Правильные ошибки. Наука о том, как добиваться успеха

Есть ли у меня необходимые ресурсы - образование, обучение, инструменты, финансовая поддержка, поощрение, - чтобы я мог внести свой вклад в эту организацию, которая наполняет смыслом мою жизнь?

Признают ли меня и благодарят ли за то, что я делаю?

Наконец, показав, что безопасность работников волнует его больше, чем прибыль, О'Нил устранил главный барьер, мешавший ему высказаться. Когда происходил инцидент, связанный с безопасностью, маленький или большой, он сразу же ставил его в приоритет. Он напрямую разговаривал с рабочими на заводах, где происходили такие события, чтобы узнать их точку зрения на случившееся. Он взял на себя ответственность, когда через шесть месяцев после вступления в новую должность один из рабочих погиб на рабочем месте, сказав руководителям: "Это мой провал в руководстве. Я стал причиной его смерти". О'Нил считал, что сотрудники, которых уважают и поддерживают, с большей вероятностью будут следовать безопасным методам работы, противостоять небезопасным требованиям и рассказывать об ошибках и нарушениях техники безопасности.

Если вы задаетесь вопросом, насколько хорошо обслужили паникующего инвестора, ответ - совсем не хорошо. Когда О'Нил ушел в отставку в конце 2000 года, показатели безопасности Alcoa значительно улучшились, ежегодная чистая прибыль выросла в пять раз по сравнению с показателями 1987 года, а рыночная капитализация компании увеличилась на 27 миллиардов долларов. По расчетам Духигга, если бы вы вложили миллион долларов в Alcoa в тот октябрьский день 1987 года, вы бы заработали еще миллион в виде дивидендов по акциям, а в день ухода О'Нила вы могли бы продать акции за 5 миллионов долларов.

Это грандиозное достижение потребовало сначала подружиться с человеческими ошибками, а затем внедрить системы, позволяющие регулярно выявлять и исправлять их до того, как кто-то пострадает на работе.

Ловля ошибок

Мальчик Сакити родился в 1867 году в сельской местности Японии. Его мать ткала хлопок, который выращивали в этом регионе. Плотницкому делу он научился у отца, но у него был пытливый, любопытный ум изобретателя, и он ценил разумные неудачи. Он любил возиться с деревом в старом сарае, где не боялся уничтожить свои первые, неудачные попытки построить лучший ткацкий станок. К двадцати четырем годам он получил свой первый патент на деревянный ткацкий станок и сразу же открыл свое дело по производству ткацких станков. Через год его фабрика потерпела крах. Не останавливаясь на достигнутом, он продолжал изобретать, внедрять инновации и совершенствовать свои станки, и к тридцати годам он изобрел первый в Японии ткацкий станок с паровым двигателем. На этот раз его деловое предприятие увенчалось успехом. К 1920-м годам компания Toyoda Automatic Loom Works производила 90 процентов ткацких станков в Японии, а в 1929 году патентные права купила ведущая британская компания по производству текстильного оборудования Platt Brothers. Тойода настоял на том, чтобы его сын, Киичиро Тойода, сказал, что будущее - за производством автомобилей; используя продажу патента в качестве стартового капитала, сын основал компанию Toyota Motor Company.

Однако самым ярким наследием Сакичи Тойоды стала техника управления ошибками в ткацком станке: когда нить основы случайно обрывалась, станок автоматически останавливался. Чтобы не испортить драгоценный материал, ткацкий станок не запускался снова, пока человек не починит нить. Для описания этой функции Сакичи Тойода придумал термин jidoka, который переводится как "автоматизация с человеческим прикосновением".

Сегодня джидока на автомобильных заводах Toyota лучше всего проявляется в широко известном шнуре Andon Cord. Когда член команды замечает проблему или даже признак того, что она может возникнуть, на производственном участке, он дергает за шнур над своим рабочим местом, чтобы предотвратить усугубление проблемы.

Несмотря на то что андонский шнур Toyota широко известен и в свое время казался абсурдным руководителям американских автомобильных компаний, которые не могли представить себе, как можно предоставить такую власть рядовым сотрудникам, большинство людей не понимают одного важного нюанса в его работе. Выдергивание шнура немедленно посылает сигнал руководителю группы о том, что может возникнуть проблема с качеством. Он не останавливает линию сборки немедленно, а останавливает ее с задержкой (примерно в шестьдесят секунд, что называется временем цикла для каждой задачи сборки). В течение этого короткого промежутка времени член команды и ее руководитель вместе диагностируют ситуацию. Для большинства (одиннадцати из двенадцати) вытягиваний шнура проблема быстро решается, и шнур вытягивается во второй раз. Второе вытягивание предотвращает остановку линии. Если проблема не может быть быстро решена, второго натяжения не происходит, и линия автоматически останавливается до тех пор, пока проблема не будет устранена. Отходов удалось избежать, и в конце сборочной линии появится идеальный автомобиль.

Несмотря на элегантность и практичность, шнур Andon Cord для меня - воплощение простой мудрости лидерства. Он передает сообщение: "Мы хотим услышать от вас". Под "вы" подразумеваются те, кто ближе всего к работе - те, кто лучше всего может судить о ее качестве. Сотрудникам не только не делают выговоров и не наказывают за сообщения об ошибках, их благодарят и признают за внимательное наблюдение. Это может объяснить, почему на одном из многочисленных заводов Toyota по всему миру каждые несколько секунд кто-то дергает за шнур Andon Cord. Это также объясняет, как совершенствование качества продолжало накапливаться и в конечном итоге превратило крошечную японскую компанию по производству ткацких станков в глобальную автомобильную державу.

Гениальность Andon Cord заключается как в том, что он работает как устройство контроля качества для предотвращения дефектов, так и в том, что он воплощает в себе два важнейших аспекта управления ошибками: (1) выявление мелких ошибок до того, как они перерастут в серьезные сбои, и (2) безупречная отчетность, которая играет жизненно важную роль в обеспечении безопасности в условиях повышенного риска.

Учимся на ошибках

Мастерство в любой области требует готовности учиться чему-то на многочисленных ошибках, которые вы обязательно совершите. Когда десятилетний Танитолува Адевуми из Нью-Йорка стал новым национальным мастером США по шахматам, слова мальчика, как и его титул, были далеко за пределами его возраста: "Я говорю себе, что никогда не проигрываю, что я только учусь. Потому что, когда ты проигрываешь, ты должен совершить ошибку, чтобы проиграть эту партию. Так что ты учишься на этой ошибке, и так ты учишься [в целом]. Так что проигрыш - это путь к победе над собой".

Шахматы - это игра практики, а также мастерства и интеллекта. Недостаточно просто заниматься по десять часов в день и тасовать фигуры на доске. Вы совершите бесчисленное количество ошибок (и проиграете множество партий), но если вы не изучите, почему именно эта ошибка привела к проигрышу, вы не достигнете мастерства.

Профессиональные спортсмены точно так же падают с бревна, промахиваются, выбивают страйк-аут, спотыкаются, проигрывают и занимают последнее место. Но они смотрят видеозаписи своих ошибок и ошибок своих товарищей по команде, чтобы понять, что пошло не так и какие навыки слабы. Тренеры советуют, как совершенствоваться и реже допускать такие ошибки. С практикой гребцы учатся поворачивать весла под правильным углом. Ныряльщики учатся наклоняться перед прыжком. Гольфисты учатся точно бить по мячу. Как говорит чемпион по гольфу Яни Тсенг, " Вы всегда чему-то учитесь на ошибках". Что мы можем взять из практики элитных спортсменов? Мне кажется, что они учатся противостоять своим ошибкам, фокусируясь на возможностях - достижениях, которые ощутимо доступны, даже если сегодня они вам не по зубам. Они показывают нам, как больше заботиться о завтрашней цели, чем о сегодняшнем удовлетворении эго.

Воспитание здорового отношения к человеческим ошибкам - первый и, возможно, самый важный шаг, помогающий нам замечать и исправлять ошибки. Но если дополнить и поддержать эти поведенческие практики, внедрение систем предотвращения неудач может значительно повысить ваши шансы на успех.

Системы профилактики

Ни одна из этих систем предотвращения отказов не является революционной. Все они отражают здравый смысл. Однако лишь немногие компании или семьи уделяют время их внедрению. Моя любимая из них - это система безупречной отчетности - четкая система, позволяющая обнаружить потенциальный вред на ранней стадии.

Безупречный репортаж

Понимая, что плохие новости не стареют, многие заботливые организации и семьи явно (а иногда и неявно) внедряют принцип безупречной отчетности. Означает ли такая политика терпимость к плохому поведению или низким стандартам? Все, что угодно? Даже близко нет. Политика требует, чтобы люди быстро рассказывали об ошибках и проблемах, чтобы не дать им перерасти в большие проблемы или серьезные провалы. Обещается, что за сообщения не будут наказывать. Однако она не обещает, что если последующее расследование выявит умышленное пренебрежение стандартами, неэтичное или незаконное поведение, то эти нарушения не будут наказаны. Таким образом, политика подразумевает - а иногда и формализует - разделение между системами обучения и системами оценки. В некоторых учреждениях, в том числе в ВВС США, эта политика заходит настолько далеко, что наказывает людей за несвоевременное сообщение о проблеме.

Безотказное информирование также применимо в семьях. Родители подростков, например, могут убедиться, что их дети знают, что если их нужно подвезти домой, они могут позвонить в любое время дня и ночи. Без лишних вопросов. По мнению таких родителей, риски, связанные с сочетанием алкоголя, вождения и подросткового возраста, лучше всего преодолевать, обеспечивая открытость линий связи. Они хотят, чтобы их дети поняли, что "не задавать вопросов" - это действительно приемлемый, не карательный вариант. Таким образом, обучение и безопасность ставятся на первое место по сравнению с оценкой опасных ситуаций.

Психологическая безопасность как позволяет, так и обеспечивает безупречное информирование. Такая политика дает понять: "Мы понимаем, что все может пойти не так, и хотим услышать от вас, чтобы быстро решить проблемы и предотвратить вред". Вспомните, что наиболее эффективные больничные команды в моем исследовании медицинских ошибок могли сообщать об ошибках без страха быть обвиненными. По сравнению с теми, кто неохотно сообщал об ошибках, эти команды лучше извлекали уроки из ошибок и принимали меры по их предотвращению.

Когда в 2006 году Алан Малалли занял пост нового генерального директора Ford Motor Company, он быстро понял, что сотрудники не говорят о многочисленных проблемах компании (настолько погрязшей в долгах, что в том году ожидались убытки в размере 17 миллиардов долларов). Чтобы начать понимать и устранять проблемы, Малалли ввел простую структуру отчетности без вины виноватых. Он попросил своих сотрудников окрашивать отчеты в зеленый цвет (идет по плану), желтый (возможные проблемы или опасения) или красный (застой или срыв). " Данные освобождают вас", - с улыбкой говорил Малалли своей команде руководителей. Подчеркивая, что реальные проблемы существуют и им нужно противостоять, Малалли надеялся, что руководители начнут активно решать проблемы всей командой, а не избегать их.

Но одно дело - ввести новую систему правдивого информирования о происходящем, а другое - заставить людей поверить, что их не накажут и не пристыдят. Вот почему первоначальная реакция - будь то начальник или родитель - на плохие новости имеет решающее значение.

В компании Ford красные отчеты, свидетельствующие о проблемах, были в дефиците гораздо дольше, чем рассчитывал Малалли. Чтобы побудить сотрудников к откровенности, он напомнил им о предполагаемых миллиардных убытках. Наконец, один из руководителей по имени Марк Филд смело рассказал о том, что предстоящий запуск нового Ford Edge сильно затянулся. Edge должен был стать следующей "большой вещью" Ford. Команда замолчала, предвкушая эмоциональную отповедь или увольнение, которые последуют за этой новостью. К их удивлению, Малалли зааплодировал и сказал: "Марк, это отличная видимость". Затем Малалли спросил: "Кто может помочь Марку с этим?"

Потрясенные, но облегченные, несколько руководителей поделились идеями, рассказали о предыдущем опыте и вызвались помочь инженерному персоналу устранить проблему. По словам Малалли, весь "обмен мнениями" на сайте занял двенадцать секунд. Поделиться плохими новостями с командой - или с семьей - это первый шаг к улучшению ситуации.

Малалли утверждал, что прозрачность повышает давление на производительность. "Вы можете себе представить, какая будет ответственность!" - воскликнул он в одном из интервью, представив гипотетический сценарий для пояснения: "Вы будете красным по какому-то пункту, а потом пройдете всю неделю, вернетесь и скажете всем своим коллегам: "Я был очень занят на прошлой неделе, у меня не было возможности поработать над этим". "Малалли понимал, что отчетность без вины не означает низких стандартов и не снижает давление, требующее выполнения работы. Совсем наоборот. С большей прозрачностью приходит чувство взаимной ответственности, которое побуждает людей решать проблемы сообща.

