Неуязвимость! Отчего системы дают сбой и как с этим бороться

I

Атомная электростанция (АЭС) Ventana расположилась у подножия величественной горной гряды Сан-Габриэль, всего в 65 км к востоку от Лос-Анджелеса. Однажды в конце 70-х годов станция испытала непонятные толчки. Когда на АЭС раздались сигналы тревоги и аварийные лампочки вспыхнули на приборах, в помещении щита управления станции началась паника. На консолях, где теснились датчики и измерительные приборы, один из индикаторов показывал, что уровень охлаждающей жидкости в активной зоне реактора достиг опасно высокого значения. Работавшая в зале смена, состоявшая из специалистов компании California Gas and Electric, открыла электромагнитные клапаны компенсатора давления, чтобы убрать из реактора лишнюю воду. Однако на самом деле ее уровень в активной зоне не был высоким. Напротив, в реальности он оказался настолько низким, что лишь на несколько сантиметров покрывал твэлы (тепловыделяющие элементы) реактора. В конечном счете начальник смены понял, что индикатор уровня воды давал неверные показания – и все из-за заклинившей в приборе стрелки. С большим трудом команде операторов удалось закрыть клапаны, чтобы предотвратить расплавление твэлов. В течение нескольких страшных минут АЭС находилась на грани ядерной катастрофы.

«Возможно, я и ошибаюсь, но вам, судя по всему, повезло, что вы остались в живых, – сказал один эксперт-ядерщик паре журналистов, которые оказались на АЭС во время инцидента. – По правде говоря, то же самое мы могли бы сказать и про всю остальную Южную Калифорнию».

К счастью, этого события в действительности никогда не было. Оно вошло в сюжет триллера 1979 года «Китайский синдром»{10}, главные роли в котором исполняли Джек Леммон, Джейн Фонда и Майкл Дуглас. Это был абсолютный вымысел, во всяком случае по мнению руководителей атомной энергетики США, которые раскритиковали фильм в пух и прах еще до его выхода на экраны. Они утверждали, что фабула неправдоподобна с научной точки зрения, а один из них даже сказал, что картина «убивает репутацию целой отрасли промышленности»{11}.

Майкл Дуглас, который участвовал в создании фильма как продюсер и исполнил одну из главных ролей, не согласился с этими утверждениями: «У меня есть предчувствие{12}, что многое из того, что показано в картине, случится в реальности в ближайшие два или три года».

Так много времени и не понадобилось. Через двенадцать дней после того, как «Китайский синдром» вышел на экраны кинотеатров, Том Кауффман, 26-летний красавец с длинными рыжими волосами{13}, приехал на работу на АЭС Three Mile Island, которая представляла собой бетонную крепость, построенную на песчаном острове посреди реки Саскуэханна в штате Пенсильвания. Это была среда, и в 6:30 утра Кауффман почувствовал, что что-то не так. Облака пара над гигантскими башнями испарительных градирен были значительно меньше, чем обычно. Проводя осмотр согласно правилам безопасности, Кауффман услышал сигнал тревоги. «А-а, это у них какие-то проблемы на втором энергоблоке», – сказал ему охранник{14}.

Операторы набились в помещение щита управления{15}, сотни лампочек вспыхивали на гигантской консоли. На всей АЭС сработали датчики превышения уровня радиации. Незадолго до 7:00 руководитель смены объявил на станции чрезвычайную ситуацию. Это подразумевало, что на АЭС стал возможен «неконтролируемый выброс радиоактивных веществ». К 8:00 половина ядерного топлива в одном из двух реакторов электростанции расплавилась{16}, а к 10:30 в помещение щита управления проник радиоактивный газ.

Это была самая тяжелая катастрофа в атомной отрасли за всю историю Америки{17}. В течение многих дней специалисты пытались стабилизировать температуру перегревшегося реактора, и некоторые правительственные чиновники опасались самого худшего. Ученые спорили, не взорвется ли пузырь водорода, образовавшийся под крышкой реактора. Было понятно, что радиация убьет любого, кто подберется к механизмам достаточно близко для того, чтобы вручную открыть клапан и удалить из реактора взрывоопасный газ.

После напряженного заседания в ситуационной комнате Белого дома помощник президента Джимми Картера по вопросам науки отвел в сторону Виктора Жилински, руководителя Комиссии по ядерному регулированию США, и тихим голосом предложил послать открыть клапан больных на последней стадии рака{18}. Жилински внимательно посмотрел на собеседника и понял, что тот не шутит.

