Принцип «черного ящика». Как превратить неудачи в успех и снизить риск непоправимых ошибок

Запасы топлива таяли с каждой секундой. Полет в зоне ожидания превратился в потенциальную катастрофу не только для пассажиров, но и для жителей южных пригородов Портленда. 90-тонный самолет кружил над городом, и топливо в нем заканчивалось.

Второй пилот и бортинженер не могли понять, почему командир не направляется прямо в аэропорт. Главной опасностью была теперь нехватка топлива. Шасси уже не играли особой роли. Но командир представлял собой власть. Он был непререкаемым авторитетом. За ним были опыт и старшинство. Другие члены экипажа обращались к нему «сэр».

В 18:06 уровень топлива понизился настолько, что в четвертом двигателе произошел срыв пламени. «Я думаю, мы потеряли номер четыре…» Полминуты спустя второй пилот повторяет предупреждение: «Мы теряем двигатель, дружище».

Но и теперь командир не замечал того, что надвигается катастрофа. Он явно не понимал, сколько времени прошло. «Почему?» – спросил он, видимо не доверяя сообщению об остановке двигателя. Последовал выразительный ответ: «Топливо».

United Airlines 173 вполне мог совершить посадку. Как было установлено позднее, шасси и выдвинулись, и зафиксировались. И даже если бы это было не так, опытный пилот мог посадить самолет, не рискуя ничьей жизнью. Ночь была ясная, и, когда была отменена запланированная посадка, до аэропорта было рукой подать.

Но теперь, к ужасу экипажа, самолет летел в 13 км от взлетно-посадочной полосы над огромным городом, а топливо подходило к концу.

Было слишком поздно. Надежда исчезла, когда стали останавливаться двигатели. Самолет терял высоту со скоростью один километр в минуту, и добраться до аэропорта было нереально.

Макбрум пристально вглядывался в ландшафт в отчаянной попытке найти поле или открытую площадку среди сплошной массы жилых домов, над которыми летел самолет. Даже сейчас он не мог понять, что же произошло. Куда испарилось топливо? Куда делось время?

Последние мгновения записи говорят об отчаянии, царившем в кабине, пока самолет летел вниз на пригород Портленда:

18:13:38 Командир. Они все встали. [То есть во всех двигателях произошел срыв пламени.]

18:13:41 Командир. До Траутдейла [другой аэропорт Портленда] не дотянем.

18:13:43 Второй пилот. Мы никуда не дотянем.

18:13:46 Командир. О’кей, объявляй мэйдэй. [Сигнал бедствия.]

18:13:50 Второй пилот – Башне. Башня Портленд, United один семьдесят три, тяжелый мэйдэй, у нас… срыв пламени во всех двигателях, мы падаем, до аэропорта нам не дотянуть.

18:13:58 Башня. United один…

18:14:35 [Столкновение с высоковольтными линиями.]

(конец записи)

Я выбрал катастрофу United Airlines 173 как показательную по двум причинам. Во-первых, она стала водоразделом в истории безопасности полетов. Это устоявшаяся точка зрения. Во-вторых, у нее есть дополнительное значение: она удивительным образом похожа на трагедию Илэйн Бромили. Несмотря на то что одна трагедия разворачивалась в небесах, а вторая – в операционной, у них одна и та же базовая структура.

Даже при поверхностном изучении сходство поражает. Как командир Макбрум зациклился на проблеме шасси, так и доктор Андертон зациклился на доступе в дыхательные пути через рот. Как Макбрум напрочь позабыл об уменьшавшемся запасе топлива, так и врачи, занимавшиеся Илэйн Бромили, совсем забыли о кислородном голодании. Пока Макбрум пытался решить проблему с шасси и врачи лихорадочно старались ввести трахеальную трубку в дыхательные пути, настоящая катастрофа оставалась почти незамеченной.

Как бортинженер Менденхолл предупреждал командира, но не получил ответа, так и медсестра Джейн пыталась достучаться до доктора Андертона. Оба всячески намекали на положение дел и мучились, размышляя, как бы выразить опасения более внятно, но испугались и не стали досаждать начальству. Давление вышестоящего авторитета уничтожило эффективную командную работу.

Для нас, однако, важно не столько сходство между двумя случаями, сколько разные реакции на них. Мы уже видели, что в здравоохранении господствует культура замалчивания. Происшествия описываются как «редчайшие случаи» и «иногда такое бывает». Врачи говорят: «Мы сделали все, что от нас зависело». Такая реакция на неудачу в сегодняшнем мире – абсолютная норма.

В авиации дела обстоят совсем по-другому: в эту систему встроен принцип «учимся на ошибках».

