Текст книги "?Неуязвимость! Отчего системы дают сбой и как с этим бороться"

Часть первая. Неудачи вокруг нас

1. Опасная зона

«О, это будет очень весело»

Атомная электростанция (АЭС) Ventana расположилась у подножия величественной горной гряды Сан-Габриэль, всего в 65 км к востоку от Лос-Анджелеса. Однажды в конце 70-х годов станция испытала непонятные толчки. Когда на АЭС раздались сигналы тревоги и аварийные лампочки вспыхнули на приборах, в помещении щита управления станции началась паника. На консолях, где теснились датчики и измерительные приборы, один из индикаторов показывал, что уровень охлаждающей жидкости в активной зоне реактора достиг опасно высокого значения. Работавшая в зале смена, состоявшая из специалистов компании California Gas and Electric, открыла электромагнитные клапаны компенсатора давления, чтобы убрать из реактора лишнюю воду. Однако на самом деле ее уровень в активной зоне не был высоким. Напротив, в реальности он оказался настолько низким, что лишь на несколько сантиметров покрывал твэлы (тепловыделяющие элементы) реактора. В конечном счете начальник смены понял, что индикатор уровня воды давал неверные показания – и все из-за заклинившей в приборе стрелки. С большим трудом команде операторов удалось закрыть клапаны, чтобы предотвратить расплавление твэлов. В течение нескольких страшных минут АЭС находилась на грани ядерной катастрофы.

«Возможно, я и ошибаюсь, но вам, судя по всему, повезло, что вы остались в живых, – сказал один эксперт-ядерщик паре журналистов, которые оказались на АЭС во время инцидента. – По правде говоря, то же самое мы могли бы сказать и про всю остальную Южную Калифорнию».

К счастью, этого события в действительности никогда не было. Оно вошло в сюжет триллера 1979 года «Китайский синдром»{10}10
  Китайский синдром (The China Syndrome). Режиссер Джеймс Бриджес, авторы сценария Майк Грэй, Т. С. Кук, Джеймс Бриджес (Columbia Pictures, 1979).


[Закрыть], главные роли в котором исполняли Джек Леммон, Джейн Фонда и Майкл Дуглас. Это был абсолютный вымысел, во всяком случае по мнению руководителей атомной энергетики США, которые раскритиковали фильм в пух и прах еще до его выхода на экраны. Они утверждали, что фабула неправдоподобна с научной точки зрения, а один из них даже сказал, что картина «убивает репутацию целой отрасли промышленности»{11}11
  David Burnham. Nuclear Experts Debate «The China Syndrome» // New York Times, March 18, 1979. URL: http://www.nytimes.com/1979/03/18/archives/nuclear-experts-debate-the-china-syndrome-but-does-it-satisfy-the.html.


[Закрыть].

Майкл Дуглас, который участвовал в создании фильма как продюсер и исполнил одну из главных ролей, не согласился с этими утверждениями: «У меня есть предчувствие{12}12
  Dick Pothier. Parallels Between «China Syndrome» and Harrisburg Incident Disturbing // Evening Independent, 7A, April 2, 1979.


[Закрыть], что многое из того, что показано в картине, случится в реальности в ближайшие два или три года».

Так много времени и не понадобилось. Через двенадцать дней после того, как «Китайский синдром» вышел на экраны кинотеатров, Том Кауффман, 26-летний красавец с длинными рыжими волосами{13}13
  Ira D. Rosen. Grace Under Pressure in Harrisburg // Nation, April 21, 1979.


[Закрыть], приехал на работу на АЭС Three Mile Island, которая представляла собой бетонную крепость, построенную на песчаном острове посреди реки Саскуэханна в штате Пенсильвания. Это была среда, и в 6:30 утра Кауффман почувствовал, что что-то не так. Облака пара над гигантскими башнями испарительных градирен были значительно меньше, чем обычно. Проводя осмотр согласно правилам безопасности, Кауффман услышал сигнал тревоги. «А-а, это у них какие-то проблемы на втором энергоблоке», – сказал ему охранник{14}14
  Tom Kauffman. Memories Come Back as NEI Staffer Returns to Three Mile Island // Nuclear Energy Institute, March 2009. URL: http://www.nei.org/News-Media/News/News-Archives/memories-come-back-as-nei-staffer-returns-to-three.


