Человеческая ошибка: причина или симптом?

Когда падают самолёты, сталкиваются поезда, нефтяные платформы устраивают фейерверк, а гидроэлектростанции внезапно решают сменить русло реки через машинный зал, мир замирает. Журналисты достают блокноты, менеджеры — успокоительное, а страховые агенты — лупы. И звучит один и тот же вопрос:

«Это был технический сбой или человеческая ошибка?»

Мы задаём этот вопрос уже почти сто лет. Но что, если сам вопрос — странный? Что, если «или» здесь такое же неуместное, как спор «чайник или тостер» при приготовлении ужина? Давайте разбираться.

Как страховой парень случайно разделил мир на чёрное и белое

В далёком 1931 году один предприимчивый человек по имени Герберт Уильям Хейнрих работал в страховом бизнесе. Однажды он проанализировал множество несчастных случаев (исходные данные, правда, никому не показал — то ли потерял, то ли они сгорели в пожаре) и сделал гениально простое открытие:

Аварии случаются либо из-за технической неисправности, либо из-за небезопасных действий людей.

И, что очень удобно, если вы исключаете одну причину — причина в  другой. Не нашли технической неисправности? Ну, значит, виноват человек. По данным Хейнриха, в 88% случаев виноватым оказывался работник.

И тут кроется важная деталь: Хейнрих работал на страховую компанию. Если ему удавалось доказать, что рабочий сам себе навредил — выплат можно было не производить. Бизнес есть бизнес.

С тех пор прошло почти сто лет, но магическая формула «нет отказа техники = виноват человек» работает безотказно. Давайте на двух российских примерах. Оба — техногенные катастрофы. Оба — с человеческими жертвами. В обоих случаях расследование не нашло технической неисправности и сделало вывод о человеческой ошибке.

Саяно-Шушенская ГЭС, 2009 год

17 августа 2009 года произошла крупнейшая в истории российской гидроэнергетики катастрофа. На Саяно-Шушенской ГЭС второй гидроагрегат сорвало с места, он вылетел из шахты, вода хлынула в машинный зал, потолок обрушился – 75 погибших.

Расследование Ростехнадзора длилось несколько месяцев. И ключевой вывод: технической неисправности оборудования не выявлено. Крепёжные шпильки, которые держали 1500-тонный агрегат, были рассчитаны правильно. Автоматика, сигнализация — всё работало согласно документации.

Значит, по логике Хейнриха, виноват человек. Кого назначили виновными? Начальника смены машинного зала и ещё нескольких сотрудников. Им вменили то, что они вовремя не отключили агрегат, хотя датчики вибрации показали аномалию. Суд признал их виновными, дали реальные сроки.

Но если присмотреться внимательнее, картина становится сложнее. Спустя годы независимые эксперты и сам Ростехнадзор (уже в других документах) пришли к выводу, что причина была в конструктивном недостатке: крепление гидроагрегата не было рассчитано на длительную работу в режимах, которые не запрещались инструкцией. Шпильки устали не за один день, а за десятилетия. А датчики вибрации, на которые должен был смотреть оператор, были настроены так, что их показания было крайне сложно интерпретировать в реальном времени. Но официальная версия осталась прежней: техника исправна, виноват человек.

Казань, Boeing-737, 2013 год

17 ноября 2013 года самолёт авиакомпании «Татарстан» разбился при заходе на посадку в аэропорту Казани, 50 погибших — все, кто был на борту.

Расследование Межгосударственного авиационного комитета (МАК) было долгим и скрупулёзным. Вывод: технических отказов самолёта не выявлено. Двигатели работали, системы управления — исправны, автопилот — тоже. Всё работало «как часы».

Значит, виноваты люди. Официальное заключение: ошибочные действия экипажа при заходе на посадку. Командир и второй пилот (оба погибли) перевели самолёт в режим пикирования вместо ухода на второй круг, растерялись, не успели вывести машину. Виновные назначены посмертно.

Но и здесь есть нюансы. Почему пилоты, имевшие большой налёт, действовали именно так? Почему в авиакомпании «Татарстан» была системная проблема с подготовкой экипажей? Почему самолёт, который должен был автоматически уходить на второй круг при определённых параметрах, этого не сделал — и это сочли не технической неисправностью, а «особенностью поведения техники»? Вопросы остались без ответа. Но официальный вердикт дуализма неумолим: техника не сломалась — значит, ошиблись люди.

