Kolaps

Vyšlo aj v tlačovej podobe

Objednať môžete na

www.lindeni.sk

www.albatrosmedia.sk

Chris Clearfield a András Tilcsik

Kolaps – e-kniha

Copyright © Albatros Media a. s., 2019

Všetky práva vyhradené.

Žiadna časť tejto publikácie nesmie byť rozširovaná

bez písomného súhlasu majiteľov práv.

KOLAPS

Prečo naše systémy zlyhávajú

a čo s tým dokážeme urobiť?

CHRIS CLEARFIELD

A ANDRÁS TILCSIK

Copyright © Christopher Clearfield and András Tilcsik, 2018

Translation © Juraj Maxon, 2019

Translation © Slavomír Hrivnák, 2019

E-book konverzia © Grafické a DTP studio Fragment, 2019

ISBN v tlačenej verzii 978-80-566-1447-1

ISBN e-knihy 978-80-566-1512-6 (1. zverejnenie, 2019)

Informátorom, cudzincom a vodcom, ktorí počúvajú.

Potrebujeme viac takých ako vy.

Venované Linnée, Torvaldovi a Soren

— Chris Clearfield

Tomyho rodičom a Marvinovi

— András Tilcsik

meltdown / ‚mεlt∙da n / noun ang.

1: nehoda v nukleárnom reaktore, kde sa palivo prehreje a roztopí jadro reaktora; môže byť zapríčinená zemetrasením, tsunami, bezohľadným testovaním, bežnými chybami alebo len zaseknutým valcom.

2: kolaps alebo rozklad systému

Prológ
DEŇ AKO KAŽDÝ INÝ

„To, čo ma dostalo, boli úvodzovky v slove prázdny.“

I.

Bol teplý pondelok koncom júna, tesne pred dopravnou špičkou. Ann a David Wherleyovci nastúpili do prvého vagóna metra vlaku číslo 112 smerujúceho do hlavného mesta Washington. Išli domov z informačnej schôdzky pre zdravotných dobrovoľníkov. Mladá žena si odsadla zo svojho miesta na začiatku vozňa, a tak Wherleyovci sedeli spolu, nerozluční ako už od strednej školy. Šesťdesiatdvaročný David šiel nedávno do dôchodku a pár sa už tešil na štyridsiate výročie sobáša a na výlet do Európy.

David bol vyznamenaný stíhací pilot a dôstojník vzdušných síl. Vlastne, počas útokov 11. septembra bol on tým generálom, ktorý zorganizoval pár stíhačiek nad Washingtonom s diskrétnym rozkazom zostreliť každé civilné lietadlo, ktoré by ohrozovalo mesto. Napriek tomu, že bol veliaci generál, odmietal šoférovanú limuzínu. Miloval jazdiť metrom.

Presne o 16:58 hodine vodič prudko zatiahol núdzovú brzdu a rytmické buchotanie kolies prerušilo škrípanie. Po tom, ako vlak číslo 112 do niečoho narazil, prišla kakofónia rozbitého skla, ohýbajúceho sa kovu a výkrikov.

Vlak pred nimi nevysvetliteľne zastal na koľajniciach. Nárazom sa do brzdiaceho vlaku číslo 112 dostala štvormetrová stena trosiek – hromada zlomených sedadiel, panelov obloženia a kovových trámov – a zabila Davida, Ann a sedem ďalších.

Takáto zrážka mala byť nemožná. Celý washingtonský systém metra, pozostávajúci zo stoviek kilometrov koľajníc, bol elektronicky prepojený, aby sledoval a kontroloval vlaky. Keď sa vlaky dostali príliš blízko k sebe, automaticky by sa mala znížiť ich rýchlosť. Ale v tento deň, keď vlak číslo 112 zahýbal do zákruty, druhý vlak vpredu na trati zastal – všetkým na očiach, ale neviditeľný pre traťové senzory. Vlak číslo 112 automaticky zrýchlil – napokon, senzory ukazovali, že dráha je voľná. V čase, keď vodič uvidel stojaci vlak a zatiahol záchrannú brzdu, bola už zrážka neodvrátiteľná. Keď vyťahovali záchranári zranených z trosiek, inžinieri metra sa pustili do práce. Potrebovali sa uistiť, že ostatní cestujúci nebudú ohrození. A aby to splnili, museli vyriešiť záhadu: ako len tak zmizol vlak dlhý ako dva futbalové štadióny?

II.

Znepokojujúce zlyhania, akým bola havária vlaku 112, sa dejú neustále. Pozrite sa na zoznam hlavných správ, všetko z jedného týždňa:

