Одинаковый сюжет
Прочитай отчёты о крупных техногенных катастрофах последних пятидесяти лет, и обнаружится неприятная закономерность. Сюжет почти всегда один и тот же.
Была известная проблема. О ней предупреждали, иногда годами. Предупреждения поднимались снизу и затухали где-то посередине. Отклонение от нормы повторялось много раз и каждый раз обходилось. В решающий момент несколько обстоятельств совпали. Погибли люди.
Потом назначили виновного — обычно того, кто был ближе всего к месту события, — ужесточили правила и объявили, что больше такого не повторится.
Через несколько лет повторилось. В другой отрасли, с другими людьми, по тому же сценарию.
Из этого следует, что причина не в конкретных разгильдяях. Дело в устройстве, которое воспроизводится независимо от людей. Разберём его.
Дырки в сыре
Самая известная модель аварий выглядит неожиданно уютно.
Британский психолог Джеймс Ризон предложил представлять защиту как несколько ломтей швейцарского сыра, поставленных друг за другом. Каждый ломоть — слой защиты: конструкция, инструкция, обучение, контроль, сигнализация, здравый смысл дежурного.
В каждом слое есть дырки — слабые места. Это нормально: идеальной защиты не бывает, и обычно дырка одного слоя перекрыта целым местом следующего.
Беда проходит тогда, когда дырки во всех слоях случайно выстроились в одну линию.
Из модели следует несколько важных вещей.
У аварии нет одной причины. Если бы хоть один слой сработал, ничего бы не случилось. Спрашивать «из-за чего это произошло» — значит требовать неверного ответа.
Дырки двигаются. Они не стоят на месте: меняются люди, правила, нагрузка. Поэтому совпадение — вопрос времени, а не невезения.
Виноват не тот, кто оказался у последней дырки. Оператор, нажавший не ту кнопку, — последний слой, а не первый. До него не сработали конструкция, обучение, контроль и предупреждения.
Кольцо, о котором знали семь лет
Разберём самый изученный случай — гибель «Челленджера» в 1986 году.
Техническая сторона проста. Боковые ускорители собирались из секций, стыки уплотнялись резиновыми кольцами. На морозе резина теряет упругость и хуже прилегает. В то утро было около нуля, холоднее, чем при любом предыдущем пуске. Кольцо не сработало, горячие газы прорвались через стык, и через 73 секунды после старта корабль разрушился. Погибли семь человек.
А теперь то, ради чего этот случай и разбирают.
О проблеме знали. Повреждения колец находили после предыдущих полётов с 1977 года. Инженеры писали служебные записки; в одной из них, за полгода до катастрофы, прямо говорилось об угрозе потери корабля и экипажа.
Накануне пуск пытались отменить. Вечером перед стартом инженеры фирмы-изготовителя провели совещание с заказчиком и рекомендовали не запускать из-за холода. На них надавили. Руководителю сказали фразу, ставшую знаменитой: сними свою инженерную шляпу и надень управленческую. Рекомендацию переписали на положительную.
Никто не был злодеем. Все участники были компетентны и не желали ничьей смерти. Просто на каждом уровне решение выглядело приемлемым: давление сроков, много удачных пусков позади, риск не выглядел доказанным.
Комиссия, расследовавшая катастрофу, написала в итоге вещь более жёсткую, чем любое обвинение конкретных людей: проблема была не в кольце, а в организации, которая оказалась не способна услышать собственных инженеров.
Почему это повторилось в той же организации
Самое тяжёлое в этой истории — продолжение.
В 2003 году при возвращении разрушился «Колумбия». Причина другая: при старте от бака отвалился кусок теплоизоляции и пробил защиту крыла.
И снова: об отваливающейся изоляции знали, она отлетала в предыдущих полётах, каждый раз обходилось, явление было признано допустимым. Во время полёта инженеры просили получить снимки крыла, чтобы оценить повреждение, — запросы не поддержали на управленческом уровне.
Комиссия по «Колумбии» прямо написала, что организационные причины катастрофы совпадают с теми, что были названы семнадцатью годами раньше, и что рекомендации первой комиссии не были выполнены по существу.
Отсюда самый неприятный вывод всей статьи: устранить технические причины проще, чем организационные. Кольцо переделали за год. Способность слышать неудобные сообщения не восстановилась за семнадцать лет.
Почему предупреждения не доходят
Разберём механику отдельно, потому что она работает везде, а не только в космонавтике.
Плохие новости дорого нести. Сообщить наверх о проблеме — значит остановить работу, сорвать срок и поссориться с теми, кому это невыгодно. Хорошие новости идут наверх сами, плохие приходится проталкивать.
Ответственность размазана. Каждый отвечает за свой участок, и на каждом участке всё в порядке. Целое не принадлежит никому.