Две школы, два совершенно разных мнения

После аварии на АЭС Три-Майл-Айленд в 1979 году (это в Америке, простите, но без неё никуда — слишком уж она повлияла на науку) учёные собрались на несколько конференций. И быстро разделились на два лагеря. Представьте двух профессоров, которые смотрят на одну и ту же кучу обломков и видят принципиально разное.

Школа №1. Когнитивно-психологическая, или «Всё дело в наших головах»

Главный здесь — профессор Джеймс Ризон. Ещё в 1970-х он изучал ошибки в быту. Люди вели дневники и записывали: «забыл ключи», «пересолил суп», «поставил чайник в холодильник». На основе этого Ризон разработал теорию рассеянных промахов. А потом грянула авария на АЭС, и он решил применить свой подход к операторам высокорисковых систем.

В своей книге «Человеческая ошибка» (1990) он выделил четыре типа небезопасных действий:

1. Промахи — проблемы внимания (нажал не ту кнопку, потому что думал о чём-то другом).
2. Упущения — ошибки памяти (забыл открыть клапан).
3. Ошибки — неправильное правило или знание (подумал, что так безопаснее, а оказалось наоборот).
4. Нарушения — сознательное игнорирование инструкции (знал, что нельзя, но решил, что «прокатит»).

Что предлагает Ризон? Работать с человеческим фактором на уровне когнитивных процессов: мотивация, тренинги, отбор персонала, снижение нагрузки, чёткое распределение задач между человеком и техникой. Логично? Вполне. Именно по этому пути и пошли официальные расследования на Саяно-Шушенской ГЭС и в Казани: нашли ошибки операторов и на этом успокоились.

Школа №2. Объединённая школа когнитивных систем, или «Не стреляйте в пианиста, он играет как может»

А в это время в датском городе Рисё работали профессор Йенс Расмуссен, а также Холлнагель и Вудс. Они посмотрели на ошибки и сказали: «Коллеги, мы не будем изучать промахи в дневниках домохозяек. Мы пойдём на реальную опасную работу».

И начали задавать другие вопросы:

• Как взаимодействуют люди и машины?
• Почему интерфейс спроектирован так, что его поймёт только создатель, да и то не всегда?
• Какие принципы помогут человеку понять, что сейчас система находится в нештатном режиме?

И они сделали вывод, который перевернул представления многих:

Человеческая ошибка никогда не является причиной несчастного случая. Никогда.

По их мнению, ошибка — это симптом. Как температура. Вы же не считаете, что температура — это болезнь? Нет, это признак того, что внутри что-то воспалилось. Так и здесь: человеческая ошибка говорит о проблемах глубже или выше в системе. Холлнагель даже заявил, что «понятие человеческой ошибки — это аналитический тупик».

То есть, когда оператор Саяно-Шушенской ГЭС вовремя не отреагировал на показания датчиков — проблема не в его внимательности, а в том, что интерфейс был спроектирован так, что вовремя заметить аномалию было практически невозможно. А когда пилоты в Казани перепутали режимы — проблема не в их квалификации (хотя и в ней тоже), а в том, что система подготовки, контроля и поддержки экипажей в авиакомпании была настроена недостаточно хорошо.

Современное продолжение спора: HOP против BBS

Прошло 20 лет. Но спор не утих. Он просто переоделся и вышел на сцену в новых костюмах под названиями BBS и HOP.

• BBS (Behavior-Based Safety — поведенческая безопасность) — это своего рода наследник школы Ризона. Смотрит на наблюдаемое поведение. Говорит: «Я заметил, что вы перелезаете через ограждение. Давайте обсудим, как делать это безопасно. А вот за то, что вы надели каску — спасибо». Фокус на конкретных действиях, обратная связь, подкрепление правильного поведения. Многие компании используют этот подход, и он даёт результаты.
• HOP (Human and Organizational Performance — человеческий и организационный фактор) — это наследник школы Расмуссена. Заявляет: «Люди — это не проблема, а решение. Ошибки неизбежны, и наша задача — строить системы, которые будут к ним устойчивы». HOP не ищет виноватого, он ищет, почему система позволила ошибиться.

