Риск получить пробоину ниже ватерлинии
В полдень 27 января 1986 года один из руководителей NASA связался с инженерами компании Morton Thiokol подрядчиком NASA, поставлявшим агентству двигатели для ракет. В прогнозе погоды для Космического центра имени Джона Кеннеди, где готовился к запуску челнок «Челленджер». содержались данные о том, что в утренние часы 28 января температура опустится ниже минус пяти по шкале Цельсия, а во время запуска не перейдет через нулевую отметку.
Сотрудник NASA попросил инженеров обдумать влияние холодной погоды на твердотопливные ускорители, и те тут же собрались для обсуждения одной детали уплотнительного кольца. Когда воспламеняется ракетное топливо, выполненные из гибкого материала типа резины уплотнительные кольца, словно замазка, защищают соединения от обжигающе горячих газов, предотвращая катастрофически мощный взрыв.
Самая низкая температура во всех предыдущих двадцати четырех запусках космических челноков равнялась примерно + 12 °С, что больше чем на десять градусов превышало прогноз на день предстоящего запуска, и у инженеров не было полного представления о том, что произойдет с уплотнительными кольцами при температуре ноль минус пять градусов. У них были некоторые данные, дающие основания полагать, что при низких температурах кольца затвердеют, за счет чего увеличится время, которое необходимо для запечатывания соединения. (Представьте, насколько менее пластичной становится резиновая лента, вынутая из морозильной камеры холодильника, чем такая же лента, находящаяся при комнатной температуре.) Инженеры обсудили свои опасения, после чего на 20.15 была назначена телеконференция с участием тридцати четырех человек, представителей NASA и Morton Thiokol85.
Совещание началось почти с часового обсуждения, по итогам которого инженеры из Morton Thiokol пришли к заключению, что они не рекомендуют запуск при температуре ниже +12 °С. Инженеры NASA обратили внимание на то, что имеющиеся данные противоречивы и не позволяют сделать однозначные выводы. Да, из них видно, что уплотнительные кольца повреждаются во время запусков при температуре ниже +15 °С, но также они свидетельствуют и о повреждении колец при +25 °С. «Было столько противоречивых данных, что вы не представляете», вспоминает один инженер из NASA. Дополнительную путаницу внесло то, что компания Morton Thiokol не возражала против предыдущих запусков, когда прогноз на момент старта был ниже +12 °С. Да и потом, даже если не сработает первое уплотнительное кольцо, должно сработать второе, страховочное.
В своей книге The Challenger Launch Decision («Решение о запуске Челленджера"») социолог Диана Вон развенчивает миф о том, что руководители NASA игнорировали неопровержимые данные и отдали приказ о запуске, будучи абсолютно уверенными в том, что он небезопасен. На самом деле переговоры вечером накануне старта отражают неразбериху и постоянно меняющиеся точки зрения их участников. С одной стороны, один из руководителей агентства выпалил: «Бог мой, вы там, в Thiokol, хотите, чтобы я запускал корабль в следующем апреле?» Но в другой момент тем же вечерюм руководители NASA заговорили об отсрочке старта, а главный инженер, которого его подчиненные умоляли не совершать ошибку, заявил: «Я не соглашусь с запуском, если его не рекомендует производитель». Обсуждение шло почти три часа. Как вы думаете, потребовалась бы трехчасовая дискуссия, если бы данные были однозначными? Выдающийся аналитик Эдвард Тафти8 в своей книге Visual Explanations («Визуальные объяснения») убеждает, что, если бы инженеры построили простой график, они убедились бы в наличии четкой тенденции: во время каждого запуска при температуре ниже +19 °С имелись свидетельства повреждения уплотнительных колец. Но никто не отобразил данные в простой и убедительной визуальной форме, так что в ходе ночных дебатов тенденция повышения опасности при холодных температурах осталась незамеченной. Подводя итоги, руководитель рабочей группы по проблеме уплотнительных колец заметил: «У нас просто недостаточно убедительные данные для того, чтобы все приняли эту точку зрения».
Но в чем именно нужно было убедить каждого? В этом-то и была основная проблема. Каким-то обрнзом в ходе совещания проблема была развернута на 180 градусов. Вместо того чтобы ответить на вопрос «Можете ли вы доказать, что запуск безопасен?» именно так обычно формулируется вопрос о возможности старта корабля, его перевернули с ног на голову: «Можете ли вы доказать, что запуск небезопасен?» Если бы они не сделали такой крайне важный шаг или имели бы абсолютно определенные данные, «Челленджер», скорее всего, на следующий день остался бы на стартовой площадке до полудня. В конце концов негативные последствия катастрофы настолько перекрывали негативные последствия ожидания в течение нескольких лишних часов, что было бы трудно аргументировать необходимость идти на такой риск. Если вы один из руководителей NASA, беспокоящийся о своей карьере, зачем вам настаивать на запуске, когда вы видите, что велика вероятность того, что он закончится катастрофой? Ни один рациональный человек так не сделал бы. Но данные были очень неопределенными, а критерии принятия решения изменены. Не имея возможности представить подтверждения своих обоснованных сомнений в небезопасности запуска, компания Morton Thiokol поменяла мнение и проголосовала за него, незадолго до полудня направив в NASA факс с подтверждением. На следующее утро в 11.38 при температуре воздуха +2 °С уплотнительное кольцо не выдержало, и через 73 секунды «Челленджер» превратился в огненный шар. Погибли все семь членов экипажа, а обломки корабля упали в океан с высоты в 15 км.