KATASTROFICKÉ BANSKÉ NEŠŤASTIE V BRAZÍLII

ĎALŠÍ DEŇ – ĎALŠIE HACKOVANIE: ZLODEJSKÝ MALVÉR Z KREDITNEJ KARTY NAPADOL REŤAZEC HOTELOV

ZVOLÁVACIA AKCIA PRE AUTÁ HYUNDAI KVÔLI CHYBNÉMU SENZORU SPOJKY BRZDY

REPORTÁŽ O VODNEJ KRÍZE V MESTE FLINT, „ZLYHANIE VLÁDY“, ODHALENIE VO WASHINGTONE

„ZA PARÍŽSKYMI TERORISTICKÝMI ÚTOKMI STOJÍ OBROVSKÉ ZLYHANIE SPRAVODAJSKÝCH SLUŽIEB“

VANCOUVER SA SÚDNE DOHODOL S MUŽOM, KTORÝ BOL NESPRAVODLIVO UVÄZNENÝ TAKMER TRI DESAŤROČIA

REAKCIA NA EBOLU: VEDCI VARUJÚ

„NEBEZPEČNE KREHKÝ GLOBÁLNY SYSTÉM“

VYŠETROVANIE VRAŽDY SEDEMROČNEJ SA PREMENILO NA EPOPEJ ZLYHANIA SYSTÉMU, KTORÝ JU MAL CHRÁNIŤ

VYPAĽOVANIE TRÁVNATÝCH PORASTOV PRERÁSTLO DO LESNÝCH POŽIAROV A ZAPRÍČINILO EKOKOLOGICKÚ KATASTROFU V INDONÉZII

MINISTERSTVO VYŠETRUJE VYPUKNUTIE EPIDÉMIE E. COLI V REŠTAURÁCIÁCH CHIPOTLE VO WASHINGTONE A OREGONE

Môže to znieť ako výnimočne zlý týždeň, ale nie je nijako výnimočný. Takmer nenájdete týždeň, v ktorom by sa neudialo zopár kolapsov. Jeden týždeň je to nehoda v priemysle, druhý zase bankový bankrot a ďalšia strašná chyba v zdravotníctve. Dokonca aj malé problémy môžu mať ničivý dôsledok.

V minulých rokoch napríklad nechalo množstvo aeroliniek celé svoje flotily na zemi kvôli technologickým chybám v systéme, pričom cestujúci uviazli na letiskách na celé dni. Tieto problémy nás hnevajú, ale už neprekvapujú. Žiť v 21. storočí znamená spoliehať sa na nespočetné zložité systémy, ktoré výrazne ovplyvňujú naše životy – od elektrickej siete, spracovania a distribúcie vody, cez dopravné systémy a komunikačné siete až po zdravotníctvo a zákonodarstvo. Občas však systém zlyhá.

Zdá sa, akoby tieto zlyhania – a ešte väčšie kolapsy, ako napríklad ropná škvrna v Mexickom zálive zapríčinená spoločnosťou British Petroleum, jadrová havária vo Fukušime a celosvetová finančná kríza – mali pôvod vo veľmi rôznych problémoch. Ale príčiny týchto problémov sú v zásade podobné. Tieto udalosti majú rovnakú DNA, ktorú výskumníci práve začínajú chápať. Táto spoločná DNA znamená, že zlyhanie v jednom z odvetví priemyslu môže poučiť ľudí v iných odvetviach: zubár sa môže poučiť od pilota a marketingové tímy od jednotiek rýchleho nasadenia.

Porozumenie hĺbke dôvodov zlyhania na náročných, exotických miestach, ako napríklad pri podmorskej ťažbe a extrémnom horolezectve, nás môže poučiť tiež o zlyhaniach oveľa jednoduchších systémov. Ukazuje sa, že každodenné kolapsy – neúspešné projekty, zlý výber spolupracovníkov a dokonca aj katastrofálne večierky – majú veľa spoločného s ropnými škvrnami a horolezeckými nehodami. Našťastie, za posledných pár desaťročí výskumníci z celého sveta našli riešenia na to, akým spôsobom máme možnosť zmeniť svoje rozhodnutia a budovať tímy, navrhovať naše systémy a vyvarovať sa príliš častých kolapsov.

Táto kniha má dve časti. Prvá skúma, prečo naše systémy zlyhávajú. Odhaľuje, že rovnaké dôvody stoja často za veľmi rôznymi udalosťami: napríklad mediálna pohroma v Starbucks, nehoda v jadrovej elektrárni Three Mile Island, kolaps na Wall Street a divný škandál na pošte malého mesta vo Veľkej Británii.

Prvá časť tiež skúma paradox vývoja: ako sa naše systémy stali výkonnejšími, tým sa stali aj zložitejšími a menej zhovievavými, vytvárajúcimi prostredie, kde sa malé chyby môžu premeniť na obrovské katastrofy. Systémy, ktoré boli kedysi neškodné, dokážu zabiť ľudí, priviesť k bankrotu spoločnosti a uväzniť nevinných. A prvá časť ukáže, že zmeny, ktoré vykonali systémy náchylné na náhodné zlyhania, poskytujú tiež živnú pôdu úmyselnému zločinu vo forme hackovania či sprenevery.

Druhá – väčšia časť knihy – sa pozrie na riešenia, ktoré môžeme všetci využiť. Ukáže, ako sa ľudia môžu poučiť z malých chýb, aby prišli na to, kde už striehnu veľké chyby. Napríklad ako recepčná zachráni život tým, že si pohovorí so svojou šéfkou, a ako sa tréningový program, pôvodne zamietnutý pilotmi ako „škola slušného správania,“ stal jedným z dôvodov, že lietanie je dnes bezpečnejšie ako kedykoľvek predtým. Preverí, prečo nám rôznorodosť pomáha vyhnúť sa veľkým chybám a čo nás horolezci na Evereste a inžinieri z Boeingu naučia o rôznorodosti. Tiež sa pozrieme na to, ako filmové štáby a záchranárske tímy riešia prekvapenia a ako ich postupy mohli zachrániť zlé spravovanie úvodnej ponuky na predaj akcií spoločnosti Facebook či zlyhanie rozšírenia spoločnosti Target do Kanady. Znovu navštívime záhadu zmiznutého vlaku a ako blízko boli inžinieri zabráneniu tejto tragédie.

Spojili sme sa, aby sme napísali túto knihu z dvoch pohľadov. Chris začal svoju kariéru ako investičný obchodník. Počas finančnej krízy v rokoch 2007 – 2008 spoza svojho stola sledoval, ako zbankrotovali Lehman Brothers a trh s cennými papiermi vo svete ochladol. V tom istom čase sa začal školiť ako pilot a vyvinul sa u neho osobný záujem o tému, ako sa vyhýbať katastrofickým nehodám. András pochádza zo sveta výskumu a študuje, prečo spoločnosti tak bojujú s komplikovanosťou. Pred pár rokmi vytvoril kurz s názvom Katastrofické zlyhania v organizáciách. V ňom manažéri z rôznych odvetví študujú najvýraznejšie katastrofy a delia sa o vlastné skúsenosti s každodennými kolapsami.

