?Неуязвимость! Отчего системы дают сбой и как с этим бороться

Согласно традиционной версии, менеджеры NASA торопились с запуском из-за напряженных сроков производственного графика. Однако социолог Диана Воган, тщательно изучавшая обстоятельства катастрофы, обнаружила и другие причины, которые в совокупности назвала нормализацией отклонений{364}. По мере того как NASA долгие годы решало сложные проблемы миссий корабля Challenger, определение ведомством допустимых рисков постепенно и незаметно менялось. С каждым запуском те проблемы, которые ранее были неожиданными, становились все более ожидаемыми, а в конечном счете – и приемлемыми. Менеджеры, конструкторы и инженеры часто идентифицировали какую-то часть системы как подверженную рискам – но затем вводили «допуски», разрешавшие полет шаттла без решения возникшей проблемы.

«Каждый раз данные, первоначально означавшие отклонение в работе системы от ожидаемого результата, пересматривались и в итоге попадали в пределы допустимого риска», – замечала Воган{365}. Такой сдвиг позволял инженерам и менеджерам «действовать так, как будто ничего не случилось, хоть факты свидетельствовали, что что-то все-таки случилось»{366}. То, что ранее считалось отклонением, стало нормой.

За девять лет до трагического запуска шаттла Challenger инженеры авиакосмической компании Morton Thiokol, которая конструировала и создавала твердотопливные ускорители, рекомендовали изменить конструкцию соединения их секций. Эти соединения были необходимы, так как ускорители высотой с 14-этажный дом были слишком велики, чтобы можно было доставлять их на стартовую площадку в полностью собранном виде. Однако процесс модернизации конструкции протекал медленно, а бюджет был ограничен. Поэтому инженеры пробовали разные решения, руководствуясь тем, как устроены другие твердотопливные ракеты, и успокоились на том, что каждое такое соединение обеспечили основным и резервным уплотнительными кольцами.

За девять месяцев до катастрофы эрозия уплотнительных колец проявилась в другом запуске космического челнока Challenger. Тогда и основное, и резервное уплотнительные кольца на разгонном ускорителе были сильно повреждены. Инженер фирмы Thiokol Роджер Божоли написал по этому поводу докладную записку своему руководству. «Ошибочно занятая позиция по вопросу о соединении секций заключалась в том, что можно осуществлять полеты, не боясь их повреждения, и просто продолжать текущие конструктивные поиски, – писал он. – Теперь эта позиция кардинальным образом изменилась. Если в дальнейшем случится то же самое, что произошло сейчас… то результатом станет катастрофа самых значительных масштабов»{367}.

Кроме инженеров компании Thiokol, серьезную обеспокоенность высказывали и специалисты NASA. Ричард Кук описал проблему уплотнительных колец в своей записке, которую подал руководству за год до аварии челнока. «Нет сомнений, что безопасность полетов космического корабля все время находится под угрозой нарушения герметичности ускорителей, и признается тот факт, что неудача при запуске может обрести масштабы катастрофы»{368}. Хотя Кук работал в NASA, он обладал взглядом чужака. Он служил в ведомстве всего лишь несколько месяцев и даже не был инженером – он был экономистом-аналитиком. Поэтому в разговорах с ним специалисты NASA свободно делились тревогами и выводами, а не замыкались в оборонительной позиции и не подвергали сомнению его идеи. Для них он скорее был союзником, а не противником по инженерной части. Как отмечал Зиммель в своей знаменитой статье, чужак «часто удостоивается удивительной откровенности и выслушивает доверительные высказывания, близкие к признаниям, от которых его собеседники тщательно воздерживались бы в беседах с людьми, более вовлеченными в данную проблему или дело»{369}.

Кук изложил свои тревожные признания в докладной записке. Однако его предупреждения – так же, как и опасения, высказанные Божоли и другими инженерами компании Thiokol, – остались без внимания.

28 января 1986 года был запущен многоразовый транспортный космический корабль Challenger. Почти сразу же у него разрушились уплотнительные кольца в нижней части правого твердотопливного ускорителя. В боку ускорителя прогорело отверстие, из которого била реактивная струя в сторону внешнего топливного бака. Из бака начал вытекать кислород и водород. Всего через 73 секунды после старта внешний топливный бак взорвался, и примерно на высоте 16 км от поверхности Земли Challenger превратился в огненный шар.

Спустя семнадцать лет после аварии корабля Challenger история повторилась. Через несколько мгновений после запуска шаттла Columbia от его топливного бака оторвалась часть наружной теплоизоляции, которая ударила челнок в левое крыло, оторвав несколько термоизолирующих плиток. Дальнейший полет проходил нормально, но, когда шаттл Columbia при возвращении вошел в плотные слои земной атмосферы, горячие газы проникли в крыло, и в результате взрыва корабль рассыпался на тысячи фрагментов{370}.