[Закрыть].

Операторы набились в помещение щита управления{15}15
  Интересными идеями и деталями аварии на АЭС Three Mile Island с нами поделился Виктор Жилински, бывший руководитель Комиссии по ядерному регулированию США, а также историк Комиссии Томас Веллок. Наше описание аварии основывается на следующих книгах и материалах: Charles Perrow. Normal Accidents: Living with High-Risk Technologies. Princeton, NJ: Princeton University Press, 1999; J. Samuel Walker. Three Mile Island: A Nuclear Crisis in Historical Perspective. Berkeley and Los Angeles: The University of California Press, 2004; John G. Kemeny et al. The Need for Change: The Legacy of TMI. Report of the President’s Commission on the Accident at Three Mile Island. Washington, DC: Government Printing Office, 1979; Backgrounder on the Three Mile Island Accident // U. S. Nuclear Regulatory Commission, February 2013. URL: https://www.nrc.gov/reading-rm/doc-collections/fact-sheets/3mile-isle.html; Looking Back at the Three Mile Island Accident // National Public Radio, March 15, 2011. URL: http://www.npr.org/2011/03/15/134571483/Three-Mile-Island-Accident-Different-From-Fukushima-Daiichi; Victor Gilinsky. Behind the Scenes of Three Mile Island // Bulletin of the Atomic Scientists, March 23, 2009. URL: http://thebulletin.org/behind-scenes-three-mile-island-0; Mark Stencel. A Nuclear Nightmare in Pennsylvania // Washington Post, March 27, 1999. URL: http://www.washingtonpost.com/wp-srv/national/longterm/tmi/tmi.htm.


[Закрыть], сотни лампочек вспыхивали на гигантской консоли. На всей АЭС сработали датчики превышения уровня радиации. Незадолго до 7:00 руководитель смены объявил на станции чрезвычайную ситуацию. Это подразумевало, что на АЭС стал возможен «неконтролируемый выброс радиоактивных веществ». К 8:00 половина ядерного топлива в одном из двух реакторов электростанции расплавилась{16}16
  В письменном ответе на вопросы комиссии по расследованию аварии на АЭС Three Mile Island (17 мая 2017 г.) Виктор Жилински пояснил, что факт расплава половины ядерного топлива был установлен только несколько лет спустя, когда был открыт компенсаторный клапан давления. Он писал тогда: «Оценки, сделанные во время аварии, исходили из того, что расплав твэлов мог быть минимальным. В официальных материалах об аварии, появившихся около года спустя, вопрос о расплаве ядерного топлива вообще не поднимался».


[Закрыть], а к 10:30 в помещение щита управления проник радиоактивный газ.

Это была самая тяжелая катастрофа в атомной отрасли за всю историю Америки{17}17
  Во многих источниках авария на АЭС Three Mile Island описывается как самая тяжелая ядерная катастрофа в истории Америки. Это чрезвычайное происшествие оценивается показателем в 5 баллов по Международной шкале ядерных и радиационных инцидентов, что указывает на аварию «как на имеющую значительные последствия». В то же время Томас Веллок в своем ответе на наш электронный запрос сообщил, что «имели место и другие происшествия на исследовательских реакторах Комиссии по атомной энергии, которые привели к травмам, а в одном случае и смерти трех сотрудников». Однако в любом случае авария на АЭС Three Mile Island явилась самым крупным чрезвычайным происшествием в истории американской коммерческой ядерной энергетики.


[Закрыть]. В течение многих дней специалисты пытались стабилизировать температуру перегревшегося реактора, и некоторые правительственные чиновники опасались самого худшего. Ученые спорили, не взорвется ли пузырь водорода, образовавшийся под крышкой реактора. Было понятно, что радиация убьет любого, кто подберется к механизмам достаточно близко для того, чтобы вручную открыть клапан и удалить из реактора взрывоопасный газ.

