Идеальный шторм
К сожалению, большинство систем предупреждения предупреждают нас, что больше не могут нас предупреждать.
Капитан Пастренго Ругиати был крепким, доброжелательным человеком, любившим море и корабли, на которых служил. Он славился своей добротой. Когда один из его офицеров узнавал о рождении ребенка, Ругиати приказывал дуть в корабельный свисток, поднимал голубую или розовую ленту на мачту и закатывал вечеринку для всех, кто не был на дежурстве.
В ту пятницу, 17 марта 1967 года, корабль Torrey Canyon шел на север, приближаясь к концу своего месячного путешествия из Кувейта в Милфорд-Хейвен, Уэльс. Море было спокойным. На следующие несколько дней предсказывали штиль. Ругиати допоздна был на ногах, чтобы отдать все распоряжения по предстоящей сложной операции – разгрузке 119 000 тонн сырой нефти, которую перевозил его корабль. Все должно было пройти как надо, но у них оставалось мало времени. Если Torrey Canyon не успеет зайти в Милфорд-Хэйвен до 11 утра, то придется еще шесть дней ждать прилива, который даст возможность разгрузить такую махину. Это было бы слишком. Ни Ругиати, ни его команда, ни либерийская судоходная компания, которая их наняла, не могли позволить себе такую задержку.
Капитан особенно тщательно занимался расчетами, так как на корабле отсутствовал экземпляр The Channel Pilot – стандартного морского руководства по навигации. Когда он наконец закончил, то попросил его разбудить, как только острова Силли на юго-западном побережье Англии, печально известные количеством затонувших у этих берегов кораблей, покажутся по правому борту.
Около 6:30 утра первый помощник разбудил его и сообщил, что океанские течения и ветер сбили корабль с курса и, надеясь исправить это, он изменил маршрут. Ругиати был раздражен тем, что первый помощник сделал это без разрешения, но еще более досадно было то, что из-за этого они точно опоздают в порт на разгрузку. Ругиати вернул корабль на прежний курс, который он так тщательно просчитал накануне вечером. И хотя теперь им предстояло пройти рядом с рифом Семи камней, ужасом всех моряков, Ругиати верил, что корабль и его команда будут в безопасности. Оглядываясь назад, это окажется спорным, даже ошибочным суждением.
И все же Ругиати мог бы спокойно привести свое судно в порт, если бы не два неожиданных события, которые последовали одно за другим. Во-первых, две рыбацкие лодки, внезапно появившиеся из тумана, перекрыли путь, и капитану пришлось скомандовать полный назад, хотя для маневра было мало места, а в запасе считаные секунды. А во-вторых, механическая неисправность помешала рулевому колесу немедленно отреагировать на разворот. И эта крошечная задержка имела значение.
Ругиати был невероятно сосредоточен. Но он опоздал. Torrey Canyon подошел слишком близко к рифу. И около 8:50 утра столкнулся с ним на полной скорости. Днище гигантского нефтяного танкера длинной 297 метров огромные камни прошили насквозь. Грузовые цистерны были повреждены, и разлив 13 миллионов галлонов нефти вызвал одну из самых значительных экологических катастроф в мире.
Позже капитан Ругиати сказал на официальном расследовании: «Множество мелочей сложились в одну большую катастрофу. Сроки, течения, туман, рыбацкие лодки, неисправное рулевое управление. В другой день все могло бы пройти хорошо. Уберите любой из этих факторов – и авария, скорее всего, была бы предотвращена».
Вероятно, Ругиати продолжал бы в течение многих лет делать то, что он любил больше всего: плавать на танкерах по всему миру. Вместо этого он оказался таким же сломленным, как его судно, – его стыдили и обвиняли, карьера пошла под откос. «Для капитана его корабль – это все. А я свой потерял», – признался он. Для большинства людей, включая судовладельцев и страховщиков первоклассный капитан стал жалким неудачником.
Множество мелочей
Трагедия Torrey Canyon является классическим примером комплексной неудачи. Множество мелочей, складывающихся в неудачу, небольшую или крупную, – главная особенность этого типа. Как и во многих историях, «мелочи», регулярно происходящие в жизни, выстраиваются в неправильную последовательность, позволяя неудаче проскочить через «ограждения», которые должны были ее предотвратить.
Эта глава посвящена природе комплексных неудач и тому, почему их становится все больше почти во всех аспектах современной жизни. Разбираясь в этом вопросе, прежде всего нужно помнить, что к теме неудач стоит относиться трезво. Не все можно считать правильными ошибками! Некоторые из них разрушительны или даже трагичны. Другие – всего лишь источник огорчения. Применение науки о неудачах начинается с четкого определения типа неудачи, что позволяет лучше понять, извлечь уроки и, самое главное, предотвратить как можно больше разрушительных провалов.
Тем не менее, если комплексные неудачи неправильные, это не говорит, что они достойны порицания. Большинство из них, как вы увидите, этого не заслуживают. Комплексные неудачи могут быть достойными учителями, если мы готовы у них поучиться.
Поиск виновного
Хотя капитан Ругиати физически не пострадал в произошедшей катастрофе, но моральное напряжение и психологическое потрясение подорвали его здоровье. Он похудел на 9 кг, и у него развилась легочная инфекция, из-за которой он находился под строгим надзором, мог видеться только с женой, которая ежедневно его навещала. Но папарацци удалось найти его в Генуе, когда комиссия по расследованию пришла к выводу, что капитан несет полную ответственность за произошедшее. Его лицензию аннулировали, и он больше никогда не сможет выйти в море.
Впоследствии это решение признали поспешным. Один из членов экипажа показал, что навигационные измерения, которые он произвел и о которых сообщил в последние часы перед аварией, были неточными. Кроме того, кто-то по ошибке сместил боковой рычаг на рулевом колесе, из-за чего оно медленно реагировало на маневры Ругиати в эти последние решающие секунды. А еще на корабле не было навигационного руководства, которое могло помочь в расчетах. Возложить вину на одного человека – капитана – было гораздо проще, к тому же выгодно владельцам судна и страховщикам. По одной из оценок, такой вердикт сэкономил им почти 17 миллионов долларов.
Рефлекс обвинить кого-то, свалить вину на одного человека или одну причину практически универсален. К сожалению, это снижает психологическую безопасность, необходимую для того, чтобы успешно практиковать науку о неудачах. Генеральных директоров увольняют, когда компания не выполняет планы. Супруги обвиняют друг друга в том, что дети допоздна остались в саду. Дети обычно указывают пальцем на кого или на что угодно, лишь бы избежать вины.
Легко и удобно искать единственную причину или виновника, но для комплексных неудач этот рефлекс не только неточен, но и бесполезен. К тому же усложняет открытый и конструктивный разговор о том, что на самом деле произошло и как поступить в следующий раз. Позже я расскажу о подходах к снижению комплексности, но сейчас хочу подчеркнуть, что психологически безопасная среда, в которой люди знают, что их не будут винить за ошибки или разочаровывающие результаты, – это основа, которая позволяет организациям и семьям совершать меньше ошибок.
А как насчет ответственности? Руководители из таких разных отраслей, как медицина и финансы, задали мне этот вопрос. Люди должны сталкиваться с последствиями. Если не винить их за неудачи, то как мотивировать на предупреждение этих неудач? Это опасение основано на ложной дихотомии. В действительности психологическая безопасность, позволяющая не скрывать проблемы, может (а в условиях высокого риска должна) идти бок о бок с высокими стандартами производительности. Именно культура порицания не позволяет людям говорить о проблемах вовремя, чтобы их исправить, и, что очевидно, не способствует производительности. Вот почему столь ценно непорицаемое уведомление. Далее вы увидите, что быстрое сообщение об аномалиях и несоответствиях жизненно важно для высокой производительности.
Сложность комплексной неудачи
Хотя базовые неудачи и бывают иногда разрушительными, комплексные представляются настоящими монстрами, угрожающими нашей личной жизни, компаниям и всему обществу. В то время как базовые – вполне разрешимые проблемы с единственной причиной, комплексные слишком сложны и запутанны. Они широко распространены в таких условиях, как экстренная медицинская помощь или глобальная логистика, где взаимодействие множества факторов и людей непредсказуемо. Все более изменчивые погодные условия являются еще одной благодатной почвой для комплексных неудач.