Система информирования об ошибках без вины виноватых является важным компонентом всеобъемлющей и расширенной системы информирования об авиационной безопасности (ASRS) , разработанной в США НАСА в партнерстве с Федеральным управлением гражданской авиации (FAA) и впоследствии принятой на международном уровне. Бортпроводники, авиадиспетчеры и обслуживающий персонал, а также пилоты могут сообщать об ошибках, не называя имени человека, допустившего ошибку. Даже названия аэропортов и номера рейсов на сайте исключены. Более того, правила гарантируют, что информация будет "конфиденциальной, добровольной и некарательной". Отчеты составляются в письменном виде на официальном бланке и содержат предложения описать цепочку событий, вызвавших проблему, как она была устранена и задействованные человеческие факторы, такие как суждения, решения и действия.

Цель анонимности - побудить людей сообщать об ошибках без страха. Многие ошибки - это относительно незначительные промахи, которые не привели к повреждениям или поломкам; например, слишком долгое нахождение на взлетно-посадочной полосе. Составление обширной базы данных об ошибках ценно тем, что ее можно проанализировать, чтобы выявить наиболее распространенные ошибки и проблемы, разработать сценарии обучения пилотов и ориентировать производителей самолетов на дальнейшие разработки.

Одним словом, отчетность без вины виноватых - это часть скоординированной системы обучения. Только обнаружив ошибки, можно их устранить и предотвратить. Исследование 558 отчетов об авариях, сделанных в Соединенных Штатах в период с 1983 года, когда впервые было введено обучение ошибкам, по 2002 год, показало, что количество ошибок пилотов, которые могли привести к авариям, сократилось на 400 40 %. Более того, по словам авиационного журналиста Энди Пасцтора, за двенадцать лет, с 2009 по 2021 год, американские авиакомпании перевезли более 8 миллиардов пассажиров без смертельных аварий.

Профилактическое обслуживание

Что общего между стоматологией и автомобилями? Вот подсказка: как чистка зубов после еды предотвращает болезненный и дорогостоящий кариес, так и регулярная замена масла в автомобиле предотвращает повреждение двигателя. В обеих сферах профилактическое обслуживание крайне важно. Эта практика настолько же скучна, насколько и ценна. Так что же такого в человеке, что позволяет нам так легко пренебрегать профилактическим обслуживанием?

Частично ответ можно найти в том, что психологи называют временным дисконтированием - тенденцией снижать или обесценивать значимость отложенных реакций на действия. Исследования показывают, что люди придают меньшее значение результатам, которые произойдут в будущем, по сравнению с событиями в настоящем. Точно так же, как предложение получить доллар на следующей неделе менее интересно, чем доллар прямо сейчас, нам трудно всерьез воспринимать плохие результаты, которые произойдут, если мы не выполним нудную задачу сегодня. Наша склонность не принимать во внимание будущее объясняет распространенность многих вредных моделей поведения - будь то съедание лишнего куска шоколадного торта или откладывание подготовки к экзамену - и неспособность соблюдать профилактику также проблематична. Нам трудно воспринимать всерьез поломку автомобиля, которая не произошла. Мы не испытываем радости от того, что двигатель нашей машины не заглох сегодня, в то время как вложение времени и денег в техническое обслуживание создает ощутимые неудобства.

Восхитительный эпизод популярного подкаста Freakonomics, вышедший в октябре 2016 года, объясняет, как влияет на экономику наше нежелание инвестировать в профилактическое обслуживание. Стивен Дубнер и его гости сосредоточились на городах и инфраструктуре, а не на личных привычках, но принцип дисконтирования будущего применим в равной степени. Политики, как отметил гость Дубнера, экономист и эксперт по городам Эдвард Глэзер, мотивированы на ограничение расходов в настоящем, в то время как общество выигрывает от сегодняшних инвестиций, которые поддерживают сообщества в будущем. По иронии судьбы, правительства Древнего Рима, вкладывая значительные и разумные средства в строительство и поддержание жизненно важных систем, от которых зависят сообщества, не так часто становились жертвами временного дисконтирования, как современные города и государства. Без инвестиций в инфраструктуру Рим не был бы ни таким густонаселенным, ни таким долговечным. Несмотря на наши более обширные знания, технологии и способность моделировать и предсказывать упадок, скорость изменений в современном мире, кажется, усугубляет нашу гиперфокусировку на настоящем.

Кодификация

Кухни ресторанов опираются на подробные списки задач по закрытию и открытию на следующий день. Кодифицировав процедуру, ей может следовать каждый. В ресторанах быстрого питания для обеспечения эффективности и единообразия используются этапы процесса, и часто на стенах кухни размещаются графические пошаговые рецепты.

Осознанно или нет, но большинство из нас в той или иной сфере своей жизни придерживаются хотя бы полукодифицированного процесса. Прежде чем выйти из дома, мы убеждаемся, что плита и свет выключены. Запираем дверь. Проверяем наличие кошелька, ключей, телефона. Одна подруга хранит в компьютере папку с подробными и индивидуальными списками того, что каждый из ее четверых детей должен собрать для ежегодного летнего похода. Поскольку пятилетний ребенок не может собираться так же самостоятельно, как двенадцатилетний, она организовала списки по возрасту; таким образом, каждые пару лет ей приходится составлять новый список только для старшего ребенка. Перед каждой поездкой она распечатывает списки вещей для каждого ребенка и приклеивает их у его кровати. Помимо экономии времени, такая кодификация снижает вероятность того, что кто-то забудет положить зубную щетку или любимую мягкую игрушку. У нее есть списки и для мужа, и для себя. Она не одинока. Высокоорганизованные люди склонны кодифицировать многие аспекты своей бытовой и профессиональной жизни. Я не отношусь к их числу. Организаторы продуктивности, многие из которых основаны на программном обеспечении, по сути, помогают вам кодировать, чтобы повысить эффективность, сократить количество отходов и предотвратить ошибки.

Ни одно обсуждение кодификации не будет полным без упоминания книги "Манифест контрольных списков", написанной моим коллегой из Гарварда Атулом Гаванде. С момента публикации в 2009 году она помогла популяризировать и утвердить привычку составлять ряд шагов процесса, чтобы обеспечить последовательность и внимание к деталям, а также уменьшить количество ошибок по неосторожности. Гаванде упоминает доктора Питера Проновоста, который хотел уменьшить или предотвратить инфекции у пациентов в отделении интенсивной терапии больницы Джона Хопкинса в Балтиморе, как автора контрольного списка из пяти действий, которые врачи должны выполнять при установке центрального венозного катетера:

Вымойте руки с мылом.

Очистите кожу пациента антисептиком.

Накиньте на тело пациента стерильные шторы.

Наденьте стерильную маску, шапочку, халат и перчатки.

Наложите стерильную повязку на место введенного катетера.

Хотя такие шаги кажутся простыми и очевидными, контрольный список стал проверенным методом защиты от спешки и провалов в памяти, характерных для человеческих ошибок. В качестве примера можно привести случай, когда врачи и медсестры в Мичигане, в течение восемнадцати месяцев следовавшие контрольному списку Проновоста , спасли пятнадцать сотен жизней и принесли штату 100 миллионов долларов. Однако контрольные списки - это не защита от дурака. Медицинские ошибки по-прежнему представляют собой огромную проблему для больниц и медицинских работников. По словам Раджа Ратвани, директора Национального центра по человеческим факторам в здравоохранении MedStar Health, контрольные списки "помогли нам только на 20 процентов" сократить количество ошибок. По оценкам, ошибки в американских больницах ежегодно становятся причиной как минимум четверти миллиона ненужных смертей пациентов. Подавляющее большинство из них - это комплексные ошибки, о чем вы узнаете в главе 4.

Как и пилоты Air Florida в начале этой главы, которые настолько привыкли летать в теплую погоду, что не задумывались о противообледенительной жидкости, мы должны быть уверены, что контрольные списки используются с включенным мозгом. Кроме того, контрольные списки необходимо обновлять, когда развиваются знания или меняются правила.

Необходимая подготовка

В начале 1970-х годов самолеты начали оснащать "черными ящиками", которые записывали данные о полете, такие как скорость и высота, и, что не менее важно, голоса членов экипажа в кабине. Поскольку данные "черного ящика" можно было физически извлечь с места авиакатастрофы, следователи могли восстановить события последних минут полета, которые слишком часто становились последними минутами в жизни пилотов, экипажа и пассажиров. Следствие проводило реконструкцию с целью выявления причин, и по мере того, как происходила авария за аварией, становилось все более очевидным, что в большинстве аварий на сайте виноваты человеческие ошибки, допущенные членами экипажа. Часто это были простые ошибки, которые приводили к элементарным, но трагическим неудачам.

Возьмем, к примеру, рейс 401 авиакомпании Eastern Air Lines в декабре 1972 года. Пилот и его экипаж в кабине были высококвалифицированными и опытными профессионалами; в совокупности они налетали более пятидесяти тысяч часов. Погода во время рутинного рейса из аэропорта имени Джона Кеннеди в Нью-Йорке в Майами была благоприятной. Но причиной падения самолета стала зацикленность пилота и экипажа на перегоревшей лампочке на носовом шасси. Несколько раз капитан говорил остальным в кабине найти проблему с лампочкой; но пока они пытались решить эту проблему, ни он, ни кто-либо другой не замечали гораздо более срочной проблемы, пока не стало слишком поздно: самолет быстро терял высоту. Самолет Lockheed L-1011 рухнул в Эверглейдс во Флориде. Сто один человек погибли.

К концу 1970-х годов многим стало ясно, что с безопасностью полетов нужно что-то делать. Как и медицина и ядерные реакторы, рассмотренные в главе 4, авиация - это область высокого риска, где небольшие ошибки могут привести к катастрофическим последствиям. На промышленном семинаре NASA, состоявшемся в 1979 году, собрались авиационные эксперты из частной промышленности и правительства, а также психологи и академические исследователи. За прошедшие с тех пор десятилетия несколько итераций тренинга под названием "Управление ресурсами экипажа" (CRM) позволили снизить уровень аварийности. Роль моего консультанта по диссертации в этом обучении в конечном итоге привела к моему исследованию ошибок в больницах в начале 1990-х годов. В дополнение к безответственному информированию и работе над ошибками CRM стал включать в себя обучение лидерству, коммуникации, осознанию ситуации и опасному отношению. Многие из основных принципов CRM были приняты в бизнесе и, во все большей степени, в сфере здравоохранения.

Защита от сбоев

До 1967 года родители, оставлявшие бутылочки с таблетками в открытом доступе для маленьких детей, рисковали попасть в отделение неотложной помощи. Случайных отравлений среди детей было так много, что доктор Анри Брео, заведующий педиатрией и директор Центра контроля отравлений при больнице в Виндзоре, Онтарио, однажды пришел домой в три часа ночи и, по словам его жены, сказал: "Знаете, с меня хватит! Я устал выкачивать детям желудки, когда они принимают таблетки, которые им не следует принимать! Я должен что-то с этим сделать". Это послужило толчком к изобретению крышки, которую дети не могли открыть. Изобретение, получившее название Palm N Turn и появившееся в Виндзоре, сократило количество несчастных случаев при отравлении на 91 процент.

Это один из примеров защиты от неудач - принятие мер по снижению известного фактора риска. Сегодня защита дома и автомобиля от детей - обычное дело. Это не только бутылочки с лекарствами, которые нужно читать и с силой крутить и защелкивать, но и самозакрывающиеся двери автомобиля, крышки для электрических розеток, ремни для крепления опрокидывающейся мебели, ворота вокруг бассейнов и многое другое.

Пока-йокэ, что в переводе с японского означает "защита от ошибок", - термин, возникший в производственной системе Toyota (TPS), - является ценной практикой в современном производстве. То, что так много предметов, которыми мы пользуемся, получают пользу от "пока-йокэ", свидетельствует о повсеместном распространении базовых ошибок. Все мы сталкиваемся с проявлениями невнимательности. Мы все можем придерживаться ошибочных предположений и быть излишне самоуверенными. Задача состоит в том, чтобы принять меры по снижению количества базовых неудач, к которым приводят эти тенденции.

Выдающийся исследователь дизайна Дон Норман с 1980-х годов размышляет и пишет о взаимоотношениях между людьми и вещами, которые мы используем. Его работы на сайте заложили основу для области, которую сейчас называют дизайном, ориентированным на человека. Норман утверждает, что большая часть того, что мы называем человеческими ошибками, может быть отнесена на счет плохого дизайна. В качестве примера он приводит онлайновое выпадающее меню, в котором пользователям предлагается выбрать из алфавитного списка пятьдесят штатов при заполнении адреса. Слишком легко, утверждает Норман, выбрать Миссисипи вместо Миннесоты из-за их соседства. Дизайн не был защищен от ошибок.

Глубокое понимание Нормана того, как человек мыслит, тесно переплетается с его идеями о дизайне. Например, он отмечает, что мы склонны уделять знакомым задачам меньше внимания, тем самым увеличивая риск того, что мы оступимся. Именно это произошло с опытными пилотами, которые забыли включить антиобледенитель при полете в холодную погоду; будучи экспертами, они уделили контрольному списку меньше внимания, чем он того заслуживал. Разработчики программного обеспечения, признающие неизбежность человеческих ошибок , могут предоставлять контекстные предупреждения об ошибках (Twitter предупреждает, прежде чем вы достигнете лимита символов), обеспечивать страховочные сетки (функция отмены для документов) и поддерживать кратковременную потерю памяти при выполнении задач с большим объемом информации, сохраняя предыдущие записи человека.