Náš podkladový materiál pre knihu pochádza z náhodných nehôd, akademických štúdií a rozhovorov širokého spektra ľudí, od riaditeľov spoločností až po neskúsených kupujúcich. Myšlienky, ktoré vyšli najavo, vysvetľujú všetky druhy zlyhaní a poskytujú zasvätený pohľad, ktorý môže každý využiť. V čase kolapsov budú tieto pohľady rozhodujúce pre vykonanie správnych rozhodnutí v práci a v našom osobnom živote, pri vedení úspešného podniku i pri riešení niektorých globálnych výziev.

III.

Jedným z prvých ľudí, s ktorými sme sa kvôli tejto knihe rozprávali, bol Ben Berman, výskumník pracujúci pre NASA, letecký kapitán a bývalý vyšetrovateľ, ktorý má aj diplom z ekonómie na Harvardovej univerzite. Berman nám vysvetlil, že práve letectvo je ideálnym príkladom na porozumenie tomu, ako malé zmeny dokážu zabrániť veľkým katastrofám.

Napriek tomu, že pravdepodobnosť poruchy pri bežnom lete je až mizerne malá, treba si uvedomiť, že denne sa uskutoční viac ako stotisíc komerčných letov. Rovnako sa pri nich vyskytuje množstvo menších omylov, ktoré padnú do pasce na chyby, ako sú napríklad kontrolné zoznamy a výstražné systémy. Tieto zvyčajne zachytia nedostatky predtým, ako by narástli do väčších rozmerov a stali sa nekontrolovateľnými. Napriek tomu sa nehody stále dejú. Keď sa tak stane, vždy je k dispozícii množstvo dát o tom, čo sa pokazilo. Nahrávanie hlasu pilotov v kabíne a čierna skrinka poskytujú záznamy o činoch posádky a situácii v lietadle po celý čas letu až po dobu nárazu. Tieto záznamy sú rozhodujúce pre vyšetrovateľov ako je Berman – ľudí, ktorí pátrajú na mieste havárie plnej ľudských tragédií, aby zabránili budúcim nehodám.

Jedného krásneho májového popoludnia v roku 1996 bol Berman so svojou rodinou v New Yorku, keď sa mu zrazu spustilo malé telekomunikačné zariadenie – pager. Ben bol vo výjazdovom tíme skupiny National Transportation Safety, v skupine vyšetrovateľov, ktorých okamžite vysielali na miesto závažnej nehody.

Čoskoro sa dozvedel kruté detaily: let 592 spoločnosti ValuJet – lietadlo s viac ako sto pasažiermi na palube zmizlo z radaru a desať minút po vzlietnutí v Miami havarovalo vo floridských močiaroch Everglades. Na palube vypukol oheň, toľko bolo jasné z rádiovej korešpondencie medzi pilotom a vežou leteckého dispečingu – čo však bolo príčinou nehody, zostalo záhadou. Keď Berman prišiel na druhý deň na miesto nehody, vo vzduchu bolo ešte stále cítiť letecký benzín. Trosky boli roztrúsené na hustom bahne, ale nikde neboli stopy trupu alebo hocičoho, čo vyzeralo ako lietadlo. Roztrúsené kusy lietadla boli pochované pod vyše pása hlbokou vodou, močiarnou trávou a bahnom. Na povrchu plávali tenisky a sandále.

Zatiaľ, kým pátracie tímy prečesávali čierny močiar, Berman zhromaždil svoj tím na miamskom letisku a začal rozhovory so všetkými, ktorí obsluhovali let na zemi. Jeden za druhým pracovníci pozemnej obsluhy prichádzali do kancelárie vedúceho ValuJet, kde si vyšetrovatelia zriadili svoj hlavný stan. Väčšina rozhovorov prebiehala v takomto duchu:

Berman: Čo ste si všimli na lietadle?

Pracovník pozemnej obsluhy: Nič zvláštne, naozaj...

Berman: Niečo výnimočné počas pozemnej obsluhy? Alebo keď ste pomáhali pri navedení na stojisko? Alebo hocikedy inokedy?

Pracovník pozemnej obsluhy: Nie, všetko bolo normálne.

Berman: Zaujalo vás niečo?

Pracovník pozemnej obsluhy: Nie, naozaj vôbec nič tam nebolo.

Nikto nič nevidel.

Potom, počas uchlipkávania kávy medzi rozhovormi, si Berman všimol niečo zaujímavé v kope papierov na stole vedúceho. Zospodu vykúkal zo stohu kúsok papiera s podpisom.

Bol to podpis Candalyn Kubeckovej, letovej kapitánky. Berman vybral stoh z priehradky a listoval v papieroch. Nebolo tam nič zvláštne, len bežná letová dokumentácia pre ValuJet, let 592. Ale jedna stránka v ňom vzbudila pozornosť:

Bol to nákladový lístok zmluvnej leteckej servisnej spoločnosti SabreTech, uvádzajúci vlastné materiály firmy v skratke „COMAT“ na palube ValuJet. Toto vzbudilo Bermanovu pozornosť. Na palube bol oheň a dokument uvádzal, že sa na nej nachádzali kyslíkové nádrže (oxy). A bolo tam ešte čosi: „Boli to úvodzovky pri slove „prázdne“, čo ma zaujali,“ povedal nám Berman.

Vyšetrovatelia sa dopravili do kancelárie SabreTechu na letisku a našli úradníka, ktorý podpísal nákladový lístok. Zistili, že položky uvádzané ako kyslíkové tlakové nádoby boli vlastne chemické kyslíkové generátory, prístroje vytvárajúce kyslík pre masky, ktoré vypadnú nad hlavami cestujúcich v prípade straty tlaku v kabíne lietadla.

