Логика неудачи. Книга о стратегическом мышлении в сложных ситуациях

Конечно, в более широком масштабе подобное «делегирование» может иметь совершенно другие последствия. В таких случаях не только невозможно найти настоящие причины неудач и краха планов и решений; помимо этого, в случае необходимости имеется и козел отпущения. Перекладывая ответственность на других путем делегирования, человек не только избавляется от ответственности, но и получает потенциальных виновных в неудаче.

Приведенный выше перечень недостатков «плохих» бургомистров Лоххаузена не следует рассматривать как однородный блок. Все эти недостатки никоим образом не встречались абсолютно у всех испытуемых. Напротив, участники эксперимента – и именно неуспешные – вели себя очень по-разному. Некоторые преимущественно испытывали проблемы с определением сферы деятельности; другим недоставало лишь глубины погружения в соответствующую задачу, и они беспомощно барахтались на поверхности; третьи слишком зацикливались на частностях.

От каких же факторов зависят особенности поведения испытуемых? Традиционный набор психологических тестов не срабатывает при попытке спрогнозировать типы поведения. Первым делом следует иметь в виду, что поведение в подобных ситуациях зависит от интеллекта. Планирование более сложного толка, принятие и исполнение решений, пожалуй, определяются тем, что в повседневной психологии описывают словом «интеллект». Однако не выявлено достойных упоминания взаимосвязей между результатами тестов на интеллект и достижениями в эксперименте с Лоххаузеном или еще в каком-либо эксперименте по решению сложных задач. (Для тех, кто хотел бы знать это точно: на самом деле оказалось, что существует небольшая положительная взаимосвязь, составляющая в линейной корреляции^[14] примерно 0,1. Мы могли бы даже предположить, что эта взаимосвязь статистически значима, если бы усреднили большее количество людей. Конечно, эта взаимосвязь настолько незначительна, что не имеет ценности для любой прогностики или диагностики.)

Похоже, с типами поведения наших испытуемых связано что-то вроде способности переносить неопределенность. Если человек просто отказывается от решения сложных задач или мнимо решает их путем делегирования другим людям; если он со слишком большой готовностью позволяет новой информации отвлечь себя от уже существующих проблем; если он решает те проблемы, которые может решить, не занимаясь теми, которые он решить должен; если он избегает размышлений о собственном поведении и не хочет смотреть в лицо своим недостаткам – тогда, вполне возможно, стоит искать общий знаменатель для всех этих форм поведения и мышления в склонности не замечать собственную беспомощность и бессилие в сложной ситуации, прячась за решительностью и уверенностью.

Позже мы еще займемся этой темой.

Чернобыль в Таналанде

До сих пор мы наблюдали за играми. Мы анализировали, как люди ориентируются в компьютерных мирах, которые были им отчасти знакомы, отчасти неизвестны. Теперь, разумеется, возникает вопрос, как обстоит дело с переносом результатов этих игр в реальную жизнь. Какое отношение имеет поведение испытуемых, которым пришлось взять на себя роль бургомистров Лоххаузена или обладающих неограниченными полномочиями экспертов в сфере помощи развивающимся странам в Таналанде, к их поведению в реальности? Вероятнее всего, наши испытуемые никогда не станут бургомистрами и (к счастью!), никогда не продвинутся до поста правящего диктатора какой-нибудь страны третьего мира. Являются ли типы поведения, которые они продемонстрировали в этих экзотических для них сценариях, реализацией их общих склонностей, которые были бы обнаружены, если бы этих людей поместили в ситуацию, характеризующуюся такими чертами, как неопределенность, комплексность и непрозрачность? Или эти особенности поведения специфичны лишь для определенных ситуаций и характерны только для экзотических обстоятельств, в которые мы принудительно поместили наших испытуемых?

В этой части главы мы снова опишем всего лишь пример. Однако преимущество этого примера заключается в том, что этот случай был разыгран в «настоящей» реальности, а не в компьютерной программе.

