний захід, нагадування «бути уважнішим» або заміна працівника.
Системний підхід не заперечує особисту дію. Він ставить її в контекст. Люди працюють через інтерфейси, процедури, команди, графіки, обладнання, автоматизацію та правила. Якщо система вимагає безпомилкової пам’яті, постійної пильності або ідеальної інтерпретації неоднозначних сигналів, вона перетворює звичайну людську варіативність на небезпечну залежність.
Сучасна Всесвітня організація охорони здоров’я формулює аналогічний принцип для безпеки пацієнтів: шкода часто виникає через поєднання системних, організаційних, технологічних і людських чинників, а аналіз причин потребує переходу від простого звинувачення до системного мислення. Водночас ВООЗ прямо зазначає, що це не означає ігнорування недбалості чи неналежної поведінки. ВООЗ: безпека пацієнтів
Тому модель Різона підтримує навчання на помилках, але не створює «культури безвідповідальності». Питання про причинність і питання про професійну відповідальність потрібно розглядати окремо. Система може бути погано спроєктована, а конкретна дія — одночасно порушувати обґрунтовані правила. Які наслідки доречні, визначають факти, контекст, намір, передбачуваність ризику й правила конкретної галузі.
Що модель означає для проєктування захисних бар’єрів
Практичний висновок моделі полягає в тому, що безпека не повинна залежати від одного ідеального бар’єра. Захисти проєктують так, щоб відмова одного шару не автоматично відкривала шлях до небезпечного результату. Це не механічне правило «додайте більше перевірок». Кожен новий бар’єр має створювати реальну функцію виявлення, блокування або відновлення, а не лише додаткову бюрократичну дію.
Добрий бар’єр відповідає на чітке питання: яку саме небезпеку він зупиняє; за якою ознакою спрацьовує; чи може людина зрозуміти його стан; що відбувається при його відмові; чи є він залежним від тих самих даних або тієї самої дії, що й інші бар’єри; чи може несправність залишатися прихованою; хто й як контролює його працездатність.
Особливо небезпечні спільні залежності. Якщо три «незалежні» перевірки використовують один і той самий помилковий запис, вони можуть одночасно підтвердити неправильний стан. Якщо два попередження відображаються на одному перевантаженому екрані, одна проблема інтерфейсу послаблює обидва. Кількість шарів сама по собі не гарантує стійкості.
Офіційне британське керівництво з безпеки також використовує модель швейцарського сиру для пояснення багаторівневого захисту, в якому організаційна культура, політики, процедури, обладнання й люди можуть виконувати різні захисні функції. GOV.UK: керівництво з безпеки
Як застосовувати модель під час аналізу інциденту
Модель швейцарського сиру корисно використовувати як рамку для побудови запитань, а не як готовий алгоритм, що автоматично знаходить «кореневу причину». Практичний аналіз можна будувати в такій послідовності.
1. Чітко описати подію та небезпеку. Що фактично сталося, який небажаний результат виник або майже виник, і яка загроза мала бути контрольована?
2. Відновити очікувані бар’єри. Які технічні, процедурні, інформаційні, командні або організаційні захисти повинні були перервати траєкторію? Не варто додавати у схему захист, який ніколи не існував у реальній системі.
3. Перевірити фактичну роботу кожного бар’єра. Чи був він доступний, справний, зрозумілий і реально застосовний у тих умовах? Чи його обійшли? Якщо так, чому? Чи було відхилення одиничним, чи стало звичайною практикою?
4. Розділити локальні дії та передумови. Що відбулося безпосередньо перед подією, а які умови були створені раніше рішеннями щодо дизайну, процедур, ресурсів, навчання, обслуговування або управління?
5. Шукати залежності між слабкостями. Чи мали кілька бар’єрів спільне джерело даних, один канал зв’язку, однакову вразливість або ту саму організаційну передумову?
6. Перевірити можливості виявлення й відновлення. Після першої помилки чи відхилення скільки ще існувало шансів помітити проблему, скасувати дію, повернути систему в безпечний стан або обмежити наслідки?
7. Визначити зміни, прив’язані до механізму. Якщо проблема в неоднозначному інтерфейсі, додатковий інструктаж не усуває неоднозначність. Якщо проблема в неконтрольованому обході процедури через її практичну нездійсненність, нове нагадування не змінює умов роботи. Коригувальна дія має впливати на той механізм, який зробив бар’єр слабким.