„Takže boli prázdne?“ spýtal sa Berman.

„Boli vyradené – nepoužiteľné, s vypršanou zárukou.“

To bol varovný signál. Chemické generátory kyslíka pri aktivácii vytvárajú obrovské množstvo tepla. Počas nevhodných podmienok zariadenie na záchranu života spôsobí peklo. Ak krabice skutočne obsahovali kyslíkové generátory, ktorým skončila životnosť, namiesto naozaj prázdnych nádob bola na palubu lietadla položená časovaná bomba. Ako sa to mohlo stať? Ako si tento smrteľný náklad našiel cestu do lietadla plného cestujúcich? Vyšetrovanie odhalilo množstvo chýb, náhod a každodenného zmätku. ValuJet kúpil tri lietadlá a najal SabreTech, aby ich zmodernizovali v hangári na miamskom letisku. Množstvo kyslíkových generátorov malo vypršanú životnosť a museli byť vymenené. ValuJet povedal SabreTechu, že ak generátor nie je opotrebovaný (to znamená, že je stále schopný vyrábať kyslík), je nevyhnutné nainštalovať naň bezpečnostný uzáver. Lenže bol zmätok medzi nádobami, ktoré mali vypršanú lehotu použitia, a nádobami, ktoré ešte neboli minuté. Veľa nádob malo vypršanú lehotu použitia, ale neboli minuté. Mnohé nádoby mali vypršanú lehotu a boli aj vyminuté. Stále tam boli nádoby, ktoré boli vyminuté, ale lehota bola v poriadku. A ešte tam boli náhradné nádoby s nevypršanou lehotu a nepoužité. „Ak ste z toho zmätení, tak sa to ani nepokúšajte vyriešiť— ani mechanici od SabreTechu to nevyriešili, napriek tomu, že sa to od nich očakávalo,“ napísal novinár a pilot William Langewiesche v novinách Atlantic.

Áno, nejaký mechanik sa mohol dostať cez pracovný preukaz k obrovskému údržbovému manuálu MD-80, ku kapitole 35-22-01, kde by mu riadok „h“ dal inštrukciu k tomu, ako „skladovať alebo zlikvidovať kyslíkový generátor.“ Keby sa snažil dbať na všetky možnosti, mohol nájsť v inej časti manuálu, že „všetky opraviteľné a neopraviteľné (nevyminuté) kyslíkové generátory (nádoby) sa majú skladovať na takom mieste, aby bolo zaručené, že žiadna jednotka nebude vystavená príliš veľkým teplotám alebo možnému poškodeniu.“ Uvažovaním nad dôsledkami zátvoriek mohol usúdiť, že „neminuté“ nádoby sú tiež neservisovateľné, a pretože nemal prepravný bezpečnostný uzáver, mal podľa postupu popísanom v sekcii 2.D pravdepodobne takéto nádoby na bezpečnom mieste „vypustiť.“

A takto to išlo ďalej: viac detailov, viac úrovní, viac výrazov, viacej varovaní a viac inžinierskych odborných termínov. Bezpečnostné uzávery neboli nasadené, generátory skončili v kartónových krabiciach. Po pár týždňoch boli prebraté dopravným oddelením SabreTechu. Tam ležali, až kým nejakému úradníkovi v expedičnom oddelení nepovedali, aby uvoľnil miesto. Dávalo mu zmysel poslať krabice do centrály ValuJetu v Atlante.

Nádoby boli označené zelenými štítkami. Technicky vzaté: zelený štítok znamená „opraviteľné,“ ale nie je jasné, čo tým mechanik myslel. Úradník si zase myslel, že značka znamená „neopraviteľné“ alebo „nefunkčné.“ Predpokladal, že nádoby sú prázdne. Ďalší úradník vyplnil dopravný lístok a dal úvodzovky okolo „prázdne“ a „5 krabíc“. Jednoducho mal vo zvyku dávať úvodzovky medzi slová. Krabice prešli systémom, krok po kroku, od mechanika k úradníkovi, od pozemnej obsluhy lietadiel až do nákladového priestoru. Posádka lietadla si problém nevšimla a kapitánka Kubecková podpísala letové papiere. „A výsledkom bolo, že aj posledná línia obrany zlyhala,“ napísal Langewiesche. „Mali smolu a systém ich zabil.“

Vyšetrovania washingtonského vlaku 112 a letu ValuJet 592 odhalili, že tieto nehody mali pôvod v rovnakej príčine: zvyšujúcej sa komplikovanosti našich systémov. Keď vlak 112 havaroval, Jasmine Gerdová, producentka zo spoločnosti National Public Radio, bola len pár vozňov od zrážky. „Tá zrážka vlakov bola, akoby sa veľmi rýchly film so škrípaním náhle zastavil,“ spomína si. „Myslím, že v takýchto momentoch si uvedomíte dve veci: akí nepatrní a zraniteľní sme vo svete obrovských strojov, ktoré sme postavili, a akí sme voči tej zraniteľnosti ignorantskí.“

Existuje ale nádej. V posledných desaťročiach nám naše chápanie zložitosti, organizačné počínanie a psychológia poznania dali možnosť vnímať, ako sa malé chyby vyvinú do obrovského zlyhania. Nielenže teraz rozumieme, ako sa takéto nehody stávajú, ale vieme, ako im v malých krokoch zabrániť. Zopár spoločností, výskumníkov a tímov na celom svete vedú revolúciu v hľadaní riešení zabraňujúcich kolapsom, a nepotrebujú pokrokové technológie či miliónové rozpočty.

