В этой части главы мы снова опишем всего лишь пример. Однако преимущество этого примера заключается в том, что этот случай был разыгран в «настоящей» реальности, а не в компьютерной программе.
26 апреля 1986 года на украинской атомной станции в Чернобыле взорвался четвертый реактор, разрушив бетонное перекрытие весом в тысячу тонн, что привело к заражению большой части окружающей территории и всей Европы радиационными частицами и обострило споры вокруг атомной электроэнергии, вокруг восточных и западных технологий постройки реакторов и вокруг вопроса, может ли подобное повториться в других местах.
Мы не будем детально останавливаться на этих и других аспектах, какими бы важными они ни были. Чернобыль интересует нас по иным причинам. Если рассматривать непосредственные причины несчастья, произошедшего в Чернобыле, оно на 100 % объясняется психологическими факторами. Решающее значение имела не технология, более или менее совершенная, а то, что можно назвать «сбоем» в человеческом поведении.
Что же произошло в Чернобыле? Я не хотел бы в деталях пересказывать здесь хронологию событий; я подробно опишу лишь суть произошедшего, чтобы показать некоторые психологические факторы, имевшие значение в этой катастрофе. Я буду ссылаться на доклад Джеймса Т. Ризона из Университета Манчестера (1987 г.)[15].
Рис. 14. Схематическое изображение чернобыльского реактора
На рисунке 14 мы видим в центре сам реактор. Внутри этого реактора и сквозь него проходят 1600 труб, через которые закачивается почти кипящая вода, которая проходит через реактор в виде смеси воды и пара. Пар отделяется от воды и затем разгоняет подключенные к реактору турбины. Вода и пар снова проводятся через закрытый контур реактора. Помимо первичного контура существует еще система аварийного охлаждения, изображенная на рисунке слева.
Незадолго до момента аварии на реакторе должно было проходить ежегодное техническое обслуживание. Перед обслуживанием предполагалось провести эксперимент, который должен был помочь улучшить систему сигнализации. Я не буду останавливаться на деталях эксперимента. Вся серия этих экспериментов должна была завершиться к майским праздникам, поэтому 25 апреля 1986 года в 13.00 реактор начали переводить на пониженную нагрузку, чтобы довести его производительность до 25 %. Испытания должны были проводиться при этих условиях. Час спустя, в 14.00, в реакторе отключили систему аварийного охлаждения. Это было частью плана тестирования и предположительно должно было пройти таким образом, чтобы аварийная система охлаждения во время фазы испытаний случайно не включилась.
В 14 часов находящееся в Киеве управление завода приказало не отключать реактор от сети, так как могло возникнуть непредвиденное повышение потребности в электроэнергии. Только в 23.10 того же дня реактор наконец отключили от сети, и после этого началось снижение его мощности до 25 %, чтобы выполнить запланированную программу тестов.
Через полчаса после полуночи вместо желаемой мощности в 25 % была достигнута мощность в 1 %. Оператор выключил автоматическое управление и попытался достичь отметки в 25 % на ручном управлении. Очевидно, при этом он слишком сильно передвинул ручку управления. Он в недостаточной мере принял в расчет самоторможение реактора, и таким образом получилось, что реактор в конце концов показал мощность 1 % вместо запланированных 25 %.
Подобная склонность к чрезмерному отклонению рычагов управления характерна для человеческих сообществ с динамическими системами. Мы исходим не из развития системы, то есть из временных различий между следующими друг за другом моментами, а из определяемого состояния в соответствующий момент времени. Человек регулирует состояние, а не процесс и таким образом приходит к тому, что поведение самой системы и вмешательство через управление наслаиваются друг на друга, и управление чрезмерно отклоняется от нормы. В главе «Ход процесса во времени» мы еще столкнемся с подобными примерами управленческого поведения.
Состояние низкой мощности опасно для реакторов чернобыльского типа. Такие реакторы при низком диапазоне мощности работают неравномерно; подобно некоторым дизельным двигателям на холостом ходу, работа реактора становится нестабильной. Неполадки проявляются при расщеплении ядра: при известных условиях наступает опасный локальный максимум, который может привести к внезапному «уходу на второй круг» процесса расщепления ядра. Эксплуатационникам было отлично известно об этих опасностях при обращении с реактором. Именно по этой причине им строго запрещалось опускать мощность реактора ниже 20 %.
