Чому складні системи дають збої
Чи можна знайти спосіб запобігання техногенним катастрофам? У першу чергу для цього потрібно сприймати такі інциденти як системне явище, — вважають автори книги «Meltdown: Why Our Systems Fail and What We Can About It» («Аварія на АЕС: чому наші системи зазнають краху і що ми можемо з цим зробити»).
У своїй книзі Кріс Кліарфілд (Chris Clearfield), співзасновник System Logic, та Андраш Тілчик (András Tilcsik), представник Школи менеджменту Rotman, аналізують низку різнотипних інцидентів — від зіпсутої вечері в День благодаріння та скандалу навколо забруднення питної води свинцем у місті Флінт (Мічиган) до кількаразових витоків радіації на Фукусімській АЕС (Японія). Найгіршим у цьому є те, що, як стверджують автори, цим бідам можна було запобігти.
Всі лиха, описані в «Meltdown», мають ознаки, які вперше ідентифікував соціолог Чарльз Перроу (Charles Perrow). Перроу здобув славу «знавця катастроф» завдяки своїм культовим дослідженням ризику, притаманного складним промисловим системам (першим з яких стало вивчення обставин аварії на АЕС Три-Майл-Айленд, що трапилася 1979-го року). «Згідно Перроу, інцидент був не надзвичайною подією, а базовою характеристикою атомної електростанції як системи», — пишуть Кліарфілд та Тілчик.
Кожна з проаналізованих у книзі систем є дуже складним, нелінійним утворенням, частини якого тісно пов’язані між собою та інколи взаємодіють у неявний спосіб. Тому збій в одній її частині швидко, а часто і несподівано, впливає на функціонування інших.
Так, 18 травня 2012-го року Nasdaq планувала провести торги з первинного розміщення акцій Facebook. До моменту відкриття аукціону поступило сотні тисяч заявок на сукупну суму в $3 млрд. Але о 11:05, коли був даний старт торгам, нічого не відбулося. Через кілька хвилин програмісти з’ясували, що причина полягала в помилці, яку виявила система перевірки коректності роботи, встановлена кілька років тому. Попри це, під тиском один із керівників надав розпорядження вилучити програму та рухатися далі. «Але система Nasdaq була неймовірно складною і такий поворот подій спричинив низку непередбачених збоїв», — зауважують автори. Одні заявки ігнорувались, виконання інших затягувалося на години. Не маючи юридичного права це робити, Nasdaq сама продала акції Facebook на суму $125 млн. Збитки трейдерів облічувалися сотнями мільйонів доларів. У підсумку біржі було виставлено низку позовів, штрафів та вимог компенсувати репутаційні ризики.
У сучасному світі з’являється дедалі більше складних систем із глибоко синхронізованими елементами (зокрема, платформи соціальних медіа, комп’ютеризовані трейдінгові програми, глибоководні бурові установки та ATM), функціонування яких несе в собі все зростаючий ризик. За словами авторів, «складність та взаємопов’язаність робить ці збої більш ймовірними і послідовними, але ані наш мозок, ані організації не пристосовані до того, аби впоратися із системами цього типу».
Також Кліарфілд та Тілчик звертають увагу на те, що додавання функцій захисту (як-от дублювання чи сигналізація) поглиблює складність системи, що тільки збільшує ймовірність її краху. Ілюструючи цю тезу, вони пишуть:
«У ході дослідження використання кнопок виклику в п’яти відділеннях інтенсивної терапії лише за один місяць було зафіксовано 2,5 млн. хибних сигналів і 400 тис. випадків, коли пристрої просто подавали якійсь звук. Це означає надходження майже одного виклику в секунду та чогось схожого на звуковий сигнал кожні вісім хвилин. Тобто біля 90% викликів виявилися хибними. А якщо ви раз на вісім хвилин вигукуватимете: "Пожежа! Пожежа!" — на вас просто перестануть звертати увагу. Ще гіршим є те, що безперервне надходження сигналів тривоги призводить до неспроможності розрізняти між важливим і малозначущим. І коли стається щось по-справжньому серйозне, на це можуть не звернути увагу».
Але все ж таки, як запобігти краху? Один із наборів рішень, які пропонуються в книзі, обертаються навколо дизайну. По-перше, потрібно осягнути — чи є система вразливою через складність та взаємопов’язаність, а потім зменшити ступень вираженості цих чинників. Автори звертаються до прикладу Boeing. Ця компанія запобігає зниженню чуттєвості пілотів до сприйняття сигналів небезпеки, розподіляючи їх за рівнями. Найвищий рівень тривоги стосується ситуації звалювання (різкого падіння підйомної сили), яка потребує негайного реагування. Включається червоний світовий сигнал, на екрані з’являється червоне текстове повідомлення, штурвальні колонки починають вібрувати.
Ще один набір рекомендацій стосується чинника багатоманітності. Кліарфілд та Тілчик наводять приклад відомої технологічної компанії, яка зазнала гучного провалу, зауважуючи, що «склад її ради директорів вражав своєю гомогенністю». Дослідження показують, що в групах цього типу з меншою ймовірністю стверджується довіра, як правило, їхні члени не люблять оспорювати думок своїх колег, а також виявляють схильність погоджуватися з неправильними відповідями.
Серед інших моментів, на яких зупиняються автори, — способи виявлення системних прорахунків та витягування з цього висновків. Також Кліарфілд та Тілчик радять заохочувати вияви незгоди та запрошувати зовнішніх фахівців для більш всебічного аналізу проблеми. Але, напевно, найважливішою рекомендацією є «нормалізація відхилення» або переосмислення ризику, який несе в собі система, та сприйняття його як прийнятного.
За матеріалами strategy+business.
|