26 апреля 1986 года на украинской атомной станции в Чернобыле взорвался четвертый реактор, разрушив бетонное перекрытие весом в тысячу тонн, что привело к заражению большой части окружающей территории и всей Европы радиационными частицами и обострило споры вокруг атомной электроэнергии, вокруг восточных и западных технологий постройки реакторов и вокруг вопроса, может ли подобное повториться в других местах.

Мы не будем детально останавливаться на этих и других аспектах, какими бы важными они ни были. Чернобыль интересует нас по иным причинам. Если рассматривать непосредственные причины несчастья, произошедшего в Чернобыле, оно на 100 % объясняется психологическими факторами. Решающее значение имела не технология, более или менее совершенная, а то, что можно назвать «сбоем» в человеческом поведении.

Что же произошло в Чернобыле? Я не хотел бы в деталях пересказывать здесь хронологию событий; я подробно опишу лишь суть произошедшего, чтобы показать некоторые психологические факторы, имевшие значение в этой катастрофе. Я буду ссылаться на доклад Джеймса Т. Ризона из Университета Манчестера (1987 г.)^[15].

Рис. 14. Схематическое изображение чернобыльского реактора

На рисунке 14 мы видим в центре сам реактор. Внутри этого реактора и сквозь него проходят 1600 труб, через которые закачивается почти кипящая вода, которая проходит через реактор в виде смеси воды и пара. Пар отделяется от воды и затем разгоняет подключенные к реактору турбины. Вода и пар снова проводятся через закрытый контур реактора. Помимо первичного контура существует еще система аварийного охлаждения, изображенная на рисунке слева.

Незадолго до момента аварии на реакторе должно было проходить ежегодное техническое обслуживание. Перед обслуживанием предполагалось провести эксперимент, который должен был помочь улучшить систему сигнализации. Я не буду останавливаться на деталях эксперимента. Вся серия этих экспериментов должна была завершиться к майским праздникам, поэтому 25 апреля 1986 года в 13.00 реактор начали переводить на пониженную нагрузку, чтобы довести его производительность до 25 %. Испытания должны были проводиться при этих условиях. Час спустя, в 14.00, в реакторе отключили систему аварийного охлаждения. Это было частью плана тестирования и предположительно должно было пройти таким образом, чтобы аварийная система охлаждения во время фазы испытаний случайно не включилась.

В 14 часов находящееся в Киеве управление завода приказало не отключать реактор от сети, так как могло возникнуть непредвиденное повышение потребности в электроэнергии. Только в 23.10 того же дня реактор наконец отключили от сети, и после этого началось снижение его мощности до 25 %, чтобы выполнить запланированную программу тестов.

Через полчаса после полуночи вместо желаемой мощности в 25 % была достигнута мощность в 1 %. Оператор выключил автоматическое управление и попытался достичь отметки в 25 % на ручном управлении. Очевидно, при этом он слишком сильно передвинул ручку управления. Он в недостаточной мере принял в расчет самоторможение реактора, и таким образом получилось, что реактор в конце концов показал мощность 1 % вместо запланированных 25 %.

Подобная склонность к чрезмерному отклонению рычагов управления характерна для человеческих сообществ с динамическими системами. Мы исходим не из развития системы, то есть из временных различий между следующими друг за другом моментами, а из определяемого состояния в соответствующий момент времени. Человек регулирует состояние, а не процесс и таким образом приходит к тому, что поведение самой системы и вмешательство через управление наслаиваются друг на друга, и управление чрезмерно отклоняется от нормы. В главе «Ход процесса во времени» мы еще столкнемся с подобными примерами управленческого поведения.

Состояние низкой мощности опасно для реакторов чернобыльского типа. Такие реакторы при низком диапазоне мощности работают неравномерно; подобно некоторым дизельным двигателям на холостом ходу, работа реактора становится нестабильной. Неполадки проявляются при расщеплении ядра: при известных условиях наступает опасный локальный максимум, который может привести к внезапному «уходу на второй круг» процесса расщепления ядра. Эксплуатационникам было отлично известно об этих опасностях при обращении с реактором. Именно по этой причине им строго запрещалось опускать мощность реактора ниже 20 %.

