II

«Самолет Airbus A330 невероятно красив, от носа до хвоста, – пишет пилот KLM Тийс Йонгсма в своем блоге, и его слова звучат как признание в любви к этому авиалайнеру. – Самолет очень высокий. На земле его нос немного наклонен вперед, как будто он готов к спринтерскому рывку в любую секунду. В полете нос немного поднимается, что придает авиалайнеру дополнительную элегантность… Это самая красивая машина из тех, на которых мне приходилось летать».

Кабина пилотов в А330 – это тоже произведение искусства. У нее сглаженный обтекаемый дизайн с небольшим количеством экранов, хорошая эргономика приборов и проработанная цветовая гамма различных датчиков и сигналов на панели управления. «Я еще не упоминал, что дизайн многих приборов в кабине авиалайнера разрабатывал Porsche? – пишет Йонгсма. – Неудивительно, что их форма, цвет и подсветка такие красивые».

Еще в А330 очень простая система управления. Вместо рулевой колонки – обычного рулевого устройства перед пилотом – здесь по бокам расположены только небольшие рычажки управления наподобие джойстиков, очень похожих на те, что используются на видеоприставках (см. изображение кабины Airbus A330 на следующей странице).

Эти джойстики соединены с компьютерной системой самолета. Поэтому, когда пилоту нужно дать системе команду – например, поворот вправо на 15^º, – он просто соответствующим образом манипулирует джойстиком, и авиалайнер точно ее исполняет. Джойстики в кабине А330 занимают мало места и не закрывают обзор всей панели управления. «Поскольку в кабине А330 нет штурвалов, перед пилотами могут выдвигаться столики, которые легко убрать под панель управления, – пишет Йонгсма, выкладывая фотографию своего столика с аккуратно сервированным на нем обедом. – В компании KLM нет других авиалайнеров, в которых пилоты могут работать и есть за столом!»

Теперь посмотрите на кабину самолета Boeing 737.

Здесь нет обтекаемых джойстиков, не говоря уже о столиках для пилотов. Перед каждым из них – большой штурвал, имеющий форму буквы «W», закрепленный на рулевой колонке высотой около метра. Летчики управляют самолетом, поворачивая штурвал влево или вправо. Чтобы опустить нос авиалайнера, они отжимают колонку вперед, а чтобы поднять – тянут ее на себя. При необходимости они тянут до упора, поэтому в их креслах посередине есть специальная выемка. По сравнению с продвинутыми инструментами управления в А330, эти рулевые колонки в Boeing 737 кажутся слишком громоздкими и неудобными.

«Когда мы летаем на Boeing 737, рулевые колонки располагаются прямо перед нами – и двигаются они обе, даже если управляет кто-то один из пилотов, – говорит Бен Берман, командир воздушного судна и специалист по расследованию авиационных происшествий, с которым вы встречались в прологе. – Обе рулевые колонки технически связаны друг с другом. Поэтому, если командир поворачивает свой штурвал влево, то и штурвал второго пилота тоже поворачивается влево. Если я сильно тяну на себя, то рулевая колонка второго пилота тоже движется и может даже ударить его по коленям или упереться ему в живот».

А про удобный раскладной обеденный столик в кабине Boeing 737 можно забыть. «Штурвал рулевой колонки настолько велик, что сильно мешает пилотам во время еды, – говорит Берман. – Из-за этого пища все время попадает на рубашку и галстук!»

Во многих отношениях дизайн кабины самолета А330 кажется более совершенным, чем у Boeing 737. Он отличается элегантностью и хорошей эргономикой вместо объемных деталей и неудобств: ваш обед аккуратно стоит на столике, вместо того чтобы постоянно пачкать вам рубашку и галстук. Но если присмотреться, то можно увидеть, что в старомодном штурвале и неудобной рулевой колонке Boeing 737 есть кое-что замечательное.

В 2009 году самолет А330 авиакомпании Air France, рейс 447, на борту которого находилось 228 человек, рухнул в Атлантический океан. Не выжил никто. Спустя пять лет рейс компании AirAsia 8501, который выполнял самолет А320 с такой же системой управления, как и у А330, потерпел крушение в водах Яванского моря, оборвав жизни всех 155 пассажиров и семи членов экипажа.

И в одном, и во втором случаях сыграли свою роль те самые небольшие джойстики системы управления. В конечном счете оба авиалайнера потерпели крушение, попав в аэродинамический срыв – ситуацию, когда нос корабля задран слишком высоко, поток обтекающего крылья воздуха резко уменьшается и в результате падает их подъемная сила. В такой ситуации есть простое решение: немедленно опустить нос воздушного судна! Но в обоих случаях вторые пилоты в панике ошибочно двигали джойстики назад, поднимая нос авиалайнера еще выше. И в обоих случаях командир воздушного судна не успевал заметить фатальную ошибку своего второго пилота.

