О том, насколько замалчивание распространено в здравоохранении, лучше всего судить не по речи медиков, а по сухой статистике. Согласно эпидемиологическим оценкам, количество ятрогенных травм (то есть травм, неумышленно нанесенных врачами, лечением или диагностическими процедурами) в США составляет от 44 до 66 серьезных случаев на 10 тысяч визитов к врачу. Однако, как утверждает исследование, в котором участвовали более 200 американских больниц, лишь 1 % этих учреждений сообщает о числе ятрогенных травм в указанных пределах. Половина больниц отчиталась о менее чем пяти случаях травм на 10 тысяч посещений врача. Если эпидемиологические оценки хотя бы приблизительно верны, бо́льшая часть больниц скрывает данные о великом множестве ятрогенных травм [25].
Дальнейшие исследования, проведенные по обе стороны Атлантики, дали схожие результаты. Эксперты, работающие на главного инспектора Министерства здравоохранения и социальных служб США, проанализировали 273 госпитализации и обнаружили, что больницы упустили или проигнорировали 93 % событий, причинивших пациентам вред [26]. Европейское исследование показало, что, хотя 70 % врачей признают, что не должны скрывать свои ошибки, только 32 % следуют этому правилу на практике [27]. В другом исследовании, подвергнувшем анализу 800 историй болезни в трех ведущих больницах, исследователи обнаружили более 250 медицинских ошибок. О скольких из них добровольно отчитались медики? Всего о четырех [28].
Вспомним, что сказал о произошедшем доктор Эдвардс: "Мартин, у нас возникли проблемы с анестезией. Иногда такое бывает. Анестезиологи сделали все от них зависящее, но ничто не сработало. Это редчайший случай. Мне очень жаль".
Это не ложь. В самом деле, Эдвардс мог даже верить в то, что говорил. В конце концов, врачам действительно не повезло. Пациент со сведенными челюстными мышцами – и правда необычное явление. Невезение проявилось и в том, что у Илэйн были заблокированы дыхательные пути, так что интубация трахеи была затруднена. Анестезиологи сделали все от них зависящее, не так ли? Что тут еще сказать?
Подобные рассуждения демонстрируют, как в общих чертах формируется отрицание чьей-либо ошибки. Самооправдание в сочетании с обширной культурной аллергией на ошибки превращается в практически неодолимый барьер для прогресса.
Для многих людей, травмированных потерей близкого человека, история на этом закончилась бы, особенно в Великобритании, где врачей редко привлекают к ответственности. Скорбящей семье непросто настаивать на расследовании, когда эксперты утверждают, что необходимости в этом нет.
Но Мартин Бромили не сдался. Почему? Потому что он всю жизнь работал в сфере с другим – необычным – отношением к неудачам. Мартин – пилот. Он 20 лет управлял самолетами на коммерческих авиалиниях. Он даже читал лекции по системной безопасности. Он не хотел, чтобы уроки, которые можно было извлечь из плохо проведенной операции, умерли вместе с его женой.
Поэтому Мартин стал задавать вопросы. Он писал письма. Узнав больше об обстоятельствах смерти своей супруги, он стал подозревать, что это вовсе не "редчайший случай". Он осознал, что у ошибки имеется "структура", слабо определяемая модель, которая, если ее определить, может в будущем спасти чьи-то жизни.
Отвечавшие за операцию врачи могли не знать об этой модели по простой, хотя и невероятной причине. Исторически сложилось так, что медицинские учреждения обычно не собирают информацию об обстоятельствах неблагоприятных событий и в результате не могут ни определить значимые модели, ни извлечь их них пользу.
В авиации, напротив, пилоты обычно откровенно и честно признают свои ошибки (аварийные посадки, опасное сближение в полете). В этой индустрии существуют крупные независимые структуры, цель которых – расследование авиакатастроф. Неудача рассматривается не как обвинение в адрес конкретного пилота, совершившего ошибку, а как ценная возможность чему-то научиться для всех пилотов, авиалиний и регуляторов авиаперевозок.
Маленький пример: в 1940-х гг. со знаменитым бомбардировщиком "Боинг B-17" случилось несколько вроде бы необъяснимых аварий на взлетно-посадочной полосе. ВВС США послали Альфонса Чапаниса, психолога с докторской степенью Йельского университета, расследовать эти аварии. Изучив хронологию, динамику и психологические составляющие аварий, Чапанис установил, что причиной является неудачный дизайн кабины самолета [29].
Он обнаружил, что переключатели закрылков B-17 выглядели точно так же, как переключатели шасси, и располагались рядом. В нормальных условиях полета, когда пилот был спокоен, проблем не возникало, а во время сложной посадки пилот под влиянием стресса переключал не ту рукоятку. Вместо того чтобы убрать закрылки, он втягивал шасси, отчего самолет садился на фюзеляж и происходила катастрофа.
