Часть вторая. Побеждая сложность

4. Выходим из опасной зоны

«Ла-Ла Ленд»

I

Блеск. Гламур. Сложность системы. Ошибка.

Завершающие минуты 89-й церемонии вручения премий Американской киноакадемии. Актеры Уоррен Битти и Фэй Данауэй готовятся вручить премию в последней номинации. Битти открывает красный конверт, вынимает оттуда карточку и смотрит на нее. Он часто моргает. Брови у него ползут вверх, он снова заглядывает в конверт и что-то ищет в нем, но конверт пуст. Битти вновь смотрит на карточку, которую держит в руках.

«И вот премия Киноакадемии…» Актер задерживает взгляд на камерах на добрые три секунды. И снова запускает руку в конверт. «…За лучший фильм…» Битти смотрит на Данауэй, та хохочет: «Ты просто невозможен!»

Она думает, что это такой трюк, с помощью которого Битти придает моменту больше торжественности. Но это никакой не трюк. Уоррен вновь смотрит на карточку, еще раз моргает и показывает карточку Данауэй, как бы произнося: «Ты только посмотри на это». Актриса смотрит на карточку и восклицает: «Ла-Ла Ленд!» Аудитория взрывается бурными аплодисментами. Съемочная группа картины врывается на сцену, а продюсер Джордан Горовиц начинает свою речь: «Спасибо. Спасибо всем. Спасибо Академии. Спасибо…»

В это мгновение только два человека на свете знают, что произошла ошибка: Брайан Куллинан и Марта Руис. Они оба – партнеры в консалтингово-аудиторской компании PricewaterhouseCoopers (PwC). За неделю до церемонии они подсчитывали голоса киноакадемиков и вкладывали карточки с названиями фильмов и именами актеров-победителей по каждой номинации в конверты. В начале церемонии вручения Куллинан и Руис расположились за кулисами: один – слева, а другая – справа. В руках у них были одинаковые кожаные кейсы с буквами PwС и ярким логотипом премии «Оскар». В каждом портфеле находилось 24 конверта, по одному на каждую номинацию.

За несколько недель до вручения Куллинан и Руис так описывали в одном из блогов организацию церемонии:

– Если что-нибудь случится с конвертами с именами победителей, есть ли какая-то система страховки?

– Мы принимаем исключительные меры предосторожности! У нас есть два набора конвертов с результатами голосования в разных кейсах – по одному на каждого из нас. Утром в день проведения церемонии мы по отдельности прибываем на место. Ведь трафик в Лос-Анджелесе может быть непредсказуемым! Во время самой церемонии мы стоим за кулисами и передаем конверты вручающим награды. Мы также заучиваем наизусть имена и названия картин. Каждого. Победителя. В. Каждой. Категории. Списки не печатаются на компьютере и не пишутся от руки для того, чтобы не потерять их и избежать других нарушений мер безопасности.

Во время церемонии представители PwC передают конверты вручающим награды. Куллинан пояснил: «Когда мы запускаем руку в свои кейсы, мы должны быть уверены в том, что достаем нужный конверт. Это, конечно, не высшая математика, но, когда на сцене и за кулисами происходит так много событий, приходится быть очень внимательным».

Буквально за несколько минут до ошибочного объявления победителя в номинации «Лучший фильм» Руис передала конверт номинации «Лучшая женская роль» Леонардо ДиКаприо, который объявил, что этой награды удостоена Эмма Стоун за роль в кинокартине «Ла-Ла Ленд».

И тут Куллинан на секунду потерял концентрацию. Он отправил со своего смартфона в Twitter фотографию получившей награду Эммы Стоун и в этот же момент передал Битти конверт из своего кейса. Но это был не конверт с карточкой победителя в номинации «Лучший фильм». Это был его дубликат карточки «Лучшая женская роль», то есть дубликат конверта, который Руис передала ДиКаприо. Карточка внутри конверта выглядела примерно так.

Только оказавшись на сцене и открыв конверт, Битти понял, что что-то пошло не так. Он не знал, что ему предпринять. Он показал карточку Данауэй, чтобы заручиться ее поддержкой, однако она увидела на кусочке картона только одно – «Ла-Ла Ленд» – и неосторожно выпалила это название.

Пока продюсеры фильма произносили свои речи, в толпе на сцене появился представитель организаторов церемонии в наушниках. Затем туда же вышли и представители PwC. В их руках замелькали красные конверты. Через две с половиной минуты после начала благодарственных речей команды «Ла-Ла Ленд» продюсер Джордан Горовиц взял микрофон из рук очередного оратора: «Ребята, мне очень жаль, но здесь произошла ошибка. Премию за лучший фильм года получаете вы, команда кинокартины “Лунный свет”»… это не шутка». Горовиц показал в камеру карточку с названием победителя номинации «Лучший фильм»:

«Лунный свет. Лучший фильм».

На последовавшей за церемонией гламурной вечеринке репортер разыскал Шерил Бун Айзекс, президента Киноакадемии. Она сидела на белой софе и неотрывно смотрела в свой мобильный телефон. Репортер спросил Шерил, какие мысли посетили ее во время скандала на церемонии. «Ужас», – ответила она.

