?Неуязвимость! Отчего системы дают сбой и как с этим бороться

Инженеры вашингтонского метро буквально нашли иголку в стоге сена и, в отличие от городских властей Флинта, правильно среагировали на предупреждающие сигналы. Они устранили проблему и предложили процедуру тестирования системы и наблюдения за ней, чтобы обнаружить «иголку» в том случае, если она появится снова. Они нашли путь решения проблемы.

Однако вскоре об этом забыли. Никто не запускал процедуру тестирования путей и программу по обнаружению «исчезнувших» поездов.

Быстро прокрутим события до июня 2009 года. В процессе модернизации вашингтонского метро рабочие заменили некоторые компоненты в сегменте путей, обозначенном как В2-304. Работы продвигались с трудом. После того как были заменены необходимые детали, а на передатчике и приемнике проведены необходимые манипуляции, цепь обнаружения поездов в данном блоке все равно упрямо не работала. Техники остались на участке, чтобы проверить, правильно ли определит система первый поезд, который пройдет по путям после окончания работ{207}. Продолжая поиск неисправности, рабочие увидели, как мимо них проследовал еще один поезд. Они сообщили в центр управления движением, что проблемы сохраняются, и покинули участок.

В последующие пять дней почти каждый поезд, который проходил по данному участку путей, «исчезал» из сферы видимости сенсоров, но этого никто не замечал. После того как поезда пересекали неисправный участок, система вновь обнаруживала их, и все возвращалось в норму.

Тот факт, что сотрудники метро просмотрели проблемы с участком В2-304 и не использовали методику тестирования путей или компьютерную программу, разработанную инженерами, нельзя отнести к обычной халатности. В простых системах контролировать важные вещи достаточно легко. Но это совсем не так в сложных и жестко связанных системах. В опасной зоне зачастую можно не понять, что вообще является важным, но при этом мы не можем позволить себе роскошь упускать существенные детали.

22 июня 2009 года, в самом начале вечернего часа пик поезд № 214 въехал на дефектный участок путей и «исчез», как «исчезал» каждый поезд, который следовал по этому блоку ранее. Как и другие поезда в предыдущие пять дней, когда поисковая цепь «теряла» движущиеся составы, 214-й автоматически стал притормаживать{208}. Однако, в отличие от всех предыдущих случаев, удача от него отвернулась. Его машинист еще до въезда на участок В2-304 вел состав на скорости более низкой, чем обычно, потому что любил точно останавливаться на станциях в одном и том же месте. Когда 214-й начал тормозить, он потерял время, необходимое для того, чтобы вовремя освободить проблемный участок пути. Затем 214-й вообще остановился на участке В2-304 и полностью «исчез» с экранов системы.

Следом за № 214 ехал поезд № 112, в котором находился Дэвид Уирли, отставной офицер ВВС, о котором мы писали в начале книги, его жена Энн и много других пассажиров.

Автоматическая система управления движением поездов вашингтонского метро определила пути перед 112-м как свободные и послала поезду команду на ускорение. В 16:58, когда поезд № 112 завернул за угол, машинист увидел стоящий перед ним другой поезд и применил экстренное торможение. Но было уже поздно. Четырехметровая стена обломков – сидений, поручней и потолочных панелей – обрушилась на поезд и сжала первый вагон 112-го с 23 м до 3,6 м.

Поезд № 112 врезался в фантом, в привидение, которого не должно было быть на том участке. Девять человек погибли из-за того, что вашингтонское метро настолько сложная система, что в ней не получилось отследить даже те проблемы, которые уже известно как решать.

III

Есть такая отрасль, в которой научились избегать катастроф, внимательно фиксируя предупреждающие сигналы и знаки, – коммерческая авиация. В конце 1950-х годов происходило 40 аварий коммерческих авиалайнеров на 1 млн взлетов. В течение десятилетия этот показатель сократился до 2 аварии на каждый 1 млн взлетов. За последние годы соотношение стало таким: 2 аварии на каждые 10 млн взлетов{209}. В расчете на каждые 1,5 км поездка на автомобиле будет в 100 раз более рискованным мероприятием{210}.

Значительная часть такого прогресса основывается на том внимании, которое уделяется небольшим ошибкам, сбоям и опасным ситуациям, попав в которые самолет оказывается «на волосок от беды». Именно их проигнорировали городские власти Флинта и менеджеры вашингтонской системы метро. Авиалинии научились извлекать уроки не только из случившихся инцидентов и сбоев, но и тех, которые могли произойти, но не произошли.