Архитектура сверхчеловека

Инна Егорова

Архитектура сверхчеловека

АРХИТЕКТУРА СВЕРХЧЕЛОВЕКА

Как устроена профессиональная надёжность: границы, право на стоп и самокоррекция

Инна Николаевна Егорова

Книга первая из серии «Создание сверхчеловека»

Вступление. Сверхчеловек — не тот, кто не ошибается

На стройке есть понятие, которое мне долго казалось сугубо техническим, — несущая способность. Балка надёжна не потому, что выглядит массивной или её поставил известный подрядчик. Она надёжна, если выдерживает расчётную нагрузку с запасом, если её состояние можно проверить и если заранее известно, что будет при превышении предела. Инженер не спрашивает, «сильная» ли балка. Он спрашивает: на что она рассчитана, кто это проверил и где начинается разрушение.

О людях мы так не рассуждаем почти никогда. «На него можно положиться». «Она никогда не подводит». «Он справится». Мы хвалим того, кто не спал трое суток и сдал объект, и косо смотрим на того, кто в последнюю минуту сказал: «Подождите, у нас нет подтверждения». В нашем языке надёжность — почти моральное качество. Эта книга предлагает посмотреть на неё глазами инженера.

О чём эта книга

«Архитектура сверхчеловека» открывает серию «Создание сверхчеловека». Серия берётся за задачу, которую принято считать невозможной: не воспевать сильных людей, а показать, как их создают. Двадцать четыре книги шаг за шагом собирают человека, на которого можно опереться там, где ошибка стоит жизней, денег и доверия, — от ясности мышления и власти над вниманием до умения вести людей через кризис. Это попытка сделать для человеческой надёжности то, что инженеры давно сделали для мостов и зданий: превратить её из счастливой случайности в предмет расчёта и проектирования. Эта книга закладывает фундамент — несущий каркас, на котором будет стоять всё здание серии.

От «сильного» человека ждут, что он не ошибается, не сомневается и не останавливается. Но настоящая надёжность держится на обратном: на видимых границах, запасе, независимых проверках, праве остановить необратимый шаг и умении признать собственную ошибку.

Надёжность — не черта характера, а свойство связки «человек + роль + правила + обстановка». Её можно проверить и спроектировать так же, как несущий каркас здания: по элементам, нагрузкам и запасу прочности.

У этой мысли есть ловушка. «Надёжность — это система» легко превращается в удобное «виновата система». А культ проверок и остановок сам начинает вредить: ложные тревоги приучают не слышать сигналы, процедуры защищают отчёт вместо людей. Личная ответственность не исчезает — меняется её предмет.

Серия намеренно взяла громкое слово — чтобы его разобрать. Сверхчеловек здесь — не тот, кто сильнее других и не ошибается. Это человек, чьи ограничения видны раньше, чем становятся чужой бедой. Он знает, где кончается его знание, его состояние, его роль и его опыт. Он умеет остановить один необратимый шаг и не останавливать всё остальное. Он способен публично изменить решение, когда изменились факты. И он устраивает работу так, чтобы для всего этого не требовался героизм.

Эта книга — одновременно генеральный план и фундамент. Генеральный план — потому что она раскладывает проблему современного человека, описывает, каким должен быть сверхчеловек — тот, кому доверяют самое опасное, — как развиваются его способности и к какой вершине стоит идти. Фундамент — потому что первую из двадцати четырёх способностей, надёжность, она даёт целиком: с методиками, упражнениями и проверкой.

Книга построена как проект здания.

•

Часть I

— генеральный план. Проблема, профиль сверхчеловека из шести контуров и двадцати четырёх способностей, законы развития, пять ступеней роста, маршрут серии и ваши первые тридцать дней.

•

Часть II

объясняет, почему надёжность — свойство системы, и вводит «Несущий каркас».

•

Часть III

находит четыре границы личной надёжности: знания, состояния, роли и опыта.

