?Неуязвимость! Отчего системы дают сбой и как с этим бороться

Клирфилд Крис

На ВР так же тщательно следили, чтобы кто-то не ушибся или не поскользнулся, придавалось большое значение предотвращению производственного травматизма. Как объяснял один из бывших инженеров компании: «Руководство ВР {64} сосредоточилось на простых аспектах безопасности: от работников компании требовали, чтобы при ходьбе по лестнице они всегда держались за поручень, часами рассказывали о преимуществах парковки машин задом к ограждению, чтобы потом легче было выезжать, и предупреждали об опасности отсутствия крышки на пластиковом стаканчике с горячим кофе {65} . Однако в более сложных вопросах, например инвестирования в содержание и ремонт различного оборудования, они не проявляли столько же энтузиазма».

64

Andrew B. Wilson. BP’s Disaster: No Surprise to Folks in the Know // CBS News, June 22, 2010. URL: http://www.cbsnews.com/news/bps-disaster-no-surprise-to-folks-in-the-know.

65

Elkind, Whitford, and Burke. BP.

Они больше волновались о том, чтобы люди не разлили кофе, а не о том, чтобы по океану не разлилась нефть.

Такой подход на первый взгляд выглядит абсурдным, но компании видели в нем глубокий смысл. Обожженные руки, падения и поскальзывания, а также автоаварии означали для фирм значительные потери рабочего времени и стоили дорого. Кроме того, такого рода происшествия легко

отследить, составить статистику травматизма и влияния на него мер безопасности и показать, как позитивно они воздействуют на финансовые итоги работы компании. Меньшее количество травм дает наглядные результаты – снижение расходов и увеличение прибыли квартал за кварталом. Эти результаты создают иллюзию безопасности. Невероятно, но эта иллюзия сохранилась даже после аварии на платформе Deepwater Horizon. «Несмотря на трагическую гибель людей в Мексиканском заливе, мы достигли образцовых статистических показателей в плане обеспечения безопасности, если исходить из общего числа зафиксированных в компании происшествий и тяжести их последствий, – было написано в одном из докладов компании Transocean, которые она, по действующему законодательству, должна ежегодно представлять в Американскую комиссию по ценным бумагам и биржам для обоснования стоимости своих акций. – Учитывая данные показатели, это был лучший год с точки зрения обеспечения производственной безопасности в истории компании. Это отражает нашу приверженность созданию безаварийных условий деятельности всегда и везде» {66} .

66

Proxy Statement Pursuant to Section 14(a) // Transocean with the U. S. Securities and Exchange Commission, April 1, 2011. URL: https://www.sec.gov/Archives/edgar/data/1451505/000104746911003066/a2202839zdef14a.htm.

Лучший год с точки зрения обеспечения производственной безопасности? Образцовые статистические показатели?

Они замешаны в одной из самых тяжелых катастроф в истории мировой экономики, однако по их стандартам это был безопаснейший год компании.

Возможно, им нужны другие стандарты. Или кардинально новый подход.

По мере того как меняются наши системы, должны меняться и способы управления ими. Компании Knight, BP и Transocean использовали устаревшие подходы. Кстати, фирма Knight вообще не считала себя организацией, связанной с технологиями, хотя технологии и были основой ее деятельности. Методы компании больше подходили для времени, когда на фондовом рынке главным лицом был трейдер в торговом зале. Но Knight работала уже в другую эпоху.

Точно так же подходы концерна ВР и компании Transocean к вопросам безопасности, наверно, нормально работали бы в более простых системах, как, например, обычное бурение с наземных установок. В них упор на предотвращение производственного травматизма и правильное содержание оборудования (скажем, на выявление изношенных болтов) и мог бы сыграть свою роль. Но Deepwater Horizon была сложнейшей плавучей буровой платформой. Она работала непосредственно в той самой опасной зоне.

Когда Перроу выпустил книгу «Нормальные аварии» (Normal Accidents) в 1984 году, описанная им опасная зона была довольно «малонаселенной». Она включала в себя такие системы, как атомные электростанции, химические предприятия и космические полеты. С тех пор самые разные системы – от университетов и компаний Уолл-стрит до плотин и морских буровых платформ – стали намного более сложными и жестко связанными.

