Одной строчки не хватило, и у меня встала вся работа
Летом у меня остановилась вся автоматическая выкладка в Instagram. И рилсы, и карусели зависли в очереди и никуда не уходили.
Причина нашлась быстро и оказалась смешной. В инструкции для обновления сервера был список того, что при обновлении трогать нельзя. В этом списке не хватило одной папки. ОДНОЙ строчки. Очередное обновление затёрло рабочую папку на сервере копией с моего ноутбука, и система, которая до этого выглядела надёжной, встала целиком.
Ничего не взорвалось, никто не пострадал. Но механизм там ровно тот же, что у катастроф, про которые пишут отчёты государственных комиссий. Мелочь, которую никто не трогал, потому что всё работало. Сработала она в самый обычный день, а я её до этого ни разу не проверял.
У тебя такая мелочь тоже есть. В работе, в проекте, в доме, в собственном распорядке. Она выглядит безобидно ровно до того дня, когда перестаёт.
Ниже разберу пять настоящих катастроф и то, что в каждой упустили. Потом соберём порядок, по которому ты за один вечер найдёшь свою уязвимую точку, пока она не сработала.
Гайка на восемнадцатом этаже: как одна трещина обрушила угол дома
16 мая 1968 года, примерно в 5:45 утра, Айви Ходж зашла на кухню своей квартиры на 18-м этаже лондонской высотки Ронан-Пойнт и зажгла спичку, чтобы поставить чайник. В двадцатидвухэтажный дом въехали всего за два месяца до этого.
За ночь в квартире скопился газ. Утечку дала гайка на подводке газа к плите - по выводам расследования, её перетянули при монтаже, и она треснула. От спички газ взорвался и выбил наружную стеновую панель. На этой панели держались четыре квартиры сверху.
Дальше сработало то, что инженеры называют прогрессирующим обрушением (когда падение одной опоры тянет за собой соседние, как костяшки домино). Плиты перекрытий с верхних этажей рухнули одна на другую, и угол дома сложился по всей высоте. Погибли четыре человека, семнадцать попали в больницу. Сама Айви Ходж выжила: взрывом её оглушило на кухне.
Самое неприятное тут даже не гайка. Комиссия выяснила, что конструкция соответствовала действовавшим нормам. То есть дом был построен «правильно», и при этом вся его устойчивость зависела от одной панели, а безопасность панели - от одной гайки. После Ронан-Пойнта в Британии поменяли строительные правила: высотные дома обязали проектировать так, чтобы одна выбитая опора не роняла всё здание.
Удар ковша за четыре года до взрыва
В 1985 году в Башкирии рядом с трубопроводом, по которому гнали сжиженную смесь лёгких углеводородов (пропан, бутан и похожие газы), строили объездную дорогу. Ковш экскаватора серьёзно повредил трубу, в ней осталась щель около 1,7 метра. Повреждение не нашли, и труба работала с ним четыре года.
Когда именно утечка стала сильной, расследование точно не установило. По словам одного из железнодорожных начальников, работавших на месте аварии, газ копился в низине 20-25 дней. Он тяжелее воздуха и стекал туда, где в 900 метрах от трубы проходит Транссибирская магистраль. Там он собрался в невидимое озеро.
Дальше идёт то, что мне читать тяжелее всего.
Примерно за три часа до взрыва приборы показали падение давления в трубопроводе. Дежурные трубопровода не стали искать причину, а увеличили подачу, чтобы давление вернулось. Машинисты проходивших поездов предупреждали диспетчера, что на перегоне сильно пахнет газом. Значения этому не придали.
Около часа ночи по уфимскому времени на этом участке встретились два пассажирских поезда, Новосибирск - Адлер и Адлер - Новосибирск. Искра, и взрыв облака газа. Погибли 575 человек по официальным данным, по другим подсчётам 645. Это крупнейшая железнодорожная катастрофа мирного времени в истории СССР и России.
