В течение многих лет Перроу и группа его учеников продирались сквозь частокол мельчайших деталей сотен аварий и чрезвычайных происшествий — от авиакатастроф до взрывов на химических предприятиях. И везде возникала одна и та же картина: разные части системы неожиданно вступали во взаимодействие друг с другом, причудливым образом сочетались небольшие сбои, а люди не понимали, что же происходило на самом деле.
По концепции Перроу, системы оказываются подвержены таким срывам под воздействием двух факторов. Если мы это осознаем, то сможем определить, какие из систем являются наиболее уязвимыми.
Первый фактор касается того, как различные части системы взаимодействуют друг с другом. Некоторые системы линейны: это как сборочный конвейер на автомобильном заводе, где все происходит в легко предсказуемой последовательности. Каждая машина проходит от первого узла сборки ко второму, затем к третьему и так далее. На каждом из этих этапов на нее устанавливаются различные детали. И если на каком-то из них происходит сбой, то сразу становится очевидным, на каком именно. Понятны также и последствия: машины могут не достигнуть следующего сборочного узла и скопиться на том, где произошел сбой. В системах такого рода различные их части взаимодействуют друг с другом преимущественно в очевидном и предсказуемом режиме.
Другие системы, такие как АЭС, являются более сложными: их части с большей вероятностью вступают в скрытое или неожиданное взаимодействие. Сложные системы скорее похожи на тонкую паутину, чем на сборочный конвейер. Многие их части находятся в тесной связи и могут легко воздействовать одна на другую. Даже, казалось бы, не имеющие друг к другу отношения части могут быть связаны косвенно, а некоторые подсистемы взаимодействуют со многими частями основной системы. Поэтому, когда что-то идет не так, проблемы «выскакивают» везде, и сложно сделать однозначный вывод о том, что вообще происходит.
Усложняет ситуацию тот факт, что значительная часть работы сложных систем проходит незаметно для невооруженного глаза. Представьте, что вы идете по тропе, которая спускается по краю скалы. Вы находитесь всего в нескольких шагах от пропасти, но вас оберегают ваши органы чувств. Ваша голова и глаза сконцентрированы на том, чтобы не дать вам оступиться или подойти слишком близко к краю.
Теперь представьте, что вы вынуждены идти по тому же маршруту, используя бинокль. Сейчас вы уже не можете видеть всю картину целиком. Вместо этого вам приходится ориентироваться по узким и не всегда четким секторам видимости. Вы смотрите туда, куда должна ступить левая нога. Потом сдвигаете бинокль, чтобы определить расстояние до края тропы. Затем готовитесь передвинуть правую ногу и снова переводите взгляд на тропу. А представьте, что вы бежите по тропе вниз, полагаясь только на эпизодически возникающие и нечеткие картины. Именно это мы и делаем, когда пытаемся управлять сложной системой.
Перроу быстро понял, что различие между линейной и сложной системами заключается не в их продвинутости. Сборочный конвейер на автозаводе точно не назовешь простым, и тем не менее его части взаимодействуют друг с другом преимущественно линейным и понятным образом. Или возьмите плотины. Они представляют собой вершину инженерного искусства, но не являются сложными.
В случае со сложными системами мы не можем забраться внутрь, чтобы посмотреть, что творится «в животе у чудовища». В оценке большинства ситуаций мы вынуждены опираться на непрямые показатели. Например, на АЭС мы не можем послать кого-то посмотреть, что происходит в активной зоне действующего реактора. Мы должны собирать воедино всю картину по маленьким кусочкам — показаниям датчиков давления, замерам расхода воды и т. п. Мы видим кое-что, но не все. Поэтому наш диагноз легко может стать ошибочным.
И вот когда мы имеем дело со сложными взаимодействиями внутри системы, небольшие изменения в ней могут произвести огромный эффект. На АЭС Three Mile Island чашка нерадиоактивной воды вызвала потерю тысяч литров радиоактивной охлаждающей жидкости. Это «эффект бабочки» из теории хаоса: концепция, согласно которой взмах крыльев бабочки в Бразилии может создать условия для торнадо в Техасе [Edward N. Lorenz. Deterministic Nonperiodic Flow // Journal of the Atmospheric Sciences, 20, no. 2, 1963. P. 130–141; Edward N. Lorenz. The Essence of Chaos. Seattle: University of Washington Press, 1993. P. 181–184.]. Пионеры теории хаоса понимали, что всех наших моделей и измерений никогда не будет достаточно для предсказания последствия «эффекта бабочки». Перроу утверждал нечто подобное: мы просто не можем в достаточной степени понять комплексные системы, чтобы предсказать все возможные последствия даже небольшого сбоя.