Населенные пункты вокруг АЭС превратились в «города-призраки», поскольку эту территорию покинуло 140 000 человек. На пятый день после катастрофы президент Картер и первая леди приехали на АЭС, чтобы успокоить паникующих. Обутые в ярко-желтые бахилы поверх обычной обуви для защиты от остатков радиации на почве, они обошли АЭС и тем самым приободрили нацию. В тот же день специалисты установили, что водородный пузырь больше не представляет собой непосредственной угрозы. А когда была восстановлена работа системы охлаждения, температура в активной зоне реактора стала падать. Однако, чтобы начали охлаждаться наиболее разогретые части топливосодержащего расплава, понадобился еще месяц. В конце концов были отменены все действовавшие предупреждения об опасности для населения. Но многие считали станцию Three Mile Island местом, где чуть не сбылись наши самые худшие опасения.

Авария на АЭС Three Mile Island началась с небольшой ошибки при ремонте системы водоснабжения станции. Бригада рабочих в тот день проводила обычное техобслуживание трубопроводов вне реакторной зоны. По каким-то причинам, неясным до сих пор, насосы, которые закачивают нагретую в реакторе воду в парогенератор, в этот момент отключились. По одной из версий, это произошло из-за того, что во время обслуживания влага случайно попала в систему сжатого воздуха, которая используется для пневматического управления арматурой и насосами. Поскольку вода перестала подаваться в парогенератор, она уже не могла охлаждать активную зону реактора, что привело к повышению температуры и давления. В связи с этим, как и было предусмотрено конструкцией, автоматически открылся небольшой клапан компенсатора давления. Однако тут произошел еще один сбой. Когда давление восстановилось до нормального, компенсаторный клапан не закрылся. Вода, которая должна была покрывать твэлы и охлаждать активную зону, начала из нее уходить{19}.

Глядя на горящую лампочку датчика в щитовой комнате, операторы решили, что электромагнитный клапан закрыт. Но на самом деле светящийся индикатор свидетельствовал только о том, что на привод клапана поступила команда о его закрытии, а не о том, что он в действительности закрылся. Помимо прочего, в активной зоне реактора отсутствовали датчики, прямо показывающие уровень находящейся там воды, поэтому операторы вынуждены были опираться на показания других приборов: тех, которые указывали на уровень воды только в части системы под названием «компенсатор давления». Поскольку вода утекала через оставшийся открытым клапан, казалось, что в компенсаторе давления ее количество увеличивается, хотя в активной зоне реактора ее становилось меньше. В связи с этим операторы предположили, что воды в реакторе слишком много, тогда как ситуация была обратная. Когда аварийная система охлаждения включилась автоматически и начала нагнетать воду в активную зону, операторы отключили почти все насосы. твэлы в реакторе начали плавиться.

Инженеры понимали, что с реактором что-то не так, но не знали, что именно. Им потребовалось несколько часов, чтобы осознать, что из него уходит вода. Людей чрезвычайно нервировала лавина тревожных сигналов. Среди всех этих звуков сирен, гудков и мигания лампочек трудно было отделить обычные предупреждения от важных сигналов опасности. Специалистам стало еще сложнее общаться между собой, когда данные о высоком уровне радиации заставили всех в помещении щитовой надеть респираторы.

К тому же было непонятно, насколько разогрелась активная зона реактора. Одни показания температуры были высокими. Другие – низкими. Некоторое время компьютер, следивший за температурой внутри реактора{20}, не выдавал ничего, кроме вот таких строчек:

????????????????????????????????????????????????????

????????????????????????????????????????????????????

????????????????????????????????????????????????????

????????????????????????????????????????????????????

????????????????????????????????????????????????????

????????????????????????????????????????????????????

В самой Комиссии по ядерному регулированию обстановка была почти такой же скверной. «Было трудно обрабатывать неопределенную и часто противоречивую информацию, – вспоминал Жилински. – Со всех сторон на меня сыпались бесполезные советы. Создавалось впечатление, что никто не понимал, что происходит и что нужно делать»{21}.

Это была запутанная, не имевшая прецедентов авария. И она изменила наше представление о том, к чему ведет сбой в современных системах.

II

Спустя четыре месяца после аварии на АЭС Three Mile Island почтовый фургон взбирался по извивающейся горной дороге у подножия Беркширских холмов в Хиллсдейле, штат Нью-Йорк, к одинокому бревенчатому домику. Был знойный августовский день, и водитель фургона не сразу отыскал нужное место. Когда машина остановилась, из дома вышел худощавый мужчина за пятьдесят с вьющимися волосами и нетерпеливо расписался за посылку – большую коробку с книгами и журнальными статьями об авариях в промышленности.

