小さな失敗が連鎖し、壊滅的なシステム事故を引き起こす仕組み

この本質的な危険性により、バックアップシステムなどの技術的要素、訓練などの人的要素、方針・認証・作業規則などの組織的対策を含む多層の防御が生み出される。これらの防御は通常、事故から運用を遠ざけ、システム運用は概ね成功する。顕在的な壊滅的失敗は、小さく一見無害な失敗が連鎖し、システム全体の事故の機会を作り出すときに発生する。 これらの小さな失敗はそれぞれが災害を引き起こすために必要だが、その組み合わせだけが失敗を許容するのに十分である。顕在的なシステム事故よりも失敗の機会ははるかに多く、初期の失敗経路のほとんどは設計された安全部品によって遮断され、運用レベルに達したものも大半は実務者によって阻止される。これらのシステムの複雑さゆえに、複数の欠陥が存在せずに稼働することは不可能である。