И вот эти коробки последовательно перемещались внутри системы — от техников к другим сотрудникам, от работников аэропорта до багажного отсека авиалайнера. Команда самолета не обнаружила проблему, и командир воздушного судна Кьюбек подписала полетные документы. «В результате пала последняя линия обороны пассажиров, — писал Лангуиш. — Им не повезло, и система убила их».

Расследования аварий поезда № 112 в вашингтонском метро и рейса 592 авиакомпании Valujet показали, что обе катастрофы произошли по одной и той же причине: возрастающей сложности наших систем. Когда поезд № 112 врезался в другой состав, продюсер радиокомпании National Public Radio Жасмин Гарсд [Из радиопередачи: Michel Martin. When Things Collide // National Public Radio, June 23, 2009. URL: http://www.npr.org/sections/tellmemore/2009/06/when_things_collide.html.] находилась за несколько вагонов от головного. «Столкновение было похоже на то, как если бы очень быстрое кино неожиданно остановилось с ужасным скрежетом, — вспоминала она. — Я думаю, в такие моменты каждый осознает две вещи: как мы малы и уязвимы в этом мире гигантских машин, которые сами же и построили, и насколько слабо мы осознаем эту уязвимость».

Но существует надежда. За последние несколько десятков лет наши знания сложности систем, организационного поведения и когнитивной психологии показали нам путь к постижению того, как маленькие ошибки перерастают в огромные неудачи. Мы начинаем не только осознавать, как случаются все эти инциденты, но и понимать, как небольшие шаги могут предотвращать их. В мире есть группа компаний, исследователей и команд, которые ведут поиск революционных способов предупреждения катастроф. И для этого не нужны самые продвинутые технологии или миллионные бюджеты.

Весной 2016 года мы организовали выступление Бена Бермана перед аудиторией, которой интересны уроки авиации, применимые в сфере управления рисками. Это была очень разноплановая аудитория: работники кадровых подразделений, государственные служащие, предприниматели, врачи, сотрудники некоммерческих организаций и юристы и даже кое-кто из сферы моды. Дело в том, что уроки Бермана размывают границы между сферами человеческой деятельности. «Сбои в работе систем, — говорил Берман своим слушателям, — невероятно дорого обходятся и часто недооцениваются. Вы наверняка столкнетесь с ними в вашей карьере или личной жизни». Здесь Бен сделал паузу и внимательно посмотрел на аудиторию: «Я думаю, что хорошая новость заключается в том, что вы действительно можете повлиять на ситуацию».

Часть первая. Неудачи вокруг нас

1. Опасная зона

«О, это будет очень весело»

I

Атомная электростанция (АЭС) Ventana расположилась у подножия величественной горной гряды Сан-Габриэль, всего в 65 км к востоку от Лос-Анджелеса. Однажды в конце 70-х годов станция испытала непонятные толчки. Когда на АЭС раздались сигналы тревоги и аварийные лампочки вспыхнули на приборах, в помещении щита управления станции началась паника. На консолях, где теснились датчики и измерительные приборы, один из индикаторов показывал, что уровень охлаждающей жидкости в активной зоне реактора достиг опасно высокого значения. Работавшая в зале смена, состоявшая из специалистов компании California Gas and Electric, открыла электромагнитные клапаны компенсатора давления, чтобы убрать из реактора лишнюю воду. Однако на самом деле ее уровень в активной зоне не был высоким. Напротив, в реальности он оказался настолько низким, что лишь на несколько сантиметров покрывал твэлы (тепловыделяющие элементы) реактора. В конечном счете начальник смены понял, что индикатор уровня воды давал неверные показания — и все из-за заклинившей в приборе стрелки. С большим трудом команде операторов удалось закрыть клапаны, чтобы предотвратить расплавление твэлов. В течение нескольких страшных минут АЭС находилась на грани ядерной катастрофы.

«Возможно, я и ошибаюсь, но вам, судя по всему, повезло, что вы остались в живых, — сказал один эксперт-ядерщик паре журналистов, которые оказались на АЭС во время инцидента. — По правде говоря, то же самое мы могли бы сказать и про всю остальную Южную Калифорнию».

К счастью, этого события в действительности никогда не было. Оно вошло в сюжет триллера 1979 года «Китайский синдром» [Китайский синдром (The China Syndrome). Режиссер Джеймс Бриджес, авторы сценария Майк Грэй, Т. С. Кук, Джеймс Бриджес (Columbia Pictures, 1979).], главные роли в котором исполняли Джек Леммон, Джейн Фонда и Майкл Дуглас. Это был абсолютный вымысел, во всяком случае по мнению руководителей атомной энергетики США, которые раскритиковали фильм в пух и прах еще до его выхода на экраны. Они утверждали, что фабула неправдоподобна с научной точки зрения, а один из них даже сказал, что картина «убивает репутацию целой отрасли промышленности» [David Burnham. Nuclear Experts Debate «The China Syndrome» // New York Times, March 18, 1979. URL: http://www.nytimes.com/1979/03/18/archives/nuclear-experts-debate-the-china-syndrome-but-does-it-satisfy-the.html.].