И никакие системы сегодня не защищены от такой трансформации, даже те, которые когда-то были самим воплощением простоты и нежесткой связанности. Представьте себе скромное почтовое отделение. В 1984 году Перроу поместил почту в самом безопасном уголке своей матрицы, далеко от опасной зоны. Эта система с наименьшей степенью вероятности могла бы «пойти вразнос». Но изменения затронули и ее.

IV

В начале 2000-х годов Королевская почтовая служба Великобритании начала использовать новую модную IT-систему под названием Horizon («Горизонт») {67} . Она стоила 1 млрд фунтов стерлингов и была гордо провозглашена «одним из самых больших IT-проектов, осуществленных в Европе» {68} . Однако через несколько лет эта система стала предметом широкого обсуждения в британском парламенте, а в английских газетах появились заголовки, подобные следующим:

67

Значительная часть раздела о британской почте и ее компьютерной системе Horizon основывается на заявлениях членов парламента во время слушаний в палате общин 17 декабря 2014 года (Parliamentary Debates // Commons, 6th ser., vol. 589, 2014. URL:. Материал о программе взят из докладов: Second Sight // Interim Report into Alleged Problems with the Horizon System, July 8, 2013; Second Sight // Initial Complaint Review and Mediation Scheme: Briefing Report – Part Two, April 9, 2015. URL:В 2017 году коллективный иск против британской почты был признан Высшим судом Лондона; почта Великобритании выступает в качестве ответчика. См.: Group Litigation Order against Post Office Limited Is Approved // Freeths, March 28, 2017. URL:HM Courts & Tribunals Service, The Post Office Group Litigation, March 21, 2017. URL: https://www.gov.uk/guidance/group-litigation-orders#the-post-office-group-litigation.

68

The Post Office, Post Office Automation Project Complete // PR Newswire, June 21, 2001. URL: http://www.prnewswire.co.uk/news-releases/post-office-automation-project-complete-153845715.html.

Почтовая служба разрушила достойную жизнь людей {69}

Почтовая служба под огнем критики из-за своей IT-системы {70}

Субпочтмейстеры отстаивают свое доброе имя после обвинений в воровстве и подтасовке бухгалтерских отчетов {71}

В Соединенном Королевстве почтовая служба – полукоммерческая организация, которая не только предоставляет гражданам почтовые услуги, но и обеспечивает им доступ к их банковским счетам, позволяет пополнять баланс мобильных телефонов и оплачивать текущие счета. В небольших населенных пунктах почтовая служба обычно привлекает для этого владельцев небольших магазинчиков и других подобных заведений на условиях франшизы, и те работают непосредственно со своих площадок. Такие лица в Великобритании называются субпочтмейстерами.

69

Neil Tweedie. Decent Lives Destroyed by the Post Office: The Monstrous Injustice of Scores of Sub-Postmasters Driven to Ruin or Suicide When Computers Were Really to Blame // Daily, April 24, 2015. URL: http://www.dailymail.co.uk/news/article-3054706/Decent-lives-destroyed-Post-Office-monstrous-injustice-scores-sub-postmasters-driven-ruin-suicide-computers-really-blame.html.

70

Tim Ross. Post Office Under Fire Over IT System // Telegraph, August 2, 2015. URL: http://www.telegraph.co.uk/news/uknews/royal-mail/11778288/Post-Office-under-fire-over-IT-system.html.

71

Rebecca Ratcliffe. Subpostmasters Fight to Clear Names in Theft and False Accounting Case // Guardian, April 9, 2017. URL: https://www.theguardian.com/business/2017/apr/09/subpostmasters-unite-to-clear-names-theft-case-post-office.

Британская почта разработала систему Horizon, чтобы управлять оборотом сотен продуктов, предоставляемых населению субпочтмейстерами, и значительно сократить время, которое они тратили на бухгалтерскую отчетность. И во многих смыслах эта система заработала хорошо. Однако вскоре после ее внедрения некоторые владельцы таких малых торговых точек стали жаловаться, что Horizon плохо справляется со своими функциями и ошибочно показывает недостачу денежных средств и марок {72} ,

а кроме того, вызывает сбои в работе банкоматов {73} . Одной из причин этой ситуации могла стать необычайная широта функций системы Horizon. Как писала газета Financial Times {74} , независимый анализ показал, что «Horizon – исключительно сложная система, которую трудно совместить с другими; налицо недостаточная подготовка субпочтмейстеров; при этом появившаяся бизнес-модель возлагала на них ответственность за любые возникающие проблемы». Оказалось, что система Horizon была очень сложной и жестко связанной.