•

Часть IV

оценивает запасы и проверки — и показывает, почему две подписи ещё не две проверки.

•

Часть V

— поворотная. В ней выясняется, что защита сама может навредить, а хорошие инструменты бессильны против системы, которая платит за их обход.

•

Часть VI

— о самокоррекции: как менять решения, учиться на «обошлось» и разбирать ошибки без приговора.

•

Часть VII

учит видеть отказ до того, как он случился, не терять знание при передаче дела — и собирает всё в итоговый документ: карту вашей личной и профессиональной надёжности, которую можно отдать другому человеку и попросить найти в ней ошибку.

Каждая глава начинается с момента выбора. Решите, прежде чем читать объяснение, и запишите ответ: к концу главы он может показаться вам неполным. В этом и смысл. Каждая глава заканчивается законом в одну строку, тремя фразами, которые можно сказать вслух, и вызовом на неделю. Двадцать законов собраны в «Кодекс Опоры» в конце книги, а сценарии занятий для групп — в приложении «Для инструктора».

Несущий каркас

Через всю книгу проходит одна модель — «Несущий каркас»: шесть элементов и пять нагрузок. Надёжность сохраняется, пока элементы выдерживают нагрузку с запасом.

Нагрузки — давление времени, статус и иерархия, стимулы и цели, усталость, новизна среды.

Три истории, которые проходят через книгу

•

Марина Сафронова

, инженер по вводу в эксплуатацию на большой стройке. Её путь начинается с пустой клетки в листе допуска за десять минут до пуска и заканчивается тем, что она передаёт объект преемнику — и узнаёт о себе то, чего не видела.

•

Алексей Вережников

, аналитик. Он учится отличать три источника от трёх пересказов одного, заводит журнал собственных промахов и однажды публично отказывается от прогноза, которым гордился.

•

Наталья Ветрова

, владелица небольшой транспортной компании и мать сына-подростка. У неё нет ни службы безопасности, ни толстых регламентов — только решения одного человека, от которых зависят водители, клиенты и собственная семья.

Эта книга не сделает вас безошибочным. Она даёт другое — привычку задавать себе инженерный вопрос там, где раньше звучал вопрос о характере. На что я рассчитан? Кто это проверил? Где проходит моя граница?

Часть I. Карта сверхчеловека

Привычный вопрос:Каким нужно родиться, чтобы выдержать то, что не выдерживают другие?

Вопрос, к которому вы придёте:Из каких способностей складывается человек, которому доверяют самое опасное, — и с какой из них начать сегодня?

Проблема. Человек, у которого есть всё, кроме запаса прочности

Ночь на третьем пульте

В 03:10 на третьем пульте центра подготовки горели четыре окна. Камеры периметра, журнал событий, карта датчиков и служебный чат. Денис сидел перед ними шестой час. Рядом лежал телефон экраном вверх.

Игорь Самсонов стоял за его спиной и молчал. Сорок шесть лет, из них двенадцать — оперативным дежурным. Упражнение было простым. За смену в поток событий вводили одно настоящее отклонение и сорок обычных.

В 03:14 телефон коротко вспыхнул. Денис не взял его в руки, только скосил глаза. Через две секунды он вернулся к журналу и пропустил строку. Датчик на северной линии дважды ушёл в ошибку и сам восстановился. Система пометила это жёлтым. Жёлтым там было помечено ещё девять строк.

В 03:20 в чат пришло сообщение от «соседнего поста»: «У нас всё штатно, северная линия — сбой связи, уже знаем». Денис облегчённо выдохнул и закрыл карточку. Первая версия была удобной. Она избавляла от звонка и от лишнего вопроса.

Утром на разборе Игорь положил перед группой распечатку. Сбоя связи не было. Сообщение «соседнего поста» вводил инструктор. Отклонение на северной линии было тем самым, ради которого затевалась ночь.

— Я же всё видел, — сказал Денис. — Я ни на что не отвлекался.