Как и в случае с кодификацией, мы все можем придумать креативные способы защиты от неудач в повседневной жизни. Установите фонарь на каменной стене в конце подъездной дорожки, чтобы уменьшить вероятность того, что вы врежетесь в нее задним ходом. Держите зонтик возле двери, чтобы побудить себя взять его с собой, если намечается дождь. Назначьте свидание с другом, чтобы повысить вероятность того, что вы как следует подготовитесь к экзамену. Помните о предположениях. Сознательно боритесь с временным дисконтированием. Возможности безграничны.

И наконец, сохраняйте непредвзятость - вдруг ваши основные неудачи окажутся замаскированными возможностями.

Эврика! Когда неудача превращается в успех

Ли Кум Шын, двадцатишестилетний повар небольшого ресторана, где подавали вареных устриц в Гуандуне, прибрежной провинции на юге Китая, не собирался нарушать технологию приготовления в тот роковой день в 1888 году. Ли по ошибке оставил кастрюлю с устрицами кипеть слишком долго, и вернулся к липкому коричневому месиву. Попробовав результат, он обнаружил, что это очень вкусно! Недолго думая, он решил специально приготовить свой "устричный соус" и продавать его в банках под маркой Lee Kum Kee. В итоге его "гениальная ошибка" сделала Ли и его наследников чрезвычайно богатыми. Когда внук Ли умер в 2021 году, состояние семьи превышало 17 миллиардов долларов. Даже если большинство неудач не приводят к появлению новых ценных продуктов, многие из любимых сегодня продуктов питания, включая картофельные чипсы и шоколадное печенье, были открыты случайно.

Хотя большинство базовых неудач не приводят к созданию миллиардных бизнесов, те, что случаются, нужно заметить и переосмыслить как возможности. Это происходит только тогда, когда вы открыто и добродушно реагируете на ошибки.

Ошибаться - дело человеческое, предотвратить основную неудачу - божественное

Ошибки всегда будут с нами. Часто они безобидны. В других случаях они приводят к основным неудачам, которые варьируются от забавной истории для друзей (помятый бампер) до разрушительной гибели людей (обрушение отеля Hyatt Regency в Канзас-Сити). Каждый из нас ежедневно сталкивается с возможностью нарушить причинно-следственную цепочку, связывающую ошибку с неудачей. Что делает основные неудачи труднопреодолимыми, так это наше инстинктивное отвращение к ошибкам, особенно к собственным. Но если подружиться с ошибками, чтобы улавливать их, сообщать о них и исправлять, последующих неудач можно избежать.

Не менее ценным является применение всевозможных превентивных тактик - от обучения до защиты от ошибок. Это не самая сексуальная часть успешной работы, не та часть, которая получает лайки в социальных сетях или приветствуется как последняя причуда менеджмента. Учитывая ее огромную ценность (просто спросите акционеров Alcoa или пассажиров коммерческих авиалиний!), это очень жаль. Жизненно важной частью успешной работы является предотвращение основных неудач. Если вы стремитесь к нулевому ущербу и безотказной работе на месте, необходимо подружиться с человеческими ошибками.

Да, ошибаться - это человеческое. А прощать (особенно самих себя) - поистине божественно. Но внедрение простых практик для предотвращения основных неудач в нашей жизни и организациях возможно и целесообразно. Можно даже сказать, что это придает сил.

ГЛАВА 4. Идеальный шторм

К сожалению, большинство систем предупреждения не предупреждают нас о том, что они больше не могут нас предупреждать.

-Чарльз Перроу

Капитан Пастренго Ругиати был крепким, добродушным человеком, любившим море и корабли, на которых он служил. У него была репутация доброго человека. Когда кто-то из его офицеров получал извещение о рождении ребенка, Ругиати давал корабельный свисток, спускал с мачты голубую или розовую ленту и устраивал вечеринку для всех мужчин, не находящихся на службе. В ту пятницу в марте 1967 года он задержался на палубе после полуночи, когда "Торри Каньон" плыл на север, приближаясь к концу своего многомесячного путешествия из Кувейта в Милфорд-Хейвен (Уэльс). Море внизу было спокойным; на ближайшие несколько дней прогнозировалось чистое плавание.

Ругиати засиделся допоздна, чтобы проработать детали предстоящей сложнейшей операции: разгрузки примерно 119 000 тонн сырой нефти, которую перевозило его судно. Все должно было пройти как надо: судно поджимало время. Если Ругиати не успеет прибыть в Милфорд-Хейвен к 23:00 следующего дня, ему придется еще шесть дней ждать прилива , который позволит разгрузить судно размером с Torrey Canyon. Ни он, ни команда, ни нанявшая их либерийская судоходная компания не могли позволить себе такую задержку. Он особенно тщательно подходил к расчетам, поскольку на корабле отсутствовал экземпляр "Канального лоцмана" - стандартного морского руководства и наилучших доступных знаний для навигации в предстоящих водах. Когда он наконец улегся на койку, то попросил позвать его, когда по правому борту (справа от судна) покажутся печально известные острова Скилли - архипелаг у юго-западного побережья Англии.

Около 6:30 утра первый помощник разбудил капитана. Он сообщил, что океанские течения и ветер сбили корабль с курса. Надеясь исправить ситуацию, первый офицер изменил направление движения корабля. Ругиати был раздосадован тем, что первый офицер изменил курс без разрешения. Еще больше его раздражало то, что изменение курса увеличит время в пути. Ругиати вернул корабль на прежний курс, который он так тщательно проработал накануне вечером. Хотя теперь им придется пройти недалеко от рифа Семи Камней, легендарно опасного для моряков, Ругиати считал, что корабль и его команда будут в безопасности. В ретроспективе это оказалось бы спорным и даже ошибочным.

И все же Ругиати мог бы спокойно направить свое судно в гавань, если бы не два неожиданных мелких события, последовавших одно за другим. Во-первых, в тумане внезапно появились две лодки с омарами, заблокировав движение и вынудив капитана свернуть в сторону. В условиях недостатка пространства для маневра счет шел на секунды. Во-вторых, механическая проблема в рулевом колесе не позволила рулю немедленно отреагировать на попытку Ругиати повернуть. Эта крошечная задержка имела значение.

Ругиати был очень внимателен. Но он опоздал. Слишком близко к рифу. Ему не повезло. Около 8:50 утра "Торри Каньон" на полной скорости врезался в риф. Днище массивного судна было вырвано. Четырнадцать грузовых танков были вскрыты, что привело к катастрофическому разливу нефти объемом 13 миллионов галлонов. Та суббота, 18 марта 1967 года, стала лишь началом того, что впоследствии обернулось грандиозным провалом, и по сей день крупнейшим в Великобритании разливом нефти.

Как позже сказал капитан Ругиати на официальном расследовании, "множество мелочей сложились в одну большую катастрофу". Сроки, течения, туман, лодки с омарами и рулевое управление - в другой день все могло бы пройти хорошо. Уберите любой из этих факторов, и несчастного случая, скорее всего, удалось бы избежать. Ругиати, скорее всего, продолжал бы долгие годы заниматься тем, что любил больше всего: плавать на танкерах по всему миру. Вместо этого он стал таким же разбитым, как и его судно, его стыдили и обвиняли, его карьера пошла под откос. "Для капитана корабля его корабль - это все, а я потерял свой", - признался он. Для большинства людей, включая владельцев и страховщиков судна, и особенно в его собственных глазах, высококвалифицированный капитан стал полным неудачником.

Много мелочей

Трагедия в Торри-Каньоне представляет собой классический пример сложного провала. "Множество мелочей", складывающихся в неудачу, будь то большая или малая, отражает основную особенность этого третьего типа. Как и во многих других историях, "мелочи", которые регулярно происходят без происшествий, выстраиваются в неправильную последовательность, позволяя неудаче проскочить через ограждения, которые обычно ее предотвращают.

В этой главе мы рассмотрим природу сложных неудач и причины их роста практически во всех сферах современной жизни. Но прежде всего эта история напоминает нам о необходимости трезво подходить к теме неудач. Не все неудачи можно назвать правильными! Некоторые из них просто катастрофичны. Некоторые трагичны. Другие просто вызывают досаду. Наука о том, как правильно терпеть неудачи, начинается с четкой диагностики типа неудачи, чтобы лучше понять, извлечь уроки и, самое главное, предотвратить как можно больше разрушительных неудач. Как и базовые неудачи, сложные неудачи - это не совсем то, что нужно.

Тем не менее, сказать, что комплексные неудачи не являются ошибками правильного типа, - это не значит назвать их достойными порицания. Некоторые из них являются таковыми, но большинство, как вы увидите, нет. Как и интеллектуальные и базовые неудачи, сложные неудачи могут быть мощными учителями, если мы готовы проделать тяжелую работу, чтобы научиться на них.

В поисках преступника

Несмотря на прекрасное самочувствие в начале пути, физическое напряжение и психологический шок от того, что стало последним путешествием капитана Ругиати, подорвали его здоровье. Он похудел на двадцать фунтов, у него развилась легочная инфекция, и теперь врач строго-настрого запретил ему видеться с кем-либо, кроме жены Анны, которая навещала его ежедневно. Но папарацци нашли его в Генуе, когда назначенная Либерией комиссия по расследованию, перед которой Ругиати и несколько других членов экипажа дали показания, вынесла свое заключение: капитан Пастренго Ругиати несет полную ответственность. Его лицензия была аннулирована, и он больше никогда не выйдет в море. Фотограф сделал снимок испуганного человека под кроватью.

Впоследствии это решение было воспринято как поспешное. Один из членов экипажа дал показания, что навигационные измерения, которые он сделал и сообщил в последние часы перед аварией, были неточными. Кроме того, кто-то на палубе, неясно кто, по ошибке передвинул боковой рычаг на штурвале, замедлив маневры Руджиати в те последние, решающие секунды. Кроме того, пропал экземпляр журнала The Channel Pilot, который мог бы служить навигационным руководством. Возложение вины на одного человека, капитана, было не только относительно простым ответом на то, что пошло не так, но и хорошей новостью для владельцев и страховщиков судна: по крайней мере, по одной из оценок, вердикт сэкономил им почти 17 миллионов долларов.

Рефлекс обвинять кого-то, сваливать вину на одного человека или причину - почти универсальный. К сожалению, он снижает психологическую безопасность, необходимую для занятий наукой о том, как хорошо терпеть неудачи. Генеральных директоров увольняют, когда компания не справляется со своими обязанностями. Супруги обвиняют друг друга в том, что поздно забрали ребенка из детского сада. Дети обычно указывают пальцем на другое место, чтобы избежать вины. Легко и естественно искать отдельные причины и отдельных виновников, но в сложных неудачах этот инстинкт не только не помогает, но и является неточным. И это затрудняет открытый и логичный разговор о том, что же произошло на самом деле и как сделать лучше в следующий раз. Позже я расскажу о подходах к сокращению числа сложных неудач, а пока хочу подчеркнуть, что психологически безопасная среда, в которой люди знают, что их не будут винить за ошибки или разочаровывающие результаты, - это основа, которая позволяет и организациям, и семьям переживать меньше неудач неправильного типа и больше - правильного.

А как насчет подотчетности? Этот вопрос мне задавали руководители самых разных отраслей, таких как больницы и инвестиционные банки. Конечно, люди должны сталкиваться с последствиями неудач, чтобы избежать чрезмерной расхлябанности в культуре? Если людей не винить за неудачи, как их можно мотивировать к совершенствованию? Это опасение основано на ложной дихотомии. На самом деле культура, позволяющая спокойно признавать неудачи, может (а в условиях повышенного риска и должна) сосуществовать с высокими стандартами производительности. Культура вины в первую очередь служит для того, чтобы люди не говорили о проблемах вовремя и не исправляли их, что, очевидно, не способствует повышению производительности. Вот почему так ценна безупречная отчетность. Как вы увидите, беспрепятственное и быстрое информирование об аномалиях жизненно важно для высокой производительности в любом динамичном контексте.

Сложность сложных неудач

Хотя базовые сбои иногда бывают разрушительными, сложные сбои - это настоящие монстры, которые нависают над нашей жизнью, организациями и обществами. В то время как базовые сбои представляют собой вполне решаемые проблемы с единичными причинами, сложные сбои архетипически отличаются от них. Они распространены в таких местах, как приемные покои больниц и глобальные цепочки поставок, поскольку множество факторов и людей взаимодействуют между собой непредсказуемым образом. Все более изменчивые погодные системы - еще одна питательная среда для сложных сбоев. Годы изучения сложных неудач в здравоохранении, аэрокосмической отрасли и бизнесе позволили мне собрать удивительно разрозненных примеров, которые, тем не менее, имеют общие черты. Прежде всего, они имеют более одной причины. Сложные сбои происходят в привычной обстановке, что отличает их от интеллектуальных сбоев. Несмотря на то, что эти ситуации знакомы, они имеют определенную степень сложности, где множество факторов могут взаимодействовать неожиданным образом. Обычно сложным отказам предшествуют едва заметные предупреждающие знаки. Наконец, в них часто присутствует как минимум один внешний, на первый взгляд неконтролируемый, фактор.