Затем реактор изо всех сил пытались вывести из опасной зоны нестабильности, и через полчаса его удалось стабилизировать до 7 % мощности. Эксперимент решили продолжить. Пожалуй, в этом и была серьезная ошибка – именно в этот момент следовало остановить весь процесс. Решение продолжать тестирование при 7 % мощности означало, что все последующие действия будут происходить в зоне максимальной нестабильности реактора. Операторы явно неверно оценили эти условия. Почему? Вряд ли потому, что им никогда не сообщали об опасности нестабильности. Скорее следует предположить, что операторы решили продолжать тестирование по двум другим причинам. Первой причиной был временной прессинг, под которым они находились (или чувствовали, что находятся). Они хотели как можно скорее закончить это по сути обременительное для них выполнение программы тестирования, предназначенного для московских инженеров-электриков. Второй причиной, вероятно, было то, что, хотя операторы в теории и знали об опасностях нестабильности реактора, они не приняли во внимание фактическую опасность происходящего за доли секунды экспоненциального выхода реактора на второй круг, поскольку не могли представить себе наглядную картину этой опасности. Теоретические знания вовсе не обязательно означают умение действовать в реальной ситуации.
Еще одну причину нарушения предписанных мер безопасности – первопричину недостаточного внимания к опасности быстро происходящего повторного расщепления в реакторе, – возможно, следует искать в том, что обслуживающий персонал уже многократно практиковал подобные нарушения требований безопасности. Однако в учебно-теоретическом смысле нарушение техники безопасности обычно чем-то подкреплено, то есть оно того стоит, человек из него что-то извлекает. Когда человек нарушает правила безопасности, это обычно облегчает жизнь. Непосредственные последствия такого нарушения – это лишь устранение препятствий, созданных предписаниями безопасности, и бо́льшая свобода действий. Обычно правила техники безопасности интерпретируют таким образом: при их нарушении человек не взлетает немедленно в воздух, не получает ран и повреждений и не страдает еще каким-либо образом, а жизнь его при этом становится проще. Но это может оказаться настоящей ловушкой. Положительные последствия нарушения правил безопасности приводят к тому, что возрастает склонность полностью их игнорировать. Однако при этом возрастает и вероятность того, что в реальности что-нибудь действительно случится. А когда и в самом деле что-то случается, уже не бывает возможности сделать выводы о том, как следует вести себя в будущем.
Правилами техники безопасности пренебрегают вовсе не одни только операторы атомных станций в Чернобыле, Гаррисбурге[16], Библисе[17] или где-то еще. Если побеседовать со специалистами по психологии труда в химической промышленности или с людьми, изучающими причины промышленного травматизма, то вы услышите от них, что подобное уклонение от предписаний безопасности – обычное дело. Учитывая описанные выше аспекты, в этом нет ничего удивительного.
Вернемся к Чернобылю. Следующим шагом было включение всех восьми насосов первичного контура. Это было сделано в 1.03, то есть вскоре после стабилизации реактора на уровне 7 %. И это тоже было запрещено. Разрешалась одновременная эксплуатация лишь шести насосов. Причиной включения всех восьми насосов было, вероятно, то, что тем самым люди хотели обеспечить стабильность реактора – ведь таким образом достигалось дополнительное охлаждение. Однако при этом никто не предусмотрел, что дополнительное охлаждение приведет к удалению из реактора большей части графитовых стержней, служащих для регулировки скорости расщепления ядра. Система отреагировала на возросшую нагрузку, самостоятельно удалив часть своих «тормозов». Этого побочного эффекта операторы явно не предусмотрели. Они добились главного результата, и их головы были до такой степени заняты этой задачей, что они больше не задумывались о побочных эффектах и далеко идущих последствиях своего поведения. На рисунке 15 схематически показано переплетение главных и побочных последствий.