На всех самолетах должны быть два «черных ящика», один из которых фиксирует параметры полета и сигналы, поступающие на все находящиеся на борту электронные системы. Второй записывает переговоры в кабине экипажа, позволяя понять, о чем думали пилоты непосредственно перед катастрофой. Вместо того чтобы скрыть неудачу или пытаться ее забыть, авиация собирает о неудаче подробную информацию.

После катастрофы следователи, которые не зависят от авиакомпаний, профсоюзов пилотов и регуляторов авиаперевозок, получают карт-бланш на изучение обломков, допросы и поиск улик. Ошибки не клеймятся позором, на них смотрят как на учебный материал. Заинтересованные стороны всячески сотрудничают со следствием, так как улики, собранные экспертами по расследованию причин катастроф, не принимаются судом. Потому вероятность полного раскрытия информации растет.

После расследования публикуется отчет, доступный каждому. Авиакомпании несут юридическую ответственность за выполнение его рекомендаций. Доступ к данным есть у всех пилотов в мире. Учиться на ошибках может каждый пилот, а не отдельный экипаж, отдельная авиафирма или отдельная страна. Скорость обучения чрезвычайно высока. Как говорила Элеонора Рузвельт: «Учись на чужих ошибках. Ты не проживешь столько, чтобы совершить их все самому».

Но учатся пилоты далеко не только на катастрофах; «мелкие» ошибки тоже становятся материалом для изучения и обучения. Когда пилоты избегают столкновения с другим самолетом или летят не на той высоте, они составляют рапорт. Если он подается в течение 10 дней, пилоты освобождаются от ответственности. Многие самолеты оснащены информационными системами, которые автоматически посылают сообщения о превышении заданных параметров. Эти сообщения также анонимны и рассматриваются вместе с другими отчетами[6 - Для авиакомпаний жизненно важно осознавать и мелкие ошибки. «К большинству крупных неудач приводит много причин, – пишет Эми Эдмондсон, профессор Гарвардской школы бизнеса, – и часть из них является следствием системы организации… Мелкие неудачи – сигналы раннего предупреждения, играющие ключевую роль в предотвращении будущих катастроф».].

Например, в 2005 г. были поданы один за другим несколько рапортов, предупреждавших о проблеме подлета к аэропорту в Лексингтоне, штат Кентукки. Сразу за границей аэропорта местные власти возвели на пустом участке большую стену с росписью, чтобы как-то оживить этот участок. На стену поставили прожектора, освещавшие ее по ночам.

Эти прожектора играли дурную шутку с восприятием пилотов: те принимали свечение на стене за огни посадочной полосы и начинали снижаться слишком рано. К счастью, ни один самолет не разбился – анонимные рапорты выявили потенциальную проблему перед тем, как она смогла кого-то убить. Шон Пручницки, эксперт по безопасности полетов, посетивший собрание, на котором разбирались жалобы пилотов, сказал мне: «За неделю этих рапортов набралась целая гора. Мы сразу поняли, что столкнулись с большой проблемой и что нужно действовать».

Через несколько минут все экипажи, которым предстояло приземлиться в Лексингтоне, получили электронное письмо с предупреждением: при приближении к аэропорту ваше внимание может отвлечь стена. Через пару дней стену с прожекторами убрали (это случилось бы куда быстрее, если бы участок находился в юрисдикции аэропорта). Катастрофу предотвратили прежде, чем она произошла.

Сегодня многие ведущие авиалинии идут еще дальше, внедряя отслеживание в реальном времени десятков тысяч параметров, таких как отклонение от высоты и чрезмерный крен, и постоянно сравнивая эти параметры с идеальными, чтобы распознать данные, свидетельствующие об опасности. Согласно отчету Королевского авиационного общества, «значительное улучшение безопасности полетов – наиважнейшая из задач» [32]. В настоящее время необходимо увеличить объем данных, поступающих в реальном времени, до такой степени, чтобы «черные ящики» стали лишними. Вся информация должна поступать в центральную базу данных немедленно.

Авиация, таким образом, относится к неудачам серьезно. Эксперты тщательно собирают любые данные, которые могут показать, что какая-либо процедура несовершенна, что дизайн кабины экипажа неадекватен, что пилоты не получают необходимых навыков. Эти данные используются, чтобы сделать авиацию еще более безопасной. Отдельные люди не боятся признавать свои ошибки, потому что осознают их ценность.

2

Как система работала в случае с рейсом United Airlines 173? Через считаные минуты после столкновения самолета с землей Национальный комитет по безопасности на транспорте собрал команду следователей, в которую вошли психолог Алан Дил и опытный следователь Деннис Гросси. На следующее утро команда прибыла в пригород Портленда, чтобы собрать улики и свидетельства.

Надо отдать должное выдающемуся профессионализму Макбрума: он контролировал полет до последнего. Во время падения самолета командир высмотрел промежуток между домами, выглядевший как открытое пространство, возможно поле, и решил совершить посадку там. Когда самолет приблизился к промежутку, стало ясно, что это пригородный лесной массив. Командир попытался сманеврировать и проскочить между деревьями, самолет врезался в одно из них, протаранил дом, перелетел через дорогу и замер на крыше другого дома.