«В самолетах А330 боковые джойстики двигаются независимо друг от друга, каждый из них расположен в тени, за телом пилота. Так что никто из летчиков не знает, что в данный момент предпринимает напарник, – говорит капитан Берман. – Даже если вы как-то умудритесь сфокусировать взгляд на джойстике вашего коллеги, нужно поймать именно тот момент, когда он выполняет какие-то действия, – иначе вы ничего не поймете».

Такого не может произойти в кабине, в которой старомодные штурвальные колонки двигаются синхронно. Если ваш напарник тянет на себя эту громоздкую конструкцию, то вы ни за что не пропустите такое движение. Оно происходит буквально перед глазами, а колонка может даже упереться вам в живот. А это понижает сложность ситуации, потому что вы отчетливо видите, что происходит в кабине.

Для того чтобы оценить значение наглядности ситуации, иногда достаточно простого обладания автомобилем. Актер Антон Ельчин, известный по роли в научно-фантастическом фильме «Звездный путь», погиб, когда вышел из своего двухтонного Jeep Grand Cherokee. Машина покатилась по подъездной дорожке к дому, и актер оказался зажатым между бампером и кирпичной колонной. Трагедия произошла из-за особенностей конструкции трансмиссии. В автомобилях с обычной ручной коробкой передач вы можете чувствовать и видеть положение рычага во время переключения. Но в том Grand Cherokee, который принадлежал Ельчину, водитель при переключении передач просто двигал небольшой рычажок автоматической красивой коробки Monostable вперед и назад. При этом каждый раз рычажок возвращался в нейтральное положение. Слабая ответная реакция автоматической коробки сбивала с толку сотни водителей, которые думали, что поставили рычаг в положение «парковка», тогда как на самом деле коробка была включена на «нейтралку» или даже «задний ход».

Конечно, элегантный дизайн имеет свою ценность. На красивые вещи приятно смотреть или играть с ними. Однако чрезвычайно важно иметь возможность понять состояние системы, лишь бросив на нее взгляд. Простота конструкции не дает нам совершить неправильное действие и помогает осознать, что мы совершили ошибку. Наглядность снижает сложность системы и позволяет найти выход из опасной зоны.

Это относится к любым системам, а не только к тем, что имеют материальный вид. Помните рыночную переоценку, которая скрывала истинные намерения компании Enron? Она загнала организацию в черный ящик. А доверяться черному ящику, каким бы красивым и блестящим он ни был, – значит открыть путь к катастрофе.

Рассмотреть все детали системы изнутри не всегда возможно, но это не единственный способ снижения ее сложности. Представьте себе альпинистскую экспедицию, отправляющуюся на Эверест. Ее участников ожидают многочисленные риски, начиная от трещин в ледниках и камнепадов и заканчивая снежными лавинами и неожиданными переменами погоды. Высотная болезнь приводит к нарушениям зрения, а постоянное воздействие ультрафиолета вызывает снежную слепоту. А когда в горах начинается метель, то пропадает всякая видимость. Горы – это закрытая непрозрачная система, и мы мало что можем с этим поделать.

И все же есть и другие способы уменьшения сложности систем. В прошлом несколько экспедиций на Эверест пострадали из-за логистических проблем. Были задержки авиарейсов, проблемы с таможней на границе, сложности с поставкой продуктов и оборудования, денежные споры с местными носильщиками, а также различные респираторные и вирусные заболевания, которые поражали альпинистов на пути в базовый лагерь. Многие из этих проблем проявились задолго до того, как началось само восхождение, и тогда они казались небольшими.

Однако эти небольшие сбои вызывали задержки сроков, подвергали стрессу лидеров команд, отнимали время у процесса планирования и мешали альпинистам адаптироваться к условиям высокогорья. А потом, во время последнего рывка к вершине, эти неудачи начинали взаимодействовать с другими проблемами. Отвлекаясь на это, руководители групп и обессиленные альпинисты не обращали внимания на очевидные тревожные знаки и совершали ошибки, которые в обычных условиях они не совершили бы. А если на Эвересте серьезно ухудшается погода, то у измученной команды альпинистов, которые выбиваются из графика, остается мало шансов.

