Når fiasko ikke er en mulighed

Succes er meget sværere at analysere end fiasko. Når ting går galt i et kemisk anlæg eller et rumprogram, er det normalt muligt at finde ud af årsagerne og løse for at undgå disse ting i fremtiden. Men når tingene går rigtigt, er det svært at vide hvorfor. Hvilke faktorer var vigtige for succesen, og hvilke var ikke? Skyldes succesen dygtighed eller bare held? Hvis vi skal lære at håndtere farlige teknologier, er vores bedste bud at lede efter organisationer, der håndterer risici med succes og se, hvordan de gør det.

Dette er målet for organisationsprojektet med høj pålidelighed ved University of California, Berkeley. I mere end et årti har Todd La Porte, Karlene Roberts og Gene Rochlin studeret grupper, der ser ud til at gøre det umulige: drive meget komplekse og farlige teknologiske systemer i det væsentlige uden fejl. Det amerikanske lufttrafikkontrolsystem håndterer for eksempel titusindvis af flyvninger om dagen rundt om i landet. Flyveledere er ikke kun ansvarlige for at koreografere starter og landinger af snesevis eller hundredvis af flyvninger i timen i lufthavne, men også for at dirigere flyenes flyveveje, så hver af dem holder en sikker afstand fra de andre. Succesen er utvetydig: I mere end et årti har ingen af ​​de fly, der er overvåget på controllernes radarskærme, kollideret med andre. Alligevel skaber den indviklede dans af fly, der nærmer sig og forlader lufthavne, på kryds og tværs af hinandens stier med flere hundrede kilometer i timen, rig mulighed for fejl. Denne rekord for sikkerhed skyldes ikke ekstremt held, konkluderer de tre Berkeley-forskere, men det faktum, at institutionen har lært, hvordan man effektivt håndterer en kompleks, farlig teknologi.

Denne historie var en del af vores udgave fra juli 1997

• Se resten af ​​problemet
• Abonner

De måske mest imponerende organisationer, de har studeret, er den amerikanske flådes nukleare hangarskibe. Selvom det er umuligt for nogen, der ikke har arbejdet på sådan et skib, virkelig at forstå kompleksiteten, stressen og farerne ved dets operationer, tilbyder denne beskrivelse af en transportofficer til Berkeley-forskerne en smag:

Så du vil forstå et hangarskib? Tja, forestil dig bare, at det er en travl dag, og du skrumper San Francisco Lufthavn til kun en kort landingsbane og en rampe og gate. Få fly til at lette og lande på samme tid, med halvdelen af ​​det nuværende tidsinterval, rokke landingsbanen fra side til side, og kræve, at alle, der rejser om morgenen, vender tilbage samme dag. Sluk derefter radaren for at undgå opdagelse, påtving streng kontrol af radioer, brændstof til flyet på plads med deres motorer kørende, sæt en fjende i luften, og spred levende bomber og raketter rundt. Væd nu det hele ned med saltvand og olie, og bemand det med 20-årige, hvoraf halvdelen aldrig har set et fly tæt på. Åh, og prøv forresten ikke at dræbe nogen.

Et luftfartsselskab af Nimitz-klassen flyver 90 fly af syv forskellige typer. Disse fly har kun flere hundrede fod til at lette og lande i stedet for den mile eller mere, der er til rådighed i kommercielle lufthavne, så de har brug for hjælp. Ved start bliver flyene slynget af dampdrevne slyngler, der accelererer dem fra stilstand til 140 knob (160 miles i timen) på lidt over to sekunder. Efterhånden som hvert fly flyttes på plads på dampkatapulten, tjekker besætningsmedlemmer det en sidste gang for at sikre sig, at kontroloverfladerne fungerer, og at ingen brændstoflækager eller andre problemer er synlige. Katapultofficeren indstiller damptrykket for hver opsendelse afhængigt af flyets vægt og vindforholdene. Afstanden mellem lanceringerne - ca. hvert 50. sekund - giver ingen tid til fejl.

Men det er genopretningen af ​​flyene, der virkelig er imponerende. De nærmer sig cockpittet i 120 til 130 knob med en halekrog hængende ned for at fange en af ​​fire wirer, der er strakt på tværs af dækket. Når et fly nærmer sig, sender piloten hans eller hendes brændstofniveau. Med denne information beregner de personer, der er ansvarlige for stopgearet, flyets vægt og beregner den korrekte indstilling for stopgearets bremsemaskiner. Hvis trykket er indstillet for lavt, vil flyet muligvis ikke stoppe hurtigt nok og derfor vælte enden af ​​dækket i havet. Hvis wiren er for stram, kan den trække halekrogen af ​​eller ellers smække og slå ud på tværs af dækket og såre eller dræbe nogen på dens vej. Trykket for hver af de fire wirer indstilles individuelt af en enkelt sømand.

