Принцип «черного ящика». Как превратить неудачи в успех и снизить риск непоправимых ошибок

Военные попросили Вальда помочь им решить важнейшую проблему. Бомбардировки в Европе были связаны с огромным риском.

В некоторые периоды войны вероятность выжить для пилота, отправляющегося на дежурный вылет, составляла чуть более 50 %. Военный историк Кен Уилсон писал, что храбрые и отчаянные пилоты были «уже почти призраками» [44].

Командование решило, что необходимо усилить самолеты броней, чтобы лучше защитить их от обстрела как с земли, так и с воздуха. Проблема была в том, что бронировать всю поверхность бомбардировщика нельзя – самолет будет слишком тяжел для полета и потеряет маневренность. Вальду поручили определить, какие части корпуса нужно покрывать броней в первую очередь.

Ученого снабдили огромным массивом информации. К чести ВВС, каждый возвращавшийся самолет тщательно изучался на предмет повреждений – все понимали, что это единственный способ сделать вылеты более безопасными. ВВС применяли принцип «черного ящика»: изучали информацию по итогам катастроф и использовали ее для предотвращения будущих неудач.

Командование ВВС осознавало, что «рисунок» повреждений более-менее ясен. Многие самолеты были изрешечены попаданиями вдоль крыльев и фюзеляжа. Как правило, кабина летчика и хвост повреждены не были. Чем больше поврежденных самолетов возвращалось из боев, тем яснее проявлялся рисунок повреждений.

Этот рисунок вы видите ниже.

Целый самолет

Рисунок повреждений на самолете, вернувшемся из вылета

Командование разработало план, казавшийся самим военным идеальным: защищать броней необходимо поверхности с наибольшим количеством попаданий. Именно туда попадали снаряды, а значит, эти области требовали дополнительной защиты. План был образцом здравого смысла. Для военных это был лучший способ защитить храбрых летчиков от вражеского огня.

Вальд, однако, был не согласен. Он понимал, что военные пренебрегли частью важной информации. Они учитывали только бомбардировщики, вернувшиеся из боя. Они не учитывали те самолеты, которые не вернулись (то есть самолеты, которые были сбиты). Наблюдаемые дырки от снарядов наводили на мысль, что зоны кабины и хвоста бронировать не нужно, потому что в них не попадали. На самом деле самолеты, получившие повреждения в этих зонах, разбивались, потому что кабина и хвост – это наиболее уязвимые области корпуса.

По сути, дырки в вернувшихся самолетах были сосредоточены в зонах, которые позволяли поврежденному бомбардировщику вернуться на базу. Летчики в таких самолетах выжили именно потому, что ни кабина, ни хвост не были поражены. Рисунок повреждений не говорил о том, что именно в этих местах корпус нуждается в дополнительной защите, наоборот, он говорил о том, что в этих местах корпус защищать не нужно.

Как оказалось, это соображение имело огромное значение не только для бомбардировщиков, но и для всей войны.

Данный пример прекрасно иллюстрирует две ключевые идеи. Во-первых, для того, чтобы извлекать уроки из катастроф, нужно учитывать все данные, включая те, что вам недоступны. Во-вторых, данный пример подчеркивает: учиться на ошибках нелегко даже на уровне концепции, не говоря об эмоциональной стороне дела. Необходимо тщательно обдумывать информацию и подвергать сомнению поверхностные умозаключения. Часто это означает, что нужно привлекать дополнительные данные и на их основе делать более глубокие выводы. Это верно не только для авиации, но и для бизнеса, политики и многих других сфер.

Вот что пишет Эми Эдмондсон из Гарвардской школы бизнеса: «Обучение на ошибках может быть каким угодно, но только не прямолинейным. Большинству компаний не хватает навыка правильного отношения к проблемам, а также видов деятельности, необходимых, чтобы правильно распознать и эффективно анализировать неудачи. Бизнес недооценивает также необходимость выработки стратегии обучения, зависимой от ситуации. Фирмам нужно искать новые, более эффективные методы, чтобы избежать соблазна поверхностных выводов» [45].

