Принцип «черного ящика». Как превратить неудачи в успех и снизить риск непоправимых ошибок

Как бортинженер Менденхолл предупреждал командира, но не получил ответа, так и медсестра Джейн пыталась достучаться до доктора Андертона. Оба всячески намекали на положение дел и мучились, размышляя, как бы выразить опасения более внятно, но испугались и не стали досаждать начальству. Давление вышестоящего авторитета уничтожило эффективную командную работу.

Для нас, однако, важно не столько сходство между двумя случаями, сколько разные реакции на них. Мы уже видели, что в здравоохранении господствует культура замалчивания. Происшествия описываются как «редчайшие случаи» и «иногда такое бывает». Врачи говорят: «Мы сделали все, что от нас зависело». Такая реакция на неудачу в сегодняшнем мире – абсолютная норма.

В авиации дела обстоят совсем по-другому: в эту систему встроен принцип «учимся на ошибках».

На всех самолетах должны быть два «черных ящика», один из которых фиксирует параметры полета и сигналы, поступающие на все находящиеся на борту электронные системы. Второй записывает переговоры в кабине экипажа, позволяя понять, о чем думали пилоты непосредственно перед катастрофой. Вместо того чтобы скрыть неудачу или пытаться ее забыть, авиация собирает о неудаче подробную информацию.

После катастрофы следователи, которые не зависят от авиакомпаний, профсоюзов пилотов и регуляторов авиаперевозок, получают карт-бланш на изучение обломков, допросы и поиск улик. Ошибки не клеймятся позором, на них смотрят как на учебный материал. Заинтересованные стороны всячески сотрудничают со следствием, так как улики, собранные экспертами по расследованию причин катастроф, не принимаются судом. Потому вероятность полного раскрытия информации растет.

После расследования публикуется отчет, доступный каждому. Авиакомпании несут юридическую ответственность за выполнение его рекомендаций. Доступ к данным есть у всех пилотов в мире. Учиться на ошибках может каждый пилот, а не отдельный экипаж, отдельная авиафирма или отдельная страна. Скорость обучения чрезвычайно высока. Как говорила Элеонора Рузвельт: «Учись на чужих ошибках. Ты не проживешь столько, чтобы совершить их все самому».

Но учатся пилоты далеко не только на катастрофах; «мелкие» ошибки тоже становятся материалом для изучения и обучения. Когда пилоты избегают столкновения с другим самолетом или летят не на той высоте, они составляют рапорт. Если он подается в течение 10 дней, пилоты освобождаются от ответственности. Многие самолеты оснащены информационными системами, которые автоматически посылают сообщения о превышении заданных параметров. Эти сообщения также анонимны и рассматриваются вместе с другими отчетами[6].

Например, в 2005 г. были поданы один за другим несколько рапортов, предупреждавших о проблеме подлета к аэропорту в Лексингтоне, штат Кентукки. Сразу за границей аэропорта местные власти возвели на пустом участке большую стену с росписью, чтобы как-то оживить этот участок. На стену поставили прожектора, освещавшие ее по ночам.

Эти прожектора играли дурную шутку с восприятием пилотов: те принимали свечение на стене за огни посадочной полосы и начинали снижаться слишком рано. К счастью, ни один самолет не разбился – анонимные рапорты выявили потенциальную проблему перед тем, как она смогла кого-то убить. Шон Пручницки, эксперт по безопасности полетов, посетивший собрание, на котором разбирались жалобы пилотов, сказал мне: «За неделю этих рапортов набралась целая гора. Мы сразу поняли, что столкнулись с большой проблемой и что нужно действовать».

Через несколько минут все экипажи, которым предстояло приземлиться в Лексингтоне, получили электронное письмо с предупреждением: при приближении к аэропорту ваше внимание может отвлечь стена. Через пару дней стену с прожекторами убрали (это случилось бы куда быстрее, если бы участок находился в юрисдикции аэропорта). Катастрофу предотвратили прежде, чем она произошла.