I mellemtiden overvåger landingssignalofficerer, hvordan flyet nærmer sig, rådgiver piloten og så - hvis alt ser ud til at være rigtigt - okay landingen. Lige som flyet lander, giver piloten det fuld gas, så hvis krogen ikke fanger, vil flyet køre hurtigt nok til at lette og komme rundt igen. Hvis krogen fanger en wire, smækkes flyet til standsning inden for cirka to sekunder og 300 fod. Så snart flyet er nede og stoppet, skynder gule skjorter sig hen til det for at tjekke krogen og for at få flyet af vejen for det næste. Efterhånden som de arresterende ledninger trækkes tilbage, tjekker andre besætningsmedlemmer dem for flosser. Så begynder det hele igen. Cyklussen har varet omkring 60 sekunder.

Opsendelsen og genopretningen er kun en del af en meget større proces, herunder vedligeholdelse, tankning og bevæbning samt manøvrering og parkering af flyene på et overfyldt dæk. Det, der gør hele processen så forbløffende, er, at den ikke udføres med mennesker, der har arbejdet sammen i årevis, men med en besætning, der jævnligt vender om. Som forfatteren John Pfeiffer bemærkede, vil kaptajnen kun være ombord i tre år, de 20 højtstående officerer i omkring to et halvt; de fleste af de mere end 5.000 hvervede mænd og kvinder vil forlade flåden eller blive forflyttet efter deres treårige luftfartstjeneste. Desuden er de overvejende teenagere, så gennemsnitsalderen ombord på et luftfartsselskab kommer op på 20 år.

Hvilken slags organisation kan fungere så pålideligt under sådanne handicap? La Porte, Roberts og Rochlin brugte meget tid på adskillige transportører både i havn og til søs, under træning og på aktiv tjeneste, og de mener, at de forstår i det mindste en del af svaret.

På overfladen ser et hangarskib ud til at være organiseret efter traditionelle hierarkiske linjer, med autoritet, der løber fra kaptajnen og ned gennem rækkerne i et klart defineret mønster. Og faktisk forløber meget af den daglige drift af skibet på denne måde, med disciplin ret strengt håndhævet. Tykke manualer med standarddriftsprocedurer styrer denne proces, og meget af flådens træning er afsat til at gøre dem til en anden natur. Disse procedurer kodificerer erfaringer fra mange års erfaring. Men som Berkeley-forskerne opdagede, er transportørens indre liv meget mere kompliceret.

Når tingene bliver varmere, som under opsendelsen og genopretningen af ​​fly, skifter organisationsstrukturen til et andet gear. Nu interagerer besætningsmedlemmerne meget mere som kolleger og mindre som overordnede og underordnede. Samarbejde og kommunikation bliver vigtigere end ordrer, der sendes ned i kommandokæden, og informationer videregives igen. Med et fly, der letter eller lander én gang i minuttet, kan begivenheder ske for hurtigt til instruktioner eller tilladelser fra oven. Besætningsmedlemmerne fungerer som et hold, der hver ser, hvad andre laver, og alle kommunikerer konstant gennem telefoner, radioer, håndsignaler og skriftlige detaljer. Denne konstante informationsstrøm hjælper med at markere fejl, før de har forårsaget nogen skade. Erfarent personale overvåger løbende handlingen, lytter efter alt, der ikke passer, og retter en fejl, før det forårsager problemer.

Et tredje niveau af organisationsstruktur er forbeholdt nødsituationer, såsom en brand på cockpittet. Skibets besætning har omhyggeligt indøvet procedurer, der skal følges i sådanne tilfælde, hvor hvert medlem påtager sig en på forhånd tildelt rolle. Hvis der opstår en nødsituation, kan besætningen reagere øjeblikkeligt og effektivt uden retning.

Denne flerlagede organisationsstruktur kræver meget mere af besætningen end et traditionelt hierarki, hvor det at følge ordrer er den sikreste vej, og underboere ikke opfordres til at tænke selv. Her er skibets og besætningens velfærd alles ansvar. Som Berkeley-forskerne bemærker, har selv den laveste rating på dækket ikke kun autoriteten, men også forpligtelsen til at suspendere flyveoperationer øjeblikkeligt, under de rette omstændigheder og uden først at godkende det med overordnede. Selvom hans dom senere kan blive gennemgået eller endda kritiseret, vil han ikke blive straffet for at tage fejl og vil ofte blive offentligt lykønsket, hvis han har ret.