Затем реактор изо всех сил пытались вывести из опасной зоны нестабильности, и через полчаса его удалось стабилизировать до 7 % мощности. Эксперимент решили продолжить. Пожалуй, в этом и была серьезная ошибка – именно в этот момент следовало остановить весь процесс. Решение продолжать тестирование при 7 % мощности означало, что все последующие действия будут происходить в зоне максимальной нестабильности реактора. Операторы явно неверно оценили эти условия. Почему? Вряд ли потому, что им никогда не сообщали об опасности нестабильности. Скорее следует предположить, что операторы решили продолжать тестирование по двум другим причинам. Первой причиной был временной прессинг, под которым они находились (или чувствовали, что находятся). Они хотели как можно скорее закончить это по сути обременительное для них выполнение программы тестирования, предназначенного для московских инженеров-электриков. Второй причиной, вероятно, было то, что, хотя операторы в теории и знали об опасностях нестабильности реактора, они не приняли во внимание фактическую опасность происходящего за доли секунды экспоненциального выхода реактора на второй круг, поскольку не могли представить себе наглядную картину этой опасности. Теоретические знания вовсе не обязательно означают умение действовать в реальной ситуации.

Еще одну причину нарушения предписанных мер безопасности – первопричину недостаточного внимания к опасности быстро происходящего повторного расщепления в реакторе, – возможно, следует искать в том, что обслуживающий персонал уже многократно практиковал подобные нарушения требований безопасности. Однако в учебно-теоретическом смысле нарушение техники безопасности обычно чем-то подкреплено, то есть оно того стоит, человек из него что-то извлекает. Когда человек нарушает правила безопасности, это обычно облегчает жизнь. Непосредственные последствия такого нарушения – это лишь устранение препятствий, созданных предписаниями безопасности, и бо́льшая свобода действий. Обычно правила техники безопасности интерпретируют таким образом: при их нарушении человек не взлетает немедленно в воздух, не получает ран и повреждений и не страдает еще каким-либо образом, а жизнь его при этом становится проще. Но это может оказаться настоящей ловушкой. Положительные последствия нарушения правил безопасности приводят к тому, что возрастает склонность полностью их игнорировать. Однако при этом возрастает и вероятность того, что в реальности что-нибудь действительно случится. А когда и в самом деле что-то случается, уже не бывает возможности сделать выводы о том, как следует вести себя в будущем.

Правилами техники безопасности пренебрегают вовсе не одни только операторы атомных станций в Чернобыле, Гаррисбурге^[16], Библисе^[17] или где-то еще. Если побеседовать со специалистами по психологии труда в химической промышленности или с людьми, изучающими причины промышленного травматизма, то вы услышите от них, что подобное уклонение от предписаний безопасности – обычное дело. Учитывая описанные выше аспекты, в этом нет ничего удивительного.

Вернемся к Чернобылю. Следующим шагом было включение всех восьми насосов первичного контура. Это было сделано в 1.03, то есть вскоре после стабилизации реактора на уровне 7 %. И это тоже было запрещено. Разрешалась одновременная эксплуатация лишь шести насосов. Причиной включения всех восьми насосов было, вероятно, то, что тем самым люди хотели обеспечить стабильность реактора – ведь таким образом достигалось дополнительное охлаждение. Однако при этом никто не предусмотрел, что дополнительное охлаждение приведет к удалению из реактора большей части графитовых стержней, служащих для регулировки скорости расщепления ядра. Система отреагировала на возросшую нагрузку, самостоятельно удалив часть своих «тормозов». Этого побочного эффекта операторы явно не предусмотрели. Они добились главного результата, и их головы были до такой степени заняты этой задачей, что они больше не задумывались о побочных эффектах и далеко идущих последствиях своего поведения. На рисунке 15 схематически показано переплетение главных и побочных последствий.