Майкл Дуглас, который участвовал в создании фильма как продюсер и исполнил одну из главных ролей, не согласился с этими утверждениями: «У меня есть предчувствие [Dick Pothier. Parallels Between «China Syndrome» and Harrisburg Incident Disturbing // Evening Independent, 7A, April 2, 1979.], что многое из того, что показано в картине, случится в реальности в ближайшие два или три года».

Так много времени и не понадобилось. Через двенадцать дней после того, как «Китайский синдром» вышел на экраны кинотеатров, Том Кауффман, 26-летний красавец с длинными рыжими волосами [Ira D. Rosen. Grace Under Pressure in Harrisburg // Nation, April 21, 1979.], приехал на работу на АЭС Three Mile Island, которая представляла собой бетонную крепость, построенную на песчаном острове посреди реки Саскуэханна в штате Пенсильвания. Это была среда, и в 6:30 утра Кауффман почувствовал, что что-то не так. Облака пара над гигантскими башнями испарительных градирен были значительно меньше, чем обычно. Проводя осмотр согласно правилам безопасности, Кауффман услышал сигнал тревоги. «А-а, это у них какие-то проблемы на втором энергоблоке», — сказал ему охранник [Tom Kauffman. Memories Come Back as NEI Staffer Returns to Three Mile Island // Nuclear Energy Institute, March 2009. URL: http://www.nei.org/News-Media/News/News-Archives/memories-come-back-as-nei-staffer-returns-to-three.].

Операторы набились в помещение щита управления [Интересными идеями и деталями аварии на АЭС Three Mile Island с нами поделился Виктор Жилински, бывший руководитель Комиссии по ядерному регулированию США, а также историк Комиссии Томас Веллок. Наше описание аварии основывается на следующих книгах и материалах: Charles Perrow. Normal Accidents: Living with High-Risk Technologies. Princeton, NJ: Princeton University Press, 1999; J. Samuel Walker. Three Mile Island: A Nuclear Crisis in Historical Perspective. Berkeley and Los Angeles: The University of California Press, 2004; John G. Kemeny et al. The Need for Change: The Legacy of TMI. Report of the President’s Commission on the Accident at Three Mile Island. Washington, DC: Government Printing Office, 1979; Backgrounder on the Three Mile Island Accident // U. S. Nuclear Regulatory Commission, February 2013. URL: https://www.nrc.gov/reading-rm/doc-collections/fact-sheets/3mile-isle.html; Looking Back at the Three Mile Island Accident // National Public Radio, March 15, 2011. URL: http://www.npr.org/2011/03/15/134571483/Three-Mile-Island-Accident-Different-From-Fukushima-Daiichi; Victor Gilinsky. Behind the Scenes of Three Mile Island // Bulletin of the Atomic Scientists, March 23, 2009. URL: http://thebulletin.org/behind-scenes-three-mile-island-0; Mark Stencel. A Nuclear Nightmare in Pennsylvania // Washington Post, March 27, 1999. URL: http://www.washingtonpost.com/wp-srv/national/longterm/tmi/tmi.htm.], сотни лампочек вспыхивали на гигантской консоли. На всей АЭС сработали датчики превышения уровня радиации. Незадолго до 7:00 руководитель смены объявил на станции чрезвычайную ситуацию. Это подразумевало, что на АЭС стал возможен «неконтролируемый выброс радиоактивных веществ». К 8:00 половина ядерного топлива в одном из двух реакторов электростанции расплавилась [В письменном ответе на вопросы комиссии по расследованию аварии на АЭС Three Mile Island (17 мая 2017 г.) Виктор Жилински пояснил, что факт расплава половины ядерного топлива был установлен только несколько лет спустя, когда был открыт компенсаторный клапан давления. Он писал тогда: «Оценки, сделанные во время аварии, исходили из того, что расплав твэлов мог быть минимальным. В официальных материалах об аварии, появившихся около года спустя, вопрос о расплаве ядерного топлива вообще не поднимался».], а к 10:30 в помещение щита управления проник радиоактивный газ.

Это была самая тяжелая катастрофа в атомной отрасли за всю историю Америки [Во многих источниках авария на АЭС Three Mile Island описывается как самая тяжелая ядерная катастрофа в истории Америки. Это чрезвычайное происшествие оценивается показателем в 5 баллов по Международной шкале ядерных и радиационных инцидентов, что указывает на аварию «как на имеющую значительные последствия». В то же время Томас Веллок в своем ответе на наш электронный запрос сообщил, что «имели место и другие происшествия на исследовательских реакторах Комиссии по атомной энергии, которые привели к травмам, а в одном случае и смерти трех сотрудников». Однако в любом случае авария на АЭС Three Mile Island явилась самым крупным чрезвычайным происшествием в истории американской коммерческой ядерной энергетики.]. В течение многих дней специалисты пытались стабилизировать температуру перегревшегося реактора, и некоторые правительственные чиновники опасались самого худшего. Ученые спорили, не взорвется ли пузырь водорода, образовавшийся под крышкой реактора. Было понятно, что радиация убьет любого, кто подберется к механизмам достаточно близко для того, чтобы вручную открыть клапан и удалить из реактора взрывоопасный газ.