Агентство з досліджень і якості охорони здоров’я США у своєму сучасному описі системного підходу до безпеки так само наголошує: виправлення лише індивідуальної поведінки не гарантує неповторення події, якщо умови, що сприяли помилці, залишилися незмінними. PSNet: системний підхід до безпеки
Чого модель не доводить і не вимірює
Модель швейцарського сиру не є математичним законом аварійності. За самою схемою не можна обчислити ймовірність інциденту, надійність бар’єра, частоту помилки або величину ризику. Для цього потрібні дані та відповідні кількісні методи аналізу ризику й надійності.
Вона також не є моделлю сприйняття ризику. Сприйняття ризику описує, як люди оцінюють небезпеку та невизначеність; модель Різона описує структуру захистів і системних передумов, через які небезпека може перейти в подію.
Модель не доводить, що будь-який серйозний інцидент обов’язково має одну лінійну послідовність причин, що всі бар’єри незалежні або що кожен «отвір» можна однозначно віднести до однієї категорії. У складних системах події можуть мати зворотні зв’язки, паралельні процеси, адаптації, змінні цілі та взаємозалежності, які пласка схема передає лише частково.
Вона не є готовим методом аналізу кореневих причин. Схема може підказати, де шукати слабкості, але не визначає правила збору доказів, перевірки альтернативних гіпотез, встановлення причинного внеску чи пріоритизації коригувальних дій.
Критика моделі: де метафора спрощує складність
Найґрунтовніший сучасний історико-критичний огляд Ларузі та Ле Коза показує подвійний статус моделі: її системна основа залишається цінною, а графічна простота одночасно стала причиною популярності й джерелом спрощень. Larouzee & Le Coze, 2020
Перше обмеження — надмірна лінійність при буквальному прочитанні. Малюнок легко створює враження, що небезпека рухається прямою стрілою через фіксовані шари. Реальні системи часто мають мережеві залежності, взаємні впливи та динамічні адаптації. Тому стріла — інструмент пояснення, а не доказ, що причинність завжди має саме таку геометрію.
Друге обмеження — невизначеність того, що саме вважати «скибкою» або «отвором». Один аналітик назве шаром процедуру, інший — підрозділ, третій — технічну функцію. Дослідження Пернегера показало значну варіативність інтерпретацій навіть серед людей, добре знайомих із моделлю.
У вибірці Пернегера 85 респондентів, які вважали себе добре знайомими з моделлю, давали істотно різні відповіді щодо значення скибок, отворів, стріли, активної помилки та способів підвищення безпеки. Perneger, 2005 Це не робить модель марною; це показує, що для професійного аналізу метафорі потрібні явні визначення й додатковий метод.
Третє обмеження — ризик ретроспективної простоти. Після події легко намалювати кілька отворів так, щоб вони ідеально «вишикувалися». Але такий малюнок ще не пояснює, чому саме ці чинники були причинно важливими, наскільки вони були передбачувані до події та які інші траєкторії могли існувати.
Четверте обмеження — можливість перетворити системну модель на нову форму звинувачення. Якщо назвати «діркою» працівника, команду або «людський фактор», системний сенс зникає. Людина є елементом взаємодії, а не дефектом матеріалу. Аналіз має описувати конкретну функцію, умови й механізм, через які захист не спрацював.
Модель швейцарського сиру і сучасний системний підхід
Сьогодні модель найкраще розглядати як базову системну рамку, що допомагає перейти від одиничної помилки до архітектури захисту. Вона особливо корисна на початку розбору події, у навчанні та в міжпрофесійній комунікації, коли потрібно швидко показати, чому локальна дія й системний результат не є одним і тим самим.
Огляд Вігманна та співавторів, присвячений застосуванню моделі в безпеці пацієнтів, підкреслює, що її часто спрощують до картинки з отворами й втрачають теорію активних та латентних відмов, яка стоїть за нею. Wiegmann et al., 2022 Повернення до цієї основи робить модель змістовнішою: вона стає способом простежити зв’язок між організаційними впливами, умовами виконання роботи, локальними діями й захисними механізмами.