Этим мужчиной был Чарльз Перроу{22}, или Чик, как звали его друзья. Перроу на первый взгляд был не очень похож на того, кто призван кардинально изменить науку о катастрофах. Он был не инженером, а профессором социологии. Раньше он не занимался исследованиями аварий, ядерной энергетикой или вопросами безопасности. Он скорее был специалистом по организациям, а не по катастрофам. Его последняя статья называлась «Восстание слабых. Движение фермерских наемных работников, 1946–1972» (Insurgency of the Powerless: Farm Worker Movements, 1946–1972). Когда произошла авария на АЭС Three Mile Island, он изучал вопросы организации текстильных фабрик в Новой Англии в XIX веке.

Социологи редко вносят большой вклад в такие вопросы жизни и смерти, как безопасность в атомной отрасли. Один карикатурист из журнала New Yorker однажды посмеялся над этой областью науки{23}, изобразив человека, читающего заголовок газеты: «Забастовка социологов!!! Нация в опасности!!!» Однако всего через пять лет после того, как в дом Перроу была доставлена упомянутая посылка, его книга «Нормальные аварии» (Normal Accidents) – исследование катастроф в отраслях с высокими рисками – стала культовой в научной среде. Специалисты в самых разных областях – от инженеров-атомщиков и программистов до ученых-медиков – читали и обсуждали эту книгу. Перроу получил должность профессора в Йельском университете, и ко времени, когда вышла его вторая книга, журнал American Prospect объявил, что исследования Перроу «приобрели канонический статус»{24}. В одной из рецензий Перроу назвали «бесспорным знатоком катастроф»{25}.

Впервые Перроу заинтересовался проблемами техногенных аварий, когда президентская комиссия по ЧП на АЭС Three Mile Island обратилась к нему с просьбой поучаствовать в изучении инцидента. Изначально комиссия планировала услышать выводы по происшествию только от инженеров и юристов, однако единственный социолог в ее составе посоветовала проконсультироваться и с Перроу. Она полагала, что необходимо прислушаться к мнению ученого-обществоведа, который занимается проблемами существования и деятельности организаций в реальном мире.

Получив протоколы слушаний комиссии, Перроу прочел их за один вечер. В ту ночь он несколько часов крутился в кровати без сна. А когда наконец смог кое-как заснуть, ему привиделись страшные кошмары, каких он не видел со времен службы в армии во Вторую мировую войну. «Свидетельские показания операторов станции произвели на меня глубокое впечатление, – вспоминал Перроу спустя годы. – Люди имели дело с техникой, таящей в себе гигантские, неимоверные риски. И в течение нескольких часов они не имели представления, что же происходит на месте аварии на самом деле… Я неожиданно понял, что нахожусь в гуще, в сердцевине всего этого, потому что в первую очередь данная авария явилась проблемой организационной»{26}.

У Перроу было три недели на подготовку 10-страничного доклада. Однако с помощью своих аспирантов, которые коробками посылали необходимые ученому материалы в его бревенчатое убежище, к указанному сроку он представил документ на 40 страниц. В него он даже внес идеи, которые, как он писал позднее, возникали у его «очень вредных и критически настроенных аспирантов, которые все время спорили» с ним и друг с другом. «Это была, – вспоминал Перроу, – группа самых угрюмых аспирантов в нашем кампусе, известная своим черным юмором. Когда мы собирались по понедельникам, один из них обязательно говорил: “Выходные прошли отлично для нашего проекта!”, и потом вываливал на нас сообщения обо всех произошедших катастрофах»{27}.

Эта группа учеников Перроу как в зеркале отражала его собственный характер. Один из известных ученых описывал Перроу как «невыносимого брюзгу и ворчуна», однако называл его исследования «лучом света»{28}. Студенты утверждали, что Перроу был очень требовательным преподавателем, но любили его лекции, поскольку много из них узнавали. В академической среде у него была репутация человека, выступающего с очень жесткой, но конструктивной критикой{29}. «Критические оценки моей работы со стороны Чика служили тем мерилом, по которому я судил о своем успехе, – замечал один из знакомых с ним ученых. – Он всегда исписывал страницу за страницей своими язвительными замечаниями, обычно вполне справедливыми, и заканчивал свои письма чем-то вроде: “С любовью, Чик” или “Как всегда, с наилучшими чувствами и пожеланиями”»{30}.

