Дизайн привычных вещей полностью

Как уже говорилось, когда чуть раньше в этой главе мы обсуждали преднамеренные нарушения, люди иногда будут сознательно нарушать алгоритмы и правила. Это происходит потому, что иначе они не могут выполнить свою работу, или потому, что они уверены в наличии у них каких-то смягчающих обстоятельств, а иногда потому, что они решают рискнуть, полагая, что шансы на неудачу невелики и в любом случае с ними ничего плохого не случится. К сожалению, если кто-то делает что-то опасное, что-то, что в одном случае из миллиона приводит к смерти или травмам, это становится причиной нескольких сотен смертей в год (если посчитать случаи по всему миру, где живет семь миллиардов человек). Один из моих любимых примеров из области авиации — история про пилота, заметившего низкие показатели давления масла сразу во всех трех двигателях. Он решил, что это, должно быть, сбой аппаратуры: был один шанс на миллион, что датчики не ошиблись. Он правильно оценил ситуацию, но, к сожалению, его случай оказался тем самым единственным из миллиона. Только в Соединенных Штатах за 2012 год было совершено около девяти миллионов перелетов. Поэтому один случай на миллион — это девять аварий в год. Иногда действительно виноваты люди.

В промышленности аварии в крупных сложных системах вроде нефтяных скважин, нефтеперерабатывающих и химических заводов, электрических систем, а также аварии в сфере транспортных и медицинских услуг могут сильно влиять и на саму компанию, и на местное население. Иногда проблемы возникают не в самой организации, а появляются снаружи. Это могут быть, например, свирепые штормы, землетрясения или приливные волны, которые разрушают значительные фрагменты существующей инфраструктуры. В любом случае вопрос в том, как проектировать эти системы и управлять ими так, чтобы они могли продолжать работу с наименьшими повреждениями и минимальным ущербом. Эффективный подход — устойчивое проектирование[50]. Его цель — создание таких систем, алгоритмов, способов управления и методов обучения людей, чтобы они могли реагировать на проблемы по мере их возникновения. Этот подход направлен на то, чтобы дизайн всех этих систем (оборудования, алгоритмов и коммуникации между сотрудниками, а также с менеджментом и общественностью) постоянно анализировали, тестировали и совершенствовали.

Так, крупные компании — производители компьютеров могут специально вызывать ошибки в системе, чтобы протестировать реакцию компании. Например, чтобы проверить, что резервные и дублирующие системы действительно работают, преднамеренно отключается жизненно важная аппаратура. Может показаться опасным, что такие проверки выполняются, когда системы работают онлайн, обслуживают настоящих клиентов. Однако это единственный способ проверить эти огромные сложные системы. Небольшие тесты и симуляции не приносят столько стресса и неожиданных последствий, которые всегда сопровождают падения системы в реальной жизни.

Эрик Холлнагел, Дэвид Вудс и Нэнси Левесон, первопроходцы в этой области и авторы целой серии книг на эту тему, пришли к следующим выводам: