Сила этики. Искусство делать правильный выбор в нашем сложном мире
Шрифт:
Большинство решений, которые нам необходимо принять, будут небинарными. Но я начала с ситуации с Boeing, чтобы проиллюстрировать, что все же выбор «правильно или неправильно», «да или нет» существует. История с корпорацией Boeing – пример по-настоящему бинарного решения… и неправильного ответа. Вопросы были прямолинейными, а ставки – максимально высокими.
Прежде чем мы начнем анализировать решения, принятые Boeing, нам необходимо лучше разобраться в том, как конструкция самолета Max привела к падению корпорации. Все началось в 2010 году, когда главный соперник компании, французский авиастроитель Airbus, объявил о запуске нового самолета, который будет сжигать на 20 % меньше горючего [45] . Когда в Boeing узнали о том, что их давний клиент авиакомпания American Airlines рассматривает возможность приобретения двухсот новых французских самолетов, они немедленно вступили в конкурентную борьбу [46] .
45
Заявление об Airbus A320, 1 декабря 2010 г.,заявление о сокращении расхода топлива на 20 %, Airbus, 23 сентября 2014 г.,и заявление Boeing, 30 августа 2011 г.,(все по данным на 26 марта 2020 г.).
46
Коллектив бизнес-отдела Seattle Times, «Временная шкала: Краткая история Boeing 737 Max», Seattle Times, 5 мая 2019 г.,«Американские авиалинии» закажут 260 самолетов Airbus и 200 самолетов Boeing Max: Nicola Clark, «Заказ самолета “Американскими авиалиниями” – удача для конкурента Boeing», New York Times, 20 июля 2011 г., https://www.nytimes.com/2011/07/21/business/global/american-places-record-order-with-2-jet-makers.html
Проектирование нового судна могло занять десять лет, потребовалось бы дорогостоящее обучение пилотов, поэтому вместо этого корпорация Boeing решила обновить уже существующую модель 737, снабдив ее новыми топливосберегающими двигателями [47] . В августе 2011 года совет директоров Boeing одобрил запуск в 2017 году переоборудованной модели 737, которая стала известна как Max. Еще до начала строительства компания успела получить 496 заказов на новые топливосберегающие самолеты [48] .
47
David Gelles, Natalie Kitroeff, Jack Nicas и Rebecca R. Ruiz, «Boeing устроил гонку с производством 737 Max, чтобы обогнать Airbus», New York Times, 23 марта 2019 г.,и Alec MacGillis, «Дело против Boeing», The New Yorker, 11 ноября 2019 г., https://www.newyorker.com/magazine/2019/11/18/the-case-against-boeing
48
Boeing Media Room, «Boeing запускает новое семейство двигателей 737 с обязательствами на 496 самолетов для пяти авиакомпаний», 30 августа 2011 г., https://boeing.mediaroom.com/2011-08-30-Boeing-Launches-737-New-Engine-Family-with-Commitments-for-496-Airplanes-from-Five-Airlines
Инженеры Boeing вскоре выяснили, что при установке массивных современных двигателей на самолет, изначально построенный в 1967 году, возникают серьезные проблемы [49] . Например, у модели 737 остается совсем небольшое расстояние между корпусом самолета и землей, поэтому под крыльями судна просто не хватало места для размещения двигателей большего размера. В результате новые двигатели переместили немного выше крыла и продвинули вперед [50] . Но это нарушило всю аэродинамику [51] : когда самолет был на полной тяге во время взлета, нос часто задирался слишком высоко, вызывая сваливание. Поначалу инженеры оценивали идею изменения формы крыльев или добавления к крыльям небольших металлических лопастей, чтобы изменить аэродинамику [52] . Когда эти варианты не сработали, компания Boeing разработала в качестве программного решения систему MCAS [53] . MCAS изначально была создана так, чтобы учитывать входные сигналы от двух источников: от одного из датчиков угла атаки и о перегрузке. Если и угол атаки, и перегрузка были слишком велики, MCAS тонко отрегулировала бы положение хвоста самолета, чтобы опустить нос. Но затем инженеры поняли, что самолет может испытывать аэродинамическую нестабильность не только на высоких, но и на низких скоростях, поэтому они убрали фактор перегрузки как механизм запуска системы MCAS. Это означало, что теперь активировать MCAS мог и один датчик угла атаки [54] .
49
«Исторический снимок», Коммерческий транспорт 737, Boeing, по данным на 17 апреля 2020 г., https://www.boeing.com/history/products/737-classic.page
50
«Boeing 737 Max: Анализ дизайна, развития и маркетинга самолета», слушания перед Комитетом транспорта и инфраструктуры, палата представителей конгресса, 30 октября 2019 г.,Р. 4.
51
«Служебная записка о предварительном проектном решении», с. 119, «Boeing 737 Max: Анализ дизайна, развития и маркетинга самолета».
52
Dominic Gates и Mike Baker, «История MCAS изнутри: Как система Boeing 737 MAX наращивала влияние и потеряла предохранительные устройства», Seattle Times, 22 июня 2019 г.,и Jack Nicas, Natalie Kitroeff, David Gelles и James Glanz, «Boeing встроил в 737 Max смертоносные допущения», New York Times.
53
«Обновления программного обеспечения 737 Max», Boeing,Gates и Baker, «История MCAS изнутри»; Ralph Vartabedian, «Как дизайн пятидесятилетней давности вернулся, чтобы создать проблемы Boeing с ее злополучным самолетом 737 Max», Los Angeles Times, 15 марта 2019 г.,и Gelles et al. «Boeing устроил гонку с производством 737 Max, чтобы обогнать Airbus».
54
«MCAS», с. 5, «Boeing 737 Max: Анализ дизайна, развития и маркетинга самолета».
ФАА сертифицировало систему MCAS и ее активацию с помощью одного датчика, основываясь на предварительном «анализе безопасности системы», который компания Boeing предоставила надзорным органам. Но впоследствии инженеры Boeing сделали MCAS более мощной и интенсивной – без обновления сертификационных документов ФАА. К тому времени, когда самолеты были доставлены заказчикам, MCAS могла перемещать хвост в четыре раза дальше, чем предполагалось изначально, и могла автоматически перезагружаться, снова и снова опуская нос самолета, даже когда пилот поднимал его. Согласно показаниям руководства Boeing, летный экипаж уже был обучен обращению с тем, что называется «неуправляемым стабилизатором», – по сценарию, при котором нос самолета также опускается. Из-за этого руководство Boeing «предположило», что пилоты будут реагировать на ошибочную активацию MCAS и решат эту проблему таким же образом: щелкнут переключателями на панели управления и отключат эту систему [55] .
55
См. с. vi, «4. Изменения в процессе сертификации», и с. 30, а также «Данные», разделы F6.1-A, F6.4-A, F6.7-A и F10.5-A в «Boeing 737 Max: Система управления полетом. Наблюдения, выводы и рекомендации», представленные заместителю администратора по авиационной безопасности, Федеральное авиационное управление США, 11 октября 2019 г.,Dominic Gates, «Ошибочный анализ, провалившийся контроль: как Boeing и ФАА сертифицировали подозреваемую систему управления полетом 737 MAX», Seattle Times, 17 марта 2019 г.,и Tangel et al. «Четырехсекундная катастрофа: Как компания Boeing обрекла 737 MAX».
Ошибочные предположения Boeing привели к нескольким неверным шагам. Во-первых, эти предположения были основаны на том факте, что в ходе испытаний опытные пилоты Boeing смогли распознать опасность заваливания носа, щелкнуть переключателями и взять под контроль самолет за четыре секунды. Но при испытаниях не учитывались хаотические ситуации в кабине или другие возможные переменные. Национальный совет по безопасности на транспорте США (NTSB) указал в своем официальном отчете за 2019 год, что ФАА должно разработать новые стандарты проектирования и потребовать внедрения бортовых диагностических инструментов для повышения эффективности пилотирования. Национальный совет также отметил, что «отраслевые эксперты обычно признают, что система самолета должна быть спроектирована таким образом, чтобы последствия любой ошибки человека были ограничены» [56] .
56
«Допущения, используемые в процессе оценки безопасности, и влияние многочисленных предупреждений и индикаций на работу пилота», с. 12–13, Национальный совет по безопасности на транспорте, 19 сентября 2019 г., https://www.ntsb.gov/investigations/AccidentReports/Reports/ASR1901.pdf
Кроме того, компания Boeing с одобрения ФАА поставила самолеты Max (с активацией MCAS одним датчиком) без дополнительной подготовки пилотов и без упоминания MCAS в руководстве по эксплуатации. Первый пилот в отставке Чесли «Салли» Салленбергер, прославившийся тем, что в 2009 году благополучно посадил самолет на воды реки Гудзон в Нью-Йорке, в июне 2019 года объяснил подкомитету конгресса: «Я сомневаюсь, что до этих происшествий кто-либо из пилотов американских авиакомпаний сталкивался с подобным сценарием при обучении на тренажерах» [57] . Он также настаивал на том, что нельзя заставлять пилотов компенсировать «внутренние дефекты» в конструкции самолета.
57
Обе цитаты можно найти на с. 24 документа «Статус Boeing 737 Max: Мнения заинтересованных сторон», слушания перед подкомитетом по авиации Комитета транспорта и инфраструктуры, палата представителей конгресса, 19 июня 2019 г., https://www.congress.gov/116/meeting/house/109642/documents/CHRG-116hhrg37476.pdf
В этом случае причина принятия неверных решений отчасти кроется в том факте, что ФАА наделяло Boeing все большими и большими полномочиями в отношении сертификации безопасности. Смысл в том, чтобы привлекать к этому инженеров компании, в какой-то мере есть [58] . У Boeing достаточно опыта, чтобы помогать ФАА с отдельными аспектами, на которые у последнего нет ресурсов или времени. Первоначально инженеры по сертификации назначались ФАА, подчинялись непосредственно своим коллегам в ФАА и получали оплату от Boeing. Но в 2004 году система изменилась [59] : теперь их назначали – и руководили ими – менеджеры Boeing, принимавшие окончательные решения о том, что будет представлено ФАА. Эти изменения дали менеджерам Boeing больше полномочий, а инженерам по сертификации – меньше независимости, и корпорация Boeing воспользовалась этими изменениями, обратив их в свою пользу.
58
Как сообщил комитету сената в марте 2019 г. заместитель директора ФАА, «нашему сертификационному бюро потребовалось бы еще примерно 10 000 сотрудников и еще 1,8 миллиарда долларов», чтобы осуществлять весь процесс самим. Jeremy Bogaisky, «Вы хотите, чтобы ФАА занималась только сертификацией самолетов? Дайте мне еще 10 000 сотрудников и 1,8 миллиарда долларов, – говорит руководитель конгрессу», Forbes, 27 марта 2019 г.,См. также Reuters, «ФАА сообщает сенату США, что им нужно еще 10 000 новых сотрудников и 1,8 миллиарда долларов, чтобы полностью взять на себя сертификацию», 27 марта 2019 г., https://www.reuters.com/article/us-ethiopia-airline-congress-faa/faa-tells-u-s-senate-it-would-need-10000-new-employees-1-8-billion-to-assume-all-certification-idUSKCN1R82FT
59
См. с. 3, «4. Конфликтующее представление» и «5. Влияние Boeing на недосмотр со стороны ФАА» в отчете «Самолет Boeing 737 MAX: Цена, последствия и уроки, вынесенные на основе его дизайна, развития и сертификации», представленном Демократическим составом комитета палаты представителей по транспорту и инфраструктуре для председателя Питера А. Де Фацио, председателя подкомитета по авиации Рика Ларсена и членов комитета, март 2020 г.,также репортажи из Seattle Times и New York Times: для обоих дали интервью «более дюжины» инженеров компании Boeing и других людей, принимавших участие в процессе сертификации. Dominic Gates и Mike Baker, «Инженеры утверждают, что в Boeing настаивали на ограничении испытаний мер безопасности в гонке по сертификации самолетов, включая 737 MAX», Seattle Times, 5 мая 2019 г.,Dominic Gates, «Ошибочный анализ, провалившийся контроль: как Boeing и ФАА сертифицировали подозреваемую систему управления полетом 737 MAX»; Nicas et al., «Boeing встроил в 737 Max смертоносные допущения…»; и Natalie Kitroeff, David Gelles и Jack Nicas, «Корни кризиса с Boeing 737 Max: Регулирующий орган ослабляет контроль», New York Times, 27 июля 2019 г., https://www.nytimes.com/2019/07/27/business/boeing-737-max-faa.html