Мои исследования комплексных неудач в здравоохранении, аэрокосмической промышленности и бизнесе принесли ряд совершенно разных примеров, которые тем не менее имеют общие характеристики. Прежде всего, у них есть несколько причин. Комплексные ошибки происходят хотя и в знакомых, но не в самых простых условиях, так как несколько факторов могут сойтись в неожиданной точке. Обычно комплексным неудачам предшествуют едва заметные предупреждающие сигналы. И зачастую они включают по крайней мере один внешний, казалось бы, неконтролируемый фактор.
В отличие от интеллектуальных, комплексные неудачи случаются на знакомой территории – там, где достаточно накопленных знаний и опыта. Хотя во время своего последнего рейса капитан Ругиати и столкнулся с новым маршрутом в условиях плохой видимости, базовые знания по навигации и управлению судном у него имелись. Общественное мероприятие, поездка на отдых или учебный день в школе – это примеры знакомых ситуаций, в которых каждый из нас может столкнуться с комплексной неудачей, а то и не одной. Большинство несчастных случаев, трагедий и катастроф, которые появляются в ежедневных новостях, – это так же комплексные неудачи, произошедшие во вполне знакомых условиях.
На съемках фильма «Ржавчина» в Нью-Мексико 21 октября 2021 года оператор Галина Хатчинс получила смертельное огнестрельное ранение. Каждый человек, находящийся на площадке, должен быть хорошо знаком с мерами предосторожности, которые необходимо соблюдать при съемке сцен с огнестрельным оружием. Тем не менее у актера и продюсера Алека Болдуина в руках оказался револьвер, заряженный боевыми патронами. Режиссер Джоэл Соуза, стоящий рядом с Хатчинс, получил ранение в плечо. Трагический комплексный провал.
В ходе расследования стало понятно, что меры безопасности по обращению с огнестрельным оружием на площадке строго не соблюдались. Ханна Гутьеррес-Рид, ответственная за безопасное использование оружия, рассказала следователям, что накануне, согласно инструкции, проверила и убедилась, что в наличии имеются только холостые патроны. Однако помощник режиссера Дэвид Холлс, который должен был непосредственно перед передачей Болдуину еще раз проверить, чем заряжен револьвер, этого не сделал, а это серьезное нарушение протокола. Более того, было неясно, откуда боевые патроны вообще там взялись. Хуже того, за неделю до этого на площадке был еще один «случайный выстрел», но никто не озаботился усилением мер безопасности.
Именно излишняя расслабленность делает комплексные неудачи столь губительными. В знакомых ситуациях вам кажется, что все под контролем и ничего особенного произойти не может. Например, это как ехать домой за рулем (знакомое действие), пригубив бокал на вечеринке: ваша бдительность может «крепко заснуть». Капитан Ругиати был уверен, что сумеет обойти рифы, ведь у него огромный опыт и накануне он все рассчитал. Вы наверняка сможете вспомнить подобные истории из собственной жизни. Если вы ловите себя на мысли «Да я с закрытыми глазами могу это сделать» – будьте осторожны! Чрезмерная уверенность – явный предвестник комплексного провала, так же как и базовой неудачи.
Комплексные неудачи не всегда разрушительны. У многих из нас был опыт, когда даже небольшой «идеальный шторм»[20] срывал наши планы. Вы отключили будильник и уснули еще на час. Уже опаздывая, заехали на заправку, так как бак был почти пуст. Выезжая с заправки, встали в пробку из-за аварии, и в итоге вы появились в клинике на полчаса позже назначенного времени приема. А врач уже уехал по срочному вызову, и прием пришлось перенести. Несмотря на то, что ничего страшного не произошло, вся эта ситуация есть не что иное, как комплексная неудача.
Комплексные неудачи складываются из нескольких причин, и ни одна из них не является решающей. Обычно сочетание внутренних факторов, таких как порядки и навыки, вступает в противоречие с внешними – например погодой или задержкой товара поставщиком. Иногда некоторые факторы пересекаются, обостряя друг друга, или просто усугубляют положение, как та соломинка из притчи, что сломала верблюду спину. В ходе судебных разбирательств из-за инцидента со стрельбой на съемках одно выяснилось точно: если бы какую-либо одну ошибку смогли заметить и исправить, то трагических последствий можно было избежать. Возможно, если бы камеру установили под другим углом, пуля не попала бы в оператора. Если бы Болдуин с меньшим усилием нажал на спуск, револьвер бы не выстрелил. Если бы боеприпасы вообще были запрещены на съемочных площадках, ничего бы не произошло. В этом случае, как и во многих других, система безопасности на съемках была никудышной. А исполнение ее и того хуже.
Разрушение жилого комплекса Champlain Towers South 24 июня 2021 года назвали «одной из самых смертоносных инженерных ошибок» в истории США. Это был трагический комплексный провал, унесший 98 жизней. Его причины начали собираться, как пазл, еще в 1890-е годы, когда амбициозные застройщики решили построить город в болотистой местности, известной как Майами-Бич. Позже там уничтожили мангровые леса, которые служили естественной стеной от сильных ветров и смягчали удары штормов. Все это сделало застройку местности уязвимой к природным условиям, при том что штормы становились все интенсивнее, а уровень моря выше.
Ко всему этому добавилось нежелание владельцев кондоминиумов вкладываться в техобслуживание. Поскольку местные правила требовали повторной сертификации таких сооружений через 40 лет (а комплексу Champlain Towers South было уже 39 лет), инженер, инспектировавший башни полтора года назад, отметил, что из-за конструкции бассейна вода собиралась у основания здания. Он также заметил небольшие трещины и эрозию, которые, казалось, не создавали непосредственного риска. Устранение всех проблем потребовало бы от владельцев вложения 9 миллионов долларов, которых у них не было. Это привело к задержке начала работ, горячим спорам среди арендаторов и отставке некоторых членов правления.
Хотя это и кажется заманчивым, попытки найти единственного виновника в этой трагедии не дадут результата.
В случае комплексных неудач в дело вступает внешний или неконтролируемый фактор. Можно считать это невезением. Катастрофа с танкером Torrey Canyon была вызвана трагическим сочетанием непредсказуемых внешних (неожиданно появившиеся рыбацкие лодки) и неконтролируемых (океанские течения) факторов. В пистолете на съемочной площадке оказался боевой патрон. Повышение уровня моря в районе Майами усугубило разрушение конструкций ЖК Champlain Towers South.
Иногда грань между базовой и комплексной неудачей стирается. Та, что сначала кажется базовой, при дальнейшем рассмотрении оказывается комплексной. Возьмем, к примеру, маленькую, но роковую ошибку, допущенную морским офицером Брайаном Багге, который любил нырять с аквалангом. Хотя его нельзя было назвать невнимательным, во время погружения на курсе продвинутой подготовки он забыл подать кислород в своем ребризере (дыхательном аппарате). Через несколько минут у него началась кислородная недостаточность, и он утонул, хотя его инструктор и одногруппники были в нескольких метрах от него.
Невключенный кислород больше похож на базовую неудачу, но если посмотреть на картину в целом, то станут очевидными множество причин, которые делают этот случай неудачей комплексной. Например, инструктор мог запутаться в программе, если расписание менялось часто и в последнюю минуту. И почему одногруппники не проверили снаряжение друг друга? Почему Брайан не проверил его сам, прежде чем нырнуть? Возможно, из-за самоуверенности. Брайан был опытным дайвером, и погружение проходило на знакомой территории – группа уже ныряла в этом месте. Есть еще один внешний фактор: группа состояла из военных офицеров, привыкших соблюдать субординацию и не ставить под сомнение авторитет инструктора. Наконец, по словам вдовы Брайана, Эшли, накануне вечером муж испытывал какие-то сомнения, ему не хотелось погружаться. Он даже предлагал провести день дома с их маленькими детьми. Эшли сама была заядлой ныряльщицей и поэтому уговорила его. «Я сказала, что ему лучше поехать, ведь он не хочет бросать занятия», – вспоминала Эшли.
