Неуязвимость. Отчего системы дают сбой и как с этим бороться - Андраш Тилчик

Сложность и жесткая связанность сделали разразившийся во Флинте кризис очень глубоким. По мере того как город переходил от хорошо проверенной системы водоснабжения к новой, его власти столкнулись с трудно предсказуемыми взаимодействиями – между бактериями; химическими веществами, предназначенными для борьбы с ними; химикатами для предотвращения коррозии и старыми свинцовыми трубами. А устройство системы водопровода предполагало, что должностные лица должны полагаться на неточные и косвенные показатели. Например, в мэрии города не было даже хорошей карты городского водопровода, и получилось так, что в большинстве домов, где брались пробы воды, вообще не было свинцовых труб. Кроме того, частицы свинца невидимы, а получение результатов анализов иногда занимало несколько недель. Ситуация отличалась также жесткой связанностью: как только свинец проник в воду, его оттуда не убрать, и вред детям, в организм которых он попал, уже нанесен.

Имея дело со сложными системами, мы часто предполагаем, что они работают нормально, и отвергаем те свидетельства, которые этому предположению противоречат. Представитель властей штата Мичиган, который курировал переход Флинта на водоснабжение из собственного источника, заявил на церемонии: «Когда очищенная речная вода начинает закачиваться в городскую систему, мы переходим от планов к реальности. Вода быстро говорит сама за себя»{202}. И он был прав – на начальном этапе качество воды говорило само за себя. Но, не отладив систематический мониторинг возникающих проблем, власти Мичигана проигнорировали предупреждающие сигналы. Они не только заблудились в трех соснах – они вообще не поняли, что вошли в лес.

Чарльз Перроу утверждает, что такого рода отрицание реальности распространено очень широко{203}. «Мы конструируем для себя мир наших ожиданий, потому что не можем справиться со сложностью окружающей нас действительности. Потом мы отбираем только те данные, которые укладываются в наши ожидания, и находим причины, чтобы отказаться от данных, которые этим ожиданиям противоречат. При создании таких конструкций мы игнорируем неожиданные или маловероятные взаимодействия».

Именно это и случилось во Флинте.

Недалеко от центра Вашингтона, округ Колумбия, расположено ничем не приметное здание, в котором разместился центр управления вашингтонским метро. Операторы сидят за столами вокруг гигантского экрана с картой, работающей в режиме реального времени. Десятки камер следят за железнодорожными путями и въездами в тоннели.

Инженеры, создававшие систему вашингтонского метро в 1970-х годах, предусмотрели функцию автоматического контроля движения поездов. Для этого все имеющиеся пути они поделили на множество блоков. Некоторые блоки были протяженностью только 12 м, а некоторые – 450 м. Каждый блок оснащен оборудованием для обнаружения движущихся поездов.

Это была хорошая система{204}. Передатчик с одной стороны блока генерировал сигнал. Приемник на другом конце блока этот сигнал принимал. Когда блоки путей пусты, сами рельсы выполняют функцию проводников сигналов от передатчиков к приемникам. Но когда в данном блоке находится поезд, цепь работает по-другому. Колеса поезда замыкают в цепь рельсы, и сигнал уходит по ним в землю, не попадая в приемник. Так что, когда приемник не получал сигнал, система понимала, что в блоке находится поезд, и обозначала данный путь как занятый. Она использовала эту информацию также для управления скоростью движения поездов и предотвращения их возможных столкновений.

Однако эта система состарилась. В вашингтонском метро начали заменять ее компоненты, но даже в этом случае базовая технология устарела{205}. Она не могла определить местоположение конкретного поезда – только сказать, занята данная секция путей или нет.

Над этими проблемами задумались в 2005 году. Тогда в час пик три поезда подземки остановились буквально в нескольких метрах друг от друга на участке метро глубоко под рекой Потомак. Система почему-то не сработала на занятом отрезке пути, и ситуацию спасли только удача и быстрые действия машинистов.

Рассказ о происшествии случайно услышал один из создателей системы. Он собрал более полную информацию об инциденте и понял, что в тот момент, когда поезда находились посередине блока, не сработали датчики{206}. Немедленно на пути были посланы рабочие и техники. В течение последующих дней, пока техники устраняли неисправности, рабочие стояли рядом с путями, контролируя, чтобы они были свободны, когда центр управления разрешал очередному поезду въехать на них.

Техники должны были выяснить, почему на 300-метровом участке пути не фиксировалось присутствие поезда. В конце концов они поняли, что сигнал каким-то образом проходил от передатчика к приемнику даже тогда, когда в данном блоке путей находился поезд. Специалисты заподозрили, что где-то в цепи возникло короткое замыкание. Однако проблема как-то сама собой исчезла еще до того, как они окончательно в ней разобрались.

Хотя, казалось бы, проблема устранена, техники заменили все компоненты цепи. Теперь им все же нужно было удостовериться, что подобные сбои не возникнут где-то еще в системе, поэтому они разработали довольно простой тест: положили поперек рельсов толстый металлический прут, который изображал колеса поезда, и двигались с ним вперед, чтобы проверить, будет ли данный блок пути показан как занятый. В это время другая команда работала над оборудованием, контролирующим состояние пути. Поскольку проблема возникала непостоянно, ремонтникам следовало обратить особое внимание на проверку трех участков: рядом с передатчиком, посередине путей и рядом с приемником.