Знакомые настройки

В отличие от интеллектуальных неудач, которые происходят на новой территории - например, выбор ранее не сочетавшихся ингредиентов для инноваций в кулинарии, свидания для поиска спутника жизни или эксперименты с акустикой, в результате которых был создан принципиально новый электретный микрофон, - сложные неудачи происходят в условиях, когда вы можете найти множество предыдущих знаний и опыта. Хотя во время своего последнего плавания капитан Ругиати, возможно, не плавал именно по этому маршруту и именно в таких погодных условиях, базовые знания для успешного плавания были хорошо известны. Общественное мероприятие, поездка на отдых или семестр в школе - вот примеры привычных условий, в которых каждый из нас мог столкнуться со сложной неудачей или двумя. Большинство несчастных случаев, трагедий и катастроф, которые попадают в ежедневные новости, - это сложные неудачи в достаточно знакомой обстановке.

Возьмем, к примеру, съемочную площадку фильма Rust в Нью-Мексико, где 21 октября 2021 года кинооператор Халина Хатчинс получила смертельное огнестрельное ранение. Ранчо Бонанза-Крик ранее использовалось другими кинематографистами и было достаточно хорошо знакомо съемочной группе, которая работала там уже несколько дней. Все участники съемок были достаточно хорошо знакомы с необходимыми процессами и мерами предосторожности, принятыми в их индустрии для съемок фильмов с использованием огнестрельного оружия. Тем не менее актер и продюсер Алек Болдуин каким-то образом держал пистолет, из которого случайно вылетела роковая пуля: "раздался звук, похожий на хлесткий удар, а затем громкий хлопок". Режиссер Джоэл Соуза, стоявший рядом с Хатчинсом, получил ранение в плечо. Трагический комплексный сбой.

В ходе последовавшего расследования выяснилось, что установленные процедуры безопасности при обращении с огнестрельным оружием на съемочной площадке не были строго соблюдены. Двадцатичетырехлетняя оружейник Ханна Гутьеррес-Рид, отвечавшая за безопасность и использование оружия на съемочной площадке, рассказала следователям, что ранее в день происшествия она следовала протоколу, проверяя, чтобы среди боеприпасов, предназначенных для съемок в тот день, были только "манекены" и никаких "горячих патронов", или боевых пуль. Однако помощник режиссера Дэвид Холлс, который последним проверил пистолет на безопасность, прежде чем передать его Болдуину и объявить, что он "холодный", сказал следователям, что он допустил ошибку, не проверив все патроны в тот день - серьезное нарушение протокола безопасности. Более того, было непонятно, как боевые патроны, обычно запрещенные на съемочной площадке, вообще попали на территорию. Хуже того, за неделю до этого дважды произошел "случайный выстрел", что не привело к усилению контроля за соблюдением техники безопасности на съемочной площадке.

Именно эта привычность делает сложные неудачи такими губительными. В знакомых ситуациях вы чувствуете себя более контролируемым, чем на самом деле, - например, вы едете домой (знакомая ситуация), несмотря на употребление алкоголя на вечеринке, - поэтому вас легко убаюкать ложным чувством уверенности. Капитан Ругиати чувствовал контроль над своим кораблем благодаря тщательному планированию накануне вечером и многолетнему опыту. Я уверен, что вы можете вспомнить примеры из своей жизни, когда это было правдой. Может быть, вы были уверены в своей способности руководить командным проектом, много раз делая это раньше, но столкнулись с неожиданными проблемами, сложность которых вы недооценили. Может быть, вы или кто-то из ваших знакомых считали себя достаточно защищенным от COVID благодаря мерам предосторожности, которые казались адекватными, а затем заразились. В целом, если вы думаете: "Я могу сделать это во сне", - будьте осторожны! Излишняя самоуверенность - предвестник сложных неудач, так же как и базовых.

Комплексные неудачи не всегда бывают катастрофическими. У каждого из нас бывали случаи, когда мини-"идеальный шторм" срывал наши планы. Вы ставите будильник на полдень, а не на утро, из-за чего опаздываете выйти из дома; ваш бензиновый бак остается пустым, и вы останавливаетесь, чтобы его заправить. Затем авария на шоссе создает необычно плотный трафик, из-за чего дорога до кабинета врача занимает больше времени, чем предполагалось. Вы приезжаете на прием на тридцать минут позже назначенного времени, а врача, спешившего в больницу на неожиданное неотложное дело, уже нет на месте. Несмотря на то, что пропуск приема относительно не опасен, это сложная неудача.

Multicausal

Сложные отказы имеют более одной причины, ни одна из которых сама по себе не привела к сбою. Обычно это сочетание внутренних факторов, таких как процедуры и навыки, с внешними факторами, такими как погода или задержка поставки поставщиком. Иногда эти факторы взаимодействуют, усугубляя друг друга, а иногда просто усугубляются, как в случае с соломинкой, сломавшей спину верблюду. В ходе судебных разбирательств и обвинений, которые участились после несчастного случая со стрельбой на ранчо Бонанза-Крик, ясно одно: если бы хоть одна из мелких ошибок была замечена или предотвращена, трагического провала можно было бы избежать. Возможно, пуля прошла бы мимо Хатчинс, если бы она стояла за камерой под немного другим углом. Если бы Болдуин медленнее или с меньшим усилием выхватил револьвер, он мог бы не разрядиться. Если бы боеприпасы не были допущены на съемочную площадку. Если бы оператор не объявил громко, что оружие холодное. В этом случае, как и во многих других, система с предусмотренными протоколами была слабой, а ее исполнение - небрежным.

Обрушение Champlain Towers South 24 июня 2021 года, названное "одной из самых смертоносных инженерных неудач" в истории США, было трагическим комплексным сбоем, унесшим девяносто восемь жизней. В поисках причин мы можем обратиться даже к 1890-м годам, когда амбициозные застройщики решили построить город на участке болотистой местности, известном как Майами-Бич. Далее следует рассмотреть вопрос об уничтожении мангровых лесов, которые служили "естественными стенами от штормов, смягчая ущерб от приливов и отливов и блокируя сильные ветры", в результате чего здания были уязвимы с самого начала, а с сегодняшними усиленными штормами и повышением уровня моря - тем более. К этому следует добавить нежелание владельцев кондоминиумов финансировать дорогостоящие и неожиданные для них расходы на техническое обслуживание по мере старения тридцатидевятилетнего здания. Поскольку местные правила требовали переаттестации таких сооружений через сорок лет, инженер, осматривавший "Башни" полтора года назад, отметил, что конструкция бетонной плиты, лежащей на площадке под бассейном, позволяет воде скапливаться в фундаменте здания. Он также увидел небольшие трещины и эрозию, которые, казалось, не создавали непосредственной опасности. Сметная стоимость устранения проблемы с палубой в 9 миллионов долларов - намного больше, чем было в резерве здания, - привела к задержкам, жарким спорам между жильцами и отставке некоторых членов совета директоров. При всей заманчивости попытки определить одного виновника - застройщиков, владельцев, городские власти или изменение климата - не увенчаются успехом.

Внешние факторы

В сложных неудачах часто участвует внешний или неконтролируемый фактор. Можно считать это невезением. К провалу в каньоне Торри привело трагическое сочетание непредвиденных внешних (неожиданно появившиеся лодки с омарами) и неконтролируемых (океанские течения) факторов. Живая пуля найдена на складе оружейного магазина. Повышение уровня воды в районе Майами усугубляет старение конструкций в башнях Чамплейн. Подросток едет домой с вечеринки, и его расстройство рассудка усиливается на внезапно обледеневшей дороге. Вирус с неизвестным ранее химическим составом становится таким же неконтролируемым, как и поведение человека.

Иногда грань между базовой и сложной неудачей стирается. То, что поначалу кажется элементарной неисправностью, например, ошибочное заряжание настоящей пули вместо холостой, при дальнейшем изучении оказывается сложной неисправностью, когда первоначально очевидная единственная причина обнаруживает свои собственные причины.

Возьмем, к примеру, крошечную, но роковую ошибку, которую совершил тридцатипятилетний офицер ВМС по имени Брайан Багге, любивший погружаться с аквалангом. Несмотря на то что он обычно был скрупулезным и внимательным, во время последнего погружения в рамках курса повышения квалификации он вышел из лодки в океанские воды недалеко от Гонолулу, не включив подачу кислорода в свой ребордер. Через несколько минут он впал в гипоксию и утонул, а его инструктор и однокурсники оказались всего в нескольких футах от него.

Хотя его ошибка в том, что он не включил подачу кислорода, говорит об элементарной неудаче, если увеличить масштаб, то можно увидеть множество причин, которые делают эту неудачу сложной. Например, инструктор был новичком в суматошной программе обучения , где расписание менялось часто и в последнюю минуту. Почему не были проведены проверки напарников? Почему снаряжение Брайана не было перепроверено перед погружением в тот день? Возможно, это была излишняя самоуверенность. Брайан был опытным дайвером, и погружение проходило на буквально знакомой территории - класс уже нырял в этом месте. Другой внешний фактор: большинство студентов были военными, привыкшими уважать иерархию и не желающими высказывать свое мнение, чтобы поставить под сомнение авторитет инструктора. Наконец, по словам вдовы Брайана, Эшли Багге, он испытывал противоречивые чувства, завершая то погружение рано утром в воскресенье. Накануне вечером он предложил вообще отказаться от погружения и провести день с Эшли и их двумя маленькими детьми. Сама заядлая ныряльщица, она уговорила его поехать. "Я посмотрела ему в глаза и сказала, чтобы он просто сделал это", - вспоминала позже Эшли. Я сказала ему: "Я знаю, что ты не хочешь бросать занятия".

Понятно, что с тех пор Эшли часто задумывается о том, что все могло бы сложиться иначе, если бы она не подтолкнула Брайана к последнему погружению, а вместо этого настояла на том, чтобы он остался дома. Но, по ее словам, "для меня дело не в том, кто виноват, кто сделал то или это. Для меня это не игра в вину". Это очень важный момент. Одиночный фокус обвинения снимает нас с крючка. Это означает, что нам не нужно тщательно изучать способствующие факторы, что очень важно для предотвращения будущих комплексных неудач. Это особенно верно, когда целью является обеспечение безопасной работы в сложных по своей природе условиях, о чем мы поговорим далее в этой главе.

Предупреждающие знаки

Наконец, сложным неудачам обычно предшествуют небольшие предупреждающие знаки, которые пропускаются, игнорируются или преуменьшаются. На съемочной площадке фильма "Руст", несмотря на то что никто не пострадал, когда на предыдущей неделе случайно сработали реквизитные пушки, члены съемочной группы, которые говорили о безопасности, не воспринимались всерьез - очевидно, никаких дополнительных мер предосторожности не принималось. Вместо этого члены съемочной группы рассказывали, что их торопили, чтобы завершить фильм в установленные сроки. Другие условия работы также были неоптимальными. Съемочной группе были обещаны и запрошены номера в гостинице в близлежащем Санта-Фе, но вместо этого они были вынуждены добираться из Альбукерке по часу в каждую сторону после двенадцати-тринадцатичасового рабочего дня на съемочной площадке. Зарплата не всегда приходила вовремя. Раздосадованные и разочарованные, пятеро членов съемочной группы в ночь перед съемками написали электронные письма, в которых заявили о своем намерении уволиться.

Несомненно, вы оглядывались назад после значительной поломки, чтобы понять, как ее можно было предотвратить. Если бы вы не проигнорировали этот тусклый звук в двигателе автомобиля перед тем, как отправиться в дальнюю дорогу, где ремонтные мастерские были малочисленны, возможно, вы не стояли бы сейчас на обочине. Если бы вы поговорили со своим профессором после плохой промежуточной оценки о том, как улучшить работу, и если бы у вас не было семейных дел, которые отнимали ваше время и внимание, вы бы больше готовились к выпускному экзамену и успешно сдали курс. Понимание того, почему мы часто пропускаем сигналы, предупреждающие о неудачах, имеет решающее значение для их предотвращения, и мы рассмотрим его далее в этой главе.

Тщательная диагностика сложной поломки обычно выявляет пропущенные сигналы, а также позволяет глубже понять, кто и за что несет ответственность. Инженер, осматривавший Champlain Towers South , увидел небольшие трещины в бетоне и легкую эрозию арматуры - ни то, ни другое явно не сигнализировало о непосредственной опасности. Слишком часто анализ отказов бывает поверхностным, и шаги, предпринятые для исправления ситуации, в итоге ухудшают ее.

Усугубление ситуации

Дни и недели, последовавшие за крушением судна Torrey Canyon на рифе Seven Stones, превратили трагическую неудачу в нечто гораздо более страшное и сложное. Как сказал Стивен Дж. Хокинс, ученый, изучавший влияние разлива нефти с танкера на дикую природу, " Лекарство оказалось хуже болезни". Взгляд на цепочку событий, а также размышления, которые привели к тому, что превратилось в серию неудачных попыток остановить продолжающуюся трагедию, играет важную роль. То, как многофакторный сбой может стать запутанным и трудноразматываемым, подобно узловатой веревке, которая распрямляется все сильнее, чем сильнее вы тянете, не является уникальным для катастрофы в Торри-Каньоне. Понимание архитектуры сложных отказов - это часть поиска ключей к их предотвращению.