Сегодня многие ведущие авиалинии идут еще дальше, внедряя отслеживание в реальном времени десятков тысяч параметров, таких как отклонение от высоты и чрезмерный крен, и постоянно сравнивая эти параметры с идеальными, чтобы распознать данные, свидетельствующие об опасности. Согласно отчету Королевского авиационного общества, «значительное улучшение безопасности полетов – наиважнейшая из задач» [32]. В настоящее время необходимо увеличить объем данных, поступающих в реальном времени, до такой степени, чтобы «черные ящики» стали лишними. Вся информация должна поступать в центральную базу данных немедленно.

Авиация, таким образом, относится к неудачам серьезно. Эксперты тщательно собирают любые данные, которые могут показать, что какая-либо процедура несовершенна, что дизайн кабины экипажа неадекватен, что пилоты не получают необходимых навыков. Эти данные используются, чтобы сделать авиацию еще более безопасной. Отдельные люди не боятся признавать свои ошибки, потому что осознают их ценность.

2

Как система работала в случае с рейсом United Airlines 173? Через считаные минуты после столкновения самолета с землей Национальный комитет по безопасности на транспорте собрал команду следователей, в которую вошли психолог Алан Дил и опытный следователь Деннис Гросси. На следующее утро команда прибыла в пригород Портленда, чтобы собрать улики и свидетельства.

Надо отдать должное выдающемуся профессионализму Макбрума: он контролировал полет до последнего. Во время падения самолета командир высмотрел промежуток между домами, выглядевший как открытое пространство, возможно поле, и решил совершить посадку там. Когда самолет приблизился к промежутку, стало ясно, что это пригородный лесной массив. Командир попытался сманеврировать и проскочить между деревьями, самолет врезался в одно из них, протаранил дом, перелетел через дорогу и замер на крыше другого дома.

Первый дом был заброшенным. Обломки левого крыла самолета нашли потом в другой части пригорода. Левую нижнюю часть фюзеляжа между четвертым и шестым рядами пассажирских сидений ниже уровня окон оторвало полностью. Каким-то чудом самолет не убил никого на земле; погибли восемь пассажиров и два члена экипажа. Одним был бортинженер Менденхолл, тщетно пытавшийся предупредить командира экипажа об уменьшающемся запасе топлива. Командир Макбрум выжил, отделавшись переломами ноги, плеча и ребер.

Собирая улики катастрофы United Airlines 173, следователи смогли определить ее модель. Они не только исследовали обломки, найденные в Портленде, но и сравнили произошедшее с другими авариями. Годом ранее еще один DC-8 разбился почти при тех же обстоятельствах. Самолет, летевший из Чикаго в Сан-Франциско, ночью перешел на полет в зоне ожидания из-за проблем с шасси, до последнего пытался эту проблему решить и упал в горах. Погибли все, кто находился на борту [33].

За несколько лет до того похожая судьба постигла рейс Eastern Airlines 401, когда тот шел на посадку в международном аэропорту Майами. В кабине пилотов не загорелась одна из лампочек, и экипаж решил, что выпущенные шасси не зафиксировались в нижнем положении. Пока пилоты пытались понять, что делать (впоследствии оказалось, что лампочка попросту перегорела), самолет терял высоту; экипаж не обращал на это внимания, несмотря на сигналы систем безопасности. Самолет упал в национальном парке Эверглейдс, жертвами стал 101 человек [34].

Во всех этих случаях, указали следователи, экипажи теряли чувство времени. Оказалось, что внимание – ограниченный ресурс: сосредоточившись на чем-то одном, ты перестаешь следить за всем остальным.

Данный эффект подтверждается экспериментом, в ходе которого студентам даются различные задания. Одно из них простое: прочесть текст вслух. Другое – посложнее: подобрать определения трудным понятиям. Когда студенты выполняют эти задания, их спрашивают, сколько, по их ощущению, прошло времени. Те, кто выполнял простое задание, более точны в оценках, студенты, имевшие дело с более сложным заданием, полагают, что времени прошло куда меньше, чем на самом деле, причем разница может доходить до 40 %. Недаром говорят «время пролетело».