История «Челленджера» преподает нам важный урок. Когда имеешь дело с необратимыми решениями, которые в случае неудачи имеют серьезные негативные последствия можно назвать их «решениями о запуске», аргументы в пользу запуска должны быть основаны на преобладании эмпирических свидетельств того, что он безопасен. Пусть бремя доказательства лежит на стороне безопасности («если мы не можем доказать, что запуск безопасен, так, чтобы не осталось сомнений, мы его откладываем»), а не наоборот. И тогда трагедии «Челленджера» можно было бы избежать. Билл Гор, основатель компании W. L. Gore & Associates, сформулировал полезную концепцию для принятия решений и оценки риска, которую назвал «принцип ватерлинии». Представьте, что вы находитесь на корабле и любое ошибочное решение приведет к возникновению пробоины в его борту. Если вы получите пробоину выше ватерлинии, то заделаете ее, извлечете урок и поплывете дальше. Но если пробоина будет ниже ватерлинии, вода хлынет внутрь и потопит корабль86. Если пробоина к тому же окажется достаточно большой, вы утонете очень быстро, в точности как некоторые финансовые компании во время катастроф в 2008 году.
Поясню: великие компании действительно играют по-крупному, но избегают делать крупные ставки, которые могут привести к пробоинам ниже ватерлинии.
Делая крупные ставки и принимая решения в условиях неопределенной или противоречивой информации, задавайте себе три вопроса.
1. Какова потенциальная выгода при благоприятном развитии событий?
2. Каковы негативные последствия в случае неблагоприятного развития событий?
3. Уверены ли вы, что сможете пережить эти негативные последствия?
Предположим, вы находитесь на отвесной скале, есть вероятность, что на вас обрушится ливень, но точно сказать, насколько сильным он окажется и будет ли сопровождаться опасной грозой, вы не можете. Вам нужно решить: продолжать подъем или спускаться? Как-то два альпиниста оказались в такой ситуации в каньоне Эльдорадо, на знаменитой скале Нэйкед-Эйдж. Вдали сгущались тучи, и им нужно было решить, продолжать ли восхождение. А теперь подумайте о тех трех вопросах. Какова потенциальная выгода от того, что дождь пройдет мимо? Они продолжат запланированный подъем. Каковы негативные последствия того, что ливень превратится в полномасштабную грозу и молнии будут неистовствовать в то время, когда беззащитные альпинисты окажутся на самой вершине скалы? Они могут погибнуть. Альпинисты решили продолжать восхождение. Они добрались до верха, оказавшись на этом опасном месте как раз в тот момент, когда на каньон обрушился ливень. В веревках хлопало и жужжало статическое электричество. Вдруг бах! молния ударила в поднимавшегося первым альпиниста, расплавив металлические части его снаряжения и мгновенно лишив его жизни87.
Конечно, при таких размышлениях определенную роль играет фактор вероятности. Если вероятность неблагоприятных событий с практической точки зрения равна нулю или низка, но стабильна, это ведет к одним решениям, если же высока, растет, нестабильна или о ней трудно сказать что-либо определенное к другим. (В противном случае мы никогда не летали бы пассажирскими авиалиниями и даже не думали о восхождении на Нэйкед-Эйдж или Эль-Капитан.) Альпинисты на Нэйкед-Эйдж видели растущую вероятность начала сильной грозы в сценарии с асимметричным риском (минимальная потенциальная выгода и катастрофические негативные последствия) и тем не менее пошли вперед.
Финансовый кризис 2008 года показал, что неправильное отношение к этим вопросам способно разрушить компании. По мере роста пузыря на рынке недвижимости росла и вероятность краха этого рынка. Какова потенциальная выгода от резкого увеличения кредитного рычага (в некоторых случаях до величины 30 к 1 и выше) и возрастающей зависимости от ценных бумаг, обеспеченных закладными? Больше прибыли в случае, если погода будет ясной и тихой. Каковы негативные последствия того, что рухнет весь рынок недвижимости и мы войдем в один из наиболее опасных кредитных кризисов в истории? Merrill Lynch потеряла независимость и продана Bank of America. Контроль над Fannie Мае перешел к правительству. Bear Steams столкнулся с трудностями при исполнении обязательств и тоже был продан. A Lehman Brothers не смог расплатиться по долгам, вызвав кризис ликвидности на финансовых рынках, который привел к экономическому спаду.