После напряженного заседания в ситуационной комнате Белого дома помощник президента Джимми Картера по вопросам науки отвел в сторону Виктора Жилински, руководителя Комиссии по ядерному регулированию США, и тихим голосом предложил послать открыть клапан больных на последней стадии рака{18}18
  Gilinsky. Behind the Scenes of Three Mile Island. Томас Веллок в своем ответе на наш электронный запрос 16 мая 2017 г. пояснил: «Какое-либо серьезное обсуждение вопроса о том, что кто-то рискнет своей жизнью, добежав до компенсаторного клапана и открыв его, отсутствовало. И не только потому, что это подвергло бы риску чьи-то жизни, но и потому, что в этом не было необходимости. Открытие вентиляционных клапанов в помещении реактора не требовало проникновения в него. И вообще было бы неправильно пытаться остудить реактор, так как температура и давление в нем были слишком высокие. Я думаю, что помощник президента по вопросам науки просто неправильно понял разъяснения Жилински и предложил нечто, в чем не было необходимости и что представляло большую опасность. Поэтому, хотя эта история и представляет пользу с точки зрения понимания состояния мыслей помощника президента, она не помогает нам точно понять, что тогда происходило на АЭС».


[Закрыть]. Жилински внимательно посмотрел на собеседника и понял, что тот не шутит.

Населенные пункты вокруг АЭС превратились в «города-призраки», поскольку эту территорию покинуло 140 000 человек. На пятый день после катастрофы президент Картер и первая леди приехали на АЭС, чтобы успокоить паникующих. Обутые в ярко-желтые бахилы поверх обычной обуви для защиты от остатков радиации на почве, они обошли АЭС и тем самым приободрили нацию. В тот же день специалисты установили, что водородный пузырь больше не представляет собой непосредственной угрозы. А когда была восстановлена работа системы охлаждения, температура в активной зоне реактора стала падать. Однако, чтобы начали охлаждаться наиболее разогретые части топливосодержащего расплава, понадобился еще месяц. В конце концов были отменены все действовавшие предупреждения об опасности для населения. Но многие считали станцию Three Mile Island местом, где чуть не сбылись наши самые худшие опасения.

Авария на АЭС Three Mile Island началась с небольшой ошибки при ремонте системы водоснабжения станции. Бригада рабочих в тот день проводила обычное техобслуживание трубопроводов вне реакторной зоны. По каким-то причинам, неясным до сих пор, насосы, которые закачивают нагретую в реакторе воду в парогенератор, в этот момент отключились. По одной из версий, это произошло из-за того, что во время обслуживания влага случайно попала в систему сжатого воздуха, которая используется для пневматического управления арматурой и насосами. Поскольку вода перестала подаваться в парогенератор, она уже не могла охлаждать активную зону реактора, что привело к повышению температуры и давления. В связи с этим, как и было предусмотрено конструкцией, автоматически открылся небольшой клапан компенсатора давления. Однако тут произошел еще один сбой. Когда давление восстановилось до нормального, компенсаторный клапан не закрылся. Вода, которая должна была покрывать твэлы и охлаждать активную зону, начала из нее уходить{19}19
  Авария на АЭС Three Mile Island была очень сложной, поэтому мы опустили много деталей. Например, когда остановились главные нагнетающие насосы, турбина тоже остановилась. Так было предусмотрено конструкцией. Так же по конструкции станции в этот момент включились дополнительные насосы, но нагнетаемая ими вода оказалась перекрыта двумя клапанами, которые случайно были оставлены в закрытом положении после ремонтных работ, осуществлявшихся за два дня до аварии. Позже, когда температура в реакторе выросла и находящаяся в ней жидкость превратилась в пар, в охлаждающих активную зону насосах возникла сильнейшая вибрация, и операторы отключили их, что еще больше ухудшило ситуацию из-за недостатка охлаждения. По мере нагревания воды она уходила из реактора через заклинивший клапан в виде пара. Более детальное описание аварии на АЭС Three Mile Island см.: Walker. Three Mile Island.


[Закрыть].

Глядя на горящую лампочку датчика в щитовой комнате, операторы решили, что электромагнитный клапан закрыт. Но на самом деле светящийся индикатор свидетельствовал только о том, что на привод клапана поступила команда о его закрытии, а не о том, что он в действительности закрылся. Помимо прочего, в активной зоне реактора отсутствовали датчики, прямо показывающие уровень находящейся там воды, поэтому операторы вынуждены были опираться на показания других приборов: тех, которые указывали на уровень воды только в части системы под названием «компенсатор давления». Поскольку вода утекала через оставшийся открытым клапан, казалось, что в компенсаторе давления ее количество увеличивается, хотя в активной зоне реактора ее становилось меньше. В связи с этим операторы предположили, что воды в реакторе слишком много, тогда как ситуация была обратная. Когда аварийная система охлаждения включилась автоматически и начала нагнетать воду в активную зону, операторы отключили почти все насосы. твэлы в реакторе начали плавиться.

