4. Выходим из опасной зоны
«Ла-Ла Ленд»
I
Блеск. Гламур. Сложность системы. Ошибка{127}.
Завершающие минуты 89-й церемонии вручения премий Американской киноакадемии. Актеры Уоррен Битти и Фэй Данауэй готовятся вручить премию в последней номинации. Битти открывает красный конверт, вынимает оттуда карточку и смотрит на нее. Он часто моргает. Брови у него ползут вверх, он снова заглядывает в конверт и что-то ищет в нем, но конверт пуст. Битти вновь смотрит на карточку, которую держит в руках.
«И вот премия Киноакадемии…» Актер задерживает взгляд на камерах на добрые три секунды. И снова запускает руку в конверт. «…За лучший фильм…» Битти смотрит на Данауэй, та хохочет: «Ты просто невозможен!»
Она думает, что это такой трюк, с помощью которого Битти придает моменту больше торжественности. Но это никакой не трюк. Уоррен вновь смотрит на карточку, еще раз моргает и показывает карточку Данауэй, как бы произнося: «Ты только посмотри на это». Актриса смотрит на карточку и восклицает: «Ла-Ла Ленд!» Аудитория взрывается бурными аплодисментами. Съемочная группа картины врывается на сцену, а продюсер Джордан Горовиц начинает свою речь: «Спасибо. Спасибо всем. Спасибо Академии. Спасибо…»
В это мгновение только два человека на свете знают, что произошла ошибка: Брайан Куллинан и Марта Руис. Они оба – партнеры в консалтингово-аудиторской компании PricewaterhouseCoopers (PwC). За неделю до церемонии они подсчитывали голоса киноакадемиков и вкладывали карточки с названиями фильмов и именами актеров-победителей по каждой номинации в конверты. В начале церемонии вручения Куллинан и Руис расположились за кулисами: один – слева, а другая – справа. В руках у них были одинаковые кожаные кейсы с буквами PwС и ярким логотипом премии «Оскар». В каждом портфеле находилось 24 конверта, по одному на каждую номинацию.
За несколько недель до вручения Куллинан и Руис так описывали в одном из блогов организацию церемонии{128}:
– Если что-нибудь случится с конвертами с именами победителей, есть ли какая-то система страховки?
– Мы принимаем исключительные меры предосторожности! У нас есть два набора конвертов с результатами голосования в разных кейсах – по одному на каждого из нас. Утром в день проведения церемонии мы по отдельности прибываем на место. Ведь трафик в Лос-Анджелесе может быть непредсказуемым! Во время самой церемонии мы стоим за кулисами и передаем конверты вручающим награды. Мы также заучиваем наизусть имена и названия картин. Каждого. Победителя. В. Каждой. Категории. Списки не печатаются на компьютере и не пишутся от руки для того, чтобы не потерять их и избежать других нарушений мер безопасности.
Во время церемонии представители PwC передают конверты вручающим награды. Куллинан пояснил: «Когда мы запускаем руку в свои кейсы, мы должны быть уверены в том, что достаем нужный конверт. Это, конечно, не высшая математика, но, когда на сцене и за кулисами происходит так много событий, приходится быть очень внимательным»{129}.
Буквально за несколько минут до ошибочного объявления победителя в номинации «Лучший фильм» Руис передала конверт номинации «Лучшая женская роль» Леонардо ДиКаприо, который объявил, что этой награды удостоена Эмма Стоун за роль в кинокартине «Ла-Ла Ленд».
И тут Куллинан на секунду потерял концентрацию. Он отправил со своего смартфона в Twitter фотографию получившей награду Эммы Стоун и в этот же момент передал Битти конверт из своего кейса. Но это был не конверт с карточкой победителя в номинации «Лучший фильм». Это был его дубликат карточки «Лучшая женская роль», то есть дубликат конверта, который Руис передала ДиКаприо. Карточка внутри конверта выглядела примерно так.
Только оказавшись на сцене и открыв конверт, Битти понял, что что-то пошло не так. Он не знал, что ему предпринять. Он показал карточку Данауэй, чтобы заручиться ее поддержкой, однако она увидела на кусочке картона только одно – «Ла-Ла Ленд» – и неосторожно выпалила это название.