Сначала владельцы Torrey Canyon думали, что судно можно спасти. Они наняли голландскую компанию, которая отправила буксиры и спасателей на борт, чтобы выгрузить нефть в воду и оттащить облегченный танкер от скал. Капитан Ругиати и команда мужественно держались за свое судно. Но супертанкер застрял в скалах слишком глубоко, чтобы его можно было вытащить; его корпус продолжал разламываться, а нефть продолжала вытекать, угрожая пожаром и вынуждая всех сойти на берег. Затем компания British Petroleum сбросила в воду семьсот тысяч галлонов промышленного моющего средства под названием BP1002, причем в некоторых случаях бочки с моющим средством скатывались с вершин скал.

Никто не знал, насколько опасны химикаты для жизни океана. Пляжи в Западном Корнуолле были покрыты тем, что один репортер описал как " толстый ковер черной слизи". В итоге погибло около пятнадцати тысяч морских птиц . Британское правительство и Королевский военно-морской флот колебались, как справиться с катастрофой, поначалу отказываясь признать ее серьезность, что усугубляло хаос. Корабль находился в международных водах, поэтому было неясно, кто именно за него отвечает и что является полностью законным. Наконец, через десять дней после первоначальной посадки на мель Королевский флот разбомбил супертанкер. Только двадцать три из сорока одной тысячефунтовой бомбы попали в цель; также был сброшен напалм, поднявший шлейфы черного дыма высотой в три мили, которые были видны за сто миль. Наконец, 30 марта, спустя почти две недели после первой утечки нефти, "Торри Каньон" начал тонуть.

Крупномасштабные кризисы, подобные тому, что произошел на судне Torrey Canyon, попавшие в заголовки газет, часто сочетают в себе множество мелких неудач и различных типов сбоев. Никто не знал, как управлять ломающимся судном и вытекающей нефтью; никто не знал, как справиться с тоннами сырой нефти, разлившейся на сотни миль нетронутого побережья. Одна вещь пошла не так, за ней последовала другая и третья. "Множество мелочей сложились в одну большую катастрофу". Если базовые сбои представляют собой вполне разрешимые проблемы, то сложные сбои, примером которых является эта трагедия, архетипически отличаются. К сожалению, такие "идеальные штормы" не уходят в прошлое. Иногда они разворачиваются на протяжении десятилетий.

Разворачиваясь на протяжении десятилетий

Через тринадцать минут после взлета из аэропорта Джакарты (Индонезия) 29 октября 2018 года самолет Lion Air Flight 610 упал в Яванское море. Первоначальное расследование выявило инженерную проблему с одним из двух датчиков самолета Boeing 737 MAX, который по ошибке включил автоматическую систему, сильно и быстро опустившую нос самолета. Спустившись со скоростью более пятисот миль в час, самолет не выжил. Вернувшись в США, FAA сообщило Boeing, что риск безопасности достаточно низок, чтобы продолжать полеты на самолетах 737. Boeing было дано семь месяцев на тестирование и доработку автоматического программного обеспечения системы , а также было предложено проинформировать пилотов о том, как действовать в случае повторения неисправности.

Проблема решена?

К сожалению, нет. Всего через пять месяцев, в марте 2019 года, по точно такой же причине разбился еще один 737 MAX. Самолет Ethiopian Airlines Flight 302 вылетел из Аддис-Абебы, столицы Эфиопии, и через несколько минут врезался в землю на скорости 575 миль в час, разрушившись при ударе. На этот раз FAA посадило на мель весь парк самолетов 737 MAX. Более глубокое и всестороннее расследование вскоре выявило множество причин этой сложной аварии. Безусловно, инженерная конструкция и новая система программного обеспечения были неоптимальными - значимые причины для понимания того, как произошли эти сбои. Но если посмотреть глубже, то культура компании Boeing и более широкое отраслевое окружение сыграли решающую роль в этих сбоях, представляя собой классический случай комплексного отказа.

Я читал эти заголовки в 2019 году с мрачным чувством знакомости. Моя научная карьера была посвящена изучению предотвратимых неудач в сложных организациях. Как и в случае с пистолетом, который дал осечку на установке Rust, и кислородным баллоном для подводного плавания, который не был правильно установлен, заманчиво списать эти две аварии на ошибки в программном обеспечении, которые привели к сбоям в работе автоматических датчиков. Идиосинкразические сбои в сложной технологии. Но, как и прежде, присмотритесь внимательнее, и вы увидите некоторых из обычных виновников, определяющих сложные неудачи: множество причин в достаточно знакомой обстановке, с ее ложным чувством безопасности; пропущенные сигналы; интерактивная сложность в меняющейся бизнес-среде. Временами я просто не могу вынести частого повторения этой истории. Мои исследования пролили свет на то, почему это происходит, - на когнитивные, межличностные и организационные причины, которые делают комплексные неудачи такими сложными. Множественность факторов также означает, что у вас есть множество рычагов, с помощью которых можно прервать неумолимый в противном случае поток неудач. Это значит, что каждый из нас может стать предотвратителем сложных неудач.

В каждом идеальном шторме есть своя положительная сторона: каждая сложная неудача содержит множество возможностей для предотвращения. Подумайте о том, что пропустили визит к врачу: все, что вам нужно было сделать, - это перепроверить, заведен ли ваш будильник на утро, или залить бензин в бак накануне вечером. Одно исправление предотвратило бы неудачу. Вспомните, какие сложные сбои вы могли предотвратить.

Иногда, чтобы понять истоки сложного сбоя и тем самым выявить многочисленные возможности для его предотвращения, необходимо вернуться на десятилетия назад. Если говорить о причинах аварий 737 MAX, то мы можем указать на значительный фактор в 1997 году, когда компания Boeing приобрела своего главного американского конкурента, компанию McDonnell Douglas, за 13,3 миллиарда долларов в виде акций. Вскоре изменения в руководстве, сопровождавшие приобретение (еще одна причина) , привели к изменению культуры компании с исторического акцента Boeing на инженерные разработки (ценность изобретений и точности) на исторический акцент McDonnell Douglas на финансы (приоритет прибыли и акционерной стоимости). До приобретения компании топ-менеджеры Boeing, как правило, были выходцами из инженерной среды, и сотрудники Boeing разделяли с ними общий технический язык и чувства. Не случайно на сайте общее инженерное чутье помогало инженерам всей организации чувствовать себя достаточно уверенно, чтобы высказывать опасения, например, по поводу проблем со скоростью, конструкцией, топливной эффективностью и, особенно, безопасностью самолета. Инженеры и руководители могли общаться и общались в неформальной обстановке вне работы, обсуждая новые идеи и предложения. После приобретения компании топ-менеджеры, как правило, имели опыт работы в сфере финансов и бухгалтерского учета; журналистка Наташа Фрост уничижительно назвала их "счетчиками бобов" за отсутствие у них технического понимания того, как функционируют самолеты. Изменения в культуре усугубились тем, что в 2001 году штаб-квартира компании переехала из Сиэтла в Чикаго. Теперь руководители высшего звена работали более чем в двух тысячах миль от инженеров, разрабатывающих самолеты, что еще больше отдалило эти две группы.

Перенесемся в 2010 год. Это был год, когда Airbus, крупнейший европейский конкурент Boeing, представил свой новый самолет A320 (четвертая причина), обещая значительно более экономичный самолет за счет повышенной топливной эффективности. Руководство Boeing было ошеломлено - Airbus разработал свой новый самолет в условиях полной секретности - и справедливо опасалось, что Boeing может потерять постоянных клиентов. Вы видите, как была подготовлена сцена для последующей катастрофы. Сцена справа: культура, которая лишает инженеров полномочий и наделяет полномочиями расчетчиков. Левая сцена: конкурентная угроза, которая может привести к негативным финансовым последствиям для акционеров и, следовательно, к репутационному ущербу. Дальше сценарий становится до безумия предсказуемым.

В ответ на неожиданную угрозу со стороны Airbus руководители компании Boeing решили отказаться от дорогостоящих и длительных исследований по разработке совершенно новой модели в пользу обновления существующих самолетов 737. Неожиданно скорость выхода на рынок стала иметь наибольшее значение. Руководители компании пообещали, что новый 737 MAX будет на 8 процентов экономичнее, чем новый Airbus. Теоретически, идея руководства компании - адаптировать существующую конструкцию на достаточно знакомой территории, а не рисковать неизбежными интеллектуальными сбоями, которые повлечет за собой совершенно новая инновация, - была разумным использованием ресурсов. В реальности инженерная задача по модификации 737-го оказалась очень сложной. Чтобы разместить новые, более экономичные двигатели, инженерам пришлось перенести их расположение "дальше вперед и выше на крыле", что повлияло на управляемость самолета при наборе высоты под крутым углом. Чтобы компенсировать новую аэродинамику, инженеры создали автоматизированную систему предотвращения сваливания, получившую название MCAS.

Именно здесь возникли конфликты между инженерами и руководством Boeing. Правила FAA требовали, чтобы пилоты проходили обучение на симуляторах, если конструкция самолета значительно отличалась от предыдущих моделей. Обучение на тренажерах стоило дорого, что было проблемой для авиакомпаний (лояльных клиентов), поскольку отнимало ценные ресурсы (пилотов). Чтобы обойти это постановление, менеджеры Boeing придумали умную, хотя и этически проблематичную стратегию: преуменьшить конструктивные отличия 737 MAX, сделав акцент на программном обеспечении MCAS и его трудностях для пилотов. Они не упомянули о новой системе предотвращения сваливания MCAS в руководстве для пилотов. Главный технический пилот почувствовал давление, заявив, что обучение на тренажерах не требуется. Только после второй аварии достоянием общественности стали предыдущие электронные письма между инженерами, которые на сайте выражали озабоченность безопасностью. Один из сотрудников написал: "Вы бы посадили свою семью на MAX?... Я бы не стал". Другой инженер утверждал, что менеджеры отклонили его предложение по модернизации конструкции из-за "стоимости и потенциального влияния на обучение пилотов". В классическом описании того, каково это - работать в организации с низким уровнем психологической безопасности, один из инженеров написал: "Существует подавляющее культурное отношение к критике корпоративной политики - особенно если эта критика является результатом несчастных случаев со смертельным исходом".

Как это часто бывает в крупных организациях, "подавляющее культурное отношение к критике" распространялось не только на тех, кто был непосредственно связан с неисправными самолетами 737. После двух смертельных катастроф было установлено, что работники завода Boeing 787 Dreamliner в Южной Каролине испытывали давление, заставляя их придерживаться слишком амбициозного производственного графика, и боялись потерять работу, если будут высказывать претензии к качеству. Хотя они не работали на предприятии, где производились злополучные 737-е самолеты, опыт рабочих из Южной Каролины представляет собой хрестоматийный пример широко распространенного среди сотрудников убеждения, что если они выскажут свое мнение, то это вызовет не благодарность, а возмездие. В декабре 2019 года, спустя чуть больше года после первой катастрофы Lion Air, компания Boeing уволила своего генерального директора и остановила производство 737 MAX. Ее акции упали; стоимость компании резко снизилась. Хуже того, три года спустя Министерство юстиции США обвинило Boeing в преступном мошенничестве, что обошлось компании более чем в $ 2,5 млрд в виде штрафов и компенсаций пострадавшим.

Заманчиво смотреть на неудачи с Torrey Canyon и 737 MAX и злиться. Но помните, что ретроспектива - это двадцать-двадцать. В ретроспективе становится ясно, как сделать лучше. Каждый из нас должен принять близко к сердцу тот факт, что неопределенность и взаимозависимость почти в каждом аспекте нашей жизни сегодня означают, что число сложных неудач растет. Академические исследования могут помочь нам понять, почему. Как вы увидите, оно также может помочь нам добиться большего. Как только вы поймете факторы и то, что они означают для вашей организации и вашей жизни, на первый взгляд это может показаться пугающим, но на самом деле это придаст вам сил. Восприятие окружающего мира с точки зрения его склонности к сложным неудачам поможет вам ориентироваться в предстоящем неопределенном будущем.

Комплексный отказ на подъеме

Наиболее очевидной причиной современных сложных сбоев являются все более сложные информационные технологии (ИТ), которые лежат в основе всех аспектов жизни и работы сегодня. Фабрики, цепочки поставок и операции во многих других отраслях зависят от сложных компьютерных систем управления, где небольшой сбой в одной части системы может выйти из-под контроля. Возможно, вы помните, как компания Equifax, предоставляющая кредитные отчеты, сообщила, что номера социального страхования, адреса и номера кредитных карт почти 150 миллионов американцев были украдены с ее программной платформы. Согласно показаниям генерального директора Ричарда Смита в Конгрессе в октябре 2017 года, "утечка произошла как из-за человеческих ошибок, так и из-за технологических сбоев". Хакеры получили учетные данные для входа на три сервера, что позволило получить доступ к сорока восьми дополнительным серверам. Комплексный сбой усугубился тем, что взлом оставался незамеченным в течение семидесяти шести дней, что дало хакерам достаточно времени, чтобы побродить по системе, извлекая персональные данные, а также информацию высокого уровня о структуре данных и инфраструктуре Equifax.