III

Чем больше Перроу узнавал об аварии на АЭС Three Mile Island, тем больший интерес его охватывал. Это была крупная катастрофа, но причины ее вполне тривиальны: она произошла не из-за сильного землетрясения или большой технологической ошибки, а стала следствием ряда небольших сбоев: некачественно проведенные слесарные работы на трубопроводе, застрявший клапан компенсатора давления и неправильно понятый световой индикатор.

Эта авария развивалась стремительно. Только подумайте: изначальная ошибка при обслуживании труб; последующее отключение насосов, нагнетавших горячую воду в парогенератор; рост давления в активной зоне реактора; открытие компенсаторного клапана и неудача при его закрытии, а также ошибочное указание датчика положения клапана – все это произошло в течение тринадцати секунд. За десять минут был нанесен непоправимый ущерб реактору АЭС.

Перроу было понятно, что обвинять во всем операторов станции – это нечестный прием. Официальное расследование изображало коллектив смены АЭС главными виновниками аварии, но Перроу осознавал, что их ошибки кажутся таковыми только при суждении задним числом. Он назвал их «ретроспективными ошибками»{31}.

Возьмем, например, главную из этих ошибок – предположение операторов, что в реакторе находилось слишком много, а не слишком мало воды. Когда техники сделали это предположение, доступные им показания датчиков не свидетельствовали о том, что уровень охлаждающей жидкости в реакторе был слишком низким. По их представлениям, никакой опасности перегрева твэлов не было. Поэтому они сосредоточились на другой серьезной проблеме: риске переполнения системы. Хотя некоторые показания приборов и могли бы помочь установить истинную проблему, операторы посчитали, что это – результат ошибки измерительных инструментов. И такой вывод был вполне обоснован: ряд приборов действительно работал неправильно. До того как расследование установило невероятное стечение небольших сбоев, принимаемые операторами решения выглядели вполне логичными.

Такой вывод был пугающим. Происходит одна из самых ужасных аварий в истории атомной отрасли, но ее нельзя объяснить явными человеческими ошибками или значительным внешним воздействием. Она произошла из-за комбинации незначительных сбоев, которые соединились самым причудливым образом.

По мнению Перроу, авария на Three Mile Island была не аномальным событием, а проявлением фундаментальных свойств атомной электростанции как системы. Инцидент развивался скорее под воздействием связей между различными частями системы, чем по вине самих ее частей{32}. Влага, попавшая в систему сжатого воздуха, не составила бы большой проблемы сама по себе. Но из-за связи этой системы с работой насосов, парогенератора, целого ряда клапанов и задвижек и в конечном счете реактора возникшая в ней проблема оказала столь большое влияние на ситуацию.

В течение многих лет Перроу и группа его учеников продирались сквозь частокол мельчайших деталей сотен аварий и чрезвычайных происшествий – от авиакатастроф до взрывов на химических предприятиях. И везде возникала одна и та же картина: разные части системы неожиданно вступали во взаимодействие друг с другом, причудливым образом сочетались небольшие сбои, а люди не понимали, что же происходило на самом деле.

По концепции Перроу, системы оказываются подвержены таким срывам под воздействием двух факторов. Если мы это осознаем, то сможем определить, какие из систем являются наиболее уязвимыми.

Первый фактор касается того, как различные части системы взаимодействуют друг с другом. Некоторые системы линейны: это как сборочный конвейер на автомобильном заводе, где все происходит в легко предсказуемой последовательности. Каждая машина проходит от первого узла сборки ко второму, затем к третьему и так далее. На каждом из этих этапов на нее устанавливаются различные детали. И если на каком-то из них происходит сбой, то сразу становится очевидным, на каком именно. Понятны также и последствия: машины могут не достигнуть следующего сборочного узла и скопиться на том, где произошел сбой. В системах такого рода различные их части взаимодействуют друг с другом преимущественно в очевидном и предсказуемом режиме.

Другие системы, такие как АЭС, являются более сложными: их части с большей вероятностью вступают в скрытое или неожиданное взаимодействие. Сложные системы скорее похожи на тонкую паутину, чем на сборочный конвейер. Многие их части находятся в тесной связи и могут легко воздействовать одна на другую. Даже, казалось бы, не имеющие друг к другу отношения части могут быть связаны косвенно, а некоторые подсистемы взаимодействуют со многими частями основной системы. Поэтому, когда что-то идет не так, проблемы «выскакивают» везде, и сложно сделать однозначный вывод о том, что вообще происходит.