Анализ, которому Вальд подверг повреждения бомбардировщиков на Второй мировой войне, спас жизни десяткам храбрых летчиков. Главную работу Вальда, написанную для военных, рассекретили только в июле 1980 г., сегодня ее несложно найти через Google. Она называется «Метод оценки уязвимости самолета, основанный на повреждениях, полученных уцелевшими машинами» (A Method of Estimating Plane Vulnerability Based on Damage of Survivors) [46].

После войны Абрахам Вальд узнал о том, что восемь из девяти его родственников были убиты нацистами. По словам тех, кто знал математика достаточно близко, боль потери так никогда его и не отпустила. Один из лучших друзей Вальда писал: «Даже этот жестокий удар не смог его озлобить, однако в нем появилась какая-то горечь, не исчезавшая до конца дней» [47].

В конце 1940-х Вальд сумел вывезти в США старшего брата Германа, единственного члена семьи, пережившего холокост. Друзья говорили, что Вальд был очень рад общению с братом, а также тому, что продолжал заниматься математикой в Колумбийском университете.

Вероятно, этот замечательный и добрый человек был очень рад и тому, что его аналитические способности сыграли решающую роль в победе над идеологией зла, убившей его близких.

Вальд был приверженцем принципа «черного ящика» par excellence[11].

III

Парадокс успеха

1

15 января 2009 г. в 15:25 рейс US Airways 1549 получил разрешение на взлет с полосы 4 нью-йоркского аэропорта Ла Гуардия.

Стоял погожий день; в кабине командир экипажа Чесли Салленбергер и второй пилот Джеффри Скайлз, как положено, выполняли проверки по чек-листу. Они думали о предстоящем полете. Чего они и предположить не могли, так это того, что отправляются в один из самых известных рейсов в истории авиации [48].

Не прошло и двух минут после взлета, как внезапно справа от воздушного судна показалась стая гусей. Самолет сближался с ними столь быстро, что не было ни единого шанса избежать столкновения. Две птицы попали в правый двигатель и по крайней мере одна – в левый.

После серии сильных глухих ударов наступила зловещая тишина, словно самолет остановился. Двигатели потеряли тягу. Сердца пилотов бились как бешеные, поле внимания сузилось – классическая реакция на опасность. Они висели на высоте 1 км над Нью-Йорком в 70-тонном самолете Airbus A320, который вот-вот начнет падать.

Пилоты приняли несколько молниеносных решений. Сначала им предложили вернуться в Ла Гуардию, потом – полететь в Тетерборо, аэропорт в Нью-Джерси-Мидоулендз в нескольких километрах от них. Оба предложения были отвергнуты. Так далеко самолет не долетел бы. Он снижался слишком быстро.

В 15:29 Салленбергер произнес слова, которые впоследствии вынесли в заголовки многие газеты мира: «Мы летим на Гудзон».

В начале этой книги мы говорили в основном о неудачах в двух сферах, где вопрос безопасности очень важен: в авиации и здравоохранении. Мы видели, какими бывают реакция на неудачи и отношение к ним и как проводится расследование неудач. Теперь мы посмотрим на успех и нашу реакцию на него. Изучив, как именно люди добиваются успеха, мы поймем чуть больше о том, почему люди ошибаются.

Салленбергер в итоге посадил самолет весом 70 тонн на реку Гудзон. Это был великолепно выполненный маневр. Командир не допустил ошибок и после этого. Прежде чем покинуть воздушное судно, он дважды осмотрел салон, чтобы убедиться, что все пассажиры вышли на крылья – их отделяли от воды считаные сантиметры. При посадке никто не погиб.

Хладнокровие командира очаровало Америку. 57-летний Салленбергер получил звонок от избранного, но еще не вступившего в должность президента Обамы. Командира экипажа пригласили на президентскую инаугурацию. Журнал Time поместил его на второе место в разделе «Герои и кумиры» в спецвыпуске «Топ-100 2009 г.» [49]. Ученые противопоставляли новый тип подлинного героизма культуре поп-звезд. Общественность приняла случившееся как торжество личности: профессионализм и спокойствие одного человека спасли в чрезвычайной ситуации более сотни жизней.

