В эпоху высоких технологий любая катастрофа сопровождается целым ритуалом. После крушения самолета или взрыва химического завода каждый фрагмент вещественных доказательств – кусок искореженного металла или треснувшего бетона – превращается в своего рода фетиш. Его подбирают, маркируют и тщательно изучают. Все находки передаются специальной комиссии, которая проводит расследование, снимает показания и формулирует выводы. Это ритуал, дарящий утешение, в его основе лежит принцип: все, что мы узнали об одной катастрофе, поможет нам предотвратить другую. Поэтому Америка не отказалась от ядерной промышленности после аварии на «Три-Майл-Айленд», и самолеты снова поднимаются в воздух после очередной авиакатастрофы. Однако этот ритуал никогда не был исполнен такого драматизма, как в случае с космическим шаттлом «Челленджер», который взорвался над южной Флоридой 28 января 1986 года.

Уже спустя 55 минут после взрыва на место падения обломков шаттла в океан прибыли поисково-спасательные корабли. Операция по поиску и извлечению фрагментов шаттла, длившаяся три месяца, стала самой продолжительной и масштабной в истории: было прочесано 150000 квадратных морских миль, а дно в районе крушения исследовалось с помощью подводных лодок. В середине апреля 1986 года спасательная команда обнаружила несколько кусков обугленного металла, что подтвердило подозрения: взрыв произошел из-за неисправности уплотнителя в одном из ускорителей шаттла. Эта неисправность вызвала утечку раскаленных газов, в результате которой загорелся внешний топливный бак.

В июне специальная комиссия по расследованию, опираясь на полученные данные, сделала вывод: повреждение уплотни-тельного кольца объяснялось производственным дефектом и небрежностью руководства NASA и его главного подрядчика Morton Thiokol. Проглотив соответствующую порцию суровой критики, NASA вернулось к чертежным доскам и через 32 месяца представило проект нового шаттла – «Дискавери», – модернизированного с учетом уроков, извлеченных из катастрофы. Перед первым после крушения «Челленджера» полетом, за которым, затаив дыхание, следила вся Америка, команда «Дискавери» короткой речью почтила память семерых погибших астронавтов. «Дорогие друзья, – сказал командир корабля капитан Фредерик Хок, – ваша гибель означает, что теперь мы можем с уверенностью начать все заново». Ритуал был завершен. NASA вернулось к работе.

Но что если подобные ритуалы строятся на ложных предпосылках? Что если все эти публичные «разборы полетов» не помогают предотвращать новые трагедии? В последние несколько лет ученые все чаще заявляют о том, что действия, следующие за авиакатастрофами или трагедиями, подобными той, что произошла на «Три-Майл-Айленд», – это не более чем самообман и поиски утешения. По мнению этих ревизионистов, такие события могут вообще не иметь однозначных причин, они неразрывно связаны со сложностью созданных нами технологий.

Работа социолога Дайаны Воэн «Решение о запуске "Челленджера"» подводит под эту теорию и взрыв шаттла. Эта публикация – первый по-настоящему полный анализ событий, приведших к тому, что случилось 28 января 1986 года. Принято считать, что трагедия «Челленджера» – это аномалия, произошедшая потому, что люди из НАСА плохо сделали свою работу. Но по результатам своего исследования Воэн пришла к иному выводу: катастрофа произошла, потому что люди из НАСА сделали именно то, что и должны были. «Ни одно принципиально важное решение не было принято со злым умыслом, – пишет Воэн. – К трагическому финалу привела цепочка безобидных на первый взгляд решений».

Вне всяких сомнений, исследование Воэн вызовет бурные споры, но даже если она права лишь отчасти, выдвинутые ею аргументы переворачивают наши привычные представления. Мы окружаем себя электростанциями, системами ядерного вооружения, аэропортами, пропускающими сотни самолетов в час, пребывая в твердой уверенности, что связанные со всем этим риски по меньшей мере легко контролируемы. Но если нормальное функционирование сложных систем может вызвать потенциально катастрофические последствия, значит, наше предположение ошибочно. Риски не так легко контролировать, несчастные случаи не так просто предотвратить, а ритуалы после катастроф не имеют смысла. Рассказанная впервые история «Челленджера» трагична. Рассказанная повторно, спустя десять лет, она банальна.

Для того чтобы разобраться в дискуссии, разгоревшейся вокруг взрыва «Челленджера», нужно, наверное, начать с другой крупнейшей катастрофы – с аварии на атомной электростанции на острове Три-Майл в марте 1979 года. Президентская комиссия, расследовавшая эту аварию, пришла к выводу, что ее причиной послужили ошибки, допущенные людьми, в частности операторами станции. Однако ревизионисты утверждают, что на деле все было гораздо сложнее, и их аргументы заслуживают подробного рассмотрения.

