När misslyckande inte är ett alternativ

Framgång är mycket svårare att analysera än misslyckande. När saker går fel i en kemisk fabrik eller ett rymdprogram är det vanligtvis möjligt att ta reda på orsakerna och lösa det för att undvika dessa saker i framtiden. Men när det går rätt är det svårt att veta varför. Vilka faktorer var viktiga för framgången, och vilka var inte? Beror framgången på skicklighet, eller bara tur? Om vi ​​ska lära oss att hantera farliga tekniker är vårt bästa sätt att leta efter organisationer som hanterar risker framgångsrikt och se hur de gör det.

Detta är målet för organisationsprojektet med hög tillförlitlighet vid University of California, Berkeley. I mer än ett decennium har Todd La Porte, Karlene Roberts och Gene Rochlin studerat grupper som verkar göra det omöjliga: driva mycket komplexa och farliga tekniska system i huvudsak utan misstag. Det amerikanska flygledningssystemet hanterar till exempel tiotusentals flygningar om dagen runt om i landet. Flygledare är inte bara ansvariga för att koreografera starter och landningar av dussintals eller hundratals flygningar per timme på flygplatser utan också för att styra flygvägarna för planen så att var och en håller ett säkert avstånd från de andra. Framgången är otvetydig: i mer än ett decennium har inget av flygplanen som övervakats på flygkontrollernas radarskärmar kolliderat med ett annat. Ändå skapar den invecklade dansen av flygplan som närmar sig och lämnar flygplatser, kors och tvärs varandras vägar i flera hundra kilometer i timmen, många möjligheter till misstag. Det här säkerhetsrekordet beror inte på extrem lycka, konstaterar de tre Berkeley-forskarna, utan på det faktum att institutionen har lärt sig hur man effektivt hanterar en komplex, farlig teknik.

Den här historien var en del av vårt julinummer 1997

• Se resten av frågan
• Prenumerera

De kanske mest imponerande organisationerna de har studerat är den amerikanska flottans kärnkraftsfartyg. Även om det är omöjligt för någon som inte har arbetat på ett sådant fartyg att verkligen förstå komplexiteten, stressen och riskerna med dess verksamhet, ger den här beskrivningen av en transportör till Berkeley-forskarna en smak:

Så du vill förstå ett hangarfartyg? Tja, föreställ dig bara att det är en hektisk dag, och du krymper San Franciscos flygplats till bara en kort landningsbana och en ramp och gate. Få flygplan att lyfta och landa samtidigt, med halva nuvarande tidsintervall, vagga banan från sida till sida och kräv att alla som åker på morgonen återvänder samma dag. Stäng sedan av radarn för att undvika upptäckt, utöva strikta kontroller på radioapparater, tanka flygplanet på plats med motorerna igång, sätta en fiende i luften och sprida levande bomber och raketer runt omkring. Blöt nu ner det hela med saltvatten och olja, och bemanna det med 20-åringar, varav hälften aldrig har sett ett flygplan på nära håll. Åh, och förresten, försök att inte döda någon.

Ett flygbolag av Nimitz-klass flyger nittio flygplan av sju olika typer. Dessa flygplan har bara flera hundra fot att lyfta och landa i istället för milen eller mer som finns på kommersiella flygplatser, så de behöver hjälp. Vid start katapulteras planen av ångdrivna slangbellor som accelererar dem från stillastående till 140 knop (160 miles per timme) på drygt två sekunder. När varje plan flyttas på plats på ångkatapulten, kontrollerar besättningsmän det en sista gång för att säkerställa att kontrollytorna fungerar och att inga bränsleläckor eller andra problem är synliga. Katapultofficern ställer in ångtrycket för varje uppskjutning beroende på planets vikt och vindförhållanden. Avståndet mellan lanseringarna - ungefär var 50:e sekund - lämnar ingen tid för fel.

Men det är återhämtningen av planen som verkligen är imponerande. De närmar sig flygdäcket i 120 till 130 knop med en svanskrok som hänger ner för att fånga en av fyra gripande vajrar som sträcks över däcket. När ett plan närmar sig sänder piloten sin bränslenivå. Med denna information beräknar de personer som ansvarar för stoppväxeln vikten på planet och räknar ut den rätta inställningen för stoppväxelns bromsmaskiner. Om trycket ställs in för lågt kan det hända att planet inte stannar tillräckligt snabbt och därför välter av däcksänden i havet. Om vajern är för spänd kan den dra av stjärtkroken eller annars snäppa och slå ut över däcket, skada eller döda någon i dess väg. Trycket för var och en av de fyra trådarna ställs in individuellt av en enda sjöman.