Рис. 15. Главные и побочные последствия изменения пропускной способности воды в реакторе

Как показывает схема, следствием включения всех восьми насосов стало снижение давления пара. Это совершенно естественно: когда воду закачивают в систему отопления с более высокой скоростью, вода нагревается не так быстро, что приводит к относительно более низкому выходу пара. Относительно низкий в сравнении с количеством закачиваемой воды выход пара может быть и абсолютно низким, и в этом случае вышло именно так. Поскольку паровые турбины были нужны для предстоящего эксперимента, были приняты встречные меры: проток воды увеличили в три раза. Это привело вовсе не к желаемому результату; вместо этого давление пара еще больше снизилось, то есть эффект оказался прямо противоположным. Само по себе это не было бы опасно. Опасным было то, что еще больше графитовых стержней автоматически поднялись из реактора. Почти излишне говорить о том, что помимо этого было отключено и устройство, которое при падении давления пара вызывало автоматическое отключение реактора.

В 1.22 начальник смены потребовал отчет о количестве стержней в реакторе. В результате выяснилось, что в реакторе находится лишь 6–8 стержней. Это гораздо ниже количества, требуемого для нормального уровня безопасности. Работа реактора менее чем с двенадцатью стержнями категорически запрещалась.

Если вы предполагаете, что требование отчета о количестве стержней вызвало некое чувство опасности, в которой находились люди, то вы ошибаетесь. До взрыва оставалось меньше двух минут, но руководитель смены решил продолжить эксперимент. Это означало, что реактор будет использоваться практически без тормозов.

В 1.23 закрыли одну из пароотводящих труб, ведущую к одной из турбин, – это было необходимо согласно программе тестирования. Следствием этого стало, однако, то, что включилась система безопасности с обратной связью. Минутой позже – по-видимому, что-то заметив – операторы попытались совершить нечто вроде аварийного торможения. Была предпринята попытка вернуть графитовые стержни обратно в реактор, однако это было невозможно, так как трубы, в которые должны были проскользнуть стержни, уже деформировались из-за слишком большого повышения внутренней температуры. В этот момент произошло два взрыва. Остальное в этой истории всем известно.

Что из области психологии мы здесь обнаруживаем? Мы видим склонность проводить слишком много мероприятий под давлением времени. Мы видим неспособность мыслить нелинейно, то есть не причинно-следственными цепочками, а причинно-следственными сетями; неспособность принимать в расчет немедленные и отдаленные последствия собственного поведения. Мы видим недооценку экспоненциальных процессов – неспособность увидеть, что экспоненциально происходящий процесс, раз начавшись, развивается с высоким ускорением. Все это – когнитивные ошибки, погрешности в способности к осознанию.

Рис. 16. Скрытые причины Чернобыльской аварии

Эти изначальные ошибки имеют свои собственные скрытые причины, представленные на рисунке 16. В отношении сотрудников, работавших на украинском реакторе, речь шла о сплоченной команде из весьма авторитетных профессионалов, которая даже получила премию за то, какую масштабную роль их реактор играл в электросети. Возможно, именно высокая степень самоуверенности этой команды была отчасти ответственна за аварию: реактором управляли не «аналитически», а до некоторой степени «интуитивно». Люди считали, будто они знают, что именно должны принимать в расчет, и, возможно, считали себя выше «смехотворных» предписаний безопасности, созданных для «детишек», которые только начали работать с реактором, а не для команды опытных профессионалов.

Склонность группы специалистов утверждать, что они все делают хорошо и правильно, скрыто подавлять критику внутри группы через гнет единообразия, описал в 1972 году Ирвинг Дженис^[18], говоря об опасности группового мышления у команд политиков, принимающих важные решения^[19], – например, у команды советников Кеннеди перед катастрофически окончившейся операцией в бухте Кочинос^[20] (см. также главу 8 этой книги).

