Každý z nás už stál pred úlohou, ktorá na prvý pohľad vyzerala ako číra utópia. Či už ide o rozbehnutie vlastného biznisu, radikálnu zmenu kariéry alebo náročný životný cieľ, vnútorný hlas často hovorí: „Šanca, že toto vyjde, je mizivá.“ Teoretické modely a analýzy rizík môžu pri veľmi zložitých systémoch ukazovať prekvapivo nízku pravdepodobnosť úspechu, pretože odhaľujú množstvo potenciálnych bodov zlyhania.
Jedným z najpôsobivejších príkladov, ako sa dá s takouto neistotou pracovať, je vesmírny program Apollo. Podľa niektorých interných odhadov a dobových vyjadrení predstaviteľov NASA bola pravdepodobnosť úspešnej misie považovaná za nízku — presné čísla sa však medzi jednotlivými odhadmi výrazne líšili. Administrátor NASA James Webb si uvedomoval, že otvorené zverejnenie veľmi vysokého odhadu rizika by mohlo oslabiť verejnú podporu programu a politickú podporu financovania. Interný odhad vysokého rizika však nebol jediný: staršia analýza z roku 1965 hovorila o približne 73-percentnej šanci úspechu, zatiaľ čo súkromne si niektorí ľudia z programu mysleli, že riziko je ešte vyššie. Veliteľ Apolla 8 Frank Borman neskôr uviedol, že osobne vnímal riziko svojej smrti počas misie približne ako jeden ku trom. Zhoda teda nebola ani medzi odborníkmi — čo samo osebe niečo hovorí o tom, aké ťažké je také niečo vôbec spoľahlivo odhadnúť.
Výsledok: šesť úspešných pristátí na Mesiaci. Ale príbeh nie je taký hladký, ako by sa mohlo zdať — a práve v tejto nedokonalosti sa skrýva to najužitočnejšie poučenie.
Príbeh nezačal úspechom. Začal tragédiou.
Skôr než čo i len jeden Apollo vzlietol k Mesiacu, zahynuli v roku 1967 pri požiari na štartovacej rampe traja astronauti — Gus Grissom, Ed White a Roger Chaffee. Nešlo o let, ale o pozemný test kabíny naplnenej čistým kyslíkom. Táto tragédia, Apollo 1, nebola vedľajšou poznámkou v histórii programu. Bola to udalosť, po ktorej NASA zásadne sprísnila spôsob, akým hodnotila riziko zlyhania — a mnohé z týchto princípov neskôr ovplyvnili bezpečnostné postupy používané v letectve, automobilovom priemysle a ďalších oblastiach.
NASA po tragédii Apolla 1 výrazne sprísnila procesy riadenia bezpečnosti a systematickej analýzy rizík. Jednou z využívaných metód bola aj FMEA (Failure Mode and Effects Analysis) — systematické mapovanie toho, akými spôsobmi môže konkrétna súčiastka alebo krok zlyhať a aké následky by to mohlo mať. Dôležité je povedať presne, odkiaľ FMEA pochádza: nevymyslela ju NASA. Metodiku formalizovala už v roku 1949 americká armáda, teda viac než pätnásť rokov pred Apollom, pôvodne na hodnotenie spoľahlivosti zbraňových systémov. Apollo ju len prevzalo a po tragédii Apolla 1 aplikovalo s mimoriadnou dôslednosťou — a skúsenosti z týchto zmien neskôr ovplyvnili vývoj bezpečnostných postupov v letectve, automobilovom priemysle a ďalších oblastiach.
Keď takmer zlyhal aj ten najlepšie pripravený systém
Aj po sprísnení postupov sa program ani zďaleka neobišiel bez ďalšej krízy. Počas letu Apolla 13 v roku 1970 vybuchla kyslíková nádrž v servisnom module, dlho pred plánovaným pristátím na Mesiaci. Posádka sa napokon vrátila na Zem živá — vďaka kombinácii existujúcich núdzových postupov, technickej prípravy, práce pozemného tímu a schopnosti improvizovať v situácii, ktorú nebolo možné úplne naplánovať dopredu.