Возможно, вы потеряли ценную информацию, хранящуюся на персональном компьютере, из-за того, что не сделали резервную копию данных, хотя знали, что она очень важна. Надеемся, что последствия потери данных не столь плачевны, как те, с которыми столкнулся валлийский системный инженер по имени Джеймс Хоуэллс. В 2013 году он случайно выбросил жесткий диск, принадлежавший старому компьютеру (жесткий диск, извлеченный после того, как пролитый лимонад уничтожил его игровой ноутбук), и слишком поздно понял, что потерял приватный ключ из шестидесяти четырех символов, который разблокировал то, что начиналось как его скромные инвестиции в биткоины. Несмотря на неустанные попытки получить разрешение на извлечение драгоценного жесткого диска с городской свалки, спустя восемь лет он так и не смог получить полмиллиарда долларов, которые тогда стоил биткоин.

Социальные сети изменили бизнес, политику и дружеские отношения, сделав вирусные сообщения привычным термином. Глобальная финансовая индустрия связывает каждый банк и бесчисленные домохозяйства в каждой стране, делая нас уязвимыми перед человеческими ошибками, происходящими на другом конце света. Как объясняет мой друг, профессор стратегии Колумбийского университета Рита Макграт, много лет назад большинство наших учреждений были разделены и тем самым защищены от последствий ошибок за их стенами. Теперь это не так. Оцифровка огромных объемов информации продолжает расти в геометрической прогрессии по мере снижения стоимости вычислительных мощностей. Развитие интеллектуальных систем, которые взаимодействуют независимо друг от друга, породило бесконечное множество потенциальных сбоев. Такая взаимозависимость - питательная среда для сложных сбоев. По словам Риты, когда "вещи, которые раньше хранились отдельно, сталкиваются друг с другом (другими словами, когда некогда сложные системы становятся сложными), становится гораздо сложнее предсказать, что произойдет дальше". ИТ создают новые уязвимости, поскольку взаимосвязанность мгновенно распространяет последствия небольших сбоев.

Нам не нужно искать дальше коронавируса 2019 года, который зародился в Ухане (Китай) и быстро распространился по всему миру, чтобы найти примеры того, как глобальная взаимосвязь делает сложные сбои более вероятными. Рассмотрим этот небольшой пример. В начале 2020 года, когда спрос на защитные маски внезапно вырос по всему миру, фабрики в Китае начали наращивать производство, грузить их на грузовые суда и отправлять в разные страны. В результате пустых морских контейнеров скопилось в этих далеких странах как раз в тот момент, когда Китай больше всего нуждался в них, чтобы экспортировать больше масок.

Отслеживание контактов - попытка ограничить распространение вируса путем поиска людей, с которыми контактировал инфицированный, чтобы изолировать всех участников, - основана на признании сложных неудач. Каждый инфицированный или подвергшийся воздействию вируса человек потенциально является одной из множества причин сбоя, которым является продолжающаяся пандемия. Мои друзья Крис Клирфилд и Андраш Тильчик буквально написали книгу о комплексном сбое и о том, почему он находится на подъеме. Их увлекательная, а порой и пугающая книга Meltdown объясняет "общую ДНК ядерных аварий, катастроф в Twitter, разливов нефти, провалов на Уолл-стрит и даже правонарушений". Как и я, Крис и Андраш попали под влияние социолога Чарльза Перроу, который выявил факторы риска, делающие определенные виды систем уязвимыми к сбоям.

Как системы порождают сложные сбои

Мысли, которые в итоге превратились в мою систему классификации неудач, начали формироваться тридцать лет назад. Мои исследования были посвящены вопросу о том, почему медицинские ошибки сохраняются даже в первоклассных больницах - и даже после того, как внимание экспертов и общественности к этой проблеме резко возросло. Открытие распространенности непреднамеренного вреда в больницах стало шоком как для общественности, так и для медицинских работников в конце 1990-х годов. По оценкам, такие ошибки в американских больницах ежегодно становятся причиной четверти миллиона ненужных смертей пациентов. Как могло случиться, что так много хорошо обученных и благонамеренных медицинских работников, которые исповедовали принцип "не навреди", продолжали это делать? Как я выяснил, во многом причина кроется в природе комплексного отказа.

Благодаря своему инженерному образованию я стал поклонником новаторской книги Перроу "Нормальные аварии", впервые опубликованной в 1984 году и оказавшей неизгладимое влияние на представления экспертов о безопасности и рисках. Перроу сосредоточился на том, как системы, а не отдельные люди, приводят к последующим отказам. Важность этого различия нельзя недооценивать. Понимание того, как системы приводят к сбоям, и особенно того, какие виды систем особенно подвержены сбоям, помогает исключить вину из уравнения. Это также помогает нам сосредоточиться на снижении количества отказов путем изменения системы, а не путем изменения или замены человека, который работает в неисправной системе.

Я обратился к работе Перроу, чтобы разобраться с тем, как сохраняются медицинские несчастные случаи. Перроу описал обычный несчастный случай - термин, призванный спровоцировать - как предсказуемое (то есть нормальное) следствие системы с интерактивной сложностью и тесной связью. Интерактивная сложность означает, что множество частей взаимодействуют таким образом, что последствия действий трудно предсказать. Например, слегка изменив курс своего судна, капитан Ругиати вышел на траекторию, где внезапное появление двух лодок с омарами потребовало последующего внезапного и трудновыполнимого поворота, завершившегося фатальной аварией. Жесткая связь - термин, заимствованный из инженерного дела, - означает, что действие в одной части системы неумолимо ведет к реакции в другой части; прервать цепь событий невозможно. Когда механическое оборудование банковского банкомата принимает вашу банковскую карту, программное обеспечение, управляющее машиной, и банковское приложение тесно связаны друг с другом и работают вместе, чтобы завершить вашу транзакцию. Если какой-либо компонент выходит из строя, то выходит из строя и вся система. В системах с жесткой связью нет слабины.

Для Перроу назвать несчастный случай нормальным означало, что некоторые системы функционируют как подстерегающие несчастные случаи. Их конструкция делает их опасными. Это просто вопрос времени, когда такие системы выйдут из строя. Напротив, система с низкой интерактивной сложностью и неплотной связью - скажем, начальная школа - не будет подвержена обычным авариям. Если же система имеет высокую сложность, но не имеет тесной связи (например, большой университет с множеством научных подразделений, которые работают относительно независимо), то в одной части может произойти сбой, не вызывающий автоматически серьезного сбоя во всей системе.

Как отмечают ученики Перроу Крис и Андраш в книге Meltdown, со временем все больше и больше наших учреждений попадают в опасную зону Перроу: "Когда Перроу опубликовал книгу "Нормальные аварии" в 1984 году, описанная им опасная зона была немногочисленной. В нее входили такие системы, как ядерные объекты, химические заводы и космические полеты. С тех пор все виды систем - от университетов и фирм на Уолл-стрит до плотин и нефтяных вышек - стали более сложными и тесно связанными".

Перроу писал после того, как в 1979 году на Пенсильванской АЭС "Три-Майл-Айленд" произошла авария, едва не приведшая к расплавлению, - заметная авария, привлекшая внимание людей. Будучи социологом, а не инженером-ядерщиком, Перроу, возможно, упустил некоторые технические нюансы, когда оценивал атомные электростанции как тесно связанные и интерактивно сложные, что делает их изначально небезопасными - эта оценка была оспорена более поздними экспертами. Но его система помогла многим из нас, кто интересовался безопасностью и авариями, по-новому и полезно взглянуть на изучаемые нами контексты. На рисунке 4.1 представлена классическая модель Перроу с новыми обозначениями, которые я придумал для каждого квадранта. В правом верхнем углу отражена основная идея Перроу о том, что интерактивная сложность и тесная взаимосвязь, как, например, на атомных электростанциях, создают опасную зону. Перроу использовал железные дороги, чтобы проиллюстрировать сочетание тесной связи и линейных взаимодействий в том, что я называю зоной контроля. На типичном производственном предприятии представлены свободная связь и линейные взаимодействия. Поскольку классический менеджмент отлично работает в таких условиях, я называю это зоной управления. Наконец, сложные взаимодействия сочетаются со свободной связью в университете с его постоянными переговорами, направленными на поддержание организованности и функционирования, что приводит к тому, что я называю зоной переговоров.

РИСУНОК 4.1: Пересмотренная модель Перроу

Изучая несчастные случаи в медицине, я задавался вопросом, являются ли системы ухода за пациентами в больницах интерактивно сложными и тесно взаимосвязанными. Если ответ на оба вопроса был положительным, то, согласно концепции Перроу, неудачи в уходе за пациентами в больницах были просто неизбежны и неустранимы.

Свободное соединение в больницах

В 1996 году мои ответы на эти вопросы были "да" и "нет". Сегодня мои ответы не изменились. Уход за больными в больнице отличается значительной интерактивной сложностью. Например, врач выписывает рецепт, который заполняется фармацевтом, доставляется на этаж кем-то другим и выполняется несколькими медсестрами во время пребывания в больнице. Однако я обнаружил, что звенья этой цепи слабо связаны между собой. Сбой в одной части системы может быть обнаружен и исправлен в любой момент. В этом и заключается положительная сторона комплексного сбоя: передачу помощи осуществляют люди. Я пришел к выводу, что больницы не попадают в квадрант худших случаев Перроу. Это означает, что можно добиться нулевого вреда.

Тем не менее сбои в работе систем продолжали происходить, и я решил разобраться в этом подробнее. Я узнал, что свободное соединение не исключает поломки систем. Она лишь означает, что можно выявить и исправить ошибки до того, как произойдет сложный сбой. Возьмем реальный пример из моих исследований в больницах. Десятилетнему мальчику, которого я назову Мэтью, по ошибке вводят потенциально смертельную дозу морфия. Мэтью становится жертвой сложного сбоя, вызванного горсткой безобидных по отдельности факторов.

Разворачивается сложный провал

В ходе анализа я выявил семь факторов, способствовавших несчастному случаю. Из-за переполнения отделения интенсивной терапии (первый фактор) Мэтью после операции поместили в обычное медицинское отделение с менее специализированным персоналом. Недавно получившая диплом (второй фактор) медсестра, дежурившая в отделении, наклонилась, чтобы запрограммировать электронный инфузионный насос, расположенный в темном углу палаты (третий фактор), на выдачу предписанного количества морфина для уменьшения послеоперационной боли. Незнакомая с устройством (четвертый фактор), медсестра обратилась за помощью к коллеге. Коллега, опытная медсестра, спешила (пятый фактор), но остановилась, чтобы помочь, изучая циферблаты аппарата. Для программирования насоса требовалось правильно ввести два значения: концентрацию морфина и скорость инфузии. Этикетка была напечатана в аптеке и обернута вокруг кассетного контейнера с лекарством таким образом, что частично скрывала концентрацию (шестой фактор). Опытная медсестра использовала видимую информацию, чтобы рассчитать и запрограммировать аппарат на правильную, по ее мнению, концентрацию. Первая медсестра заглядывала через плечо второй, чтобы сверить цифры, а не проводила самостоятельные расчеты (седьмой фактор). Каждый из этих семи факторов представляет собой уникальную возможность для профилактики.

Через несколько минут лицо Мэтью посинело, а дыхание стало заметно затрудненным. Первая медсестра выключила инфузионный аппарат, вызвала врача и начала вентилировать ребенка с помощью дыхательного мешка. Врач прибыл через несколько минут и подтвердил, что Мэтью получил передозировку морфина - в несколько раз больше, чем положено. Быстро соображающий врач ввел препарат, чтобы обратить эффект, и через несколько секунд дыхание Мэтью пришло в норму.

Устранение любого из способствующих факторов могло бы предотвратить эту несмертельную, но все же имеющую последствия медицинскую неудачу. Этот крошечный идеальный шторм из немного необычных событий выстроился таким образом, чтобы допустить неудачу, несмотря на благонамеренную напряженную работу всех участников. Эксперты по ошибкам в здравоохранении сегодня используют так называемую модель швейцарского сыра для объяснения такого рода системных сбоев.

Швейцарский сыр

Модель швейцарского сыра, представленная в 1990 году доктором Джеймсом Рисоном, экспертом по ошибкам из Манчестерского университета (Великобритания), обращает внимание на защитные механизмы, которые обычно предотвращают последующие сбои в сложных системах, таких как больницы. Дырки в швейцарском сыре можно сравнить с небольшими дефектами или ошибками процесса. Дырка в блоке швейцарского сыра может рассматриваться как недостаток - пустое пространство, которое не способствует питанию. К счастью, дырки в сыре разрозненны и локализованы, говорит Ризон, и сыр остается целым. Но иногда дырки выстраиваются в ряд, образуя туннель - линию дефектов, которые усугубляются и заканчиваются несчастным случаем. Если бы медсестра сразу же не обратила внимания на состояние Мэтью, последовательность причинно-следственных связей могла бы закончиться гораздо более серьезной неудачей, которую невозможно было бы обратить вспять.