Сообщение слабеет при передаче. «Возможна катастрофа» превращается в «есть замечания», потом в «риск в пределах приемлемого». Никто не врёт — каждый слегка округляет, чтобы не выглядеть паникёром.
Успех воспринимается как доказательство безопасности. Сто удачных пусков ощущаются как подтверждение правильности, хотя на самом деле означают лишь, что дырки пока не совпали.
Давление сроков действует тихо. Никто не говорит «рискните людьми». Говорят «мы не можем переносить ещё раз», и остальное человек додумывает сам.
Как с этим борются
Хорошая новость в том, что отрасли, где цена ошибки высока, научились противодействовать — и приёмы известны.
Право остановить работу. В авиации и на хорошем производстве любой участник может остановить процесс без объяснения причин и без последствий для себя. Право бесполезно, если за его использование наказывают.
Безнаказанные сообщения об ошибках. В гражданской авиации пилот может анонимно сообщить о собственном промахе, и это не влечёт санкций. Благодаря этому база известных опасностей пополняется тем, что иначе скрыли бы.
Разбор без поиска виновных. Правило: сначала выясняем, как устроена система, при которой разумный человек поступил так; только потом, отдельно, разбираемся с умыслом и халатностью, если они были.
Независимый контроль. Тот, кто оценивает безопасность, не должен подчиняться тому, кто отвечает за сроки. Иначе он перестаёт быть слоем защиты.
Разбор удачных случаев. Самое неочевидное: разбирают не только аварии, но и ситуации, где обошлось. Потому что «обошлось» и «безопасно» — разные вещи, и первое узнаётся только специально.
Как это выглядит не в технике
Схема узнаётся далеко за пределами заводов.
В школе и на работе. Проблема известна всем внизу и не доходит наверх, потому что несущему её невыгодно. Наверху искренне не знают.
В компании друзей. Нормализация отклонения работает безотказно: один раз сделали то, что раньше считалось недопустимым, обошлось — и граница сдвинулась. Через полгода норма выглядит неузнаваемо, а момента, когда её меняли, никто не назовёт.
В собственной жизни. Ты всё чаще ложишься в три, потому что каждый раз «нормально встал». Готовишься в последний вечер, потому что пока проносило. Здесь ты одновременно инженер, руководитель и оператор, и все трое договариваются между собой слишком легко.
Что из этого стоит вынести
Несколько вопросов, которые работают в любой системе, где что-то может пойти плохо.
Что здесь известно снизу и неизвестно наверху? Почти всегда список непустой.
Сколько раз уже обошлось? Если отклонение повторяется и каждый раз обходится, это не признак безопасности, а счётчик.
Кому невыгодно сообщать плохое? Там и будет слепое пятно.
Есть ли право остановиться? И пользовался ли им кто-нибудь в последний год. Если нет — права фактически нет.
И последнее. После каждой катастрофы говорят «человеческий фактор», подразумевая чью-то оплошность. Точнее было бы понимать это иначе: человеческий фактор — не тот, кто ошибся, а те, кто построил систему, в которой одна ошибка приводит к гибели.
Почему расследование важнее наказания
Стоит отдельно объяснить, как устроены те разборы, из которых мы вообще знаем всё вышеизложенное, — потому что это отдельное изобретение, и не самое очевидное.
После крупной аварии в развитых отраслях работают две независимые процедуры, и смешивать их нельзя.
Техническое расследование отвечает на вопрос «как это произошло». Его цель — не найти виновного, а восстановить цепочку и понять, что надо изменить. Именно поэтому участникам гарантируют, что их показания не будут использованы для наказания: иначе никто не расскажет правду, и цепочка не восстановится.
Юридическое разбирательство отвечает на вопрос «кто ответит». У него другие правила, другие доказательства и другой результат.
Разделение придумали не из гуманизма. Придумали потому, что обнаружили: когда обе задачи решает одна комиссия, побеждает вторая, и первая перестаёт работать. Люди начинают защищаться, документы исчезают, свидетели теряют память — и организация лишается единственного способа узнать о себе правду.
Поэтому отчёты о крупных катастрофах в авиации читаются так странно для непривычного человека: сотни страниц о том, как и почему принимались решения, и почти ни слова о том, кто плохой. Это не мягкотелость. Это единственный известный способ получить сведения, из которых можно что-то исправить.
Главное в трёх строчках
- У крупной аварии не бывает одной причины: защита многослойна, и беда проходит, когда слабые места всех слоёв случайно совпали.
- Главный механизм — нормализация отклонения: то, что повторилось и обошлось, становится нормой, и граница допустимого ползёт без всякого решения её сдвинуть.
- Технические причины устраняют быстро, организационные — почти никогда: «Челленджер» и «Колумбия» разделяют семнадцать лет и один и тот же диагноз о неспособности услышать собственных инженеров.