Na jar roku 2016 sme sa dohodli s Benom Bermanom, aby prednášal pre plnú miestnosť ľudí, zaujímajúcich sa o krízový manažment, o príkladoch z letectva. Bola to neuveriteľne rôznorodá skupina: profesionálni personalisti a štátni zamestnanci, podnikatelia a doktori, manažéri neziskoviek, právnici a dokonca aj niekto z módneho priemyslu. Bermanova prednáška sa však dotýkala všetkých odvetví. „Zlyhania systému,“ povedal skupine, „sú neuveriteľne drahé a ľahko sa podceňujú, a je veľmi pravdepodobné, že ich počas svojej kariéry alebo osobného života zažijete.“ Odmlčal sa a pozrel sa na obecenstvo. „Dobrá správa je, že si myslím, že si s tým budete vedieť naozaj poradiť.“

PRVÁ ČASŤ
ZLYHANIA VŠADE OKOLO NÁS

Prvá kapitola
NEBEZPEČNÁ ZÓNA

„Ó, toto bude zábavné.“

I.

Jadrová elektráreň Ventana leží na úpätí majestátneho pohoria San Gabriel, len štyridsať kilometrov východne od Los Angeles. Jedného dňa koncom sedemdesiatych rokov minulého storočia zatriasli elektrárňou otrasy. Keď začali húkať alarmy a zapli sa výstražné svetlá, v riadiacej miestnosti vypukla panika. Na paneli husto posiatom kontrolkami jeden merač ukazoval, že voda ochladzujúca reaktorové jadro dosiahla nebezpečne vysokú úroveň. Posádka riadiacej miestnosti, zamestnanci spoločnosti California Gas and Electric, otvorili výpustné ventily, aby sa zbavili nadbytočnej vody. V skutočnosti úroveň vody nebola vôbec vysoká. Práve naopak, bola tak nízko, že stačilo len pár centimetrov na to, aby bolo jadro reaktora odhalené. Vedúci zmeny nakoniec prišiel na to, že merač úrovne vody poskytoval chybné údaje – všetko kvôli zaseknutej šípke na meradle. Posádka sa naháňala, aby uzatvorila ventily a predišla roztopeniu jadra reaktora. Na pár hrôzostrašných minút bola elektráreň na pokraji nukleárnej katastrofy. „Možno sa mýlim, ale povedal by som, že máte šťastie, že ste ostali nažive,“ povedal expert na jadrové zariadenia hŕstke novinárov, ktorí boli náhodou v elektrárni počas nehody. „Mimochodom, myslím si, že to platí pre celú Južnú Kaliforniu.“

Našťastie sa táto nehoda v skutočnosti nikdy nestala. Je to zápletka filmu Čínsky syndróm, thrilleru z roku 1979, v ktorom hrali Jack Lemmon, Jane Fondová a Michael Douglas. Bola to čistá fikcia, aspoň podľa vedúcich osobností jadrového priemyslu, ktorí ostro tento film kritizovali ešte pred uvedením do kín. Tvrdili, že tento príbeh nemá žiadny vedecký podklad, a jeden z vedúcich pracovníkov ho nazval „úkladnou vraždou celého priemyslu.“

Michael Douglas, ktorý vo filme hral a bol aj jeho producentom, nesúhlasil: „Mám predtuchu, že veľa toho, čo sa v tomto filme udialo, sa zopakuje v reálnom živote počas nasledujúcich dvoch alebo troch rokov.“ Netrvalo to tak dlho. Dvanásť dní po tom, ako sa v kinách začal hrať Čínsky syndróm, Tom Kauffman, pohľadný dvadsaťšesťročný červenovlasý mladík, prišiel do práce do jadrovej elektrárne na Three Mile Island, betónovej pevnosti postavenej na ostrove v strede rieky Susquehanna v Pensylvánii.

Stalo sa to v stredu o 6:30 ráno a Kauffman vedel, že niečo nie je v poriadku. Oblaky pary vychádzajúce z obrovských chladiacich veží boli menšie ako zvyčajne. A keď zacítil bezpečnostné vibrovanie, bolo počuť už aj poplašné sirény. „Ó, to majú nejaký problém na druhom bloku,“ povedal mu strážnik.

Vnútro riadiacej miestnosti bolo preplnené operátormi a na obrovskej konzole blikali stovky svetiel. Radiačné poplachy sa rozozneli v celej elektrárni. Krátko pred 7:00 vyhlásil vedúci na území jadrového zariadenia núdzový stav. To znamenalo možnosť „nekontrolovaného úniku rádioaktívnych látok“ v jadrovej elektrárni. O 8:00 sa polovica jadrového paliva z jedného z dvoch reaktorov elektrárne roztopila a o 10:30 sa do riadiacej miestnosti dostal rádioaktívny plyn. Bola to najhoršia jadrová katastrofa v amerických dejinách. Inžinieri sa snažili celé dni stabilizovať prehriaty reaktor a niektorí oficiálni predstavitelia sa obávali toho najhoršieho. Vedci diskutovali o tom, či vodíková bublina, ktorá sa utvorila v reaktore, môže explodovať. Bolo tiež jasné, že radiácia zabije každého, kto by sa dostal dostatočne blízko na to, aby ručne otvoril ventil a vypustil nahromadený prchavý plyn.

Po napätom stretnutí v krízovej operačnej miestnosti Bieleho domu si vedecký poradca prezidenta Cartera zobral bokom Victora Gilinského, komisára štátneho dozoru pre jadrovú bezpečnosť. V tichosti mu navrhol, aby na miesto poslali na rakovinu smrteľne chorých pacientov a tí by otvorili ventil. Gilinsky sa na neho pozrel a ani nevedel, či si z neho strieľajú, alebo to myslia fakt vážne.

