Какое ТЕБЕ дело до того, что думают другие?

Официальные лица НАСА утверждают, что эта цифра гораздо ниже. Они указывают, что «поскольку на шаттле есть люди, то вероятность успешного выполнения задания непременно очень близка к 1,0». Это значит, что она действительно

близка к 1 или что она должна быть

близка к 1? Они продолжают свое объяснение: «Исторически сложилось так, что эта чрезвычайно высокая степень успешности полета породила разницу в философии программ полета в космос пилотируемых и непилотируемых ракет; т.е. использование численной вероятности против суждения инженеров». (Эти цитаты взяты из отчета «Данные по космическому шаттлу для анализа безопасности ТРН, выполняющих задачу полета в космос», страницы 3-1 и 3-2, 15 февраля, 1985, НАСА.) Совершенно истинно то, что если бы вероятность отказа была столь низкой, как 1 к 100 000, то потребовалось бы чрезмерно большое количество испытаний, чтобы ее определить: вы бы не получили ничего, кроме вереницы идеальных полетов без какой бы то ни было точной цифры — за исключением того, что, вероятность, скорее всего, не превышает количество таких полетов в данной веренице, которые уже были выполнены. Но если реальная вероятность не так мала, то полеты не проходили бы идеально: возникали бы проблемы, близкие к аварийным ситуациям и, возможно, реальные аварии при разумном числе пробных запусков, так что стандартные статистические методы вполне могли бы обеспечить разумную оценку. На самом деле, предыдущий опыт НАСА, время от времени, показывал почти подобные проблемы, близкие к авариям, и даже аварии, что являет собой предупреждение о том, что вероятность отказа в действительности не так уж мала.

Еще одна несообразность в аргументе, связанном с отсутствием необходимости проверять надежность в процессе опыта (как это делал служащий по безопасности дальних полетов), — это обращение НАСА к истории: «Исторически, эта высокая степень успешности полета…» Наконец, если мы хотим заменить стандартно используемую численную вероятность суждением инженеров, почему мы обнаруживаем такое огромное несоответствие между оценками менеджеров и суждением инженеров? Создается такое ощущение, что, какой бы ни была цель — будь эта оценка предназначена для использования внутри организации или вовне нее, — руководство НАСА преувеличивает надежность своего продукта до уровня фантастики.

Я не буду повторять здесь историю смотров готовности полета и его оценки (см. другие части отчета комиссии), но феномен принятия уплотнений, которые выказали эрозию и прорыв газов при предыдущих полетах, — совершен очевиден. Полет «Челленджера»

— превосходный пример: есть несколько ссылок на предыдущие полеты; принятие и успех этих полетов принимаются в качестве доказательства надежности всех последующих. Однако эрозия и прорыв газов конструкцией шаттла не предусмотрены.

Они предупреждают о том, что что-то не в порядке. Оборудование работает не так, как должно, а потому существует опасность того, что оно начнет работать с еще большими отклонениями, совершенно неожиданным и не до конца понятым образом. Тот факт, что ранее это не привело к катастрофе, не гарантирует, что катастрофа не произойдет в следующий раз, если только все это не будет понято до конца. При игре в русскую рулетку тот факт, что при первом нажатии на курок выстрела не последовало, ничуть не гарантирует того, что его не последует и при повторном нажатии на курок. Происхождение и следствия эрозии и прорыва газов не были поняты. Эрозия и прорыв газов не были одинаковыми во всех полетах и во всех стыках: иногда они были сильнее, иногда слабее. Почему не могло случиться так, что однажды, когда определяющие эти явления условия оказались подходящими, произошло их усиление, которое и привело к катастрофе?

Несмотря на эти изменения, которые происходили от случая к случаю, официальные лица вели себя так, словно они все понимают, приводя друг другу, на первый взгляд, логичные аргументы — зачастую ссылаясь на «успех» предыдущих полетов. Например, при определении, насколько безопасно осуществить полет 51-L в виду эрозии кольца во время полета 51-С, было замечено, что глубина эрозии была равна лишь одной трети его радиуса. Во время эксперимента, когда кольцо разрезали, обнаружилось, что разрезание кольца на глубину радиуса необходимо до его выхода из строя. Вместо того, чтобы начать беспокоиться из-за того, что изменения плохо понятых условий на этот раз вполне могут создать более глубокую эрозию, утверждалось, что «коэффициент безопасности равен трем».