寓話
工場の安全検査と設備専用検査
ある化学工場には毎年二種類の安全検査がある。第一は総合安全巡検で、消防通路、危険化学品の保管、防爆電気機器、緊急対応計画を調べ、工場全体の二十数车间をカバーする。第二は自動化設備の専門検査で、中央制御システムのセンサー精度、制御ロジックの冗長性、失效切替機構だけを調べる。二つの検査は報告書の形式、検査員の資格、是正プロセスがすべて異なる。
ある年、工場でコスト削減・効率向上が行われ、二つの検査が一回の年次大検査に統合された。安全グループはどうせ工場に入るのだから、一度に全部検査しようと考えた。自動化設備の部分は総合チェックリストに一小節として埋め込まれ、元々四時間の専項検査は四十分に圧縮された。検査員は総合チェックリストの自動化設備の小節を照らし、稼働正常の項目にいくつかチェックを入れて立ち去った。
三か月後、反応釜の温度制御システムに微小な偏移が発生した——センサー読取値が実際の温度より五度低かったが、制御システムは警報を一切発しなかった。偏差が総合チェックリストに設定された安全閾値を超えていなかったからだ。十二時間後、温度偏差は十五度に拡大し、システムはようやく警報を発したが、反応釜の内壁にはすでに腐食が生じていた。生産停止修理に三週間かかった。
事故調査で、自動化専用検査にはもともと独立した閾値基準があったことが判明した。温度管理の偏差が三度を超えると黄色、五度を超えると赤色で保守フローを起動する。この基準は大検査への統合時に、総合検査表の汎用閾値に上書きされてしまった——総合検査表が扱うのは消防と危険化学品であり、その閾値は精密制御システムには粗すぎた。
工場は二重検査制度を復活させたが、一つの改善を行った：二組の検査報告の首页に相互参照表を加えた。総合検査報告には今回カバーされなかった専門検査項目を明記し、専門検査報告には本項リスクが工場全体の総合評価に与える影響を明記した。二つの報告は統合しないが、互いに相手の存在と結論範囲を見ることができる。
年末に安全委員会が総括したとき、工場長は全工場の地図と作業場の断面図を並べて壁に掛けた。それ以来、彼は断面図を全工場の地図に押し込むことも、全工場の地図で設備を割って見る代わりにすることもなくなった。二枚の図は縮尺が異なり、どちらがどちらを代替しても情報が失われる。