스위스 치즈모델

왜 배우는가: 인적오류는 개인의 실수로 보기 쉽지만, 실제 사고는 여러 층의 약점이 우연히 겹쳐 생긴다. 스위스 치즈모델은 이 구조를 한 그림으로 보여 주어 사고 조사와 예방 대책을 조직 전체의 방어층으로 설계하도록 안내하므로, 시험에서도 작동원리와 발생과정을 함께 묻는다.

출제 이력: 제136회 2교시 1번, 제118회 2교시 6번

1. 한 줄 정의와 핵심 키워드

스위스 치즈모델은 여러 방어층의 허점이 한 줄로 정렬될 때 사고가 일어난다고 보는 사고 원인 모델이다

핵심 키워드: 스위스 치즈모델, 방어층, 능동 실패, 잠재 요인, 구멍 정렬, 심층 방어, 휴먼에러

이 정의 한 문장은 답안의 Ⅰ. 개요에 그대로 쓸 수 있다. 정의 뒤에는 방어층이 무엇이고 허점이 어떻게 나뉘는지를 짧게 덧붙인다.

2. 개념 풀이

쉬운 말로 풀면 이렇다. 안전장치를 여러 겹 두면 한 겹에 생긴 허점이 곧바로 사고가 되지 않는다. 치즈 한 조각에 구멍이 있어도 조각을 여러 장 겹치면, 모든 조각의 구멍이 같은 자리에 맞물릴 때만 앞뒤로 빛이 통과한다. 사고도 그렇게 일어난다.

정식 정의는 다음과 같다. Reason 이 제안한 스위스 치즈모델은 사고를 여러 방어층(defense layers)의 허점이 동시에 정렬될 때 발생한다고 보는 사고 인과 모델이다. 각 층의 허점은 무작위로 생기고 위치와 크기가 달라서, 한 층의 실수만으로는 위험이 현실이 되지 않는다.

방어층이란 위험이 사고로 가는 길을 막는 모든 장치와 절차를 말한다. 설계 단계의 안전장치, 작업 표준서, 검사 공정, 감독자의 확인, 작업자 자신의 점검이 모두 방어층이다. 각 층은 그 자체로 완전하지 않으므로 여러 층을 겹쳐 두는 것이 원리다. 이 생각을 심층 방어(defense in depth)라고 하며, 컴퓨터 보안 같은 다른 분야에서도 같은 원리를 쓴다.

허점은 성격에 따라 두 가지로 나눈다. 능동 실패(active failure)는 조작자가 직접 사고와 연결되는 불안전한 행위이며, 효과가 즉시 나타난다. 반면 잠재 요인(latent failure)은 설계·관리·교육·절차 같은 조직 측의 약점이다. 잠재 요인은 며칠에서 몇 달 동안 숨어 있다가 사고에 기여하므로, 사고가 난 뒤에야 드러나는 경우가 많다.

두 허점은 따로 떨어진 것이 아니다. 잠재 요인이 만들어 놓은 상황에서 능동 실패가 일어나고, 그 능동 실패가 방어층을 통과하면 사고가 된다. 이 연결이 모델을 쓰는 이유다.

사고는 방어층의 허점이 한 줄로 정렬될 때 일어난다. 이 문장이 모델의 핵심이며, 답안의 작동원리 설명은 이 한 줄을 중심으로 쓴다.

원래 모형은 위에서부터 조직 영향, 불안전한 감독, 불안전한 상태(행위의 전제 조건), 불안전한 행위의 네 층으로 설명된다. 아래 도식은 방어층이 쌓인 모습을 답안지에 그리는 방식으로 보여 준다.

가상의 예로 설명하면 이렇다. 작업 표준서가 갱신되지 않은 조직에서 감독자가 부품 방향 확인을 빠뜨리고, 작업자가 그 순간 부품을 잘못 끼우면 불량이 출하된다. 이때 어느 한 층이라도 막혀 있었다면 사고는 나지 않았을 것이다. 한 층의 실수를 개인의 잘못으로만 보면 원인을 놓치는 이유가 여기에 있다.

3. 등장 배경과 필요성

1980년대 후반까지 산업 사고 분석은 현장 작업자의 실수를 원인으로 보는 경향이 강했다. 그러면 사고 뒤 작업자를 징계하고 교육을 늘리는 데 그쳐서 같은 유형의 사고가 반복되었다. Reason 은 사고의 원인이 현장 한 지점이 아니라 조직이 만든 여러 층의 방어에 걸쳐 있다고 보았다.

스위스 치즈모델은 Reason 의 다층 방어 모델과 Wagenaar 의 트라이포드(tripod) 사고 원인 이론을 결합하는 과정에서 발전했다. 1980년대 후반부터 1990년대 초까지는 도표의 치즈 조각에 능동 실패, 전제 조건, 잠재 요인을 적는 형태가 쓰였다. 이 과정을 거쳐 지금의 방어층과 허점이라는 그림으로 정리되었다.

필요성은 복합 시스템에서 커진다. 항공 사고 조사에서는 조종사의 능동 실패를 먼저 찾고, 그 뒤 훈련·절차·정비 같은 잠재 요인을 함께 분석한다. 의료 분야에서도 이 모델을 조직 리더십과 위험 감독에 맞춘 확장형 모형이 제안되었다. 2021년 항공기 조립 라인 사례 연구는 인적오류의 원인으로 기억 실패와 작업 방해 등을 제시하고, 작업 설계로 오류를 미리 막는 방안을 제안했다.