Samtidigt iakttar landningssignalofficerare när planet närmar sig, ger piloten råd och gör sedan - om allt verkar rätt - okej landningen. Precis när planet landar ger piloten full gas så att om kroken inte hakar kommer planet att gå tillräckligt fort för att lyfta och komma runt igen. Om kroken fångar en vajer, slängs planet till stopp inom cirka två sekunder och 300 fot. Så fort planet är nere och stannat rusar gula skjortor till det för att kontrollera kroken och för att få planet ur vägen för nästa. När de gripande trådarna dras tillbaka kontrollerar andra besättningsmän dem för fraser. Sedan börjar allt igen. Cykeln har varat i cirka 60 sekunder.

Uppskjutningen och återhämtningen är bara en del av en mycket större process inklusive underhåll, tankning och armering, och manövrering och parkering av planen på ett fullsatt däck. Det som gör hela processen så häpnadsväckande är att den inte görs med människor som har arbetat tillsammans i flera år utan med en besättning som vänder om regelbundet. Som författaren John Pfeiffer observerade, kommer kaptenen att vara ombord i endast tre år, de 20 högre officerarna i ungefär två och ett halvt; de flesta av de mer än 5 000 värvade män och kvinnor kommer att lämna marinen eller förflyttas efter sina treåriga transportörsuppdrag. Dessutom är de till övervägande del tonåringar, så att medelåldern ombord på en bärare kommer till 20 år.

Vilken typ av organisation kan fungera så tillförlitligt under sådana handikapp? La Porte, Roberts och Rochlin spenderade mycket tid på flera bärare både i hamn och till sjöss, under träning och i aktiv tjänst, och de tror att de förstår åtminstone en del av svaret.

På ytan tycks ett hangarfartyg vara organiserat efter traditionella hierarkiska linjer, med auktoritet som löper från kaptenen ner genom leden i ett tydligt definierat mönster. Och faktiskt, mycket av den dagliga driften av fartyget fortgår på detta sätt, med disciplin ganska strikt upprätthållen. Tjocka manualer med standardoperationsprocedurer styr denna process, och mycket av marinens utbildning ägnas åt att göra dem till en annan natur. Dessa förfaranden kodifierar lärdomar från år av erfarenhet. Men, som Berkeley-forskarna upptäckte, är bärarens inre liv mycket mer komplicerat.

När det blir varmt, som vid sjösättning och återhämtning av flygplan, växlar organisationsstrukturen till en annan växel. Nu interagerar besättningsmedlemmarna mycket mer som kollegor och mindre som överordnade och underordnade. Samarbete och kommunikation blir viktigare än order som skickas i kommandokedjan och information som skickas tillbaka. Med ett plan som lyfter eller landar en gång i minuten kan händelser inträffa för snabbt för instruktioner eller auktoriseringar från ovan. Besättningsmedlemmarna fungerar som ett team, var och en ser vad andra gör och alla kommunicerar ständigt genom telefoner, radioapparater, handsignaler och skriftliga detaljer. Detta konstanta informationsflöde hjälper till att flagga misstag innan de har orsakat någon skada. Erfaren personal övervakar kontinuerligt åtgärden, lyssnar efter allt som inte passar och korrigerar ett misstag innan det orsakar problem.

En tredje nivå av organisationsstruktur är reserverad för nödsituationer, såsom en brand på cockpit. Fartygets besättning har noggrant repeterat procedurer att följa i sådana fall, där varje medlem tar på sig en förutbestämd roll. Om en nödsituation inträffar kan besättningen reagera omedelbart och effektivt utan riktning.

Denna flerskiktiga organisationsstruktur kräver mycket mer av besättningen än en traditionell hierarki, där att följa order är den säkraste vägen och underhuggare inte uppmuntras att tänka själva. Här är fartygets och besättningens välfärd allas ansvar. Som Berkeley-forskarna noterar, har även den lägsta betyget på däcket inte bara auktoriteten utan också skyldigheten att avbryta flygverksamheten omedelbart, under lämpliga omständigheter och utan att först ha klarat det med överordnade. Även om hans dom senare kan ses över eller till och med kritiseras, kommer han inte att straffas för att ha fel och kommer ofta att gratuleras offentligt om han har rätt.

Allas engagemang, i kombination med den stadiga omsättningen bland officerarna och besättningen, hjälper också marinen att förhindra att sådana operationer blir rutinmässiga och tråkiga. På grund av att personalen regelbundet kommer och går, lär människor på fartyget ständigt nya färdigheter och lär ut vad de har lärt sig till andra. Och även om en del av lärandet helt enkelt är att memorera standardoperationsprocedurer utantill, fann Berkeley-forskarna ett ständigt sökande efter bättre sätt att göra saker på. Unga officerare kommer ombord med nya idéer och finner sig själva diskutera med de högre underofficerarna som har varit med fartyget i åratal och vet vad som fungerar. Kollisionen av fräscha, ibland naiva tillvägagångssätt med ett konservativt institutionellt minne producerar en kreativ spänning som hindrar säkerhet och tillförlitlighet från att urarta till ett mekaniskt efterföljande av reglerna.

