Текст книги "?Неуязвимость! Отчего системы дают сбой и как с этим бороться"

В своей первой книге, написанной в 1984 году, Перроу уделил мало внимания финансам. Финансовая система даже не была включена в его матрицу сложности и жесткости соединений. Однако в последующие три десятилетия финансовая сфера стала отличным образцом сложных и жестко связанных систем{50}50
  Разумеется, сбои в мировой финансовой системе происходили и до событий в последнем десятилетии. См., например: Liaquat Ahamed. Lords of Finance: The Bankers Who Broke the World. N. Y.: Random House, 2009; Ben S. Bernanke. Nonmonetary Effects of the Financial Crisis in the Propagation of the Great Depression // American Economic Review 73 (3), 1983. P. 257–276.


[Закрыть]. Примером тому может стать финансовый кризис 1987 года, когда биржевые котировки рухнули более чем на 20 % за один только день. В течение продолжительного периода, предшествовавшего кризису, многие крупные инвесторы начали применять портфельное страхование[7]7
  Портфельное страхование – схемы автоматического страхования портфеля ценных бумаг на базе автоматизированных систем.


[Закрыть] – стратегию торговли ценными бумагами, которая создавала непредвиденные связи между разными игроками. Эта торговая стратегия также повысила жесткость связей в системе, потому что в случае падения цен на акции программы портфельного страхования начинали автоматически продавать их значительно больше, тем самым дополнительно опуская цены.

Через десять лет именно такая нисходящая ценовая спираль{51}51
  Подробное описание кризиса 1987 года, событий с компанией LTCM и проблем современной финансовой системы (включая факторы ее сложности и жесткой связанности) см. в отличной кн.: Richard Bookstaber. A Demon of Our Own Design. Hoboken, NJ: Wiley, 2007.


[Закрыть] нанесла удар по хедж-фонду Long-Term Capital Management (LTCM). Этот крупный фонд привлек огромные заемные средства компаний с Уолл-стрит на общую сумму в 100 млрд долларов для того, чтобы вложить их в различные активы – такие как высокодоходные российские облигации, – которые считались дешевыми на основе рассчитанных фондом компьютерных моделей. В результате LTCM оказался в центре сложной финансовой паутины. В конце 1998 года, когда Россия объявила дефолт по своим финансовым обязательствам, эта паутина начала распадаться. В конечном счете Федеральная резервная система США вынуждена была создать пул банков, которые инвестировали 3 млрд долларов в LTCM в целях сдерживания кризиса.

Спустя десять лет массированные вложения в ипотечные ценные бумаги и кредитные дефолтные сделки резко повысили сложность и жесткость связей в крупнейшем американском инвестиционном банке Lehman Brothers и привели к его банкротству. Оно ускорило наступление мирового финансового кризиса. А все могло обернуться еще печальнее. Как написал Эндрю Росс Соркин в своей книге «Слишком большие, чтобы рухнуть», вся финансовая система Америки чуть не потерпела полный крах из-за глубоких и непрозрачных связей между банками{52}52
  Другим великолепным автором, анализировавшим финансовые кризисы, был, конечно, Майкл Льюис. См., например: Michael Lewis. Wall Street on the Tundra // Vanity Fair, April 2009. URL: http://www.vanityfair.com/culture/2009/04/iceland200904; The Big Short: Inside the Doomsday Machine. N. Y.: W. W. Norton, 2011.


[Закрыть].

В одном из интервью в 2010 году Перроу сказал, что финансовая система «превосходит по своей сложности любую из атомных электростанций»{53}53
  Это цитата Перроу из интервью 2010 года, которое провел Тим Харфорд и изложил его в своей кн.: Adapt: Why Success Always Starts with Failure. N. Y.: Farrar, Straus and Giroux, 2011.


[Закрыть], которые он изучал. Потом, летом 2012 года, сложность и жесткость связей вызвали катастрофу среди крупнейших финансовых компаний Уолл-стрит.

