Расследование обнаружило вязкое, словно болотная топь, стечение ошибок, случайностей и обычной путаницы. Компания Valujet приобрела три авиалайнера и подрядила компанию SabreTech для проведения их модернизации в ремонтных ангарах аэропорта Майами. Многие кислородные генераторы на этих самолетах оказались просроченными, и их нужно было заменить. Компания Valujet проинструктировала SabreTech, что если генераторы не были до конца израсходованы (то есть если они еще могли генерировать кислород), то на них необходимо установить защитный колпачок.
Однако возникла путаница в различении тех генераторов, которые были просрочены, и тех, которые были не израсходованы. Многие устройства были просроченными, но не до конца израсходованными. Другие отслужили свой срок и были израсходованы. Третьи – израсходованы, но еще не просрочены. И были также генераторы, которые шли на замену прежним, они были и непросроченными, и неизрасходованными. «Если вам все это кажется весьма запутанным, то не тратьте время на то, чтобы разобраться в ситуации. Во всяком случае, техники компании SabreTech решили времени на это не тратить. Да от них этого и не ожидали»{8}, – писал журналист и пилот Уильям Лангуиш в журнале Atlantic.
Да, механик Valujet мог бы выйти за пределы своих служебных обязанностей и залезть в громадное руководство по техническому обслуживанию самолета McDonnell Douglas-80, дойдя до раздела 35-22-01, в котором параграф «h» мог бы дать ему инструкцию, «как хранить и утилизировать кислородные генераторы». Если бы этот механик проявил усердие в изучении инструкций, то дошел бы до другой части руководства и узнал, что «все обслуживаемые и необслуживаемые (неизрасходованные) кислородные генераторы (контейнеры) должны содержаться так, чтобы ни одно устройство не было подвергнуто воздействию высокой температуры или возможному повреждению». Поразмышляв над значением скобок в вышеприведенной фразе, техник мог бы сделать вывод о том, что «неизрасходованные» контейнеры были также и «необслуживаемыми», а поскольку защитных колпачков для их транспортировки у него не было, он, видимо, должен был поместить их в безопасное место и «привести в рабочее состояние», согласно описанию в разделе 2.D.
Так оно и пошло: все больше деталей, все больше различий между ними, больше терминов, больше предупреждений, больше технического языка.
В конечном счете защитные колпачки на генераторы установлены не были, а сами генераторы оказались в картонных коробках. Через несколько недель они были привезены в отдел доставки компании SabreTech. Там они находились, пока одному из сотрудников не поручили очистить помещение. Сотруднику показалось, что разумно будет отправить эти коробки в штаб-квартиру авиакомпании Valujet в Атланте.
На генераторах имелись зеленые бирки. Технически такая зеленая бирка означает «ремонтопригодный», однако непонятно, что именно под этим имели в виду сами техники. Сотрудник, которому было поручено «разобраться» с устройствами, подумал, что бирки означают «необслуживаемые» или «не подлежащие обслуживанию». Другой сотрудник заполнил транспортно-сопроводительную накладную и поставил кавычки вокруг слов «5 коробок» и «пустые». У него просто была такая привычка – заключать слова в кавычки.
И вот эти коробки последовательно перемещались внутри системы – от техников к другим сотрудникам, от работников аэропорта до багажного отсека авиалайнера. Команда самолета не обнаружила проблему, и командир воздушного судна Кьюбек подписала полетные документы. «В результате пала последняя линия обороны пассажиров, – писал Лангуиш. – Им не повезло, и система убила их».
Расследования аварий поезда № 112 в вашингтонском метро и рейса 592 авиакомпании Valujet показали, что обе катастрофы произошли по одной и той же причине: возрастающей сложности наших систем. Когда поезд № 112 врезался в другой состав, продюсер радиокомпании National Public Radio Жасмин Гарсд{9} находилась за несколько вагонов от головного. «Столкновение было похоже на то, как если бы очень быстрое кино неожиданно остановилось с ужасным скрежетом, – вспоминала она. – Я думаю, в такие моменты каждый осознает две вещи: как мы малы и уязвимы в этом мире гигантских машин, которые сами же и построили, и насколько слабо мы осознаем эту уязвимость».
Но существует надежда. За последние несколько десятков лет наши знания сложности систем, организационного поведения и когнитивной психологии показали нам путь к постижению того, как маленькие ошибки перерастают в огромные неудачи. Мы начинаем не только осознавать, как случаются все эти инциденты, но и понимать, как небольшие шаги могут предотвращать их. В мире есть группа компаний, исследователей и команд, которые ведут поиск революционных способов предупреждения катастроф. И для этого не нужны самые продвинутые технологии или миллионные бюджеты.
Весной 2016 года мы организовали выступление Бена Бермана перед аудиторией, которой интересны уроки авиации, применимые в сфере управления рисками. Это была очень разноплановая аудитория: работники кадровых подразделений, государственные служащие, предприниматели, врачи, сотрудники некоммерческих организаций и юристы и даже кое-кто из сферы моды. Дело в том, что уроки Бермана размывают границы между сферами человеческой деятельности. «Сбои в работе систем, – говорил Берман своим слушателям, – невероятно дорого обходятся и часто недооцениваются. Вы наверняка столкнетесь с ними в вашей карьере или личной жизни». Здесь Бен сделал паузу и внимательно посмотрел на аудиторию: «Я думаю, что хорошая новость заключается в том, что вы действительно можете повлиять на ситуацию».
Часть первая. Неудачи вокруг нас
1. Опасная зона
«О, это будет очень весело»
I
Атомная электростанция (АЭС) Ventana расположилась у подножия величественной горной гряды Сан-Габриэль, всего в 65 км к востоку от Лос-Анджелеса. Однажды в конце 70-х годов станция испытала непонятные толчки. Когда на АЭС раздались сигналы тревоги и аварийные лампочки вспыхнули на приборах, в помещении щита управления станции началась паника. На консолях, где теснились датчики и измерительные приборы, один из индикаторов показывал, что уровень охлаждающей жидкости в активной зоне реактора достиг опасно высокого значения. Работавшая в зале смена, состоявшая из специалистов компании California Gas and Electric, открыла электромагнитные клапаны компенсатора давления, чтобы убрать из реактора лишнюю воду. Однако на самом деле ее уровень в активной зоне не был высоким. Напротив, в реальности он оказался настолько низким, что лишь на несколько сантиметров покрывал твэлы (тепловыделяющие элементы) реактора. В конечном счете начальник смены понял, что индикатор уровня воды давал неверные показания – и все из-за заклинившей в приборе стрелки. С большим трудом команде операторов удалось закрыть клапаны, чтобы предотвратить расплавление твэлов. В течение нескольких страшных минут АЭС находилась на грани ядерной катастрофы.
«Возможно, я и ошибаюсь, но вам, судя по всему, повезло, что вы остались в живых, – сказал один эксперт-ядерщик паре журналистов, которые оказались на АЭС во время инцидента. – По правде говоря, то же самое мы могли бы сказать и про всю остальную Южную Калифорнию».
К счастью, этого события в действительности никогда не было. Оно вошло в сюжет триллера 1979 года «Китайский синдром»{10}, главные роли в котором исполняли Джек Леммон, Джейн Фонда и Майкл Дуглас. Это был абсолютный вымысел, во всяком случае по мнению руководителей атомной энергетики США, которые раскритиковали фильм в пух и прах еще до его выхода на экраны. Они утверждали, что фабула неправдоподобна с научной точки зрения, а один из них даже сказал, что картина «убивает репутацию целой отрасли промышленности»{11}.