Заметь: оба поезда шли с небольшим опозданием. Шли бы по графику, у трубы бы не встретились. Цепочка из нескольких звеньев сошлась в одной точке, и первым звеном был удар ковша за четыре года до этого.
Анатомия пяти катастроф: что упустили и когда это выстрелило
Два случая выше - не исключение. Вот ещё три, и у всех одна и та же форма.
| Случай | Непроверенная мелочь | Через сколько сработало | Что могло остановить |
|---|---|---|---|
| Ронан-Пойнт, Лондон, 1968 | треснувшая гайка на подводке газа к плите | около двух месяцев после сдачи дома | проверка газовой подводки и конструкция, которая не падает от одной выбитой панели |
| Отель «Хайятт Ридженси», Канзас-Сити, 1981 | сплошные тяги, на которых висели галереи, заменили парами коротких; изменение согласовали по телефону без расчёта, и нагрузка на балки верхней галереи выросла вдвое | чуть больше года после открытия отеля, 114 погибших | пересчитать изменение до того, как его согласовать |
| Трубопровод под Уфой, 1989 | ковш экскаватора повредил трубу при стройке | четыре года | найти причину падения давления, а не поднимать подачу; остановить поезда после сигналов о запахе газа |
| Шаттл «Челленджер», 1986 | резиновые уплотнительные кольца теряли герметичность на холоде, следы прогара видели и в прошлых полётах | около четырёх лет от первых следов прогара в 1981 году; в последнем полёте 73 секунды после старта, 7 погибших | перенести старт, как настаивали инженеры подрядчика |
| Зонд Mars Climate Orbiter, 1999 | программа подрядчика выдавала силу толчков двигателей в фунтах, а программа NASA ждала метрические единицы, разница в 4,45 раза | около девяти месяцев полёта, зонд прошёл слишком низко и пропал у Марса | сверить единицы на стыке двух программ и выслушать навигаторов, которые заметили расхождение |
- Ронан-Пойнтоколо 2 месяцев
- «Хайятт Ридженси»чуть больше года
- Трубопровод под Уфой4 года
- «Челленджер»около 4 лет
- Mars Climate Orbiterоколо 9 месяцев
Посмотри на правую колонку. Ни в одной строке там нет подвига. Везде обычная скучная проверка, на которую не хватило времени, желания или полномочий.
Беду делает не мелочь, а привычка к ней
Социолог Дайан Воган разбирала гибель «Челленджера» и дала этому явлению название - нормализация отклонений. Простыми словами: когда нарушение правила раз за разом не приводит к беде, люди начинают считать его нормой.
С кольцами шаттла было ровно так. Следы прогара находили после прошлых полётов. Каждый раз шаттл возвращался целым, и каждый благополучный полёт превращался в довод «значит, можно». Утром 28 января 1986 года стоял рекордный для запусков холод, инженеры подрядчика предупреждали, что при такой температуре кольца не проверены. Старт не перенесли.
Теперь следи за руками. Ни на трубопроводе под Уфой, ни на «Челленджере» никто не хотел катастрофы. Все эти люди делали то, что считали разумным: давление упало - подняли, кольца прогорали и раньше - полетели. Каждое отдельное решение выглядело нормальным. Ненормальной была только сумма.
Британский психолог Джеймс Ризон из Манчестерского университета описал это картинкой, которую запоминаешь с одного раза, - моделью швейцарского сыра. Защита от беды состоит из нескольких слоёв: проект, монтаж, проверка, приборы, люди на смене. В каждом слое есть дырки. Пока дырки не совпадают, беда застревает в одном из ломтиков. Катастрофа случается в тот день, когда дырки выстраиваются в один сквозной ход.
Скорость видна всем, а проверку не видит никто
Тут легко решить, что во всём виноваты разгильдяи. Мол, я-то внимательный, у меня такого не будет.
Будет, и вовсе не потому, что ты разгильдяй.