Až 140-tisíc ľudí utieklo z danej oblasti a obývané miesta okolo elektrárne sa premenili na mestá duchov. Piaty deň krízy navštívili prezident Carter a prvá dáma miesto nehody, aby upokojili ľudí znepokojených panikou. Počas návštevy elektrárne vo svojich žltých návlekoch na topánky, zabezpečujúcich ochranu pred rádioaktívnym prachom na zemi, uisťovali národ, že všetko je v poriadku. V ten istý deň prišli inžinieri na to, že vodíková bublina nepredstavuje bezprostredné nebezpečenstvo. Hneď ako bolo zabezpečené chladenie, teplota jadra začala klesať. Napriek tomu trvalo celý mesiac, kým sa najhorúcejšie časti jadra začali ochladzovať. Nakoniec sa všetky obavy verejnosti rozplynuli. Napriek tomu si mnohí myslia, že Three Mile Island je miestom, kde sa takmer naplnili všetky naše najhoršie mory.

Incident kolapsu Three Mile Island pritom začal len ako bežný inštalatérsky problém. Pracovná čata robila len rutinnú údržbu na nejadrovej časti elektrárne. Z nejasných dôvodov boli hlavné vodné napájacie čerpadlá, ktoré normálne posielajú vodu do generátora pary, uzavreté. Jedna teória predpokladá, že sa počas údržby dostala vlhkosť do vzdušného systému kontrolujúceho nástroje elektrárne, ako aj reguláciu púmp. Bez pritekajúcej vody do generátora pary sa nedalo ochladzovať jadro generátora, takže teplota stúpla a vytvorila tlak v reaktore. Na to sa zapojil, ako bolo naplánované, impulzný výpustný vysokotlakový ventil havarijného chladenia. Lenže potom prišla ďalšia porucha. Keď sa tlak vrátil do normálu, impulzný výpustný ventil sa nezatvoril. Ostal zaseknutý a otvorený. Voda, ktorá mala pokrývať a ochladzovať jadro, začala unikať.

Svietiace svetlo ukazovateľa v riadiacej miestnosti viedlo operátorov k domnienke, že ventil je zavretý. V skutočnosti ale svetlo len ukazovalo, že ventil dostal príkaz zavrieť sa, nie, že je zavretý. Takisto tam neboli žiadne prístroje, ktoré by ukázali stav vodnej hladiny v jadre, takže operátori sa spoľahli na odlišné merania: na hodnotu úrovne vody v systéme nazvanom tlakovač. Voda ale unikala cez polootvorený ventil, zdalo sa, že v tlakovači stúpa, aj keď v skutočnosti v jadre klesala. Preto operátori predpokladali, že je tam príliš veľa vody, aj keď v skutočnosti mali úplne opačný problém. Keď naskočil vysokotlakový systém havarijného chladenia, začala do jadra prúdiť voda, oni ho ale vypli. Jadro sa začalo roztápať.

Operátori vedeli, že niečo nie je v poriadku, ale nevedeli čo. Trvalo im hodiny, kým prišli na to, že sa stráca voda. Kvílenie poplašných sirén drásalo nervy. Medzi všetkými sirénami, klaksónmi a majákmi bolo ťažké rozoznať jednoduché výstrahy od naozajstných poplachov. Komunikácia sa stala ešte ťažšou, keď ukazovateľ vysokej radiácie prinútil všetkých v riadiacej miestnosti používať respirátory.

A úplne nejasné bolo, aké horúce sa medzičasom stalo jadro. Niektoré hodnoty boli vysoké. Iné zase nízke. Občas počítač monitorujúci teplotu reaktora dostal zo seba len množstvo riadkov ako napríklad:

??????????????????????????????????????????????????????????????????

??????????????????????????????????????????????????????????????????

??????????????????????????????????????????????????????????????????

??????????????????????????????????????????????????????????????????

??????????????????????????????????????????????????????????????????

??????????????????????????????????????????????????????????????????

??????????????????????????????????????????????????????????????????

Rovnako zlá bola aj situácia v Štátnej komisii pre jadrovú bezpečnosť. „Bolo ťažké spracovať neisté a miestami si odporujúce informácie,“ spomína Gilinsky. „Stratil som sa v množstve nepoužiteľných rád zo všetkých strán. Nezdalo sa, že by niekto spoľahlivo pochopil, čo sa tam deje alebo čo robiť.“

Bola to tajomná kríza nevídaných rozmerov. A zmenila všetko, čo vieme o zlyhaniach v moderných systémoch.

II.

Štyri mesiace po havárii na Three Mile Island sa po veternej horskej ceste šplhalo poštové auto k odľahlej chate v Hillsdale na úpätí Berkshires v štáte New York. Bol horúci augustový deň a vodičovi sa podarilo nájsť miesto až po pár pokusoch. Keď auto zastalo, z chaty vyšiel štíhly päťdesiatnik s kučeravými vlasmi a netrpezlivo podpísal príjem zásielky – veľký balík plný kníh a článkov o priemyselných haváriách.

Ten chlapík sa volal Charles Perrow alebo Chick, ako ho volali priatelia. Perrow bol najnepravdepodobnejšou osobou, ktorá by mohla spraviť revolúciu vo výskume priemyselných havárií. Nebol ani inžinier, ale profesor sociológie. Nerobil žiadny výskum havárií jadrovej energetiky či bezpečnosti. Bol skôr odborníkom na organizáciu než na katastrofy. Jeho posledný článok mal názov „Vzbura bezmocných: Hnutia farmárov 1946 – 1972.“ Keď sa stala havária na Three Mile Island, práve študoval organizáciu tkáčskych stavov v devätnástom storočí v Novom Anglicku.

Sociológovia nemávajú často veľký vplyv na veci života a smrti, ako je napríklad jadrová bezpečnosť.

Raz jeden karikaturista z magazínu New Yorker zosmiešňoval túto disciplínu obrázkom muža čítajúceho novinový titulok „Sociológovia štrajkujú!!! Národ v nebezpečenstve!!“. A to napriek tomu, že len päť rokov po tom, ako Perrow dostal spomínanú zásielku na chatu, sa jeho kniha Normal Accidents (Normálne nehody) – štúdia katastrof vo vysoko rizikových odvetviach priemyslu, stala v akademických kruhoch kultovou klasikou.

Znalci z rôznych odvetví, od jadrových inžinierov, softvérových expertov po zdravotných výskumníkov, čítali a debatovali o tejto knihe. Perrow prijal profesúru na univerzite v Yale a niekedy v tomto čase bola publikovaná jeho druhá kniha o katastrofách. Časopis American Prospect vyhlásil, že jeho práca „dosiahla ikonický status.“ Jeden text o knihe ho nazýval „nepopierateľný Pán katastrof.“

Perrowa začali zaujímať kolapsy, keď ho v rámci nehody na Three Mile Island prezidentská komisia požiadala o vypracovanie štúdie o tejto udalosti. Na začiatku mala komisia v pláne vypočuť len inžinierov a právnikov, ale jediná sociologička v komisii trvala na tom, aby konzultovali aj s Perrowom. Mala predtuchu, že by sa mohli niečo viac dozvedieť od vedca sociálnych vied, niekoho, kto má predstavu o tom, ako organizácie v reálnom svete skutočne fungujú.

Hneď ako Perrow dostal prepisy z vyšetrovania komisie, prečítal všetky materiály ešte v to poobedie. Než zaspal, tak sa v noci hodiny prehadzoval, a keď sa mu to nakoniec podarilo, mal najhoršie nočné mory od čias, keď bol vojakom počas druhej svetovej vojny. „Svedectvá operátorov na mňa spravili hlboký dojem,“ spomína o roky neskôr. „Bola tu tá neuveriteľná, až katastrofálne riziková technológia a oni niekoľko hodín nemali potuchy čo sa deje... Zrazu som zistil, že som ponorený uprostred toho všetkého, pretože toto bol viac ako hocičo iné organizačný problém.“

Mal do troch týždňov napísať desaťstránkovú správu, ale – s pomocou promovaných študentov, ktorí mu poslali krabice materiálov do jeho chaty – dokončil správu v termíne s neuveriteľnými štyridsiatimi stranami. Dal dokopy niečo, čo neskôr nazval „toxická a rozkladná skupina promovaných výskumných asistentov, ktorí sa hádali so mnou aj medzi sebou.“ Bola to, ako si Perrow spomína, najpochmúrnejšia skupina na univerzite, známa svojím čiernym humorom.

Na našich pondelkových stretnutiach by niekto povedal: „To bol vynikajúci víkend pre náš projekt!“ a vysypal hŕbu ďalších havárií. Táto skupina odrážala Perowovu osobnosť. Jeden z odborníkov ho opísal ako mrzúta, ale jeho výskum nazval majákom. Študenti hovorili, že bol náročný učiteľ, ale mali radi jeho predmety, pretože sa na nich veľa naučili. Medzi akademikmi mal povesť človeka, ktorý veľmi intenzívne, ale konštruktívne kritizoval. „Chickovo kritické posudzovanie mojej práce je štandard, podľa ktorého meriam ten svoj,“ napísal jeden autor. „Vždy sa mu darilo písať strany a strany niekedy ostrých poznámok, zvyčajne však dobre odôvodnených a vždy končiacich niečím ako „S láskou Chick“ alebo „Moje zvyčajne citlivé Ja“.

III.

Čím viac sa Perrow dozvedal o Three Mile Island, tým ho viac fascinoval. Bola to obrovská havária, ale jej príčiny boli obyčajné: žiadne obrovské zemetrasenie alebo obrovská inžinierska chyba, ale kombinácia drobných nehôd – inštalatérsky problém, zaseknutý ventil a nejednoznačný svetelný indikátor.

A bola to tiež nehoda, ktorá sa stala neuveriteľne rýchlo. Ak vezmeme do úvahy pôvodnú inštalatérsku poruchu a z toho vyplývajúci výpadok púmp, neschopných poslať do generátora pary vodu, zvyšujúca sa teplota v reaktore, otvorenie vysokotlakového ventilu a jeho neschopnosť sa zatvoriť i zavádzajúce údaje o pozícii ventilu – všetko toto sa udialo len za trinásť sekúnd. Za menej ako desať minút bolo jadro už poškodené. Perrowovi bolo jasné, že hádzať vinu na operátorov bol lacný ťah. Oficiálne vyšetrovanie vykreslilo personál elektrárne ako hlavných vinníkov, ale Perrow prišiel na to, že ich chyby boli chybami len zo spätného pohľadu, nazýval ich „retrospektívne chyby“.

Zoberme si napríklad najväčšiu chybu – predpoklad, že tam bolo príliš veľa vody, kým v skutočnosti jej tam bolo skôr trochu málo. Keď operátori dospeli k tomuto záveru, ukazovatele im v tom čase neukázali, že úroveň chladiva bola príliš nízka. Podľa ich vedomostí nebolo žiadne nebezpečenstvo odhalenia jadra, takže sa zamerali na druhý vážny problém – riziko preplnenia systému. Napriek tomu, že mali indície, ktoré by im pomohli odhaliť skutočný dôvod problému, operátori si mysleli, že ide o poruchu prístrojov. A bol to aj rozumný predpoklad; prístroje boli poruchové. Predtým, ako vyšetrovatelia prišli na bizarnú synergiu malých porúch, ktoré sa udiali v elektrárni, rozhodnutie operátorov sa zdalo byť rozumné. To bol napokon hrozivý výsledok. Na jednej strane jedna z najhorších jadrových havárií v dejinách, a očividne nebolo za to zodpovedné ľudské zlyhanie alebo veľké zemetrasenie vonku. Len sa to nejako vyvinulo z malých nehôd, ktoré sa zvláštne v daný deň prepojili.