Усложняет ситуацию тот факт, что значительная часть работы сложных систем проходит незаметно для невооруженного глаза. Представьте, что вы идете по тропе, которая спускается по краю скалы. Вы находитесь всего в нескольких шагах от пропасти, но вас оберегают ваши органы чувств. Ваша голова и глаза сконцентрированы на том, чтобы не дать вам оступиться или подойти слишком близко к краю.

Теперь представьте, что вы вынуждены идти по тому же маршруту, используя бинокль. Сейчас вы уже не можете видеть всю картину целиком. Вместо этого вам приходится ориентироваться по узким и не всегда четким секторам видимости. Вы смотрите туда, куда должна ступить левая нога. Потом сдвигаете бинокль, чтобы определить расстояние до края тропы. Затем готовитесь передвинуть правую ногу и снова переводите взгляд на тропу. А представьте, что вы бежите по тропе вниз, полагаясь только на эпизодически возникающие и нечеткие картины. Именно это мы и делаем, когда пытаемся управлять сложной системой.

Перроу быстро понял, что различие между линейной и сложной системами заключается не в их продвинутости. Сборочный конвейер на автозаводе точно не назовешь простым, и тем не менее его части взаимодействуют друг с другом преимущественно линейным и понятным образом. Или возьмите плотины. Они представляют собой вершину инженерного искусства, но не являются сложными.

В случае со сложными системами мы не можем забраться внутрь, чтобы посмотреть, что творится «в животе у чудовища». В оценке большинства ситуаций мы вынуждены опираться на непрямые показатели. Например, на АЭС мы не можем послать кого-то посмотреть, что происходит в активной зоне действующего реактора. Мы должны собирать воедино всю картину по маленьким кусочкам – показаниям датчиков давления, замерам расхода воды и т. п. Мы видим кое-что, но не все. Поэтому наш диагноз легко может стать ошибочным.

И вот когда мы имеем дело со сложными взаимодействиями внутри системы, небольшие изменения в ней могут произвести огромный эффект. На АЭС Three Mile Island чашка нерадиоактивной воды вызвала потерю тысяч литров радиоактивной охлаждающей жидкости. Это «эффект бабочки» из теории хаоса: концепция, согласно которой взмах крыльев бабочки в Бразилии может создать условия для торнадо в Техасе{33}. Пионеры теории хаоса понимали, что всех наших моделей и измерений никогда не будет достаточно для предсказания последствия «эффекта бабочки». Перроу утверждал нечто подобное: мы просто не можем в достаточной степени понять комплексные системы, чтобы предсказать все возможные последствия даже небольшого сбоя.

IV

Второй фактор теории катастроф Чарльза Перроу касается вопроса о том, сколько «люфта» позволяет данная система, насколько она (если использовать техническую терминологию) жестко связана. Когда части системы связаны жестко, между ними мало «люфта», или зазора. Сбой в одной части легко воздействует на другие. Отсутствие жесткого соединения означает обратное: между частями системы большой зазор, поэтому, когда один компонент выходит из строя, вся система при этом выживет.

В жестко связанных системах недостаточно преимущественно все делать правильно. Количество входящих импульсов должно быть точным, и они должны быть особым образом соединены по порядку и во времени. Повторное выполнение задачи в том случае, если не вышло с первого раза, обычно невозможно. Замены и альтернативные методы срабатывают редко – есть только один правильный порядок действий. Все происходит очень быстро, и мы не можем просто выключить систему, решая возникшую в ней проблему.

Возьмите атомные электростанции. Управление ядерной реакцией требует создания ряда специфических условий, где даже небольшое отклонение от нормального процесса (типа заклинившего клапана компенсатора давления) может создать большие проблемы. А когда такие проблемы возникают, мы не можем просто выключить систему или «поставить ее на паузу». Цепная реакция протекает со свойственной ей скоростью, и даже если мы остановим ее, то в реакторе сохранится много остаточного тепла. Тут важен правильный выбор момента. Если реактор перегревается, то бесполезно увеличивать уровень охлаждающей жидкости в нем через несколько часов – это нужно делать сразу. А проблемы быстро нарастают по мере расплавления твэлов и утечки радиации.

Авиационный завод характеризуется менее жесткой связанностью. Например, хвост самолета и его фюзеляж собираются по отдельности. И если в одной из этих частей возникают проблемы, они могут быть устранены перед их соединением. Здесь не важно, какую из частей мы строим первой. При появлении проблем мы можем приостановить работу, а незавершенную продукцию, например частично собранные хвостовые части, временно хранить на складе и вернуться к ним позднее. А если мы выключим все машины и механизмы на сборке, то система остановится.

