Неуязвимость. Отчего системы дают сбой и как с этим бороться - Андраш Тилчик

И в одном, и во втором случаях сыграли свою роль те самые небольшие джойстики системы управления. В конечном счете оба авиалайнера потерпели крушение, попав в аэродинамический срыв – ситуацию, когда нос корабля задран слишком высоко, поток обтекающего крылья воздуха резко уменьшается и в результате падает их подъемная сила{143}. В такой ситуации есть простое решение: немедленно опустить нос воздушного судна! Но в обоих случаях вторые пилоты в панике ошибочно двигали джойстики назад, поднимая нос авиалайнера еще выше. И в обоих случаях командир воздушного судна не успевал заметить фатальную ошибку своего второго пилота.

«В самолетах А330 боковые джойстики двигаются независимо друг от друга, каждый из них расположен в тени, за телом пилота. Так что никто из летчиков не знает, что в данный момент предпринимает напарник, – говорит капитан Берман. – Даже если вы как-то умудритесь сфокусировать взгляд на джойстике вашего коллеги, нужно поймать именно тот момент, когда он выполняет какие-то действия, – иначе вы ничего не поймете»{144}.

Такого не может произойти в кабине, в которой старомодные штурвальные колонки двигаются синхронно. Если ваш напарник тянет на себя эту громоздкую конструкцию, то вы ни за что не пропустите такое движение. Оно происходит буквально перед глазами, а колонка может даже упереться вам в живот. А это понижает сложность ситуации, потому что вы отчетливо видите, что происходит в кабине.

Для того чтобы оценить значение наглядности ситуации, иногда достаточно простого обладания автомобилем. Актер Антон Ельчин, известный по роли в научно-фантастическом фильме «Звездный путь», погиб, когда вышел из своего двухтонного Jeep Grand Cherokee. Машина покатилась по подъездной дорожке к дому, и актер оказался зажатым между бампером и кирпичной колонной. Трагедия произошла из-за особенностей конструкции трансмиссии{145}. В автомобилях с обычной ручной коробкой передач вы можете чувствовать и видеть положение рычага во время переключения. Но в том Grand Cherokee, который принадлежал Ельчину, водитель при переключении передач просто двигал небольшой рычажок автоматической красивой коробки Monostable вперед и назад. При этом каждый раз рычажок возвращался в нейтральное положение. Слабая ответная реакция автоматической коробки сбивала с толку сотни водителей{146}, которые думали, что поставили рычаг в положение «парковка», тогда как на самом деле коробка была включена на «нейтралку» или даже «задний ход».

Конечно, элегантный дизайн имеет свою ценность. На красивые вещи приятно смотреть или играть с ними. Однако чрезвычайно важно иметь возможность понять состояние системы, лишь бросив на нее взгляд. Простота конструкции не дает нам совершить неправильное действие и помогает осознать, что мы совершили ошибку. Наглядность снижает сложность системы и позволяет найти выход из опасной зоны.

Это относится к любым системам, а не только к тем, что имеют материальный вид. Помните рыночную переоценку, которая скрывала истинные намерения компании Enron? Она загнала организацию в черный ящик. А доверяться черному ящику, каким бы красивым и блестящим он ни был, – значит открыть путь к катастрофе.

Рассмотреть все детали системы изнутри не всегда возможно, но это не единственный способ снижения ее сложности. Представьте себе альпинистскую экспедицию, отправляющуюся на Эверест. Ее участников ожидают многочисленные риски, начиная от трещин в ледниках и камнепадов и заканчивая снежными лавинами и неожиданными переменами погоды. Высотная болезнь приводит к нарушениям зрения, а постоянное воздействие ультрафиолета вызывает снежную слепоту. А когда в горах начинается метель, то пропадает всякая видимость. Горы – это закрытая непрозрачная система, и мы мало что можем с этим поделать.

И все же есть и другие способы уменьшения сложности систем. В прошлом несколько экспедиций на Эверест пострадали из-за логистических проблем. Были задержки авиарейсов, проблемы с таможней на границе, сложности с поставкой продуктов и оборудования, денежные споры с местными носильщиками, а также различные респираторные и вирусные заболевания, которые поражали альпинистов на пути в базовый лагерь. Многие из этих проблем проявились задолго до того, как началось само восхождение, и тогда они казались небольшими.

Однако эти небольшие сбои вызывали задержки сроков, подвергали стрессу лидеров команд, отнимали время у процесса планирования и мешали альпинистам адаптироваться к условиям высокогорья. А потом, во время последнего рывка к вершине, эти неудачи начинали взаимодействовать с другими проблемами. Отвлекаясь на это, руководители групп и обессиленные альпинисты не обращали внимания на очевидные тревожные знаки и совершали ошибки, которые в обычных условиях они не совершили бы. А если на Эвересте серьезно ухудшается погода, то у измученной команды альпинистов, которые выбиваются из графика, остается мало шансов.

Как только мы осознаем, что настоящим убийцей становятся не горы, а взаимодействие между многочисленными мелкими сбоями, мы можем найти решение: устранить как можно больше логистических проблем. Именно это и делают лучшие альпинистские компании. Они подходят к скучным логистическим проблемам как к важнейшим факторам безопасности{147}. Они уделяют внимание самым повседневным аспектам подготовки и проведения экспедиции, от привлечения специалистов-логистов, которые снимают это бремя с плеч лидеров команд, до обустройства базовых лагерей. Даже приготовление пищи имеет большое значение. Как написано в рекламной брошюре одной альпинистской логистической компании: «Наше внимание к пище и процессу ее приготовления на Эвересте и других горных вершинах мира позволило обеспечить очень низкий уровень гастроэнтерологических проблем у членов экспедиций»{148}.