На «Тримайл-Айленд» не произошло никаких крупных накладок. К аварии привели пять случайных и не связанных друг с другом событий, каждое из которых в отдельности вызвало бы лишь краткосрочное отклонение в повседневной работе атомной станции. Причина произошедшего кроется не в оборудовании и не в ошибочности его конструкции. Неисправности оборудования оказались незначительными. Все дело в том, что кто-то закрыл резервные клапаны, не предупредив человека, ответственного за систему охлаждения; кто-то завесил биркой лампочку, не спросив оператора, насколько она важна; тот, кто следил за работой предохранительного клапана, вовремя не позаботился о его ремонте. Причиной аварии на АЭС «Тримайл-Айленд» стали не изначальные ошибки в проектировании ядерных реакторов, а тот факт, что сложные технологические операции требовали эффективного быстрого и беспрепятственного взаимодействия операторов.
Авиакатастрофы подчиняются тем же правилам. Поднимаясь на борт самолета, мы тревожимся об аварийных ситуациях вроде возгорания двигателя или заклинивания руля при набирании высоты, Но подобные происшествия крайне редки. Обычный современный коммерческий авиалайнер по надежности почти не уступает тостеру. В большинстве случаев авиакатастрофы происходят в результате наложения друга на друга незначительных неполадок и случайных обстоятельств.
Часто в катастрофах бывает повинна плохая погода — необязательно ужасная, но достаточно плохая для того, чтобы пилот нервничал чуть больше обычного. В подавляющем количестве случаев самолет вылетает с опозданием, поэтому пилоты торопятся. В 52 % случаев пилот бодрствует более 12 часов, поэтому из-за усталости медленнее соображает. В 44 % случаев два пилота летят вместе впервые и поэтому не успевают сработаться друг с другом. Затем следует череда ошибок. Типичная катастрофа характеризуется последовательностью просчетов, связанных с человеческим фактором. Кто-то из пилотов допустил оплошность, которая сама по себе не является роковой. На это накладывается еще одна оплошность второго пилота, которая даже вкупе с первой не ведет к катастрофе. Но потом они допускают еще одну ошибку, потом еще одну, и еще, и еще, и еще. И в результате череды ошибок происходит катастрофа.
Более того, эти ошибки редко совершаются по незнанию или непрофессионализму. Дело не в том, что пилот не справляется с каким-либо важным техническим маневром. Причина, как и в случае с «Тримайл-Айленд», в неэффективности командной работы и обмена информацией. У одного пилота были важные сведения, но почему-то он не поделился ими с другим. Один пилот допустил ошибку, а другой ее не заметил. Проблемная ситуация требует решения, состоящего из сложной последовательности шагов, но пилоты, которым почему-либо не удается скоординировать свои действия, пропускают один из них.
«Кабина самолета спроектирована таким образом, чтобы управление находилось в руках обоих пилотов, и при идеальном раскладе один контролирует другого или они следят друг за другом, — говорит Эрл Уинер, многие годы занимавший должность главного инженера по безопасности компании Boeing. — Самолеты не прощают ошибок. Уже давно не вызывает сомнения тот факт, что два пилота, совместно управляющие самолетом, обеспечивают безопасность полета гораздо лучше, чем один, который управляет самолетом, в то время как другой просто сидит рядом на тот случай, если его напарник утратит дееспособность».
Говоря о наличии у авиакомпании проблем по части безопасности, мы имеем в виду весьма специфические вещи. Речь идет не о технических неполадках в самолетах. И не о непрофессионализме пилотов. И даже не о незначительных нарушениях правил безопасности. Другими словами, предполагаемое курение пилотов Korean Air во время заправки и чтение газет во время полета, разумеется, нельзя сбрасывать со счетов. Но эти проблемы, какими бы серьезными они ни были, не являются истинными причинами катастроф. А истинная причина кроется в том, как пилоты обмениваются информацией.
