小故障如何叠加引发灾难性系统事故

这种固有危险促使建立多层防御体系，包括备用系统等技术组件、培训等人为因素，以及政策、认证和工作规则等组织措施。这些防御通常使运营远离事故，系统运行总体上是成功的。当微小且看似无害的故障联合起来为系统性事故创造机会时，就会发生明显的灾难性失败。 每个小故障都是引发灾难的必要条件，但只有它们的组合才足以导致失败。失败机会远多于明显的系统事故，因为大多数初始故障轨迹被设计的安全组件阻断，而那些到达操作层面的故障大多被从业人员阻断。这些系统的复杂性使得它们不可能在没有多重缺陷的情况下运行。