Пока продюсеры фильма произносили свои речи, в толпе на сцене появился представитель организаторов церемонии в наушниках. Затем туда же вышли и представители PwC. В их руках замелькали красные конверты. Через две с половиной минуты после начала благодарственных речей команды «Ла-Ла Ленд» продюсер Джордан Горовиц взял микрофон из рук очередного оратора: «Ребята, мне очень жаль, но здесь произошла ошибка. Премию за лучший фильм года получаете вы, команда кинокартины “Лунный свет”»… это не шутка». Горовиц показал в камеру карточку с названием победителя номинации «Лучший фильм»:
«Лунный свет. Лучший фильм».
На последовавшей за церемонией гламурной вечеринке репортер разыскал Шерил Бун Айзекс, президента Киноакадемии. Она сидела на белой софе и неотрывно смотрела в свой мобильный телефон. Репортер спросил Шерил, какие мысли посетили ее во время скандала на церемонии{130}. «Ужас», – ответила она.
Я просто думала: «Что происходит, что происходит?» Я посмотрела на сцену и увидела, как на нее выходят представители PwC. И сказала себе: «О нет. Что, что, ЧТО? Что вообще могло…?» А потом я подумала: «Боже мой, как же так вышло? Как. Так. Вышло».
Хотя и для Академии, и для PwC это были очень неприятные моменты, в результате этого происшествия никто не умер. Это был весьма несущественный сбой системы. Однако он все же учит нас чему-то важному.
Как сказал Куллинан перед этим событием, передача конвертов знаменитостям для вручения награждаемым – это не высшая математика. Но сложности были. Имена победителей и названия победивших фильмов держались в секрете до самого момента их оглашения, что добавляло интригу – и сложность. А элитная публика и демонстрация церемонии по телевидению в прямом эфире делали все это мероприятие жестко связанным.
В системе имелись три значительно слабых места. Первое – номинации на конвертах трудно читались{131}. Они напечатаны тонкими золотыми буквами на красном фоне, поэтому сложно было заметить, что Куллинан передал Битти конверт с именем лучшей исполнительницы женской роли вместо конверта с названием лучшего фильма. А на самих карточках номинация была напечатана в самом низу, причем мелким шрифтом. Имя победительницы в номинации «Лучшая женская роль» (Эммы Стоун) и название фильма («Ла-Ла Ленд») были набраны одинаково большими буквами. Когда Битти показал карточку Данауэй, она мельком взглянула на нее и увидела крупное название «Ла-Ла Ленд».
Второе – представители фирмы PricewaterhouseCoopers (PwC) выполняли неожиданно тяжелую работу. За кулисами царила суматоха, и, как впоследствии сказал Куллинан, «приходилось напрягаться, чтобы сохранить концентрацию». Одни награждавшие получали конверты из рук Руис, другие – из рук Куллинана. И вокруг было много отвлекающих моментов – среди них и охвативший Куллинана соблазн сразу выложить фотографию Эммы Стоун в Twitter.
Но самым интересным слабым местом была придуманная в PricewaterhouseCoopers система двух кейсов. Здесь просматривается некая логика: наличие двух экземпляров каждого конверта защищало PwC от возможных сбоев, которые они предвидели. Например, если один из аудиторов потеряет кейс или другой попадет в пробку на дороге. Однако это излишество, задуманное как мера безопасности, добавило во всю эту историю дополнительную сложность. Дубликаты конвертов создавали потенциал для неожиданных взаимодействий внутри системы. Они заставляли следить за бóльшим количеством вещей, за бóльшим количеством подвижных частей, за бóльшим количеством отвлекающих моментов – то есть за бóльшим количеством путей, по которым внутрь системы мог проникнуть сбой.
Чарльз Перроу написал однажды, что «системы безопасности – одни из главных источников катастрофических событий внутри сложных и жестко связанных систем»{132}. При этом он имел в виду атомные электростанции, химические предприятия и самолеты. Но с таким же успехом он мог бы сказать это и о церемонии вручения премии «Оскар». Если в ходе мероприятия не возникло бы такого количества «лишних» конвертов, этого досадного провала никогда бы не случилось.