1 августа 2012 года должно было стать очередным относительно спокойным летним днем на Уолл-стрит{54}54
  Наше описание краха компании Knight основывается на интервью с ее генеральным директором Томом Джойсом от 21 января 2016 года, с Джоном Мюллером (псевдоним) от 14 января 2016 года и другими трейдерами. Мы также использовали материалы доклада Комиссии по биржам и ценным бумагам об ошибке в торговой системе компании Knight. См.: In the Matter of Knight Capital LLC. Administrative Proceeding File No. 3-15570, October 16, 2013. Важно отметить, что в отличие от NTSB, чья цель заключается в выяснении причин транспортного происшествия, доклад Комиссии направлен на создание основы для мер наказания в отношении Knight Capital. Мы привлекли также материалы печатных СМИ и телевидения того периода, включая интервью с Томом Джойсом в программе Market Makers (Bloomberg Television, August 2, 2012); статьи: Nathaniel Popper, Knight Capital Says Trading Glitch Cost It $440 Million // New York Times, August 2, 2012. URL: https://dealbook.nytimes.com/2012/08/02/knight-capital-says-trading-mishap-cost-it-440-million; David Faber, Kate Kelly with Reuters. Knight Capital Reaches $400 Million Deal to Save Firm // CNBC, August 6, 2012. URL: http://www.cnbc.com/id/48516238.


[Закрыть]. Из Европы, где развивался долговой кризис, больших новостей не приходило. Новых важных экономических индикаторов не ожидалось. Однако, когда открылась Нью-Йоркская фондовая биржа, цена акций швейцарской фармацевтической компании Novartis как будто взбесилась. В течение десяти минут сменились владельцы почти дневного объема торговли этими акциями, а заявки на них все поступали и поступали.

В небольшом офисе в небоскребе неоклассического стиля рядом с Уолл-стрит автоматизированная система покупала тысячи акций компании Novartis, пока не уперлась в заранее установленный нижний предел цены и не прекратила торговые операции. Система издала громкий сигнал, что привлекло внимание Джона Мюллера. Мюллер, компьютерный аналитик и выпускник Массачусетского технологического института, разработал основную часть автоматизированной торговой платформы фирмы, где он работал. Именно путем торговли пакетами акций с очень высокой скоростью фирма и зарабатывала свои деньги.

Что за черт? Мюллер вывел информацию об акциях Novartis на портале Bloomberg. Хотя стоимость акций достигла минимума, компания не делала никаких заявлений о том, почему это происходит. И Мюллер не был одинок в своей озадаченности: странное поведение акций удивило всех брокеров Уолл-стрит.

Таблицы на мониторе Мюллера показывали две противоположные картины. Красным были обозначены потери от прежних приобретений его фирмой акций Novartis, поскольку они продолжали дешеветь. Другая колонка, зеленая, показывала прогноз, основанный на его модели: цена акций очень низкая, и Мюллеру следует скупать их как можно больше. Пока взгляд Мюллера метался между этими двумя колонками, он увидел то, что заметили и другие торговцы на фондовой бирже: точно такая же противоречивая информация появилась в отношении акций других компаний, от General Motors до Pepsi. Это означало, что проблема, видимо, заключается не в самих компаниях, а в чем-то другом. Вскоре по офисам и торговым залам Уолл-стрит поползли слухи: одна из теорий заключалась в том, что что-то случилось в хорошо известной брокерской фирме Knight Capital.

Том Джойс, генеральный директор фирмы Knight, развалился на диване и смотрел спортивную программу Sports Center. Ти Джей, как все его называли, в принципе должен был находиться в офисе фирмы в городе Джерси. Но в тот день он остался дома в элитном городке Дариен, штат Коннектикут. Тома незадолго до этого прооперировали, его колено было тщательно забинтовано, и на нем лежал лед.

Около десяти часов утра ему позвонил руководитель торговых операций: «Ты не смотрел канал CNBC? У нас ошибка в электронной торговой системе – и большая». Сбой в компьютерной сети – детали были известны еще только в общих чертах – привел к тому, что фирма уже за первые полчаса торгов заключила непреднамеренных сделок на 6,5 млрд долларов. Ти Джей ужаснулся от мысли о возможных последствиях: такая ситуация – просто кошмар с точки зрения правил регулирования фондового рынка, она могла угрожать самому существованию брокерской компании.