Вероятно, с тех пор она часто думала о том, как бы все сложилось, если бы она не уговаривала Брайана идти на погружение и он остался дома. Но Эшли говорит, что не думает о том, что или кто стал причиной: «Для меня это не игра в поиски виноватых». Это очень важный момент. Назначив виновным один фактор, мы снимаем с себя ответственность и тем самым отказываемся разбираться, как предотвратить подобные комплексные неудачи. Это особенно верно в случаях, когда цель состоит в обеспечении безопасной работы в изначально сложных условиях, что мы и рассмотрим далее в этой главе.
Комплексным неудачам обычно предшествуют небольшие предупреждающие знаки, которые мы часто упускаем, игнорируем или преуменьшаем. На съемочной площадке «Ржавчины» за неделю до трагедии один из револьверов случайно выстрелил. И хотя тогда обошлось без пострадавших, на этот инцидент предпочли закрыть глаза, проигнорировав слова ответственных за оружие о том, что не мешало бы усилить меры безопасности. Вместо этого члены группы беспокоились о том, что выбились из графика и не успевают закончить фильм. Условия работы команды тоже оставляли желать лучшего: им обещали снять гостиницу рядом с площадкой, но вместо этого они вынуждены были тратить час на дорогу утром и час вечером после 12–13-часового съемочного дня. Да и зарплату не всегда перечисляли вовремя. Разочарованные таким отношением, пять членов съемочной группы заявили о своем намерении уволиться.
Несомненно, после того как в вашей жизни случались неудачи, вы пытались понять, как их можно было предотвратить. Если бы вы не махнули рукой на странный звук в двигателе, перед тем как отправиться на машине в долгую поездку, где по пути мало автомастерских, вы бы не стояли сейчас на обочине дороги. Если бы после заваленного экзамена вы поговорили с преподавателем о том, на что обратить внимание при подготовке к пересдаче, и у вас на тот момент не произошла бы чрезвычайная ситуация в семье, которая заняла все ваше время и внимание, вы бы лучше подготовились к экзамену и успешно сдали бы его. В этой главе мы рассмотрим, почему понимание того, что мы часто не замечаем предупреждающие о неудаче знаки, имеет решающее значение для ее предотвращения.
Тщательный анализ комплексной неудачи обычно выявляет пропущенные сигналы, а также дает нам более глубокое понимание того, кто и что послужило ее возникновению. Инженер, инспектирующий жилой комплекс в Майами, обнаружил небольшие трещины в бетоне и легкую эрозию арматуры – ни один из этих признаков не указывал на потенциальную опасность явно. Слишком часто анализ неудач носит поверхностный характер, и меры, принимаемые для исправления ситуации, в конечном итоге усугубляют ее.
Усугубление ситуации
Дни и недели, последовавшие за крушением Torrey Canyon, превратили трагическую неудачу во что-то гораздо худшее и даже более сложное. Океанограф Стивен Дж. Хокинс, который изучал влияние разлива нефти на природу, сказал, что «лекарство было хуже болезни». Рассмотрение цепочки событий, а также размышлений, которые легли в основу неудачных попыток остановить происходящую трагедию, имеет большое значение. То, как при комплексных провалах хаотичные попытки как-то исправить ситуацию лишь усугубляют ее, типично для многих катастроф. Понимание архитектуры комплексных неудач – это часть поиска ключей к их предотвращению.
Сначала владельцы Torrey Canyon думали, что его можно спасти. Они отправили буксиры и спасателей на место крушения, чтобы те выгрузили нефть и сняли танкер с мели. Но судно застряло в скалах слишком глубоко, чтобы его можно было вытащить. Огромный корпус продолжал разрушаться, а нефть вытекала, угрожая воспламенением, что заставило команду, до этого остававшуюся на борту, сойти на берег. Затем нефтяная компания British Petroleum сбросила в воду 700 тысяч галлонов промышленного поверхностно-активного вещества под названием BP1002. Никто не знал, насколько оно опасно для жизни в океане. Пляжи в Западном Корнуолле были покрыты тем, что репортер описал как «толстый ковер черной слизи», в результате чего погибло около 15 тысяч морских птиц.
Британское правительство и Королевский флот не знали, как справиться с катастрофой, и поначалу отказывались признать ее серьезность, что лишь усугубляло хаос. Судно находилось в международных водах, в связи с чем было неясно, кто именно несет ответственность по закону. Через десять дней после происшествия Королевский флот предпринял попытку потопить танкер, сбросив на него 41 тысячефунтовую бомбу, из которых только 23 попали в цель. Также был сброшен напалм, образовавший огромные облака черного дыма, которые можно было увидеть за сотню километров. Наконец, 30 марта, почти две недели спустя, танкер начал тонуть.
Крупномасштабные катастрофы, наподобие той, что произошла с Torrey Canyon, часто сочетают в себе несколько типов неудач. Никто не знал, как контролировать утечку нефти из разбитого танкера. Никто не знал, как справиться с тоннами сырой нефти, разлившейся на сотни километров вдоль береговой линии. Одно пошло не так, затем другое. «Множество мелочей сложились в одну большую катастрофу». Комплексные неудачи, в отличие от базовых, слишком сложны и не имеют готовых типовых решений. К сожалению, эти «идеальные штормы» не остаются в прошлом. И иногда их последствия проявляются в течение десятилетий.
Отложенное проявление последствий
29 октября 2018 года, через 13 минут после взлета из Джакарты, самолет авиакомпании Lion Air упал в Яванское море. Расследование обнаружило проблему с одним из двух датчиков на Boeing 737 MAX, который по ошибке запустил автоматическую систему, резко и существенно опустившую нос самолета. Столкнувшись с землей на скорости более 800 километров в час, самолет разбился. Никто на борту не выжил. Вернувшись с места катастрофы в США, специалисты Федерального управления гражданской авиацией сообщили компании Boeing о небезопасности их автоматической системы и дали семь месяцев на ее тестирование и пересмотр, а также просили информировать пилотов о том, как справиться с неисправностью, если она повторится.
Проблема решилась? К сожалению, нет.
Всего пять месяцев спустя, в марте 2019 года, еще один такой же самолет разбился по той же причине. Рейс 302 Ethiopian Airlines вылетел из Аддис-Абебы и через несколько минут на огромной скорости врезался в землю. На этот раз Федеральное управление приостановило эксплуатацию всего парка Boeing 737 MAX и в ходе расследований выявило многочисленные причины этих аварий.
Конечно, конструкционные особенности и программное обеспечение самолета имели важное значение, но если посмотреть глубже, то культура компании Boeing, равно как и всей авиаотрасли, сыграла решающую роль в этих катастрофах, став хрестоматийным случаем комплексного провала.
Иногда, чтобы найти причины, нужно вернуться на десятилетия назад. В 1997 году Boeing приобрел своего главного американского конкурента McDonnell Douglas за 13,3 миллиарда долларов. Вскоре изменения в руководстве привели и к смене исторического акцента с проектирования на финансы. До слияния руководители высшего звена в Boeing, как правило, были инженерами, говорившими с сотрудниками на одном языке. Это позволяло инженерам свободно заявлять о проблемах со скоростью, конструкцией, эффективностью потребления топлива и особенно безопасностью. Инженеры и руководители могли в неформальной обстановке обсуждать новые идеи или предложения. После приобретения руководителями стали назначать только людей с финансовым образованием, безнадежно далеких от инженерной мысли. В 2001 году штаб-квартира корпорации переехала из Сиэтла в Чикаго, и высшее руководство оказалось еще дальше не только от инженерной мысли, но и от самих инженеров, конструирующих самолеты.
Перенесемся в 2010 год. Именно в этом году Airbus, крупнейший европейский конкурент Boeing, представил свой новый реактивный самолет A320, обещая более экономичный самолет из-за улучшенной системы расхода топлива. Высшее руководство Boeing было ошеломлено – Airbus разработал новый самолет в полной секретности – и справедливо опасалось, что их компания может потерять постоянных клиентов.