4
Вечером 25 января 1990 г. авиалайнер колумбийской авиакомпании Avianca, совершавший рейс 052, разбился, не долетев до Международного аэропорта Кеннеди в Нью-Йорке. Капитаном воздушного судна, вылетевшего из города Медельина, был Лауреано Кавьедес, вторым пилотом — Маурицио Клотц. Произошедшая в тот день катастрофа так похожа на крушение на Гуаме, случившееся семь лет спустя, что ее можно считать наиболее подходящей отправной точкой в нашем расследовании.
В тот день стояла не самая лучшая погода. Все восточное побережье накрыл пришедший с севера-востока шторм, принеся с собой густой туман и резкие порывы ветра. В Ньюаркском аэропорту отменили 203 рейса, в аэропорту Ла-Гуардиа — 200, в Филадельфии — 161, в аэропорту Логана в Бостоне — 53, а в аэропорту Кеннеди — 99. Из-за плохих погодных условий авиадиспетчерская служба три раза задерживала самолет на пути в Нью-Йорк. Сперва он 19 минут кружил над вирджинским Норфолком, затем 29 минут над Атлантик-Сити, а потом еще 29 минут на подлете к аэропорту Кеннеди, 65 километрами южнее.
После более чем часовой задержки экипаж наконец получил разрешение на посадку. Снизившись до 150 метров, самолет вошел в зону сдвига ветра. Какое-то время он летел при сильном встречном ветре, что вынудило пилотов включить двигатели на большую мощность, чтобы сохранить инерцию при планировании.
В следующую секунду встречный ветер внезапно стих, и получилось, что самолет летит слишком быстро для приземления на взлетно-посадочную полосу. В таких ситуациях, как правило, включается автопилот, который своевременно реагирует на сдвиг ветра. Но автопилот на самолете был неисправен, и поэтому его отключили. В последнее мгновение пилот набрал высоту и пошел на второй круг. Самолет облетел Лонг-Айленд и вновь приблизился к аэропорту Кеннеди. Внезапно отказал один из двигателей. Через несколько секунд отказал и второй. «Покажите же мне полосу!» — закричал пилот, отчаянно надеясь на то, что он находится достаточно близко к аэропорту, чтобы как-нибудь спланировать на посадочную полосу. Однако до аэропорта Кеннеди было 25 км. «Боинг-707» рухнул на земельный участок, принадлежавший отцу известного теннисиста Джона Макэнроя в крошечном городке Ойстер-Бей на Лонг-Айленде. Из 158 пассажиров 73 погибли. Установить причину происшедшего удалось в тот же день: нехватка топлива. Никаких технических неполадок. Никаких проблем в аэропорту. Пилоты не были пьяны и не находились под действием наркотиков. Просто в самолете закончилось горючее.
5
«Это классический случай», — говорит Сурен Ратватт, пилот-ветеран Emirates Airlines. Многие годы он занимался изучением человеческого фактора — анализом взаимодействия людей с такими сложными системами, как самолеты или, скажем, атомные электростанции. Ратватт родом из Шри-Ланки. Ему идет пятый десяток, и почти всю свою жизнь он пролетал на реактивных самолетах в бизнес-авиации. Мы сидим в вестибюле гостиницы «Шератон» на Манхэттене. Только сегодня после длительного перелета из Дубая он посадил в аэропорту Кеннеди самолет, принадлежащий Emirates Airlines. Ратватт, хорошо знающий историю крушения «Боинга» авиакомпании Avianca, начинает перечислять типичные предпосылки авиакатастрофы. Северо-восточный ветер. Задержка рейса. Техническая неполадка автопилота. Три задержки, когда диспетчерская служба заставляла самолет летать кругами в течение длительного времени — а это означало не просто лишние 80 минут полета. Это лишние минуты полета на малой высоте, когда самолет сжигает гораздо больше горючего, чем в разреженном воздухе высоко над облаками.