Расследования, проведенные американскими газетами New York Times и Seattle Times, показали, что руководство Boeing было настолько одержимо стремлением опередить Airbus, настолько сосредоточено на скорости производства и стоимости, что инженеры были вынуждены представлять технические планы «вдвое быстрее обычного», а менеджеры работали в «сжатые сроки и с ограниченным бюджетом». Один из информаторов утверждал, что в трех разных случаях компания отклоняла те меры безопасности, которые могли бы предотвратить роковые катастрофы [60] .
60
Gelles et al. «Boeing устроил гонку с производством 737 Max, чтобы обогнать Airbus»; Gates и Baker, «Инженеры утверждают, что в Boeing настаивали на ограничении испытаний мер безопасности в гонке по сертификации самолетов, включая 737 MAX»; Dominic Gates, Steve Miletich и Lewis Kamb, «По словам осведомителя, в Boeing отказались от обновлений мер безопасности 737 MAX перед смертельными катастрофами», Seattle Times, 2 октября 2019 г.,и с. 2, «1. Давление в производственном процессе» в отчете «Самолет Boeing 737 MAX: Цена, последствия и уроки, вынесенные на основе его дизайна, развития и сертификации». Компания Boeing в газете the New York Times утверждала: «Программа Max была запущена в 2011 г. Ее предложили клиентам в сентябре 2012 г. Четко определенная конфигурация самолета была достигнута в июле 2013 г. Первый завершенный 737 Max 8 сошел с завода в Рентоне в ноябре 2015 г.». Компания добавила: «Процесс длительностью несколько лет вряд ли можно оценивать как спешку» и еще: «Разработанное решение должно было предлагать клиентам наилучшую стоимость, включая операционные экономические показатели, а также сроки, что, несомненно, было очень важным фактором». А также: «Когда мы проектируем, строим и обслуживаем наши самолеты, наш наивысший приоритет – безопасность». В заявлении газете Seattle Times компания Boeing сказала, что в компании «действуют строгие процедуры как для обеспечения тщательного рассмотрения таких жалоб, так и для защиты конфиденциальности сотрудников, которые их подают». А также «соответственно, Boeing не комментирует существо или наличие таких внутренних жалоб».
Процесс принятия решений в Boeing был свернут, когда в компании увлеклись гонкой к финишной черте, а также и позже. В 2017 году, через несколько месяцев после поставки самолетов, в компании Boeing обнаружили сбой с предупреждением о расхождении показаний датчиков угла атаки [61] . Предупреждение о несогласии – это стандартная функция, которая сообщает пилоту, что два датчика угла атаки имеют разные показания: это говорит о том, что один из датчиков, возможно, вышел из строя. Сбой, как обнаружили в Boeing, заключался в том, что предупреждение о несогласии в самолетах Max ошибочно связывалось со второй необязательной функцией, «индикатором датчиков угла атаки», которая была премиальной функцией. Это означало, что если перевозчик не покупал опцию «премиум», предупреждение о несогласии у него не срабатывало. Компания Boeing не уведомила об этом ни покупателей, ни пилотов [62] . Вместо этого она решила подождать до следующего запланированного обновления программного обеспечения в 2020 году, чтобы исправить ошибку [63] .
