Схема швейцарского сыра предлагает нам несколько способов уменьшить количество несчастных случаев:
• Добавить больше кусочков сыра.
• Уменьшить количество дырок (или сделать существующие дырки меньше).
• Оповещать операторов, если несколько дырок выстраиваются в ряд.
Каждый из этих моментов влияет на решение оперативных вопросов. Больше кусков сыра означает больше линий защиты. Примером может служить требование относительно чек-листов, когда один человек читает пункты, а второй проводит операции, чтобы подтвердить, что все сделано верно.
Уменьшение количества критических точек в безопасности производственного процесса, где может произойти ошибка, — это уменьшение количества или размера отверстий в швейцарском сыре. Правильно сконструированное оборудование уменьшит вероятность погрешностей и ошибок. Именно так повысили безопасность перелетов в сфере гражданской авиации. Дебора Херсман, председатель Национального совета по безопасности на транспорте, описала философию дизайна так:
Авиалинии США обеспечивают безопасность в небе более чем двух миллионов человек каждый день. Мы достигли таких результатов в значительной мере за счет того, что максимально усложнили дизайн и увеличили количество уровней защиты
[49].
Это и есть швейцарский сыр. Эта метафора показывает, что бесполезно пытаться найти единственную причину несчастного случая (обычно — какого-то человека) и наказать виновника. Вместо этого нам нужно думать о системах, обо всех взаимодействующих факторах, которые приводят к человеческой ошибке и влекут за собой несчастные случаи, и придумывать способы, которые делают системы более надежными.
Когда хорошего дизайна недостаточно
В каких случаях действительно виноваты люди
Иногда меня спрашивают, действительно ли можно говорить, что всегда виноваты не люди, а плохой дизайн. Разумный вопрос. Конечно, иногда виноватый человек есть.
Даже компетентные люди могут утратить навыки, если они мало спали, устали или находятся под действием психотропных веществ. Именно поэтому у нас есть законы, которые запрещают пилотам летать, если они употребляли алкоголь определенное время тому назад, и по этой же причине мы ограничиваем количество часов, в течение которых они могут управлять самолетом без передышки. Для большинства профессий, где есть риск погибнуть или получить повреждения, установлены такие же правила относительно алкоголя, сна и лекарств. Но у обычных профессий нет таких ограничений. Персоналу в больницах часто приходится обходиться без сна гораздо дольше, чем это считается приемлемым согласно требованиям безопасности на авиалиниях. Почему? Вам бы понравилось, если бы вас оперировал врач, который мало спал? Почему в одном случае недостаток сна считается опасным, а в другом — нет?
В некоторых видах деятельности существуют ограничения по росту, возрасту, физической силе. В других требуются определенные навыки или технические знания: необученные или некомпетентные люди не должны ими заниматься. Поэтому для стольких видов деятельности требуется прохождение одобренного правительством обучения и лицензирования. Это, например, вождение автомобиля, управление самолетом или медицинская практика. Везде требуются обучение и сдача экзаменов. В авиации одного обучения недостаточно: пилот должен постоянно практиковаться и каждый месяц налетать определенное количество часов.
До сих пор частой причиной автомобильных аварий служит вождение в нетрезвом виде: очевидно, что это вина водителя. Недостаток сна — еще одна распространенная причина транспортных происшествий. Но то, что иногда люди действительно оказываются виноваты, не значит, что они виноваты всегда. Намного больше аварий происходит по вине плохого дизайна либо оборудования, либо, как это часто бывает в случае с промышленными авариями, алгоритмов, которые нужно соблюдать.
Как уже говорилось, когда чуть раньше в этой главе мы обсуждали преднамеренные нарушения, люди иногда будут сознательно нарушать алгоритмы и правила. Это происходит потому, что иначе они не могут выполнить свою работу, или потому, что они уверены в наличии у них каких-то смягчающих обстоятельств, а иногда потому, что они решают рискнуть, полагая, что шансы на неудачу невелики и в любом случае с ними ничего плохого не случится. К сожалению, если кто-то делает что-то опасное, что-то, что в одном случае из миллиона приводит к смерти или травмам, это становится причиной нескольких сотен смертей в год (если посчитать случаи по всему миру, где живет семь миллиардов человек). Один из моих любимых примеров из области авиации — история про пилота, заметившего низкие показатели давления масла сразу во всех трех двигателях. Он решил, что это, должно быть, сбой аппаратуры: был один шанс на миллион, что датчики не ошиблись. Он правильно оценил ситуацию, но, к сожалению, его случай оказался тем самым единственным из миллиона. Только в Соединенных Штатах за 2012 год было совершено около девяти миллионов перелетов. Поэтому один случай на миллион — это девять аварий в год. Иногда действительно виноваты люди.
Устойчивое проектирование
В промышленности аварии в крупных сложных системах вроде нефтяных скважин, нефтеперерабатывающих и химических заводов, электрических систем, а также аварии в сфере транспортных и медицинских услуг могут сильно влиять и на саму компанию, и на местное население. Иногда проблемы возникают не в самой организации, а появляются снаружи. Это могут быть, например, свирепые штормы, землетрясения или приливные волны, которые разрушают значительные фрагменты существующей инфраструктуры. В любом случае вопрос в том, как проектировать эти системы и управлять ими так, чтобы они могли продолжать работу с наименьшими повреждениями и минимальным ущербом. Эффективный подход — устойчивое проектирование
[50]. Его цель — создание таких систем, алгоритмов, способов управления и методов обучения людей, чтобы они могли реагировать на проблемы по мере их возникновения. Этот подход направлен на то, чтобы дизайн всех этих систем (оборудования, алгоритмов и коммуникации между сотрудниками, а также с менеджментом и общественностью) постоянно анализировали, тестировали и совершенствовали.