Marinen har lyckats balansera lärdomarna från det förflutna med en öppenhet för förändring och skapa en organisation som har stabiliteten och förutsägbarheten hos en stramt styrd hierarki men som kan vara flexibel när det behövs. Resultatet är en förmåga att arbeta nära kanten, pressa både människor och maskiner till deras gränser men förbli anmärkningsvärt säkra.

Inget misslyckande med att kommunicera

Naturligtvis är ett hangarfartyg en unik situation, och det finns ingen anledning att tro att det som fungerar där skulle vara effektivt i en kommersiell miljö med civilanställda. Men när Berkeley-projektet undersökte en helt annan sorts högtillförlitlig organisation, spårade forskarna dess framgång till en liknande uppsättning principer.

Kärnkraftverket Diablo Canyon, som drivs av Pacific Gas & Electric, ligger strax väster om San Luis Obispo, Kalifornien, på Stillahavskusten. Även om dess konstruktion var omtvistad och tog 17 år och kostade 5,8 miljarder dollar, har anläggningen av allt att döma visat sig vara en av landets bäst drivna och säkraste sedan den öppnades 1985.

Liksom hangarfartygen verkar Diablo Canyon till en början vara en strikt styrd hierarki, med en formell kommandokedja som leder fram till en fabrikschef som också är vicepresident för Pacific Gas & Electric. Och den har en tjock stack - ett torn, verkligen av bestämmelser som talar om för anställda hur de ska göra sina jobb. Så här vill tillsynsmyndigheterna ha det. Sedan Three Mile Island har Nuclear Regulatory Commission försökt garantera säkerheten genom att insistera på att kärnkraftverk följer en ännu mer detaljerad uppsättning regler. Anläggningar betygsätts efter hur många gånger de bryter mot bestämmelserna, och ett mönster av överträdelser kommer att leda till närmare övervakning av NRC och böter som i allvarliga fall kan uppgå till hundratusentals dollar.

Men Paul Schulman, en statsvetare vid Mills College i Oakland som har samarbetat med La Porte, Roberts och Rochlin, har funnit att Diablo Canyon har en annan sida - en mer aktiv, undersökande, lärande sida. Trots hierarkin och regelverken förändras organisationen hela tiden, ifrågasätter accepterad praxis och letar efter sätt att göra saker bättre. Det är inte samma typ av förändring som finns på hangarfartyg, där den stadiga omsättningen av personal skapar en cykel av att lära sig samma saker om och om igen plus en gradvis förbättring av tekniken. Diablo Canyon har en relativt stabil grupp anställda som kan sina jobb väl. Ändå är kärnkraftverket lika dynamiskt som bäraren.

Anledningen, säger Schulman, är att anläggningen har odlat en institutionell kultur med rötter i övertygelsen om att kärnkraftverk alltid kommer att överraska dig. Resultatet är två uppsättningar beslutsförfaranden vid fabriken. Den första, och mer synliga, består av väletablerade regler för vad man ska göra i en viss situation. Vissa utförs av dator, andra av människor. I allmänhet, säger Schulman, är denna uppsättning regler utformad för att skydda mot fel från utelämnande-människor som inte gör något som de borde.

Men Diablo Canyon-anställda arbetar också hårt för att undvika fel i provisionsåtgärder som får oväntade konsekvenser. Eftersom ett kärnkraftverk är så komplext måste anställda ständigt tänka på vad de gör för att undvika att systemet gör något oväntat och möjligen farligt.

Detta innebär att även om anläggningen ständigt utökar sina standardprocedurer när människor lär sig mer om rätt tillvägagångssätt och upptäcker nya sätt att saker kan gå fel, tror ingen att organisationen någonsin kommer att kunna skriva ner allt i en bok. Sålunda väljer fabriksledningen anställda delvis utifrån hur väl de kommer att passa in i en sådan flexibel, lärandeorienterad kultur. Den minst önskvärda medarbetaren, rapporterar Schulman, är en som är för självsäker eller envis.

Denna typ av kontinuerlig inlärning och förbättring skulle inte vara möjlig om Diablo Canyon-organisationen var strikt hierarkisk. Hierarkier kan fungera för system som är nedbrytbara - det vill säga som kan delas upp i autonoma enheter - men ett kärnkraftverk är till sin natur tätt kopplat. En modifiering av ånggeneratorerna kan få konsekvenser för reaktorn, eller en förändring i underhållsprocedurer kan påverka hur systemet reagerar på de mänskliga operatörerna. På grund av detta ömsesidiga beroende måste de olika avdelningarna i fabriken kommunicera och samarbeta med varandra direkt, inte genom byråkratiska kanaler.

