?Неуязвимость! Отчего системы дают сбой и как с этим бороться

Клирфилд Крис

Хотя заполненные ордера не отражались во внутренних системах компании Knight, они были перехвачены мониторинговой программой, которая следила за некорректными операциями. Однако эта программа не предоставила подробной информации о содержании и происхождении заявок, поэтому менеджеры поначалу не осознавали всей серьезности ситуации. И, подобно компьютеру на АЭС Three Mile Island, который во время аварии выдавал только знаки вопроса, мониторинговая система Knight быстро утратила контроль над происходящим.

К тому времени когда компании удалось устранить проблему, она уже находилась на грани банкротства.

Финансовая катастрофа, постигшая фирму Knight, 30 лет назад была бы невозможна. Пока в торговле ценными бумагами не стали доминировать компьютеры, большинство сделок проводилось в ходе личного контакта покупателей и продавцов в торговом зале биржи. Это делало транзакции более понятными и уменьшало вероятность возникновения неожиданных взаимодействий. Когда происходило что-то странное, например

клиент обращался с неожиданно крупной заявкой, трейдеры могли перепроверить ситуацию перед тем, как осуществить сделку. Это делало фондовый рынок достаточно слабо связанной системой. А если возникало недопонимание, то трейдеры могли просто побеседовать с клиентом и отменить некорректную операцию. Однако резкий рост использования компьютеров в торговле ценными бумагами превратил современную финансовую отрасль в сложную, малопрозрачную и не прощающую ошибок среду.

Когда Ти Джей добрался до своего офиса, он и его команда топ-менеджеров начали обсуждать пути получения срочного инвестирования от своих торговых партнеров, поскольку стоимость собственных акций фирмы Knight резко упала. На следующий день после происшествия Ти Джей – с больным коленом и прочим – появился на канале Bloomberg Television и попытался успокоить инвесторов: «Техника дает сбои. Это плохо. Мы этого не хотим, но все же такое случается».

Тому Джойсу с большим трудом удалось спасти компанию. К концу недели он добился значительных денежных вложений в фирму, а через несколько месяцев Knight объявила, что она сливается с фирмой Getco, своим бывшим конкурентом. Вскоре после слияния Ти Джей покинул объединенную компанию.

«Я не думаю, что кто-то из нас застрахован от проблем, – сказал он нам. – Задним числом все мы думаем и бегаем быстрее, а прыгаем выше. До того как возникает проблема, принимается масса мер предосторожности». Но этих мер бывает недостаточно. Фирмы, подобные компании Knight, сместились в опасную зону намного дальше, чем кто-либо мог предположить.

III

10 апреля 2010 года. День у Калеба Холлоуэя начался хорошо. Он был долговязым парнем двадцати восьми лет, работал помощником бурильщика на одной из самых сложных современных нефтяных платформ. Холлоуэй и его коллеги заканчивали бурение разведочной скважины на нефтеносном участке Macondo Prospect, принадлежавшем корпорации British Petroleum (ВР). В то утро начальник платформы Джимми Харрелл вызвал Холлоуэя в свой кабинет. Там на небольшой церемонии, в присутствии других управляющих платформы, Харрелл вручил Калебу серебряные часы – награду за то, что бурильщик обнаружил изношенный болт в ходе инспекции оборудования.

А почти через 12 часов после этого Холлоуэй едва избежал гибели {58} . Глина и нефть, выброшенные из скважины под огромным давлением, били фонтаном высоко над платформой, называвшейся Deepwater Horizon. Через несколько минут от работающих двигателей загорелось газовое облако. Члены команды спустили полупустые спасательные лодки или спрыгнули в темные воды Мексиканского залива с высоты 18 м. Некоторые не смогли выбраться с платформы – погибло 11 человек. Прежде чем затонуть, платформа Deepwater Horizon горела два дня, выбрасывая пламя на такую высоту, что его было видно с расстояния в 50 км {59} .

58

Описание аварии на буровой платформе Deepwater Horizon основывается на нескольких источниках: National Commission on the BP Deepwater Horizon Oil Spill and Offshore Drilling, Deep Water: The Gulf Oil Disaster and the Future of Offshore Drilling // Report to the President, Washington, DC: Government Publishing Office, 2011; David Barstow, David Rohde, and Stephanie Saul. Deepwater Horizon’s Final Hours // New York Times, December 25, 2010. URL:Earl Boebert and James M. Blossom. Deepwater Horizon: A Systems Analysis of the Macondo Disaster. Cambridge, MA: Harvard University Press, 2016; Peter Elkind, David Whitford, and Doris Burke. BP: An Accident Waiting to Happen // Fortune, January 24, 2011. URL:BP’s Deepwater Horizon Accident Investigation Report, September 8, 2010. URL: http://www.bp.com/content/dam/bp/pdf/sustainability/issue-reports/Deepwater_Horizon_Accident_Investigation_Report.pdf.