— Вы не отвлекались, — согласился Игорь. — Вас отвлекали. Это разные вещи.

Вера, которая сидела в ту ночь на соседнем пульте, ничего не сказала. Позже выяснилось: она заметила ту же строку. И тоже промолчала. Денис был старше и говорил уверенно.

Денис не ленив и не глуп. У него есть всё, что принято считать силой: реакция, память, уверенность. У него нет одного — запаса прочности. Того резерва, который отделяет обычную нагрузку от разрушения.

Надстройка на старом фундаменте

В строительстве есть опасная практика — надстройка. На здание, рассчитанное на пять этажей, добавляют ещё три. Фасад обновляют, лифт меняют, внутри ставят новые перегородки. Снаружи всё выглядит лучше прежнего. А фундамент остаётся тем же, что заливали полвека назад.

Такая надстройка рушится не в обычный день, а когда к весу прибавляется что-то ещё: снег, подвижка грунта, вибрация. Инженер тогда не ищет виноватую плиту. Он сравнивает нагрузку с несущей способностью и находит место, где запаса не осталось.

Современный человек — именно такая надстройка. На него добавили этажи: поток сообщений, круглосуточную связь, ответственность за сложные системы, машины-советчики, информационное давление. Фундамент остался прежним. Это те же внимание, сон, память и способы принимать решения, с которыми люди жили задолго до экранов.

Мир держится на людях, которые не имеют права ошибиться: дежурный смены, аналитик, руководитель объекта, но и родитель за рулём ночью. Ниже — восемь нагрузок, которые за последние десятилетия легли на человека. Каждую разберём одинаково: как она выглядит, что известно науке, чем она опасна в службе и в жизни.

1. Поток, который дробит внимание

Как это выглядит.Алексей Вережников, аналитик, открывает утром отчёт на сорок страниц. За первый час ему приходят двадцать шесть сообщений. Он не отвечает почти ни на одно. Но к обеду он замечает, что третий раздел перечитывал четыре раза. И всё равно не может сказать, что в нём главное.

Что показывает наука.Эрик Альтманн, Грегори Трафтон и Дэвид Хэмбрик изучали задачу, в которой человек выполняет действия в строгой последовательности [1]. Время от времени его прерывали — коротко, на несколько секунд. Перерывы в среднем по 4,4 секунды утраивали частоту ошибок последовательности после возвращения к задаче. Перерывы около 2,8 секунды — почти время одного шага задачи — удваивали её. Страдало именно то, что держит нить: где я остановился и что дальше.

Кэри Стотарт, Эйнсли Митчум и Кортни Йенерт проверили, что делает с вниманием само уведомление телефона [2]. Участники выполняли задачу, требующую сосредоточенности. Одни лишь уведомления заметно ухудшали работу — даже когда человек не брал телефон в руки.

Что это значит в службе.Главная опасность прерываний — не потерянные минуты, а пропущенный шаг. Именно это случилось с Денисом: две секунды взгляда на экран — и строка, ради которой шла ночь, ушла вниз по журналу. Защищать нужно не время, а нить. Последовательную работу ведут без входящих сигналов, а место остановки отмечают явно.

Что это значит в жизни.Наталья Ветрова, владелица транспортной компании, проверяет договор между звонками диспетчеров. Пункт о штрафах за простой она прочитала, но связать с графиком погрузки не успела: нить рвалась каждые три страницы. Через месяц этот пункт обошёлся ей дороже всех звонков.

2. Усталость, которую не видно изнутри

Как это выглядит.Марина Сафронова, инженер по вводу в эксплуатацию, третью неделю спит по пять–шесть часов. Она не чувствует себя разбитой. Первые дни было тяжело, теперь — нормально. Она даже гордится: организм привык. На планёрке она уверенно называет срок, который неделю назад сама считала нереальным.