Несмотря на предупреждения Перроу, сами по себе системы безопасности, безусловно, хорошее дело. Они предотвращают некоторые предсказуемые ошибки, поэтому возникает соблазн использовать как можно больше таких систем. Однако зачастую функции безопасности сами по себе становятся частями общей системы – и это добавляет ей сложности. А по мере возрастания сложности повышается и вероятность сбоев, возникающих с неожиданной стороны[11].
Излишества функций безопасности – не единственная причина, по которой случаются неприятные происшествия. Исследование систем экстренного вызова персонала в пяти реанимационных отделениях показало{133}, что только за месяц было зафиксировано 2,5 млн сигналов тревоги, 400 000 из которых сопровождались каким-то звуком. Это один сигнал тревоги каждую секунду и один звуковой сигнал каждые восемь минут. Около 90 % из них оказались ложными. Это как в старой сказке: кричите «Волк!» каждые восемь минут и скоро вас просто перестанут слушать. Что еще хуже: в тот момент, когда происходит что-то действительно серьезное, постоянные сигналы тревоги не дают отличить те, которые действительно важны, от тех, что имеют дежурный характер.
Это парадокс: дополнительные функции безопасности снижают общий ее уровень{134}. Мало кто так отчетливо это понимает, как Боб Уотчер, врач и автор книг из Калифорнийского университета в Сан-Франциско. В своей книге «Цифровой доктор» (The Digital Doctor){135} Уотчер вспоминает случай с Пабло Гарсия, подростком, который чуть не умер, когда медсестра случайно дала ему гигантскую дозу антибиотиков.
В 2012 году в университетском госпитале внедрили новую компьютерную систему. Она управляла в том числе и роботом-фармацевтом, который занимал целую комнату и при помощи манипуляторов комплектовал лекарства для больных, набирая их из специальных ящичков. Врачи и медсестры надеялись, что новые технологии устранят человеческие ошибки и повысят безопасность пациентов. «Компьютеризированный процесс заказа лекарств сделал рукописные назначения врачей таким же достоянием прошлого, как царапины на грампластинках, – писал Уотчер. – Робот-фармацевт мог гарантировать, что доставалось нужное лекарство, а его доза отмерялась с ювелирной точностью. Штрихкод на упаковке представлял собой еще один элемент безопасности, поскольку в том случае, если сестра взяла неправильное лекарство или ошибочно принесла его не тому больному, подавался сигнал»{136}.
Это замечательные функции безопасности, и они действительно устранили много обычных ошибок. Но они же добавили системе и сложности. А в случае с Пабло Гарсия проблема началась с того, что интерфейс системы заказа лекарств, который был разработан так, чтобы избежать канцелярских ошибок, ввел в заблуждение молодого врача-педиатра. Она была уверена, что заказала только одну таблетку 160 мг. Однако в заказе она указала 160 мг/кг, поэтому система автоматически помножила его на вес мальчика, который составлял 38,6 кг. Таким образом, врач заказала 38,5 таблетки.
Сразу же включилась система предупреждения, и на экране компьютера высветился сигнал тревоги о передозировке. Однако доктор отключила его, поскольку ненужные предупредительные сигналы появлялись на экране монитора постоянно. Фармацевт, который проверял заказ (разумеется, в электронном виде), тоже пропустил ошибку. Робот стоимостью в миллион долларов с радостью упаковал пилюли. И хотя медсестра, пришедшая к Гарсия, и сомневалась по поводу такой большой дозы, штрихкод – еще одна ступень безопасности системы – показал ей, что она находится в нужной палате у нужного пациента. Это развеяло ее сомнения, и она дала мальчику лекарство – все 38 с половиной таблетки.
Колокольчики, свистки и дополнительные функции безопасности устраняют некоторые ошибки. Но в то же время они повышают сложность систем и могут стать причиной серьезных происшествий и аварий. Однако, когда мы хотим оградить себя от них – даже от тех происшествий, виновницей которых была высокая сложность систем, – мы испытываем соблазн добавить в них еще больше функций безопасности. Во время обсуждения случая с передозировкой лекарств{137} один из коллег Уотчера задумчиво произнес: «Думаю, нам надо ввести здесь еще один тревожный сигнал». Уотчер почти закричал в ответ: «Проблема как раз и состоит в том, что у нас слишком много сигналов тревоги! Добавление еще одного только ухудшит дело!»