Инженеры понимали, что с реактором что-то не так, но не знали, что именно. Им потребовалось несколько часов, чтобы осознать, что из него уходит вода. Людей чрезвычайно нервировала лавина тревожных сигналов. Среди всех этих звуков сирен, гудков и мигания лампочек трудно было отделить обычные предупреждения от важных сигналов опасности. Специалистам стало еще сложнее общаться между собой, когда данные о высоком уровне радиации заставили всех в помещении щитовой надеть респираторы.

К тому же было непонятно, насколько разогрелась активная зона реактора. Одни показания температуры были высокими. Другие – низкими. Некоторое время компьютер, следивший за температурой внутри реактора{20}20
  B. Drummond Ayres Jr. Three Mile Island: Notes from a Nightmare // New York Times, April 16, 1979. URL: http://www.nytimes.com/1979/04/16/archives/three-mile-island-notes-from-a-nightmare-three-mile-island-a.html.


[Закрыть], не выдавал ничего, кроме вот таких строчек:

????????????????????????????????????????????????????

????????????????????????????????????????????????????

????????????????????????????????????????????????????

????????????????????????????????????????????????????

????????????????????????????????????????????????????

????????????????????????????????????????????????????

В самой Комиссии по ядерному регулированию обстановка была почти такой же скверной. «Было трудно обрабатывать неопределенную и часто противоречивую информацию, – вспоминал Жилински. – Со всех сторон на меня сыпались бесполезные советы. Создавалось впечатление, что никто не понимал, что происходит и что нужно делать»{21}21
  Gilinsky. Behind the Scenes of Three Mile Island.


[Закрыть].

Это была запутанная, не имевшая прецедентов авария. И она изменила наше представление о том, к чему ведет сбой в современных системах.

Спустя четыре месяца после аварии на АЭС Three Mile Island почтовый фургон взбирался по извивающейся горной дороге у подножия Беркширских холмов в Хиллсдейле, штат Нью-Йорк, к одинокому бревенчатому домику. Был знойный августовский день, и водитель фургона не сразу отыскал нужное место. Когда машина остановилась, из дома вышел худощавый мужчина за пятьдесят с вьющимися волосами и нетерпеливо расписался за посылку – большую коробку с книгами и журнальными статьями об авариях в промышленности.

Этим мужчиной был Чарльз Перроу{22}22
  Описание теории Перроу и развития его идей во многом базируется на наших продолжительных беседах с ним 23 и 24 июля 2016 года и его книге «Нормальные аварии».


[Закрыть], или Чик, как звали его друзья. Перроу на первый взгляд был не очень похож на того, кто призван кардинально изменить науку о катастрофах. Он был не инженером, а профессором социологии. Раньше он не занимался исследованиями аварий, ядерной энергетикой или вопросами безопасности. Он скорее был специалистом по организациям, а не по катастрофам. Его последняя статья называлась «Восстание слабых. Движение фермерских наемных работников, 1946–1972» (Insurgency of the Powerless: Farm Worker Movements, 1946–1972). Когда произошла авария на АЭС Three Mile Island, он изучал вопросы организации текстильных фабрик в Новой Англии в XIX веке.

Социологи редко вносят большой вклад в такие вопросы жизни и смерти, как безопасность в атомной отрасли. Один карикатурист из журнала New Yorker однажды посмеялся над этой областью науки{23}23
  Эта карикатура появилась на обложке издания: The Sociologist’s Book of Cartoons. N. Y.: Cartoon Bank, 2004.


[Закрыть], изобразив человека, читающего заголовок газеты: «Забастовка социологов!!! Нация в опасности!!!» Однако всего через пять лет после того, как в дом Перроу была доставлена упомянутая посылка, его книга «Нормальные аварии» (Normal Accidents) – исследование катастроф в отраслях с высокими рисками – стала культовой в научной среде. Специалисты в самых разных областях – от инженеров-атомщиков и программистов до ученых-медиков – читали и обсуждали эту книгу. Перроу получил должность профессора в Йельском университете, и ко времени, когда вышла его вторая книга, журнал American Prospect объявил, что исследования Перроу «приобрели канонический статус»{24}24
  Kathleen Tierney. Why We Are Vulnerable // American Prospect, June 17, 2007. URL: http://prospect.org/article/why-we-are-vulnerable.