Проблемы на «Три-Майл-Айленд» начались с закупорки своего рода гигантского водяного фильтра. Проблемы с этим фильтром были на станции обычным делом – ничего серьезного. Но в данном случае в результате закупорки вода стала просачиваться в систему воздушного охлаждения, что привело к автоматическому выключению двух клапанов и прекращению поступления холодной воды в парогенератор.

Кстати сказать, на «Три-Майл-Айленд» была установлена резервная система охлаждения, предназначенная как раз для подобных ситуаций. Но в тот день по причинам, которые никто так и не смог объяснить, клапаны резервной системы были не открыты, а закрыты, а лампочку на пульте оператора, сигнализирующую о закрытии клапанов, скрывала от глаз висевшая на рычаге табличка с надписью «Ремонт». На такой случай была предусмотрена еще одна резервная система – специальный предохранительный клапан. Но к несчастью, в тот день он также не работал. Его заело в открытом положении, хотя он должен был быть закрыт. Ситуация усугублялась еще и тем, что не работал прибор, который оповещал операторов о неработающем предохранительном клапане. К тому моменту, как инженеры АЭС поняли, что происходит, реактор едва не расплавился.

Иными словами, к аварии привели пять не связанных друг с другом событий. Инженеры в операторской никоим образом не могли узнать ни об одном из них. Описанные события не сопровождались грубыми ошибками или вопиюще неверными решениями. И все неисправности – закупорка водяного фильтра, закрытые клапаны, скрытая табличкой от глаз лампочка, неисправный предохранительный клапан и неработающий прибор оповещения – сами по себе были настолько незначительны, что по отдельности могли вызвать лишь временное неудобство. Причиной же аварии стало неожиданное слияние мелких неприятностей в одну большую проблему.

Для описания подобных аварий социолог Йельского университета Чарльз Перроу ввел термин «обычные аварии». Под словом «обычные» он не подразумевал их многократность. Имеются в виду аварии, возникающие при обычном, нормальном функционировании технически сложной системы. Современные системы, утверждает Перроу, включают тысячи элементов, варианты взаимодействия которых невозможно предугадать. Учитывая сложность систем, делает вывод ученый, определенные сочетания мелких сбоев неизбежно приводят к серьезнейшим последствиям. В своей работе 1984 года, посвященной техногенным катастрофам, Перроу на примере крушений самолетов, разливов нефти, взрывов на химических заводах и неполадок с ядерным оружием показывает, что многие из этих происшествий подпадают под определение «обычные». Кстати сказать, кинохит «Аполлон-13» служит прекрасной иллюстрацией «обычной аварии». Полет космического корабля «Аполлон» оказался под угрозой из-за комбинации неисправностей кислородного и водородного баков и индикаторной лампы, которая отвлекла внимание астронавтов от более серьезной проблемы.

Будь эта авария «настоящей» – т. е., столкнись миссия с проблемами из-за одной серьезной злонамеренной ошибки, – фильм получился бы гораздо менее глубоким и захватывающим. При «настоящих» катастрофах люди разражаются гневными тирадами и преследуют виновных. Одним словом, делают все то, что положено делать героям голливудских триллеров. Но катастрофа «Аполлона-13» необычна, потому что вызывает прежде всего не злость, а удивление – ведь все пошло не так, казалось бы, по совершенно незначительным причинам. Не было ни виноватых, ни раскрытых мрачных тайн, ничего особенного, кроме того, что все системы корабля пришлось восстанавливать после того, как они вышли из строя столь необъяснимым образом. В конечном счете «обычная авария» оказывается самой страшной.

Можно ли причислить взрыв «Челленджера» к «обычным авариям»? Казалось бы, нет. В отличие от трагедии на «Три-Майл-Айленд» в этом взрыве повинна единственная неисправность: уплотнительные кольца, предотвращающие утечку раскаленных газов из ракетных ускорителей, не выполнили свою функцию. Но, по мнению Воэн, неисправность уплотнительных колец – лишь симптом. Истинной причиной аварии явилась культура NASA, заявляет она, и эта культура привела к череде связанных с запуском шаттла решений, которые вполне укладываются в профиль «обычной аварии».