Все эти события подготовили почву для будущей катастрофы. С одной стороны: культура, которая лишает власти инженеров и расширяет полномочия крохоборов. С другой – конкурентная угроза, которая может привести к негативным финансовым последствиям для акционеров и, следовательно, к подрыву репутации. С этого места сценарий до безумия предсказуем.
В ответ на неожиданную угрозу Airbus руководство Boeing решило вместо дорогостоящих и длительных исследований, необходимых для разработки совершенно новой модели, остановиться на обновлении уже существующих 737-х самолетов. Неожиданно скорость выхода на рынок стала важнее всего. Руководство заявило, что новый Boeing 737 MAX будет на 8 % более экономичным, чем новый Airbus. Теоретически идея руководителей адаптировать существующую конструкцию на знакомой территории, а не придумывать новую, что неизбежно повлекло бы интеллектуальные неудачи, была разумным использованием ресурсов. На деле же инженерная задача модификации 737 была очень сложной и объемной. Чтобы разместить новые, более экономичные двигатели, нужно было сместить их «дальше и выше по крылу», что повлияло на управляемость самолета при наборе высоты под крутым углом. Для компенсации новых аэродинамических характеристик инженеры создали автоматизированную систему предотвращения сваливания, получившую название MCAS.
Вот тут конфликт между руководством Boeing и инженерами стал значимым. Правила Федерального управления требовали, чтобы пилоты проходили тренировку на симуляторах, если конструкция самолета значительно отличалась от предыдущих моделей. Тренировка – дело дорогостоящее, что стало очередной проблемой для компании. И чтобы обойти правила, менеджеры Boeing придумали умную, хотя и неэтичную стратегию, приуменьшив конструктивные различия Boeing 737 MAX и обесценив сложность системы MCAS. Они даже не упомянули о ней в руководстве для пилотов, а главный технический пилот заявил, что в тренировках нет необходимости. Только после второй аварии электронные письма инженеров, которые выражали опасения по поводу безопасности, стали достоянием общественности. Один из сотрудников написал: «Вы бы позволили своей семье сесть в такой самолет? Я – нет». Другой инженер утверждал, что менеджеры отклонили его предложение по усовершенствованию конструкции из-за «дороговизны и маловероятного эффекта от обучения пилотов». В классическом описании того, что значит работать в организации с низкой психологической безопасностью, инженер писал: «Существует подавляющее отношение к критике корпоративной политики, особенно если эта критика является следствием несчастных случаев со смертельным исходом».
Как это часто бывает в крупных организациях, «деспотичное отношение к критике» не ограничивалось теми, кто непосредственно причастен к неисправности 737 самолетов. Расследование после двух аварий со смертельным исходом показало, что на рабочих на заводе Boeing 787 Dreamliner в Южной Каролине давили, чтобы они придерживались слишком амбициозного графика производства. Они боялись, что потеряют работу, если будут затрагивать проблемы качества. Хоть они и не работали на объекте, где были изготовлены злополучные Boeing 737, их опыт показал, что публичные высказывания вызовут скорее месть, чем признательность. В декабре 2019 года, чуть более чем через год после первой аварии Lion Air, Boeing уволил своего генерального директора и остановил производство Boeing 737 MAX. Акции упали, и стоимость компании тоже. Хуже того, три года спустя Министерство юстиции США обвинило Boeing в преступном мошенничестве, которое стоило компании более 2,5 миллиардов долларов в виде штрафов и компенсаций пострадавшим.
Конечно, вы можете читать о катастрофах Torrey Canyon и Boeing 737 MAX и негодовать. Но имейте в виду: сейчас мы можем видеть то, что не было очевидно раньше. Каждый из нас должен принять факт, что неопределенность и взаимозависимость почти во всех аспектах нашей современной жизни ведут к росту числа комплексных неудач. Научные исследования могут помочь нам понять причину, а также улучшить ситуацию. Как только вы поймете, какие факторы риска влияют на вашу организацию и вашу жизнь, это расширит ваши возможности, хотя поначалу это может показаться пугающим. Если вы будете внимательно относиться ко всему, что видите вокруг, и использовать это для профилактики и предотвращения комплексных неудач, то у вас получится хорошо ориентироваться в неопределенном будущем.
Комплексная неудача на подъеме
Наиболее очевидной причиной современных комплексных неудач являются все более усложняющиеся информационные технологии (ИТ), которые сегодня лежат в основе каждого аспекта жизни и работы. Заводы, цепочки поставок и операции во многих отраслях зависят от сложного компьютерного управления, где небольшой сбой в одной части системы может обрушить ее полностью. Возможно, вы помните, как одна из компаний по кредитованию Equifax сообщила, что личные и финансовые данные 150 миллионов американцев были украдены с платформы компании. По показаниям генерального директора Ричарда Смита в Конгрессе в октябре 2017 года, «нарушение произошло из-за человеческой ошибки и технологических сбоев». Хакеры получили доступ к трем серверам, что позволило им добраться до 48 оставшихся. Комплексная неудача обострилась, потому что взлом оставался незамеченным 76 дней, за которые хакеры успели извлечь все персональные данные, а также информацию об инфраструктуре системы Equifax.
Возможно, вы тоже теряли ценную информацию, потому что пренебрегли резервным копированием данных. Надеюсь, что последствия не были для вас такими же ужасными, как те, что испытал системный инженер Джеймс Хоуэллс. В 2013 году он случайно выбросил жесткий диск своего старого компьютера (который, к слову, залил газировкой). Он слишком поздно понял, что там остался 64-символьный ключ, который бы мог разблокировать его скромные инвестиции в биткоины. Неустанные попытки получить разрешение на поиск своей потери на муниципальной свалке ни к чему не привели. И восемь лет спустя он не смог забрать полмиллиарда долларов, которые на тот момент стоили его биткоины.
Социальные сети изменили бизнес, политику и дружеские отношения, сделав слово «вирусный» обыденным. Глобальная финансовая система связывает каждый банк и бесчисленные домохозяйства в каждой стране, делая нас уязвимыми перед человеческими ошибками, происходящими на другом конце света. Как объяснила моя подруга, профессор Колумбийского университета Рита Макграт, много лет назад большинство наших институтов были отделены друг от друга и тем самым ограждены от последствий ошибок за их пределами. Такого больше нет. По мере снижения стоимости вычислительных мощностей оцифровка массивных объемов информации продолжает стремительно расти. Развитие интеллектуальных систем, которые постоянно взаимодействуют друг с другом, привело к бесконечному количеству вариаций потенциальных проблем. Эта взаимозависимость – самая благодатная почва для комплексных неудач. А из-за возрастающей сложности этих систем все труднее предвидеть, что произойдет дальше.
Коронавирус, возникший в Китае и быстро распространившийся по всему миру, – отличный пример того, как глобальная взаимосвязь делает комплексные неудачи более вероятными. В начале 2020 года, когда по всему миру резко возрос спрос на защитные маски, заводы в Китае увеличили их производство. Они отправляли маски в другие страны морем. В результате пустые грузовые контейнеры накапливались в этих странах как раз тогда, когда Китай нуждался в них больше всего, чтобы экспортировать больше масок. А попытка остановить вирус через выявление и изоляцию всех контактировавших с инфицированным человеком – это триумф комплексной неудачи, ведь каждый заболевший потенциально является одной из множества причин распространения пандемии.
Мои друзья Крис Клирфилд и Андрас Тильчик написали книгу Meltdown. Она рассказывает о комплексных неудачах и о том, почему они нарастают. Местами ужасающая книга объясняет «общую ДНК ядерных катастроф, конфликтов в Twitter, разливов нефти, провалов на Уолл-стрит и даже правонарушений». Как и я, Крис и Андрас попали под влияние социолога Чарльза Перроу, который определил факторы риска, делающие определенные виды систем уязвимыми к разрушениям.
