?Неуязвимость! Отчего системы дают сбой и как с этим бороться
Шрифт:
Этим мужчиной был Чарльз Перроу {22} , или Чик, как звали его друзья. Перроу на первый взгляд был не очень похож на того, кто призван кардинально изменить науку о катастрофах. Он был не инженером, а профессором социологии. Раньше он не занимался исследованиями аварий, ядерной энергетикой или вопросами безопасности. Он скорее был специалистом по организациям, а не по катастрофам. Его последняя статья называлась «Восстание слабых. Движение фермерских наемных работников, 1946–1972» (Insurgency of the Powerless: Farm Worker Movements, 1946–1972). Когда произошла авария на АЭС Three Mile Island, он изучал вопросы организации текстильных фабрик в Новой Англии в XIX веке.
22
Описание теории Перроу и развития его идей во многом базируется на наших продолжительных беседах с ним 23 и 24 июля 2016 года и его книге «Нормальные аварии».
Социологи редко вносят большой вклад в такие вопросы жизни и смерти, как безопасность в атомной отрасли.
23
Эта карикатура появилась на обложке издания: The Sociologist’s Book of Cartoons. N. Y.: Cartoon Bank, 2004.
24
Kathleen Tierney. Why We Are Vulnerable // American Prospect, June 17, 2007. URL: http://prospect.org/article/why-we-are-vulnerable.
25
Этот отзыв о Чарльзе Перроу взят из кн.: Dalton Conley. The Next Catastrophe: Reducing Our Vulnerabilities to Natural, Industrial, and Terrorist Disasters. Princeton, NJ: Princeton University Press, 2007. URL: http://press.princeton.edu/quotes/q9442.html.
Впервые Перроу заинтересовался проблемами техногенных аварий, когда президентская комиссия по ЧП на АЭС Three Mile Island обратилась к нему с просьбой поучаствовать в изучении инцидента. Изначально комиссия планировала услышать выводы по происшествию только от инженеров и юристов, однако единственный социолог в ее составе посоветовала проконсультироваться и с Перроу. Она полагала, что необходимо прислушаться к мнению ученого-обществоведа, который занимается проблемами существования и деятельности организаций в реальном мире.
Получив протоколы слушаний комиссии, Перроу прочел их за один вечер. В ту ночь он несколько часов крутился в кровати без сна. А когда наконец смог кое-как заснуть, ему привиделись страшные кошмары, каких он не видел со времен службы в армии во Вторую мировую войну. «Свидетельские показания операторов станции произвели на меня глубокое впечатление, – вспоминал Перроу спустя годы. – Люди имели дело с техникой, таящей в себе гигантские, неимоверные риски. И в течение нескольких часов они не имели представления, что же происходит на месте аварии на самом деле… Я неожиданно понял, что нахожусь в гуще, в сердцевине всего этого, потому что в первую очередь данная авария явилась проблемой организационной» {26} .
26
Charles Perrow. An Almost Random Career. Arthur G. Bedeian (ed.). Management Laureates: A Collection of Autobiographical Essays. Vol. 2. Greenwich, CT: JAI Press, 1993. P. 429–430.
У Перроу было три недели на подготовку 10-страничного доклада. Однако с помощью своих аспирантов, которые коробками посылали необходимые ученому материалы в его бревенчатое убежище, к указанному сроку он представил документ на 40 страниц. В него он даже внес идеи, которые, как он писал позднее, возникали у его «очень вредных и критически настроенных аспирантов, которые все время спорили» с ним и друг с другом. «Это была, – вспоминал Перроу, – группа самых угрюмых аспирантов в нашем кампусе, известная своим черным юмором. Когда мы собирались по понедельникам, один из них обязательно говорил: “Выходные прошли отлично для нашего проекта!”, и потом вываливал на нас сообщения обо всех произошедших катастрофах» {27} .
27
Perrow. Normal Accidents. VIII.
Эта группа учеников Перроу как в зеркале отражала его собственный характер. Один из известных ученых описывал Перроу как «невыносимого брюзгу и ворчуна», однако называл его исследования «лучом света» {28} . Студенты утверждали, что Перроу был очень требовательным преподавателем, но любили его лекции, поскольку много из них узнавали. В академической среде у него была репутация человека, выступающего с очень жесткой, но конструктивной критикой {29} . «Критические оценки моей работы со стороны Чика служили тем мерилом, по которому я судил о своем успехе, – замечал один из знакомых с ним ученых. – Он всегда исписывал страницу за страницей своими язвительными замечаниями, обычно вполне справедливыми, и заканчивал свои письма чем-то вроде: “С любовью, Чик” или “Как всегда,
28
Laurence Zuckerman. Is Complexity Interlinked with Disaster? Ask on Jan. 1; A Theory of Risk and Technology Is Facing a Millennial Test // New York Times, December 11, 1999. URL: http://www.nytimes.com/1999/12/11/books/complexity-interlinked-with-disaster-ask-jan-1-theory-risk-technology-facing.html.