Ни одна из систем не подходит полностью под придуманные Перроу категории, но некоторые из них более сложные и жестко связанные, чем другие. Вопрос в том, на сколько? Чтобы понять это, мы можем отобразить системы на схеме. На следующей странице показано, как примерно выглядела изначально набросанная Перроу матрица{34}.

Плотины и атомные электростанции в верхней части матрицы представляют собой жестко связанные системы, но плотины (во всяком случае, традиционной конструкции) характеризуются значительно меньшей сложностью. Они состоят из меньшего количества компонентов, и в них меньше возможностей для возникновения непредвиденных и невидимых взаимодействий.

Расположенные в нижней части матрицы почтовые отделения и университеты не являются жестко связанными системами. В них не обязателен строгий порядок и достаточно времени для решения проблем. «Какое-то время корреспонденция может скапливаться на складе почтового отделения без особо негативных последствий, – писал Перроу, – потому что люди спокойно относятся, например, к предрождественской суете или студенты с пониманием переносят очереди при записи на академические курсы осенью»{35}.

Но почтовые отделения менее сложны по сравнению с университетами. Это достаточно простые системы. Университеты, напротив, представляют собой сложный бюрократический механизм, в котором существует много отделений и подразделений, действуют разные правила и функции, а люди исполняют различные роли – от исследователей и преподавателей до администраторов и студентов. Часто все это смешивается непредсказуемым образом. Имея за плечами многие десятилетия опыта работы в такой системе, Перроу очень ярко описал, как неожиданные проблемы декана стали следствием тривиального академического события – решения не заключать бессрочный контракт с доцентом, которого любят студенты и преподаватели, но который публикует слишком мало научных работ. Однако благодаря нежестким связям в этой системе в ней всегда есть резерв времени и пространство для маневра. Так что подобный инцидент не нанесет особого ущерба всей остальной системе. Скандал на социологическом факультете обычно не затрагивает факультет медицинский.

Самая опасная зона в матрице Перроу – верхний правый квадрат. Катастрофы порождаются комбинацией сложности и жесткости связей в системе. В сложных системах небольшие ошибки и сбои неизбежны. И по мере того как ситуация ухудшается, внешние проявления все больше озадачивают. Даже если мы постараемся, будет сложно точно диагностировать проблему, а решая не ту, которую нужно, можно серьезно ухудшить ситуацию. Причем если система еще и жестко связана, то мы не в состоянии предотвратить «эффекта домино». Сбои распространяются быстро и неконтролируемо.

Перроу назвал такие происшествия нормальными авариями. «Нормальная авария, – писал он, – это та, в ходе которой все изо всех сил стремятся действовать по правилам, но при этом возникает неожиданное взаимодействие двух или больше сбоев (из-за интерактивной сложности системы), которые вызывают целую их лавину (из-за жесткой связанности системы)»{36}. Такие аварии нормальны не в смысле частоты возникновения, а в смысле того, что они естественны и неизбежны. «Для нас нормально умирать, но мы это делаем раз в жизни»{37}, – не удержался ученый от сарказма.

Перроу признает, что нормальные аварии чрезвычайно редки. Большинство происшествий вполне поддаются предотвращению, а непосредственными причинами их возникновения становятся не сложность или жесткость соединений. Обычно это ошибки в управлении, игнорирование предупреждающих сигналов, проблемы в общении людей, низкая профессиональная подготовка персонала и безрассудный риск. Однако концепция Перроу позволяет нам правильно понимать и такие происшествия: в тех авариях, которые можно предотвратить, также присутствует повышенная сложность и жесткость связей. Если это сложная система, наше понимание того, как она работает и что происходит внутри ее, вероятно, будет ошибочным. И скорее всего, наши ошибки пересекутся с другими сбоями самым сбивающим с толку образом. А жесткая соединенность системы затрудняет противодействие появлению все новых сбоев.

Представьте себе ремонтника, который случайно совершает небольшую ошибку – например, закрывает не тот клапан, который нужно. Многие системы каждый день спокойно выдерживают такие тривиальные сбои. Однако случай с АЭС Three Mile Island показывает, какой огромный ущерб небольшие сбои могут нанести при соответствующих условиях. Сложность и жесткая связанность систем создают опасные зоны, в которых небольшие ошибки приводят к катастрофам.

Понятие «катастрофа» не включает в себя только крупномасштабные техногенные аварии. Сложные и жестко связанные системы, а также сбои в них окружают нас повсюду, даже в самых неожиданных местах.