Чапанис выступил с идеей изменить форму рукояток таким образом, чтобы они напоминали связанную с ними деталь самолета. На переключатель шасси прикрепили маленькое резиновое колесо, а переключатель закрылков стал похож на закрылок. Теперь вид переключателей определялся интуитивно и даже при стрессе не происходило ошибок. Что получилось? Аварии такого типа прекратились сразу же [30].
Метод обучения на ошибках применяется в коммерческой авиации много десятилетий и дает значительные результаты.
Успехам авиации, разумеется, способствовало множество факторов – и быстрое совершенствование техники, и мощные коммерческие стимулы к улучшению безопасности: страх авиакомпаний потерять репутацию, конкуренция в отрасли, страховые издержки. Кроме того, авиация, как мы увидим, извлекла пользу из симуляторов высокой сложности и эффективного обучения.
Но самый мощный двигатель прогресса скрыт глубоко в профессиональной культуре авиаиндустрии. Это отношение к работе, которое легко объяснить и которое при широком применении может перевернуть наше отношение к прогрессу: вместо отрицания неудачи или попыток выкрутиться авиация учится на своих ошибках.
Что это означает на практике? Как идет процесс обучения на уровне индустрии? Ведь пилоты, регуляторы, инженеры и наземный персонал разбросаны по всему миру. Как создается культура открытости? И самое важное: как мы можем применить уроки авиации в других сферах жизни?
Чтобы ответить на эти вопросы, давайте изучим авиакатастрофу, которая изменила индустрию, может быть, сильнее всего за историю управляемых полетов. Что делали следователи, чтобы извлечь из трагедии уроки и превратить ее в возможность для обучения?
Речь пойдет о рейсе United Airlines 173.
II
Рейс United Airlines 173
1
28 декабря 1978 г. рейс United Airlines 173 вылетел после полудня из Международного аэропорта имени Джона Кеннеди в Нью-Йорке и направился в Портленд, штат Орегон. Небо было чистое, условия полета – близкие к идеальным [31].
Командиром воздушного судна DC-8 был Мэлберн Макбрум, 52-летний седой мужчина с невыразительным голосом. Ветеран Второй мировой, он летал более 25 лет. Пилотом он захотел стать в детстве, когда, гуляя с мамой, увидел "летающий цирк". "Мама, я буду летать на аэропланах", – сказал он тогда.
Вторым пилотом был 45-летний Родрик Биб, работавший на United Airlines 13 лет и налетавший более 5000 часов. Третьим в кабине был бортинженер Форрест Менденхолл (41 год), работавший в авиакомпании 11 лет и налетавший 3900 часов. Пассажиры были в надежных руках.
После короткой остановки в Денвере United Airlines 173 вылетел в Портленд в 14:47. Три дня назад было Рождество, и большинство пассажиров (всего их было 189) возвращались после праздников домой. В кабине члены экипажа весело болтали, пока самолет набирал крейсерскую высоту. Полет должен был продлиться 2 часа 26 минут.
Около 17:10, когда самолет получил разрешение на посадку от авиационно-диспетчерской службы портлендского аэропорта, Макбрум перевел рычаг, чтобы выпустить шасси. Обычно колеса и амортизационные стойки выходили мягко и фиксировались с хорошо слышным щелчком. Но в этот раз раздался громкий шум, разнесшийся по всему самолету, после чего корпус задрожал.
Пассажиры в салоне заволновались и стали смотреть в иллюминаторы, пытаясь определить источник шума. Встревожился и экипаж. Зафиксировались ли выпущенные шасси? Если да, что это за глухой удар? Одна из лампочек, которые загорались, когда происходила фиксация шасси, не светилась. Что это могло означать?
У командира не было выбора. Он связался с диспетчерами и попросил дополнительное время, чтобы разобраться с проблемой. Диспетчер сразу посоветовал United Airlines 173: "Поворот левый, курс один ноль ноль". По сути, самолет направили в зону ожидания к югу от аэропорта, над пригородом Портленда.
Экипаж занялся проверкой оборудования. Никто не мог заглянуть под корпус и выяснить, зафиксировались шасси в нижнем положении или нет, поэтому все проверки были опосредованными. Бортинженера послали в салон, чтобы посмотреть, видны ли задвижки, которые поднимаются на кончиках крыльев при фиксации стоек шасси. Задвижки были видны. Пилоты проконсультировались с центром технического обслуживания United Airlines в Сан-Франциско. Все вроде бы указывало на то, что шасси надежно закрепились.