После напряженного заседания в ситуационной комнате Белого дома помощник президента Джимми Картера по вопросам науки отвел в сторону Виктора Жилински, руководителя Комиссии по ядерному регулированию США, и тихим голосом предложил послать открыть клапан больных на последней стадии рака [Gilinsky. Behind the Scenes of Three Mile Island. Томас Веллок в своем ответе на наш электронный запрос 16 мая 2017 г. пояснил: «Какое-либо серьезное обсуждение вопроса о том, что кто-то рискнет своей жизнью, добежав до компенсаторного клапана и открыв его, отсутствовало. И не только потому, что это подвергло бы риску чьи-то жизни, но и потому, что в этом не было необходимости. Открытие вентиляционных клапанов в помещении реактора не требовало проникновения в него. И вообще было бы неправильно пытаться остудить реактор, так как температура и давление в нем были слишком высокие. Я думаю, что помощник президента по вопросам науки просто неправильно понял разъяснения Жилински и предложил нечто, в чем не было необходимости и что представляло большую опасность. Поэтому, хотя эта история и представляет пользу с точки зрения понимания состояния мыслей помощника президента, она не помогает нам точно понять, что тогда происходило на АЭС».]. Жилински внимательно посмотрел на собеседника и понял, что тот не шутит.

Населенные пункты вокруг АЭС превратились в «города-призраки», поскольку эту территорию покинуло 140 000 человек. На пятый день после катастрофы президент Картер и первая леди приехали на АЭС, чтобы успокоить паникующих. Обутые в ярко-желтые бахилы поверх обычной обуви для защиты от остатков радиации на почве, они обошли АЭС и тем самым приободрили нацию. В тот же день специалисты установили, что водородный пузырь больше не представляет собой непосредственной угрозы. А когда была восстановлена работа системы охлаждения, температура в активной зоне реактора стала падать. Однако, чтобы начали охлаждаться наиболее разогретые части топливосодержащего расплава, понадобился еще месяц. В конце концов были отменены все действовавшие предупреждения об опасности для населения. Но многие считали станцию Three Mile Island местом, где чуть не сбылись наши самые худшие опасения.

Авария на АЭС Three Mile Island началась с небольшой ошибки при ремонте системы водоснабжения станции. Бригада рабочих в тот день проводила обычное техобслуживание трубопроводов вне реакторной зоны. По каким-то причинам, неясным до сих пор, насосы, которые закачивают нагретую в реакторе воду в парогенератор, в этот момент отключились. По одной из версий, это произошло из-за того, что во время обслуживания влага случайно попала в систему сжатого воздуха, которая используется для пневматического управления арматурой и насосами. Поскольку вода перестала подаваться в парогенератор, она уже не могла охлаждать активную зону реактора, что привело к повышению температуры и давления. В связи с этим, как и было предусмотрено конструкцией, автоматически открылся небольшой клапан компенсатора давления. Однако тут произошел еще один сбой. Когда давление восстановилось до нормального, компенсаторный клапан не закрылся. Вода, которая должна была покрывать твэлы и охлаждать активную зону, начала из нее уходить [Авария на АЭС Three Mile Island была очень сложной, поэтому мы опустили много деталей. Например, когда остановились главные нагнетающие насосы, турбина тоже остановилась. Так было предусмотрено конструкцией. Так же по конструкции станции в этот момент включились дополнительные насосы, но нагнетаемая ими вода оказалась перекрыта двумя клапанами, которые случайно были оставлены в закрытом положении после ремонтных работ, осуществлявшихся за два дня до аварии. Позже, когда температура в реакторе выросла и находящаяся в ней жидкость превратилась в пар, в охлаждающих активную зону насосах возникла сильнейшая вибрация, и операторы отключили их, что еще больше ухудшило ситуацию из-за недостатка охлаждения. По мере нагревания воды она уходила из реактора через заклинивший клапан в виде пара. Более детальное описание аварии на АЭС Three Mile Island см.: Walker. Three Mile Island.].

Глядя на горящую лампочку датчика в щитовой комнате, операторы решили, что электромагнитный клапан закрыт. Но на самом деле светящийся индикатор свидетельствовал только о том, что на привод клапана поступила команда о его закрытии, а не о том, что он в действительности закрылся. Помимо прочего, в активной зоне реактора отсутствовали датчики, прямо показывающие уровень находящейся там воды, поэтому операторы вынуждены были опираться на показания других приборов: тех, которые указывали на уровень воды только в части системы под названием «компенсатор давления». Поскольку вода утекала через оставшийся открытым клапан, казалось, что в компенсаторе давления ее количество увеличивается, хотя в активной зоне реактора ее становилось меньше. В связи с этим операторы предположили, что воды в реакторе слишком много, тогда как ситуация была обратная. Когда аварийная система охлаждения включилась автоматически и начала нагнетать воду в активную зону, операторы отключили почти все насосы. твэлы в реакторе начали плавиться.