IV
Второй фактор теории катастроф Чарльза Перроу касается вопроса о том, сколько «люфта» позволяет данная система, насколько она (если использовать техническую терминологию) жестко связана. Когда части системы связаны жестко, между ними мало «люфта», или зазора. Сбой в одной части легко воздействует на другие. Отсутствие жесткого соединения означает обратное: между частями системы большой зазор, поэтому, когда один компонент выходит из строя, вся система при этом выживет.
В жестко связанных системах недостаточно преимущественно все делать правильно. Количество входящих импульсов должно быть точным, и они должны быть особым образом соединены по порядку и во времени. Повторное выполнение задачи в том случае, если не вышло с первого раза, обычно невозможно. Замены и альтернативные методы срабатывают редко — есть только один правильный порядок действий. Все происходит очень быстро, и мы не можем просто выключить систему, решая возникшую в ней проблему.
Возьмите атомные электростанции. Управление ядерной реакцией требует создания ряда специфических условий, где даже небольшое отклонение от нормального процесса (типа заклинившего клапана компенсатора давления) может создать большие проблемы. А когда такие проблемы возникают, мы не можем просто выключить систему или «поставить ее на паузу». Цепная реакция протекает со свойственной ей скоростью, и даже если мы остановим ее, то в реакторе сохранится много остаточного тепла. Тут важен правильный выбор момента. Если реактор перегревается, то бесполезно увеличивать уровень охлаждающей жидкости в нем через несколько часов — это нужно делать сразу. А проблемы быстро нарастают по мере расплавления твэлов и утечки радиации.
Авиационный завод характеризуется менее жесткой связанностью. Например, хвост самолета и его фюзеляж собираются по отдельности. И если в одной из этих частей возникают проблемы, они могут быть устранены перед их соединением. Здесь не важно, какую из частей мы строим первой. При появлении проблем мы можем приостановить работу, а незавершенную продукцию, например частично собранные хвостовые части, временно хранить на складе и вернуться к ним позднее. А если мы выключим все машины и механизмы на сборке, то система остановится.
Ни одна из систем не подходит полностью под придуманные Перроу категории, но некоторые из них более сложные и жестко связанные, чем другие. Вопрос в том, на сколько? Чтобы понять это, мы можем отобразить системы на схеме. На следующей странице показано, как примерно выглядела изначально набросанная Перроу матрица [Наш рисунок, изображающий факторы сложности и жесткой связанности систем, основывается на рис. 3.1 из кн.: Perrow. Normal Accidents. P. 97. Рисунок несколько упрощен.].
Плотины и атомные электростанции в верхней части матрицы представляют собой жестко связанные системы, но плотины (во всяком случае, традиционной конструкции) характеризуются значительно меньшей сложностью. Они состоят из меньшего количества компонентов, и в них меньше возможностей для возникновения непредвиденных и невидимых взаимодействий.
Расположенные в нижней части матрицы почтовые отделения и университеты не являются жестко связанными системами. В них не обязателен строгий порядок и достаточно времени для решения проблем. «Какое-то время корреспонденция может скапливаться на складе почтового отделения без особо негативных последствий, — писал Перроу, — потому что люди спокойно относятся, например, к предрождественской суете или студенты с пониманием переносят очереди при записи на академические курсы осенью» [Perrow. Normal Accidents. P. 98.].
Но почтовые отделения менее сложны по сравнению с университетами. Это достаточно простые системы. Университеты, напротив, представляют собой сложный бюрократический механизм, в котором существует много отделений и подразделений, действуют разные правила и функции, а люди исполняют различные роли — от исследователей и преподавателей до администраторов и студентов. Часто все это смешивается непредсказуемым образом. Имея за плечами многие десятилетия опыта работы в такой системе, Перроу очень ярко описал, как неожиданные проблемы декана стали следствием тривиального академического события — решения не заключать бессрочный контракт с доцентом, которого любят студенты и преподаватели, но который публикует слишком мало научных работ. Однако благодаря нежестким связям в этой системе в ней всегда есть резерв времени и пространство для маневра. Так что подобный инцидент не нанесет особого ущерба всей остальной системе. Скандал на социологическом факультете обычно не затрагивает факультет медицинский.
Самая опасная зона в матрице Перроу — верхний правый квадрат. Катастрофы порождаются комбинацией сложности и жесткости связей в системе. В сложных системах небольшие ошибки и сбои неизбежны. И по мере того как ситуация ухудшается, внешние проявления все больше озадачивают. Даже если мы постараемся, будет сложно точно диагностировать проблему, а решая не ту, которую нужно, можно серьезно ухудшить ситуацию. Причем если система еще и жестко связана, то мы не в состоянии предотвратить «эффекта домино». Сбои распространяются быстро и неконтролируемо.