V

Зимой 2012 года{38} сеть кафе и ресторанов Starbucks запустила в социальных сетях рекламную кампанию, целью которой было создать праздничное настроение у любителей кофе. Компания попросила своих клиентов разместить праздничные сообщения в Twitter с хештегом #SpreadTheCheer[1]. Starbucks также проспонсировала открытие катка перед Музеем естественной истории в Лондоне, где установили гигантский экран, на котором появлялись все твиты с указанным хештегом.

Это был отличный маркетинговый ход. Подразумевалось, что клиенты компании будут создавать для нее бесплатный контент и наводнят интернет теплыми и веселыми сообщениями о приближающихся праздниках и их любимых напитках из ассортимента Starbucks. Эти сообщения должны были появляться не только на гаджетах в режиме онлайн, но и высвечиваться на большом экране, который могли видеть прохожие, посетители катка и находящегося возле него кафе, а также Музея естественной истории.

Неуместные сообщения должны были удаляться при помощи автоматической модерации, а праздничное настроение – и положительные ассоциации с теплыми напитками Starbucks – восторжествовать.

Был субботний вечер в середине декабря, на катке у музея все было хорошо. Но недолго. Неожиданно (в Starbucks об этом не знали) фильтр контента вышел из строя, и на гигантском экране начали появляться такие сообщения:

Эти сообщения намекали на недавний скандал вокруг Starbucks, чьи методы ухода от уплаты налогов вызывали сомнение общественности.

Кейт Тэлбот, общественная активистка, которой недавно исполнилось 20, сфотографировала экран на свой мобильный телефон и выложила фото в Twitter со словами: «Нет, вы только посмотрите, Starbucks разместила экран, демонстрирующий сообщения с хештегом #spreadthecheer на здании Музея естественной истории!» Вскоре этот твит Кейт появился на экране. Поэтому девушка тут же отправила еще одно сообщение: «Боже мой, они показывают мой твит. Видимо, это просто пиар-кампания… #spreadthecheer #Starbucks #payyourtaxes[2]».

Новости о сбое быстро распространились по сети Twitter и привлекли еще большее количество участников. «Оказывается, лондонский Starbucks проецирует на экран любой твит с хештегом #spreadthecheer, – написал один из пользователей сети. – О, это будет очень весело».

Лавина твитов была нескончаема.

Компания Starbucks оказалась в мире Чарльза Перроу.

Социальные сети – это сложные системы. Они состоят из бесчисленного количества людей с самыми разными взглядами и мотивами. Трудно узнать заранее, что представляет собой такая аудитория и во что она превратит очередную кампанию. И сложно предсказать, как она среагирует на ошибку, которая произошла с автоматическим фильтром контента. Кейт Тэлбот ответила на это тем, что сфотографировала экран и выложила фотографию в интернет. Другие сделали вывод, что любое сообщение с определенным хештегом будет продемонстрировано на видном месте в британской столице. Потом на лавину твитов среагировали традиционные СМИ. Они опубликовали статьи и репортажи о том, как рекламная кампания Starbucks дала обратный эффект. Так неудачная пиар-акция стала главной новостью и привлекла внимание широкого круга людей. Это был результат непреднамеренного взаимодействия между сбоем в работе фильтра, фотографии, которую сделала Кейт Тэлбот, реакции множества других людей и последующего освещения этого события в прессе.

Когда фильтр автоматической модерации дал сбой, увеличилась связанность системы, потому что теперь на экран попадали все твиты. И через Twitter – тоже жестко связанную систему – известие о провале пиар-кампании Starbucks получило молниеносное распространение. Сначала информацией обменялись всего несколько человек, затем это сделали их подписчики, а потом к ним присоединились и подписчики подписчиков. Даже после того, как фильтр был исправлен, в Twitter продолжала поступать масса негативных сообщений. И Starbucks не могла их остановить.

Пиар-кампания по созданию праздничного настроения может показаться вам безумно далекой от атомной электростанции, но идеи Перроу имеют отношение и к ней. На самом деле мы можем видеть сложность и жесткость соединений в системах повсюду, даже дома. Возьмите торжественный обед в День благодарения, о котором мы обычно не думаем как о системе. В США День благодарения всегда отмечается в четвертый четверг ноября. По определениям Перроу, в этой системе мало «зазора» – для праздника существует «окошко» всего-навсего в один день. Множество американцев, перемещаясь по стране в период до и после Дня благодарения, создают сложные взаимодействия. На дорогах возникают заторы из-за обилия машин, а ухудшение погоды в районе любого узлового аэропорта – например, в Чикаго, Нью-Йорке или Атланте – может вызвать волновой эффект, и огромное количество авиапассажиров застрянут на земле по всей стране.