Представление о сыре с дырками помогает нам оценить роль случайности и постоянно присутствующую возможность уловить и исправить мелкие дефекты до того, как они накопятся в катастрофической форме. Разум подчеркивает, что сбои в системе - обычное дело, но их можно (и обычно удается) предотвратить благодаря множеству защитных слоев системы. Если вы сегодня зайдете в кабинет руководителя больницы, не удивляйтесь, если увидите маленькую губчатую копию клина швейцарского сыра. Это напоминание о том, что все может пойти не так, как надо, и поэтому его нужно заметить и остановить до того, как будет нанесен вред.

Стремиться к отсутствию вреда в сложных системах, таких как больницы, - это не то же самое, что стремиться к устранению человеческих ошибок. Ошибаться - это человеческое. Ошибки всегда будут с нами. Но мы можем разработать такие социальные системы, в которых каждый будет осознавать неизбежность ошибок и стремиться уловить и исправить их до того, как они причинят вред. Это означает понимание того, что дырки в швейцарском сыре иногда выстраиваются в ряд, несмотря на то, что их разделяет время или расстояние, и образуют туннель, по которому беспрепятственно протекает сложный сбой.

Сложные сбои варьируются от мелких до катастрофических. Их сложность, а также растущая распространенность могут заставить нас пессимистично относиться к их предотвращению. Но растущий объем знаний может помочь. Он начинается с академической теории, представленной в 1989 году в качестве явного опровержения идеи Перроу о том, что некоторые системы просто слишком опасны для безопасной эксплуатации.

Как уменьшить количество сложных отказов

Проблема с идеей Перроу о том, что организации не могут безопасно функционировать при интерактивной сложности и тесной взаимосвязи, заключалась в том, что многие такие организации на самом деле функционировали без происшествий в течение многих лет и даже десятилетий. Атомные электростанции работали без происшествий почти все время. Также как и системы управления воздушным движением, атомные авианосцы и множество других рискованных операций. Небольшая группа исследователей под руководством Карлин Робертс из Калифорнийского университета в Беркли задалась целью изучить, как они это делают. То, что они обнаружили, было скорее поведенческим, чем техническим.

Термин "организация высокой надежности", или HRO, отражает суть теории. Организации высокой надежности безопасны благодаря тому, что все в них чувствуют себя ответственными друг перед другом за практику, которая постоянно выявляет и исправляет отклонения, предотвращая серьезный ущерб. Бдительность - это одно слово. Но это нечто большее.

Для меня самой интересной частью исследований в области ОЗО является наблюдение, что люди в ОЗО не преуменьшают значение неудач, а одержимы ими. Мои коллеги Карл Вайк, Кэти Сатклифф и Дэвид Обстфельд написали основополагающую работу, в которой описывают культуру HRO как озабоченную неудачами, не желающую упрощать, остро реагирующую на текущие операции (быстро обнаруживающую тонкие неожиданные изменения), приверженную устойчивости (выявление и исправление ошибок, а не ожидание безошибочных операций), и ценящую опыт, а не должность. Другими словами, ОЗО - странное место. Вместо того чтобы сдерживаться, чтобы узнать, что думает босс, сотрудники не стесняются сразу же высказывать свое мнение. Чтобы предотвратить кризис, рядовой сотрудник может сказать генеральному директору, что нужно делать. Неудача воспринимается как постоянно присутствующий риск, который, тем не менее, можно последовательно предотвратить.

Из исследований, посвященных сложным системам, человеческим ошибкам и ОЗО, я вынес, что сложная неудача - достойный враг. Мы не должны недооценивать стоящую перед нами задачу, но и не должны уклоняться от нее. Независимо от того, что вас больше заинтриговало - модель швейцарского сыра или культурные атрибуты ОПЧ, - в этих мнениях экспертов прослеживается постоянная мысль о том, что мы можем уменьшить количество сложных неудач в нашей жизни, следуя ряду простых (не легких!) практик, начиная с извлечения как можно большего из уже произошедших сложных неудач.

Извлеките уроки из прошлых неудач комплекса

Катастрофические комплексные аварии часто становятся тревожным звонком, который побуждает к проведению расследований и внесению изменений в обучение, технологии или правила. Вскоре после катастрофы в Торри-Каньоне международные организации по чрезвычайным ситуациям установили новые правила, которые требовали большей защиты нефтяных танкеров как в плане строительства (двойные корпуса вместо одинарных), так и в плане нового оборудования для лучшего контроля нефти. Судовладельцы стали нести строгую ответственность, в то время как раньше они несли ответственность только по неосторожности. Закон о загрязнении нефтью, принятый в США в 1990 году, установил юридические процедуры для реагирования на катастрофические разливы нефти, правила хранения нефти и требования к планированию действий в чрезвычайных ситуациях. Сегодня мы знаем гораздо больше о том, как ликвидировать нефтяные разливы с помощью менее токсичных ингредиентов и когда следует оставлять пострадавшие районы в покое, в том числе благодаря тому, что узнали, как Франция справилась с нефтяными пятнами в каньоне Торри, достигшими ее берега: детергент не использовался, морская жизнь пострадала не так сильно, а нефть расщеплялась более эффективно.

Разлив нефти в каньоне Торри послужил толчком к повышению осведомленности и активизации в 1970-х годах, что напрямую привело к сегодняшнему экологическому движению. Добровольцы заполонили пляжи в попытках спасти и очистить птиц, покрытых нефтью. Репортеры и морские биологи привлекли внимание общественности к гибели не только морских птиц, но и большинства морских обитателей от южного побережья Великобритании до берегов Нормандии во Франции. Пятьдесят лет спустя Мартин Этрилл, директор Морского института при Плимутском университете, рассказал, как неудача изменила наше представление о природных ресурсах: "В то время, когда затонул каньон Торри, мы все еще рассматривали море как основное место для размещения всех наших отходов. Мы говорили: "Окружающая среда справится с этим", а главной заботой было спасти судно и узнать, можно ли его спасти". Аналогичным образом, случайная смерть Халины Хатчинс вызвала в киноиндустрии дискуссию о более строгих правилах и контроле за обращением с огнестрельным оружием на съемочной площадке. Сегодня люди, занимающиеся подводным плаванием, активно формируют более строгую культуру безопасности , чтобы предотвратить утопления, подобные случаю Брайана Багге.

Хотя расследования после катастроф очень важны, рост частоты и серьезности сложных аварий означает, что мы не можем позволить себе действовать только после них. Сокращение числа сложных отказов начинается с внимания к тому, что я называю неоднозначными угрозами. В то время как явные угрозы (ураган 5-й категории обрушится на ваш район завтра) легко вызывают корректирующие действия (эвакуация из дома), мы склонны преуменьшать двусмысленные угрозы - упускать шансы предотвратить вред. Преуменьшение неоднозначных угроз - это противоположность тому, что происходит в организациях с высокой надежностью. Я наблюдал это преуменьшение в самых разных ситуациях - от программы NASA Space Shuttle до Уолл-стрит и разработки фармацевтических препаратов. Что объединяет эти разные организации, помимо сложности? Высокие ставки и стремление к успеху - стремление настолько сильное, что ослепляет людей до тонких предупреждающих сигналов.

Обращайте внимание на ранние предупреждения

1 февраля 2003 года "Колумбия", самый старый орбитальный корабль из пяти, входящих в программу НАСА "Спейс Шаттл", развалился на части при входе в атмосферу Земли , в результате чего погибли все семь астронавтов. Позднее расследование показало, что во время старта из внешнего бака шаттла вырвался большой кусок теплоизоляционной пены, который ударился о шаттл и образовал большую дыру в крыле, что обрекало миссию на гибель. Возможно, кто-то из вас помнит, где находился, когда услышал эту новость - или новость о фиаско при запуске "Челленджера" семнадцатью годами ранее. Я помню эти моменты отчетливо, отчасти из-за зарождающегося чувства ужаса, что именно такие неудачи можно было предотвратить.

Иногда, как вы, несомненно, убедились, неудачи случаются неожиданно - то есть никто не предвидел их появления и даже не беспокоился о возможности. Провал Columbia был не из таких.

17 января 2003 года, на следующий день после, казалось бы, успешного запуска "Колумбии" и за пятнадцать дней до того, как она развалилась на части, Родни Роча, инженер НАСА, просматривал видеозапись запуска. Что-то выглядело не так. Увидев на видео зернистое пятно, Роча не мог с уверенностью сказать, что это, но он опасался, что кусок изоляционной пены мог отвалиться от внешнего бака шаттла и удариться о его левое крыло. Короче говоря, он обнаружил неясную угрозу. Сигнал раннего предупреждения. Чтобы выяснить подробности, ему нужны были снимки крыла шаттла со спутников-шпионов, которые можно было получить, только обратившись за помощью в Министерство обороны. Руководители НАСА отклонили просьбу Роча о предоставлении снимков, в основном из-за общего убеждения, что небольшие кусочки пены не представляют опасности. Если бы эти снимки крыла были получены, катастрофы можно было бы избежать.

Неоднозначная угроза именно такова: она неоднозначна. Это может быть реальная угроза неудачи, а может и ничего. Ваша машина может работать без сбоев, ваш подросток может вести себя ответственно, а падение фондового рынка может быть пустяком. В ретроспективе эрозия, увиденная инженером при осмотре Champlain Towers South, кажется явным сигналом неминуемого обрушения, но в то время она была, несомненно, двусмысленной. Неоднозначные угрозы являются проблематичными из-за естественной человеческой тенденции преуменьшать их. Естественнее и приятнее считать, что все в порядке, и занимать выжидательную позицию. Возможно, вы слышали о предвзятости подтверждения - нашей тенденции видеть то, что мы ожидаем, тем самым укрепляя существующее убеждение или предсказание, обращая внимание на подтверждающие данные и не обращая внимания на неподтверждающие. Повышение самосознания, как вы увидите в следующей главе, является одним из элементов обучения замечать ранние предупреждения - и на всякий случай активно искать неподтверждающие данные. Но вполне естественно занять выжидательную позицию, вместо того чтобы проявить любопытство и присмотреться к какому-нибудь едва заметному сигналу о нарушениях. Финансовая индустрия закрыла глаза на риск ипотечных ценных бумаг, состоящих из шатких кредитов, выданных людям, у которых не было ни активов, ни доходов, чтобы обеспечить их возврат. Когда жилищный пузырь лопнул, это вызвало еще один идеальный шторм, когда огромная сеть финансовых активов, связанных с ипотечными кредитами, рухнула в цене. Руководство компании Boeing преуменьшило риск сбоев в работе нового программного обеспечения, чтобы избежать дорогостоящего обучения пилотов. В своих исследованиях я обнаружил, что преуменьшать тонкие сигналы риска вполне естественно, но это не значит, что нас это не волнует. Наша уверенность в том, что вещи не подведут, подкрепляется надеждами, ожиданиями и предыдущим опытом, согласно которому вещи в основном работают так, как должны.

Преимуществом изучения неудач в государственном секторе является доступность информации. После того как 26 августа 2003 года правительственная комиссия США по расследованию аварии "Колумбии" (CAIB) опубликовала длинный и подробный отчет, мы с моим коллегой Майком Роберто взялись за анализ аварии шаттла с организационной точки зрения. Вскоре мы добавили в команду еще одного коллегу, врача Ричарда Бомера, и провели много месяцев, изучая стенограммы и электронную переписку, связанную с катастрофой "Колумбии". В конце концов мы определили (и назвали) феномен неоднозначных угроз как важный для понимания произошедшего. Неоднозначная угроза возникает, когда хотя бы один человек обнаруживает потенциальный риск, который ни в коем случае нельзя назвать однозначным. Двигатель вашего автомобиля издает забавный звук, который может означать, что он скоро сломается, а может и ничего не означать. Ваш подросток посещает большие вечеринки, на которых может присутствовать алкоголь. Рост числа отказов в продаже жилья может предвещать финансовый крах. Родни Роча увидел на видеозаписи зернистое пятно.

Многолетний успех программы "Спейс Шаттл" - более 110 успешных полетов за семнадцать лет, прошедших с момента неудачного запуска "Челленджера", - предшествовавший полету "Колумбии", способствовал тому, что руководство НАСА с легкостью преуменьшило двусмысленную угрозу. Инженеры не располагали достаточными данными, но полагали, что видеозапись может указывать на более крупный и поздний (то есть более быстрый) кусок пены, несущийся к крылу шаттла. Высшее руководство рассматривало удары пены как проблемы технического обслуживания, которые раздражают, но не приводят к катастрофе. Сила общего убеждения руководства фактически блокировала дальнейшие исследования.

Человеческое познание и организационные системы сговорились подавлять тонкие сигналы об опасности, делая сложные сбои более вероятными. Руководители НАСА отмахнулись от опасений инженеров, потому что в их мозгах и протоколах укрепилось убеждение, что удары пены - это в худшем случае неприятность. В течение многих лет миссии шаттлов благополучно возвращались на Землю, несмотря на небольшие удары пены. Те же когнитивные факторы объясняют, почему так много руководителей не поняли, что новый коронавирус может поставить мир в тупик и привести к миллионам ненужных смертей. Если бы они смогли быстрее осознать угрозу COVID-19, они могли бы быстрее и с большей убежденностью принять превентивные меры в области общественного здравоохранения.

