Крис Клирфилд - ?Неуязвимость! Отчего системы дают сбой и как с этим бороться

Согласно традиционной версии, менеджеры NASA торопились с запуском из-за напряженных сроков производственного графика. Однако социолог Диана Воган, тщательно изучавшая обстоятельства катастрофы, обнаружила и другие причины, которые в совокупности назвала нормализацией отклонений {364}. По мере того как NASA долгие годы решало сложные проблемы миссий корабля Challenger, определение ведомством допустимых рисков постепенно и незаметно менялось. С каждым запуском те проблемы, которые ранее были неожиданными, становились все более ожидаемыми, а в конечном счете – и приемлемыми. Менеджеры, конструкторы и инженеры часто идентифицировали какую-то часть системы как подверженную рискам – но затем вводили «допуски», разрешавшие полет шаттла без решения возникшей проблемы.

«Каждый раз данные, первоначально означавшие отклонение в работе системы от ожидаемого результата, пересматривались и в итоге попадали в пределы допустимого риска», – замечала Воган {365}. Такой сдвиг позволял инженерам и менеджерам «действовать так, как будто ничего не случилось, хоть факты свидетельствовали, что что-то все-таки случилось » {366}. То, что ранее считалось отклонением, стало нормой.

За девять лет до трагического запуска шаттла Challenger инженеры авиакосмической компании Morton Thiokol, которая конструировала и создавала твердотопливные ускорители, рекомендовали изменить конструкцию соединения их секций. Эти соединения были необходимы, так как ускорители высотой с 14-этажный дом были слишком велики, чтобы можно было доставлять их на стартовую площадку в полностью собранном виде. Однако процесс модернизации конструкции протекал медленно, а бюджет был ограничен. Поэтому инженеры пробовали разные решения, руководствуясь тем, как устроены другие твердотопливные ракеты, и успокоились на том, что каждое такое соединение обеспечили основным и резервным уплотнительными кольцами.

За девять месяцев до катастрофы эрозия уплотнительных колец проявилась в другом запуске космического челнока Challenger. Тогда и основное, и резервное уплотнительные кольца на разгонном ускорителе были сильно повреждены. Инженер фирмы Thiokol Роджер Божоли написал по этому поводу докладную записку своему руководству. «Ошибочно занятая позиция по вопросу о соединении секций заключалась в том, что можно осуществлять полеты, не боясь их повреждения, и просто продолжать текущие конструктивные поиски, – писал он. – Теперь эта позиция кардинальным образом изменилась. Если в дальнейшем случится то же самое, что произошло сейчас… то результатом станет катастрофа самых значительных масштабов» {367}.

Кроме инженеров компании Thiokol, серьезную обеспокоенность высказывали и специалисты NASA. Ричард Кук описал проблему уплотнительных колец в своей записке, которую подал руководству за год до аварии челнока. «Нет сомнений, что безопасность полетов космического корабля все время находится под угрозой нарушения герметичности ускорителей, и признается тот факт, что неудача при запуске может обрести масштабы катастрофы» {368}. Хотя Кук работал в NASA, он обладал взглядом чужака. Он служил в ведомстве всего лишь несколько месяцев и даже не был инженером – он был экономистом-аналитиком. Поэтому в разговорах с ним специалисты NASA свободно делились тревогами и выводами, а не замыкались в оборонительной позиции и не подвергали сомнению его идеи. Для них он скорее был союзником, а не противником по инженерной части. Как отмечал Зиммель в своей знаменитой статье, чужак «часто удостоивается удивительной откровенности и выслушивает доверительные высказывания, близкие к признаниям, от которых его собеседники тщательно воздерживались бы в беседах с людьми, более вовлеченными в данную проблему или дело» {369}.

Кук изложил свои тревожные признания в докладной записке. Однако его предупреждения – так же, как и опасения, высказанные Божоли и другими инженерами компании Thiokol, – остались без внимания.

28 января 1986 года был запущен многоразовый транспортный космический корабль Challenger. Почти сразу же у него разрушились уплотнительные кольца в нижней части правого твердотопливного ускорителя. В боку ускорителя прогорело отверстие, из которого била реактивная струя в сторону внешнего топливного бака. Из бака начал вытекать кислород и водород. Всего через 73 секунды после старта внешний топливный бак взорвался, и примерно на высоте 16 км от поверхности Земли Challenger превратился в огненный шар.

Спустя семнадцать лет после аварии корабля Challenger история повторилась. Через несколько мгновений после запуска шаттла Columbia от его топливного бака оторвалась часть наружной теплоизоляции, которая ударила челнок в левое крыло, оторвав несколько термоизолирующих плиток. Дальнейший полет проходил нормально, но, когда шаттл Columbia при возвращении вошел в плотные слои земной атмосферы, горячие газы проникли в крыло, и в результате взрыва корабль рассыпался на тысячи фрагментов {370}.

Хотя технические детали этих двух катастроф были разные, лежащие за ними организационные факторы оказались устрашающе схожими. Задолго до аварии Columbia в NASA знали, что куски теплоизоляции топливных баков могут отрываться в процессе полета. В действительности такие фрагменты неоднократно падали на высокой скорости на корпус шаттла Columbia во время предыдущих запусков. Так что перед каждым стартом техникам приходилось заменять на аппарате термоизолирующие плитки. Но менеджеры NASA рассматривали эту проблему как относящуюся к сфере текущего обслуживания челнока и спокойно воспринимали связанные с ней риски. В данном случае свой удар вновь нанесла «нормализация отклонений» {371}.

После аварии шаттла Columbia в NASA поняли, что необходимо что-то менять. Стало очевидно, что решения только одной проблемы – теплоизоляции корпуса – недостаточно. Многие проблемы относились к категории организационных. Председатель Комиссии по расследованию аварий заявил: «Мы убеждены, что эти организационные вопросы столь же важны, как и асбестосиликатное покрытие» {372}.

NASA дало своим исследовательским центрам указание разработать меры по борьбе с «нормализацией отклонений». В связи с этим руководители Лаборатории реактивного движения (Jet Propulsion Laboratory – JPL), главного научно-исследовательского центра NASA по созданию беспилотных космических кораблей {373}, решили использовать силу чужаков. Как средневековые итальянские города, которые приглашали судей со стороны, JPL постаралась искоренить в NASA пристрастность. Однако руководство JPL вместо того, чтобы пойти по пути привлечения сторонних консультантов или аудиторов, попыталось научиться новому от чужаков внутри самой организации.

JPL решает одни из самых технически сложных задач в мире. Лозунг подразделения: «Имейте смелость замахнуться на великие дела» – или менее формально: «Если это не относится к разряду невозможного, то нам неинтересно».