Вспомним теперь о Макбруме. Его задача была много сложнее, чем подобрать определения трудным понятиям. Командир должен был разбираться с проблемой шасси, выслушивать коллег и продумывать посадку в аварийных условиях. Вспомним и о врачах, занимавшихся Илэйн Бромили. Стараясь ввести трубку в трахею, они лихорадочно пытались спасти жизнь пациентки. Врачи потеряли счет времени не потому, что сосредоточились недостаточно, но, наоборот, потому, что сосредоточились слишком сильно[7]. В Портленде, штат Орегон, психолог Дил осознал, что вторая основная проблема связана с коммуникацией. Бортинженер Менденхолл знал о проблемах с топливом. Он несколько раз намекал на это командиру, а когда ситуация сделалась критической, прямо указал на то, что горючее заканчивается. Прослушивая заново записи переговоров экипажа, Дил заметил, что интонации бортинженера менялись. По мере приближения опасности Менденхолл все больше хотел предупредить Макбрума, но так и не смог вступить в прямую конфронтацию с начальником.

Сегодня этот аспект психологии хорошо изучен. Социальная иерархия подавляет настойчивость. С теми, кто облечен властью, мы говорим на «вежливом языке». Начальнику не скажешь: «Мы обязаны провести собрание в понедельник утром». Ему можно сказать: «Если вы не заняты, было бы неплохо, если бы в понедельник вы смогли уделить нам полчаса» [35]. Во многих ситуациях такое почтительное отношение имеет смысл, но когда в летящем над крупным городом 90-тонном самолете кончается топливо, оно может погубить немало жизней.

Те же иерархические отношения наблюдаются и в операционных. Медсестра Джейн знала, как решить проблему. Она принесла набор для трахеостомии. Следовало ли ей говорить громче? Достаточно ли она постаралась? Это самый неверный способ оценивать ошибку, допущенную в критических ситуациях. Напомним, что бортинженер Менденхолл заплатил за свое молчание жизнью. Проблема была не в отсутствии старательности или мотивации, а в том, что система не учитывала ограничения человеческой психологии.

Теперь давайте сравним точки зрения от первого и от третьего лица. Врачам больницы рядом с деревней Норт-Мэрстон действительно могло казаться, что произошел «редчайший случай». В конце концов, они не понимали, что провели долгие восемь минут в тщетных попытках ввести трубку в трахею. Они считали, что потратили на интубацию ничтожное время. Их субъективное восприятие времени изменилось под влиянием паники. Для врачей проблема была в пациентке. Она умерла быстрее, чем должна была, по их экспертной оценке. Поскольку расследование не проводилось, откуда медикам было знать, что они могли действовать эффективнее?

Почти то же самое наблюдалось и в случае с рейсом United Airlines 173. Когда Дил пришел через несколько дней в орегонскую больницу, чтобы поговорить с Макбрумом, тот сообщил следователю, что запасы топлива истощились «невероятно быстро». Командир даже предположил, что имела место утечка в баках. С точки зрения Макбрума, восприятие времени которого исказилось из-за стресса, это было рациональное наблюдение. Он отказывался понимать, что его самолет расходовал топливо как обычно.

Дил и его команда потрудились дважды проверить данные «черного ящика». Они определили запас топлива на борту в момент, когда самолет перешел на полет в зоне ожидания, выяснили, сколько топлива расходуют DC-8 в среднем, узнали, сколько топлива было потрачено до момента аварии. Цифры сходились. Самолет расходовал топливо ничуть не быстрее, чем можно было ожидать. Утечка была не в баках, а в восприятии времени Макбрума.

Лишь по итогам расследования, проведенного третьими лицами, правда вышла наружу. В здравоохранении никто не осознал настоящую проблему, потому, что с точки зрения самих врачей, проблемы не было. Таков один из замкнутых циклов, откладывающих решение проблемы до бесконечности: когда люди не изучают совершенные ошибки, они порой не осознают, что ошиблись (даже если подозревают это).

Опубликованный в июне 1970 г. отчет о катастрофе United Airlines 173, подготовленный Дилом и его коллегами, стал важной вехой в истории авиации. На 30-й странице сухим языком официальных отчетов были сформулированы рекомендации: «Выпустить оперативный бюллетень для всех инспекторов воздушного транспорта с инструкцией предписать прикрепленным к ним операторам гарантировать внедрение принципов рационального управления ресурсами на уровне экипажей воздушных кораблей с особым упором на преимущества привлечения к принятию решений других членов экипажа (для командиров) и тренировки уверенности в себе (для других членов экипажа)».

