28 апреля 2022 года Эли Шрагенхайм опубликовал в своем блоге очередной материал, посвященный применению подхода “научение на одном событии”. Судя по тексту, его вдохновил на это документальный фильм Netflix «Падение: Дело против Боинга» (Downfall: The Case Against Boeing), но в данном случае, это просто кейс для разбора.
Читайте, размышляйте, комментируйте.
Как обычно, ссылка на оригинал и картинка из поста автора.
Ваш Дмитрий Егоров
P.S.: Если найдете “очепятки” – пишите, буду редактировать.
Случай с двумя крушениями самолетов Boeing 737 MAX, произошедшими с разницей менее, чем в шесть месяцев в 2018 и 2019, связан с тремя крупными ошибками менеджмента, которые заслуживают изучения, поэтому все менеджеры должны извлечь из них уроки. Эта история, включающая в себя некоторые действительно важные детали, была показана в документальном фильме «Падение: Дело против Боинга» (Downfall: The Case Against Boeing), выпущенном Netflix.
Мы все требуем от авиакомпаний обеспечения 100% безопасности, и практически от каждой организации: никогда не позволяйте своей концентрации на зарабатывании денег приводить к фатальным ошибкам!
Тем не менее, любое обещание 100% безопасности – это утопия. Мы можем подойти очень близко к 100%, но не существует способа сделать так, чтобы фатальные случайности никогда не произошли. Реальная практическая ответственность состоит из двух различных действий:
- Тратить время и усилия на то, чтобы в нужных местах установить механизмы защиты. Мы в Теории ограничений называем их «буферы», поэтому даже если что-то пойдет не так, то катастрофы не произойдет. Все производители самолетов и все авиакомпании прекрасно знают об этой необходимости. Они встраивают защитные механизмы и детальные процедуры обеспечения безопасности в повседневную жизнь своих организаций. Из-за такого большого количества процедур, обеспечения безопасности, любая авиакатастрофа является результатом совпадения нескольких сбоев и, поэтому, очень редки. Но тем не менее, иногда авиакатастрофы случаются.
- Если возникает сигнал о том, что случилось что-то, чего не должно было происходить, то должен быть процесс обучения для определения операционной причины, и таким образом определить ошибочную парадигму, которая позволила этой операционной причине наступить. Это всего лишь первая часть обучения. Затем надо определить как исправить эту ошибочную парадигму, не вызвав при этом серьезных негативных последствий. Авиакомпании создали у себя культуру изучения каждого сигнала о том, что что-то пошло не так. Но этот процесс все еще может и должен быть улучшен.
Я разработал структурированный процесс научения на одном событие, который сейчас называется «Систематическое обучение на значительных событиях-сюрпризах» (Systematic Learning from Significant Surprising Events). Члены TOCICO могут загрузить его с сайта TOCICO New BOK Papers, прямая ссылка: is https://www.tocico.org/page/TOCBodyofKnowledgeSystematicLearningfromSignificantSurprisingEvents (русский перевод доступен здесь)
Остальные могут обратиться прямо ко мне и я с радостью вышлю им статью.
Возвращаемся к Boeing. В конце концов, я не считаю правильным обвинять Boeing в том, что привело к катастрофе индонезийского самолета 29 октября 2018 года. Когда они выявлены, все ошибочные парадигмы выглядят так, как будто любой должен был заметить ошибку, но это не свойственно человеку. Для людей не существует ни одного способа избавиться от всех своих ошибочных исходных посылок[i]. Но нашей обязанностью является выявление ошибочных парадигм, как только мы видим сигнал, который указывает на их существование. В этом случае нам нужно исправить ошибочную исходную посылку, чтобы ошибка не повторилась в будущем.