И он прав. Кажущееся очевидным решение – наслоение все большего количества функций безопасности – не работает. И что нам с этим делать? Как нам заставить наши системы работать лучше?
Первый разумный шаг – это их диагностирование. Матрица Перроу с указанием сложности и жесткости связей в системах позволяет нам оценить их уязвимость с точки зрения противодействия чрезвычайным происшествиям или непредвиденным противоправным деяниям. «Матрица демонстрирует, где в вашем проекте или бизнесе следует ожидать неприятных сюрпризов»{138}, – говорит Гэри Миллер, инженер-атомщик, переквалифицировавшийся в консультанта по менеджменту. Он стал кем-то наподобие проповедника концепции Перроу в своей компании.
Миллер привел пример ретейлерской сети, которая намеревается открыть новые магазины. «У вас очень жесткий план их запуска и нет никакого “зазора” на ошибку? Тогда это жестко соединенная система. У вас также сложная система складов, за которой трудно следить прямо? Это сложность системы. Если в вашем проекте присутствуют оба этих компонента, вы должны знать, что на каком-то этапе вас может постигнуть “дурацкая неудача”. Поэтому необходимо изменить ситуацию еще до начала реализации проекта».
По утверждению Миллера, важно то, что матрица Перроу помогает нам даже в том случае, когда не может предсказать конкретно, как будет выглядеть эта наша «дурацкая неудача». Простое осознание того, что часть нашей системы – или организации, или проекта – уязвима, помогает подумать над необходимостью понизить уровень сложности и жесткости связей нашей системы, а также над тем, где сосредоточить усилия. Это немного похоже на ремни безопасности. Причина того, что мы пристегиваемся ими в своем автомобиле, состоит не в том, что мы представляем себе детали грядущего ДТП или травмы, которые получим. Мы используем ремни безопасности потому, что осознаем, что с нами может случиться что-то непредвиденное. Мы начинаем готовить торжественный праздничный обед заранее не потому, что знаем, что именно пойдет не так, а потому, что понимаем: что-то может пойти не так. «Необязательно предсказывать событие, чтобы предотвратить его, – говорил нам Миллер. – Но вы должны подходить к сложности и жесткости соединений в системах как к важнейшим переменным всегда, когда что-либо планируете или строите»{139}.
Матрица Перроу показывает, что мы приближаемся к опасной зоне. И только от нас зависит, поменяем ли мы свой курс или нет. В оставшейся части этой главы мы исследуем вопрос о том, как именно это делать. Мы разберем примеры, когда людям удавалось сделать системы – самолет, альпинистскую экспедицию или даже хлебопекарню – менее сложными и жестко связанными.
II
«Самолет Airbus A330 невероятно красив, от носа до хвоста, – пишет пилот KLM Тийс Йонгсма в своем блоге, и его слова звучат как признание в любви к этому авиалайнеру. – Самолет очень высокий. На земле его нос немного наклонен вперед, как будто он готов к спринтерскому рывку в любую секунду. В полете нос немного поднимается, что придает авиалайнеру дополнительную элегантность… Это самая красивая машина из тех, на которых мне приходилось летать»{140}.
Кабина пилотов в А330 – это тоже произведение искусства. У нее сглаженный обтекаемый дизайн с небольшим количеством экранов, хорошая эргономика приборов и проработанная цветовая гамма различных датчиков и сигналов на панели управления. «Я еще не упоминал, что дизайн многих приборов в кабине авиалайнера разрабатывал Porsche? – пишет Йонгсма. – Неудивительно, что их форма, цвет и подсветка такие красивые».
Еще в А330 очень простая система управления. Вместо рулевой колонки – обычного рулевого устройства перед пилотом – здесь по бокам расположены только небольшие рычажки управления наподобие джойстиков, очень похожих на те, что используются на видеоприставках (см. изображение кабины Airbus A330 на следующей странице).