72

Parliamentary Debates, Commons, 6th ser, vol. 589, 2014. URL:Как отметил в ходе слушаний член парламента Джеймс Арбетнот: «В 2000 году британская почта развернула новую программу бухгалтерского учета Horizon. Вскоре после этого возникло много проблем. Субпочтмейстеры по всей стране обнаруживали в своей отчетности расхождения, которые они должны были устранять каждый день. Некоторые отчетные данные превышали суммы, которые должны были бы фигурировать, а некоторые были меньше них. Некоторые субпочтмейстеры закрывали свои точки в субботу с одним итогом, а в понедельник обнаруживали, что итог был совершенно другой». Джеймс Арбетнот в ходе слушаний описал следующий случай: «Избирательница моего округа Джо Гамильтон сначала обнаружила такое расхождение в сумме 2000 фунтов. Она позвонила в группу поддержки, где ей посоветовали нажать определенные кнопки. Мгновенно расхождение составило 4000 фунтов. Эта сумма все увеличивалась и увеличивалась, пока не достигла 30 000 фунтов. Необходимого расследования британской почтой проведено не было». На слушаниях другой член парламента Алберт Оуэн сделал следующее заявление: «Электронная система бухгалтерской отчетности Horizon сразу привлекла к себе внимание в связи с возникновением в ней проблем. Многие субпочтмейстеры, некоторые из которых уже ушли на пенсию, а их почтовые отделения были по разным причинам закрыты, в 2001–2002 годах рассказывали мне, что система Horizon часто отключалась и перезагружалась. Поэтому мне трудно принять заключение британской почты о том, что с этой системой никогда не было никаких проблем». Вторя ему, член парламента Иэн Мюррей заявлял: «К нам продолжают поступать сведения о постоянных проблемах, с которыми сталкиваются в рамках этой системы субпочтмейстеры по всей стране». А член палаты общин Хью Ирранка-Дэвис сказал: «От одного из моих избирателей в 2008 году требовали уплаты 5000 фунтов стерлингов в покрытие расхождений с учетами системы Horizon, подобных тем, о которых мы слышим сегодня». Он утверждал, что в этом виновата сама компьютерная система британской почты, а также недостаток предоставленной субпочтмейстерам подготовки и поддержки при возникновении у них проблем с системой Horizon. См. также: Second Sight, Initial Complaint Review and Mediation Scheme, Group Litigation Order against Post Office Limited is Approved // Freeths; The Post Office Group Litigation // HM Courts & Tribunals Service; Gill Plimmer. MPs Accuse Post Office over ‘Fraud’ Ordeal of Sub-Postmasters // Financial Times, December 9, 2014. URL:Michael Pooler. Sub-Postmasters Fight Back over Post Office Accusations of Fraud // Financial Times, January 31, 2017. URL:Gill Plimmer and Andrew Bounds. Dream Turns to Nightmare for Post Office Couple in Fraud Ordeal // Financial Times, December 12, 2014. URL: https://www.ft.com/content/91080df0-814c-11e4-b956-00144feabdc0.

73

Second Sight, Initial Complaint Review and Mediation Scheme: Briefing Report – Part Two, April 9, 2015. URL:Testimony of Ian Henderson // Post Office Mediation, HC935, Business, Innovation and Skills Committee, February 3, 2015. URL:Tweedie. Decent Lives Destroyed by the Post Office.