Учитывая сложности, связанные с реагированием на неоднозначные угрозы, что мы можем сделать, чтобы предотвратить сложные неудачи в нашей жизни? Чтобы ответить на этот вопрос, давайте посмотрим на некоторые необычные организации, которым это удается.

Используйте окно восстановления

Чтобы противостоять нашей склонности преуменьшать двусмысленные угрозы, подумайте об окне возможностей, в котором восстановление еще возможно до того, как произойдет сложный сбой. Окно открывается, когда кто-то обнаруживает сигнал - пусть даже слабый - о том, что впереди может произойти сбой. Оно закрывается , когда происходит сбой. Окна восстановления могут длиться от нескольких минут до нескольких месяцев. Если их распознать, они предоставляют важнейшие возможности для выявления, оценки и реагирования - сначала для получения дополнительной информации о происходящем, а затем для принятия корректирующих мер. Например, если бы НАСА запросило спутниковые снимки, стало бы ясно, что повреждения, нанесенные пенным ударом, представляли реальную опасность для экипажа. Вместо этого НАСА упустило возможность восстановления. Точно так же неделя между первым случаем случайного выстрела из огнестрельного оружия на съемочной площадке фильма "Руст" и трагическим происшествием, приведшим к гибели Халины Хатчинс, представляла собой окно для восстановления, которое было упущено. То же самое можно сказать и о месяцах между первой и второй авариями Boeing MAX, несмотря на то, что пилоты четырежды сообщали о своих проблемах в систему анонимных сообщений NASA, ASRS. Тренажерная подготовка пилотов, которые впоследствии будут летать на новых Boeing 737 MAX , позволила бы получить опыт работы с неисправностями системы MCAS, чтобы помочь пилотам отреагировать, когда самолет начал падать.

Окна восстановления можно рассматривать как ценные возможности для быстрого обучения. Это верно даже в том случае, если угроза оказывается доброкачественной. Например, откровенный разговор родителей со своими подростками об опасности пьянства и вождения и их информирование о том, что можно в любое время позвонить и попросить отвезти домой без лишних вопросов, - это разумный ответ на двусмысленную угрозу, который может предотвратить трагическую аварию. Но эти окна зависят от готовности высказаться без уверенности в том, что впереди может ждать неудача. Это один из способов, с помощью которого психологически безопасная среда помогает предотвратить неправильные поступки.

Приветствуйте ложные тревоги

Как мы можем предвидеть сложные сбои до того, как они произойдут? Сама природа сложных сбоев - их многочисленные факторы, взаимодействующие уникальным, беспрецедентным образом, - заставляет думать, что эта идея не имеет смысла. Тем не менее есть простые и элегантные способы попробовать.

Все начинается с изменения вашего отношения к ложным тревогам.

Вспомните, что любой рабочий на заводе Toyota может потянуть за шнур Andon Cord, чтобы предупредить руководителя группы о возможной ошибке до того, как она превратится в производственный сбой. Руководитель группы и ее член изучают потенциальную проблему, какой бы маленькой она ни была, и вместе либо устраняют, либо снимают угрозу. Если только одно из двенадцати нажатий на шнур Andon Cord останавливает сборочный конвейер из-за реальной проблемы, можно подумать, что компания будет расстроена тем, что супервайзеры тратят время на преследование одиннадцати ложных сигналов.

Оказывается, все обстоит с точностью до наоборот. Вытянутый шнур Andon Cord, который не выявил фактической ошибки, воспринимается как полезная тренировка. Вместо этого ложная тревога воспринимается как ценный момент обучения, полезный ликбез о том, как все идет не так, и как приспособиться, чтобы уменьшить эту вероятность. Это не культурный нюанс. Это практический подход. Каждое извлечение шнура Andon Cord рассматривается как ценный эпизод, который в долгосрочной перспективе экономит время и способствует повышению качества.

Аналогичный подход используется в интересной инновационной системе здравоохранения под названием "группа быстрого реагирования" (RRT). Созданные для реагирования на призывы о помощи со стороны медсестры, наблюдающей за едва заметными изменениями в состоянии пациента (например, бледностью кожи или настроением), которые могут - но в равной степени и не могут - свидетельствовать о надвигающейся опасности, такой как сердечный приступ, RRT в течение нескольких минут собирают у постели больного специализированных врачей и медсестер, чтобы оценить ситуацию и при необходимости вмешаться. До внедрения RRT медсестры обращались за помощью к внешним специалистам только в случае реальных чрезвычайных ситуаций, таких как сердечный приступ, что приводило к полномасштабной операции "синий код" по оживлению пациента, находящегося в тяжелом состоянии.

Первоначально внедренные в Австралии два десятилетия назад, RRT снизили частоту сердечных приступов. Десять лет спустя Майк Роберто, Дэвид Агер и я руководили исследованием четырех больниц в США, которые первыми внедрили бригады быстрого реагирования, в Гарварде , получившим награду за дипломную работу бакалавра. Мы начали рассматривать RRT как инструмент для усиления неоднозначных угроз. Как люди, выступающие перед толпой через мегафон, усиливают свой голос, так и RRT и Andon Cords усиливают неоднозначные сигналы сложного сбоя . Усилить - не значит преувеличить; это просто помогает услышать тихий сигнал.

Усиление двусмысленной угрозы того, что с пациентом что-то может быть не так, в конечном итоге привело к сокращению числа сердечных приступов. Во-первых, уменьшилась вероятность того, что медсестры - работники первой линии с относительно меньшим влиянием в больничной иерархии - будут проигнорированы, если они сообщат о раннем сигнале тревоги, например, об изменениях в дыхании или познании пациента. RRT узаконили такие звонки. Во-вторых, даже неопытные медсестры чувствовали себя увереннее, когда говорили о том, что пациент выглядит или чувствует себя не так, как надо, - достаточно было даже изменения настроения.

Вы, наверное, помните басню Эзопа "Мальчик, который плакал по волку", в которой мальчик-пастух часто, но ложно предупреждает о приближении волка. Когда волк наконец появляется, его никто не слушает, и все овцы (а в некоторых версиях и мальчик) оказываются съеденными. Каково послание бесчисленным поколениям детей? Может быть, оно должно было звучать как "не лги", но мне кажется, что многие из нас усвоили это послание как "не говори, если не уверен".

Никто не хочет прослыть глупцом из-за того, что обратил внимание на ощущение, которое оказалось пустяком. Наверняка вы можете вспомнить случай, когда сдерживались от упоминания о каком-то беспокойстве, опасаясь, что это ложная тревога. Возможно, вы думали, что люди будут смеяться или считать вас наивным, раз вы заговорили об этом. Всегда проще подождать, пока об этом не упомянет кто-то другой. Чтобы помочь преодолеть эту вездесущую тенденцию, лучшие практики для RRT включили в себя список сигналов раннего предупреждения, к которым медсестры могли обратиться, чтобы узаконить свои звонки. Этот список помогал медсестрам опираться на свои смутные предчувствия - ведь они просто следовали протоколу. Когда появлялась RRT, у постели больного появлялось больше опытных глаз, чтобы оценить, не ухудшается ли состояние пациента.

Это больше, чем бдительность. Когда людям разрешают усиливать и оценивать слабые сигналы (например, с помощью Андонского шнура или группы быстрого реагирования), им предлагают от всего сердца включиться в работу - принять ее неопределенный характер, поверить, что их собственные глаза, уши и мозги имеют значение. Хорошо продуманные системы RRT делают ставку на вовлеченность, подчеркивая, что время, затраченное на диагностику, является достойным вложением, если можно снизить смертность. Чем раньше будет замечена назревающая проблема, тем больше у вас будет рычагов для ее решения и предотвращения вреда. Исследование, проведенное в Стэнфорде, показало, что после внедрения RRT на 71 % сократилось количество "синих кодов" (синий код - это мучительный и часто безуспешный процесс спасения пациентов при остановке сердца) , а также на 16 % снизилась смертность с учетом риска. I Интересно, что другие исследования не выявили улучшений. Почему такая разница?

Недостаточно просто объявить о программе RRT. Важно, как эти усилия будут оформлены. Если сотрудники больницы ожидают, что при каждом вызове RRT будут выявлять скрытую смертельную угрозу, то вскоре все устанут от ложных тревог и программа сойдет на нет. Однако если ложные тревоги воспринимаются как полезные тренинги, развивающие навыки командной работы, то, как и в Toyota, ложные тревоги не только не кажутся расточительными, но и ценными. В своей глубокой книге "Знай то, чего не знаешь" Майк Роберто описал изменение мышления, лежащее в основе RRT, как обнаружения дыма, а не борьбы с огнем.

Как бы вы применили эту идею в своей команде или семье? Это так просто - научиться ценить других людей за то, что они высказывают свое беспокойство, независимо от того, оказалось ли это беспокойство реальным или мнимым. Благодарность за то, что люди берут на себя микрориск высказаться без уверенности, закрепляет это поведение и периодически предотвращает серьезные происшествия.

Думайте не только о вещах

Выявление и исправление ошибок для создания действительно безопасных рабочих мест, будь то на заводе, в больнице или самолете, требует культуры бдительности. Принятие шнуров Andon для предотвращения превращения мелких ошибок в крупные помогает сформировать такую культуру, как и последствия сна на рабочем месте. Потому что мы точно знаем, что все идет не так.

Недавно я взял интервью у Аарона Диммока, бывшего военно-морского летчика, о том, как он успешно избежал сложного сбоя. Будучи отставным летчиком-инструктором ВМС по воздушной подготовке и стандартизации оперативных процедур, Диммок совершил бесчисленное количество оперативных и учебных полетов, в том числе для оценки готовности самолета. Несколько лет назад он рассказал мне о полете на плановое техническое обслуживание в Пуэрто-Рико, когда ему и его команде нужно было проверить, достаточно ли исправен самолет, чтобы быть готовым к эксплуатации. Помимо Аарона, в состав экипажа входили второй пилот, бортинженер и наблюдатель.

Во время полета возникли четыре неожиданные проблемы: (1) после взлета шасси не поднялось до конца; (2) двигатель, который должен был перезапуститься после остановки, не запустился; (3) второй двигатель начал барахлить; и (4) шасси не сработало на спуске. Если бы эти отклонения выстроились в ряд, как швейцарский сыр, то возникший комплексный отказ, скорее всего, означал бы крушение, массовую потерю оборудования или даже гибель экипажа. Вместо этого Аарон и его экипаж благополучно приземлились, потому что приняли корректирующие меры в каждом из отверстий швейцарского сыра. Как, спрашиваю я, они это сделали?

Аарон объяснил, что в каждом случае, когда что-то шло не так, ему и его команде удавалось "думать не о том, что было". Вместо того чтобы зацикливаться на "вещи" или непосредственной ошибке, они смогли "выйти за рамки" и работать вместе, чтобы сделать то, что называется "поймать и исправить".

Давайте разберемся в этом. Во-первых, в каждом случае они замечали, что что-то пошло не так - шасси или двигатели. Это самая сложная часть операции. Во-вторых, они систематически и тщательно реагировали на каждую ошибку по мере ее возникновения. "Мы чувствуем себя уверенно, но не самоуверенно, - продолжает он, - и нам удается сохранять спокойствие в самолете, чтобы все четверо могли участвовать в разговоре. Как выглядит двигатель? Что вы слышите? Все четверо как можно точнее рассказывают о том, что видят, а затем мы соединяем эти части информации вместе, чтобы принять решение. У нас есть безопасное пространство, в котором мы бросаем друг другу вызов и делимся опытом".

Это правильная часть слова catch and correct.

"Я должен следить за тем, чтобы каждый имел право голоса", - сказал Аарон, когда я спросил его о самой важной обязанности руководителя группы. "Бывали случаи, когда мнение бортинженера было просто потрясающим, но пару раз он считал свою точку зрения абсолютной". Тогда Аарон вмешался. Он попросил других членов экипажа высказать свое мнение. "Том, что ты думаешь?" "Старшина Роббинс, а вы?" Это важный момент, касающийся психологической безопасности: ее нужно культивировать, чтобы не потерять важные голоса. Убедиться, что все услышаны, - это не вопрос хороших манер или инклюзивности ради нее самой. Скорее, это то, что помогает удержать самолет в воздухе и безопасно посадить его.

Напротив, в преддверии запуска шаттла "Колумбия" риски космических путешествий усугублялись организационной культурой, которая не позволяла инженеру Родни Роча высказывать свое мнение. Стенограммы совещаний ясно показывают, что руководители НАСА не стремились активно искать инакомыслие. Инженеры сообщали, что не могли откровенно говорить о потенциальных угрозах, задавать сложные вопросы или высказывать мнения, расходящиеся с мнением начальства. То же самое говорили инженеры компании Boeing до провала MAX.

Принятие возможности неудачи для уменьшения ее возникновения

Увлечение ошибками, вредом и неудачами на протяжении десятилетий заставило меня смириться со сложностью этих тем. Совокупность факторов - технологии, психология, менеджмент, системы - означает, что никто из нас не может овладеть всеми аспектами соответствующих знаний, чтобы почувствовать, что "мы справимся". Но в моей работе появилось несколько простых практик, которые могут помочь предотвратить сложные неудачи. Используя их, мы все можем добиться таких перемен - в своей жизни и в организациях, о которых мы заботимся.