Что показывает наука.В эксперименте Ван Донгена и его коллег здоровые взрослые две недели проводили в постели по восемь, шесть или четыре часа за ночь (гл. 6). При шести и четырёх часах внимание и рабочая память ухудшались день за днём. А ощущение сонливости росло только поначалу, а затем почти перестало меняться. По выводу авторов, шесть часов сна и меньше в течение двух недель давали потери, сопоставимые с последствиями до двух ночей полного лишения сна.

Что это значит в службе.Самый коварный вывод здесь не про сон, а про самоотчёт. Фраза «я в порядке» после серии коротких ночей — не сведения о состоянии. Это показание прибора, который сам вышел из калибровки. Годность к ответственному решению определяют внешние признаки, назначенные заранее: сколько часов сна, сколько часов на ногах, какая это ночь по счёту.

Что это значит в жизни.Отец семейства, который возвращается из командировки за рулём в два часа ночи, уверен: «Я ещё бодр». Он не врёт. Он действительно так чувствует. Проблема в том, что это чувство давно перестало отражать реальность.

3. Уверенность, которая опережает факты

Как это выглядит.Денис закрыл карточку не потому, что проверил объяснение «соседнего поста». Он закрыл её потому, что объяснение пришло первым и подошло. Оно совпало с тем, что Денис и сам успел подумать: «Наверное, связь». Дальше всё, что он видел, он видел уже сквозь эту версию.

Что показывает наука.Рэймонд Никерсон собрал обзор исследований явления, которое называют предвзятостью подтверждения [3]. Его определение: человек ищет и толкует свидетельства так, что они оказываются на стороне уже имеющихся убеждений, ожиданий или версии, которая у него «на руках».

Дон Мур и Пол Хили различают три вида самоуверенности (гл. 5). Самый устойчивый из них — сверхточность: слишком узкий коридор «я уверен». Человек называет диапазон от десяти до двенадцати дней, а реальный разброс — от семи до двадцати.

Что это значит в службе.Аналитик, следователь, дежурный работают с неполными данными. Первая версия неизбежна, и в ней нет греха. Опасна не первая версия, а её монополия. Когда она становится единственной, все следующие факты подгоняются под неё. Профессиональная защита здесь проста по форме: до закрытия вопроса записать хотя бы два альтернативных объяснения и назвать признак, который отличил бы одно от другого.

Что это значит в жизни.Наталья получает сообщение от классного руководителя: сын пропустил три урока. Первая мысль — «опять прогуливает». К вечеру она уже подобрала доказательства: поздно ложится, грубит, не показывает дневник. Лишь через неделю выясняется, что мальчик два дня просидел в медпункте с головной болью, о которой стеснялся сказать.

Уверенность — это ощущение. Точность — это измерение.

4. Ложь, которая движется быстрее правды

Как это выглядит.В районном чате появляется сообщение: «На трассе авария, перекрыли мост, объезжайте через промзону». Через двадцать минут его переслали в восемь других групп. Через час в промзоне стоит пробка. Моста никто не перекрывал. Автор сообщения перепутал дату на чужой фотографии.

Что показывает наука.Сорош Восоуги, Деб Рой и Синан Арал проследили около 126 тысяч историй, которые примерно три миллиона людей распространили в Twitter более 4,5 миллиона раз с 2006 по 2017 год [4]. Правдивость каждой истории оценивали шесть независимых организаций по проверке фактов. Вывод: ложное распространялось значимо дальше, быстрее, глубже и шире правдивого — во всех категориях сведений. Сильнее всего это проявлялось в политических новостях. Ложное чаще было новым и непривычным, а новым люди делятся охотнее. Боты ускоряли распространение правды и лжи одинаково. Разницу создавали люди.

Стефан Левандовски с коллегами обобщили исследования о том, что происходит после опровержения [5]. Ложное сведение продолжает влиять на рассуждения даже после того, как его исправили. Авторы называют это эффектом продолжающегося влияния и разбирают, почему опровержения так плохо обновляют память. Они же описывают приёмы, которые это влияние снижают.