Однако эксперты в области авиаперевозок придерживались другой точки зрения. Они отдавали должное не только личному профессионализму Салленбергера, но и системе, в рамках которой он действовал. Одни говорили об управлении ресурсами экипажа. Разделение обязанностей между Салленбергером и Скайлзом сработало безотказно. Через пару секунд после столкновения с птицами Салленбергер взял самолет под контроль, в то время как Скайлз сверялся с оперативным справочником для экипажа.

Коммуникационные каналы оставались открытыми до самых последних мгновений полета. Когда самолет падал, Скайлз сообщал командиру данные по скорости воздушных потоков и высоте, чтобы Салленбергер располагал как можно более полной информацией. За несколько секунд до столкновения с водой они не переставали разговаривать. «Есть идеи?» – спросил Салленбергер. «Вообще-то нет», – ответил Скайлз.

Другие эксперты по безопасности говорили о электродистанционной системе управления (сложная система автопилота, действующая во всех самолетах Airbus), которая скорректировала наклон самолета в сантиметрах от воды. Третьи хвалили чек-листы и правильный эргономический дизайн: то и другое помогло пилотам справиться со стрессом после столкновения самолета со стаей птиц.

Это увлекательное обсуждение шло вдали от общественности. Но даже оно отодвинуло на задний план самое важное. Новые инструкции появились после серии авиакатастроф 1930-х гг. Эргономический дизайн кабины экипажа был разработан после серии аварий самолетов B-17. Концепция управления ресурсами экипажа родилась после падения United Airline 173.

Таков парадокс успеха: он базируется на неудаче.

Поучительно также взглянуть на то, как по-разному реагировала общественность на действия Макбрума и Салленбергера. Макбрум, как мы помним, был отличным пилотом. Он не запаниковал, когда самолет DC-8 начал падать, пролетел между рядами деревьев, избежал падения на жилые дома, посадил 90-тонную машину с минимальным ударом о землю и спас жизни сотни людей.

Но после аварии Макбрума стали избегать. Коллегами двигало в основном желание извлечь из аварии уроки, однако общественность моментально осудила человека, который управлял самолетом, когда произошла катастрофа. Людей возмущало то, что опытный пилот разбил совершенно нормальный самолет, позабыв о том, что кончается топливо.

Вскоре Макбрум покинул авиацию. Через три года он разошелся с женой. Эйми Коннер, пассажир того рейса, увиделась с Макбрумом на встрече выживших за восемь лет до его смерти в 2004 г. и позднее рассказывала: «Он был сломлен… Он был опустошен. Он потерял лицензию пилота. Потерял семью. Его жизнь была разбита».

Трагедия Макбрума, если можно ее так назвать, заключалась в том, что в то время, когда он летал, не были глубоко изучены ни ограничения человеческого внимания, ни эффективность коммуникации. Он пилотировал United Airline 173 со скрытой ошибкой в системе – ошибкой, которая ждала своего часа. Такая же скрытая ошибка поджидала отличных врачей Эдвардса и Андертона в операционной близ Норт-Мэрстона более четверти века спустя.

Ирония судьбы: Салленбергер, которого поздравляли президенты, мог в тех же обстоятельствах совершить точно такую же ошибку. Он этого не сделал и оказался героем по простой, но важной причине: индустрия, в которой он работает, извлекает уроки из катастроф. Показательно, что Салленбергер, скромный и благородный человек, сам говорил об этом. В телеинтервью через несколько месяцев после чудесного приземления на Гудзоне он произнес:

Все, что мы знаем об авиации, каждое правило в каждой инструкции, каждая процедура – все это существует потому, что кто-то погиб… Эти уроки дались нам огромной ценой, они буквально оплачены кровью, поэтому мы обязаны сохранить всю накопленную информацию и передать ее последующим поколениям. У нас нет морального права забывать, чтобы впоследствии учиться на тех же ошибках.

2

Высказывание Салленбергера дает нам возможность радикально изменить восприятие неудачи. Это яркая, парадоксальная и глубокая мысль: успехи авиации в области безопасности выросли из-под обломков реальных катастроф. Она как откровение. Присмотревшись, мы обнаружим, что она приложима почти ко всем областям человеческой деятельности.

Возьмем науку, где обучение на ошибках – часть метода. Именно этот принцип отстаивал философ Карл Поппер, утверждавший, что прогресс в области науки идет благодаря реакции ученых на их же ошибки. Научная теория делает предсказания, которые можно проверить, и потому по определению уязвима. Это ее свойство можно рассматривать как слабость, однако Поппер осознал, что оно дает науке невероятную силу.