[Закрыть]. В одной из рецензий Перроу назвали «бесспорным знатоком катастроф»{25}25
  Этот отзыв о Чарльзе Перроу взят из кн.: Dalton Conley. The Next Catastrophe: Reducing Our Vulnerabilities to Natural, Industrial, and Terrorist Disasters. Princeton, NJ: Princeton University Press, 2007. URL: http://press.princeton.edu/quotes/q9442.html.


[Закрыть].

Впервые Перроу заинтересовался проблемами техногенных аварий, когда президентская комиссия по ЧП на АЭС Three Mile Island обратилась к нему с просьбой поучаствовать в изучении инцидента. Изначально комиссия планировала услышать выводы по происшествию только от инженеров и юристов, однако единственный социолог в ее составе посоветовала проконсультироваться и с Перроу. Она полагала, что необходимо прислушаться к мнению ученого-обществоведа, который занимается проблемами существования и деятельности организаций в реальном мире.

Получив протоколы слушаний комиссии, Перроу прочел их за один вечер. В ту ночь он несколько часов крутился в кровати без сна. А когда наконец смог кое-как заснуть, ему привиделись страшные кошмары, каких он не видел со времен службы в армии во Вторую мировую войну. «Свидетельские показания операторов станции произвели на меня глубокое впечатление, – вспоминал Перроу спустя годы. – Люди имели дело с техникой, таящей в себе гигантские, неимоверные риски. И в течение нескольких часов они не имели представления, что же происходит на месте аварии на самом деле… Я неожиданно понял, что нахожусь в гуще, в сердцевине всего этого, потому что в первую очередь данная авария явилась проблемой организационной»{26}26
  Charles Perrow. An Almost Random Career. Arthur G. Bedeian (ed.). Management Laureates: A Collection of Autobiographical Essays. Vol. 2. Greenwich, CT: JAI Press, 1993. P. 429–430.


[Закрыть].

У Перроу было три недели на подготовку 10-страничного доклада. Однако с помощью своих аспирантов, которые коробками посылали необходимые ученому материалы в его бревенчатое убежище, к указанному сроку он представил документ на 40 страниц. В него он даже внес идеи, которые, как он писал позднее, возникали у его «очень вредных и критически настроенных аспирантов, которые все время спорили» с ним и друг с другом. «Это была, – вспоминал Перроу, – группа самых угрюмых аспирантов в нашем кампусе, известная своим черным юмором. Когда мы собирались по понедельникам, один из них обязательно говорил: “Выходные прошли отлично для нашего проекта!”, и потом вываливал на нас сообщения обо всех произошедших катастрофах»{27}27
  Perrow. Normal Accidents. VIII.


[Закрыть].

Эта группа учеников Перроу как в зеркале отражала его собственный характер. Один из известных ученых описывал Перроу как «невыносимого брюзгу и ворчуна», однако называл его исследования «лучом света»{28}28
  Laurence Zuckerman. Is Complexity Interlinked with Disaster? Ask on Jan. 1; A Theory of Risk and Technology Is Facing a Millennial Test // New York Times, December 11, 1999. URL: http://www.nytimes.com/1999/12/11/books/complexity-interlinked-with-disaster-ask-jan-1-theory-risk-technology-facing.html.


[Закрыть]. Студенты утверждали, что Перроу был очень требовательным преподавателем, но любили его лекции, поскольку много из них узнавали. В академической среде у него была репутация человека, выступающего с очень жесткой, но конструктивной критикой{29}29
  Чарльз Перроу был неутомим в своих исследованиях. Однако некоторые организации, которые он пытался изучать, испытывали определенные сомнения в его мотивах. «Менеджеры иногда приглашали меня на роскошные обеды с неограниченным количеством мартини и зачастую начинали допускать расистские высказывания, – рассказывал нам Перроу. – Они внимательно следили за моей реакцией, чтобы удостовериться, не являюсь ли я типичным “левым” социологом или мне все-таки можно довериться. Но я сразу понимал их хитрости. И просто беседовал с ними, чтобы получить нужную мне информацию». С легкой усмешкой Чарльз добавлял: «А им было интересно, какое количество мартини я выдержу. В конечном счете они мне понравились». Интервью с Перроу от 23 июля 2016 г.