Первый дом был заброшенным. Обломки левого крыла самолета нашли потом в другой части пригорода. Левую нижнюю часть фюзеляжа между четвертым и шестым рядами пассажирских сидений ниже уровня окон оторвало полностью. Каким-то чудом самолет не убил никого на земле; погибли восемь пассажиров и два члена экипажа. Одним был бортинженер Менденхолл, тщетно пытавшийся предупредить командира экипажа об уменьшающемся запасе топлива. Командир Макбрум выжил, отделавшись переломами ноги, плеча и ребер.

Собирая улики катастрофы United Airlines 173, следователи смогли определить ее модель. Они не только исследовали обломки, найденные в Портленде, но и сравнили произошедшее с другими авариями. Годом ранее еще один DC-8 разбился почти при тех же обстоятельствах. Самолет, летевший из Чикаго в Сан-Франциско, ночью перешел на полет в зоне ожидания из-за проблем с шасси, до последнего пытался эту проблему решить и упал в горах. Погибли все, кто находился на борту [33].

За несколько лет до того похожая судьба постигла рейс Eastern Airlines 401, когда тот шел на посадку в международном аэропорту Майами. В кабине пилотов не загорелась одна из лампочек, и экипаж решил, что выпущенные шасси не зафиксировались в нижнем положении. Пока пилоты пытались понять, что делать (впоследствии оказалось, что лампочка попросту перегорела), самолет терял высоту; экипаж не обращал на это внимания, несмотря на сигналы систем безопасности. Самолет упал в национальном парке Эверглейдс, жертвами стал 101 человек [34].

Во всех этих случаях, указали следователи, экипажи теряли чувство времени. Оказалось, что внимание – ограниченный ресурс: сосредоточившись на чем-то одном, ты перестаешь следить за всем остальным.

Данный эффект подтверждается экспериментом, в ходе которого студентам даются различные задания. Одно из них простое: прочесть текст вслух. Другое – посложнее: подобрать определения трудным понятиям. Когда студенты выполняют эти задания, их спрашивают, сколько, по их ощущению, прошло времени. Те, кто выполнял простое задание, более точны в оценках, студенты, имевшие дело с более сложным заданием, полагают, что времени прошло куда меньше, чем на самом деле, причем разница может доходить до 40 %. Недаром говорят «время пролетело».

Вспомним теперь о Макбруме. Его задача была много сложнее, чем подобрать определения трудным понятиям. Командир должен был разбираться с проблемой шасси, выслушивать коллег и продумывать посадку в аварийных условиях. Вспомним и о врачах, занимавшихся Илэйн Бромили. Стараясь ввести трубку в трахею, они лихорадочно пытались спасти жизнь пациентки. Врачи потеряли счет времени не потому, что сосредоточились недостаточно, но, наоборот, потому, что сосредоточились слишком сильно[7 - Во множестве ситуаций сосредоточиться на конкретном задании – эффективный способ справиться с работой. Проблема возникает, когда это наносит ущерб целостности восприятия. В этом случае излишнее сосредоточение вредит работе и, если говорить об авиации, безопасности.]. В Портленде, штат Орегон, психолог Дил осознал, что вторая основная проблема связана с коммуникацией. Бортинженер Менденхолл знал о проблемах с топливом. Он несколько раз намекал на это командиру, а когда ситуация сделалась критической, прямо указал на то, что горючее заканчивается. Прослушивая заново записи переговоров экипажа, Дил заметил, что интонации бортинженера менялись. По мере приближения опасности Менденхолл все больше хотел предупредить Макбрума, но так и не смог вступить в прямую конфронтацию с начальником.

Сегодня этот аспект психологии хорошо изучен. Социальная иерархия подавляет настойчивость. С теми, кто облечен властью, мы говорим на «вежливом языке». Начальнику не скажешь: «Мы обязаны провести собрание в понедельник утром». Ему можно сказать: «Если вы не заняты, было бы неплохо, если бы в понедельник вы смогли уделить нам полчаса» [35]. Во многих ситуациях такое почтительное отношение имеет смысл, но когда в летящем над крупным городом 90-тонном самолете кончается топливо, оно может погубить немало жизней.

Те же иерархические отношения наблюдаются и в операционных. Медсестра Джейн знала, как решить проблему. Она принесла набор для трахеостомии. Следовало ли ей говорить громче? Достаточно ли она постаралась? Это самый неверный способ оценивать ошибку, допущенную в критических ситуациях. Напомним, что бортинженер Менденхолл заплатил за свое молчание жизнью. Проблема была не в отсутствии старательности или мотивации, а в том, что система не учитывала ограничения человеческой психологии.