Как системы порождают комплексные неудачи
Мышление, которое помогло мне выделить категории неудач, появилось благодаря новаторской книге Чарльза Перроу Normal Accidents, впервые опубликованной в 1984 году. Его работа до сих пор продолжает влиять на мнение экспертов о безопасности и риске. Перроу показал, что это не отдельные люди, а сами системы провоцируют значительные сбои. Понимание того, как это происходит и какие виды систем больше подвержены сбоям, помогает исключить из уравнения вину. А также подходить к уменьшению числа неудач через изменение неисправной системы, а не замену человека, который в ней работает.
Мои исследования были посвящены вопросу о том, почему медицинские ошибки продолжают случаться даже в передовых клиниках, несмотря на то, что экспертное и общественное внимание к этой проблеме резко возросло. Почему профессиональные и опытные медики, исповедующие принцип «не навреди», продолжают совершать смертоносные ошибки? Как оказалось, бо́льшая часть причин кроется в природе комплексного провала.
Я обратилась к работе Перроу, чтобы выяснить причину повторяемости медицинских ошибок. Перроу описал инцидент как ожидаемое (то есть нормальное) следствие работы системы с комплексным взаимодействием и тесной связью. Комплексное взаимодействие подразумевает, что многие составляющие системы взаимодействуют таким образом, что просчитать последствия этого довольно сложно. Например, незначительное изменение курса вывело капитана Ругиати на путь, где внезапное появление рыбацких лодок потребовало резкого разворота, что и привело к фатальному исходу. Тесная связь означает, что событие в одной части системы приводит к реакции в другой ее части, и эту цепь прервать невозможно. Когда вы вставляете карту в банкомат, то механическая часть машины, ее программное обеспечение и банковское приложение работают вместе, чтобы совершить вашу транзакцию. Если один компонент отказывает, то и вся система дает сбой. Тесно связанные системы по-другому работать не в состоянии.
Перроу, называя инцидент «нормальным», подразумевает, что некоторые системы функционируют как потенциально способные дать сбой. Само устройство делает их опасными. Выход таких систем из строя – лишь вопрос времени. Напротив, система с линейным взаимодействием и слабой связью – скажем, начальная школа – не будет склонна к инцидентам. Если система имеет комплексное взаимодействие и слабую связь (скажем, университет со множеством факультетов, работающих относительно независимо), сбой, случившийся в одной части, не запускает обрушение всей системы.
Как отметили ученики Перроу, Клирфилд и Тильчик, в книге Meltdown, с течением времени все больше и больше систем перемещались в опасную зону: «Когда вышла Normal Accidents, потенциально опасными системами считались только ядерные объекты, химические заводы и космодромы. С тех пор все виды систем – от университетов и компаний на Уолл-стрит до плотин и нефтяных буровых установок – стали более сложными и тесно связанными».
В книге Перроу писал о последствиях крупной аварии на АЭС «Три-Майл-Айленд» в Пенсильвании в 1979 году, вызвавшей, кроме техногенной катастрофы, широчайший общественный резонанс. Будучи социологом, а не инженером-ядерщиком, Перроу упустил некоторые технические нюансы, назвав атомные электростанции тесно связанными системами с комплексным взаимодействием, а значит, потенциально опасными. Эту его оценку позже оспорили эксперты, но его концепция помогла всем исследователям, занимающимся вопросами безопасности и причин инцидентов, по новому взглянуть на изучаемые контексты.
Рисунок 4.1. Пересмотренная модель Перроу для реагирования на неудачи
На Рисунке 4.1 представлена классическая модель Перроу с новыми обозначениями, которые я дала для каждого квадранта. Верхний правый отражает основную идею Перроу о том, что комплексное взаимодействие и тесная связь, как, например, на атомных электростанциях, создают опасную зону. Перроу приводил пример железных дорог для иллюстрации сочетания тесной связи и линейного взаимодействия, которое я называю зоной контроля.
Типичные промышленные предприятия имеют слабую связь и линейное взаимодействие. Поскольку классическое управление в таких условиях работает очень хорошо, я назвала это зоной управления. Наконец, сочетание комплексного взаимодействия со слабыми связями, как в университетах, с их постоянными согласованиями по организации и функционированию, я именовала зоной согласований.
В своем исследовании медицинских ошибок я задавалась вопросом, имела ли система ухода за пациентами в больницах комплексное взаимодействие и тесную связь. Если ответ в обоих случаях утвердительный, то, согласно системе Перроу, неудачи в лечении пациентов в больницах были просто неизбежными и необратимыми.
Еще в 1996 году мои ответы на эти вопросы были: «да» и «нет». Сегодня они остаются неизменными. Лечение пациента предполагает комплексное взаимодействие. Например, врач выписывает рецепт на лекарство, его изготавливает фармацевт, а несколько медсестер отвечают за его прием пациентом. Однако я определила, что звенья в этой цепи слабо связаны. Сбой в одной части системы может быть выявлен и исправлен в любое время, поэтому больницы не попадают в зону опасности по Перроу. Это означает, что должна быть возможность достичь нулевого вреда. Тем не менее системные сбои продолжали происходить, и я решила внимательнее изучить эту систему. Я выяснила, что слабая связь не исключает разрушения систем. Она лишь означает, что можно подмечать и исправлять ошибки, прежде чем произойдет комплексная неудача. Возьмем настоящий пример из моих исследований в больницах. Десятилетнему мальчику, которого я назову Мэтью, по ошибке дали повышенную дозу морфия. Мэтью стал жертвой комплексной неудачи, созданной группой отдельных безобидных факторов.
В своем анализе я определила семь факторов, которые способствовали случившемуся. Переполненность отделения интенсивной терапии (первый фактор) привела к тому, что после операции Мэтью перевели в отделение с менее квалифицированным персоналом. Неопытная дежурная медсестра (второй фактор) должна была настроить электронный инфузионный насос, расположенный в темном углу комнаты (третий фактор), на подачу назначенной дозировки морфина для обезболивания. Так как эта медсестра была незнакома с аппаратом (четвертый фактор), то попросила опытную коллегу о помощи. Та спешила по рабочим делам (пятый фактор), но остановилась, чтобы помочь. Для запуска аппарата необходимо было ввести два значения: концентрация морфина и скорость инфузии. Этикетка, напечатанная в аптеке, была обернута вокруг контейнера с препаратом таким образом, что надпись о концентрации читалась не полностью (шестой фактор). Опытная медсестра использовала информацию, которую смогла разглядеть, чтобы запрограммировать аппарат на подачу правильной, по ее мнению, концентрации. Первая медсестра просто смотрела через плечо второй, не проверяя данные о дозировке (седьмой фактор). Каждый из этих факторов представляет уникальную возможность для предупреждения случившегося.
В течение нескольких минут лицо Мэтью стало синим, и он почти перестал дышать. Медсестра выключила аппарат, вызвала врача и начала вентилировать легкие ребенка с помощью дыхательного мешка. Доктор прибыл в течение нескольких минут, подтвердил, что это передозировка морфием, и ввел антидот. Через некоторое время дыхание Мэтью вернулось в норму.
Устранение любого из семи факторов могло бы предотвратить эту не смертельную, но все же значимую медицинскую ошибку. «Идеальный шторм» возник, несмотря на благие намерения и усердную работу всех участников. Специалисты по медицинским ошибкам сегодня используют так называемую модель швейцарского сыра для объяснения такого рода системных сбоев.
Джеймс Ризон из Манчестерского университета, психолог, изучающий риски и ошибки в человеческой деятельности, в 1990 году представил модель, описывающую работу защитных механизмов, которые предотвращают сбои в сложных системах, например, таких как больницы. «Дырки в швейцарском сыре» – метафора, описывающая мелкие технологические дефекты или ошибки. К счастью, отверстия в сыре не совпадают и не проходят насквозь, поэтому сыр остается цельным. Но иногда «дыры выстраиваются в линию», создавая тоннель. То есть ряд ошибок, происходящих одна за другой, усугубляют ситуацию и заканчиваются неудачей. Если бы в качестве последнего, восьмого фактора медсестра вышла из палаты и не обратила внимания на изменившееся состояние Мэтью, «совпавшие дыры» привели бы к тому, что ничего исправить было бы уже нельзя.