[Закрыть]. «Критические оценки моей работы со стороны Чика служили тем мерилом, по которому я судил о своем успехе, – замечал один из знакомых с ним ученых. – Он всегда исписывал страницу за страницей своими язвительными замечаниями, обычно вполне справедливыми, и заканчивал свои письма чем-то вроде: “С любовью, Чик” или “Как всегда, с наилучшими чувствами и пожеланиями”»{30}30
  Lee Clarke. Mission Improbable: Using Fantasy Documents to Tame Disaster. Chicago and London: The University of Chicago Press, 1999. P. XI–XII.


[Закрыть].

Чем больше Перроу узнавал об аварии на АЭС Three Mile Island, тем больший интерес его охватывал. Это была крупная катастрофа, но причины ее вполне тривиальны: она произошла не из-за сильного землетрясения или большой технологической ошибки, а стала следствием ряда небольших сбоев: некачественно проведенные слесарные работы на трубопроводе, застрявший клапан компенсатора давления и неправильно понятый световой индикатор.

Эта авария развивалась стремительно. Только подумайте: изначальная ошибка при обслуживании труб; последующее отключение насосов, нагнетавших горячую воду в парогенератор; рост давления в активной зоне реактора; открытие компенсаторного клапана и неудача при его закрытии, а также ошибочное указание датчика положения клапана – все это произошло в течение тринадцати секунд. За десять минут был нанесен непоправимый ущерб реактору АЭС.

Перроу было понятно, что обвинять во всем операторов станции – это нечестный прием. Официальное расследование изображало коллектив смены АЭС главными виновниками аварии, но Перроу осознавал, что их ошибки кажутся таковыми только при суждении задним числом. Он назвал их «ретроспективными ошибками»{31}31
  Charles Perrow. Normal Accident at Three Mile Island // Society 18 (5), 1981. P. 23.


[Закрыть].

Возьмем, например, главную из этих ошибок – предположение операторов, что в реакторе находилось слишком много, а не слишком мало воды. Когда техники сделали это предположение, доступные им показания датчиков не свидетельствовали о том, что уровень охлаждающей жидкости в реакторе был слишком низким. По их представлениям, никакой опасности перегрева твэлов не было. Поэтому они сосредоточились на другой серьезной проблеме: риске переполнения системы. Хотя некоторые показания приборов и могли бы помочь установить истинную проблему, операторы посчитали, что это – результат ошибки измерительных инструментов. И такой вывод был вполне обоснован: ряд приборов действительно работал неправильно. До того как расследование установило невероятное стечение небольших сбоев, принимаемые операторами решения выглядели вполне логичными.

Такой вывод был пугающим. Происходит одна из самых ужасных аварий в истории атомной отрасли, но ее нельзя объяснить явными человеческими ошибками или значительным внешним воздействием. Она произошла из-за комбинации незначительных сбоев, которые соединились самым причудливым образом.

По мнению Перроу, авария на Three Mile Island была не аномальным событием, а проявлением фундаментальных свойств атомной электростанции как системы. Инцидент развивался скорее под воздействием связей между различными частями системы, чем по вине самих ее частей{32}32
  Чтобы получить наглядное представление о том, как системы формируют наш мир, см.: Donella Meadows. Thinking in Systems: A Primer. White River Junction, VT: Chelsea Green Publishing, 2008.


[Закрыть]. Влага, попавшая в систему сжатого воздуха, не составила бы большой проблемы сама по себе. Но из-за связи этой системы с работой насосов, парогенератора, целого ряда клапанов и задвижек и в конечном счете реактора возникшая в ней проблема оказала столь большое влияние на ситуацию.

В течение многих лет Перроу и группа его учеников продирались сквозь частокол мельчайших деталей сотен аварий и чрезвычайных происшествий – от авиакатастроф до взрывов на химических предприятиях. И везде возникала одна и та же картина: разные части системы неожиданно вступали во взаимодействие друг с другом, причудливым образом сочетались небольшие сбои, а люди не понимали, что же происходило на самом деле.

