?Неуязвимость! Отчего системы дают сбой и как с этим бороться

Хотя технические детали этих двух катастроф были разные, лежащие за ними организационные факторы оказались устрашающе схожими. Задолго до аварии Columbia в NASA знали, что куски теплоизоляции топливных баков могут отрываться в процессе полета. В действительности такие фрагменты неоднократно падали на высокой скорости на корпус шаттла Columbia во время предыдущих запусков. Так что перед каждым стартом техникам приходилось заменять на аппарате термоизолирующие плитки. Но менеджеры NASA рассматривали эту проблему как относящуюся к сфере текущего обслуживания челнока и спокойно воспринимали связанные с ней риски. В данном случае свой удар вновь нанесла «нормализация отклонений»{371}.

После аварии шаттла Columbia в NASA поняли, что необходимо что-то менять. Стало очевидно, что решения только одной проблемы – теплоизоляции корпуса – недостаточно. Многие проблемы относились к категории организационных. Председатель Комиссии по расследованию аварий заявил: «Мы убеждены, что эти организационные вопросы столь же важны, как и асбестосиликатное покрытие»{372}.

NASA дало своим исследовательским центрам указание разработать меры по борьбе с «нормализацией отклонений». В связи с этим руководители Лаборатории реактивного движения (Jet Propulsion Laboratory – JPL), главного научно-исследовательского центра NASA по созданию беспилотных космических кораблей{373}, решили использовать силу чужаков. Как средневековые итальянские города, которые приглашали судей со стороны, JPL постаралась искоренить в NASA пристрастность. Однако руководство JPL вместо того, чтобы пойти по пути привлечения сторонних консультантов или аудиторов, попыталось научиться новому от чужаков внутри самой организации.

JPL решает одни из самых технически сложных задач в мире. Лозунг подразделения: «Имейте смелость замахнуться на великие дела» – или менее формально: «Если это не относится к разряду невозможного, то нам неинтересно».

За многие годы инженеры JPL не раз терпели неудачи{374}. Например, в 1999-м центр потерял два аппарата, нацеленных на Марс. Один – из-за проблем в программном обеспечении корабля Mars Polar Lander, второй – из-за путаницы в использовании английской и метрической систем мер.

После этих сбоев руководители JPL стали приглашать специалистов извне для помощи в управлении рисками, связанными с полетами. Были созданы рабочие группы по анализу рисков, в которые вошли ученые и инженеры JPL, NASA и подрядных организаций. При этом они не были связаны с программами, которые им предстояло анализировать, и не доверяли предположениям сотрудников, уже работавших над проектом.

Однако руководители научного центра JPL захотели пойти еще дальше. У каждой программы JPL есть свой менеджер, ответственный за внедрение самых передовых разработок в строгих рамках бюджета и напряженного расписания проекта. Менеджеры проектов в JPL буквально ходят по проволоке. На них постоянно давят, и тогда может возникнуть соблазн пойти по короткому пути при разработке и тестировании ключевых компонентов. В этой связи руководство JPL создало инженерно-техническое управление, состоящее из сотрудников других подразделений. На каждый проект назначается инженер-конструктор из этого управления, который следит, чтобы менеджер проекта не принимал решения, которые могут поставить в рискованное положение всю программу.

Если менеджер проекта и инженер-наблюдатель не могут прийти к согласию, они обращаются с проблемой к начальнику инженерно-технического управления Бхарату Чудасама. Когда проблема оказывается на его столе, он пытается согласовать техническое решение. Он может также попросить, чтобы менеджеру проекта выделили больше денег, времени или персонала. Когда же разрешить проблему начальник не в силах, он ставит ее перед своим боссом – главным инженером JPL. Такая практика позволяет инженерам-наблюдателям привлекать внимание к сомнительным моментам, минуя традиционный бюрократический путь.

Сотрудники инженерно-технического управления олицетворяют «чужака» Зиммеля. Они достаточно квалифицированны, чтобы разбираться в сложных технических вопросах, достаточно близки к проектным группам, чтобы понимать их интересы, но и достаточно независимы от них, что позволяет им иметь свой взгляд на проблему. Тот факт, что они принадлежат JPL и имеют свои каналы для информирования руководства, означает, что управляющие проектами не могут отмахнуться от их соображений или проигнорировать их.