Inddragelsen af ​​alle, kombineret med den konstante udskiftning blandt officerer og besætning, hjælper også flåden med at forhindre, at sådanne operationer bliver rutinemæssige og kedelige. På grund af personalets regelmæssige kommer og går, lærer folk på skibet konstant nye færdigheder og underviser andre i det, de har lært. Og selvom noget af læringen simpelthen er udenadslære af standarddriftsprocedurer, fandt Berkeley-forskerne en konstant søgen efter bedre måder at gøre tingene på. Unge officerer kommer ombord med nye ideer og finder sig i at diskutere med de ledende underofficerer, der har været med skibet i årevis og ved, hvad der virker. Kollisionen af ​​friske, til tider naive tilgange med en konservativ institutionel hukommelse frembringer en kreativ spænding, der forhindrer sikkerhed og pålidelighed i at degenerere til en mekanisk overholdelse af reglerne.

Søværnet har formået at balancere erfaringerne fra fortiden med en åbenhed over for forandringer og skabe en organisation, der har stabiliteten og forudsigeligheden af ​​et stramt styret hierarki, men som kan være fleksibel, når det er nødvendigt. Resultatet er en evne til at arbejde tæt på kanten, hvilket presser både mennesker og maskiner til deres grænser, men forbliver bemærkelsesværdigt sikre.

Ingen fejl i at kommunikere

Selvfølgelig er et hangarskib en unik situation, og der er ingen grund til at tro, at det, der virker der, ville være effektivt i en kommerciel sammenhæng med civilt ansatte. Men da Berkeley-projektet undersøgte en helt anden slags højpålidelig organisation, sporede forskerne dens succes efter et lignende sæt principper.

Diablo Canyon atomkraftværket, der drives af Pacific Gas & Electric, ligger lige vest for San Luis Obispo, Californien, på Stillehavskysten. Selvom dens konstruktion var forfulgt af kontroverser og endte med at tage 17 år og koste 5,8 milliarder dollars, har anlægget efter alt at dømme vist sig at være et af landets bedst drevne og sikreste, siden det åbnede i 1985.

Ligesom hangarskibene ser Diablo Canyon i første omgang ud til at være et stift styret hierarki med en formel kommandokæde, der fører op til en fabrikschef, som også er vicepræsident for Pacific Gas & Electric. Og den har en tyk stabel - et tårn, virkelig af regler, der fortæller medarbejderne, hvordan de skal udføre deres arbejde. Sådan vil tilsynsmyndighederne have det. Siden Three Mile Island har Nuclear Regulatory Commission forsøgt at sikre sikkerheden ved at insistere på, at atomkraftværker følger et endnu mere detaljeret sæt regler. Planter vurderes efter, hvor mange gange de overtræder reglerne, og et mønster af overtrædelser vil føre til tættere overvågning af NRC og bøder, der i alvorlige tilfælde kan løbe op i hundredtusindvis af dollars.

Men Paul Schulman, en politolog ved Mills College i Oakland, som har samarbejdet med La Porte, Roberts og Rochlin, har fundet ud af, at Diablo Canyon har en anden side - en mere aktiv, uddybende, lærende side. På trods af hierarkiet og reglerne ændrer organisationen sig konstant, sætter spørgsmålstegn ved accepteret praksis og leder efter måder at gøre tingene bedre på. Det er ikke den samme form for forandring, som findes på hangarskibe, hvor den konstante udskiftning af personale skaber en cyklus af at lære de samme ting igen og igen plus en gradvis forbedring af teknikken. Diablo Canyon opretholder en relativt stabil gruppe af medarbejdere, der kender deres job godt. Ikke desto mindre er kernekraftværket lige så dynamisk som bæreren.

Årsagen, siger Schulman, er, at anlægget har dyrket en institutionel kultur, der er forankret i overbevisningen om, at atomkraftværker altid vil overraske dig. Resultatet er to sæt beslutningsprocedurer på fabrikken. Den første, og mere synlige, består af veletablerede regler for, hvad man skal gøre i en bestemt situation. Nogle udføres af computer, andre af mennesker. Generelt, siger Schulman, er dette regelsæt designet til at beskytte mod fejl fra udeladelser - folk ikke gør noget, de burde.

Men Diablo Canyon-medarbejdere arbejder også hårdt for at undgå fejl ved kommissionshandlinger, der har uventede konsekvenser. Fordi et atomkraftværk er så komplekst, må medarbejderne konstant tænke over, hvad de gør for at undgå at få systemet til at gøre noget uventet og muligvis farligt.