Свой вклад в чернобыльскую аварию внесло и то, что все эти нарушения предписаний безопасности «в виде исключения» допускались вовсе не в первый раз – они повторялись и прежде, только без последствий. Это превратилось в «метод», в привычку; это делали потому, что всегда поступали именно так.

В связи с чернобыльской катастрофой и другими (произошедшими или едва не произошедшими) несчастьями речь часто заходит о сбое в работе людей, то есть человеческом факторе. У понятия «сбой», конечно, есть огромное количество разных значений. И конечно, у персонала четвертого реактора в Чернобыле этот «сбой» оказался настолько сильным, что реактор взорвался.

Однако если говорить о сбое в том смысле, что кто-то не добился нужного результата, то применительно к отдельным элементам поведения, в результате которых в конечном итоге произошла чернобыльская авария, мы имеем дело не со сбоем. Никто не заснул, когда должен был бодрствовать. Никто не проглядел сигнал, который должен был увидеть. Никто по ошибке не привел в действие неправильный выключатель. Все произошедшее операторы делали осознанно и явно с убеждением, что они все делают правильно. Как нечто само собой разумеющееся они отключили предохранительные устройства, хотя это было запрещено. При этом они ничего не проглядели и ничего не сделали по ошибке – напротив, по их мнению, меры по обеспечению безопасности были слишком ограничивающими для их слаженной и опытной команды. Подобные убеждения можно встретить не только при обращении с атомным реактором. Такую лестную веру в себя можно обнаружить абсолютно на любом промышленном предприятии и у любого автомобилиста, не пристегивающего ремень безопасности.

В поведении операторов реактора мы видим многое из того, что уже наблюдали у испытуемых в экспериментах с Таналандом и Лоххаузеном: трудности в отношениях со временем, трудности в оценке экспоненциально развивающихся процессов, трудности с пониманием ближайших и отдаленных последствий и склонность к изолированному мышлению по схеме «причина – результат». На фоне результатов экспериментов с Таналандом и Лоххаузеном поведение операторов в Чернобыле кажется совершенно понятным. Эти выдающиеся эксперты АЭС были бы совершенно обычными испытуемыми в Таналанде или Лоххаузене.

3. Требования

До сих пор мы описывали случаи – примеры того, как вели себя те или иные люди в тех или иных реальных или не совсем реальных ситуациях. В следующих главах мы дадим более систематизированную информацию. Мы проанализируем, какие требования предъявляют комплексные ситуации к умственным способностям людей и к их умениям строить планы и принимать решения. Мы проанализируем, как человек должен вести себя в отношении этих требований и какие возможности для ошибочного поведения неизбежно возникают из специфических видов этих требований.

В начале этой главы мы займемся общими особенностями сложных для принятия решения ситуаций, чтобы получить некоторое представление о том, к каким требованиям должен быть готов человек, чтобы прийти к разумным решениям.

Особенности комплексных ситуаций

Лоххаузен, Таналанд, Чернобыль – во всех этих местах речь шла о преодолении проблем в сложных, непрозрачных, динамических ситуациях с разветвленной структурой. Системы в каждом из этих случаев состояли из многочисленных переменных, которые были связаны в единую сеть и в большей или меньшей степени влияли друг на друга – это и составляло их сложность. Эти системы непрозрачны, по крайней мере отчасти: человек не видит всего того, что хочет увидеть. И наконец, эти системы самостоятельно развиваются – они обнаруживают собственную динамику.

К тому же акторы (то есть испытуемые) не обладали полными знаниями обо всех свойствах системы или даже имели о них неверное представление. Комплексность, непрозрачность, динамика, взаимосвязь компонентов системы и неполные либо неверные знания о ней – вот каковы общие особенности ситуаций, требующих действия, при работе с каждой из этих систем; именно с ними человеку и приходится справляться. Из этих общих особенностей вытекают различные специфические требования, предъявляемые к действующим лицам. В этой главе мы попытаемся сделать обзор этих специфических требований; однако сначала мы более детально остановимся на только что упомянутых общих особенностях и наглядно продемонстрируем, что именно под ними подразумевается.