Toto je dôležitý detail, ktorý sa v zjednodušených verziách príbehu často stráca: dôsledná príprava a redundancia neznižujú riziko na nulu. Znižujú pravdepodobnosť, že zlyhanie jednej súčiastky povedie ku katastrofe, a zväčšujú šancu, že sa dá na vzniknutý problém zareagovať včas. Apollo 13 nie je príkladom dokonalého systému bez chyby — je príkladom toho, čo urobiť, keď chyba napriek všetkému nastane.
Čo z toho robí užitočný princíp, nielen peknú anekdotu
Kľúč k paradoxu „nízka pravdepodobnosť, vysoký počet úspechov“ nie je v tom, že by inžinieri v NASA mali šťastie. Je v tom, že pochopili niečo, čo je ľahké prehliadnuť: pravdepodobnosť úspechu zloženého systému nie je nemenná veličina, ale premenná, do ktorej sa dá aktívne zasahovať. Pracovali s ňou pomocou dvoch princípov:
Redundancia. Ak mohla dôležitá súčiastka zlyhať, systém mal záložnú, a často aj druhú záložnú.
Systematické hľadanie slabín. Namiesto čakania, kým sa niečo pokazí, sa inžinieri pýtali vopred: „Čo presne by nás na tomto kroku mohlo položiť?“ — a to pri každej jednej časti misie, nielen raz na začiatku.
Ani jedno z toho nezaručuje stopercentný úspech. Zaručuje to, že keď sa niečo pokazí — a pri dostatočne zložitých systémoch sa skôr či neskôr objavia neočakávané problémy — má tím pripravené postupy, ako na to zareagovať, namiesto toho, aby ho problém zaskočil úplne nepripravený.
Ako preniesť tento princíp do vlastného života
Nemusíte byť konštruktér rakety Saturn V, aby ste tento princíp preklopili do vlastného života. Keď budete nabudúce čeliť veľkej výzve — novému biznisu, kariérnej zmene, náročnému projektu, skúste toto:
Zostavte si vlastný „Red Team.“ Namiesto toho, aby ste sa obklopili iba ľuďmi, ktorí vám budú tlieskať, prizvite dvoch až troch kriticky uvažujúcich ľudí a povedzte im: „Tu je môj plán. Vašou úlohou je nájsť čo najviac dôvodov, prečo by mohol zlyhať. Cieľom nie je dokázať, že plán je zlý, ale odhaliť miesta, ktoré ešte nie sú dostatočne pripravené.“
Premeňte kritiku na zoznam úloh. Každá odhalená slabina nie je dôvod na vzdanie sa — je to konkrétna vec, ktorú môžete vopred vyriešiť, posilniť alebo si na ňu pripraviť záložný plán, presne tak, ako inžinieri pripravovali záložné systémy pre kritické súčiastky.
Premyslite si vopred, čo urobíte, keď (nie ak) niečo zlyhá. Apollo 13 ukazuje, že aj pri najlepšej príprave môže niečo prekvapiť. Časť prípravy preto nie je len „ako tomu zabrániť“, ale aj „čo urobíme, keď sa to napriek všetkému stane“.
Čo si z toho odniesť
Žiadny model, žiadna príprava a žiadny „Red Team“ nedokáže predvídať úplne všetky neznáme premenné — isté malé percento neistoty v reálnom živote vždy zostane, presne tak, ako zostalo aj pri Apolle 13. Najužitočnejšia zmena perspektívy preto nie je viera, že sa dá riziko premeniť na istotu. Je to pochopenie, že nízka pravdepodobnosť úspechu nie je dôvod na rezignáciu, ale zoznam konkrétnych, riešiteľných problémov — a že príprava na to, čo urobíte, keď sa niečo napriek všetkému pokazí, je rovnako dôležitá ako snaha, aby sa to nepokazilo vôbec.
Temná stránka metodík: Keď zlyhá človek, nie technológia
Apollo ukázalo, ako môže disciplína v riadení rizika zachrániť extrémne ambiciózny projekt. Program Space Shuttle neskôr ukázal opačnú stránku tej istej lekcie: najväčšie riziko niekedy nevzniká v technike, ale v spôsobe, akým organizácia interpretuje varovania.