Проверка устроена подло: когда она срабатывает, её результат невидим. Ты проверил газовую подводку - и ничего не произошло. Ты перепроверил расчёт - и галерея стоит. Ничего не случилось, и никто не скажет тебе спасибо за катастрофу, которой не было. Зато потраченное время видно всем.
Посмотри, в каких условиях работали люди из таблицы. Отель «Хайятт» строили в режиме гонки: стройка шла с задержками, во время неё уже обрушалась часть крыши, сроки поджимали. Под Уфой исследователи потом называли культуру спешной работы и то, что у диспетчеров не было права остановить движение поездов. Как минимум двух навигаторов, заметивших, что марсианский зонд идёт не там, где должен, не услышали, потому что они не заполнили форму для оформления своих опасений. Не шучу, это из разбора аварии.
Так что дело тут в окружении, где скорость видна и за неё хвалят, а проверку не замечает никто. В таком окружении мелочи копятся у любого человека, не только у инженера.
Кажется, что спасает внимательность. Спасает бумажка
30 октября 1935 года на испытательном аэродроме Райт-Филд разбился новый бомбардировщик Boeing Model 299. Командир экипажа майор Плоер Хилл поднял машину в воздух с включённым стопором рулей - механическим фиксатором, который держит рули неподвижными на стоянке. Самолёт потерял управление сразу после взлёта, и Хилл погиб.
Новичком Хилл не был: он руководил лётным отделом на этом самом аэродроме. Но машина стала настолько сложной, что держать всё в голове перестало получаться даже у тех, кто летал лучше всех.
Выход нашли почти смешной. Лётчикам дали листок со списком того, что проверить перед взлётом. Историк авиации Дойл пишет, что именно после гибели Хилла появился письменный предполётный чек-лист, по которому пилоты работают до сих пор.
Непроверенную мелочь не находят усилием воли в моменте. Её находят порядком, придуманным ЗАРАНЕЕ, в спокойный день.
Как найти свою трещину за один вечер: шесть шагов
Бери лист бумаги. Не заметки в телефоне, а именно лист, чтобы было видно всё сразу.
- Выпиши всё, что у тебя «работает само». Сервер, на котором держится работа. Единственная копия важных файлов. Пароль, который знает один человек. Клиент, который приносит половину денег. Газовая плита, проводка, тормоза машины. Режим сна. Всё, о чём ты не думаешь, потому что оно не ломается.
- Напротив каждой строки напиши, когда ты это последний раз ПРОВЕРЯЛ. Не видел работающим, а именно проверял: открывал, мерил, восстанавливал из копии. Где ответ «никогда» или «не помню», ставь отметку.
- Найди свои привычные странности. Лампочка на приборной панели, которая горит третий месяц. Ошибка, которую ты каждое утро закрываешь не читая. Сотрудник, который всегда опаздывает со сдачей, и ты уже закладываешь это в план. Это и есть нормализация отклонений в домашнем масштабе, и именно здесь обычно сидит трещина.
- Отдельно посмотри на стыки. Точки, где работа переходит из одних рук в другие: от тебя к подрядчику, из одной программы в другую, из устной договорённости в документ. Марсианский зонд и галереи отеля потеряли именно на стыке.
- Для каждой отмеченной строки спроси: что посыплется следом, если это откажет в худший день? Не «сломается ли», а что потянется за этим. Строки, за которыми тянется цепочка, поднимаются наверх списка.
- Составь свой предполётный список из трёх-пяти пунктов и назначь дату, когда проходишь его в первый раз. И заранее реши, кто и в какой ситуации имеет право сказать «стоп»: ты сам или кто-то рядом. Под Уфой права остановить поезда не было даже у диспетчеров, которым машинисты сообщали о запахе газа.
Для первого раза хватит одного вечера и одной проверенной точки.