Эти джойстики соединены с компьютерной системой самолета. Поэтому, когда пилоту нужно дать системе команду – например, поворот вправо на 15º, – он просто соответствующим образом манипулирует джойстиком, и авиалайнер точно ее исполняет. Джойстики в кабине А330 занимают мало места и не закрывают обзор всей панели управления. «Поскольку в кабине А330 нет штурвалов, перед пилотами могут выдвигаться столики, которые легко убрать под панель управления, – пишет Йонгсма, выкладывая фотографию своего столика с аккуратно сервированным на нем обедом. – В компании KLM нет других авиалайнеров, в которых пилоты могут работать и есть за столом!»
Теперь посмотрите на кабину самолета Boeing 737.
Здесь нет обтекаемых джойстиков, не говоря уже о столиках для пилотов. Перед каждым из них – большой штурвал, имеющий форму буквы «W», закрепленный на рулевой колонке высотой около метра. Летчики управляют самолетом, поворачивая штурвал влево или вправо. Чтобы опустить нос авиалайнера, они отжимают колонку вперед, а чтобы поднять – тянут ее на себя. При необходимости они тянут до упора, поэтому в их креслах посередине есть специальная выемка. По сравнению с продвинутыми инструментами управления в А330, эти рулевые колонки в Boeing 737 кажутся слишком громоздкими и неудобными.
«Когда мы летаем на Boeing 737, рулевые колонки располагаются прямо перед нами – и двигаются они обе, даже если управляет кто-то один из пилотов, – говорит Бен Берман, командир воздушного судна и специалист по расследованию авиационных происшествий, с которым вы встречались в прологе. – Обе рулевые колонки технически связаны друг с другом. Поэтому, если командир поворачивает свой штурвал влево, то и штурвал второго пилота тоже поворачивается влево. Если я сильно тяну на себя, то рулевая колонка второго пилота тоже движется и может даже ударить его по коленям или упереться ему в живот»{141}.
А про удобный раскладной обеденный столик в кабине Boeing 737 можно забыть. «Штурвал рулевой колонки настолько велик, что сильно мешает пилотам во время еды, – говорит Берман. – Из-за этого пища все время попадает на рубашку и галстук!»
Во многих отношениях дизайн кабины самолета А330 кажется более совершенным, чем у Boeing 737. Он отличается элегантностью и хорошей эргономикой вместо объемных деталей и неудобств: ваш обед аккуратно стоит на столике, вместо того чтобы постоянно пачкать вам рубашку и галстук. Но если присмотреться, то можно увидеть, что в старомодном штурвале и неудобной рулевой колонке Boeing 737 есть кое-что замечательное.
В 2009 году самолет А330 авиакомпании Air France, рейс 447, на борту которого находилось 228 человек, рухнул в Атлантический океан{142}. Не выжил никто. Спустя пять лет рейс компании AirAsia 8501, который выполнял самолет А320 с такой же системой управления, как и у А330, потерпел крушение в водах Яванского моря, оборвав жизни всех 155 пассажиров и семи членов экипажа.
И в одном, и во втором случаях сыграли свою роль те самые небольшие джойстики системы управления. В конечном счете оба авиалайнера потерпели крушение, попав в аэродинамический срыв – ситуацию, когда нос корабля задран слишком высоко, поток обтекающего крылья воздуха резко уменьшается и в результате падает их подъемная сила{143}. В такой ситуации есть простое решение: немедленно опустить нос воздушного судна! Но в обоих случаях вторые пилоты в панике ошибочно двигали джойстики назад, поднимая нос авиалайнера еще выше. И в обоих случаях командир воздушного судна не успевал заметить фатальную ошибку своего второго пилота.
«В самолетах А330 боковые джойстики двигаются независимо друг от друга, каждый из них расположен в тени, за телом пилота. Так что никто из летчиков не знает, что в данный момент предпринимает напарник, – говорит капитан Берман. – Даже если вы как-то умудритесь сфокусировать взгляд на джойстике вашего коллеги, нужно поймать именно тот момент, когда он выполняет какие-то действия, – иначе вы ничего не поймете»{144}.
Такого не может произойти в кабине, в которой старомодные штурвальные колонки двигаются синхронно. Если ваш напарник тянет на себя эту громоздкую конструкцию, то вы ни за что не пропустите такое движение. Оно происходит буквально перед глазами, а колонка может даже упереться вам в живот. А это понижает сложность ситуации, потому что вы отчетливо видите, что происходит в кабине.