Метафора сыра с дырками помогает нам оценить роль случая и наличие постоянной возможности выявить и исправить небольшие дефекты, пока они не накопятся и не вызовут катастрофу. Это позволяет осознать, что комплексные неудачи – обычное явление, но их можно предотвратить множественными защитными слоями системы.
Сложность и распространенность комплексных неудач – от малых до катастрофических – заставляют нас думать, что предотвратить их сложно или невозможно. Но растущий объем знаний о них дает надежду. И теория, введенная в 1989 году, является прямым опровержением идеи Перроу о том, что некоторые системы не могут функционировать безопасно.
Как уменьшить количество комплексных неудач
Проблема с идеей Перроу о том, что организации с комплексным взаимодействием и тесной связью не могут безопасно функционировать, заключалась в том, что многие подобные предприятия работали без сбоев на протяжении долгих лет, даже десятилетий. Атомные электростанции, системы управления воздушным движением, ядерные авианосцы и множество других, кажущихся изначально рискованными. Небольшая группа исследователей во главе с Карлин Робертс из Калифорнийского университета в Беркли начала изучать, как им это удавалось. То, что они открыли, было больше поведенческим, чем техническим.
Термин организация высокого уровня надежности, или HRO (high reliability organization) описывает суть теории. В таких организациях создана культура, где каждый чувствует ответственность друг перед другом за постоянное выявление и исправление отклонений для избежания серьезного ущерба. Бдительность – вот подходящее слово. Но дело не только в этом.
Для меня самым интересным при изучении HRO стало открытие, что вместо преуменьшения значения неудач сотрудники таких организаций одержимы их выявлением. Мои коллеги Карл Вейк, Кэти Сатклифф и Дэвид Обстфельд в своей статье описали HRO как неохотно идущие на упрощение, крайне чувствительные к текущим, даже незначительным изменениям, стремящиеся к устойчивости, а также ценящие опыт выше положения. Сотрудник, несущий непосредственную ответственность, не будет исполнять указаний руководителя, если они способны вызвать кризис. И открыто скажет все, что об этом думает.
После изучения сложных систем, человеческих ошибок и особенностей HRO я могу с уверенностью сказать, что комплексная неудача – это достойный враг. Мы не должны недооценивать стоящие перед нами задачи, но и не должны уклоняться от их решения. И модель швейцарского сыра, и культура HRO показывают, что уменьшить количество комплексных неудач в нашей жизни возможно, если следовать набору простых (но не легких!) практик, описанных далее.
Расследования комплексных неудач, которые вызвали катастрофы, обычно приводят к тому, что приходится вносить изменения в технологии, инструкции и подготовку специалистов. После случая с Torrey Canyon международные организации установили новые требования к безопасности нефтяных танкеров как на этапе проектирования, так и в эксплуатации. За то, к чему раньше судовладельцы относились небрежно, сейчас они несут строгую ответственность. В Законе об устранении нефтяных загрязнений, принятом в США в 1990 году, предусмотрены процедуры реагирования на разливы нефти, правила перевозки и хранения нефти и требования к действиям в случае чрезвычайных ситуаций. А также сегодня мы знаем гораздо больше о том, какие нефтяные пятна нужно очищать, причем максимально безопасными для природы средствами и способами, а какие лучше будет оставить в покое.
Разлив нефти с Torrey Canyon в 1970-х годах вызвал общественный резонанс, который привел к зарождению экологического движения. Добровольцы приезжали на побережье, чтобы очистить и спасти птиц, покрытых нефтью. Репортеры и океанологи рассказывали о том, что страдают не только птицы, но и многие другие морские обитатели от южного побережья Великобритании до берегов Нормандии. Пятьдесят лет спустя Мартин Аттрилл, директор Морского института Плимутского университета, объяснил, как до этой катастрофы люди относились к природным ресурсам: «Когда Torrey Canyon разбился, мы все еще считали море главным местом для слива наших отходов, искренне думая, что природа как-нибудь сама справится. И главной своей задачей считали спасение танкера».
Похожим образом и другие катастрофы заставили обратить внимание на проблемы, которыми они были вызваны. Гибель Галины Хатчинс оживила дискуссию в киноиндустрии об ужесточении правил и надзора за обращением с огнестрельным оружием на площадке. Люди в сообществе дайвинга строго соблюдают правила безопасности, чтобы предотвратить случаи гибели под водой, как это случилось с Брайаном Багге.
Вызванные катастрофами изменения в сознании людей, конечно, важны, но рост частоты и серьезности комплексных неудач означает, что мы не можем позволить себе ждать, пока «грянет гром», чтобы начать относиться к чему бы то ни было серьезнее. Борьба за сокращение комплексных неудач начинается с повышенного внимания к тому, что я называю неявными угрозами. В то время как явные угрозы (ураган 5 категории) моментально заставляют нас принимать меры (эвакуироваться), неявные мы склонны спускать на тормозах, из-за чего упускаем шансы предотвратить их вред. Это противоположно тому, что должно происходить в организациях с высокой степенью надежности. Я наблюдала такое отношение в самых разных условиях – от программ космических шаттлов NASA до Уолл-стрит и разработки фарм-препаратов. Что связывает все эти организации, кроме их сложности? Высокие ставки и стремление преуспеть. Они настолько ослепляют людей, что те в упор перестают видеть предупреждающие сигналы.
1 февраля 2003 года Columbia, самый старый из пяти космических шаттлов программы NASA’s Space Shuttle, разрушился в плотных слоях атмосферы при сходе с орбиты. Все семь астронавтов погибли. Расследование установило, что во время старта было повреждено термозащитное покрытие на передней кромке крыла, что и привело к крушению шаттла. Возможно, вы помните, где находились, когда услышали эту новость. Или сообщение о провале запуска Challenger семнадцатью годами ранее. Я отчетливо помню эти моменты, отчасти из-за нарастающего ужаса от того, что именно такие катастрофы можно было бы предотвратить.
Наверняка вы по своему опыту знаете, что неудачи возникают неожиданно. Как правило, никто не предвидел их появления. А многие даже сомневались в их возможности. Гибель Columbia не была одной из них.
17 января 2003 года, на следующий день после, казалось бы, успешного запуска и за пятнадцать дней до аварии, Родни Роша, инженер NASA, изучал видео старта. Что-то было не так. Увидев на кадрах зернистые пятнышки, Роша заподозрил, что кусок изолирующей пены мог оторваться от внешнего топливного бака шаттла и удариться о его левое крыло. Короче говоря, он обнаружил неявную угрозу. Сигнал раннего предупреждения. Чтобы подтвердить или опровергнуть свои подозрения, он хотел запросить у Министерства обороны снимки крыла шаттла с разведывательных спутников. Но руководство NASA не пропустило его запрос, утверждая, что небольшие частицы пены неопасны. Если бы эти изображения были получены, то катастрофы можно было избежать.
Неявная угроза является именно такой: неявной. Она может стать реальной угрозой провала или вообще ни к чему не привести. Не смотря на наличие предвестников, ваш автомобиль будет работать без сбоев, ваш подросток будет вести себя ответственно, а падение фондового рынка будет незначительным.
Оглядываясь назад, становится понятно, что эрозия, замеченная инспектором в ЖК Champlain Towers South, была явной угрозой надвигающегося коллапса. Но тогда она таковой не казалась. Неявные угрозы остаются незамеченными, так что люди склонны преуменьшать и игнорировать их. Это естественно, ведь приятнее думать, что все в порядке, и действовать по принципу «поживем—увидим». Возможно, вы слышали о склонности к подтверждению – когнитивном искажении, заставляющем человека воспринимать лишь то, что подтверждает его ожидания. Тем самым мы укрепляемся в своих убеждениях или предположениях, не замечая противоречивых данных.
