Решение Челленджер старт: Рискованные технологии, культуры и девиантность в НАСА. - Обзоры книг

Диана Стиви Челленджер старт Решение блестящие и тревожные книги. Это блестящий как концепция и исполнение, это вызывает тревогу из-за пессимистических урок предоставляется всем организациям, которые работают с опасными технологиями. "Пока эффективного управления и организационной структуры, могут уменьшить аварий в некоторых системах", Воган резко заключает: "они никогда не могут помешать им" (стр. 416).

Эта книга излагает бросить вызов общепринятым об аварии Челленджер: широко распространено мнение, что "производство давление", чтобы встретить Расписание полетов привело руководителей нарушать правила внутреннего НАСА направленных на обеспечение того катастрофической аварии не произошло. Это здравый смысл - рекомендуется в докладе Комиссии по Роджерс аварии Challenger - это извращенно утешительное, ибо оно предполагает, что если стараться, организовать более грамотно, и следовать правилам, более тесной подобных аварий можно предотвратить в будущем. Воган представляет эту историю, четко и решительно, в главе 1 и слезы его на части, кусок за куском, на протяжении остальной части книги. Ее подробный этнографии процессе принятия решений убедительно показывает, что ключевые лица, принимающие решения в этой трагической истории, действительно в соответствии с правилами в НАСА: порядок принятия ими решений были направлены на создание рациональной процедуры оценки риска, инженеров и менеджеров проанализированы, обсуждены , и сообщил о возможной слабости O-кольцо до старта, а затем после официальной процедуры на заключительном телеконференции в ночь перед катастрофой.

Что Воган свидетельствует о том, как эти правила исключить определенные виды аргументы и доказательства: в последнюю минуту оппозиции к запуску представленные Мортон инженеров ТЫоко свою неэффективность, поскольку они не имеют жесткие технические данные, чтобы "доказать" их аргумент, что низкие температуры, что утром во Флориде приведет к O-кольцо провал. Кроме того, как отмечает Воган, Маршалловы космический центр и инженеры ТЫоко считает, что даже в "худшем случае" событие, что главная уплотнительное кольцо не удалось, среднее кольцо в совместном бы печать и предотвратить катастрофу. В таких условиях, запуск был рассмотрен приемлемого риска ..

Что же произошло?

Этот центральный понимания - о ложной вере помещен в действии избыточности - решительно поддерживает нормальный аварий теории, как Воган признает. По высокой надежности теории ученых, которые настроены более оптимистично относительно способности организации работы опасных технологий, использование избыточности имеет решающее значение, так как резервные компоненты могут компенсировать неудачи друг друга в исполнении. Избыточность теории в области машиностроения, в конце концов, показывает, как даже относительно ненадежных компонентов, если независимый и подключены параллельно образом, может привести к значительному увеличению общей надежности системы. В этом заключается прелесть избыточности: это дает возможность организациям, чтобы, по выражению Джона фон Неймана ", надежных систем из ненадежных частей" (цитируется по Бендор, 1985: 295).

Одна из опасностей, избыточности, однако, как описано в пределах безопасности, является то, что "при избыточности делает систему появляются более безопасные, операторы часто пользуются такие усовершенствования, чтобы перейти к более высоким и более опасные уровни производства" (Саган, 1993 : 40). Это "компенсировать поведение" феномен наблюдался в различных персональных настроек, где люди стремятся быть безопасным и эффективным. Например, введение ремней безопасности и подушки-видимому, не привели к снижению летальности в автомобильной аварии, предполагая, что потребители могут ездить быстрее и по неосторожности, отмены потенциальные выгоды безопасности избыточных устройств безопасности (см. Peltzman, 1975; Петерсон, Хоффер и Милнер, 1995).

Кроме того, литература по безопасности для потребителя продукт предложил, чтобы компенсировать поведение родителей противопоставляет потенциальные выгоды "ребенок устойчивых" Безопасность шапки с наркотиками бутылок. Пищевых продуктов и медикаментов в 1972 нормативные акты, требующие детей Делайте привело к увеличению случайных отравлений: занят родители слишком часто покидать наркотиков бутылки в ванной комнате счетчика, игнорирование или непонимание вероятности того, что несколько бутылок останется открытым или что маленькие дети будут быть в состоянии открыть крышку и затем глотать препараты внутрь (Viscusi, 1992) ..

Челленджер аварии Revisited

исследования Диана Воган является самым потрясающим примером этого доступных компенсации поведения, происходящие внутри, казалось бы организации с особенно высоким стандартам надежности и безопасности. В период до начала "Челленджер", лиц, принимающих решения организационных тщательно преследовали безопасности и избыточности, но не в полной мере понять, каким образом рост производства (в этом случае, запуск при низких температурах) может снизить надежность более чем один избыточных компонентов безопасности. Стремясь получить выгоды от избыточности, дизайнеры размещены две O-кольца в критической ракеты сустава. Первичного кольца и среднего кольца были первоначально указаны как "критичности 1R" элементов на жаргоне НАСА инженеров ":" критичности 1 ", поскольку элемента провал будет производить гибели или транспортного средства и" R ", потому что эти предметы были считаться полностью независимым или излишними.

Когда Маршалл из Центра космических полетов инженеры были получены данные, показывающие, что если предположить несколько условий наихудшем случае (так называемые WOW условиях, или худших-на-худших условиях), как O-кольца может не одновременно, кольца были официально изменили названия C1 пунктов (что есть, избыточных, но не является полностью независимой), требуя, чтобы руля либо изменен, так как отказоустойчивости критериев не был соблюден, или что официальный отказ быть удовлетворена. После длительного изучения и переговоров, отказ был предоставлен, так как вероятность того, многочисленные неудачи в критические секунды во время запуска считалось чрезвычайно низком уровне. Отчасти это объясняется тем, что уплотнительное кольцо вопрос был рассмотрен "самоограничения": когда горячие газы продувал утечки в первичном O-кольцо, он будет настаивать среднее кольцо в другую сторону и печать на совместной критический момент старта (стр.