Для того чтобы оценить значение наглядности ситуации, иногда достаточно простого обладания автомобилем. Актер Антон Ельчин, известный по роли в научно-фантастическом фильме «Звездный путь», погиб, когда вышел из своего двухтонного Jeep Grand Cherokee. Машина покатилась по подъездной дорожке к дому, и актер оказался зажатым между бампером и кирпичной колонной. Трагедия произошла из-за особенностей конструкции трансмиссии{145}. В автомобилях с обычной ручной коробкой передач вы можете чувствовать и видеть положение рычага во время переключения. Но в том Grand Cherokee, который принадлежал Ельчину, водитель при переключении передач просто двигал небольшой рычажок автоматической красивой коробки Monostable вперед и назад. При этом каждый раз рычажок возвращался в нейтральное положение. Слабая ответная реакция автоматической коробки сбивала с толку сотни водителей{146}, которые думали, что поставили рычаг в положение «парковка», тогда как на самом деле коробка была включена на «нейтралку» или даже «задний ход».
Конечно, элегантный дизайн имеет свою ценность. На красивые вещи приятно смотреть или играть с ними. Однако чрезвычайно важно иметь возможность понять состояние системы, лишь бросив на нее взгляд. Простота конструкции не дает нам совершить неправильное действие и помогает осознать, что мы совершили ошибку. Наглядность снижает сложность системы и позволяет найти выход из опасной зоны.
Это относится к любым системам, а не только к тем, что имеют материальный вид. Помните рыночную переоценку, которая скрывала истинные намерения компании Enron? Она загнала организацию в черный ящик. А доверяться черному ящику, каким бы красивым и блестящим он ни был, – значит открыть путь к катастрофе.
Рассмотреть все детали системы изнутри не всегда возможно, но это не единственный способ снижения ее сложности. Представьте себе альпинистскую экспедицию, отправляющуюся на Эверест. Ее участников ожидают многочисленные риски, начиная от трещин в ледниках и камнепадов и заканчивая снежными лавинами и неожиданными переменами погоды. Высотная болезнь приводит к нарушениям зрения, а постоянное воздействие ультрафиолета вызывает снежную слепоту. А когда в горах начинается метель, то пропадает всякая видимость. Горы – это закрытая непрозрачная система, и мы мало что можем с этим поделать.
И все же есть и другие способы уменьшения сложности систем. В прошлом несколько экспедиций на Эверест пострадали из-за логистических проблем. Были задержки авиарейсов, проблемы с таможней на границе, сложности с поставкой продуктов и оборудования, денежные споры с местными носильщиками, а также различные респираторные и вирусные заболевания, которые поражали альпинистов на пути в базовый лагерь. Многие из этих проблем проявились задолго до того, как началось само восхождение, и тогда они казались небольшими.
Однако эти небольшие сбои вызывали задержки сроков, подвергали стрессу лидеров команд, отнимали время у процесса планирования и мешали альпинистам адаптироваться к условиям высокогорья. А потом, во время последнего рывка к вершине, эти неудачи начинали взаимодействовать с другими проблемами. Отвлекаясь на это, руководители групп и обессиленные альпинисты не обращали внимания на очевидные тревожные знаки и совершали ошибки, которые в обычных условиях они не совершили бы. А если на Эвересте серьезно ухудшается погода, то у измученной команды альпинистов, которые выбиваются из графика, остается мало шансов.
Как только мы осознаем, что настоящим убийцей становятся не горы, а взаимодействие между многочисленными мелкими сбоями, мы можем найти решение: устранить как можно больше логистических проблем. Именно это и делают лучшие альпинистские компании. Они подходят к скучным логистическим проблемам как к важнейшим факторам безопасности{147}. Они уделяют внимание самым повседневным аспектам подготовки и проведения экспедиции, от привлечения специалистов-логистов, которые снимают это бремя с плеч лидеров команд, до обустройства базовых лагерей. Даже приготовление пищи имеет большое значение. Как написано в рекламной брошюре одной альпинистской логистической компании: «Наше внимание к пище и процессу ее приготовления на Эвересте и других горных вершинах мира позволило обеспечить очень низкий уровень гастроэнтерологических проблем у членов экспедиций»{148}.