Повышение понимания и осознанности, как вы узнаете из следующей главы, является одним из способов научиться считывать неявные угрозы и воспринимать разные точки зрения. Но гораздо проще затаиться в надежде, что обойдется, вместо того чтобы внимательно относиться к малейшим намекам на угрозу. Финансовая индустрия коллективно закрывала глаза на риски, связанные с ипотечными ценными бумагами. Они обеспечивались сомнительными кредитами, выдаваемыми людям, не имеющим ни активов, ни дохода для погашения. Когда жилищный пузырь лопнул, то вызвал еще один «идеальный шторм», тогда огромная сеть финансовых активов, связанных с ипотеками, упала в цене. Руководители компании Boeing преуменьшали риск сбоев нового программного обеспечения, чтобы избежать дорогостоящего обучения пилотов. В своих исследованиях я обнаружила, что преуменьшать ранние сигналы о возможных проблемах для человека естественно, но это не значит, что нам все равно. Просто мы надеемся, опираясь на интуицию и свой предыдущий опыт, что в итоге все обойдется.
Преимущество изучения комплексных неудач в государственном секторе – доступность информации. После того как 26 августа 2003 г. Правительственная комиссия по расследованию аварии шаттла Columbia выпустила длинный и подробный отчет, мы с моим коллегой Майком Роберто начали анализировать крушение шаттла с организационной точки зрения. Вскоре к нам подключился еще один коллега, врач Ричарда Бомера, и вместе мы потратили много месяцев на изучение стенограмм и переписки, касающихся катастрофы. В результате мы определили (и назвали) феномен неявных угроз в качестве важного фактора для понимания того, что произошло. Неявная угроза возникает, когда по крайней мере один человек обнаруживает потенциальный риск – тот, который ни в коем случае нельзя назвать явным. Двигатель вашего автомобиля издает странный звук, что может означать скорую поломку. А может ничего не означать. Ваш подросток посещает вечеринки с алкоголем. Родни Роша увидел зернистые пятна на видео.
Многолетний успех программы Space Shuttle – более 110 успешных миссий за 17 лет – предшествовавший запуску Columbia, способствовал тому, что руководство NASA преуменьшило значимость неявной угрозы. Инженеры не располагали достаточными данными, но предполагали, что был и гораздо больший кусок пены, который мог повредить крыло. Но, по мнению высшего руководства, возможное повреждение теплозащитного слоя не было значительным. Сила их убежденности в правильности своего мнения фактически блокировала дальнейшие исследования.
Человеческое восприятие, как и организационные системы, подавляют ранние сигналы опасности, повышая вероятность комплексных неудач. Руководители NASA отвергли опасения инженеров, утверждая, что произошедшее не более чем неприятность. Шаттлы возвращались на Землю в течение многих лет, несмотря на различные проблемы с теплоизоляцией. Те же особенности восприятия объясняют, почему так много руководителей не смогли понять, что новый коронавирус способен перерасти в пандемию и вызвать миллионы ненужных смертей. Если бы они признали угрозу, то превентивные меры имели бы больший эффект.
Учитывая, что с реакцией на неявные угрозы у всех нас явные проблемы, что мы можем сделать для предотвращения комплексных неудач в нашей жизни? Чтобы ответить на этот вопрос, давайте посмотрим на некоторые необычные организации, у которых это хорошо получается.
Чтобы противостоять нашей склонности преуменьшать неявные угрозы, подумайте об «окне возможностей», в котором еще можно приостановить надвигающуюся комплексную неудачу. Окно открывается, когда кто-то замечает сигнал, пусть даже слабый, указывающий на то, что неудача возможна. Как только она случается – окно закрывается. Окна возможностей могут быть открыты от нескольких секунд до нескольких лет. Если их вовремя распознать, то появляется шанс успеть и разобраться в том, что происходит, и понять, как все исправить. Например, если бы NASA запросило спутниковые изображения, то выяснилось бы, что шаттлу нанесен реальный ущерб и экипаж в опасности. Но NASA упустило окно возможностей. Так же и неделя между первым случайным выстрелом и смертельным выстрелом для Галины Хатчинс представляла собой окно возможностей, которое все проигнорировали. Между первой и второй авариями Boeing 737 MAX пилоты подали четыре рапорта о проблемах с программным обеспечением. Тренировка на симуляторе помогла бы правильно отреагировать на его сбой.
Окна возможностей можно рассматривать как тренировку, даже если угроза оказывается ложной. Например, откровенная беседа родителей с подростком об опасности вождения в нетрезвом виде и просьба звонить в любое время, чтобы получить помощь без осуждения, – это разумная реакция на неявную угрозу, которая поможет предотвратить трагическую аварию. Но эти окна зависят от готовности говорить о том, что неудача может случиться. Это один из способов сделать так, чтобы психологически безопасная среда помогала предотвращать неправильные ошибки.
Как мы можем распознать комплексные неудачи до того, как они произойдут? Сама их природа – множественные причины, комбинирующиеся уникальным образом, – заставляет крепко задуматься. Однако есть простые способы попробовать это сделать. Все начинается с изменения вашего отношения к ложным тревогам.
Напомним, что любой рабочий на заводе Toyota может потянуть шнур «Андона», чтобы предупредить о возможной ошибке, прежде чем она перерастет в серьезный сбой. Руководитель участка и один из рабочих изучают потенциальную проблему, какой бы мелкой она ни казалась. В итоге ее либо устраняют, либо игнорируют. Если шнур «Андона» тянули 12 раз и только в одном случае была выявлена настоящая проблема, то, поверьте, никто не расстроится, что потратил свое время на 11 ложных тревог. Совсем наоборот.
Ложная тревога – это полезная тренировка, пример того, как могут возникать неудачи и как уменьшить возможность их появления. Каждый сигнал шнура «Андона» рассматривается как ценный эпизод, который в долгосрочной перспективе экономит время и повышает качество.
Аналогичный подход применяется в интересной инновации в медицине, которая называется экстренной бригадой. Она создана для того, чтобы быстро реагировать на просьбы о помощи от медсестры, которая заметила изменения в состоянии пациента (скажем, бледность кожных покровов), которые могут указывать (а могут и не указывать) на серьезную опасность, такую как сердечный приступ или внутреннее кровотечение. В таких случаях экстренная бригада из врачей и медсестер в течение нескольких минут собирается для быстрой оценки ситуации и вмешательства в случае необходимости.
До появления такой бригады медсестры вызывали врачей только в случаях, когда необходима экстренная реанимация. Благодаря экстренным бригадам, появившимся два десятилетия назад в больницах Австралии, значительно снизилась частота сердечных приступов и других тяжелых состояний у пациентов. Десять лет спустя четыре больницы в США создали такие бригады у себя. Мы стали рассматривать эти бригады как инструмент усиления неявных угроз. Так же, как человек, разговаривающий с толпой, усиливает свой голос с помощью мегафона, так и экстренные бригады, и шнур «Андона» усиливают ранние сигналы о комплексной неудаче. Усиление не означает преувеличение. Оно помогает заметить первый, почти незаметный сигнал.
Усиление значения неявной угрозы (с пациентом, возможно, что-то не в порядке) привело к тому, что сомнения и подозрения медсестер – первой линии наблюдения – о состоянии пациента перестали игнорировать и начали воспринимать всерьез. Теперь даже неопытные медсестры более уверенно сообщают о том, что с пациентом что-то не так (достаточно даже изменения настроения).
Помните басню Эзопа «Лгун» о мальчике, который часто врал о том, что волк угрожает стаду? Когда волк действительно появился и перерезал всех овец, мальчику уже никто не поверил. Мораль этой басни – «Не лги!», но мне кажется, что многие из нас восприняли ее как «Не говори, пока не будешь уверен». Никто не хочет, чтобы над ним смеялись и считали глупым из-за того, что он развел панику без причины. Я уверена, вы тоже хотя бы однажды боялись сказать о своем беспокойстве, думая, что это всего лишь ложная тревога. Всегда легче подождать, пока кто-нибудь еще не заметит то же самое, и убедиться, что вам не кажется. Чтобы преодолеть эту распространенную трудность, для медсестер больниц, где работали экстренные бригады, разработали перечень ранних сигналов (симптомов и состояний), обнаружив которые, медсестры могут, не сомневаясь, вызывать бригаду.