Det betyder, at selvom anlægget konstant tilføjer sine standardprocedurer, efterhånden som folk lærer mere om de rigtige tilgange og opdager nye måder, hvorpå tingene kan gå galt, er der ingen, der tror på, at organisationen nogensinde vil være i stand til at skrive alt ned i en bog. Således vælger fabriksledelsen medarbejderne blandt andet ud fra, hvor godt de vil passe ind i en så fleksibel, læringsorienteret kultur. Den mindst ønskværdige medarbejder, rapporterer Schulman, er en, der er for selvsikker eller stædig.

Denne form for kontinuerlig læring og forbedring ville ikke være mulig, hvis Diablo Canyon-organisationen var strengt hierarkisk. Hierarkier kan arbejde for systemer, der er nedbrydelige - det vil sige, som kan opdeles i autonome enheder - men et kernekraftværk er i sagens natur tæt koblet. En ændring af dampgeneratorerne kan have konsekvenser for reaktoren, eller en ændring i vedligeholdelsesprocedurer kan påvirke, hvordan systemet reagerer på de menneskelige operatører. På grund af denne indbyrdes afhængighed skal de forskellige afdelinger i fabrikken kommunikere og samarbejde direkte med hinanden, ikke gennem bureaukratiske kanaler.

Konstant læring: Tvetydighedens velsignelser

Medlemmer af Berkeley-projektet har studeret ikke kun hangarskibe og atomkraftværker, men også flyvekontrolsystemer og driften af ​​store elnet, og de opdager et mønster.

En lagdelt organisationsstruktur synes for eksempel at være grundlæggende for effektiviteten af ​​disse institutioner. Afhængigt af situationens krav vil folk organisere sig i forskellige mønstre. Dette er ret overraskende for organisationsteoretikere, som generelt har troet, at organisationer kun antager én struktur. Nogle grupper er bureaukratiske og hierarkiske, andre professionelle og kollegiale, atter andre er nødberedskab, men ledelsesteorien har ikke plads til en organisation, der skifter mellem dem alt efter situationen.

Erkendelsen af, at sådanne organisationer eksisterer, åbner et helt nyt sæt spørgsmål: Hvordan er sådanne flerlagsorganisationer oprettet i første omgang? Og hvordan ved medlemmerne, hvornår det er tid til at skifte fra en adfærdsform til en anden? Men opdagelsen af ​​disse organisationer kan også have praktiske konsekvenser. Selvom La Porte advarer om, at hans gruppes arbejde er beskrivende, ikke præskriptivt, kan forskningen stadig give nogle indsigter i at undgå ulykker med andre komplekse og farlige teknologier.

Især ser det ud til, at organisationer med høj pålidelighed giver et modeksempel til Yale-sociolog Charles Perrows argument om, at nogle teknologier i sagens natur udgør iboende modsætninger for de organisationer, der driver dem. Vedrørende teknologier som atomkraft og kemiske anlæg, skriver Perrow: På grund af kompleksiteten er de bedst decentraliserede; på grund af den tætte kobling er de bedst centraliserede. Selvom en blanding måske er mulig, og nogle gange prøves (håndter små opgaver på egen hånd, men eksekver ordrer oppefra for alvorlige sager), ser dette ud til at være svært for systemer, der er rimeligt komplekse og tæt koblede, og måske umuligt for dem som er meget komplekse og tæt koblede. Men hvis man skal tro Diablo Canyon og hangarskibene, er sådan en bedrift slet ikke umulig. Disse organisationer viser, at operationer kan være både centraliserede og decentrale, hierarkiske og kollegiale, regelbundne og læringscentrerede.

Udover den lagdelte struktur lægger organisationer med høj pålidelighed vægt på konstant kommunikation langt ud over, hvad der ville blive anset for nyttigt i normale organisationer. Formålet er enkelt: at undgå fejl. På et cockpit meddeler alle, hvad der foregår, mens det sker, for at øge sandsynligheden for, at nogen vil bemærke - og reagere - hvis tingene begynder at gå galt. I et flyvekontrolcenter, selvom en operatør er ansvarlig for at kontrollere og kommunikere med bestemte fly, modtager han eller hun hjælp fra en assistent og, i tider med spidsbelastning, en eller to andre flyveledere. Controllerne holder konstant øje med hinanden, leder efter tegn på problemer, handelsråd og giver forslag til den bedste måde at dirigere trafik på.