제조 현장에서 이 관점이 중요한 이유는 분명하다. 같은 실수라도 작업 표준, 부품 배치, 교육, 검사 같은 방어층이 막고 있다면 불량으로 이어지지 않는다. 일용 작업자의 실수가 반복된다면 그 작업자의 책임보다 방어층의 허점을 먼저 점검해야 한다는 결론이 나온다. 이것이 예방 대책을 설계하는 출발점이다.

현장에서는 오류를 사전에 막는 포카요케(poka-yoke) 개념도 함께 쓰인다. 1960년대 Shingo 가 부품을 두 단계로 나누어 준비하도록 공정을 바꾼 사례가 대표적이다. 빠진 부품이 있으면 남은 부품이 눈에 띄도록 공정을 설계하는 것이 핵심이다. 스위스 치즈모델의 한 방어층을 구체적인 설계로 채우는 방법이라고 이해하면 된다.

4. 구성요소·원리·절차

스위스 치즈모델의 구성요소는 방어층, 허점, 위험 경로의 세 가지로 정리한다. 각 요소의 역할은 다음 표와 같다.

방어층이 많을수록 위험 경로가 막힐 가능성은 높아진다. 다만 같은 원인에서 나온 허점이 여러 층에 공통으로 있으면 방어는 한꺼번에 무너지므로, 층의 수보다 허점의 독립성이 중요하다. 표의 예는 제조 현장에 맞춘 것이며, 항공이나 의료처럼 다른 현장에서는 방어층의 종류가 달라져도 구조는 같다.

원리는 Reason 이 말한 정렬 조건이다. 허점이 서로 다른 층에서 우연히 같은 순서로 맞물려야 위험이 사고로 이어진다. 허점 하나하나는 흔하지만 모든 허점이 한 줄로 맞물리는 경우는 드물다. 따라서 방어층을 추가하거나 허점의 위치를 바꾸면 사고 가능성이 낮아진다. 사고 뒤 조사에서 허점을 거꾸로 추적하는 것도 같은 원리를 쓴다.

사고 발생 과정은 위에서 아래로 네 단계로 전개된다.

• 조직 영향: 경영 정책, 예산, 교육 체계가 허점을 만든다.
• 불안전한 감독: 감독과 절차 관리가 허술해진다.
• 불안전한 상태: 부품 배치, 공구, 작업 환경이 오류를 부추긴다.
• 불안전한 행위: 작업자가 직접 실수하여 위험 경로가 열린다.

이 네 단계는 한 방향으로 흐르며, 사고가 난 뒤에는 개선이 다시 위 단계로 되돌아가야 한다. 아래 흐름도는 그 순서를 보여 준다.

허점을 찾는 절차는 다음과 같다.

• 사고 경로를 시간 순서로 적는다.
• 경로의 각 방어층을 표시하고, 그 층이 왜 통과되었는지 적는다.
• 허점이 조직, 감독, 상태, 행위 중 어느 층에 속하는지 분류한다.
• 같은 허점이 다른 작업에도 있는지 확인한다.

예방은 네 단계 어디에서든 한 층을 막는 것이다. 위 단계의 개선은 아래 여러 단계에 영향을 주므로 효과가 넓다. 반대로 아래 단계에서만 막으면 같은 허점이 다른 작업에서 되풀이된다. 답안에서는 이 점을 근거로 조직 차원의 대책을 먼저 쓰고 현장 대책을 뒤에 쓴다. 조립 작업이라면 작업 표준서, 부품 식별 표시, 완성 검사, 감독자 확인이 각각 방어층이 되므로, 이 목록에서 열려 있는 층을 찾으면 원인을 한 줄로 설명할 수 있다.

5. 관련 법령·기준·표준

스위스 치즈모델은 이론 모형이므로 법정 기준값으로 정해진 수치는 없다. 답안에서는 모델이 쓰이는 관리 체계와 법정 제도를 연결하는 것이 좋다. 대표적인 것은 다음과 같다.

각 기준은 방어층을 설계하는 틀을 준다. 법정 기준이 요구하는 항목을 방어층 목록과 대응시키면 답안이 구체적이 된다. 예를 들어 위험성평가 결과를 설계 안전장치와 작업 표준의 개선 항목으로 연결하면 허점을 찾고 막는 과정이 드러난다.

위험성평가는 유해·위험요인의 파악, 위험성 결정, 감소 대책의 수립과 이행, 기록의 순서로 진행한다고 설명한다. 이 순서를 방어층 점검 순서와 맞추면 절차 설명이 된다. 사고 조사 단계에서는 재해 원인 분석을 근거로 방어층의 허점을 찾고, 조사 결과는 재발 방지 대책과 연결된다.

국제표준은 번호와 조항을 외우기보다 이름과 역할을 쓰는 것이 안전하다. 조직 관리 체계를 설명할 때는 ISO 45001 을 조직 차원의 방어층으로, ISO 31000 을 위험 경로 분석의 틀로 연결해 쓰면 된다.

6. 유형과 비교

사고 원인 분석에는 여러 기법이 있으며, 스위스 치즈모델은 원인을 층으로 보는 관점을 준다. 다른 기법과의 차이는 다음 표로 정리한다.