Я просто думала: «Что происходит, что происходит?» Я посмотрела на сцену и увидела, как на нее выходят представители PwC. И сказала себе: «О нет. Что, что, ЧТО? Что вообще могло…?» А потом я подумала: «Боже мой, как же так вышло? Как. Так. Вышло».

Хотя и для Академии, и для PwC это были очень неприятные моменты, в результате этого происшествия никто не умер. Это был весьма несущественный сбой системы. Однако он все же учит нас чему-то важному.

Как сказал Куллинан перед этим событием, передача конвертов знаменитостям для вручения награждаемым – это не высшая математика. Но сложности были. Имена победителей и названия победивших фильмов держались в секрете до самого момента их оглашения, что добавляло интригу – и сложность. А элитная публика и демонстрация церемонии по телевидению в прямом эфире делали все это мероприятие жестко связанным.

В системе имелись три значительно слабых места. Первое – номинации на конвертах трудно читались. Они напечатаны тонкими золотыми буквами на красном фоне, поэтому сложно было заметить, что Куллинан передал Битти конверт с именем лучшей исполнительницы женской роли вместо конверта с названием лучшего фильма. А на самих карточках номинация была напечатана в самом низу, причем мелким шрифтом. Имя победительницы в номинации «Лучшая женская роль» (Эммы Стоун) и название фильма («Ла-Ла Ленд») были набраны одинаково большими буквами. Когда Битти показал карточку Данауэй, она мельком взглянула на нее и увидела крупное название «Ла-Ла Ленд».

Второе – представители фирмы PricewaterhouseCoopers (PwC) выполняли неожиданно тяжелую работу. За кулисами царила суматоха, и, как впоследствии сказал Куллинан, «приходилось напрягаться, чтобы сохранить концентрацию». Одни награждавшие получали конверты из рук Руис, другие – из рук Куллинана. И вокруг было много отвлекающих моментов – среди них и охвативший Куллинана соблазн сразу выложить фотографию Эммы Стоун в Twitter.

Но самым интересным слабым местом была придуманная в PricewaterhouseCoopers система двух кейсов. Здесь просматривается некая логика: наличие двух экземпляров каждого конверта защищало PwC от возможных сбоев, которые они предвидели. Например, если один из аудиторов потеряет кейс или другой попадет в пробку на дороге. Однако это излишество, задуманное как мера безопасности, добавило во всю эту историю дополнительную сложность. Дубликаты конвертов создавали потенциал для неожиданных взаимодействий внутри системы. Они заставляли следить за бóльшим количеством вещей, за бóльшим количеством подвижных частей, за бóльшим количеством отвлекающих моментов – то есть за бóльшим количеством путей, по которым внутрь системы мог проникнуть сбой.

Чарльз Перроу написал однажды, что «системы безопасности – одни из главных источников катастрофических событий внутри сложных и жестко связанных систем». При этом он имел в виду атомные электростанции, химические предприятия и самолеты. Но с таким же успехом он мог бы сказать это и о церемонии вручения премии «Оскар». Если в ходе мероприятия не возникло бы такого количества «лишних» конвертов, этого досадного провала никогда бы не случилось.

Несмотря на предупреждения Перроу, сами по себе системы безопасности, безусловно, хорошее дело. Они предотвращают некоторые предсказуемые ошибки, поэтому возникает соблазн использовать как можно больше таких систем. Однако зачастую функции безопасности сами по себе становятся частями общей системы – и это добавляет ей сложности. А по мере возрастания сложности повышается и вероятность сбоев, возникающих с неожиданной стороны.

Излишества функций безопасности – не единственная причина, по которой случаются неприятные происшествия. Исследование систем экстренного вызова персонала в пяти реанимационных отделениях показало, что только за месяц было зафиксировано 2,5 млн сигналов тревоги, 400 000 из которых сопровождались каким-то звуком. Это один сигнал тревоги каждую секунду и один звуковой сигнал каждые восемь минут. Около 90 % из них оказались ложными. Это как в старой сказке: кричите «Волк!» каждые восемь минут и скоро вас просто перестанут слушать. Что еще хуже: в тот момент, когда происходит что-то действительно серьезное, постоянные сигналы тревоги не дают отличить те, которые действительно важны, от тех, что имеют дежурный характер.

Это парадокс: дополнительные функции безопасности снижают общий ее уровень. Мало кто так отчетливо это понимает, как Боб Уотчер, врач и автор книг из Калифорнийского университета в Сан-Франциско. В своей книге «Цифровой доктор» (The Digital Doctor) Уотчер вспоминает случай с Пабло Гарсия, подростком, который чуть не умер, когда медсестра случайно дала ему гигантскую дозу антибиотиков.

