Normální nehody

Létání je přece bezpečné, že? Každý den startují z ranvejí tisíce letadel a bezpečně přistávají v cílových destinacích – a většina lidí se tím nijak zvlášť nezabývá. Desítky let výzkumu bezpečnostních mechanismů, ochranných opatření a aktualizovaných postupů znamenají, že létání je dnes bezpečnější než kdykoli dřív.

Letecká doprava je ale – podobně jako mnoho dalších potenciálně katastrofických systémů, které tvoří páteř naší sociální a ekonomické struktury – vysoce komplexní. A když se v takovém systému něco pokazí, obvykle se to pokazí opravdu zásadně.

Kniha Normální nehody vypráví příběh právě těchto vzácných incidentů a jejich dopadů. Poprvé vyšla v roce 1984 a mimo jiné varovala před dalším rozšiřováním jaderné energetiky. Jaderné elektrárny, podobně jako letecký provoz, nesou rizika, která se sice snažíme zmírnit bezpečnostními opatřeními, přesto však mohou způsobit bezprecedentní škody kvůli něčemu zdánlivě banálnímu – třeba kvůli uvolněnému šroubu.

Autorovo tvrzení, že k těmto nehodám může a bude docházet navzdory našim nejlepším snahám jim zabránit, bohužel potvrdily jaderné katastrofy v Černobylu (1986) a Fukušimě (2011), stejně jako řada velkých ropných havárií a dvě tragédie raketoplánů.

V tomto shrnutí zjistíte, jak tyto vysoce komplexní systémy fungují a proč jsou některé z nich náchylnější k ničivým katastrofám než jiné. Naučíte se také posuzovat jejich vnitřní rizika – a možná si nakonec položíte otázku, zda by některé systémy nemělo být lepší úplně opustit.

Po přečtení této knihy se mimo jiné dozvíte:

• jak se dvě lodě, které se měly na řece Mississippi bezpečně minout, nakonec srazily,
• jak „zalepování trhlin“ v okolí přehrady Grand Teton stálo jedenáct lidí život,
• a jak tři astronauti jen o vlásek unikli udušení ve vesmíru.

Představte si, že máte důležitý pracovní pohovor. Zaměstnaní vlastními myšlenkami vyjdete z domu bez klíčů a dveře se za vámi zabouchnou. Nevadí – máte přece schovaný náhradní klíč někde poblíž. Jenže pak si vzpomenete, že jste ho nedávno půjčili příteli, který bydlí na opačném konci města.

Požádáte tedy souseda o odvoz, ale jeho auto nenastartuje. Spěcháte na autobus, abyste zjistili, že řidiči stávkují, a všechny taxíky jsou beznadějně obsazené. Zklamaně musíte pohovor zrušit.

Někdy to prostě dopadne takhle: vzácná shoda okolností zmaří všechna opatření – bezpečnostní prvky, náhradní řešení i záložní plány. Schovaný klíč byl vaším záložním řešením, ale selhal, protože jste změnili plán a svěřili ho příteli. Autobus nebyl použitelnou alternativou, protože řidiči stávkovali, a nedostatek taxíků ukázal, jak jsou oba dopravní systémy vzájemně závislé.

Žádná z těchto chyb by sama o sobě nepředstavovala zásadní problém. Když se však všechny nečekaně sejdou a začnou se ovlivňovat, zhroutí se celý systém – v tomto případě vaše cesta na pohovor.

Systémové nehody, při nichž více dílčích selhání vede ke katastrofě, bývají často tak složité, že je nedokážeme ani předvídat, ani v reálném čase plně pochopit. Vznikají kombinací chyb v návrhu, vybavení, postupech, lidské obsluze, zásobování a v nepředvídatelném prostředí – zkráceně DEPOSE.

V našem příkladu byl mechanismus samozamykacích dveří a nedostatek pohotovostních taxíků chybou v návrhu systému. To, že sousedovi nenastartovalo auto, byla porucha vybavení. Nezapočítat možné časové prodlevy na cestě na pohovor byla chyba v postupu. Stávka řidičů autobusů a nedostatek taxíků představovaly selhání vnějšího prostředí. A nakonec – roztržitě odejít z domu bez klíčů byla chyba operátora, tedy vás.

Samozřejmě, systémová nehoda, kvůli níž zmeškáte pohovor, není konec světa. Ale co když se podobná řetězová reakce odehraje v jaderné nebo chemické elektrárně?

Proč některé složité organizace nebo technologie fungují spolehlivě, zatímco jednodušší systémy selžou hned na první překážce? Abychom na to odpověděli, musíme se podívat na základní charakteristiky systémů.

Systémy lze rozdělit podle jejich složitosti a podle toho, jak těsně jsou jejich části vzájemně propojené. Některé systémy zahrnují složité interakce, které je obtížné, nebo dokonce nemožné předvídat. Složité systémy se skládají z mnoha úzce provázaných komponent, a proto poskytují operátorům – například pilotům nebo technikům v elektrárnách – jen nepřímé či nejednoznačné informace.

Naopak lineární systémy se chovají předvídatelněji. Jejich komponenty jsou od sebe oddělené a poskytují přímé, srozumitelné signály.

Systémy se také liší mírou „spojení“. V těsně provázaných systémech probíhají procesy v pevně daných sekvencích a není v nich prostor pro zpoždění. Oproti tomu volně provázané systémy umožňují odklady a improvizaci.

Konkrétní kombinace složitosti a míry provázanosti zásadně ovlivňuje, jak systém funguje. Univerzity jsou například složité systémy: obrovské organizace s mnoha vzájemně se ovlivňujícími součástmi, jejichž chování není snadné předvídat. Zároveň jsou ale volně provázané. Když profesor onemocní a nemůže učit, lze obvykle najít náhradu, aniž by se chod celé instituce zastavil.

Přehrady jsou naopak typickým příkladem lineárních systémů s těsným propojením. To ztěžuje obcházení problémů i obnovu provozu. Protože jsou lineární, netrpí nečekanými interakcemi vnitřních částí a jsou do značné míry ušetřeny skutečných systémových havárií. Těsné propojení ale znamená, že selhání jediné komponenty často nelze napravit ani izolovat – a to pak spouští selhávání dalších částí a ve výjimečných případech vede ke katastrofě.

Přesně to se stalo v roce 1976, kdy se v Idahu zřítila přehrada Grand Teton. Zahynulo jedenáct lidí a škody na majetku dosáhly zhruba jedné miliardy dolarů. Před katastrofou geologové objevili v okolních skalách trhliny a věděli, že i malý průsak vody je může zhoršit. Rozhodli se proto trhliny vyplnit cementem. Toto řešení však nedokázalo odolat vysokému tlaku vody v přehradě. Vznikl průsak, který spustil řetězec událostí končící zhroucením celé hráze.