В течение тридцати минут электронная торговая система компании Knight, будто сойдя с ума, рассылала сотни заявок в секунду на покупку акций 140 компаний. Именно эти заявки и стали причиной аномалий, которые Джон Мюллер и сотни других брокеров Уолл-стрит наблюдали на экранах своих мониторов. А поскольку ошибка биржевого робота фирмы Knight всколыхнула весь рынок настолько заметным образом, брокеры смогли перестроить свои позиции. Knight оказалась в роли игрока в покер, карты которого стали известны соперникам. Но обратного хода уже не было. В течение тридцати минут ошибочных торгов компания теряла по 15 млн долларов ежеминутно{55}55
  В 10:00 Knight, видимо, потеряла около 200 млн долларов (источник – личная переписка Тома Джойса, 16 мая 2017 года). Однако, поскольку трейдеры на Уолл-стрит знали, что компании Knight нужно закрыть ошибочные позиции, положение компании ухудшилось. В течение всего дня трейдеры Knight старались сократить свой портфель ценных бумаг, пока во второй половине дня не договорились с Goldman Sachs о продаже банку ошибочно приобретенных акций ниже покупной цены (со скидкой).


[Закрыть].

Из машины по дороге в офис Ти Джей сделал один из важнейших телефонных звонков за свою карьеру. Он пытался убедить Мэри Шапиро, председателя Комиссии по ценным бумагам и биржам, что торговые операции компании Knight должны быть отменены, потому что они были откровенно ошибочными. Один из IT-специалистов в офисе компании неправильно скопировал новую версию торгового программного обеспечения на серверы фирмы. «Вы можете быть уверены в том, что с юридической точки зрения это была именно ошибка», – настаивал Ти Джей. Шапиро ответила, что должна обсудить ситуацию со своими коллегами.

Ти Джей сморщился от боли, вылезая из машины и хватая костыли. Поднимаясь на лифте в офис, он все недоумевал, как подобная тривиальная ошибка могла нанести компании такой урон. Как простая безалаберность единственного сотрудника могла стоить фирме 500 млн долларов?

Хотя компьютерный сбой стал причиной огромных убытков компании Knight, корни проблемы лежали гораздо глубже. Предшествовавшее десятилетие технологических инноваций на Уолл-стрит создало отличные условия для катастрофы. Технологии и новые правила регулирования превратили торговые операции на бирже из разрозненной и не очень эффективной сферы деятельности, строившейся в значительной степени на личных связях между игроками, в жестко связанный механизм, в котором начали доминировать компьютеры и алгоритмы. Компании типа Knight, которые когда-то использовали в основном трейдеров в торговом зале и телефонные звонки для заключения сделок, вынуждены были адаптироваться к новой действительности.

В 2006 году большинство торговых сделок с ценными бумагами на бирже были автоматизированы. Тогда в США была создана система под названием Regulation National Market System (Система регулирования национального рынка ценных бумаг), или Reg NMS. Хотя многие эксперты говорят о фондовом рынке США как едином целом, на самом деле в нем больше дюжины отдельных фондовых бирж, притом что в каждой действуют несколько различные правила, но все они могут проводить сделки на любых биржевых площадках.

Организация Reg NMS принесла с собой две важные перемены. Первое: она убрала человека из торгового цикла, установив, что автоматически биржевые заявки (ордера) будут оформляться очень быстро. До этого заявка инвестора на приобретение какого-то пакета акций могла лежать в течение нескольких минут, до тех пор пока трейдер лично не сравнивал ее с заявкой другого инвестора и не осуществлял сделку. Второе: Reg NMS уравняла биржевые площадки в том отношении, что фондовые биржи стали теперь связаны друг с другом и взаимно признавали принятые другими правила. Представьте себе, что инвестор посылает заявку на Нью-Йоркскую биржу (NYSE) на покупку 100 акций корпорации IBM. В прошлом эта заявка осталась бы в NYSE даже в том случае, если другая биржа предложила бы за акции более низкую цену. Но система Reg NMS обязала все биржи адресовать заявки другим площадкам, если те предлагают инвесторам более привлекательные цены. Это создало по-настоящему единый национальный биржевой рынок.

Хотя брокерская фирма Knight Capital не была широко известна за пределами Уолл-стрит, она довольно успешно работала и с ордерами небольших инвесторов, которые поступали через таких брокеров, как, например, E-Trade, Fidelity и TD Ameritrade, и с заявками крупных инвесторов наподобие пенсионных фондов. Ордера поступали на серверы компании, где компьютерный код под названием Smart Order Router определял, что с ними делать: отправлять от имени Knight прямо на фондовую биржу, сравнивать с другими заявками в собственной внутренней электронной торговой системе или поступать с ними каким-то другим образом.