Что это значит в службе.Информационная среда не нейтральна. Первым до него доходит не самое верное, а самое быстрое и самое необычное. А то, что дошло первым, плохо вытесняется поправкой. Поэтому вопрос «откуда это известно и кто это проверил» задаётся до того, как сведение легло в основу решения.

Что это значит в жизни.Обычный человек — тоже узел этой сети. Самое надёжное, что может сделать отдельный человек, — не стать ускорителем. Пауза в полминуты перед пересылкой — это не медлительность, а участие в системе защиты.

5. Машина, которой доверили думать

Как это выглядит.В зале оперативного контроля новая система сама сортирует события по важности. Красное — срочно, жёлтое — потом, серое — шум. Первые месяцы операторы проверяли её, потом перестали: она почти не ошибалась. Через полгода система отнесла к серому событие, которое было красным. Оператор не открыл его вовсе.

Что показывает наука.Ещё в 1983 году Лизанн Бейнбридж описала «иронии автоматизации» [6]. Автоматизация промышленных процессов, писала она, может не устранять, а расширять проблемы человека-оператора. Оператору оставляют функцию наблюдения и вмешательства в редкий сложный случай. Но навыки, которыми не пользуются, ухудшаются. Человек, годами лишь наблюдавший за автоматикой, в момент перехвата управления может действовать как новичок. А удерживать внимание на источнике, где почти ничего не происходит, даже очень мотивированный человек способен лишь около получаса — Бейнбридж опирается здесь на исследования бдительности.

Раджа Парасураман и Дитрих Манзи обобщили исследования работы людей с автоматикой [7]. Они описали два явления. Самоуспокоенность: человек всё меньше следит за автоматикой, особенно когда у него несколько задач. Предвзятость к автоматике: если помощник ошибается, человек пропускает то, о чём тот промолчал, и делает то, что тот неверно подсказал.

Что это значит в службе.Каждая система поддержки решений — от сортировщика тревог до помощника на основе искусственного интеллекта — снимает нагрузку и одновременно забирает тренировку. Чем реже человек выполняет работу сам, тем хуже он справится, когда машина замолчит или ошибётся. Значит, ручной навык нужно сохранять намеренно, как сохраняют резервный источник питания: регулярно запускать, а не только числить в описи.

Что это значит в жизни.Водитель, который пять лет ездит только по навигатору, теряет карту в голове — и замечает это, когда телефон разряжается на незнакомой развязке. Передать машине работу разумно. Передать ей суждение — значит лишиться собственного.

6. Системы, где маленькое становится большим

Как это выглядит.На складе Натальи меняют программу учёта. В новой версии поле «вес груза» по умолчанию стоит в килограммах, а не в тоннах. Мелочь, которую заметит любой. Но кладовщик заполняет форму автоматически, диспетчер берёт данные из формы, водитель получает маршрут от диспетчера. К вечеру два грузовика уходят с перегрузом.

Что показывает наука.Чарльз Перроу описывал технологии по двум осям: насколько сложны и неочевидны взаимодействия частей и насколько тесно они связаны [8]. В сложных и тесно связанных системах аварии, по его доводу, «нормальны» — они следуют из самого устройства системы.

Сергей Булдырев, Рони Паршани, Джеральд Пол, Юджин Стэнли и Шломо Хавлин рассмотрели сети, зависящие друг от друга [9]. Отправной пример — отключение электроэнергии в большей части Италии 28 сентября 2003 года. Выход электростанций из строя напрямую вызвал отказ узлов сети связи. На модели авторы показали, как отказ в одной сети выводит из строя узлы другой, а те, в свою очередь, — новые узлы первой. Взаимозависимые сети оказались крайне чувствительны к случайным отказам. Свойство, которое делает одиночную сеть устойчивее, — более широкий разброс числа связей у узлов, — у взаимозависимых сетей, напротив, повышает уязвимость.

