Неуязвимость. Отчего системы дают сбой и как с этим бороться - Андраш Тилчик

Альпинисты понимают, что фактор риска возникает из сложного сплетения самых незначительных сбоев. Улучшения в логистике не могут превратить восхождение на Эверест в совершенно безопасное предприятие, но они делают экспедиции менее сложными и предупреждают возникновение целого ряда небольших неудач, которые при определенных условиях могут вырасти в настоящую беду.

Оказывается, те решения, которые применимы на Эвересте, могут помочь нам справиться с повседневными ситуациями, в которых ставки не так высоки, – например, с организацией торжественного обеда на День благодарения. Ведь проблема здесь такая же – стечение небольших сбоев может привести к большой неудаче. Попытки «разорваться» между приготовлением обеда и другими задачами, от мытья санузлов до сервировки стола, добавляют в работу стресс и отвлекающие факторы. Излишне торопливые хозяева часто совершают «дурацкие ошибки», как та читательница журнала Bon Appétit, которая сделала мороженое с сиропом от кашля, перепутав его с ванильным.

Вместо того чтобы сосредоточиваться исключительно на самом процессе приготовления блюд – кулинарного эквивалента финишного рывка альпинистов к вершине, – мы можем взглянуть на все событие как на систему. Точно так же, как это делают компании по организации горных восхождений, мы можем позаботиться о мелких проблемах еще до того, как они станут серьезными отвлекающими факторами. За день до приготовления обеда можно почистить лужайку и санузлы. Мы также можем заранее проверить, есть ли все необходимое для готовки – и не только очевидные продукты, но и соль, оливковое масло, кулинарная фольга и т. п. Глядя на эти небольшие проблемы как на ключ к успешному обеденному приему, мы можем предотвратить его превращение в катастрофу.

В других системах люди обнаружили способ снизить сложность за счет устранения излишних предупреждающих сигналов{149}. Вспомните кабину самолета Boeing 737 и взгляните на список ниже. Это список чрезвычайных ситуаций, которые могут оказать серьезный негативный эффект на большой многомоторный самолет. Какие из них, по вашему мнению, должны включать сигнал повышенной опасности в кабине пилотов?

• Возгорание двигателя

• Начало снижения для посадки при невыпущенном шасси

• Надвигающийся аэродинамический срыв (срыв потока)

• Остановка работы двигателя

Все они звучат очень угрожающе, не так ли?

Но только одна из этих чрезвычайных ситуаций включает максимальный уровень тревожной сигнализации в кабине современных авиалайнеров Boeing. Когда самолет оказывается на грани аэродинамического срыва, в кабине пилотов загораются красные огни, а на экране пульта управления появляется красная предупреждающая надпись. Штурвальные колонки сильно трясутся, издавая при этом громкий звук. Пилоты видят, слышат и ощущают предупреждения.

Помимо срыва потока, никакие другие ЧП не активируют все эти предупреждения – даже возгорание двигателя. Разумеется, такой пожар – очень серьезное происшествие, однако он, скорее всего, не сразу повлияет на полет воздушного судна. Поэтому в этих случаях тоже загораются красные индикаторы на панели, высвечивается красное текстовое предупреждение и громко звонят тревожные колокольчики. Однако нет вибрации штурвальных колонок.

Существуют и более низкие уровни предупреждений, «рекомендательные», когда на экранах мониторов высвечиваются надписи янтарного цвета, но больше ничего не происходит, даже не зажигаются сигнальные лампочки. Низкий уровень гидравлической жидкости в одной из гидравлических систем подпадает под эту категорию. Пилотам необходимо знать об этом событии, потому что они должны следить за количеством жидкости в гидравлической системе. Но в данном случае ситуация не является срочной. Если же жидкость вытекает из системы полностью, летчики получат тревожные сигналы более высокого уровня. На панели высветится больше желтых огней, и будут раздаваться предупреждающие звуковые сигналы.

Принцип здесь прост: не отвлекайте людей, усложняя систему предупреждения больше необходимого – впрочем, как и любую систему. Убирайте то, что не нужно, и держите в приоритете то, что считаете важным[12]. Это называется «иерархия сигналов тревоги». В прошлом, по мере того как самолеты становились все сложнее, предупреждающие лампочки загорались по всей кабине, а звуковые сигналы работали почти без перерывов. Благодаря иерархии сигналов тревоги большинство полетов в наше время проходит вообще без их срабатывания, поэтому вероятность того, что пилоты будут завалены ненужными предупреждениями, незначительна.

Неудивительно, что такой подход начинают использовать и в других сферах жизни. «Мы создали специальную комиссию для того, чтобы пересмотреть всю нашу систему предупреждений и тревожных сигналов, удаляя их один за другим, – пишет Боб Уотчер о создании иерархии предупреждений в его госпитале. – Это тяжкий труд, некий цифровой аналог прополки садового участка для избавления от сорняков»{150}.

Конечно, иногда невозможно снизить сложность наших систем – мы не всегда способны сделать их понятнее, избавить от небольших сбоев и убрать излишние элементы безопасности. Но даже в этих случаях мы можем попытаться создать менее жесткую связь между элементами.

Гэри Миллер, консультант по вопросам управления{151}, с которым вы встречались ранее в этой главе, однажды работал над проектом по оживлению бизнеса небольшой сети кафе-пекарен. Владельцы планировали открыть несколько новых заведений, одновременно обновив меню и интерьеры в уже существующих.