Metodiky ako FMEA, redundancia a systematická analýza rizík dokážu výrazne znížiť pravdepodobnosť zlyhania. História však ukazuje ich hranice: ani najlepší technický systém nepomôže, ak ľudia v organizácii prestanú správne vyhodnocovať signály, ktoré ich na problém upozorňujú.
Tragédie raketoplánov Challenger a Columbia odhalili kombináciu technických problémov a organizačných zlyhaní v spôsobe, akým boli riziká identifikované, komunikované a vyhodnocované. Pri Columbii bolo počas štartu zaznamenané poškodenie tepelnej ochrany po náraze peny z externého tanku na ľavom krídle. Jeho možné následky však neboli správne vyhodnotené a organizačné procesy nedokázali zabezpečiť dostatočne dôraznú reakciu na technické obavy:
- Normalizácia odchýlky – Keď sa určitá chyba alebo odchýlka od predpisov opakuje bez okamžitých fatálnych následkov, organizácia si na ňu môže zvyknúť a začať ju vnímať ako prijateľnú. Tento mechanizmus, ktorý sociologička Diane Vaughan neskôr označila ako „normalizáciu odchýlky“, sa výrazne prejavil aj pri problémoch s tesniacimi O-krúžkami pred Challengerom.
- Tlak termínov nad bezpečnosťou – Politické a finančné tlaky často vedú k tomu, že vedenie začne prehliadať varovania vlastných inžinierov a uprednostní dodržanie harmonogramu pred opatrnosťou.
- Falošný pocit neporaziteľnosti – Myšlienka „veď to doteraz vždy vyšlo“ patrí k najnebezpečnejším premenným v akomkoľvek zložitom systéme.
Program Space Shuttle pritom nemožno hodnotiť iba cez jeho dve tragédie. Počas 135 misií priniesol významné technologické úspechy, umožnil výstavbu Medzinárodnej vesmírnej stanice, opravu Hubbleovho teleskopu a množstvo ďalších vedeckých a technických operácií. Zlyhania Challengeru a Columbie preto neznamenajú, že celý program bol chybný. Ukazujú však, že aj mimoriadne úspešný a technologicky vyspelý systém môže zlyhať, ak organizácia prestane správne pracovať s rizikom.
Poučenie na záver: Aj ten najlepší „Red Team“ a najprepracovanejšia metodika FMEA sú bezcenné, ak v kritickej chvíli chýba ochota pozrieť sa realite do očí a priznať, že riziko je priveľké.
Úspešné systémy nevznikajú preto, že dokážu odstrániť všetky chyby. Vznikajú preto, že počítajú s tým, že chyby prídu, a pripravia sa na ne skôr, než nastanú.
Zoznam použitej literatúry
- NASA History Office. Apollo Program. https://history.nasa.gov/
- NASA. Apollo 1 Accident. https://www.nasa.gov/history/apollo-1/
- NASA History Office. Apollo 13 Mission. https://history.nasa.gov/
- NASA. Columbia Accident Investigation Board (CAIB) Report. Washington, D.C., 2003.
- Presidential Commission on the Space Shuttle Challenger Accident (Rogers Commission). Report of the Presidential Commission on the Space Shuttle Challenger Accident. Washington, D.C., 1986.
- U.S. Department of Defense. MIL-P-1629: Procedures for Performing a Failure Mode, Effects and Criticality Analysis. Washington, D.C., 1949. (Pôvodná formalizácia metodiky FMEA.)
- Vaughan, Diane. The Challenger Launch Decision: Risky Technology, Culture, and Deviance at NASA. University of Chicago Press, 1996.
- Borman, Frank. Countdown: An Autobiography. William Morrow & Company, 1988.
- Chaikin, Andrew. A Man on the Moon: The Voyages of the Apollo Astronauts. Penguin Books, 1994.
- National Academies of Sciences, Engineering, and Medicine. Safety in the U.S. Civil Space Program. Washington, D.C.