29
Чарльз Перроу был неутомим в своих исследованиях. Однако некоторые организации, которые он пытался изучать, испытывали определенные сомнения в его мотивах. «Менеджеры иногда приглашали меня на роскошные обеды с неограниченным количеством мартини и зачастую начинали допускать расистские высказывания, – рассказывал нам Перроу. – Они внимательно следили за моей реакцией, чтобы удостовериться, не являюсь ли я типичным “левым” социологом или мне все-таки можно довериться. Но я сразу понимал их хитрости. И просто беседовал с ними, чтобы получить нужную мне информацию». С легкой усмешкой Чарльз добавлял: «А им было интересно, какое количество мартини я выдержу. В конечном счете они мне понравились». Интервью с Перроу от 23 июля 2016 г.
30
Lee Clarke. Mission Improbable: Using Fantasy Documents to Tame Disaster. Chicago and London: The University of Chicago Press, 1999. P. XI–XII.
III
Чем больше Перроу узнавал об аварии на АЭС Three Mile Island, тем больший интерес его охватывал. Это была крупная катастрофа, но причины ее вполне тривиальны: она произошла не из-за сильного землетрясения или большой технологической ошибки, а стала следствием ряда небольших сбоев: некачественно проведенные слесарные работы на трубопроводе, застрявший клапан компенсатора давления и неправильно понятый световой индикатор.
Эта авария развивалась стремительно. Только подумайте: изначальная ошибка при обслуживании труб; последующее отключение насосов, нагнетавших горячую воду в парогенератор; рост давления в активной зоне реактора; открытие компенсаторного клапана и неудача при его закрытии, а также ошибочное указание датчика положения клапана – все это произошло в течение тринадцати секунд. За десять минут был нанесен непоправимый ущерб реактору АЭС.
Перроу было понятно, что обвинять во всем операторов станции – это нечестный прием. Официальное расследование изображало коллектив смены АЭС главными виновниками аварии, но Перроу осознавал, что их ошибки кажутся таковыми только при суждении задним числом. Он назвал их «ретроспективными ошибками» {31} .
Возьмем, например, главную из этих ошибок – предположение операторов, что в реакторе находилось слишком много, а не слишком мало воды. Когда техники сделали это предположение, доступные им показания датчиков не свидетельствовали о том, что уровень охлаждающей жидкости в реакторе был слишком низким. По их представлениям, никакой опасности перегрева твэлов не было. Поэтому они сосредоточились на другой серьезной проблеме: риске переполнения системы. Хотя некоторые показания приборов и могли бы помочь установить истинную проблему, операторы посчитали, что это – результат ошибки измерительных инструментов. И такой вывод был вполне обоснован: ряд приборов действительно работал неправильно. До того как расследование установило невероятное стечение небольших сбоев, принимаемые операторами решения выглядели вполне логичными.
31
Charles Perrow. Normal Accident at Three Mile Island // Society 18 (5), 1981. P. 23.
Такой вывод был пугающим. Происходит одна из самых ужасных аварий в истории атомной отрасли, но ее нельзя объяснить явными человеческими ошибками или значительным внешним воздействием. Она произошла из-за комбинации незначительных сбоев, которые соединились самым причудливым образом.
По мнению Перроу, авария на Three Mile Island была не аномальным событием, а проявлением фундаментальных свойств атомной электростанции как системы. Инцидент развивался скорее под воздействием связей между различными частями системы, чем по вине самих ее частей {32} . Влага, попавшая в систему сжатого воздуха, не составила бы большой проблемы сама по себе. Но из-за связи этой системы с работой насосов, парогенератора, целого ряда клапанов и задвижек и в конечном счете реактора возникшая в ней проблема оказала столь большое влияние на ситуацию.
32
Чтобы получить наглядное представление о том, как системы формируют наш мир, см.: Donella Meadows. Thinking in Systems: A Primer. White River Junction, VT: Chelsea Green Publishing, 2008.
В течение многих лет Перроу и группа его учеников продирались сквозь частокол мельчайших деталей сотен аварий и чрезвычайных происшествий – от авиакатастроф до взрывов на химических предприятиях. И везде возникала одна и та же картина: разные части системы неожиданно вступали во взаимодействие друг с другом, причудливым образом сочетались небольшие сбои, а люди не понимали, что же происходило на самом деле.
По концепции Перроу, системы оказываются подвержены таким срывам под воздействием двух факторов. Если мы это осознаем, то сможем определить, какие из систем являются наиболее уязвимыми.