Компания Knight совершенствовала используемые технологии, чтобы соответствовать переменам, происходящим на фондовом рынке. Благодаря появлению Reg NMS количество биржевых площадок в Америке резко возросло. Давно существующие и известные биржи типа Nasdaq и NYSE постоянно работали над модернизацией действующих правил, чтобы привлекать более широкие слои клиентов – от профессиональных трейдеров и больших пенсионных фондов до индивидуальных инвесторов, вкладывающих в ценные бумаги свои личные сбережения.

Переход к полностью автоматизированному рынку ценных бумаг стал революцией в сфере финансов. Использование компьютеров снизило операционные расходы{56}56
  Хотя существует немало примеров недостатков так называемого высокочастотного алгоритмического трейдинга на биржевых рынках, есть в нем и определенные плюсы. Поскольку осуществление сделок банками и трейдерами имеет свою довольно высокую цену, больший объем торговых операций и расширенное использование технологий снижает стоимость биржевых операций. Помимо этого, автоматическая торговля биржевыми инструментами уменьшает спред между ценой спроса и предложения. Это уменьшает цены для инвесторов. См., например: Terrence Hendershott, Charles M. Jones, and Albert J. Menkveld. Does Algorithmic Trading Improve Liquidity? // Journal of Finance 66 (1), 2011. P. 1–33. Высокочастотный трейдинг делает также более доступным и такие ликвидные финансовые инструменты, как акции индексных фондов, которые по сути являются видом паевых инвестиционных фондов или паевыми пенсионными фондами. Хотя до сих пор ведется ожесточенная дискуссия относительно того, является ли высокочастотная биржевая торговля выгодной для мелких инвесторов, она, несомненно, снижает стоимость их доступа к биржевым операциям.


[Закрыть], повысило скорость торгов и позволило трейдерам увереннее контролировать свои заявки. Однако наряду с этим созданный Reg NMS рынок стал характеризоваться значительно большей сложностью и жесткостью связей, что привело к неожиданным последствиям. Например, 6 мая 2010 года американские биржи пережили событие, которое назвали «кризисом-вспышкой»{57}57
  Chris Clearfield and James Owen Weatherall. Why the Flash Crash Really Matters // Nautilus, April 23, 2015. URL: http://nautil.us/issue/23/dominoes/why-the-flash-crash-really-matters.


[Закрыть]. В ходе него небольшой сбой мгновенно затронул акции сотен компаний, и многие из них рухнули в цене до стоимости одного цента. Правда, несколько мгновений спустя ситуация стабилизировалась. Это был один из самых странных дней в истории Уолл-стрит, что говорит о многом.

Теперь виновницей катастрофы, вынесенной в заголовки всех американских СМИ, стала компания Knight.

Указать на точную причину краха компании Knight достаточно сложно. Но начать, пожалуй, можно с октября 2011 года. В том месяце Нью-Йоркская фондовая биржа предложила новый метод торговли для небольших инвесторов: программу розничной ликвидности (Retail Liquidity Program – RLP). Эта программа создавала некое подобие «теневого рынка» для некрупных клиентов, позволяя им осуществлять сделки по ценам, более выгодным, чем действовавшие в конкретный момент на долю цента. Программисты компании Knight несколько раз в год модернизировали программное обеспечение фирмы, что сделали и сейчас, обеспечив таким образом клиентам доступ к новой программе.

Клиенты компании должны были указать, что их торговые ордера были включены в программу RLP. Чтобы облегчить эту задачу, в программу добавили так называемый флажок. Этот флажок, среди прочего, обозначал, что обрабатывать этот ордер следует особым образом, и предписывал электронной системе направлять его в программу RLP. Такой флажок, как наклейка «Осторожно, хрупкое» на посылке: он не изменяет ее содержимое, но сигнализирует о необходимости особого обращения с упаковкой. Когда брокерские фирмы наподобие Fidelity направляли в компанию Knight ордера, предназначенные для программы RLP, они прикрепляли к ордеру флажок – букву «P» (она входила в аббревиатуру RLP) в специально отведенном для этого месте.