Вопрос сводится к тому, как NASA оценивало имеющиеся проблемы с уплотнительными кольцами ракетных ускорителей. Они представляют собой тонкие резиновые ленты, окаймляющие края каждого из четырех сегментов ракеты, и каждое кольцо действует как резиновая прокладка на банке с консервами, способствуя плотному и герметичному соединению частей ракеты. Но с 1981 года во время каждого полета шаттла с уплотнительными кольцами возникали проблемы. В ряде случаев резиновые прокладки оказывались сильно разъеденными, что приводило к утечке раскаленных газов сквозь щели. Более того, уплотнительные кольца теряли свои защитные свойства при низких температурах: резина затвердевала и уже не обеспечивала должной герметичности. Утром 28 января 1986 года стартовая площадка шаттла была покрыта льдом, а температура при взлете была чуть выше температуры замерзания. Предвидя столь сильные заморозки, инженеры Morton Thiokol, производителя ракет-носителей, советовали отложить запуск. Руководство Morton Thiokol и NASA, однако, проигнорировало предупреждение, что впоследствии позволило президентской комиссии и многочисленным критикам обвинять NASA в вопиющей – если не сказать преступной – халатности.

Воэн не оспаривает фатальную ошибочность принятого решения. Но после ознакомления с тысячами страниц расшифровок и внутренних документов управления, она не смогла отыскать свидетельств небрежного поведения или открытого пренебрежения безопасностью в политических или корыстных целях. Ошибки NASA, говорит она, были допущены в ходе обычной каждодневной деятельности. При оценке уже произошедших событий кажется очевидным, что холодная погода ухудшает эксплуатационные качества уплотнительных колец. Но в то время это не считалось само собой разумеющимся. Во время предыдущего полета шаттл запускался с еще более серьезными повреждениями колец, но при температуре 24 градуса выше нуля. А еще раньше, когда NASA планировало – но в конце концов отложило по иным соображениям – запуск шаттла при -5 С°, никто из Morton Thiokol и словом не обмолвился о потенциальной угрозе холода. Поэтому их возражения перед запуском «Челленджера» были восприняты NASA не как разумные доводы, а как каприз. Воэн подтверждает, что между руководителями и инженерами накануне запуска возникли разногласия, но подчеркивает, что для программы шаттлов подобные споры – дело обычное. И хотя частое повторение фраз «приемлемый риск» и «приемлемая коррозия» при обсуждении управления ракетными ускорителями вызвало недоумение президентской комиссии, Воэн показывает, что полеты с «приемлемым риском» были традиционным элементом культуры NASA. Перечень «приемлемых рисков» на космическом челноке занимает шесть томов. «Хотя коррозию [уплотнительных колец] как таковую никто предвидеть не мог, ее появление соответствует инженерным перспективным оценкам масштабных технических систем, – пишет Воэн. – Проблемы для NASA были нормой, а слова "отклонения от нормы" регулярно присутствовали в разговорах… Функционирование всей системы шаттлов основывалось на простой формуле: отклонения можно контролировать, но не устранить».

Управление по аэронавтике и исследованию космического пространства создало закрытую культуру, которая, по словам Воэн, «сделала отклонения обычной практикой», поэтому решения, воспринимаемые внешним миром как явно сомнительные, NASA рассматривало как разумные и здравые. Изображение этой закрытой культуры делает ее книгу пугающей: когда она описывает последовательность решений, приведших к запуску, – каждое из них столь же обыденно, как и череда сбоев на «Три-Майл-Айленд», – крайне трудно выделить тот конкретный момент, который можно было бы исправить в будущем. «Очевидно, что решение о запуске "Челленджера" принималось на основе существующих правил, – заключает Воэн. – Однако подходы, правила, процедуры и нормы, которые всегда оправдывали себя в прошлом, на этот раз не оправдали себя. В трагедии повинны не аморальные расчетливые руководители, а конформизм».

На эту проблему можно взглянуть и с другой стороны: с точки зрения того, как люди справляются с риском. Согласно одному из допущений, стоящему за современным ритуалом катастрофы, распознав и устранив риск, можно повысить надежность системы. На новых шаттлах уплотнительные кольца настолько лучше прежних, что шансы повторения катастрофы «Челленджера» значительно снизились, не так ли? Идея, казалось бы, настолько убедительная, что ставить ее под сомнение просто невозможно. Но именно так и поступила группа ученых, сформулировав теорию, известную как «теория компенсации риска». Следует отметить, что в научных кругах идут жаркие споры касательно того, насколько широко может и должна применяться эта теория. Но основная идея, блестяще изложенная канадским психологом Джеральдом Уайльдом в его книге «Целевой риск» (Target Risk), довольно проста: в определенных обстоятельствах изменения, призванные повысить безопасность системы или организации, ничего не дают. Почему? Потому что люди склонны компенсировать невысокий риск в одной сфере деятельности высоким риском в другой.

