Hol' Dir diese Lernkarten, lerne & bestehe Prüfungen. Kostenlos! Auch auf iPhone/Android!

Systemsicherheit wird in Systemen mit hohem Gefährdungspotenzial zunächst durch umfangreiche Sicherheitsvorkehrungen auf unterschiedlichen Ebenen gewährleistet.
Diese Sicherheitsvorkehrungen bzw. -barrieren (»defences«) beinhalten

• technische Sicherheitseinrichtungen (z. B. Alarmschaltungen),
• organisatorische Sicherheitsregelungen (z. B. Vorschriften für eine sichere Systemführung) und
• ausbildungsbezogene Maßnahmen (z. B. zur Erhöhung des Sicherheitsbewusstseins).

Das »Swiss Cheese Model« von Reason (1997) geht davon aus, dass Systemunfälle in solchen Organisationen vor allem dann entstehen, wenn die oben genannten Sicherheitsbarrieren in Kombination versagen.

Die unterschiedlichsten Sicherheitsvorkehrungen können leider nicht perfekt umgesetzt und gewährleistet werden (z. B. fallen technische Sicherheitsvorkehrungen aus oder es werden Regeln für eine sichere Systemführung vom Bedienpersonal nicht eingehalten). Dies entspricht den Scheiben eines löcherigen Schweizer Käses im Bild.
Solange Ausfälle nur auf einer Ebene der Sicherheitsvorkehrungen auftreten, aber auf den anderen Ebenen greifen, kann die Systemsicherheit trotzdem gewährleistet werden (»defences in depth«).

Fallen die Sicherheitsvorkehrungen durch eine Verkettung unglücklicher Umstände jedoch auf mehreren Ebenen aus, führt dies – wenn auch selten – zu einem Systemversagen, was allerdings weitreichende Konsequenzen hat. Im Bild bzw. der Metapher wird dies anhand des durchgehenden Pfeils durch die Löcher der Sicherheitsbarrieren auf allen Ebenen gekennzeichnet.

Reason (1997) geht außerdem davon aus, dass das
Versagen der Sicherheitsbarrieren durch zwei Typen von
Fehlern entsteht: aktive und latente Fehler.

(Arbeitsschutz / Sicherheitssystem / Swiss Cheese Model)

Reason (1997) geht außerdem davon aus, dass das Versagen der Sicherheitsbarrieren durch zwei Typen von Fehlern entsteht: aktive und latente Fehler.

• Aktive Fehler sind Fehlhandlungen, die von Operateuren direkt im Arbeits- bzw. Produktionsprozess an der Mensch-Maschine-Schnittstelle begangen werden (z. B. Versehen, Irrtümer etc. im Sinne sicherheitskritischer Verhaltensweisen;).
• Latente Fehler werden hingegen zeitlich und räumlich weit entfernt von der Unfallentstehung begangen (z. B. werden Wartungs- oder Instandhaltungsprozeduren fehlerhaft ausgeführt oder bereits bei der Entwicklung des Systems wurden entsprechende Konstruktionsfehler angelegt; für ein Beispiel Das Unglück der »Herald of Free Enterprise«).

Solche latenten Fehler ruhen unbemerkt wie Krankheitsherde im System (z. B. die mangelnde Kommunikation zwischen Kapitän und Mannschaft der »Herald of Free Enterprise«,  wodurch nicht festgestellt wurde, dass das Schiff mit offener Bugklappe den Hafen verließ) und wirken sich zunächst nicht oder nur indirekt auf das System aus. Hierbei handelt es sich u. a. um fehlerhafte Entscheidungen des Managements (z. B. zu geringe Personalkapazitäten für sicherheitskritische Bereiche),  Mängel im Linienmanagement (z. B. mangelndes Thematisieren von Sicherheitsfragen in den Arbeitsteams durch deren Leiter) und psychologische Vorläufer sicherheitskritischer Verhaltensweisen. Erst die Kombination aktiver und latenter Fehler in Zusammenhang mit lokalen Umständen schwächen das System so weit, dass es zum Versagen der Sicherheitsbarrieren und zum Systemunfall kommt (z. B. führte die unklare Aufgabenverteilung zum »Vergessen« des Schließens der Bugklappen; dies hatte wiederum das Fluten des mittleren Decks der »Herald of Free Enterprise« zur Folge, wodurch eine gefährliche Instabilität und schließlich das Kentern des Schiff es verursacht wurde).