Если электронная система маршрутизации ордеров фирмы Knight под названием Smart Order Router (Умный маршрутизатор ордеров) получала ордер с флажком, она направляла его в ту часть торговой системы, которая знала, что с ним делать дальше.

Много лет компания Knight использовала тот же флажок для обозначения другого вида ордера, который назывался Power Peg («большой заказ»). Когда трейдер присылал такую заявку, электронная торговая система компании делила его на более мелкие пакеты и посылала серию ордеров с целью снизить колебания цен на акции под воздействием большого заказа. Power Peg была устаревшей функцией, которую прекратили поддерживать еще в 2003 году, но программисты не удалили ее из торговой системы, просто сделали недоступной. Несколько лет спустя в код системы были внесены изменения, которые подразумевали, что программа Smart Order Router больше не будет отслеживать торговые сделки ордеров Power Peg. В принципе это было уже и не нужно, ведь функция была отключена. Ошибки никто не заметил.

Таким образом, безопасные на первый взгляд шаги – запуск программы RLP, сохранение в системе функции Power Peg, отключение возможности отслеживать такие сделки, а также использование в новой программе Smart Order Router старого флажка – создали условия для финансовой катастрофы. За несколько дней до запуска RLP IT-специалист фирмы Knight обновлял программное обеспечение в системе электронной торговли. Чтобы убедиться, что проблем не возникнет, он сначала установил обновление только на нескольких серверах. Все прошло хорошо, и техник проделал то же самое на всех восьми серверах компании. Или, во всяком случае, собирался. В итоге получилось так, что на семи серверах был запущен новый код RLP, а на восьмом остался старый – тот самый с функцией Power Peg.

Утром 1 августа в торговую систему компании Knight поступили сотни ордеров от брокеров-дилеров, чьи клиенты могли участвовать в программе розничной ликвидности. Семь серверов обрабатывали ордера правильно и посылали их на Нью-Йоркскую фондовую биржу как ордера RLP. Но на восьмом сервере случилась беда.

Когда в 9:30 открылась Нью-Йоркская биржа, этот сервер начал обрабатывать присланные клиентами заявки. Но код RLP в нем не был установлен, поэтому вместо того, чтобы направлять каждый полученный ордер на биржу по фиксированной цене, сервер рассылал сотни ордеров в секунду, один за другим, причем цену устанавливал дефектный код Power Peg, сохранившийся на этом сервере. Нью-Йоркскую фондовую биржу наводнили ордера на покупку акций более ста компаний, включая Ford, General Motors, Pepsi и ту швейцарскую фармацевтическую компанию, на которую обратил внимание Джон Мюллер, – Novartis.

Хотя заполненные ордера не отражались во внутренних системах компании Knight, они были перехвачены мониторинговой программой, которая следила за некорректными операциями. Однако эта программа не предоставила подробной информации о содержании и происхождении заявок, поэтому менеджеры поначалу не осознавали всей серьезности ситуации. И, подобно компьютеру на АЭС Three Mile Island, который во время аварии выдавал только знаки вопроса, мониторинговая система Knight быстро утратила контроль над происходящим.

К тому времени когда компании удалось устранить проблему, она уже находилась на грани банкротства.

Финансовая катастрофа, постигшая фирму Knight, 30 лет назад была бы невозможна. Пока в торговле ценными бумагами не стали доминировать компьютеры, большинство сделок проводилось в ходе личного контакта покупателей и продавцов в торговом зале биржи. Это делало транзакции более понятными и уменьшало вероятность возникновения неожиданных взаимодействий. Когда происходило что-то странное, например клиент обращался с неожиданно крупной заявкой, трейдеры могли перепроверить ситуацию перед тем, как осуществить сделку. Это делало фондовый рынок достаточно слабо связанной системой. А если возникало недопонимание, то трейдеры могли просто побеседовать с клиентом и отменить некорректную операцию. Однако резкий рост использования компьютеров в торговле ценными бумагами превратил современную финансовую отрасль в сложную, малопрозрачную и не прощающую ошибок среду.