Как только мы осознаем, что настоящим убийцей становятся не горы, а взаимодействие между многочисленными мелкими сбоями, мы можем найти решение: устранить как можно больше логистических проблем. Именно это и делают лучшие альпинистские компании. Они подходят к скучным логистическим проблемам как к важнейшим факторам безопасности. Они уделяют внимание самым повседневным аспектам подготовки и проведения экспедиции, от привлечения специалистов-логистов, которые снимают это бремя с плеч лидеров команд, до обустройства базовых лагерей. Даже приготовление пищи имеет большое значение. Как написано в рекламной брошюре одной альпинистской логистической компании: «Наше внимание к пище и процессу ее приготовления на Эвересте и других горных вершинах мира позволило обеспечить очень низкий уровень гастроэнтерологических проблем у членов экспедиций».

Альпинисты понимают, что фактор риска возникает из сложного сплетения самых незначительных сбоев. Улучшения в логистике не могут превратить восхождение на Эверест в совершенно безопасное предприятие, но они делают экспедиции менее сложными и предупреждают возникновение целого ряда небольших неудач, которые при определенных условиях могут вырасти в настоящую беду.

Оказывается, те решения, которые применимы на Эвересте, могут помочь нам справиться с повседневными ситуациями, в которых ставки не так высоки, – например, с организацией торжественного обеда на День благодарения. Ведь проблема здесь такая же – стечение небольших сбоев может привести к большой неудаче. Попытки «разорваться» между приготовлением обеда и другими задачами, от мытья санузлов до сервировки стола, добавляют в работу стресс и отвлекающие факторы. Излишне торопливые хозяева часто совершают «дурацкие ошибки», как та читательница журнала Bon Appétit, которая сделала мороженое с сиропом от кашля, перепутав его с ванильным.

Вместо того чтобы сосредоточиваться исключительно на самом процессе приготовления блюд – кулинарного эквивалента финишного рывка альпинистов к вершине, – мы можем взглянуть на все событие как на систему. Точно так же, как это делают компании по организации горных восхождений, мы можем позаботиться о мелких проблемах еще до того, как они станут серьезными отвлекающими факторами. За день до приготовления обеда можно почистить лужайку и санузлы. Мы также можем заранее проверить, есть ли все необходимое для готовки – и не только очевидные продукты, но и соль, оливковое масло, кулинарная фольга и т. п. Глядя на эти небольшие проблемы как на ключ к успешному обеденному приему, мы можем предотвратить его превращение в катастрофу.

В других системах люди обнаружили способ снизить сложность за счет устранения излишних предупреждающих сигналов. Вспомните кабину самолета Boeing 737 и взгляните на список ниже. Это список чрезвычайных ситуаций, которые могут оказать серьезный негативный эффект на большой многомоторный самолет. Какие из них, по вашему мнению, должны включать сигнал повышенной опасности в кабине пилотов?

• Возгорание двигателя

• Начало снижения для посадки при невыпущенном шасси

• Надвигающийся аэродинамический срыв (срыв потока)

• Остановка работы двигателя

Все они звучат очень угрожающе, не так ли?

Но только одна из этих чрезвычайных ситуаций включает максимальный уровень тревожной сигнализации в кабине современных авиалайнеров Boeing. Когда самолет оказывается на грани аэродинамического срыва, в кабине пилотов загораются красные огни, а на экране пульта управления появляется красная предупреждающая надпись. Штурвальные колонки сильно трясутся, издавая при этом громкий звук. Пилоты видят, слышат и ощущают предупреждения.

Помимо срыва потока, никакие другие ЧП не активируют все эти предупреждения – даже возгорание двигателя. Разумеется, такой пожар – очень серьезное происшествие, однако он, скорее всего, не сразу повлияет на полет воздушного судна. Поэтому в этих случаях тоже загораются красные индикаторы на панели, высвечивается красное текстовое предупреждение и громко звонят тревожные колокольчики. Однако нет вибрации штурвальных колонок.

Существуют и более низкие уровни предупреждений, «рекомендательные», когда на экранах мониторов высвечиваются надписи янтарного цвета, но больше ничего не происходит, даже не зажигаются сигнальные лампочки. Низкий уровень гидравлической жидкости в одной из гидравлических систем подпадает под эту категорию. Пилотам необходимо знать об этом событии, потому что они должны следить за количеством жидкости в гидравлической системе. Но в данном случае ситуация не является срочной. Если же жидкость вытекает из системы полностью, летчики получат тревожные сигналы более высокого уровня. На панели высветится больше желтых огней, и будут раздаваться предупреждающие звуковые сигналы.