Что это значит в службе.Человек на критическом объекте работает внутри цепочки, которую никто не видит целиком. Ошибка, которая раньше оставалась местной, теперь передаётся по связям. Отсюда требование к специалисту: видеть не только свой участок, но и то, куда уходит результат его работы. И знать, где в цепочке стоит точка, после которой отменить уже ничего нельзя.

Что это значит в жизни.Семья тоже стала связанной системой. Одна общая банковская карта, один облачный пароль, один телефон, через который подтверждаются платежи всех родственников. Утрата этого телефона — уже не неприятность, а каскад.

7. Статус, который заставляет молчать

Как это выглядит.Вера видела ту же строку, что и Денис. Она даже потянулась к кнопке вызова старшего. Потом услышала уверенное «Северная — сбой связи, знаем». Денис старше, его хвалили на прошлой неделе. Вера убрала руку.

Что показывает наука.Элизабет Моррисон и Фрэнсис Милликен описали явление, которое назвали организационным молчанием [10]. Во многих организациях действуют мощные силы, из-за которых сотрудники массово удерживают при себе сведения о возможных проблемах. Это коллективное явление: люди совместно приходят к выводу, что говорить неразумно.

Эми Эдмондсон в исследовании 51 рабочей команды обнаружила связь психологической безопасности с обучающим поведением: с готовностью просить обратную связь, просить помощи, обсуждать ошибки (гл. 1). Карен Косби и Пэт Кроскерри описали градиент власти — разницу в статусе и полномочиях между людьми, работающими вместе (гл. 7). Чем он круче, тем дороже младшему стоит возразить старшему.

Что это значит в службе.В иерархических структурах молчание — не признак согласия. Часто это признак того, что цена возражения для сотрудника понятна, а польза от него для системы — нет. Если маршрут сообщения о риске не защищён, этот сигнал не дойдёт.

Что это значит в жизни.Сотрудник видит ошибку в презентации руководителя перед инвесторами — и молчит. Подросток видит, что мать неверно поняла ситуацию в школе, — и молчит, потому что спорить себе дороже. Знание есть, а канала нет.

8. Культ героя вместо прочной системы

Как это выглядит.На торжественном собрании службы награждают дежурного. Ночью он один, без связи и без помощи, предотвратил тяжёлое происшествие. Зал аплодирует. Никто не спрашивает, почему он был один, почему не было связи и почему происшествие вообще стало возможным. Через год ситуация повторяется. Героя на смене нет.

Что показывает наука.Джеймс Ризон противопоставлял два подхода к человеческой ошибке (гл. 1). Индивидуальный ищет виноватого, системный — условия, при которых ошибка прошла сквозь несколько защит. Тот же взгляд применим к успеху: если всё держится на одном человеке, это уязвимость системы.

Комиссия по расследованию катастрофы «Колумбии» разобрала не только физическую причину гибели корабля, но и организационные (гл. 11). А в исследовании восьми больниц внедрение контрольного списка безопасности хирургии было связано со снижением смертности и осложнений (гл. 13). В другой системе здравоохранения, где тот же список ввели требованием и отчётностью, измеримого эффекта не оказалось (гл. 13). Дело не в бумаге, а в том, работает ли она как часть системы.

Что это значит в службе.Героизм — это расходование запаса прочности, которого не должно было понадобиться. Его стоит уважать, но строить на нём работу — всё равно что рассчитывать мост на то, что по нему не проедет тяжёлый грузовик. Зрелая служба после подвига задаёт три вопроса: почему понадобился подвиг, что сделать, чтобы следующий не понадобился, и кто прикроет героя, когда он устанет.

Что это значит в жизни.Мать, которая «тащит всё на себе», — тоже герой. Пока она здорова, дом работает. Стоит ей заболеть на неделю — и никто не знает, где документы и как платить по счетам. Семья, построенная на одном человеке, однажды узнаёт, что у неё нет второй опоры.