В ночь на 20 апреля 2010 г. Майк Уильямс находился в машинном зале буровой платформы в Мексиканском заливе. Эта платформа воплощала в себе все последние технические достижения. Ее палуба была размером 130 на 85 м, и она уже успела установить мировой рекорд глубоководного бурения в 10 680 м, что превышает высоту горы Эверест. Бригада только что закончила бурение и приступила к цементированию скважины Макондо. В тот день на платформу прилетели руководители компании-оператора платформы, Transocean, и владельца скважины, BP, чтобы отметить семь лет безаварийной работы. Но авария, которой суждено было произойти, оказалась не просто серьезной, она стала крупнейшей экологической катастрофой в истории США. Платформа называлась «Дипвотер хоризон».

Уильямс сообразил, что происходит что-то неладное, когда моторы на платформе резко набрали обороты. Он не понял, что взрывоопасный метан, бурля, поднимается со дна океана, почти с двухкилометровой глубины. Моторы на платформе всосали его в себя и резко ускорились. Зазвучали сигналы тревоги; лампочки загорелись так ярко, что вскоре полопались. Сам Уильямс едва успел отклониться, как его компьютерный монитор взорвался. Затем последовал огромной силы взрыв, от которого Уильямс перелетел в другой угол комнаты, а стальную противопожарную дверь толщиной 10 см сорвало с петель. Он пополз к выходу, но от нового взрыва вторая противопожарная дверь отбросила его вглубь помещения. Из раны на голове обильно текла кровь, но, несмотря на это, он выполз на палубу и увидел, что команда уже эвакуируется, не зная, что он и еще несколько человек выжили во время взрыва и сейчас находятся в помещениях. Представив себе жену и маленькую дочь, Уильямс помолился и прыгнул в воду. Как и жертвам аварии на «Пайпер альфе», ему пришлось прыгать с высоты 10-этажного дома. Но он выжил, а 11 других нефтяников погибли.

Ответственные за этот взрыв и последовавший за ним гигантский разлив нефти будут названы судом. В Мексиканский залив вылилось более 5 млн баррелей нефти, и произошло это всего в 65 км от побережья Луизианы. Как такое могло случиться?

Вероятно, основная вина ляжет на оператора платформы, компанию Transocean, на компанию Halliburton, которая по контракту должна была цементировать скважину, на регулятора, который подписал планы бурения, и, конечно, на BP, которой принадлежала скважина Макондо и которая руководила всем проектом. У каждой стороны есть серьезные финансовые мотивы обвинять в аварии других. Но, несмотря на всю неразбериху, к моменту написания этой книги стали известные некоторые подробности, с помощью которых можно восстановить уже знакомую нам картину произошедшего.

Прежде всего, как мы уже знаем, системы обеспечения безопасности часто начинают мешать. Когда катер, который подобрал Уильямса, подплыл к горящей платформе, чтобы отбуксировать спасательный плот, то оказалось, что тот привязан к платформе спасательным канатом. Оператор платформы, компания Transocean, запрещала команде иметь ножи, поэтому из-за двух требований безопасности и катер, и спасательный плот оказались привязанными к горящей платформе. (Канат в конце концов удалось разрезать, и команда спаслась.) Или рассмотрим такое устройство системы безопасности, как газосепаратор для бурового раствора, который быстро переполнился, и из-за него платформа оказалась окутанной взрывоопасным газом. Без этого устройства бригада просто могла бы направить весь поток в океан, и тогда можно было бы избежать самого худшего в этой аварии.

