Логика неудачи. Книга о стратегическом мышлении в сложных ситуациях - Дитрих Дернер
Шрифт:
Интервал:
Закладка:
Затем реактор изо всех сил пытались вывести из опасной зоны нестабильности, и через полчаса его удалось стабилизировать до 7 % мощности. Эксперимент решили продолжить. Пожалуй, в этом и была серьезная ошибка – именно в этот момент следовало остановить весь процесс. Решение продолжать тестирование при 7 % мощности означало, что все последующие действия будут происходить в зоне максимальной нестабильности реактора. Операторы явно неверно оценили эти условия. Почему? Вряд ли потому, что им никогда не сообщали об опасности нестабильности. Скорее следует предположить, что операторы решили продолжать тестирование по двум другим причинам. Первой причиной был временной прессинг, под которым они находились (или чувствовали, что находятся). Они хотели как можно скорее закончить это по сути обременительное для них выполнение программы тестирования, предназначенного для московских инженеров-электриков. Второй причиной, вероятно, было то, что, хотя операторы в теории и знали об опасностях нестабильности реактора, они не приняли во внимание фактическую опасность происходящего за доли секунды экспоненциального выхода реактора на второй круг, поскольку не могли представить себе наглядную картину этой опасности. Теоретические знания вовсе не обязательно означают умение действовать в реальной ситуации.
Еще одну причину нарушения предписанных мер безопасности – первопричину недостаточного внимания к опасности быстро происходящего повторного расщепления в реакторе, – возможно, следует искать в том, что обслуживающий персонал уже многократно практиковал подобные нарушения требований безопасности. Однако в учебно-теоретическом смысле нарушение техники безопасности обычно чем-то подкреплено, то есть оно того стоит, человек из него что-то извлекает. Когда человек нарушает правила безопасности, это обычно облегчает жизнь. Непосредственные последствия такого нарушения – это лишь устранение препятствий, созданных предписаниями безопасности, и бо́льшая свобода действий. Обычно правила техники безопасности интерпретируют таким образом: при их нарушении человек не взлетает немедленно в воздух, не получает ран и повреждений и не страдает еще каким-либо образом, а жизнь его при этом становится проще. Но это может оказаться настоящей ловушкой. Положительные последствия нарушения правил безопасности приводят к тому, что возрастает склонность полностью их игнорировать. Однако при этом возрастает и вероятность того, что в реальности что-нибудь действительно случится. А когда и в самом деле что-то случается, уже не бывает возможности сделать выводы о том, как следует вести себя в будущем.
Правилами техники безопасности пренебрегают вовсе не одни только операторы атомных станций в Чернобыле, Гаррисбурге[16], Библисе[17] или где-то еще. Если побеседовать со специалистами по психологии труда в химической промышленности или с людьми, изучающими причины промышленного травматизма, то вы услышите от них, что подобное уклонение от предписаний безопасности – обычное дело. Учитывая описанные выше аспекты, в этом нет ничего удивительного.
Вернемся к Чернобылю. Следующим шагом было включение всех восьми насосов первичного контура. Это было сделано в 1.03, то есть вскоре после стабилизации реактора на уровне 7 %. И это тоже было запрещено. Разрешалась одновременная эксплуатация лишь шести насосов. Причиной включения всех восьми насосов было, вероятно, то, что тем самым люди хотели обеспечить стабильность реактора – ведь таким образом достигалось дополнительное охлаждение. Однако при этом никто не предусмотрел, что дополнительное охлаждение приведет к удалению из реактора большей части графитовых стержней, служащих для регулировки скорости расщепления ядра. Система отреагировала на возросшую нагрузку, самостоятельно удалив часть своих «тормозов». Этого побочного эффекта операторы явно не предусмотрели. Они добились главного результата, и их головы были до такой степени заняты этой задачей, что они больше не задумывались о побочных эффектах и далеко идущих последствиях своего поведения. На рисунке 15 схематически показано переплетение главных и побочных последствий.
Рис. 15. Главные и побочные последствия изменения пропускной способности воды в реакторе
Как показывает схема, следствием включения всех восьми насосов стало снижение давления пара. Это совершенно естественно: когда воду закачивают в систему отопления с более высокой скоростью, вода нагревается не так быстро, что приводит к относительно более низкому выходу пара. Относительно низкий в сравнении с количеством закачиваемой воды выход пара может быть и абсолютно низким, и в этом случае вышло именно так. Поскольку паровые турбины были нужны для предстоящего эксперимента, были приняты встречные меры: проток воды увеличили в три раза. Это привело вовсе не к желаемому результату; вместо этого давление пара еще больше снизилось, то есть эффект оказался прямо противоположным. Само по себе это не было бы опасно. Опасным было то, что еще больше графитовых стержней автоматически поднялись из реактора. Почти излишне говорить о том, что помимо этого было отключено и устройство, которое при падении давления пара вызывало автоматическое отключение реактора.
В 1.22 начальник смены потребовал отчет о количестве стержней в реакторе. В результате выяснилось, что в реакторе находится лишь 6–8 стержней. Это гораздо ниже количества, требуемого для нормального уровня безопасности. Работа реактора менее чем с двенадцатью стержнями категорически запрещалась.
Если вы предполагаете, что требование отчета о количестве стержней вызвало некое чувство опасности, в которой находились люди, то вы ошибаетесь. До взрыва оставалось меньше двух минут, но руководитель смены решил продолжить эксперимент. Это означало, что реактор будет использоваться практически без тормозов.
В 1.23 закрыли одну из пароотводящих труб, ведущую к одной из турбин, – это было необходимо согласно программе тестирования. Следствием этого стало, однако, то, что включилась система безопасности с обратной связью. Минутой позже – по-видимому, что-то заметив – операторы попытались совершить нечто вроде аварийного торможения. Была предпринята попытка вернуть графитовые стержни обратно в реактор, однако это было невозможно, так как трубы, в которые должны были проскользнуть стержни, уже деформировались из-за слишком большого повышения внутренней температуры. В этот момент произошло два взрыва. Остальное в этой истории всем известно.
Что из области психологии мы здесь обнаруживаем? Мы видим склонность проводить слишком много мероприятий под давлением времени. Мы видим неспособность мыслить нелинейно, то есть не причинно-следственными цепочками, а причинно-следственными сетями; неспособность принимать в расчет немедленные и отдаленные последствия собственного поведения. Мы видим недооценку экспоненциальных процессов – неспособность увидеть, что экспоненциально происходящий процесс, раз начавшись, развивается с высоким ускорением. Все это – когнитивные ошибки, погрешности в способности к осознанию.
Рис. 16. Скрытые причины Чернобыльской аварии
Эти изначальные ошибки имеют свои собственные скрытые причины, представленные на рисунке 16. В отношении сотрудников, работавших на украинском реакторе, речь шла о сплоченной команде из весьма авторитетных профессионалов,