Альпинисты понимают, что фактор риска возникает из сложного сплетения самых незначительных сбоев. Улучшения в логистике не могут превратить восхождение на Эверест в совершенно безопасное предприятие, но они делают экспедиции менее сложными и предупреждают возникновение целого ряда небольших неудач, которые при определенных условиях могут вырасти в настоящую беду.
Оказывается, те решения, которые применимы на Эвересте, могут помочь нам справиться с повседневными ситуациями, в которых ставки не так высоки, – например, с организацией торжественного обеда на День благодарения. Ведь проблема здесь такая же – стечение небольших сбоев может привести к большой неудаче. Попытки «разорваться» между приготовлением обеда и другими задачами, от мытья санузлов до сервировки стола, добавляют в работу стресс и отвлекающие факторы. Излишне торопливые хозяева часто совершают «дурацкие ошибки», как та читательница журнала Bon Appétit, которая сделала мороженое с сиропом от кашля, перепутав его с ванильным.
Вместо того чтобы сосредоточиваться исключительно на самом процессе приготовления блюд – кулинарного эквивалента финишного рывка альпинистов к вершине, – мы можем взглянуть на все событие как на систему. Точно так же, как это делают компании по организации горных восхождений, мы можем позаботиться о мелких проблемах еще до того, как они станут серьезными отвлекающими факторами. За день до приготовления обеда можно почистить лужайку и санузлы. Мы также можем заранее проверить, есть ли все необходимое для готовки – и не только очевидные продукты, но и соль, оливковое масло, кулинарная фольга и т. п. Глядя на эти небольшие проблемы как на ключ к успешному обеденному приему, мы можем предотвратить его превращение в катастрофу.
В других системах люди обнаружили способ снизить сложность за счет устранения излишних предупреждающих сигналов{149}. Вспомните кабину самолета Boeing 737 и взгляните на список ниже. Это список чрезвычайных ситуаций, которые могут оказать серьезный негативный эффект на большой многомоторный самолет. Какие из них, по вашему мнению, должны включать сигнал повышенной опасности в кабине пилотов?
• Возгорание двигателя
• Начало снижения для посадки при невыпущенном шасси
• Надвигающийся аэродинамический срыв (срыв потока)
• Остановка работы двигателя
Все они звучат очень угрожающе, не так ли?
Но только одна из этих чрезвычайных ситуаций включает максимальный уровень тревожной сигнализации в кабине современных авиалайнеров Boeing. Когда самолет оказывается на грани аэродинамического срыва, в кабине пилотов загораются красные огни, а на экране пульта управления появляется красная предупреждающая надпись. Штурвальные колонки сильно трясутся, издавая при этом громкий звук. Пилоты видят, слышат и ощущают предупреждения.
Помимо срыва потока, никакие другие ЧП не активируют все эти предупреждения – даже возгорание двигателя. Разумеется, такой пожар – очень серьезное происшествие, однако он, скорее всего, не сразу повлияет на полет воздушного судна. Поэтому в этих случаях тоже загораются красные индикаторы на панели, высвечивается красное текстовое предупреждение и громко звонят тревожные колокольчики. Однако нет вибрации штурвальных колонок.
Существуют и более низкие уровни предупреждений, «рекомендательные», когда на экранах мониторов высвечиваются надписи янтарного цвета, но больше ничего не происходит, даже не зажигаются сигнальные лампочки. Низкий уровень гидравлической жидкости в одной из гидравлических систем подпадает под эту категорию. Пилотам необходимо знать об этом событии, потому что они должны следить за количеством жидкости в гидравлической системе. Но в данном случае ситуация не является срочной. Если же жидкость вытекает из системы полностью, летчики получат тревожные сигналы более высокого уровня. На панели высветится больше желтых огней, и будут раздаваться предупреждающие звуковые сигналы.
Принцип здесь прост: не отвлекайте людей, усложняя систему предупреждения больше необходимого – впрочем, как и любую систему. Убирайте то, что не нужно, и держите в приоритете то, что считаете важным[12]. Это называется «иерархия сигналов тревоги». В прошлом, по мере того как самолеты становились все сложнее, предупреждающие лампочки загорались по всей кабине, а звуковые сигналы работали почти без перерывов. Благодаря иерархии сигналов тревоги большинство полетов в наше время проходит вообще без их срабатывания, поэтому вероятность того, что пилоты будут завалены ненужными предупреждениями, незначительна.
