В ретроспективе события кажутся очевидными и предсказуемыми. Но предвидеть их трудно. У нас никогда нет ясных подсказок, что сейчас произойдет авария. Сразу много всего происходит одновременно: загруженность очень высока, эмоции и стресс зашкаливают. Многое из того, что происходит, окажется незначительным. То, что, казалось бы, не относится к делу, будет жизненно важным. Специалисты, которые расследуют аварии и работают с ретроспективой, знают, что на самом деле произошло, поэтому сосредоточатся на том, что относится к делу, и проигнорируют остальное. Но в тот момент, когда эти события происходили, у их участников не было информации, которая позволила бы им отличить важное от неважного.
Поэтому по-настоящему качественный анализ несчастных случаев может занять очень много времени. Специалисты, проводящие расследование, должны представить себя на месте участников событий и рассмотреть всю информацию, квалификацию сотрудников и то, чему люди могли научиться из истории похожих событий, которые происходили раньше. Так что, когда в следующий раз случится крупная авария, не обращайте внимания на первоначальные репортажи журналистов, сообщения политиков и руководств компаний. У них нет никакой существенной информации, но они, тем не менее, чувствуют, что должны выступить с какими-то заявлениями. Подождите, пока не появятся официальные отчеты из надежных источников. К сожалению, это может произойти спустя месяцы и даже годы после аварии, а люди обычно хотят получить ответы немедленно, даже если эти ответы неправильные.
Более того, когда наконец мы узнаем всю историю полностью, газеты больше не будут рассматривать это как новость и не сообщат о результатах расследования. Вам придется искать официальный отчет. В Соединенных Штатах можно доверять Национальному совету по безопасности на транспорте. Этот совет проводит тщательные расследования крупных авиационных, автомобильных, железнодорожных аварий и кораблекрушений, а также аварий на трубопроводе. На трубопроводе? Конечно: по трубопроводу идут поставки газа и нефти.
Дизайн, способствующий ошибкам
Довольно просто создавать дизайн для таких ситуаций, когда все идет хорошо, когда люди используют устройства так, как предполагалось, и не случается никаких непредвиденных событий. Самое сложное — создать дизайн и на тот случай, когда все идет неправильно
[45].
Представьте разговор между двумя людьми. Допускают ли они ошибки? Да, но к этим ошибкам никто не относится как к ошибкам. Если человек говорит что-то непонятное, мы просим его пояснить. Если его мнение кажется нам неверным, мы задаем вопросы и спорим. Мы не используем предупреждающие сигналы. Не нажимаем на клаксон. Не доставляем сообщений об ошибке. Мы просим предоставить нам больше информации и включаемся в диалог, чтобы достичь взаимопонимания. В обычном разговоре двух друзей разного рода искажения воспринимаются как нечто нормальное, как приблизительные варианты того, что человек хотел сказать на самом деле. Грамматические ошибки, случаи, когда мы сами себя поправляем, фразы, которые мы начинаем заново, — все это мы игнорируем. На самом деле мы часто вообще не замечаем их, потому что концентрируемся на том, что человек хотел сказать, а не на поверхностных чертах.
Машины недостаточно умны для того, чтобы понять смысл наших действий, и они все еще намного менее умны, чем могли бы быть. Если мы делаем с нашими устройствами что-то, чего делать нельзя, но действие подходит под определенный формат команды, устройство выполняет эту команду, даже если это крайне опасно. Это приводит к трагическим случайностям, особенно в сфере здравоохранения, когда из-за плохого дизайна инфузионных насосов или рентгеновских аппаратов случаются экстремальные передозировки лекарств или радиации, что приводит к смерти пациентов. В финансовой сфере простые опечатки влекут за собой ошибочно огромные денежные переводы.
Даже простая проверка на разумность могла бы предотвратить все эти ошибки. (Об этом мы поговорим в конце главы в разделе под названием «Проверка на разумность».)
Многие системы усугубляют проблему — ошибиться становится проще, а найти ошибку или избавиться от нее — сложно или вообще невозможно. Не должно быть так, что одна простая ошибка может вызвать значительный ущерб. Вот как это можно сделать:
• Поймите причины ошибки и спроектируйте дизайн таким образом, чтобы свести к минимуму эти причины.
• Установите проверку разумности. Проходит ли действие тест на «здравый смысл»?
• Сделайте так, чтобы действия можно было отменить, или так, чтобы было сложнее выполнить те из них, которые отменить нельзя.
• Сделайте так, чтобы людям было проще обнаружить ошибки, которые они допускают, и чтобы их было легче исправить.
• Не относитесь к действию как к ошибке; лучше помогите человеку завершить действие правильно. Считайте, что действие — это приблизительный вариант того, что человек хотел на самом деле.
Как ясно из этой главы, мы многое знаем об ошибках. Так, новички будут чаще сталкиваться с ошибками, а эксперты — с промахами. Ошибки часто получаются из-за двусмысленной или неясной информации о том, в каком состоянии находится система в данный момент. Также ошибки нередко возникают из-за отсутствия хорошей концептуальной модели и неправильного порядка действий. Помните, что большинство ошибок случаются из-за неправильно поставленной цели, неверной оценки или интерпретации событий. Все это происходит потому, что система дает слишком мало информации относительно выбора целей и средств их достижения (планов) и не предоставляет достаточный фидбэк относительно того, что на самом деле произошло. Часто ошибки, особенно связанные со сбоями памяти, возникают из-за того, что нас отвлекают. Если деятельность прерывают какие-то другие события, цена ошибки гораздо выше, чем просто потерянное время: нам нужно потратить силы на то, чтобы вернуться к работе. Нам придется вспомнить, на каком именно этапе работы мы находились: какова была цель, на каком моменте действия мы остановились и в каком состоянии находилась система. В большинстве систем человеку сложно вернуться к работе после того, как его прервали. Они сбрасывают важнейшую информацию, которая нужна пользователю, чтобы помнить все те многочисленные мелкие решения, которые он принял, и восстановить то, что было в краткосрочной памяти. Не говоря уже о том, что мы не можем понять, в каком состоянии теперь находится система. Какие вещи все еще нужно сделать? Может, я уже закончил работу? Неудивительно, что, если нас прерывают, мы делаем много ошибок и допускаем огрехи.