Командир, однако, все еще волновался. Он не мог быть ни в чем уверен. Он знал, что посадка самолета без выпущенных шасси чревата серьезным риском. Как показывает статистика, обычно посадка без шасси, на фюзеляж, не сопряжена с жертвами, но опасность есть опасность. Макбрум был ответственным пилотом и хотел знать наверняка.
Пока самолет кружил над Портлендом, командир искал ответ. Он размышлял о том, почему не загорелась зеленая лампочка индикации шасси. Как проверить, цела ли проводка? Что еще можно сделать в такой ситуации?
Пока командир взвешивал возможности, перед экипажем возникла еще одна проблема. Поначалу она была не слишком важна, но, по мере того как United Airlines 173 кружил над Портлендом, становилась все насущнее. Когда самолет покидал Денвер, на борту было 21,2 тонны топлива – более чем достаточно, чтобы долететь до пункта назначения. Однако DC-8 сжигает топливо со скоростью примерно 0,1 тонны в минуту. Кружить вечно самолет просто не мог. В какой-то момент Макбрум должен был совершить посадку.
В 17:46 по местному времени уровень горючего упал до отметки "5". Ситуация оставалась под контролем, но пределы допустимой ошибки сужались. Время поджимало. Бортинженер забеспокоился. Он сообщил пилоту, что топлива остается все меньше – уже замигали индикаторы топливных насосов. Расшифровка записей реплик в кабине свидетельствует о том, что тревога нарастала.
Однако Макбрум ответил не так, как ожидал бортинженер. В конечном счете полетом руководит командир. Именно он отвечает за 189 пассажиров и экипаж. Командир знал, с какими опасностями сопряжена посадка на фюзеляж. Он был непреклонен: этого не случится. Ему нужно было понять, что пошло не так. Он хотел знать наверняка.
Макбрум продолжал думать о шасси. Выдвинулись они или нет? Можно ли это проверить способами, которые еще не опробованы? Можно ли придумать что-нибудь еще?
В 17:50 бортинженер Менденхолл вновь попытался предупредить командира об уменьшающихся запасах топлива. Командир ответил, что горючего в баках "еще на пятнадцать минут", но он ошибался. Макбрум будто потерял счет времени. "Пятнадцать минут? – переспросил бортинженер недоверчиво. – Недостаточно… Через пятнадцать минут топливо просто закончится".
Запасы топлива таяли с каждой секундой. Полет в зоне ожидания превратился в потенциальную катастрофу не только для пассажиров, но и для жителей южных пригородов Портленда. 90-тонный самолет кружил над городом, и топливо в нем заканчивалось.
Второй пилот и бортинженер не могли понять, почему командир не направляется прямо в аэропорт. Главной опасностью была теперь нехватка топлива. Шасси уже не играли особой роли. Но командир представлял собой власть. Он был непререкаемым авторитетом. За ним были опыт и старшинство. Другие члены экипажа обращались к нему "сэр".
В 18:06 уровень топлива понизился настолько, что в четвертом двигателе произошел срыв пламени. "Я думаю, мы потеряли номер четыре…" Полминуты спустя второй пилот повторяет предупреждение: "Мы теряем двигатель, дружище".
Но и теперь командир не замечал того, что надвигается катастрофа. Он явно не понимал, сколько времени прошло. "Почему?" – спросил он, видимо не доверяя сообщению об остановке двигателя. Последовал выразительный ответ: "Топливо".
United Airlines 173 вполне мог совершить посадку. Как было установлено позднее, шасси и выдвинулись, и зафиксировались. И даже если бы это было не так, опытный пилот мог посадить самолет, не рискуя ничьей жизнью. Ночь была ясная, и, когда была отменена запланированная посадка, до аэропорта было рукой подать.
Но теперь, к ужасу экипажа, самолет летел в 13 км от взлетно-посадочной полосы над огромным городом, а топливо подходило к концу.
Было слишком поздно. Надежда исчезла, когда стали останавливаться двигатели. Самолет терял высоту со скоростью один километр в минуту, и добраться до аэропорта было нереально.
Макбрум пристально вглядывался в ландшафт в отчаянной попытке найти поле или открытую площадку среди сплошной массы жилых домов, над которыми летел самолет. Даже сейчас он не мог понять, что же произошло. Куда испарилось топливо? Куда делось время?
Последние мгновения записи говорят об отчаянии, царившем в кабине, пока самолет летел вниз на пригород Портленда:
18:13:38 Командир. Они все встали. [То есть во всех двигателях произошел срыв пламени.]
18:13:41 Командир. До Траутдейла [другой аэропорт Портленда] не дотянем.
18:13:43 Второй пилот. Мы никуда не дотянем.
18:13:46 Командир. О’кей, объявляй мэйдэй. [Сигнал бедствия.]
