Самое плохое, что, когда я говорю с дизайнерами и администраторами этих систем, они признают, что им тоже случалось клевать носом, делая при этом вид, что они работают. Некоторые даже говорили, что на секунду засыпали за рулем. Они сознавались, что им доводилось поворачивать регулятор не той горелки на плите у себя дома и совершать подобные небольшие, но показательные ошибки. Однако когда коллеги или покупатели делают то же самое, их винят в том, что они невнимательны, рассеянны или не следуют инструкциям.
Поймите, почему произошла ошибка
Ошибки случаются по многим причинам. Наиболее распространенная заложена в самой природе задач и процедур, которые требуют от человека неестественного поведения: не терять бдительности часами напролет, давать точные и четкие технические характеристики и при этом выполнять множество других задач, делать несколько дел одновременно, в то время как тебя постоянно отвлекают, заставляя переключаться на другие виды деятельности. Подобные вмешательства в работу — очень частая причина ошибок, они особенно сильно досаждают, если дизайн системы требует от вас полного и безраздельного внимания, а после них бывает очень трудно вернуться к выполняемым задачам. Интересно, что самый опасный виновник ошибок — это отношение людей к ним.
Если в результате ошибки фирма терпит финансовые убытки или, что еще хуже, ошибка приводит к травме или смерти, собирают специальную комиссию, которая расследует дело и практически всегда находит виновников. Следующий шаг — предъявить им обвинение и наказать материальным штрафом, увольнением или тюрьмой. Иногда наказание бывает не таким суровым: группа виновных проходит переподготовку. Обвиняй и наказывай, обвиняй и обучай. Расследования и наказания, которые за ними следуют, помогают людям почувствовать облегчение: «Мы поймали виновных». Но это не решает проблемы: та же ошибка будет повторяться снова и снова. Вместо этого, когда случается ошибка, нам следует определить, почему это произошло, переделать продукт или алгоритм процедур, чтобы этого больше никогда не случилось, а если случится — чтобы причиненный сбоем вред был минимальным.
Анализ первопричин
Анализ первопричин — ваша основная задача: исследуйте случай до тех пор, пока не будет найдена единственная, основная причина. Это значит, что, когда люди принимают неверные решения или предпринимают ошибочные действия, мы должны понять, что заставляет их ошибаться. Этим и должен заниматься анализ первопричин. К сожалению, слишком часто анализ заканчивается, когда находят человека, который действовал неправильно.
Мы говорим, что необходимо найти причину аварии, и это отлично звучит. Однако это неверно. Во-первых, большинство аварий не имеет единственной причины: обычно случается одновременно много событий, и если бы какое-то из них не произошло, то и аварии бы не было. Это то, что Джеймс Ризон, известный британский специалист по человеческим ошибкам, назвал «модель аварий “«Швейцарский сыр”» (изображена на рис. 5.3 этой главы ниже, там она описана более детально).
Во-вторых, почему анализ первопричин всегда завершается, когда мы доходим до человеческой ошибки? Если машина перестает работать, мы не прекращаем анализировать, обнаружив сломанную деталь. Вместо этого мы спрашиваем: «Почему эта деталь сломалась? Была ли она некачественной? Были ли слишком низкими технические требования? Возможно, нагрузка на эту деталь была слишком велика?» Мы продолжаем задавать вопросы, пока не поймем первопричин произошедшего: тогда мы идем и устраняем их. Нужно делать то же самое, когда мы обнаруживаем человеческую ошибку. Когда, проводя анализ, мы понимаем, что здесь ошибся человек, а не машина, наша работа только начинается: теперь мы должны с помощью этого анализа первопричин выяснить, почему она произошла и что можно сделать, чтобы ее предотвратить.
Один из самых современных самолетов в мире — это F-22 американских военно-воздушных сил. Однако с его участием произошло несколько аварий, а пилоты жаловались на нехватку кислорода (гипоксию). В 2010 году самолет F-22 разбился, и пилот погиб. Комиссия военно-воздушных сил изучала этот инцидент и в 2012 году выпустила отчет, в котором было сказано, что к аварии привела ошибка пилота: «Он не смог распознать проблему и вовремя выйти из пике из-за туннельного внимания, нарушения зрительного восприятия и неосознанной пространственной дезориентации»
[33].
В 2013 году генеральный инспектор министерства обороны США пересмотрел выводы комиссии военно-воздушных сил и выразил несогласие с данной оценкой. По-моему, на этот раз имел место настоящий анализ первопричин. Генеральный инспектор спросил: «Почему в качестве одного из факторов не рассмотрели внезапно возникшее состояние недееспособности или бессознательное состояние пилота?» Однако, как и следовало ожидать, военно-воздушные силы не согласились с этой критикой. Они утверждали, что провели тщательную проверку и что их вывод «был подкреплен ясными и убедительными доказательствами», а единственный недочет состоял в том, что «отчет можно было написать яснее».
Следующая пародия на эти два отчета будет лишь небольшим преувеличением:
ВВС: Это была ошибка пилота — он не смог предпринять верные действия.
Генеральный инспектор: Это потому, что пилот, возможно, был без сознания.
ВВС: То есть вы согласны, что пилот не смог исправить возникшую проблему.
Пять «почему»
Анализ первопричин направлен на то, чтобы выявить основную причину аварии, а не самую очевидную из них. Японцы уже давно используют для анализа первопричин алгоритм, который они называют «пять “почему”». Этот алгоритм был придуман Сакичи Тойодой и использован как часть системы производства компании Toyota. Он позволял значительно повысить качество продукции. Сегодня этот алгоритм широко используется. Суть в том, что, когда вы ищете причину, вы не должны останавливаться, найдя одну. Спросите себя, почему так случилось. И потом снова спросите почему. Продолжайте задавать себе этот вопрос, пока не дойдете до настоящих, главных причин. Понадобится ли для этого задать вопрос «почему» ровно пять раз? Нет, название «пять “почему”» подчеркивает, что нужно продолжать искать основную причину даже после того, как одну вы уже нашли. Вот как это можно было применить, проводя анализ аварии F-22:
Вопрос 1: Почему самолет разбился?
Потому что он вошел в неконтролируемое пике.
Вопрос 2: Почему пилот не вышел из пике?
Потому что пилот не смог вовремя выйти из пике.
Вопрос 3: Почему пилот не смог вовремя выйти из пике?
Потому что он мог быть без сознания (или испытывал кислородное голодание).