Когда Ти Джей добрался до своего офиса, он и его команда топ-менеджеров начали обсуждать пути получения срочного инвестирования от своих торговых партнеров, поскольку стоимость собственных акций фирмы Knight резко упала. На следующий день после происшествия Ти Джей – с больным коленом и прочим – появился на канале Bloomberg Television и попытался успокоить инвесторов: «Техника дает сбои. Это плохо. Мы этого не хотим, но все же такое случается».

Тому Джойсу с большим трудом удалось спасти компанию. К концу недели он добился значительных денежных вложений в фирму, а через несколько месяцев Knight объявила, что она сливается с фирмой Getco, своим бывшим конкурентом. Вскоре после слияния Ти Джей покинул объединенную компанию.

«Я не думаю, что кто-то из нас застрахован от проблем, – сказал он нам. – Задним числом все мы думаем и бегаем быстрее, а прыгаем выше. До того как возникает проблема, принимается масса мер предосторожности». Но этих мер бывает недостаточно. Фирмы, подобные компании Knight, сместились в опасную зону намного дальше, чем кто-либо мог предположить.

10 апреля 2010 года. День у Калеба Холлоуэя начался хорошо. Он был долговязым парнем двадцати восьми лет, работал помощником бурильщика на одной из самых сложных современных нефтяных платформ. Холлоуэй и его коллеги заканчивали бурение разведочной скважины на нефтеносном участке Macondo Prospect, принадлежавшем корпорации British Petroleum (ВР). В то утро начальник платформы Джимми Харрелл вызвал Холлоуэя в свой кабинет. Там на небольшой церемонии, в присутствии других управляющих платформы, Харрелл вручил Калебу серебряные часы – награду за то, что бурильщик обнаружил изношенный болт в ходе инспекции оборудования.

А почти через 12 часов после этого Холлоуэй едва избежал гибели{58}58
  Описание аварии на буровой платформе Deepwater Horizon основывается на нескольких источниках: National Commission on the BP Deepwater Horizon Oil Spill and Offshore Drilling, Deep Water: The Gulf Oil Disaster and the Future of Offshore Drilling // Report to the President, Washington, DC: Government Publishing Office, 2011; David Barstow, David Rohde, and Stephanie Saul. Deepwater Horizon’s Final Hours // New York Times, December 25, 2010. URL: http://www.nytimes.com/2010/12/26/us/26spill.html; Earl Boebert and James M. Blossom. Deepwater Horizon: A Systems Analysis of the Macondo Disaster. Cambridge, MA: Harvard University Press, 2016; Peter Elkind, David Whitford, and Doris Burke. BP: An Accident Waiting to Happen // Fortune, January 24, 2011. URL: http://fortune.com/2011/01/24/bp-an-accident-waiting-to-happen; BP’s Deepwater Horizon Accident Investigation Report, September 8, 2010. URL: http://www.bp.com/content/dam/bp/pdf/sustainability/issue-reports/Deepwater_Horizon_Accident_Investigation_Report.pdf.


[Закрыть]. Глина и нефть, выброшенные из скважины под огромным давлением, били фонтаном высоко над платформой, называвшейся Deepwater Horizon. Через несколько минут от работающих двигателей загорелось газовое облако. Члены команды спустили полупустые спасательные лодки или спрыгнули в темные воды Мексиканского залива с высоты 18 м. Некоторые не смогли выбраться с платформы – погибло 11 человек. Прежде чем затонуть, платформа Deepwater Horizon горела два дня, выбрасывая пламя на такую высоту, что его было видно с расстояния в 50 км{59}59
  Understanding the Initial Deepwater Horizon Fire // Hazmat Management, May 10, 2010. URL: http://www.hazmatmag.com/environment/understanding-the-initial-deepwater-horizon-fire/1000370689.


[Закрыть].

Последующие три месяца из скважины глубиной 1,5 км беспрепятственно вытекала нефть. Наконец, через 87 дней после взрыва, компании ВР удалось запечатать скважину. Но к тому времени почти 5 млн баррелей нефти вытекло в Мексиканский залив, в результате чего образовалось огромное плавающее нефтяное пятно.