В 2012 году в университетском госпитале внедрили новую компьютерную систему. Она управляла в том числе и роботом-фармацевтом, который занимал целую комнату и при помощи манипуляторов комплектовал лекарства для больных, набирая их из специальных ящичков. Врачи и медсестры надеялись, что новые технологии устранят человеческие ошибки и повысят безопасность пациентов. «Компьютеризированный процесс заказа лекарств сделал рукописные назначения врачей таким же достоянием прошлого, как царапины на грампластинках, – писал Уотчер. – Робот-фармацевт мог гарантировать, что доставалось нужное лекарство, а его доза отмерялась с ювелирной точностью. Штрихкод на упаковке представлял собой еще один элемент безопасности, поскольку в том случае, если сестра взяла неправильное лекарство или ошибочно принесла его не тому больному, подавался сигнал».

Это замечательные функции безопасности, и они действительно устранили много обычных ошибок. Но они же добавили системе и сложности. А в случае с Пабло Гарсия проблема началась с того, что интерфейс системы заказа лекарств, который был разработан так, чтобы избежать канцелярских ошибок, ввел в заблуждение молодого врача-педиатра. Она была уверена, что заказала только одну таблетку 160 мг. Однако в заказе она указала 160 мг/кг, поэтому система автоматически помножила его на вес мальчика, который составлял 38,6 кг. Таким образом, врач заказала 38,5 таблетки.

Сразу же включилась система предупреждения, и на экране компьютера высветился сигнал тревоги о передозировке. Однако доктор отключила его, поскольку ненужные предупредительные сигналы появлялись на экране монитора постоянно. Фармацевт, который проверял заказ (разумеется, в электронном виде), тоже пропустил ошибку. Робот стоимостью в миллион долларов с радостью упаковал пилюли. И хотя медсестра, пришедшая к Гарсия, и сомневалась по поводу такой большой дозы, штрихкод – еще одна ступень безопасности системы – показал ей, что она находится в нужной палате у нужного пациента. Это развеяло ее сомнения, и она дала мальчику лекарство – все 38 с половиной таблетки.

Колокольчики, свистки и дополнительные функции безопасности устраняют некоторые ошибки. Но в то же время они повышают сложность систем и могут стать причиной серьезных происшествий и аварий. Однако, когда мы хотим оградить себя от них – даже от тех происшествий, виновницей которых была высокая сложность систем, – мы испытываем соблазн добавить в них еще больше функций безопасности. Во время обсуждения случая с передозировкой лекарств один из коллег Уотчера задумчиво произнес: «Думаю, нам надо ввести здесь еще один тревожный сигнал». Уотчер почти закричал в ответ: «Проблема как раз и состоит в том, что у нас слишком много сигналов тревоги! Добавление еще одного только ухудшит дело!»

И он прав. Кажущееся очевидным решение – наслоение все большего количества функций безопасности – не работает. И что нам с этим делать? Как нам заставить наши системы работать лучше?

Первый разумный шаг – это их диагностирование. Матрица Перроу с указанием сложности и жесткости связей в системах позволяет нам оценить их уязвимость с точки зрения противодействия чрезвычайным происшествиям или непредвиденным противоправным деяниям. «Матрица демонстрирует, где в вашем проекте или бизнесе следует ожидать неприятных сюрпризов», – говорит Гэри Миллер, инженер-атомщик, переквалифицировавшийся в консультанта по менеджменту. Он стал кем-то наподобие проповедника концепции Перроу в своей компании.

Миллер привел пример ретейлерской сети, которая намеревается открыть новые магазины. «У вас очень жесткий план их запуска и нет никакого “зазора” на ошибку? Тогда это жестко соединенная система. У вас также сложная система складов, за которой трудно следить прямо? Это сложность системы. Если в вашем проекте присутствуют оба этих компонента, вы должны знать, что на каком-то этапе вас может постигнуть “дурацкая неудача”. Поэтому необходимо изменить ситуацию еще до начала реализации проекта».

По утверждению Миллера, важно то, что матрица Перроу помогает нам даже в том случае, когда не может предсказать конкретно, как будет выглядеть эта наша «дурацкая неудача». Простое осознание того, что часть нашей системы – или организации, или проекта – уязвима, помогает подумать над необходимостью понизить уровень сложности и жесткости связей нашей системы, а также над тем, где сосредоточить усилия. Это немного похоже на ремни безопасности. Причина того, что мы пристегиваемся ими в своем автомобиле, состоит не в том, что мы представляем себе детали грядущего ДТП или травмы, которые получим. Мы используем ремни безопасности потому, что осознаем, что с нами может случиться что-то непредвиденное. Мы начинаем готовить торжественный праздничный обед заранее не потому, что знаем, что именно пойдет не так, а потому, что понимаем: что-то может пойти не так. «Необязательно предсказывать событие, чтобы предотвратить его, – говорил нам Миллер. – Но вы должны подходить к сложности и жесткости соединений в системах как к важнейшим переменным всегда, когда что-либо планируете или строите».

Матрица Перроу показывает, что мы приближаемся к опасной зоне. И только от нас зависит, поменяем ли мы свой курс или нет. В оставшейся части этой главы мы исследуем вопрос о том, как именно это делать. Мы разберем примеры, когда людям удавалось сделать системы – самолет, альпинистскую экспедицию или даже хлебопекарню – менее сложными и жестко связанными.