С появлением экстренных бригад у медсестер появилась насмотренность, помогающая быстро оценить состояние пациента. И это больше, чем бдительность. Когда людям дают разрешение оценивать и усиливать значимость сигналов (например, с помощью шнура «Андона» или вызова экстренной бригады), они по-настоящему включаются в работу – принимают и понимают ее суть. Они наконец начинают верить своим ушам, глазам, мыслям.
Концепция экстренных бригад подчеркивает, что время, затраченное на диагностику по любому, даже кажущемуся незначительным признаку, – это достойное вложение, если помогает снизить смертность. Чем раньше замечена назревающая проблема, тем больше имеется рычагов для ее предотвращения. Исследование в больнице Стэнфорда показало, что после создания экстренных бригад количество вызовов на «код синий» (мучительный и часто безуспешный процесс спасения пациентов с остановкой сердца) сократилось на 71 %, а смертность с учетом риска – на 16 %. Интересно, что другие исследования не дали таких хороших результатов. Почему же?
Недостаточно просто создать экстренную бригаду. Важно донести до участников суть ее работы. Если они ожидают, что при каждом вызове будут героически вырывать пациента из лап смерти, то очень скоро устанут от «ложных» тревог и откажутся от этой затеи. Однако если все тревоги позиционировать как полезные тренировки, которые развивают навыки команды, то, как и в Toyota, они будут представлять ценность, а не казаться пустой беготней.
В проницательной книге Know What You Don’t Know Майкла Роберто есть фраза, которая описывает суть работы экстренных бригад: «искать дым, а не бороться с огнем». Как бы вы применили эту идею в своей команде или семье? Это так же просто, как научиться ценить других за то, что они неравнодушны, – и неважно, окажется ли причина их беспокойства реальной проблемой. Если благодарить людей за готовность брать на себя риск говорить о том, в чем они не уверены до конца, это убедит их в важности такого поведения и, как следствие, позволит предотвращать серьезные трагедии.
Выявление и исправление ошибок, которые влияют на безопасность (на заводе, в больнице или в самолете) требуют культуры бдительности. Так, использование шнура «Андона» или работа экстренной бригады помогает маленьким ошибкам не перерасти в серьезные проблемы, тем самым создавая эту самую культуру.
Недавно я брала интервью у Аарона Диммока, бывшего пилота военно-морского флота, о том, как ему однажды удалось избежать комплексного провала. Как инструктор по стандартизации авиационной подготовки Диммок выполнил бесчисленное количество оперативных и учебных вылетов, в том числе для оценки готовности летательных аппаратов. Несколько лет назад в Пуэрто-Рико он и его команда – второй пилот, бортинженер и летчик-наблюдатель – выполняли испытательный полет, во время которого возникли четыре неожиданные проблемы: (1) после взлета шасси не убиралось до конца; (2) двигатель, который должен был перезапуститься после остановки, не запускался; (3) второй двигатель оказался неисправен; (4) шасси не выпускалось.
Если бы эти отклонения «выстроились в линию», как в модели швейцарского сыра, то, скорее всего, произошла бы авария с потерей аппарата или даже гибелью экипажа. Но Аарон и его команда благополучно приземлились, потому что сумели вовремя принять меры в каждом из «отверстий сыра». Как они это сделали? Аарон объяснил, что вместо того, чтобы зациклиться на возникающих ошибках, они «мыслили шире» и работали сообща, делая то, что называется «выявить и исправить».
Давайте разберемся подробнее. Во-первых, в каждом случае они подмечали, что появилась проблема, – то с шасси, то с двигателями. Это и есть «выявить». Во-вторых, они методично реагировали на каждую ошибку по мере ее возникновения. «Мы чувствовали себя уверенными, но не самоуверенными, – рассказал Аарон. – Мы все сохраняли спокойствие и делились наблюдениями. Что с двигателем? Слышно что-то постороннее? Так складывался пазл, дающий общую картину. А потом сообща принимали решение. У нас было безопасное пространство, в котором мы могли делиться и проверять друг друга». А это – «исправить».
«Я должен сделать так, чтобы слышать каждого, – ответил Аарон, на вопрос о его главной задаче как руководителя группы. И продолжил. – В некоторых случаях мне важно знать мнение бортинженера. Но бывало, что он относился к своей точке зрения как к единственно верной. Тогда я просил высказаться других членов экипажа: “Том, что ты думаешь?”, “Старшина Роббинс, что скажете?”». И это крайне важно для психологической безопасности. Ее нужно взращивать, чтобы не терять решающих голосов. Убедиться в том, что выслушал каждого, – это не про хорошие манеры или инклюзивность. Скорее это то, что помогает держать самолет в воздухе и безопасно его приземлить. Сравните это со случаем шаттла Columbia. Организационная культура NASA не позволила инженеру Родни Роша говорить открыто. Протоколы заседаний ясно показывают, что руководители не стремились знать чье-либо мнение, считая свое единственно верным. Все инженеры сообщали, что боялись откровенно говорить о потенциальных угрозах, поднимать трудные вопросы или выражать мнения, противоречащие их начальству. То же самое было и с инженерами Boeing до крушений самолетов серии MAX.
Практики для снижения риска возникновения неудач
Мое многолетнее увлечение ошибками и неудачами заставило меня смириться с их сложностью и многопричинностью. Сочетание факторов – технологий, психологии, управления, систем – означает, что никто из нас не в силах научиться справляться с любыми из них. Но в результате моей работы нашлось несколько простых практик, которые могут помочь предотвращать комплексные неудачи. С ними у всех нас есть шанс изменить и собственную жизнь, и работу наших организаций.
Начните с фрейминга[21]. Явное подчеркивание сложности или новизны ситуации помогает привести ум в нужное состояние. В противном случае мы склонны ожидать, что все пойдет как обычно. «Ни один из моих полетов не был идеальным», – говорит капитан Бен Берман, с которым вы встретитесь в Главе 6. Понимая, что подчиненные не решаются ему перечить из-за его опыта, он дает им понять, что сам не застрахован от ошибок, поэтому они должны смотреть в оба. Таким образом, рутинный полет он превращает в тот, в котором нужно быть начеку и ожидать чего угодно.
Далее убедитесь, что усиливаете, а не подавляете слабые неявные сигналы. Представьте, что стоите перед толпой и пытаетесь сообщить людям что-то важное, но ваш голос звучит слишком тихо и не долетает до их ушей. Без мегафона тут не обойтись. Точно так же происходит в любой команде, организации или семье. Учитывая человеческую склонность игнорировать или преуменьшать сигналы, которые могут предвещать комплексные неудачи, мы должны стараться усиливать их, чтобы не пропустить то, что они сообщают. «Усиливать» – не означает преувеличивать или бесконечно зацикливаться на них. Это значит убедиться, что сигнал был услышан. Даже если он сообщает, что «все хорошо», мы должны научиться радоваться тому, что обратили на него внимание.
И, наконец, выработайте привычку практиковать. Музыканты, ораторы и актеры всегда репетируют перед выступлениями, а спортсмены упорно тренируются перед соревнованиями, чтобы максимально подготовиться. Не удивляйтесь, если в организациях с отличными показателями безопасности, таких как Alcoa под руководством Пола О’Нила, вы увидите людей, которые регулярно и методично что-то отрабатывают. Их показатели на высоте не потому, что они нашли способ искоренить человеческие ошибки, а потому, что они учатся их выявлять и исправлять. Это требует практики. Симуляторы полетов, пожарные учения, тренировки по стрельбе и работа экстренных бригад – все это примеры тренировок на отработку методов реагирования на нестандартные ситуации. Невозможно разработать инструкции для устранения каждой аварии, так как все они являются комплексными неудачами. Но можно накачать эмоциональные и поведенческие мышцы, которые помогут реагировать на человеческие ошибки и неожиданные события быстро и эффективно.
Все описанные практики требуют развития компетенций, которые я называю самосознанием, пониманием контекста и пониманием систем – это темы, к изучению которых мы приступаем.