«История науки, подобно истории всех человеческих идей, есть история… ошибок, – писал Поппер. – Однако наука представляет собой один из немногих видов человеческой деятельности – возможно, единственный, – в котором ошибки подвергаются систематической критике и со временем довольно часто исправляются. Это дает нам основание говорить, что в науке мы часто учимся на своих ошибках и что прогресс в данной области возможен» [50].

В этом контексте мы рассмотрим эксперимент (вероятно, апокрифический), проведенный Галилеем в XVI в. в Италии. Много веков неоспоримой истиной на Западе считалась физика Аристотеля, как в медицине доминировали идеи Галена. Люди верили в греческого философа, и – до известной степени – спорить с ним считалось дерзостью. Аристотель среди прочего доказывал, что тяжелые объекты падают быстрее, чем легкие, и что ускорение прямо пропорционально их весу.

Был ли он прав? Чтобы выяснить это, Галилей провел эксперимент. Он взобрался на наклонную Пизанскую башню и сбросил с высоты два шара разной массы. Он обнаружил, что объекты падают с одинаковым ускорением, и понял, что теория Аристотеля неверна. Если использовать терминологию Поппера, Галилей «фальсифицировал» гипотезу Аристотеля[12].

Это была ошибка Аристотеля и болезненный удар для его последователей, многие из которых были возмущены экспериментом. Однако для науки это была самая настоящая победа. Аристотель оказался не прав, и этот факт побуждал ученых выяснять, почему он оказался не прав, и создавать новые теории, которые, в свою очередь, впоследствии могли быть фальсифицированы. Это одна из движущих сил развития науки[13].

То же самое произошло в свое время с теорией относительности Эйнштейна. В 1919 г. британский ученый Артур Эддингтон отправился в Африку, чтобы подвергнуть проверке одно из основных ее утверждений: свет притягивается небесными телами. Во время затмения Эддингтон сделал фотографии далекой звезды, чтобы выяснить, влияет ли гравитация на лучи света, движущиеся к Земле. Эксперимент подтвердил теорию [51]. Но главное здесь то, что он мог ее и опровергнуть. Теория относительности уязвима и может оказаться ложной. Она остается уязвимой по сей день [52].

Сравните эту готовность науки к неудаче с тем, как ведет себя псевдонаука, например астрология, чьи предсказания безнадежно туманны. В день, когда писались эти строки, я заглянул на сайт Horoscope.com, чтобы прочесть там гороскоп для Весов. «Дома или на работе назревают большие перемены», – сообщили мне. Это утверждение кажется проверяемым, но на деле предсказанию соответствует практически любое событие в жизни кого бы то ни было, будь он Весы или любой другой знак зодиака. У каждого из нас «назревают» перемены дома или на работе. Здесь и кроется соблазнительная сила астрологии: она не бывает «не права». Но цена, которую псевдонаука платит за невосприимчивость к неудачам, высока. За последние два века в астрологии не произошло никаких существенных изменений.

Или возьмите другую теорию, популярную в XIX в., – что мир был создан в 4004 г. до н. э. Казалось бы, эту теорию опровергали обнаруженные окаменелости, а также, позднее, определение возраста радиоуглеродным методом. Новые данные практически неоспоримо указывали на то, что возраст Вселенной значительно превышает 6 тысяч лет.

Однако в XIX в. британский натуралист Филип Генри Госсе в попытке защитить креационизм написал трактат «Омфалос» (Omp halos). Его аргументы были в высшей степени изобретательны. Госсе констатировал, что мир и правда был создан в 4004 г. до н. э., сразу вместе с окаменелостями, чтобы он выглядел старше, чем на самом деле. Он доказывал также, что Бог дал Адаму пупок, дабы тот выглядел как человек, рожденный от другого человека, в то время как в действительности Адам был создан из праха земного (слово «омфалос», давшее название книге, в переводе с греческого означает «пупок») [53].