По концепции Перроу, системы оказываются подвержены таким срывам под воздействием двух факторов. Если мы это осознаем, то сможем определить, какие из систем являются наиболее уязвимыми.

Первый фактор касается того, как различные части системы взаимодействуют друг с другом. Некоторые системы линейны: это как сборочный конвейер на автомобильном заводе, где все происходит в легко предсказуемой последовательности. Каждая машина проходит от первого узла сборки ко второму, затем к третьему и так далее. На каждом из этих этапов на нее устанавливаются различные детали. И если на каком-то из них происходит сбой, то сразу становится очевидным, на каком именно. Понятны также и последствия: машины могут не достигнуть следующего сборочного узла и скопиться на том, где произошел сбой. В системах такого рода различные их части взаимодействуют друг с другом преимущественно в очевидном и предсказуемом режиме.

Другие системы, такие как АЭС, являются более сложными: их части с большей вероятностью вступают в скрытое или неожиданное взаимодействие. Сложные системы скорее похожи на тонкую паутину, чем на сборочный конвейер. Многие их части находятся в тесной связи и могут легко воздействовать одна на другую. Даже, казалось бы, не имеющие друг к другу отношения части могут быть связаны косвенно, а некоторые подсистемы взаимодействуют со многими частями основной системы. Поэтому, когда что-то идет не так, проблемы «выскакивают» везде, и сложно сделать однозначный вывод о том, что вообще происходит.

Усложняет ситуацию тот факт, что значительная часть работы сложных систем проходит незаметно для невооруженного глаза. Представьте, что вы идете по тропе, которая спускается по краю скалы. Вы находитесь всего в нескольких шагах от пропасти, но вас оберегают ваши органы чувств. Ваша голова и глаза сконцентрированы на том, чтобы не дать вам оступиться или подойти слишком близко к краю.

Теперь представьте, что вы вынуждены идти по тому же маршруту, используя бинокль. Сейчас вы уже не можете видеть всю картину целиком. Вместо этого вам приходится ориентироваться по узким и не всегда четким секторам видимости. Вы смотрите туда, куда должна ступить левая нога. Потом сдвигаете бинокль, чтобы определить расстояние до края тропы. Затем готовитесь передвинуть правую ногу и снова переводите взгляд на тропу. А представьте, что вы бежите по тропе вниз, полагаясь только на эпизодически возникающие и нечеткие картины. Именно это мы и делаем, когда пытаемся управлять сложной системой.

Перроу быстро понял, что различие между линейной и сложной системами заключается не в их продвинутости. Сборочный конвейер на автозаводе точно не назовешь простым, и тем не менее его части взаимодействуют друг с другом преимущественно линейным и понятным образом. Или возьмите плотины. Они представляют собой вершину инженерного искусства, но не являются сложными.

В случае со сложными системами мы не можем забраться внутрь, чтобы посмотреть, что творится «в животе у чудовища». В оценке большинства ситуаций мы вынуждены опираться на непрямые показатели. Например, на АЭС мы не можем послать кого-то посмотреть, что происходит в активной зоне действующего реактора. Мы должны собирать воедино всю картину по маленьким кусочкам – показаниям датчиков давления, замерам расхода воды и т. п. Мы видим кое-что, но не все. Поэтому наш диагноз легко может стать ошибочным.

И вот когда мы имеем дело со сложными взаимодействиями внутри системы, небольшие изменения в ней могут произвести огромный эффект. На АЭС Three Mile Island чашка нерадиоактивной воды вызвала потерю тысяч литров радиоактивной охлаждающей жидкости. Это «эффект бабочки» из теории хаоса: концепция, согласно которой взмах крыльев бабочки в Бразилии может создать условия для торнадо в Техасе{33}33
  Edward N. Lorenz. Deterministic Nonperiodic Flow // Journal of the Atmospheric Sciences, 20, no. 2, 1963. P. 130–141; Edward N. Lorenz. The Essence of Chaos. Seattle: University of Washington Press, 1993. P. 181–184.


[Закрыть]. Пионеры теории хаоса понимали, что всех наших моделей и измерений никогда не будет достаточно для предсказания последствия «эффекта бабочки». Перроу утверждал нечто подобное: мы просто не можем в достаточной степени понять комплексные системы, чтобы предсказать все возможные последствия даже небольшого сбоя.