Трещина растёт, пока ты ею не занимаешься
Самое обманчивое в непроверенной мелочи - её возраст. Повреждённая труба под Уфой пролежала четыре года. Следы прогара колец «Челленджера» видели за четыре года до гибели. На Саяно-Шушенской ГЭС, по акту Ростехнадзора, вибрация турбины вышла за допустимый уровень ещё в конце июня 2009 года, а авария с 75 погибшими случилась 17 августа. Часть специалистов этот вывод оспаривает: он сделан по одному датчику. Но спор идёт о том, какая именно мелочь сработала, а не о том, что её не поймали вовремя.
Время работает не на тебя. Каждый день, когда ничего не случилось, укрепляет уверенность, что так и будет. А сама трещина всё это время растёт.
Поэтому «займусь, когда будет время» тут означает «займусь после». Проверка сегодня стоит один вечер. Разбор последствий стоит несравнимо дороже, и оплачивать его придётся тебе, а не тому, кто когда-то сэкономил на расчёте.
Вопросы, которые задают чаще всего
Какие главные причины техногенных катастроф?
Крупная катастрофа почти всегда складывается из нескольких причин сразу: ошибка проекта, дефект монтажа, износ, нарушение правил работы, спешка. Почти в каждой такой цепочке есть мелкий дефект, который давно не проверяли, и люди, которые привыкли не замечать тревожные признаки.
Что такое нормализация отклонений?
Это когда нарушение правила раз за разом сходит с рук, и люди начинают считать его нормой. Понятие ввела социолог Дайан Воган, разбирая гибель шаттла «Челленджер»: следы прогара уплотнительных колец видели и раньше, но каждый удачный полёт убеждал, что так можно.
Правда ли, что большинство катастроф происходит из-за человеческого фактора?
В отчётах так пишут часто. Но за ошибкой человека обычно стоит окружение, которое к ней подтолкнуло: спешка и привычка к мелким сбоям. Под Уфой у диспетчеров не было права остановить поезда, хотя машинисты предупреждали о запахе газа.
Почему после катастрофы всегда выясняется, что кто-то предупреждал?
Потому что сигналы почти всегда есть заранее, и их почти всегда кто-то замечает. Но сигнал без права остановить работу ничего не меняет. Навигаторов марсианского зонда не услышали, потому что они не оформили свои опасения по форме.
Как применить это к своей работе, если я не инженер?
Механизм везде одинаковый: мелочь, которую давно не проверяли, и привычка не замечать странности. Выпиши, что у тебя работает само, отметь, что давно не проверял, и составь короткий список проверки перед важными действиями.
Чек-лист на один вечер
Пустая строчка в этом списке и есть твоя непроверенная точка, с неё и начинай.
Трещина, через которую ты перешагиваешь каждый день
Всё, что нужно для проверки работы, дома и проектов, здесь уже есть: шесть шагов и чек-лист. С этим можно уйти и сделать самому.
Но есть одна трещина, которую этот список почти никогда не ловит. Она не в технике, а в распорядке дня. Один и тот же вечер, когда ты обещал себе сесть за важное и снова оказался в телефоне. Одна и та же пропущенная тренировка. Ты столько раз это проходил, что уже считаешь нормой: «ну, опять». Нормализация отклонений в чистом виде, только цепочка тянется не за секунды, а за годы. Про то, как устроена сама самодисциплина, у меня есть отдельный разбор.
Лётчики решили свою задачу тем, что перестали полагаться на память в момент взлёта и стали готовиться заранее. Римская армия решала её так же. Историк Иосиф Флавий писал про римлян, что их учения - бескровные битвы, а битвы - кровавые учения. Поведение в трудную минуту готовили до неё, а не в ней. Позже римский автор Вегеций свёл эту выучку в учебник военного дела.
С этим тоже можно разобраться за неделю: выбрать один свой повторяющийся срыв, заранее расписать, что ты делаешь в первые секунды, прогнать это вживую и поправить по итогам. На выходе у тебя есть порядок действий на один свой срыв, проверенный вживую, и в трудную минуту ты делаешь заготовленное, а не уговариваешь себя с нуля.
Это «Доктрина Вегеция» - семидневный тренажёр, собранный по тому самому учебнику.