59

Understanding the Initial Deepwater Horizon Fire // Hazmat Management, May 10, 2010. URL: http://www.hazmatmag.com/environment/understanding-the-initial-deepwater-horizon-fire/1000370689.

Последующие три месяца из скважины глубиной 1,5 км беспрепятственно вытекала нефть. Наконец, через 87 дней после взрыва, компании ВР удалось запечатать скважину. Но к тому времени почти 5 млн баррелей нефти вытекло в Мексиканский залив, в результате чего образовалось огромное плавающее нефтяное пятно.

Название буровой платформы Deepwater Horizon («Глубоководный горизонт») было исполнено

большого смысла. За год до того, как на ней произошел взрыв, с платформы пробурили самую глубокую на тот момент скважину в мире. Она проходила на 1,6 км сквозь толщу воды и вгрызалась в морское дно на глубину еще 8 км. Такие нефтедобывающие компании, как ВР, брали платформы в лизинг для открытия новых месторождений нефти. Однако процесс бурения на такую глубину резко повысил сложность и жесткость связей во всей системе работ. ВР рисковала, все дальше и дальше заходя в опасную зону. А при стоимости лизинга 1 млн долларов в день эксплуатация Deepwater Horizon была совсем не дешевым делом. Поэтому инженеры торопились закончить работу на участке Macondo и перейти к новым проектам.

Авария на буровой платформе произошла не из-за изношенного болта или чего-то подобного, что могли бы обнаружить бурильщики при очередной инспекции оборудования. Все случилось из-за неспособности ВР справиться с возросшей сложностью всей системы буровых работ.

Как радиация не дает возможности прямо наблюдать за активной зоной реактора, так и глубоководная среда с ее колоссальным давлением закрывала от взора людей то, что происходило внутри скважины. Бурильщики не могли отправить кого-то на километры внутрь земли, чтобы посмотреть, как там развивалась ситуация. Вместо этого они полагались на компьютерные модели и косвенные измерения, такие как показатель давления в скважине или производительности насосов.

Когда инженеры ВР приняли ряд рискованных решений – в частности, проигнорировали настораживающие показатели роста давления в скважине {60} и не провели необходимые тесты ее прочности {61} , – сложность системы заслонила возникшие проблемы. Команда платформы Deepwater Horizon балансировала на грани катастрофы, даже не осознавая этого.

Пока экипаж платформы боролся с пожаром, сложность нанесла новый удар: системы безопасности платформы оказались излишне запутанными. Например, для активации только одной из противопожарных систем нужно было нажать целых тридцать кнопок, а «Руководство по борьбе с чрезвычайными ситуациями» описывало столько всевозможных случаев, что команда не могла определиться, каким инструкциям следовать. Когда произошла авария, экипаж платформы буквально замер в нерешительности. Сложность систем безопасности парализовала людей.

60

National Commission on the BP Deepwater Horizon Oil Spill and Offshore Drilling // Deep Water. P. 105–109.

61

National Commission on the BP Deepwater Horizon Oil Spill and Offshore Drilling // Deep Water. P. 3–4.

Сама платформа, бурившая нестабильные геологические породы дна Мексиканского залива, оказалась жестко связанной структурой. Когда случилась авария, систему нельзя было отключить, а потом запустить вновь. Для нефти и газа не было другого способа выйти из скважины, кроме движения вверх.

Платформа Deepwater Horizon была чудом инженерной мысли, которая раздвигала границы возможного в процессах бурения. Но даже оказавшись далеко в опасной зоне, эта система полагалась на меры безопасности, более подходящие для простых и щадящих условий.

Компания Transocean, которой принадлежала платформа, уделяла много внимания определенным аспектам техники безопасности. «Совещания по этим вопросам проходили постоянно, – вспоминал Холлоуэй. – Еженедельные и ежедневные совещания по безопасности» {62} .

Команда даже помогала записать видео в стиле рэп {63} , посвященное тому, как в повседневной работе на буровой защищать свои руки. Там были такие слова:

Безаварийное рабочее место

Прежде всего.

Сначала все спланируй

И береги свои руки.

Машинист, работаешь с двигателем?

Береги свои руки!

Разнорабочий, подающий трубы,

Береги свои руки!

Помощник, соединяя трубы,

Береги свои руки!

62

David Barstow, Rob Harris, and Haeyoun Park. Escape from the Deepwater Horizon // New York Times video, 6:34, December 26, 2010. URL: https://www.nytimes.com/video/us/1248069488217/escape-from-the-deepwater-horizon.html.

63

David Barstow, Rob Harris, and Haeyoun Park. Escape from the Deepwater Horizon // New York Times video, 6:34, December 26, 2010. URL: https://www.nytimes.com/video/us/1248069488217/escape-from-the-deepwater-horizon.html.