С одной стороны, Госсе вроде бы защитил креационизм и гипотезу о Сотворении мира в 4004 г. до н. э. Хитроумным образом он примирил теорию и вновь открытые факты. С другой стороны, он сделал кое-что еще. Благодаря Госсе теория стала неуязвимой. Никакие факты, никакая информация, никакие открытия не смогут поколебать эту позицию. Любая новая информация, доказывающая, что мир сотворен прежде 4004 г. до н. э., будет воспринята как еще одно доказательство того, что Бог сыграл с нами божественную шутку. Теория подтвердится, что бы ни произошло. Иначе говоря, она никогда не сможет адаптироваться к новым данным.

Точно такая же история случилась с психотерапевтическими теориями Альфреда Адлера. Они были в моде в 1920-х гг. и остаются влиятельными до сих пор. Основная идея Адлера – «комплекс неполноценности»: утверждение, что поведение человека основано на его желании самоутвердиться.

В 1919 г. Карл Поппер встретился с Адлером, чтобы поговорить о случае, который, как казалось Попперу, не укладывался в рамки теорий психотерапевта. Сам по себе случай не столь важен, как реакция на него Адлера. Поппер писал:

Адлер легко проанализировал его [случай] в терминах своей теории неполноценности, хотя даже не видел ребенка, о котором шла речь. Слегка ошеломленный, я спросил его, почему он так уверен в своей правоте. «В силу моего тысячекратного опыта», – ответил он. Я не смог удержаться от искушения сказать ему: «Теперь с этим новым случаем, я полагаю, ваш тысячекратный опыт, по-видимому, стал еще больше!» [54]

Поппер говорит о том, что теории Адлера оказывались верными в любом случае. Если некий человек спасает тонущего ребенка, значит, по Адлеру, он доказывает себе, что достаточно храбр, чтобы рискнуть жизнью и прыгнуть в реку. Если тот же человек отказывается спасать тонущего ребенка, он доказывает себе, что более чем храбр, чтобы выдержать порицание общественности. В обоих случаях он преодолевает свой комплекс неполноценности. Теория подтверждается, что бы ни случилось. Как продолжает Поппер:

Я не смог бы придумать никакой формы человеческого поведения, которую нельзя было бы объяснить на основе каждой из этих теорий. И как раз этот факт – что они со всем справлялись и всегда находили подтверждение – в глазах их приверженцев становится наиболее сильным аргументом в пользу этих теорий. Однако у меня зародилось подозрение относительно того, а не является ли это выражением не силы, а, наоборот, слабости этих теорий?

Большинство замкнутых циклов существует, потому что мы отрицаем возможность ошибки или пытаемся ее проигнорировать. Проблема псевдонаук более структурна. Они созданы – сознательно или интуитивно – так, чтобы полностью исключить вероятность неудачи. Вот почему они столь привлекательны для своих адептов. Псевдонаука может объяснить любую ситуацию. А значит, она не в состоянии учиться ни на чем вообще.

Отсюда видна тонкая разница между подтверждением и опровержением. Науку часто рассматривают как поиск подтверждения. Ученые наблюдают за миром, формулируют теории, а затем пытаются доказать их, собрав как можно больше подтверждающих теории данных. Но теперь мы можем сказать, что это лишь часть правды. Наука связана не только с подтверждением, но и с опровержением. Прогресс в области знаний невозможен, если мы располагаем одной только подтверждающей информацией, нам нужно искать также информацию опровергающую.

Возьмем гипотезу, по которой вода закипает при 100 °C. Утверждение кажется верным. Однако, как мы знаем, эта гипотеза опровергается в местах, расположенных выше уровня моря. Находя обстоятельства, при которых теория терпит неудачу, мы создаем условия для создания новой, более мощной теории, которая объяснит, почему вода кипит при 100 °C на уровне моря и при другой температуре на возвышенности. Таков ход научного прогресса.

Заодно мы видим некоторую асимметрию между подтверждением и опровержением, между успехом и неудачей. Если вы тщательно ограничиваете свои наблюдения небольшими высотами и открытыми емкостями, в ваших силах найти бессчетные примеры того, что вода действительно кипит при 100 °C. Но ни одно из успешных «подтверждений» не расширит пределы нашего знания. Ни одно из них даже не увеличивает вероятность того, что утверждение «вода всегда кипит при 100 °C» правильно [55].