Название буровой платформы Deepwater Horizon («Глубоководный горизонт») было исполнено большого смысла. За год до того, как на ней произошел взрыв, с платформы пробурили самую глубокую на тот момент скважину в мире. Она проходила на 1,6 км сквозь толщу воды и вгрызалась в морское дно на глубину еще 8 км. Такие нефтедобывающие компании, как ВР, брали платформы в лизинг для открытия новых месторождений нефти. Однако процесс бурения на такую глубину резко повысил сложность и жесткость связей во всей системе работ. ВР рисковала, все дальше и дальше заходя в опасную зону. А при стоимости лизинга 1 млн долларов в день эксплуатация Deepwater Horizon была совсем не дешевым делом. Поэтому инженеры торопились закончить работу на участке Macondo и перейти к новым проектам.

Авария на буровой платформе произошла не из-за изношенного болта или чего-то подобного, что могли бы обнаружить бурильщики при очередной инспекции оборудования. Все случилось из-за неспособности ВР справиться с возросшей сложностью всей системы буровых работ.

Как радиация не дает возможности прямо наблюдать за активной зоной реактора, так и глубоководная среда с ее колоссальным давлением закрывала от взора людей то, что происходило внутри скважины. Бурильщики не могли отправить кого-то на километры внутрь земли, чтобы посмотреть, как там развивалась ситуация. Вместо этого они полагались на компьютерные модели и косвенные измерения, такие как показатель давления в скважине или производительности насосов.

Когда инженеры ВР приняли ряд рискованных решений – в частности, проигнорировали настораживающие показатели роста давления в скважине{60}60
  National Commission on the BP Deepwater Horizon Oil Spill and Offshore Drilling // Deep Water. P. 105–109.


[Закрыть] и не провели необходимые тесты ее прочности{61}61
  National Commission on the BP Deepwater Horizon Oil Spill and Offshore Drilling // Deep Water. P. 3–4.


[Закрыть], – сложность системы заслонила возникшие проблемы. Команда платформы Deepwater Horizon балансировала на грани катастрофы, даже не осознавая этого.

Пока экипаж платформы боролся с пожаром, сложность нанесла новый удар: системы безопасности платформы оказались излишне запутанными. Например, для активации только одной из противопожарных систем нужно было нажать целых тридцать кнопок, а «Руководство по борьбе с чрезвычайными ситуациями» описывало столько всевозможных случаев, что команда не могла определиться, каким инструкциям следовать. Когда произошла авария, экипаж платформы буквально замер в нерешительности. Сложность систем безопасности парализовала людей.

Сама платформа, бурившая нестабильные геологические породы дна Мексиканского залива, оказалась жестко связанной структурой. Когда случилась авария, систему нельзя было отключить, а потом запустить вновь. Для нефти и газа не было другого способа выйти из скважины, кроме движения вверх.

Платформа Deepwater Horizon была чудом инженерной мысли, которая раздвигала границы возможного в процессах бурения. Но даже оказавшись далеко в опасной зоне, эта система полагалась на меры безопасности, более подходящие для простых и щадящих условий.

Компания Transocean, которой принадлежала платформа, уделяла много внимания определенным аспектам техники безопасности. «Совещания по этим вопросам проходили постоянно, – вспоминал Холлоуэй. – Еженедельные и ежедневные совещания по безопасности»{62}62
  David Barstow, Rob Harris, and Haeyoun Park. Escape from the Deepwater Horizon // New York Times video, 6:34, December 26, 2010. URL: https://www.nytimes.com/video/us/1248069488217/escape-from-the-deepwater-horizon.html.


[Закрыть].

Команда даже помогала записать видео в стиле рэп{63}63
  David Barstow, Rob Harris, and Haeyoun Park. Escape from the Deepwater Horizon // New York Times video, 6:34, December 26, 2010. URL: https://www.nytimes.com/video/us/1248069488217/escape-from-the-deepwater-horizon.html.


[Закрыть], посвященное тому, как в повседневной работе на буровой защищать свои руки. Там были такие слова:

Безаварийное рабочее место

Прежде всего.

Сначала все спланируй

И береги свои руки.

Машинист, работаешь с двигателем?

Береги свои руки!

Разнорабочий, подающий трубы,

Береги свои руки!

Помощник, соединяя трубы,

Береги свои руки!

На ВР так же тщательно следили, чтобы кто-то не ушибся или не поскользнулся, придавалось большое значение предотвращению производственного травматизма. Как объяснял один из бывших инженеров компании: «Руководство ВР{64}64
  Andrew B. Wilson. BP’s Disaster: No Surprise to Folks in the Know // CBS News, June 22, 2010. URL: http://www.cbsnews.com/news/bps-disaster-no-surprise-to-folks-in-the-know.