Z pohľadu Perrowa táto nehoda nebola len vrtošivá náhoda, ale základný znak jadrovej elektrárne ako systému. Zlyhanie bolo poháňané skôr spojeniami medzi jednotlivými časťami ako časťami samotnými. Vlhkosť, ktorá sa dostala do vzdušného systému, by sama o sebe nebola problémom. Ale jej prepojenie medzi pumpami a generátorom pary, množstvom ventilov a reaktorom malo obrovský dosah. Perow a jeho študenti sa roky „prehrýzali“ cez podrobnosti stoviek nehôd, od leteckých nešťastí až po explózie v chemických továrňach. A všade dookola sa ukazoval rovnaký vzorec. Rôzne časti systému neočakávane vzájomne pôsobili jeden na druhý, malé nehody boli kombinované nepredvídaným spôsobom a ľudia nerozumeli, čo sa deje.

Perrowova teória predpokladala, že dva faktory robia systémy náchylnými na tento druh zlyhania. Ak porozumieme týmto faktorom, zistíme, ktoré systémy sú najzraniteľnejšie. Prvý faktor má dočinenia so vzájomným pôsobením rôznych častí systému medzi sebou. Niektoré systémy sú lineárne, podobné automobilovej montážnej linke, kde veci postupujú ľahko predpovedateľnou postupnosťou. Každé auto ide z prvého stanoviska na druhé, potom na tretie a tak ďalej, a na každom z nich sa montujú rôzne diely. Keď sa linka na niektorom stanovisku zastaví, je okamžite jasné, ktoré zlyhalo. Následok bude tiež jasný: autá sa nedostanú na ďalšie stanovisko a budú sa hromadiť na predchádzajúcom. V systémoch, ako je tento, je súhra rôznych častí najviac viditeľná a predpovedateľná.

Iné systémy, ako napríklad atómová elektráreň, sú oveľa zložitejšie: ich časti pravdepodobnejšie vzájomne pôsobia skrytými a nečakanými spôsobmi. Zložité, komplexné systémy viac pripomínajú prepracovanú sieť ako montážnu linku. Množstvo ich častí je zložito prepojených a môžu ľahko ovplyvniť jedna druhú. Dokonca aj zdanlivo nesúvisiace časti môžu byť nepriamo prepojené a niektoré subsystémy sú tiež prepojené s mnohými časťami systému. Takže ak sa niečo pokazí, problémy vyskočia všade a je ťažké zistiť, čo sa deje.

Aby celá vec bola ešte horšia, to, čo sa deje v zložitých systémoch, je bežným okom neviditeľné. Predstavte si, že ste na pešej túre a idete úzkou cestičkou dole, na okraj útesu. Ste len pár krokov od priepasti, ale vaše zmysly vás udržujú v bezpečí. Vaša hlava a oči sa neustále sústredia na to, aby ste nespravili zlý krok alebo sa nepriblížili príliš blízko okraju. Teraz si predstavte, že prechádzate rovnakým chodníkom, len máte na očiach ďalekohľad. Nevidíte celý obraz. Namiesto toho zameriate pozornosť na úzky a nepriamy pohľad. Pozeráte sa dole, kde by mohla stúpiť vaša ľavá noha.

Potom sa otočíte s ďalekohľadom, aby ste odhadli, ako ste ďaleko od okraja. Potom sa pripravíte pohnúť pravou nohou a znovu pozriete na cestičku. A teraz si predstavte, že bežíte dole tou cestičkou a spoliehate sa len na občasné nepriame pohľady. Toto robíme, keď sa snažíme riadiť zložité systémy. Perrow rýchlo poznamenal, že rozdiel medzi komplexnými a lineárnymi systémami nie je zložitý. Montážna automobilová linka je všetko, len nie jednoduchá, ale napriek tomu jej časti spolu reagujú najlineárnejšími a prehľadnými spôsobmi. Alebo sa pozrite na priehrady. Sú to staviteľské zázraky, ale podľa Perowovej definície nie sú zložité.

V komplexných systémoch sa nemôžeme pozrieť na to, čo sa deje v centre problému. Môžeme sa len spoliehať na nepriame ukazovatele, aby sme zhodnotili väčšinu situácií. V atómovej elektrárni nemôžeme napríklad niekoho poslať ísť sa pozrieť, čo sa deje v jadre reaktora. Musíme si zložiť celý obraz z malých kúskov – ukazovateľov tlaku, ukazovateľov prietoku vody a podobne. Niečo vidíme, ale nie všetko. Tak sa naša diagnóza môže ľahko stať nesprávnou.

Pri zložitom vzájomnom pôsobení môžu mať malé zmeny obrovské následky. Na Three Mile Island pohár nerádioaktívnej vody zapríčinil stratu tisícov litrov rádioaktívneho chladiva. Je to vlastne teória motýlích krídel z teórie chaosu – myšlienka, že motýľ, ktorý zamáva krídlami v Brazílii, vytvorí podmienky na vznik tornáda v Texase. Priekopníci teórie chaosu nebudú nikdy dostatočne dobrí na to, aby dokázali predpovedať efekt zamávania krídel. Perrow tvrdil niečo podobné: nerozumieme zložitým systémom natoľko, aby sme dokázali predpovedať všetky možné dôsledky hoci aj malého zlyhania.

IV.

Druhý faktor Perrowovej teórie má dočinenia s tým, akú má systém vôľu. Z inžinierstva si požičal termín pevný spoj. Keď je systém pevne spojený, tak je vyrovnávacia vôľa medzi spojenými časťami malá. Zlyhanie jednej časti ľahko ovplyvní ďalšie. Voľné spojenie znamená opak: medzi časťami je dosť vôle na vyrovnanie, takže keď zlyhá jedna, zvyšok systému obyčajne prežije.

V.