Общая цель фильма, как это характерна для большинства публичных и медийных расследований, найти «сторону, виновную в таком большом количестве смертей и другом ущербе». Учитывая число жертв, топ-менеджмент Boeing тогда было легкой мишенью. Однако, обвинение топ-менеджмента в «жадности» не предотвратит проблем с безопасностью в будущем. Я ожидают, что менеджмент будет стремится зарабатывать больше денег сейчас и в будущем. Тем не менее, цель должна включать несколько необходимых условий, и отказ от риска крупной катастрофы – это одно из них. Стремление к очень амбициозному короткому сроку разработки и запуску нового самолета без необходимости обучения пилотов, которые обучены на существующих моделях, является законной целью менеджмента. Ошибка не в жадности, а в том, что не увидели, что давление может привести к «срезанию узлов» и помешает сотрудникам поднять «сигнальный флажок» в случае наличия проблемы. Разрешение конфликта между амбиционными бизнес-целями и обеспечением безопасности – задача, достойная решения.
Обвинение – это естественное последствие, когда что-либо пошле не так. Это результат широко распространенной ошибочной парадигмы, которая толкает хороших людей к сокрытию фактов, которые могут привести к причастности к крайне нежелательным событиям. Это страх того, что им предъявят обвинения и их карьере придет конец. Поэтому они изо всех сил препятствуют выявлению своих ошибочных парадигм. Проблема в том, что другие люди по прежнему используют ошибочную парадигму!
Давайте посмотрим, какие критические ошибочные парадигмы привели к катастрофе в Индонезии. Ситуация типичная: две разные одновременно произошедшие ошибки привели к катастрофе индонезийского самолета. Поврежденный датчик посылал ошибочные данные в новый критически важный программный модуль MCAS, который был разработан для решения проблемы слишком большого угла подъема. Основная техническая ошибка был в том, что не было принято во внимание, что при повреждении этого датчика MCAS приведет к катастрофе. Датчики выступают, поэтому столкновение с воздушным шариком или птицей может вывести датчик из строя, что делает систему MCAS смертельно опасной.
Вторая ошибка, на это раз управленческая, это решение не информировать пилотов о новом программном модуле. В результате индонезийские пилоты не понимали, почему самолет снижается. Поскольку датчик был неисправен, то в кабине звучали сигналы тревоги, несущие неправильную информацию и джойстик у командира корабля сильно вибрировал. Чтобы исправить эту ситуацию, пилоты должны были отключить новую систему, но они ничего не знали ничего о MCAS и том, что этот модуль должен делать.
Причина, по которой пилотам не сообщали о модуле MCAS, было опасение, что это ограничит продажи нового самолета. В основе этого была управленческая ошибка в части понимания того, как отсутствие знания может привести к катастрофе. Мне кажется разумным, что менеджмент старался создать новый самолет, с улучшенными характеристиками без необходимости специальной подготовки пилотов. Ошибка в том, что отсутствие знания о модуле MCAS может привести к такого рода катастрофе.
Как только произошла первая катастрофа, и была выявлена техническая операционная причина, произошла вторая управленческая ошибка. Почти естественной реакцией после такой катастрофы будет предложить первую вероятную причину, которая нанесет менеджменту наименьший ущерб. В этом случае, было проще было заявить, что индонезийский пилот был недостаточно компетентен. Это уродливая, но по прежнему широко распространенная парадигма перекладывания вины на другого. Тем не менее, фактические данные полученные из «черного ящика», в конце концов рассказали правдивую историю. Была четко определена роль MCAS, и вклад того, что пилоты ничего об этом модуле не знали.
Безопасной реакцией на катастрофу было бы приземлить все самолеты 737 MAX до того момента, когда для MCAS будут готовы исправления, и не будет доказана их безопасность. У меня есть гипотеза, что после того, как была установлена причина катастрофы, ключевой ошибочной парадигмой менеджмента было сильное влияние страха быть обвиненными в огромных затратах, связанных с запретом на полеты 737 MAX. Публичное заявление топ-менеджмента Boeing звучало так: «все под котролем», исправление программного обеспечения будет внедрено в течение шести недель, поэтому нет необходимости вводить запрет на полеты самолетов 737 MAX. Вероятность того, что такая же ошибка MCAS приведет к еще одной катастрофе была проигнорирована, что можно было бы объяснить только огромным страхом топ-менеджмента за свою карьеру. Бессмысленно утверждать, что игнорирование риска было связано только со стремлением сократить расходы на выплату компенсаций жертвам, возложив ответственность на пилотов. Я исхожу из предпосылки, что занимавшие свои посты руководители высшего звена Boeing не были идиотами. Значит, что-то другое заставило их рискнуть вероятностью еще одной катастрофы.