[Закрыть] сосредоточилось на простых аспектах безопасности: от работников компании требовали, чтобы при ходьбе по лестнице они всегда держались за поручень, часами рассказывали о преимуществах парковки машин задом к ограждению, чтобы потом легче было выезжать, и предупреждали об опасности отсутствия крышки на пластиковом стаканчике с горячим кофе{65}65
  Elkind, Whitford, and Burke. BP.


[Закрыть]. Однако в более сложных вопросах, например инвестирования в содержание и ремонт различного оборудования, они не проявляли столько же энтузиазма».

Они больше волновались о том, чтобы люди не разлили кофе, а не о том, чтобы по океану не разлилась нефть.

Такой подход на первый взгляд выглядит абсурдным, но компании видели в нем глубокий смысл. Обожженные руки, падения и поскальзывания, а также автоаварии означали для фирм значительные потери рабочего времени и стоили дорого. Кроме того, такого рода происшествия легко отследить, составить статистику травматизма и влияния на него мер безопасности и показать, как позитивно они воздействуют на финансовые итоги работы компании. Меньшее количество травм дает наглядные результаты – снижение расходов и увеличение прибыли квартал за кварталом. Эти результаты создают иллюзию безопасности. Невероятно, но эта иллюзия сохранилась даже после аварии на платформе Deepwater Horizon. «Несмотря на трагическую гибель людей в Мексиканском заливе, мы достигли образцовых статистических показателей в плане обеспечения безопасности, если исходить из общего числа зафиксированных в компании происшествий и тяжести их последствий, – было написано в одном из докладов компании Transocean, которые она, по действующему законодательству, должна ежегодно представлять в Американскую комиссию по ценным бумагам и биржам для обоснования стоимости своих акций. – Учитывая данные показатели, это был лучший год с точки зрения обеспечения производственной безопасности в истории компании. Это отражает нашу приверженность созданию безаварийных условий деятельности всегда и везде»{66}66
  Proxy Statement Pursuant to Section 14(a) // Transocean with the U. S. Securities and Exchange Commission, April 1, 2011. URL: https://www.sec.gov/Archives/edgar/data/1451505/000104746911003066/a2202839zdef14a.htm.


[Закрыть].

Лучший год с точки зрения обеспечения производственной безопасности? Образцовые статистические показатели?

Они замешаны в одной из самых тяжелых катастроф в истории мировой экономики, однако по их стандартам это был безопаснейший год компании.

Возможно, им нужны другие стандарты. Или кардинально новый подход.

По мере того как меняются наши системы, должны меняться и способы управления ими. Компании Knight, BP и Transocean использовали устаревшие подходы. Кстати, фирма Knight вообще не считала себя организацией, связанной с технологиями, хотя технологии и были основой ее деятельности. Методы компании больше подходили для времени, когда на фондовом рынке главным лицом был трейдер в торговом зале. Но Knight работала уже в другую эпоху.

Точно так же подходы концерна ВР и компании Transocean к вопросам безопасности, наверно, нормально работали бы в более простых системах, как, например, обычное бурение с наземных установок. В них упор на предотвращение производственного травматизма и правильное содержание оборудования (скажем, на выявление изношенных болтов) и мог бы сыграть свою роль. Но Deepwater Horizon была сложнейшей плавучей буровой платформой. Она работала непосредственно в той самой опасной зоне.

Когда Перроу выпустил книгу «Нормальные аварии» (Normal Accidents) в 1984 году, описанная им опасная зона была довольно «малонаселенной». Она включала в себя такие системы, как атомные электростанции, химические предприятия и космические полеты. С тех пор самые разные системы – от университетов и компаний Уолл-стрит до плотин и морских буровых платформ – стали намного более сложными и жестко связанными.

И никакие системы сегодня не защищены от такой трансформации, даже те, которые когда-то были самим воплощением простоты и нежесткой связанности. Представьте себе скромное почтовое отделение. В 1984 году Перроу поместил почту в самом безопасном уголке своей матрицы, далеко от опасной зоны. Эта система с наименьшей степенью вероятности могла бы «пойти вразнос». Но изменения затронули и ее.