61
«Заявление Boeing о расхождении в показаниях датчиков угла атаки», по данным на 27 декабря 2019 г.,также David Gelles и Natalie Kitroeff, «В Boeing были уверены, что аварийная сигнализация в 737 Max была в стандартной комплектации. Но это было не так», New York Times, 5 мая 2019 г.,также Tracy Rucinski и David Shepardson, «Компания Boeing не сообщала ФАА о проблеме с 737 MAX в течение 13 месяцев», Reuters, 5 мая 2019 г.,тут говорится, что решение Boeing сохранить оповещение о расхождении показаний датчиков угла атаки в стандартной комплектации «возвращает нас к тому, что мы видели на дисплеях предыдущих моделей 737NG примерно с середины прошлого десятилетия».
62
Только 5 мая 2019 г., через два месяца после второй катастрофы, компания Boeing раскрыла эту проблему в пресс-релизе «Заявление Boeing о сигналах о расхождении в показателях датчиков угла атаки».
63
«Заявление Boeing о сигналах о расхождении в показателях датчиков угла атаки», также Mike Baker, «Компания Boeing не планировала исправлять аварийную сигнализацию 737 MAX до 2020 г.», Seattle Times, 7 июня 2019 г., https://www.seattletimes.com/business/boeing-aerospace/boeing-didnt-plan-to-fix-737-max-warning-light-until-2020/
Предупреждение о несогласии могло бы проинформировать пилотов компаний Lion Air и Ethiopian Airlines о неисправности одного из датчиков, что могло бы помочь им быстрее распознать проблему. Но ни один из этих перевозчиков не оплатил опцию «премиум», поэтому предупреждение у них не сработало. Такой индикатор для датчиков угла атаки приобрели примерно 20 % всех клиентов Max; следовательно, только эти 20 % также располагали этим средством обеспечения безопасности. Даже среди трех американских перевозчиков, которые купили самолеты Max, за премиальный вариант заплатили лишь American Airlines и Southwest Airlines, а United Airlines – нет [64] .
64
Hiroko Tabuchi и David Gelles, «Обреченным самолетам Boeing не хватало двух функций безопасности, которые компания продавала только как дополнительные опции», New York Times, 21 марта 2019 г.,Andy Pasztor, «Компания Boeing не сообщила авиакомпаниям и ФАА, что отключила аварийную систему», Wall Street Journal, 28 апреля 2019 г.,также Amanda Macias сообщает, что авиакомпания Southwest предприняла шаги, чтобы активировать индикатор несогласия после крушения Lion Air: «В Boeing только после катастрофы Lion Air сообщили отделу безопасности авиакомпании Southwest, что на 737 Max система предупреждений об опасности отключена», CNBC News, 28 апреля 2019 г., https://www.cnbc.com/2019/04/28/boeing-didnt-tell-southwest-that-safety-feature-on-737-max-was-turned-off-wsj.html
Модель Max 8 была запущена в эксплуатацию в 2017 году и быстро стала самым продаваемым самолетом Boeing в истории [65] – ошеломительный успех… пока вскоре пилоты не оказались вынуждены вести бой против своих самолетов, а сами самолеты не упали с небес на землю. Модель Max была призвана укрепить позицию Boeing как самого уважаемого и успешного производителя самолетов в мире. Вместо этого она пролила свет на этическую проблему, решение которой нельзя откладывать.
65
Сайт Boeing, архив Wayback Machine, по данным на 25 декабря 2019 г., https://web.archive.org/web/20191225100949/https://www.boeing.com/commercial/737Max/