Вторым уроком является то, что латентные ошибки могут оказаться роковыми. Собственное расследование аварии, проведенное компанией BP, показало, что были нарушены восемь отдельных линий защиты. Говоря языком Джеймса Ризона, в кусочках сыра совпало восемь дырок. Но этому едва ли стоит удивляться: при таких авариях почти всегда нарушаются все линии защиты. Самым примечательным является отказ противовыбросового устройства – это огромная погруженная система вентилей и гидравлических плунжеров, предназначенных для перекрывания скважины в момент аварии. При слушании в конгрессе было объявлено, что противовыбросовое устройство находилось в плачевном состоянии: в одном из автоматических включателей отсутствовал аккумулятор, а в другом была дефектная деталь. Из устройства текла гидравлическая жидкость, а это означало, что при аварийном включении подводным роботом оно не смогло бы заглушить скважину. Все это звучит невероятно, но безаварийные системы, такие как противовыбросовое устройство, ремонтируются редко, поскольку в идеале они никогда не используются. На «Дипвотер хоризон» противовыбросовое устройство, которое включается только при чрезвычайных ситуациях, причем на глубине почти 2000 м, последний раз инспектировалось за пять лет до аварии.

Третий урок заключается в том что, если у разоблачителей появится шанс высказаться, то аварии можно избежать. Скважина уже несколько недель вела себя нестабильно, а инженеры компании BP давно предупреждали об опасности. Бригадир, работавший на скважине Макондо, сообщил о проблемах с противовыбросовым устройством за три месяца до аварии. Техника безопасности в компании Transocean страдала уже несколько лет, к тому же после слияния в компании была напряженная внутренняя обстановка. ВР на бумаге проводила политику защиты тех людей, которые разоблачают недостатки. Но на практике спаянный коллектив буровой платформы придерживался конформизма, независимо от официально проводимой политики. Нефтяные компании, как и банки, нуждаются в поощрении разоблачителей.

Четвертое: система буровой платформы имеет излишне жесткие связи. Один отказ ведет к появлению другого. Платформа была спроектирована таким образом, чтобы не допускать ни больших, ни малых разливов нефти. На платформе имелся газосепаратор, который предупреждал небольшие разливы и контролировал работу противовыбросового устройства. Однако в самый ответственный момент, когда все средства платформы должны были сработать, чтобы ликвидировать разлив, сама платформа развалилась от серии взрывов. Так же, как и на «Пайпер альфе», противовыбросовое устройство нельзя было запустить с палубы платформы, поскольку первый взрыв повредил электропроводку. Для большей безопасности нужно было предусмотреть возможность включения противовыбросового устройства не из диспетчерской.

Пятое, как мог бы заметить Тони Ломас, здесь очень пригодились бы планы действий на случай чрезвычайной ситуации. ВР и другие крупные нефтяные компании оказались в очень неловком положении, когда выяснилось, что в их планах на случай чрезвычайной ситуации значилось спасение местной популяции моржей. Это было совершенно излишним, поскольку моржи могли бы в случае разлива позаботиться о себе сами, оставаясь там, где им положено быть, а именно за Полярным кругом, а не в Мексиканском заливе. Причина понятна: BP и другие компании просто схватили с полки первый попавшийся план мероприятий, который разрабатывался для бурения на Аляске или в Северном море.

Заключительный урок формулирует для нас теория «обыденных катастроф»: аварии будут происходить, и мы должны быть готовы к их последствиям. Американское правительство выдало разрешение на бурение скважины Макондо, потому что риск аварии, как считалось, был невелик. Может быть, так оно и было, но вероятность аварии никогда не будет равна нулю.

По мере того как усложняется экономика, которую мы создали, будут усложняться и техника, на которой она основана, и финансы. На платформе «Дипвотер хоризон» использовалась передовая технология глубоководного бурения. АЭС «Тримайл-Айленд» возникла в период бурных инноваций в атомной энергетике. Растущий рынок кредитных деривативов тоже определял пределы возможного в финансах. Обычная реакция на рост сложности в виде метода проб и ошибок недостаточна, когда мы сталкиваемся с системами, которые не только сложны, но еще и жестко связаны. Стоимость ошибки при этом становится слишком высокой.

Инстинктивная реакция – нужно избавиться от ошибок. Но это лишь мечты. Реальной альтернативой будет упрощение системы и сокращение связей в системах с высокими рисками настолько, насколько это возможно. Кроме того, нужно поощрять тех, кто вскрывает готовые проявиться латентные ошибки, и, что печально, готовиться к худшему. Есть уроки, которые конструкторы – и из мира нефтедобычи, и из мира финансов – обязаны извлекать снова и снова.