Через несколько недель НАСА провело конференцию, чтобы рассказать о преимуществах новой учебной программы «Управление ресурсами экипажа». Упор делался на коммуникацию. Вторых пилотов учили всегда сохранять уверенность в себе. Мнемоническое правило, используемое в авиации для воспитания в членах экипажа уверенности в себе, носит название P. A. C. E.: Probe, Alert, Challenge, Emergency – Проверка, Оповещение, Побуждение, Чрезвычайная Ситуация[8]. Командиров, которых годами воспринимали в качестве непререкаемых авторитетов, теперь учили прислушиваться, воспринимать сигналы тревоги и прояснять неопределенности. Проблема восприятия времени решилась структурированием распределения обязанностей.

Были расширены и улучшены уже существовавшие карты контрольной проверки (чек-листы). С одной стороны, чек-листы составляются для того, чтобы ничего не упустить в сложной ситуации. С другой, они уменьшают иерархические различия. Когда командир и второй пилот разговаривают, настраиваются друг на друга, выполняя проверки по чек-листу, между ними открываются коммуникационные каналы. Повышается вероятность того, что второй пилот в аварийной ситуации заговорит с командиром. Это решает еще и так называемую «проблему активации».

Различные версии новых методов обучения стали сразу же проигрывать на симуляторах. На каждой стадии новые идеи проверялись, жестко тестировались и подвергались испытаниям на прочность. Наиболее эффективные предложения были оперативно внедрены в практику авиакомпаний по всему миру. После ужасной серии катастроф 1970-х число аварий в авиаиндустрии стало уменьшаться.

«Катастрофа United Airlines 173 была травматическим происшествием, но в итоге благодаря ей стал возможен гигантский скачок вперед, – говорит эксперт по безопасности полетов Шон Пручницки. – Она до сих пор считается водоразделом: именно тогда мы осознали, что “человеческие ошибки” часто возникают из-за неудачно построенной системы. Эта катастрофа изменила способ мышления целой индустрии».

Катастрофа United Airlines 173 унесла жизни десяти человек и позволила научиться тому, как спасти десятки тысяч.

Этот подход мы можем назвать «принципом “черного ящика”»[9]. Для организаций, не связанных с полетами, данный принцип не означает, что нужно создавать настоящий «черный ящик»; он предполагает скорее стойкое желание выносить уроки из обстоятельств, в которых мы терпим неудачу, но которые редко используем, чтобы улучшить свои результаты. Принцип «черного ящика» предполагает создание систем и культур, позволяющих организациям учиться на ошибках, а не пугаться их.

Неудачи дают массу возможностей для обучения по очень простой причине: в чем бы они ни проявлялись, они обнаруживают нарушение ожиданий [36]. Неудача демонстрирует нам, что мир в каком-то аспекте отличается от наших представлений о нем. Смерть Илэйн Бромили, например, показала, что применяемые во время медицинских операций процедуры не учитывают ограничения человеческой психологии. Катастрофа United Airlines 173 выявила аналогичные проблемы в кабине экипажа воздушного судна.

Подобные неудачи неизбежны, потому что мир – это сложная система, которую мы никогда не поймем во всех подробностях. Модель, как часто напоминают нам эксперты в области общественных наук, не есть реальность. Таким образом, неудача – это своего рода дорожный знак. Он выявляет особенность нашего мира, которую мы не уяснили до конца, и указывает, как именно нам следует привести свои модели, свои стратегии, свое поведение в соответствие с реальной жизнью. С этой точки зрения вопрос, который часто задают после событий с неблагоприятным исходом, – «можем ли мы тратить время на расследование причин неудачи?» – абсолютно неправилен. Правильный вопрос звучит так: «Можем ли мы позволить себе этого не делать?»

Отсюда – еще один важный вывод. Иногда говорят, что принципиальная разница между авиацией и здравоохранением заключается в доступности ресурсов: в распоряжении авиации куда больше денег, она может проводить расследования и учиться на своих ошибках. Если бы здравоохранение располагало большими средствами, разве оно не поступало бы так же? Но и это утверждение на деле перевернуто с ног на голову. Может, у здравоохранения денег и меньше, но врачи сберегали бы деньги, если бы учились на ошибках. Стоимость медицинских ошибок составляет, по консервативным оценкам, 17 млрд долларов в год в одних только США [37]. В марте 2015 г. отдел судопроизводства Национальной службы здравоохранения (НСЗ) Великобритании зарезервировал 26,1 млрд фунтов на покрытие ущерба, нанесенного из-за халатности. Учиться на ошибках – значит не тратить ресурсы, а наиболее эффективно сберегать и ресурсы, и жизни[10].

Психологи часто делают различие между ошибками в ситуации, когда мы знаем, как надо поступать, и ошибками в ситуации неопределенности. Скажем, ошибочно выданное лекарство относится к первой категории: медсестра знает, что должна дать пациенту лекарство А, но неумышленно дает ему лекарство Б, возможно, потому, что у них похожи упаковки или из-за дефицита времени.

Бывает, однако, что ошибку сознательно делают частью процесса открытия. Фармацевтические компании тестируют множество разных сочетаний химических препаратов, чтобы узнать, какие из них эффективны, а какие нет. Никто не знает заранее, какое сочетание сработает, потому компании проводят столько тестов – и часто ошибаются. Здесь неудача – органическая часть процесса.

В первой части книги мы рассмотрим ошибки первой категории, потом придет черед ошибки второй категории. Суть в том, что без ошибок по обоим сценариям открытий не бывает. В таких сферах, как здравоохранение, ошибки похожи на указательные знаки, позволяющие реформировать систему, чтобы уменьшить вероятность ошибок в будущем; во втором случае ошибки способствуют появлению новых лекарств.

Есть еще не слишком четкое деление ошибок на совершаемые во время «тренировки» и во время «выступления». Фигуристы, например, в процессе тренировок часто падают. Напрягаясь, тренируя сложные прыжки и время от времени падая на холодный лед, они переходят к более сложным прыжкам, улучшая заодно технику и оттачивая детали. Все это позволяет им безукоризненно выступать на больших соревнованиях.

На деле тренировка позволяет использовать преимущества обучения на ошибках и заплатить меньшую цену. Лучше потерпеть неудачу при подготовке к соревнованию, чем во время соревнования. Это верно и для организаций – они тестируют пробные схемы (в авиации и других отраслях, в которых безопасность критична, идеи проверяются на симуляторах), чтобы обучиться на ошибках прежде, чем начинать реализацию новых идей или процедур. Чем больше мы ошибаемся во время тренировок, тем больше учимся – и тем вероятнее сможем не ошибиться, когда это нам понадобится.

Но и после самых прилежных тренировок мы время от времени терпим неудачи в жизненных соревнованиях. Часто это случается в обстоятельствах, когда неудача угрожает нашему самомнению, когда нам больше всего необходимо учиться. Тренировка не заменяет обучения на ошибках, которые мы совершаем в жизни, она лишь дополняет его. Во многих отношениях это две стороны одной медали.

Запомнив это, давайте рассмотрим последний пример расследования по принципу «черного ящика». Речь пойдет о сбитых во Второй мировой войне бомбардировщиках, а проводил его один из лучших математиков XX в. Абрахам Вальд.

Анализ Вальда, ставший поворотным моментом в истории крупнейшего военного конфликта, важен и для нашей книги. Иногда задним числом кажется, что извлекать уроки из катастроф довольно просто. Разве выводы из случившегося с рейсом United Airlines 173 не очевидны? Разве они не следуют напрямую из имеющейся информации?

Однако в процессе расследования данные часто кажутся весьма двусмысленными. Наиболее успешные следователи не просто горят желанием изучить катастрофу, они обладают к тому же аналитическими навыками и интуицией, позволяющей приходить к важным выводам. К слову, многие эксперты в области авиации считают, что в последние годы полеты становятся более безопасными главным образом из-за все более добротных и тщательных расследований [38].