Убеждение, что избыточные O-кольца были решены проблемы безопасности критической руля стал бесспорным предположение в сознании многих инженеров НАСА, позволяя им сосредоточиться на том, что видели, как более насущные проблемы, в то время. Один инженер выразил результате хорошо: "Мы верили в тестах. Сказал данных первичных всегда будет отодвинуть на совместной и печатью.... И если у нас не было основной печати в худшем случае, мы имели вера в средних "(стр. 105). Эта вера была критической в ночь на 27 января 1986, когда инженеры ТЫоко и управления рекомендовал отложить начало, потому что они боялись, что основной O-кольца не будут печать в беспрецедентных низких температур прогнозируется время запуска в штате Флорида.

Все четверо старших руководителей ТЫоко изменили свою первоначальную поддержку для отсрочки старта, однако, когда они напомнили резервного среднее уплотнение. "Мы тратили все наше время выяснить вероятность первичного сидения", один из руководителей ТЫоко отметил позднее. . . . "Инженеры, Boisjoly и Томпсон, выразил некоторые сомнения о том, как долго он будет считать, что [первичных] O-кольцо двигаться, [было] признал, что, как возможность, а не вероятности, но это было возможно. Так что, если их озабоченность действительный интерес, что будет? И ответ был, второй O-кольцо будет место "(стр. 320) ..

То, что команда "Челленджер запуска не учитывает возможность того, что мороз температура будет уменьшить надежность как среднее O-кольца и первичные кольца. Окончательный доклад комиссии Роджерс (1986: 70-72), однако, утверждал, что первичные кольца не удалось из-за хрупкости вызванных холодом и среднего кольца не печать, так как в настоящее время лед на совместных . В давления, чтобы запустить шаттл, общей проблемой отказов была забыта. О-образные кольца были не нужны, но не являются независимыми, проблем не самоограничением, а скорее как уплотнительные кольца не удалось из-за холода. Все семь членов экипажа погибли.

Хотя НАСА процесс принятия решений был достаточно медленно и преднамеренное (и, следовательно, "слабосвязанных", как отмечает Карл Вейк), космический челнок сам явно тесно связанной системы. Невероятная скорость, с которой одна неудача привела к другому, вплоть до катастрофы, видно, в докладе Комиссии Роджерс (1986: 20-21). На 58,788 секунд запуска, горячие газы прогорела и О-образные кольца, и "первый мерцание пламени появились на правой твердого ракеты-носителя", "она превратилась в непрерывный, четко определенных шлейфа на 59,262 секунд"; на 64,660 секунд "закрученного пламя" от ракеты-носителя "прорвали дне бака водородного топлива на внешнем баке шаттла, а затем, на 73,124 секунд, перемещение взрыв ракеты-носителя через межбаковый Челленджер и бак жидкого кислорода.

Безопасность перемещения или избежании ответственности?

Воган сделал нам большую услугу, разрушая ложное утешение, что исходит от руководителей считает, что нарушил правила организационных что в противном случае могло бы предотвратить аварии "Челленджер". Это приводит, однако, вторая и не менее тревожная загадка: почему инженеров и менеджеров соблюдать правила в ночь на 27 января? Почему они не требуют больше времени для сбора данных, протеста еще с большим усилием, или настаивать на ожидании стартового окна на следующий день, когда температура, как ожидается, будет выше 53 градусов? Несмотря на большие достижения Диана Воган, это главный вопрос остается без ответа, я считаю. толкование Воган подчеркивает, как культура НАСА производства привело к тому, что можно было бы назвать "безопасность перемещения": членов организации действительно ценит трансфер безопасности над другими целями, но так сильно обобществленного в следующие процедуры и правила, которые они предметного них, приняв оперативных процедур и следование правилам поведение фактического безопасности.

После правил и процедур, однако, может также обеспечить удобный предлог, чтобы избежать ответственности внутри организации. Был, как Карл Вейк отмечает в своем обзоре "большой тихий" в комнату, когда окончательное голосование для запуска челнока "Челленджер" был брошен. Мы до сих пор не знаю, большинство в комнате тихо уверены, что риск был сведен к минимуму, поскольку соответствующие процедуры были соблюдены, или же они кричали внутри, молчать только потому, что правила были освобождены им об их ответственности ..

Scott D. Саган адъюнкт-профессор политологии Стэнфордского университета Стэнфорда, CA 94305

Ссылки

Бендор, Джонатан 1985 параллельных систем: избыточности в правительстве. Беркли, Калифорния: Калифорнийский университет Press.

Peltzman, С. 1975 "Влияние автомобильного регулирования безопасности". Журнал политической экономии ", 89: 677-725.

Питерсон, С., Г. Хоффер, Э. Милнер 1995 "являются основными причинами воздушными подушками оборудованные автомобили более агрессивными? Испытание компенсации гипотезы поведения". Журнал права и экономики, 38: 251-264.

Роджерс Комиссии 1986 Доклад президентской комиссии по аварии Спейс шаттл ", том. 1. Washington, DC: У. С. Government Printing Office.

Саган, SD 1993 границам безопасности: Организации, аварий и ядерного оружия. Принстон, N J: Пресса Принстонского университета.

Viscusi, WK 1992 Фатальная возможности: общественная и частная Ответственность за риск. Нью-Йорк: Oxford University Press.