Крис Клирфилд - ?Неуязвимость! Отчего системы дают сбой и как с этим бороться

Это замечательные функции безопасности, и они действительно устранили много обычных ошибок. Но они же добавили системе и сложности. А в случае с Пабло Гарсия проблема началась с того, что интерфейс системы заказа лекарств, который был разработан так, чтобы избежать канцелярских ошибок, ввел в заблуждение молодого врача-педиатра. Она была уверена, что заказала только одну таблетку 160 мг. Однако в заказе она указала 160 мг/кг, поэтому система автоматически помножила его на вес мальчика, который составлял 38,6 кг. Таким образом, врач заказала 38,5 таблетки.

Сразу же включилась система предупреждения, и на экране компьютера высветился сигнал тревоги о передозировке. Однако доктор отключила его, поскольку ненужные предупредительные сигналы появлялись на экране монитора постоянно. Фармацевт, который проверял заказ (разумеется, в электронном виде), тоже пропустил ошибку. Робот стоимостью в миллион долларов с радостью упаковал пилюли. И хотя медсестра, пришедшая к Гарсия, и сомневалась по поводу такой большой дозы, штрихкод – еще одна ступень безопасности системы – показал ей, что она находится в нужной палате у нужного пациента. Это развеяло ее сомнения, и она дала мальчику лекарство – все 38 с половиной таблетки.

Колокольчики, свистки и дополнительные функции безопасности устраняют некоторые ошибки. Но в то же время они повышают сложность систем и могут стать причиной серьезных происшествий и аварий. Однако, когда мы хотим оградить себя от них – даже от тех происшествий, виновницей которых была высокая сложность систем, – мы испытываем соблазн добавить в них еще больше функций безопасности. Во время обсуждения случая с передозировкой лекарств {137}один из коллег Уотчера задумчиво произнес: «Думаю, нам надо ввести здесь еще один тревожный сигнал». Уотчер почти закричал в ответ: «Проблема как раз и состоит в том, что у нас слишком много сигналов тревоги! Добавление еще одного только ухудшит дело!»

И он прав. Кажущееся очевидным решение – наслоение все большего количества функций безопасности – не работает. И что нам с этим делать? Как нам заставить наши системы работать лучше?

Первый разумный шаг – это их диагностирование. Матрица Перроу с указанием сложности и жесткости связей в системах позволяет нам оценить их уязвимость с точки зрения противодействия чрезвычайным происшествиям или непредвиденным противоправным деяниям. «Матрица демонстрирует, где в вашем проекте или бизнесе следует ожидать неприятных сюрпризов» {138}, – говорит Гэри Миллер, инженер-атомщик, переквалифицировавшийся в консультанта по менеджменту. Он стал кем-то наподобие проповедника концепции Перроу в своей компании.

Миллер привел пример ретейлерской сети, которая намеревается открыть новые магазины. «У вас очень жесткий план их запуска и нет никакого “зазора” на ошибку? Тогда это жестко соединенная система. У вас также сложная система складов, за которой трудно следить прямо? Это сложность системы. Если в вашем проекте присутствуют оба этих компонента, вы должны знать, что на каком-то этапе вас может постигнуть “дурацкая неудача”. Поэтому необходимо изменить ситуацию еще до начала реализации проекта».

По утверждению Миллера, важно то, что матрица Перроу помогает нам даже в том случае, когда не может предсказать конкретно, как будет выглядеть эта наша «дурацкая неудача». Простое осознание того, что часть нашей системы – или организации, или проекта – уязвима, помогает подумать над необходимостью понизить уровень сложности и жесткости связей нашей системы, а также над тем, где сосредоточить усилия. Это немного похоже на ремни безопасности. Причина того, что мы пристегиваемся ими в своем автомобиле, состоит не в том, что мы представляем себе детали грядущего ДТП или травмы, которые получим. Мы используем ремни безопасности потому, что осознаем, что с нами может случиться что-то непредвиденное. Мы начинаем готовить торжественный праздничный обед заранее не потому, что знаем, что именно пойдет не так, а потому, что понимаем: что-то может пойти не так. «Необязательно предсказывать событие, чтобы предотвратить его, – говорил нам Миллер. – Но вы должны подходить к сложности и жесткости соединений в системах как к важнейшим переменным всегда, когда что-либо планируете или строите» {139}.

Матрица Перроу показывает, что мы приближаемся к опасной зоне. И только от нас зависит, поменяем ли мы свой курс или нет. В оставшейся части этой главы мы исследуем вопрос о том, как именно это делать. Мы разберем примеры, когда людям удавалось сделать системы – самолет, альпинистскую экспедицию или даже хлебопекарню – менее сложными и жестко связанными.

«Самолет Airbus A330 невероятно красив, от носа до хвоста, – пишет пилот KLM Тийс Йонгсма в своем блоге, и его слова звучат как признание в любви к этому авиалайнеру. – Самолет очень высокий. На земле его нос немного наклонен вперед, как будто он готов к спринтерскому рывку в любую секунду. В полете нос немного поднимается, что придает авиалайнеру дополнительную элегантность… Это самая красивая машина из тех, на которых мне приходилось летать» {140}.

Кабина пилотов в А330 – это тоже произведение искусства. У нее сглаженный обтекаемый дизайн с небольшим количеством экранов, хорошая эргономика приборов и проработанная цветовая гамма различных датчиков и сигналов на панели управления. «Я еще не упоминал, что дизайн многих приборов в кабине авиалайнера разрабатывал Porsche? – пишет Йонгсма. – Неудивительно, что их форма, цвет и подсветка такие красивые».

Еще в А330 очень простая система управления. Вместо рулевой колонки – обычного рулевого устройства перед пилотом – здесь по бокам расположены только небольшие рычажки управления наподобие джойстиков, очень похожих на те, что используются на видеоприставках (см. изображение кабины Airbus A330 на следующей странице).

Эти джойстики соединены с компьютерной системой самолета. Поэтому, когда пилоту нужно дать системе команду – например, поворот вправо на 15 º, – он просто соответствующим образом манипулирует джойстиком, и авиалайнер точно ее исполняет. Джойстики в кабине А330 занимают мало места и не закрывают обзор всей панели управления. «Поскольку в кабине А330 нет штурвалов, перед пилотами могут выдвигаться столики, которые легко убрать под панель управления, – пишет Йонгсма, выкладывая фотографию своего столика с аккуратно сервированным на нем обедом. – В компании KLM нет других авиалайнеров, в которых пилоты могут работать и есть за столом!»

Теперь посмотрите на кабину самолета Boeing 737.