Завтра — запуск «Челленджера». Но есть сомнения в безопасности. Перенести? Значит признать проблему и объясняться. До старта оставалось одно совещание.
В чём были сомнения?
Шаттл состоял из орбитального аппарата со своим топливным баком и двумя твёрдотопливными ускорителями по бокам. Они обеспечивали основную тягу при старте, а после отработки отстреливались.
Каждый ускоритель собирался из нескольких цилиндрических секций. Стыки между секциями герметизировались резиновыми уплотнительными кольцами — они удерживали раскалённые газы внутри ускорителя в момент горения. При низкой температуре резина твердеет и теряет эластичность: плотного прилегания больше нет.
Если уплотнители не справятся — раскалённые газы вырвутся наружу прямо при старте. А рядом — полный топливный бак.
Именно это не давало покоя ведущему инженеру Morton Thiokol (Генерального подрядчика НАСА по ракетным ускорителям) Роджеру Буажоли вечером 27 января 1986 года — накануне запуска. Он уже более полугода играл роль адвоката дьявола.
Письмо, которое пролежало семь месяцев
Буажоли — не паникёр и не перестраховщик. Инженер с тридцатью годами в аэрокосмической отрасли, он понимал разницу между теоретическим риском и конкретной проблемой. Проблема была реальной.
Знал он это с июля прошлого года — когда написал руководству письмо, которое потом назовут одним из самых трагических документов в истории американской астронавтики. Там было написано прямо:
Уплотнительные кольца не герметизируют стыки при низких температурах. Если запустить шаттл в мороз — «катастрофа высшего порядка».
Данные по предыдущим запускам подтверждали: чем ниже температура, тем хуже кольца справляются. Ниже двенадцати градусов — граница, за которой инженеры не рекомендовали летать.
За окном той ночью — минус восемь.
Семь месяцев письмо пролежало в папке. Запуск назначили на утро.
Той ночью состоялась телеконференция: инженеры Thiokol и руководство НАСА. Буажоли и его коллеги представили данные — чётко, с графиками, без паники. Официальная рекомендация была однозначной: не запускать.
Менеджер НАСА Лоуренс Маллой выслушал и произнёс фразу, которую теперь цитируют на всех курсах по инженерной этике:
Боже мой, Thiokol, вы что, хотите запускать в апреле?
Это был не вопрос. Это было давление.
Сними инженерную шляпу
Дальше произошло кое-что тихое и страшное одновременно.
Руководство Thiokol попросило пятиминутный перерыв. Закрытое совещание — только топ-менеджеры. Инженеров не позвали.
Старший вице-президент Джерри Мейсон посмотрел на Боба Ланда — вице-президента по инжинирингу, прямого начальника Буажоли — и произнёс несколько слов, которые стоили семи жизней:
Сними инженерную шляпу и надень шляпу менеджера.
Ланд снял. Четыре менеджера проголосовали. Ни одного инженера в комнате. Рекомендация изменена: запуск разрешён. НАСА приняла решение, не задав ни единого дополнительного вопроса.
Хочется остановиться именно здесь. Потому что это история не только про НАСА.
Это история про один конкретный механизм — который работает в больницах, в офисах, на семейных советах. Про момент, когда человека с нужными знаниями просят временно их отложить и подумать иначе. И — что поразительно — он соглашается.
Это не Чёрный лебедь. Это хуже
Мы уже писали ранее о Чёрном лебеде — катастрофе, которую никто не может предвидеть. Непредсказуемость, стечение обстоятельств, информация, которой попросту не существовало. Это одна история.
Челленджер — принципиально другая.
Сигнал был. Буажоли подал его семь месяцев назад. В той телеконференции было несколько человек, которые точно знали о риске. Это не Чёрный лебедь — это Белый лебедь, которого выставили за дверь.
Разница принципиальная: одна катастрофа убивает, потому что её не предвидели. Другая — потому что видели и опасались, но голосу не дали слова.
И вот что странно: второй тип встречается, пожалуй, куда чаще первого.