18:13:50 Второй пилот – Башне. Башня Портленд, United один семьдесят три, тяжелый мэйдэй, у нас… срыв пламени во всех двигателях, мы падаем, до аэропорта нам не дотянуть.
18:13:58 Башня. United один…
18:14:35 [Столкновение с высоковольтными линиями.]
(конец записи)
Я выбрал катастрофу United Airlines 173 как показательную по двум причинам. Во-первых, она стала водоразделом в истории безопасности полетов. Это устоявшаяся точка зрения. Во-вторых, у нее есть дополнительное значение: она удивительным образом похожа на трагедию Илэйн Бромили. Несмотря на то что одна трагедия разворачивалась в небесах, а вторая – в операционной, у них одна и та же базовая структура.
Даже при поверхностном изучении сходство поражает. Как командир Макбрум зациклился на проблеме шасси, так и доктор Андертон зациклился на доступе в дыхательные пути через рот. Как Макбрум напрочь позабыл об уменьшавшемся запасе топлива, так и врачи, занимавшиеся Илэйн Бромили, совсем забыли о кислородном голодании. Пока Макбрум пытался решить проблему с шасси и врачи лихорадочно старались ввести трахеальную трубку в дыхательные пути, настоящая катастрофа оставалась почти незамеченной.
Как бортинженер Менденхолл предупреждал командира, но не получил ответа, так и медсестра Джейн пыталась достучаться до доктора Андертона. Оба всячески намекали на положение дел и мучились, размышляя, как бы выразить опасения более внятно, но испугались и не стали досаждать начальству. Давление вышестоящего авторитета уничтожило эффективную командную работу.
Для нас, однако, важно не столько сходство между двумя случаями, сколько разные реакции на них. Мы уже видели, что в здравоохранении господствует культура замалчивания. Происшествия описываются как "редчайшие случаи" и "иногда такое бывает". Врачи говорят: "Мы сделали все, что от нас зависело". Такая реакция на неудачу в сегодняшнем мире – абсолютная норма.
В авиации дела обстоят совсем по-другому: в эту систему встроен принцип "учимся на ошибках".
На всех самолетах должны быть два "черных ящика", один из которых фиксирует параметры полета и сигналы, поступающие на все находящиеся на борту электронные системы. Второй записывает переговоры в кабине экипажа, позволяя понять, о чем думали пилоты непосредственно перед катастрофой. Вместо того чтобы скрыть неудачу или пытаться ее забыть, авиация собирает о неудаче подробную информацию.
После катастрофы следователи, которые не зависят от авиакомпаний, профсоюзов пилотов и регуляторов авиаперевозок, получают карт-бланш на изучение обломков, допросы и поиск улик. Ошибки не клеймятся позором, на них смотрят как на учебный материал. Заинтересованные стороны всячески сотрудничают со следствием, так как улики, собранные экспертами по расследованию причин катастроф, не принимаются судом. Потому вероятность полного раскрытия информации растет.
После расследования публикуется отчет, доступный каждому. Авиакомпании несут юридическую ответственность за выполнение его рекомендаций. Доступ к данным есть у всех пилотов в мире. Учиться на ошибках может каждый пилот, а не отдельный экипаж, отдельная авиафирма или отдельная страна. Скорость обучения чрезвычайно высока. Как говорила Элеонора Рузвельт: "Учись на чужих ошибках. Ты не проживешь столько, чтобы совершить их все самому".
Но учатся пилоты далеко не только на катастрофах; "мелкие" ошибки тоже становятся материалом для изучения и обучения. Когда пилоты избегают столкновения с другим самолетом или летят не на той высоте, они составляют рапорт. Если он подается в течение 10 дней, пилоты освобождаются от ответственности. Многие самолеты оснащены информационными системами, которые автоматически посылают сообщения о превышении заданных параметров. Эти сообщения также анонимны и рассматриваются вместе с другими отчетами.
Например, в 2005 г. были поданы один за другим несколько рапортов, предупреждавших о проблеме подлета к аэропорту в Лексингтоне, штат Кентукки. Сразу за границей аэропорта местные власти возвели на пустом участке большую стену с росписью, чтобы как-то оживить этот участок. На стену поставили прожектора, освещавшие ее по ночам.
Эти прожектора играли дурную шутку с восприятием пилотов: те принимали свечение на стене за огни посадочной полосы и начинали снижаться слишком рано. К счастью, ни один самолет не разбился – анонимные рапорты выявили потенциальную проблему перед тем, как она смогла кого-то убить. Шон Пручницки, эксперт по безопасности полетов, посетивший собрание, на котором разбирались жалобы пилотов, сказал мне: "За неделю этих рапортов набралась целая гора. Мы сразу поняли, что столкнулись с большой проблемой и что нужно действовать".