После тех нескольких судьбоносных дней в 2008 г., когда американское правительство позволило компании Lehman Brothers обанкротиться, а затем поддержало AIG, многие пришли к одному из двух противоположных мнений: либо к AIG нужно было отнестись так же, как к Lehman Brothers, либо к Lehman Brothers нужно было отнестись так, как правительство отнеслось к AIG. Но правильнее было бы обанкротить обе компании так, чтобы это не привело к масштабной катастрофе. Не дать банкам разрастись до такой степени, чтобы они стали «слишком большими, чтобы обанкротиться», это правильно по сути, но неправильно по формулировке, как показывает аналогия с домино: костяшка не может быть «слишком большой, чтобы упасть». Нам нужны «ворота безопасности», чтобы падающая костяшка не повалила за собой слишком много других.
Помимо прочего, если мы учимся предупреждать будущие кризисные ситуации, мы должны помнить, что в каждой системе есть по крайней мере два показателя, которые обязательно приведут к катастрофическим последствиям: жесткие связи и сложность. Эксперты по технике безопасности в промышленности рассматривают сокращение связей между различными процессами и уменьшение сложности как дело полезное само по себе. Так же должны относиться к этому и финансовые регуляторы.
11. «Дипвотер хоризон»
В ночь на 20 апреля 2010 г. Майк Уильямс находился в машинном зале буровой платформы в Мексиканском заливе. Эта платформа воплощала в себе все последние технические достижения. Ее палуба была размером 130 на 85 м, и она уже успела установить мировой рекорд глубоководного бурения в 10 680 м, что превышает высоту горы Эверест. Бригада только что закончила бурение и приступила к цементированию скважины Макондо. В тот день на платформу прилетели руководители компании-оператора платформы, Transocean, и владельца скважины, BP, чтобы отметить семь лет безаварийной работы. Но авария, которой суждено было произойти, оказалась не просто серьезной, она стала крупнейшей экологической катастрофой в истории США. Платформа называлась «Дипвотер хоризон».
Уильямс сообразил, что происходит что-то неладное, когда моторы на платформе резко набрали обороты. Он не понял, что взрывоопасный метан, бурля, поднимается со дна океана, почти с двухкилометровой глубины. Моторы на платформе всосали его в себя и резко ускорились. Зазвучали сигналы тревоги; лампочки загорелись так ярко, что вскоре полопались. Сам Уильямс едва успел отклониться, как его компьютерный монитор взорвался. Затем последовал огромной силы взрыв, от которого Уильямс перелетел в другой угол комнаты, а стальную противопожарную дверь толщиной 10 см сорвало с петель. Он пополз к выходу, но от нового взрыва вторая противопожарная дверь отбросила его вглубь помещения. Из раны на голове обильно текла кровь, но, несмотря на это, он выполз на палубу и увидел, что команда уже эвакуируется, не зная, что он и еще несколько человек выжили во время взрыва и сейчас находятся в помещениях. Представив себе жену и маленькую дочь, Уильямс помолился и прыгнул в воду. Как и жертвам аварии на «Пайпер альфе», ему пришлось прыгать с высоты 10-этажного дома. Но он выжил, а 11 других нефтяников погибли.
Ответственные за этот взрыв и последовавший за ним гигантский разлив нефти будут названы судом. В Мексиканский залив вылилось более 5 млн баррелей нефти, и произошло это всего в 65 км от побережья Луизианы. Как такое могло случиться?
Вероятно, основная вина ляжет на оператора платформы, компанию Transocean, на компанию Halliburton, которая по контракту должна была цементировать скважину, на регулятора, который подписал планы бурения, и, конечно, на BP, которой принадлежала скважина Макондо и которая руководила всем проектом. У каждой стороны есть серьезные финансовые мотивы обвинять в аварии других. Но, несмотря на всю неразбериху, к моменту написания этой книги стали известные некоторые подробности, с помощью которых можно восстановить уже знакомую нам картину произошедшего.
Прежде всего, как мы уже знаем, системы обеспечения безопасности часто начинают мешать. Когда катер, который подобрал Уильямса, подплыл к горящей платформе, чтобы отбуксировать спасательный плот, то оказалось, что тот привязан к платформе спасательным канатом. Оператор платформы, компания Transocean, запрещала команде иметь ножи, поэтому из-за двух требований безопасности и катер, и спасательный плот оказались привязанными к горящей платформе. (Канат в конце концов удалось разрезать, и команда спаслась.) Или рассмотрим такое устройство системы безопасности, как газосепаратор для бурового раствора, который быстро переполнился, и из-за него платформа оказалась окутанной взрывоопасным газом. Без этого устройства бригада просто могла бы направить весь поток в океан, и тогда можно было бы избежать самого худшего в этой аварии.
Вторым уроком является то, что латентные ошибки могут оказаться роковыми. Собственное расследование аварии, проведенное компанией BP, показало, что были нарушены восемь отдельных линий защиты. Говоря языком Джеймса Ризона, в кусочках сыра совпало восемь дырок. Но этому едва ли стоит удивляться: при таких авариях почти всегда нарушаются все линии защиты. Самым примечательным является отказ противовыбросового устройства – это огромная погруженная система вентилей и гидравлических плунжеров, предназначенных для перекрывания скважины в момент аварии. При слушании в конгрессе было объявлено, что противовыбросовое устройство находилось в плачевном состоянии: в одном из автоматических включателей отсутствовал аккумулятор, а в другом была дефектная деталь. Из устройства текла гидравлическая жидкость, а это означало, что при аварийном включении подводным роботом оно не смогло бы заглушить скважину. Все это звучит невероятно, но безаварийные системы, такие как противовыбросовое устройство, ремонтируются редко, поскольку в идеале они никогда не используются. На «Дипвотер хоризон» противовыбросовое устройство, которое включается только при чрезвычайных ситуациях, причем на глубине почти 2000 м, последний раз инспектировалось за пять лет до аварии.
Третий урок заключается в том что, если у разоблачителей появится шанс высказаться, то аварии можно избежать. Скважина уже несколько недель вела себя нестабильно, а инженеры компании BP давно предупреждали об опасности. Бригадир, работавший на скважине Макондо, сообщил о проблемах с противовыбросовым устройством за три месяца до аварии. Техника безопасности в компании Transocean страдала уже несколько лет, к тому же после слияния в компании была напряженная внутренняя обстановка. ВР на бумаге проводила политику защиты тех людей, которые разоблачают недостатки. Но на практике спаянный коллектив буровой платформы придерживался конформизма, независимо от официально проводимой политики. Нефтяные компании, как и банки, нуждаются в поощрении разоблачителей.
Четвертое: система буровой платформы имеет излишне жесткие связи. Один отказ ведет к появлению другого. Платформа была спроектирована таким образом, чтобы не допускать ни больших, ни малых разливов нефти. На платформе имелся газосепаратор, который предупреждал небольшие разливы и контролировал работу противовыбросового устройства. Однако в самый ответственный момент, когда все средства платформы должны были сработать, чтобы ликвидировать разлив, сама платформа развалилась от серии взрывов. Так же, как и на «Пайпер альфе», противовыбросовое устройство нельзя было запустить с палубы платформы, поскольку первый взрыв повредил электропроводку. Для большей безопасности нужно было предусмотреть возможность включения противовыбросового устройства не из диспетчерской.