Теперь давайте сравним точки зрения от первого и от третьего лица. Врачам больницы рядом с деревней Норт-Мэрстон действительно могло казаться, что произошел «редчайший случай». В конце концов, они не понимали, что провели долгие восемь минут в тщетных попытках ввести трубку в трахею. Они считали, что потратили на интубацию ничтожное время. Их субъективное восприятие времени изменилось под влиянием паники. Для врачей проблема была в пациентке. Она умерла быстрее, чем должна была, по их экспертной оценке. Поскольку расследование не проводилось, откуда медикам было знать, что они могли действовать эффективнее?

Почти то же самое наблюдалось и в случае с рейсом United Airlines 173. Когда Дил пришел через несколько дней в орегонскую больницу, чтобы поговорить с Макбрумом, тот сообщил следователю, что запасы топлива истощились «невероятно быстро». Командир даже предположил, что имела место утечка в баках. С точки зрения Макбрума, восприятие времени которого исказилось из-за стресса, это было рациональное наблюдение. Он отказывался понимать, что его самолет расходовал топливо как обычно.

Дил и его команда потрудились дважды проверить данные «черного ящика». Они определили запас топлива на борту в момент, когда самолет перешел на полет в зоне ожидания, выяснили, сколько топлива расходуют DC-8 в среднем, узнали, сколько топлива было потрачено до момента аварии. Цифры сходились. Самолет расходовал топливо ничуть не быстрее, чем можно было ожидать. Утечка была не в баках, а в восприятии времени Макбрума.

Лишь по итогам расследования, проведенного третьими лицами, правда вышла наружу. В здравоохранении никто не осознал настоящую проблему, потому, что с точки зрения самих врачей, проблемы не было. Таков один из замкнутых циклов, откладывающих решение проблемы до бесконечности: когда люди не изучают совершенные ошибки, они порой не осознают, что ошиблись (даже если подозревают это).

Опубликованный в июне 1970 г. отчет о катастрофе United Airlines 173, подготовленный Дилом и его коллегами, стал важной вехой в истории авиации. На 30-й странице сухим языком официальных отчетов были сформулированы рекомендации: «Выпустить оперативный бюллетень для всех инспекторов воздушного транспорта с инструкцией предписать прикрепленным к ним операторам гарантировать внедрение принципов рационального управления ресурсами на уровне экипажей воздушных кораблей с особым упором на преимущества привлечения к принятию решений других членов экипажа (для командиров) и тренировки уверенности в себе (для других членов экипажа)».

Через несколько недель НАСА провело конференцию, чтобы рассказать о преимуществах новой учебной программы «Управление ресурсами экипажа». Упор делался на коммуникацию. Вторых пилотов учили всегда сохранять уверенность в себе. Мнемоническое правило, используемое в авиации для воспитания в членах экипажа уверенности в себе, носит название P. A. C. E.: Probe, Alert, Challenge, Emergency – Проверка, Оповещение, Побуждение, Чрезвычайная Ситуация[8 - Можно представить, как этот принцип применялся бы в медицине. Вот что медсестра Джейн могла сказать, если бы она использовала данный подход во время операции Илэйн Бромили:ПРОВЕРКА – «Доктор, какие варианты вы рассматриваете на случай, если мы не сможем вставить трубку?»ОПОВЕЩЕНИЕ – «Доктор, уровень кислорода 40 %, он продолжает падать, трубка не входит, может, применим трахеостомию?»ПОБУЖДЕНИЕ – «Доктор, нам нужен набор для трахеостомии – или мы потеряем пациента».ЧРЕЗВЫЧАЙНАЯ СИТУАЦИЯ – «Я прошу реанимационную команду сделать трахеостомию».]. Командиров, которых годами воспринимали в качестве непререкаемых авторитетов, теперь учили прислушиваться, воспринимать сигналы тревоги и прояснять неопределенности. Проблема восприятия времени решилась структурированием распределения обязанностей.

Были расширены и улучшены уже существовавшие карты контрольной проверки (чек-листы). С одной стороны, чек-листы составляются для того, чтобы ничего не упустить в сложной ситуации. С другой, они уменьшают иерархические различия. Когда командир и второй пилот разговаривают, настраиваются друг на друга, выполняя проверки по чек-листу, между ними открываются коммуникационные каналы. Повышается вероятность того, что второй пилот в аварийной ситуации заговорит с командиром. Это решает еще и так называемую «проблему активации».

Различные версии новых методов обучения стали сразу же проигрывать на симуляторах. На каждой стадии новые идеи проверялись, жестко тестировались и подвергались испытаниям на прочность. Наиболее эффективные предложения были оперативно внедрены в практику авиакомпаний по всему миру. После ужасной серии катастроф 1970-х число аварий в авиаиндустрии стало уменьшаться.