Неудивительно, что такой подход начинают использовать и в других сферах жизни. «Мы создали специальную комиссию для того, чтобы пересмотреть всю нашу систему предупреждений и тревожных сигналов, удаляя их один за другим, – пишет Боб Уотчер о создании иерархии предупреждений в его госпитале. – Это тяжкий труд, некий цифровой аналог прополки садового участка для избавления от сорняков»{150}.
Конечно, иногда невозможно снизить сложность наших систем – мы не всегда способны сделать их понятнее, избавить от небольших сбоев и убрать излишние элементы безопасности. Но даже в этих случаях мы можем попытаться создать менее жесткую связь между элементами.
Гэри Миллер, консультант по вопросам управления{151}, с которым вы встречались ранее в этой главе, однажды работал над проектом по оживлению бизнеса небольшой сети кафе-пекарен. Владельцы планировали открыть несколько новых заведений, одновременно обновив меню и интерьеры в уже существующих.
«Это была просто пекарня – и она была так же далека от АЭС Three Mile Island, как от Луны, – усмехается Миллер. – Но в каких-то аспектах, если подумать, отличий было не так уж и много».
Он посчитал, что план обновления сети получился слишком сложным и жестко связанным. Новое меню было длинным и непонятным. Оно подразумевало наличие обширной сети поставщиков. «У них были эти запутанные контракты с новыми поставщиками, – рассказывал Миллер. – Все: хлеб, супы, соусы, фрукты, напитки – поступало из разных мест, и всем этим потоком трудно было управлять. Даже дизайн новых кафе был очень сложным». К тому же сроки реализации плана были крайне напряженными. Владельцы хотели внедрить изменения одновременно во всех кафе – и в уже работающих, и во вновь открываемых. «Зазора» для ошибки было мало.
Миллер попытался убедить собственников сети уменьшить ее сложность как системы: сократить меню и цепочку снабжения, а также упростить новый дизайн заведений. Но владельцы на уступки не шли. Они уже подписали бóльшую часть необходимых контрактов, и им нравилось новое меню и дизайн интерьера. Тогда Миллер попробовал зайти с другого бока. «Я убедил их немного “притормозить”, установить менее амбициозные сроки и не заниматься одновременно всеми точками. Это потребовало определенного времени, но в конце концов они согласились».
Разумеется, с учетом сложности проекта модернизация сети не могла пройти идеально. Но, поскольку теперь в плане имелся определенный «люфт», компания смогла справиться с проблемами. «Да, несколько недель выдались трудными, – вспоминает Миллер, – но это же была не катастрофа».
В этой главе мы увидели, что существуют пути упрощения наших систем, придания им большей ясности и создания в них определенного «зазора». Однако у таких подходов есть свои пределы. Авиация всегда будет содержать элементы сложности и жесткой связанности, равно как и медицина, и глубоководное бурение, и финансы. Скорее всего, вы найдете много доводов в пользу того, что это применимо и к вашей сфере деятельности, и к вашей личной жизни.
Сложность и жесткость связей в системах имеют и свои положительные стороны. Сеть кафе-пекарен, с которой работал Гэри Миллер, в итоге выиграла от более полного меню, ведь оно предоставляло клиентам возможность большего выбора. Когда компании оптимизируют цепочки поставщиков, чтобы не сидеть без дела при забитых прилавках, это экономит деньги. Но это же повышает жесткость связей в системе. Большинство наиболее полезных технологий, определяющих качество жизни, одновременно и сложны, и жестко связанны. Из опасной зоны нет легкого выхода.
Хорошо, что можно быть умнее, работая, думая и живя в этом новом мире. Хотя принципиально изменить многие системы мы не можем, в наших силах изменить то, каким образом мы ориентируемся внутри их. В следующих главах мы рассмотрим вопрос о том, как принимать лучшие решения, сталкиваясь со сложностью систем; как научиться воспринимать предупреждающие знаки, чтобы увидеть, где в наших системах зреет беда; и как работать с другими людьми, чтобы предотвратить катастрофы в опасной зоне.