Данная идея была выдвинута шотландским философом Дэвидом Юмом в XVIII в. и популяризована в последние годы математиком и писателем Нассимом Николасом Талебом [56]. Как указывает Талеб, можно увидеть миллион белых лебедей, однако они не докажут правильность утверждения «все лебеди белые». Обнаружение единственного черного лебедя убедительно докажет, что это утверждение ложно.

Неудача, таким образом, является необходимой составляющей как логики, так и духа научного прогресса. Области, в которых человечество наиболее успешно, возникли благодаря противостоянию устоявшегося и новых идей, подвергавшихся проверке. Отдельные ученые могут быть догматиками, но ученое сообщество в целом признаёт, что научные теории, особенно самые передовые, часто являются ошибочными или неполными. Только подвергая теории сомнениям и проверяя их на ошибочность, мы создадим условия для роста.

Авиация не похожа на науку, но проникнута тем же духом. В конце концов, полет самолета представляет собой гипотезу, которая предполагает, что данное летательное средство такой конструкции, с этими пилотами и при помощи системы авиадиспетчерских служб долетит до пункта назначения в целости и сохранности. Катастрофа в определенном смысле представляет собой опровержение этой гипотезы. Вот почему авиакатастрофы столь важны для повышения безопасности системы – точно так же, как опровержение теории важно для развития науки.

То, что работает на уровне системы, верно и на уровне индивида. Обсуждаемый принцип объясняет один из глубочайших парадоксов современной психологии. Хорошо известно, что профессионалы, которые наработали тысячи часов практики, могут выполнять работу с почти чудесной точностью. Гроссмейстер моментально вычисляет оптимальный ход, профессиональный теннисист предсказывает, куда полетит мяч, еще до того, как противник по нему ударил, опытная медсестра почти сразу ставит диагноз, который потом неизменно подтверждается анализами.

У таких людей за спиной не недели и не месяцы, а годы опыта. Они медленно, но уверенно развивали в себе интуицию, которая позволяет им действовать с замечательной точностью. Отсюда следует вывод: компетентность – по крайней мере отчасти практика (так называемое «правило десяти тысяч часов»). Не у каждого есть потенциал, чтобы стать чемпионом мира, но почти все могут развить в себе мастерство путем тренировки и прилежания[14].

Более поздние исследования, кажется, противоречат этому выводу. Оказалось, что существует множество профессий, в которых практика и компетентность не дают никакого эффекта. Люди тренируются месяцами, иногда годами, и их навыки вообще не улучшаются.

Так, в области психотерапии стажеры добиваются тех же результатов, что и лицензированные «эксперты». Похожие выводы сделаны в отношении руководителей приемных комиссий учебных заведений, специалистов по отбору кадров и клинических психологов[15] [57].

В чем причина? Почему опыт столь ценен в одних профессиях, но почти бесполезен в других?

Чтобы ответить на этот вопрос, вообразите, что вы играете в гольф. Вы на тренировочном поле и бьете по мячам, стараясь попасть в лунку. Вы сосредоточенны и всякий раз, когда мяч улетает в сторону, меняете технику удара, чтобы приблизиться к цели. Так практикуются спортсмены. Это процесс проб и ошибок.

Теперь представьте себе, что вы тренируетесь в ночное время суток – в полной темноте. В этих условиях вы можете практиковаться хоть десять лет, хоть десять тысяч лет – толку не будет никакого. Как вы можете улучшить технику, если понятия не имеете, куда в итоге попал мяч? С каждым ударом он может полететь на короткую или на длинную дистанцию, налево или направо. Каждый удар поглощается темнотой. У вас нет никаких данных, чтобы улучшить точность попадания.

Эта метафора объясняет загадку компетентности. Представьте, что вы играете в шахматы. Когда вы делаете плохой ход, вас тут же наказывает ваш противник. Теперь представьте, что вы – медсестра в больнице. Когда вы ставите ошибочный диагноз, на это вскоре указывает состояние пациента (а потом и результаты анализов). Интуитивные решения шахматистов и медсестер постоянно контролируются и поверяются их ошибками. Они вынуждены адаптироваться, они совершенствуются и реструктурируют свои суждения. Это признак того, что называют осмысленной практикой.