А еще есть и сам обед. Во многих домах только одна духовка, поэтому приготовление классических жареных мясных или запеченных блюд – индейки, запеканок и пирогов – тесно взаимосвязано. Если приготовление индейки или запеканки затягивается, то это задерживает и другие блюда. Начинка обычно готовится внутри индейки, а соус представляет собой сок, который дает мясо. Конечно, простые блюда, такие как спагетти с мясной подливкой, не предполагают таких сложных взаимосвязей.

Трудно сказать, что происходит внутри такой системы: готова ли уже индейка или ей стоит постоять в духовке еще какое-то время. Для разрешения этой проблемы некоторые компании предлагают механизм безопасности – небольшой полый пластиковый стержень с красным сердечником, который выскакивает, когда индейка готова. Но эти устройства, как и многие другие системы безопасности, бывают ненадежными. Более опытные повара используют специальные термометры для мяса, чтобы определить, на какой стадии приготовления индейка. Однако и в этом случае нелегко точно определить необходимое время.

Сам процесс приготовления праздничной еды жестко связан: в большинстве случаев вы не можете «нажать на паузу» и вернуться к процессу позднее. Блюда готовятся, а гости уже находятся на пути к вашему дому. Если совершена ошибка – индейка перестояла в духовке или в блюдо не добавлен какой-то ингредиент, – вернуться назад уже невозможно.

Действительно, как, вероятно, предсказал бы Перроу, весь процесс приготовления обеда может выйти из-под контроля. Несколько лет назад кулинарный журнал Bon Appétit{39} попросил своих читателей поделиться самыми ужасными воспоминаниями о катастрофах с приготовлением обеда на День благодарения. Реакция была ошеломляющая. Сотни людей писали о своих всевозможных кулинарных промахах, начиная с сожжения индейки и безвкусного соуса и заканчивая описанием начинки, которая по вкусу не отличалась от сырого хлебного мякиша.

Ошибочный диагноз – типичная проблема. Люди волнуются, что их индейка окажется непропеченной, когда на самом деле она уже сухая, как кость. Или они боятся сжечь птицу, а потом оказывается, что внутри она осталась сырой. Соответственно, и начинка в ней тоже не готова. Иногда обе проблемы возникают одновременно: грудка птицы пережарена, а бедра недожарены.

Неумолимое тиканье часов и возрастающая сложность системы часто вводят поваров в ступор. Они совершают ошибку, даже не понимая, что ошибаются. Понимание приходит значительно позднее – когда гости рассаживаются за столом и принимаются за еду. «Сотни из вас прислали нам рассказы о том, как случайно положили не тот ингредиент в пирог, соус, запеканку и другие блюда, – отметил журнал. – Но нашей любимой историей, которую мы пересказывали друг другу много раз, стала та, в которой одна читательница случайно добавила мощный сироп от кашля Vicks 44 вместо ванильного сиропа при приготовлении мороженого»{40}.

Чтобы избежать всех этих бедствий, связанных с Днем благодарения, некоторые эксперты советуют упростить ту часть системы, которая очевидно находится в опасной зоне: приготовление индейки. «Если вы разделите птицу на несколько частей и приготовите их по отдельности, то у вас будет больше шансов на успех, – говорит шеф-повар Джейсон Куинн. – Идеально приготовить белое мясо индейки отдельно легче, чем белое и красное мясо одновременно»{41}. Начинку тоже можно приготовить отдельно.

В результате индейка превращается в менее сложную систему. Уменьшается связь между различными частями этой системы, и наблюдать за происходящим в каждой из них становится легче. Снижается жесткая связанность системы. Вы можете приготовить некоторые части птицы – голени и бедра – раньше. Потом в духовке освободится место, и вам будет проще следить за готовностью грудки, чтобы идеально ее запечь. Если же возникает неожиданная проблема, вы можете сосредоточиться только на ней, без необходимости переживать за всю систему, состоящую из белого и красного мяса, начинки и всего остального.

Такой подход – снижение сложности системы и добавление в нее «зазора» – помогает нам уйти из опасной зоны. Это решение может быть эффективным, что мы и исследуем дальше в этой книге. Однако последние десятилетия мир движется в противоположном направлении: многие системы, которые когда-то находились вдали от опасных зон, теперь располагаются в самом их центре.