И здесь иногда возникает напряжение. Наиболее последовательные сторонники HOP критикуют BBS за то, что тот фокусируется на поведении работника, а не на системных проблемах. В ответ сторонники BBS справедливо замечают: «А вы, HOP-овцы, покажите убедительные исследования, что ваш подход реально снижает количество тяжёлых травм. Где данные?»

В социальных сетях, эти дискуссии порой принимают довольно оживлённый характер. Лозунги вроде «HOP и BBS — противоположности» сталкиваются с призывами к интеграции.

И, как это часто бывает, истина где-то посередине. HOP и BBS не исключают, а дополняют друг друга. HOP задаёт философию и направление: не винить людей, смотреть на систему. BBS даёт конкретные инструменты для наблюдения, обратной связи и вовлечения персонала. Вместе они работают лучше, чем по отдельности. Но спорить, конечно, интереснее, чем мириться.

Хирург, который перепутал скальпель с другим инструментом (что всё это значит на практике)

Давайте на примере из медицины. Скажем, во время операции пациенту случайно причинили вред. Не намеренно — просто устали, отвлеклись, перепутали.

Что предложит когнитивно-психологическая школа (и BBS)?
Провести тренинг по внимательности, изменить процедуру отбора хирургов, купить более совершенное оборудование, чётко распределить, какие задачи выполняет человек, а какие — техника. Логично и понятно.

Что предложит объединённая школа когнитивных систем (и HOP)?
Спросит: «А почему хирург устал? Почему инструменты лежат так, что их легко перепутать? Почему никто не переспросил? Какие конфликты целей у него были — быстро закончить операцию или сделать её максимально безопасно? Чем отличается работа “по инструкции” от реальной работы?»

Разница колоссальная. В одном случае вы работаете с внимательностью и мотивацией конкретных людей. В другом — с организацией, интерфейсами, культурой и, простите, с начальниками, которые создают условия для ошибок.

Так кто всё-таки виноват и что делать?

Итак, возвращаемся к главному вопросу. Технический сбой или человеческая ошибка?

Современная наука о человеческом факторе (которая появилась после Второй мировой, когда Чапанис, Фиттс и Джонс сказали: «Хватит искать крайних, давайте понимать взаимодействия») даёт такой ответ:

Ни то, ни другое. Сам вопрос поставлен неверно.

Система сложнее. Аварии могут случиться, когда все компоненты работают по назначению. И даже когда все работают не идеально — это не всегда их вина. Чтобы понять катастрофу, надо выйти за рамки «или-или» и начать изучать взаимодействия между людьми, технологиями, правилами, организационной культурой и, да, страховыми схемами.

Вернёмся к нашим примерам. Если бы расследование на Саяно-Шушенской ГЭС не остановилось на «человеческой ошибке», а пошло дальше — в конструкцию, в эргономику рабочих мест, в систему подготовки персонала, — может быть, удалось бы предотвратить что-то в будущем. Если бы после катастрофы в Казани не ограничились вердиктом «пилоты ошиблись», а задались вопросом, почему система авиакомпании допустила ситуацию, в которой опытные пилоты действуют таким образом — возможно, безопасность полётов в России стала бы выше.

Но дуализм Хейнриха удобен. Он быстр. Он даёт ответ — пусть и неправильный, но быстрый. А главное, он называет имя «стрелочника». Это любят страховщики, это любят чиновники, это иногда любят журналисты.

Как сказано в одном из исходных текстов, нет единственно правильного взгляда на человеческую ошибку. И, возможно, никогда не будет. Нам предстоит самим решать, в какие истории об ошибках мы верим и какие считаем заслуживающими доверия в наших усилиях по улучшению систем.

Разные заинтересованные стороны — комиссии по расследованию, менеджеры по безопасности, профсоюзы, журналисты — будут рассказывать разные истории. Поэтому вопрос не только в том, как рассказана история, но и в том, кто её рассказывает.

В следующий раз, когда услышите «человеческая ошибка», не торопитесь соглашаться. Может быть, этот «виноватый» на самом деле — первый симптом болезни под названием «плохая система». А может быть, действительно ошибка. Но чтобы это понять, придётся копнуть глубже.

Автор материала
Константин Шевцов

Подписаться на блог

Читать ещё