Возьмем, к примеру, результаты известного эксперимента, проведенного несколько лет назад в Германии. Часть такси в Мюнхене была оборудована антиблокировочной тормозной системой (ABC), современной технологической инновацией, значительно улучшающей процесс торможения, в особенности на скользкой дороге. Остальную часть таксопарка оставили без изменений. На протяжении трех лет за обеими группами машин, которые в остальном были абсолютно одинаковы, велось пристальное скрытое наблюдение. Можно было бы предположить, что улучшенная тормозная система поможет сделать вождение более безопасным. Однако результаты оказались прямо противоположными. Наличие в машинах ABC никоим образом не сказалось на коэффициенте аварийности таксистов; наоборот, водить они стали заметно хуже. Они начали ездить быстрее. Делали более крутые повороты. Не соблюдали рядность. Резче тормозили. Не держали дистанцию. Чаще создавали аварийные ситуации на дорогах. Другими словами, ABC не помогло снизить количество аварий, наоборот, водители пользовались дополнительным элементом безопасности, чтобы ездить быстрее и неосторожнее. Как сказали бы экономисты, они «обесценили» снижение степени риска, а не выгадали от него.

Компенсация риска не происходит постоянно и повсеместно. Зачастую (как в случае с ремнями безопасности) компенсаторное поведение лишь отчасти уравновешивает снижение риска, обеспечиваемое мерой безопасности. Но все-таки это достаточно серьезная проблема, заслуживающая внимания. Почему на специально размеченных переходах погибает больше пешеходов, чем на неразмеченных? Потому что они компенсируют «безопасные» условия перехода своей неосторожностью. Почему, по итогам одного исследования, появление специальных крышек с защитой от детей на флаконах с лекарствами повлекло за собой резкое увеличение числа смертельных детских отравлений? Потому что взрослые стали беспечнее и оставляли лекарства в доступных для детей местах.

Компенсация риска действует и в обратном направлении. В конце 1960-х годов Швеция перешла от левостороннего движения к правостороннему. Однако этот переход, вопреки прогнозам, не сопровождался повальным увеличением числа аварий. Люди компенсировали непривычность новых правил движения большей аккуратностью вождения. За 12 месяцев число дорожно-транспортных происшествий сократилось на 17 %, а потом постепенно вернулось к прежним показателям. Как полушутя-полусерьезно заметил Уайльд, странам, которые всерьез заинтересованы в безопасности на дорогах, рекомендуется регулярно переводить движение с одной стороны на другую.

Не нужно обладать богатым воображением, чтобы увидеть, насколько теория компенсации риска применима к NASA и космическому челноку. Ричард Фейнман – физик, лауреат Нобелевской премии, входивший в состав комиссии по расследованию взрыва «Челленджера», – сравнил процесс принятия решений в NASA с русской рулеткой. Когда после появления проблем с уплотни-тельными кольцами ничего не произошло, управление уверовало в то, что «риск для последующих полетов не столь уж высок», говорит Фейнман, и что «мы можем несколько понизить стандарты, поскольку в прошлый раз все обошлось». Однако устранение неполадок с уплотнительными кольцами не означает, что NASA больше не придется принимать решения относительно других деталей космических челноков. Описание комплектующих шаттла, причисленных NASA к таким же важным и потенциально опасным, как и уплотнительные кольца, занимает шесть томов. Вполне возможно, улучшенные кольца просто дадут управлению возможность сыграть в русскую рулетку с чем-нибудь другим.

Печальный вывод, но он не должен удивлять. Ведь правда заключается в том, что широко пропагандируемая забота о безопасности и строгое соблюдение ритуалов после катастрофы всегда прикрывали известное лицемерие. Нам определенно не нужен максимально безопасный мир. Принятое по всей стране ограничение скорости в 55 миль в час спасло, вероятно, больше жизней, чем любая другая правительственная инициатива последних 25 лет. Но тот факт, что в прошлом месяце Конгресс отменил этот закон, приведя минимум аргументов, доказывает: мы скорее будем обесценивать современные меры безопасности в виде ремней и воздушных подушек, чем использовать их себе во благо. То же самое относится и к усовершенствованиям последних лет в конструкции самолетов и в аэронавигационных системах. Вероятно, эти усовершенствования могут свести к минимуму риск авиакатастрофы, однако потребители хотят не этого. Они хотят, чтобы воздушное сообщение стало дешевле, надежнее и удобнее. Таким образом, усовершенствованные меры безопасности по крайней мере частично «нейтрализуются» полетами в плохих погодных условиях и интенсивным движением авиатранспорта.