Понимание технической ошибки заставило Boeing раскрыть функциональность MCAS для всех авиакомпаний и профсоюзам пилотов. Эти действия включают в себя инструкцию, отключить систему, если MCAS ведет себя неправильно. Одновременно с этим, они опубликовали новость, что исправление программного обеспечения будет готово через шесть недель, что вызвало большой скептицизм. Ввиду этих двух событий Boeing формально отказался от введения запрета на полеты самолетов 737 Max. Во время визита группы менеджеров (и лоббистов) Boeing на прямой вопрос члена Allied Pilot Association был дан невероятный ответ: Никто не установил, что это была единственная причина катастрофы! Другими словами, пока у нас не будет формального доказательства мы предпочитаем вести бизнес как обычно.
На самом деле, FAA (Federal Aviation Administration) выпустила доклад, в котором оценивалось, что без исправления ошибки подобные катастрофы будут происходить каждые два года! Это значит, что существует вероятность в 2-4%, что катастрофа может произойти в течение одного месяца! Как так получилось, что FAA позволила Boeing не запрещать полеты самолета? Проводили ли они анализ своего поведения, когда спустя пять месяцев произошла вторая катастрофа, вследствие отсутствия исправления системы MCAS?
Еще один факт, упомянутый в фильме, – как только датчики выходят из строя и MCAS направляет самолет вниз, пилоты должны в течение 10 секунд отключить систему, иначе самолет обречен из-за снижения скорости! Интересно обсуждалось ли это во время расследования первой катастрофы.
Когда произошла вторая катастрофа топ-менеджмент Boeing впал в панику, не понимая реальность того, что доверие авиакомпаний и общества было утрачено. Коротко: ключевые уроки катастрофы и давления после катастрофы не были извлечены! Они по прежнему не хотели вводить запрет на полеты самолетов, но инициативу взяли на себя авиакомпании, которые одна за другой вводили запрет на полеты этой марки самолетов. Было начато публичное расследование и, с точки зрения, менеджмента Boeing разверся ад.
Ключевой момент для все управленческих команд:
Совершение ошибок неизбежно, даже если предпринимается множество усилий, чтобы их минимизировать. Но НЕПРОСТИТЕЛЬНО не менять ошибочные парадигмы, которые вызывают ошибки.
Если это заключение принимается, то должен быть внедрен систематический метод обучения на неожиданных случаях, целью которого было бы «никогда не повторять одну и ту же ошибку». Я не могу гарантировать, что это никогда не произойдет, но можно избежать большинства повторений. Действительно, многого можно избежать, как только выявлена и устранена ошибочная парадигма, так как ее последствия могут быть очень широкими. Если ошибочную парадигму удалось обнаружить с помощью сигнала, который, к счастью, не был катастрофическим, но достаточно неожиданным, чтобы инициировать процесс обучения, тогда удастся предотвратить катастрофические последствия и организация будет более безопасной.
Каждому важно, опираясь на определенные неожиданные сигналы, выявлять ошибочные парадигмы и устранять их. Также можно учиться на опыте ошибок других людей или организаций. Я надеюсь, что ключевая парадигма отказываться замечать и пытаться скрывать уже проявившуюся проблему, теперь понимается не только в компании Boeing, но в среде топ-менеджмента любой организации. Я надеюсь, что моя статья поможет предложить соответствующие процедуры для извлечения правильных уроков из таких событий.
[i] В тексте «assumptions», в ТОС обычно переводится как «исходная посылка» – прим. переводчика