Принцип здесь прост: не отвлекайте людей, усложняя систему предупреждения больше необходимого – впрочем, как и любую систему. Убирайте то, что не нужно, и держите в приоритете то, что считаете важным. Это называется «иерархия сигналов тревоги». В прошлом, по мере того как самолеты становились все сложнее, предупреждающие лампочки загорались по всей кабине, а звуковые сигналы работали почти без перерывов. Благодаря иерархии сигналов тревоги большинство полетов в наше время проходит вообще без их срабатывания, поэтому вероятность того, что пилоты будут завалены ненужными предупреждениями, незначительна.

Неудивительно, что такой подход начинают использовать и в других сферах жизни. «Мы создали специальную комиссию для того, чтобы пересмотреть всю нашу систему предупреждений и тревожных сигналов, удаляя их один за другим, – пишет Боб Уотчер о создании иерархии предупреждений в его госпитале. – Это тяжкий труд, некий цифровой аналог прополки садового участка для избавления от сорняков».

Конечно, иногда невозможно снизить сложность наших систем – мы не всегда способны сделать их понятнее, избавить от небольших сбоев и убрать излишние элементы безопасности. Но даже в этих случаях мы можем попытаться создать менее жесткую связь между элементами.

Гэри Миллер, консультант по вопросам управления, с которым вы встречались ранее в этой главе, однажды работал над проектом по оживлению бизнеса небольшой сети кафе-пекарен. Владельцы планировали открыть несколько новых заведений, одновременно обновив меню и интерьеры в уже существующих.

«Это была просто пекарня – и она была так же далека от АЭС Three Mile Island, как от Луны, – усмехается Миллер. – Но в каких-то аспектах, если подумать, отличий было не так уж и много».

Он посчитал, что план обновления сети получился слишком сложным и жестко связанным. Новое меню было длинным и непонятным. Оно подразумевало наличие обширной сети поставщиков. «У них были эти запутанные контракты с новыми поставщиками, – рассказывал Миллер. – Все: хлеб, супы, соусы, фрукты, напитки – поступало из разных мест, и всем этим потоком трудно было управлять. Даже дизайн новых кафе был очень сложным». К тому же сроки реализации плана были крайне напряженными. Владельцы хотели внедрить изменения одновременно во всех кафе – и в уже работающих, и во вновь открываемых. «Зазора» для ошибки было мало.

Миллер попытался убедить собственников сети уменьшить ее сложность как системы: сократить меню и цепочку снабжения, а также упростить новый дизайн заведений. Но владельцы на уступки не шли. Они уже подписали бóльшую часть необходимых контрактов, и им нравилось новое меню и дизайн интерьера. Тогда Миллер попробовал зайти с другого бока. «Я убедил их немного “притормозить”, установить менее амбициозные сроки и не заниматься одновременно всеми точками. Это потребовало определенного времени, но в конце концов они согласились».

Разумеется, с учетом сложности проекта модернизация сети не могла пройти идеально. Но, поскольку теперь в плане имелся определенный «люфт», компания смогла справиться с проблемами. «Да, несколько недель выдались трудными, – вспоминает Миллер, – но это же была не катастрофа».

В этой главе мы увидели, что существуют пути упрощения наших систем, придания им большей ясности и создания в них определенного «зазора». Однако у таких подходов есть свои пределы. Авиация всегда будет содержать элементы сложности и жесткой связанности, равно как и медицина, и глубоководное бурение, и финансы. Скорее всего, вы найдете много доводов в пользу того, что это применимо и к вашей сфере деятельности, и к вашей личной жизни.

Сложность и жесткость связей в системах имеют и свои положительные стороны. Сеть кафе-пекарен, с которой работал Гэри Миллер, в итоге выиграла от более полного меню, ведь оно предоставляло клиентам возможность большего выбора. Когда компании оптимизируют цепочки поставщиков, чтобы не сидеть без дела при забитых прилавках, это экономит деньги. Но это же повышает жесткость связей в системе. Большинство наиболее полезных технологий, определяющих качество жизни, одновременно и сложны, и жестко связанны. Из опасной зоны нет легкого выхода.

Хорошо, что можно быть умнее, работая, думая и живя в этом новом мире. Хотя принципиально изменить многие системы мы не можем, в наших силах изменить то, каким образом мы ориентируемся внутри их. В следующих главах мы рассмотрим вопрос о том, как принимать лучшие решения, сталкиваясь со сложностью систем; как научиться воспринимать предупреждающие знаки, чтобы увидеть, где в наших системах зреет беда; и как работать с другими людьми, чтобы предотвратить катастрофы в опасной зоне.