Для складних сучасних систем цього недостатньо як єдиного інструмента. Повний аналіз може потребувати спеціалізованих методів людської надійності, аналізу завдань, часових даних, журналів системи, інженерного аналізу відмов, дослідження взаємодії людини з автоматизацією, організаційного аналізу або моделей, що краще описують нелінійні взаємодії. Модель швейцарського сиру не конкурує з усіма цими методами; вона задає зрозумілу системну рамку, в яку можна поставити правильні запитання.
Де модель застосовують
Модель увійшла до практики багатьох сфер, де існує багаторівневий захист і висока ціна відмови: авіації, охорони здоров’я, транспорту, промислової та процесної безпеки, технічного обслуговування, енергетики й інших складних соціотехнічних систем. Історичний огляд відзначає її тривале використання у високоризикових галузях, а офіційні матеріали з безпеки продовжують використовувати її як пояснювальну модель.
У медицині сучасний системний підхід до безпеки пацієнтів описує шкоду як результат взаємодії системних, технологічних, людських та зовнішніх чинників. ВООЗ: безпека пацієнтів Модель швейцарського сиру добре ілюструє таку багатофакторність, але клінічне розслідування потребує конкретних методів і даних про реальний процес надання допомоги.
У сфері праці вона перетинається з темами психології безпеки праці, але не замінює їх. Психологія безпеки праці охоплює поведінку, ризик, організаційні практики та умови роботи; модель Різона має вужчий канонічний пошуковий намір — показати, як слабкості кількох рівнів захисту можуть поєднатися в траєкторію системної події.
Поширені помилки тлумачення
«Отвір — це людина, яка помилилася». Ні. Отвір — слабкість конкретного захисного шару в конкретній ситуації. Людська дія може бути одним із чинників, але системна модель не перетворює працівника на дефект.
«Досить додати ще одну перевірку». Не обов’язково. Додатковий бар’єр може створити нове навантаження, дублювати ту саму вразливість або перетворитися на формальність. Потрібно знати, яку функцію він виконує та від чого залежить.
«Якщо отвори збіглися, подія була неминучою». Ні. Схема реконструює шлях, який реалізувався, але не доводить, що іншого результату бути не могло. У системі могли існувати невикористані можливості виявлення, відновлення або зупинки.
«Модель доводить, що ніхто не відповідає за свої дії». Ні. Системний аналіз і справедливе визначення відповідальності — різні завдання. ВООЗ прямо поєднує системне мислення з вимогою не ігнорувати недбалість чи неналежну поведінку.
«Це точна причинна карта». Ні. Це концептуальна метафора. Вона допомагає структурувати аналіз, але причинні твердження мають спиратися на дані про конкретну подію.
«Що більше скибок, то безпечніша система». Не автоматично. Значення мають якість, незалежність, спостережуваність і реальна працездатність бар’єрів. Багато слабких або залежних перевірок можуть створити відчуття захищеності без відповідного зменшення ризику.
Як відрізнити модель Різона від суміжних понять
Людська помилка — це ширша тема про ненавмисні дії, рішення, пропуски й умови, у яких вони виникають. Модель швейцарського сиру пояснює, як локальна помилка або інша слабкість взаємодіє з багаторівневими захистами на шляху до системної події. Тому модель не є синонімом теорії людської помилки.
Культура безпеки й клімат безпеки на роботі також не є синонімами моделі. Культура стосується глибших організаційних норм, практик і пріоритетів; клімат безпеки — спільних поточних уявлень працівників про те, наскільки безпека реально пріоритетна. В моделі Різона ці явища можуть впливати на міцність бар’єрів або створювати латентні умови, але мають власні визначення та методи оцінювання.
Аналіз надійності людини — це клас методів оцінювання людського внеску в ризик і надійність системи. Він може бути якісним або кількісним і використовує формальніші процедури, ніж сирна метафора. Модель Різона сама по собі не видає числової ймовірності людської помилки.
Моделі класифікації чинників інцидентів можуть деталізувати організаційні, наглядові, передумовні та операційні рівні. Вони будують таксономію того, що сталося. Швейцарський сир передусім показує архітектуру багаторівневого захисту та можливість проникнення загрози крізь поєднання слабкостей.
Запитання і відповіді
Хто створив модель швейцарського сиру?