Костюм, который меняет зрение
Когда Мейсон попросил Ланда «надеть менеджерскую шляпу» — он не оспорил данные. Не опроверг расчёты. Он просто предложил другую роль — и с ней другой способ смотреть на проблему.
В психологии это называют ролевой идентификацией. Когда человек принимает формальную роль, его мышление перестраивается: меняются приоритеты, критерии решений, готовность к риску. Менеджер смотрит на тот же набор данных иначе, чем инженер, потому что думает в другом контексте.
Ланд помнил, что кольца теряли эластичность уже ниже плюс 12, а здесь — минус 8. Это знание никуда не делось. Но роль, которую он принял, предписывала иное: учитывать давление заказчика, график запусков, политические обязательства НАСА. И в этом фрейме рекомендация выглядела уже по-другому.
Есть хорошая медицинская аналогия. Представьте: хирург готовится к операции, видит в анализах тревожный показатель и говорит «нужно отложить». Тут главврач наклоняется и тихо:
Коллега, снимите хирургическую шляпу. Думайте как администратор. У нас очередь на три месяца, родственники прилетели из другого города, репутация клиники...
Всё. Рамки изменились.
Именно это произошло той ночью в Thiokol.
Ловушка ролевого переключения выглядит как гибкость — «давайте посмотрим на проблему с разных точек зрения». Но когда специфическое знание привязано к специфической роли, смена костюма (роли) — это не расширение картины. Это её сужение. Из неё выпадает ровно то, что имело значение.
73 секунды полёта Челленджера
28 января 1986 года «Челленджер» взорвался через 73 секунды после старта. Причина — разрушение уплотнительного кольца на правом ракетном ускорителе. Холодный старт. Именно то, о чём Буажоли предупреждал полгода.
Погибли семь астронавтов. Среди них — школьная учительница Криста Маколифф, которая должна была провести первый урок из космоса в прямой трансляции.
На слушаниях комиссии Роджерса представитель НАСА изложил официальную версию — аккуратно умолчав, что Thiokol изначально рекомендовал не запускать. Из зала встал Аллан Макдональд — директор проекта Thiokol, единственный, кто отказался подписать разрешение на запуск. Встал и поправил протокол вслух, перед камерами:
Эта комиссия должна знать, что Morton Thiokol был настолько обеспокоен, что рекомендовал не запускать при температуре ниже двенадцати градусов. И мы зафиксировали это письменно.
Макдональда за это понизили. Буажоли тоже. Правда, Конгресс вмешался — обоих восстановили.
Буажоли до конца жизни считал себя несущим ответственность за гибель экипажа — хотя сделал всё, что мог.
Адвокат дьявола без права вето — это декорация
Буажоли играл роль адвоката дьявола с июля 1985 года. Данные, письма, возражения на совещаниях — он делал ровно то, что должен делать человек с критической информацией: настаивал, документировал, не молчал.
Но адвокат дьявола — это функция в системе. Она работает ровно настолько, насколько система готова её слышать.
Без права вето, без институциональной защиты — скептик превращается в участника спектакля, которого вежливо выслушали и отправили за дверь.
В прошлой статье мы говорили о подполковнике Петрове — человеке, которому удалось сыграть роль внутреннего скептика против системы и выиграть. Там сработало: никто не просил его снять «инженерную шляпу». Давления на смену роли не было.
Здесь всё решила одна фраза Мейсона. Причём произнёс её человек, который, по всем свидетельствам, не был ни злодеем, ни идиотом. Вполне нормальный менеджер, думавший о дедлайнах и отношениях с заказчиком. Он просто не понял одного: бывают шляпы, которые нельзя снимать. Не из принципа. А потому что в этой конкретной шляпе видно то, чего без неё не видно вообще.
***
Буажоли сыграл роль адвоката дьявола блестяще: предупредил заранее, аргументировал на совещании, зафиксировал письменно. Но у него не было права вето. Система его выслушала — и всё равно сделала своё.
Если хотите применить это к себе: в следующий раз, когда вас или кого-то другого попросят «посмотреть на проблему иначе» — спросите сначала себя, что именно теряется, когда вы смотрите иначе. Иногда именно это и есть самое важное.