寓話
研究所の実験室と入構証
ある材料研究所が新しい実験棟を建てた。棟内の各実験室は独立した密封ユニットで、専用の換気システムと廃液処理装置を備えている——異なる実験室同士は物理的に完全に遮断され、交叉汚染を防ぐ。基建検収では、各実験室の密封テストはすべて合格した。
実験室が使用開始された初日に問題が起きた。有機合成を研究する一人の研究者がカードを刷って無機材料実験室に入った——彼の入退室カードの権限はすべての実験室で、専門分野ごとの区切りがなかった。彼は無機実験室で小さな実験を行い、試薬棚の薬品を間違えて使い、安全事故にはならなかったが、発見時にはその実験室の対照サンプルを汚染していた。
安全科は振り返りでとてもわかりやすい図を描いた。実験棟の密封個室は汚染物質を部屋から出さないが、入退室カードの権限がどんな人がどの部屋に入れるかを決める。密封個室は入った後のことを管理し、入退室権限は誰が入れるかを管理する。二つはそれぞれ別の区間を担っており、前の区間が漏れれば、後の区間がどれだけ密封でも意味がない。
研究所は安全方案を再設計した。物理的隔離は維持——各実験室は引き続き独立して密閉される。入退室管理システムは研究グループとプロジェクトごとに再区分され、研究員は自分が許可された1～2室の実験室にのみカードで入室でき、区域をまたぐ入室には承認が必要となった。物理的隔離と権限管理は、独立して管理される二つの安全層になった。
半年の運用後、典型的な連動防御が一度捕まえた。新しく来た大学院生が誤った入館カードで核磁気共鳴実験室に入ろうとしたが、第一の入館ゲートがカード読み取り要求を拒否し、第二の物理的隔離はそもそも使われなかった。リスクは門口で食い止められた。安全科は報告書にこう書いた。隔離環境は最後の防衛線であり、権限の壁は第一の防衛線である。二つの防衛線はそれぞれ独立して運用され、重複する防御は単層の防御よりも常に良い。
研究所は後にこの経験を安全研修教材の一つの比喩として書き加えた。実験室は鍵のかかった箱であり、入退室規則はその箱の鍵リストである。箱がどれほど頑丈でも、鍵リストが間違っていれば扉が開いているのと同じだ。逆に、鍵リストがどれほど精密でも、箱そのものに隙間があれば、入るべきでない物質を防げない。