實際 的 情況 卻 是 充滿 干擾 ， 記憶 缺失 的 錯誤 幾乎 無法 避免 ， 而 很少 有 設備 是 依照 干擾 的 實際 情況 而 設計 的 。 如果 執行 方式 很 類似 ， 又 沒有 為 不 熟悉 的 行動 特別 提供 協助 ， 會 導致 擷取性 的 失誤 ， 使得 熟練 的 行動 被 錯誤 地 執行 。 討論 了 這麼多 ， 最 重要 的 教訓 是 ， 好 的 設計 可以 防止 失誤 及 錯誤 。 設計 可以 防止 人為 過失 ， 拯救 生命 。 過失 如何 釀成 事故 的 瑞士 乳酪 模型 幸運 的 是 ， 大多數 的 人為 過失 並 不見得 會 導致 事故 發生 。 一 場 事故 通常 有 許多 原因 ， 而 其中 任何 一 個 都 不 是 事件 的 決定性 原因 。 里森 喜歡 用 多 片 瑞士 乳酪 的 比喻 來 解釋 這 個 現象 。 瑞士 乳酪 的 特點 是 它 充滿 了 洞 （ 如 圖 5.3 ） ， 而 每 片 乳酪 代表 事故 的 一 個 條件 ， 上面 的 洞 表示 在 這 個 條件 上 出 了 狀況 。 只有 當 四 片 乳酪 的 洞 排成 一 列 的 時候 ， 才 會 發生 事故 。 在 一 個 設計 優良 的 系統 裡 ， 可以 有 許多 設備 故障 ， 許多 人 為 過失 ， 但是 除非 這些 故障 和 過失 剛好 配合 在一起 ， 否則 不會 造成 事故 。 任何 一 個 狀況 （ 一 個 洞 ） 會 被 下 一 層 擋住 。 設計 優良 的 系統 能 因此 防止 事故 的 發生 。 這 就 是 為什麼 想 找到 事故 的 「 決定性 」 原因 ， 通常 注定 要 失敗 。 事故 的 調查員 、 新聞 媒體 、 政府 官員 ， 以及 每 一 位 國民 都 希望 找到 一 個 引發 事故 的 簡單 解釋 。 「 你 看 ， A 的 洞 如果 高 一點 ， 我們 就 不會 有 這 場 意外 ， 所以 把 A 整 片 扔掉 ， 換 一 片 新 的 就 好 了 。 」 當然 同樣 的 說法 也 可以 用 在 B 、 C 或 D 上面 ， 而 在 真正 的 事故 中 ， 乳酪 的 片數 有時 會 有 幾十 片 或 幾百 片 。 在 事 後 ， 要 找到 一 個 行動 或 決定 ， 然後 說 如果 不 是 這 個 原因 ， 意外 不會 發生 ， 是 一 件 相當 容易 的 事 。 但是 這 並 不 意味 著 這 個 行動 真的 引發 了 這 場 事故 ， 它 只 是 許多 原因 其中 的 一 個 。 你 可以 從 大多數 事故 的 「 要是 ／ 要不是 」 說法 裡 看出 這 種 心態 。 「 要不是 我 決定 抄 那 條 近路 ， 我 不會 出 意外 。 」 「 要不是 一直 在 下雨 ， 我 的 煞車 不會 失靈 。 」 「 要是 我 當時 向 左 看 ， 我 會 早點 看到 那 部 車子 。 」 是 的 ， 這些 說法 是 真 的 ， 但 它們 都 不 是 事故 的 主要 原因 ， 因為 通常 事故 並非 單一 原因 造成 的 。 記者 、 律師 、 群眾 都 急 著 知道 原因 ， 這樣 我們 才 能 知道 誰 該 負起 責任 ， 接受 懲罰 。 但是 有 信譽 的 調查 機構 知道 原因 不 是 那麼 單純 ， 所以 他們 的 調查 才 會 花 這麼 長 的 時間 。 他們 的 責任 是 要 了解 系統 並 進行 改進 ， 以 減少 未來 的 事故 。 瑞士 乳酪 的