Dårlig kommunikation og misforståelser, ofte i forbindelse med en streng kommandovej, har spillet en fremtrædende rolle i mange teknologiske katastrofer. Challenger-ulykken var én, hvor niveauerne i rumfærgeorganisationen for det meste kommunikerede gennem formelle kanaler, så ingeniørernes bekymringer aldrig nåede topledelsen. Et Boeing 737-styrt i 1982 under start fra Washington National Airport, som dræbte 78 mennesker, var et andet. Copiloten havde advaret kaptajnen om mulige problemer flere gange - iskolde forhold forårsagede falske aflæsninger på en motortrykmåler - men andenpiloten havde ikke talt kraftigt nok, og piloten ignorerede ham. Flyet styrtede ind i en bro ved Potomac-floden.

Da en 747'er fløjet af det hollandske flyselskab KLM kolliderede med en Pan Am 747 på en landingsbane i Tenerifes lufthavn på De Kanariske Øer i 1977 og dræbte 583 mennesker, viste en undersøgelse efter styrtet, at den unge andenpilot troede, at seniorpiloten misforstod flyets stilling, men antog, at piloten vidste, hvad han lavede, og så klatrede han op. Og Bhopal-ulykken, hvor tusindvis af mennesker døde, da en eksplosion på et insekticidanlæg frigjorde en sky af dødelig methylisocyanatgas, ville aldrig være sket, hvis der havde været kommunikation mellem anlægsoperatørerne, som begyndte at skylle rør ud med vand, og vedligeholdelsespersonale, som ikke havde sat en metalskive ind i ventilen for at forhindre, at vand kommer i kontakt med methylisocyanatet i en anden del af anlægget.

Udover kommunikation lægger organisationer med høj pålidelighed også vægt på aktiv læring: medarbejderne ved ikke kun, hvorfor procedurerne er skrevet, som de er, men kan udfordre dem og lede efter måder at gøre dem bedre på. Formålet bag denne læring er ikke så meget at forbedre sikkerheden - selvom det ofte sker - men at forhindre organisationen i at gå tilbage. Når først folk begynder at gøre alt efter bogen, går operationerne hurtigt ned ad bakke. Arbejdere mister interessen og keder sig: de glemmer eller lærer aldrig, hvorfor organisationen gør tingene på bestemte måder; og de begynder at føles mere som tandhjul i en maskine end integrerede dele af en levende institution. Effektive organisationer skal finde måder at holde deres medlemmer friske og fokuserede på det aktuelle job.

Enhver organisation, der lægger vægt på konstant læring, bliver nødt til at tolerere en vis mængde tvetydighed, bemærker Schulman. Der vil altid være tidspunkter, hvor folk er usikre på den bedste tilgang eller er uenige selv om, hvad de vigtige spørgsmål er. Det kan være sundt, siger Schulman, men det kan også være foruroligende for ledere og medarbejdere, der mener, at en velfungerende organisation altid skal vide, hvad de skal gøre. Han fortæller om et møde med Diablo Canyon-ledere, hvor han beskrev nogle af sine resultater. Hvad er der galt med os, at vi har så meget tvetydighed? spurgte en leder. Lederen havde fuldstændig misset pointen med Schulmans forskning. Lidt uklarhed var ikke noget at bekymre sig om. I stedet burde fabrikkens ledere være bekymrede, hvis de nogensinde troede, at de havde alle svarene.

Schulman tilbyder endnu en observation om organisationer med høj pålidelighed: de straffer ikke medarbejdere for at begå fejl, når de prøver at gøre det rigtige. Straf kan virke - eller i det mindste ikke være for skadelig - i en bureaukratisk organisation, hvor alle følger bogen, men det afskrækker arbejdere fra at lære mere, end de absolut skal, og det dræber kommunikationen.

Hvis en organisation lykkes med at styre en teknologi, så der ikke sker ulykker eller trusler mod den offentlige sikkerhed, kan den stå over for en snigende trussel: Kald det prisen for succes. Den naturlige reaktion udefra - uanset om den øverste ledelse, regulatorer eller offentligheden - er at begynde at tage den præstation for givet. Og da muligheden for en ulykke virker mindre og mindre reel, synes omkostningerne ved evig årvågenhed sværere og sværere at retfærdiggøre.

Men organisatorisk pålidelighed, selvom den er dyr, er lige så afgørende for en teknologis sikkerhed som udstyrets pålidelighed. Hvis vi skal holde vores teknologiske fremskridt fra at slå bagslag, skal vi være lige så kloge med vores organisationer, som vi er med vores maskiner.

skjule