Однако лишь немногие исследования были столь же гениальны, как исследование Вальда. Несколько десятков лет его работа была засекречена, но не так давно правда о Вальде и его вкладе в победу над нацизмом была обнародована. В первую очередь его расследования указывают на то, что учиться на ошибках можно, если ты учитываешь не только имеющуюся, но и отсутствующую информацию.

3

Абрахам Вальд родился в 1902 г. в Венгрии в семье еврея-пекаря. Он получил домашнее образование – его учителем стал старший брат Мартин, квалифицированный инженер. Абрахам очень рано полюбил математику, в 14 лет он был без ума от геометрии. Его друзья говорили, что он все время придумывал и разгадывал головоломки.

В 1927 г. Вальд покинул отчий дом и поступил в Венский университет. И учителя, и студенты сразу распознали в нем острый ум. Как писал позднее коллега Вальда: «Меня заворожили его фантастические способности, его доброта и необычайная энергия, с которой он набрасывался на математические проблемы» [39].

Еще будучи студентом, Вальд получил приглашение Карла Менгера, одного из величайших математиков своего поколения, присоединиться к Математическому коллоквиуму – группе ученых, встречавшихся в неформальной обстановке, чтобы обсуждать математику и философию. Членами коллоквиума были впоследствии легендарные Курт Гёдель и Альфред Тарский. Вальд продолжал активно заниматься математикой и написал несколько работ о геометрии, которые Менгер оценил как «глубокие, изящные и имеющие фундаментальное значение» [40].

Увы, стать преподавателем в Венском университете Вальд не смог из-за еврейского происхождения. «В годы экономического и начинавшегося политического упадка поступить на работу в университет было для него невозможно, хотя, вне всякого сомнения, такое развитие событий было бы благоприятно как для самого Вальда, так и для университета, – писал Менгер позднее. – С характерной скромностью он сказал мне, что его удовлетворит и небольшой заработок от частных уроков, если у него останется возможность продолжить работу с Математическим коллоквиумом» [41].

По мере того как Европа приближалась к войне, стало сложным сохранить даже такое положение. В 1937 г. сторонники нацизма потребовали исключить Вальда из числа членов Математического коллоквиума. Через год, когда Гитлер торжественно вошел в австрийскую столицу, Вальда изгнали. Он оставался в Вене еще пару недель; когда стало ясно, что нацисты намерены уничтожить всех евреев, Менгер, бежавший к тому моменту в США, сумел найти там место для младшего товарища.

Вальд не хотел уезжать из Вены, которую полюбил (в письме другу он писал, что Вена стала его «вторым домом»), однако решение покинуть Австрию почти определенно спасло ему жизнь. Восемь из девяти его родственников позднее погибли от рук нацистов. Родители и сестры Вальда умерли в газовых камерах Освенцима, любимый старший брат Мартин, прививший Абрахаму любовь к математике, погиб, занимаясь рабским трудом на западе Германии. Вальд узнал о судьбе близких людей только после конца войны.

В Америке он страшно обрадовался, когда понял, что сможет и дальше заниматься любимой математикой. В конце концов Вальду предложили работу в команде с обманчиво банальным названием «объединение прикладной математики». Офис объединения располагался в квартире на верхнем этаже четырехэтажного дома в паре кварталов от центра Гарлема. Появление там Вальда стало поворотным пунктом в ходе войны [42].

В объединение входили выдающиеся математики. Они работали на военных и анализировали широкий спектр проблем, в частности наиболее эффективную модель запуска торпед и аэродинамические свойства ракет. По словам писателя Дэвида Макрейни, «люди, проходившие мимо этого дома, даже понятия не имели, что четырьмя этажами выше шла важнейшая работа в области прикладной математики, влиявшая на ход мировой войны» [43].

В основном эта работа была строжайше засекречена, и появившиеся в итоге отчеты членов объединения оставались под замком несколько десятков лет. Лишь недавно исследователи стали собирать сведения о достижениях «солдат-математиков» и выяснили, что те внесли решающий вклад в победу союзников. Работы Вальда, увидевшие свет много лет спустя, были, вероятно, самыми удивительными из всех.