Модель пов’язують із британським психологом Джеймсом Різоном. Коректніше говорити про тривалу еволюцію його моделі організаційної аварії: ключові ідеї активних і латентних відмов та системних захистів були опубліковані ще 1990 року, а відома графічна версія зі «швейцарським сиром» сформувалася пізніше в контексті співпраці й розвитку кількох версій моделі.
Що означають отвори в сирі?
Отвори означають слабкі місця конкретних захисних бар’єрів. Це може бути дефект конструкції, ненадійна процедура, недостатня інформація, організаційна передумова, технічна відмова або локальна дія. Їхнє значення визначається функцією бар’єра та контекстом події.
Чим активна помилка відрізняється від латентної умови?
Активна помилка або відмова відбувається близько до моменту інциденту та має безпосередній контакт із процесом. Латентна умова формується раніше й може довго залишатися прихованою в дизайні, правилах, ресурсах або організації. Інцидент часто виникає тоді, коли локальна активна відмова взаємодіє з уже наявними слабкостями системи.
Чи означає модель, що аварії завжди мають багато причин?
Модель спрямовує аналіз до множинних захистів і передумов, але не встановлює універсального правила про точну кількість причин кожної події. У конкретному випадку причинний внесок чинників потрібно встановлювати на підставі доказів, а не домальовувати шари лише тому, що так виглядає схема.
Чи можна за моделлю розрахувати ризик?
Ні. Модель швейцарського сиру не задає числових імовірностей і не є кількісним методом оцінювання ризику. Для числового аналізу потрібні відповідні дані та методи надійності, ризику або ймовірнісного моделювання.
Чи є модель методом аналізу кореневих причин?
Вона може бути рамкою для такого аналізу, але не замінює процедуру розслідування. Модель допомагає знайти питання про бар’єри, латентні умови та можливості відновлення; доказ причинності потребує даних, часової реконструкції та перевірки альтернативних пояснень.
Чи скасовує системний підхід особисту відповідальність?
Ні. Системний підхід відокремлює пояснення події від автоматичного звинувачення. Він вимагає дослідити умови, в яких дія стала можливою та отримала наслідки. Питання про недбалість, свідоме порушення або професійну відповідальність вирішують окремо на підставі фактів і правил конкретної сфери.
Чому модель досі використовують, якщо її критикують?
Тому що вона стисло передає сильну системну ідею: безпека створюється кількома взаємодіючими захистами, а серйозна подія може з’явитися через поєднання слабкостей на різних рівнях. Її обмеження стають проблемою тоді, коли метафору приймають за повну причинну теорію або формальний метод. Як навчальна й аналітична рамка вона залишається впливовою.
Пов’язані статті
Справедлива культура безпеки: як розрізняти людську помилку, ризиковану поведінку і відповідальність
Джерела
Agency for Healthcare Research and Quality. (2024). Systems Approach. PSNet. https://psnet.ahrq.gov/primer/systems-approach
GOV.UK. Leading for safety: Decision making and risk management — Swiss cheese model. https://www.gov.uk/guidance/leading-for-safety/2-decision-making-and-risk-management
Larouzee, J., & Le Coze, J.-C. (2020). Good and bad reasons: The Swiss cheese model and its critics. Safety Science, 126, 104660. https://doi.org/10.1016/j.ssci.2020.104660
Perneger, T. V. (2005). The Swiss cheese model of safety incidents: Are there holes in the metaphor? BMC Health Services Research, 5, 71. https://doi.org/10.1186/1472-6963-5-71
Reason, J. (1990). The contribution of latent human failures to the breakdown of complex systems. Philosophical Transactions of the Royal Society of London. Series B, Biological Sciences, 327(1241), 475–484. https://doi.org/10.1098/rstb.1990.0090
Reason, J. (2000). Human error: Models and management. BMJ, 320(7237), 768–770. https://doi.org/10.1136/bmj.320.7237.768
Wiegmann, D. A., Wood, L. J., Cohen, T. N., & Shappell, S. A. (2022). Understanding the “Swiss Cheese Model” and Its Application to Patient Safety. Journal of Patient Safety, 18(2), 119–123. https://doi.org/10.1097/PTS.0000000000000810
World Health Organization. (2023). Patient safety. https://www.who.int/news-room/fact-sheets/detail/patient-safety