74

Plimmer and Bounds. Dream Turns to Nightmare. Second Sight, Initial Complaint Review and Mediation Scheme. Заключения этого доклада совпадают с заявлениями нескольких членов британского парламента, сделанными в ходе слушаний в палате общин 17 декабря 2017 года (Parliamentary Debates, Commons, 6th ser., vol. 589, 2014). Обратите внимание, например, на высказывания члена парламента Хью Ирранка-Дэвиса, который выделил «проблемы совместимости интерфейса системы Horizon с существующими системами», а также «недостаток у пользователей подготовки и их поддержки со стороны британской почты». В этом плане стоит упомянуть и заявления члена парламента Майка Вуда, который отметил, что «ответственность за любые проблемы или недостатки в работе с системой неправомерно возлагалась исключительно на субпочтмейстеров».

Том Браун многое повидал на своем веку {75} , будучи субпочтмейстером: он работал на этой должности тридцать лет и пережил пять вооруженных нападений. Однако с новой системой он испытывал большие трудности. Том обратился в почтовое отделение, где ему сказали: «Не волнуйтесь, мы уладим все проблемы».

Однако в ходе следующей аудиторской проверки Брауна обвинили в присвоении 85 000 фунтов стерлингов. Полиция арестовала его и обыскала принадлежащие ему дом и машину. Хотя спустя пять лет дело было закрыто, репутация Тома оказалась втоптанной в грязь. Он потерял свой бизнес, дом и более 250 000 фунтов.

75

История Тома Брауна была рассказана членом парламента Киваном Джонсом на слушаниях в палате общин (Parliamentary Debates, Commons, 6th ser., vol. 589, 2014). См. также связанные с проблемой Horizon заявления членов парламента Джеймса Арбетнота, Кэти Кларк и Хью Ирранка-Дэвиса, касавшиеся порядка поддержки системы. Как заявила, например, Кэти Кларк: «Во всех высказываниях по поводу системы Horizon красной нитью проходит мысль, что ее поддержка со стороны британской почты была недостаточной. Службы поддержки, которые должны были помогать пользователям при возникновении проблем, часто давали им неверные советы и рекомендации». На тех же слушаниях член парламента Хью Ирранка-Дэвис произнес следующее: «Я знаю три подобных случая в своем небольшом избирательном округе. Каждый из них отличен от другого, но у них есть и нечто общее. Во всех трех случаях отмечались проблемы совместимости интерфейсов системы Horizon и существующих систем. В каждом из этих случаев отмечались простои действующих систем во время ввода Horizon. Совершенно возмутительным при этом было отсутствие каких-либо инструкций и рекомендаций для пользователей. Все они вынуждены были залезать в собственный карман, как часто делают субпочтмейстеры, чтобы свести баланс». См. также: Second Sight, Initial Complaint Review and Mediation Scheme. P. 25.

Несмотря на то что некоторые субпочтмейстеры сообщали о сбоях в работе системы, почтовая служба продолжала выражать уверенность в том, что «компьютерная система Horizon во всех отделениях работает нормально, а бухгалтерские отчеты, которые она составляет, точны и заслуживают полного доверия» {76} . Более того, в ответ на требования проведения проверок британская почта высказывала недовольство тем, что ее обвиняют в сбоях системы, отмечая, «что система Horizon используется в 11 600 почтовых отделениях руководителями, агентами и тысячами субпочтмейстеров, она успешно осуществляет 6 млн транзакций ежедневно, включая операции крупнейших английских банков» {77} .

76

Заявление британской почты приведено в статье: Karl Flinders. Post Office Faces Legal Action Over Alleged Accounting System Failures // Computer Weekly, February 8, 2011. URL:В ответе на электронный запрос от 11 августа 2017 года представитель британской почты сообщил: «Как и любая другая IT-система, компьютерная система Horizon не являет собой совершенство, но она вполне устойчива и надежна».

77

Это заявление содержится в ответе группы по связям с общественностью британской почты от 11 августа 2017 года. Мы тоже считаем, что компьютерная система Horizon успешно обслуживает тысячи почтовых отделений по всей Великобритании и обеспечивает осуществление миллионов операций. Приведение нами примера Horizon не подразумевает вывода о том, что вся эта система плоха. Сложные и жестко связанные системы могут приводить к неожиданным и очень затратным сбоям даже тогда, когда в абсолютном большинстве случаев они работают совершенно нормально. Например, катастрофа с рейсом ValuJet 592 – тяжелый системный сбой. Но это не означает, что современная система авиационного сообщения целиком никуда не годится.