Konstant lärande: Tvetydighetens välsignelser

Medlemmar i Berkeley-projektet har studerat inte bara hangarfartyg och kärnkraftverk utan också flygledningssystem och driften av stora elnät, och de upptäcker ett mönster.

En skiktad organisationsstruktur, till exempel, verkar vara grundläggande för effektiviteten hos dessa institutioner. Beroende på situationens krav kommer människor att organisera sig i olika mönster. Detta är ganska överraskande för organisationsteoretiker, som generellt har trott att organisationer bara antar en struktur. Vissa grupper är byråkratiska och hierarkiska, andra professionella och kollegiala, andra är nödberedskap, men ledningsteorin har ingen plats för en organisation som växlar mellan dem efter situationen.

Insikten om att sådana organisationer existerar öppnar en helt ny uppsättning frågor: Hur är sådana flerskiktiga organisationer inrättade i första hand? Och hur vet medlemmarna när det är dags att byta från ett beteende till ett annat? Men upptäckten av dessa organisationer kan också ha praktiska konsekvenser. Även om La Porte varnar för att hans grupps arbete är beskrivande, inte föreskrivande, kan forskningen fortfarande erbjuda vissa insikter om att undvika olyckor med andra komplexa och farliga tekniker.

I synnerhet tycks högtillförlitliga organisationer ge ett motexempel till Yale-sociologen Charles Perrows argument att vissa teknologier, till sin natur, utgör inneboende motsägelser för de organisationer som driver dem. Beträffande teknologier som kärnkraft och kemiska anläggningar skriver Perrow: På grund av komplexiteten är de bäst decentraliserade; på grund av den täta kopplingen är de bäst centraliserade. Även om en viss blandning kan vara möjlig, och ibland prövas (hantera små uppgifter på egen hand, men utför order uppifrån för allvarliga frågor), verkar detta vara svårt för system som är rimligt komplexa och tätt kopplade, och kanske omöjligt för de som är mycket komplexa och tätt kopplade. Men om man ska tro Diablo Canyon och hangarfartygen är en sådan bedrift inte alls omöjlig. Dessa organisationer visar att verksamheten kan vara både centraliserad och decentraliserad, hierarkisk och kollegial, regelbunden och lärandecentrerad.

Förutom den skiktade strukturen, betonar högtillförlitliga organisationer konstant kommunikation långt utöver vad som skulle anses vara användbart i normala organisationer. Syftet är enkelt: att undvika misstag. På ett flygdäck meddelar alla vad som händer när det händer för att öka sannolikheten att någon kommer att märka och reagera om det börjar gå fel. I en flygledningscentral, även om en operatör ansvarar för att kontrollera och kommunicera med vissa flygplan, får han eller hon hjälp av en assistent och, i tider med toppbelastning, en eller två andra flygledare. Regulatorerna ser ständigt upp för varandra, letar efter tecken på problem, handelsråd och ger förslag på det bästa sättet att dirigera trafik.

Dålig kommunikation och missförstånd, ofta i samband med en strikt befälsordning, har spelat en framträdande roll i många tekniska katastrofer. Challenger-olyckan var en, där nivåerna i rymdfärjans organisation kommunicerade mestadels genom formella kanaler, så att ingenjörernas oro aldrig nådde högsta ledningen. Kraschen 1982 av en Boeing 737 under start från Washington National Airport, som dödade 78 människor, var en annan. Copiloten hade varnat kaptenen för eventuella problem flera gånger - isiga förhållanden orsakade falska avläsningar på en motorkraftmätare - men copiloten hade inte talat tillräckligt kraftfullt och piloten ignorerade honom. Planet kraschade in i en bro vid Potomacfloden.

När en 747:a som flögs av det holländska flygbolaget KLM kolliderade med en Pan Am 747 på en landningsbana på Teneriffas flygplats på Kanarieöarna 1977 och dödade 583 människor, fann en utredning efter kraschen att den unge andrapiloten trodde att seniorpiloten missförstod planets position men antog att piloten visste vad han gjorde och klämde sig därför upp. Och Bhopal-olyckan, där tusentals människor dog när en explosion i en insekticidfabrik släppte ut ett moln av dödlig metylisocyanatgas, skulle aldrig ha inträffat om det hade funnits kommunikation mellan anläggningsoperatörerna, som började spola ut rören med vatten, och underhållspersonal, som inte hade satt in en metallskiva i ventilen för att förhindra att vatten kommer i kontakt med metylisocyanatet i en annan del av anläggningen.

Förutom kommunikation betonar högtillförlitliga organisationer också aktivt lärande: anställda vet inte bara varför procedurerna är skrivna som de är utan kan utmana dem och leta efter sätt att göra dem bättre. Syftet med detta lärande är inte så mycket att förbättra säkerheten – även om det ofta händer – utan att förhindra att organisationen går tillbaka. När folk börjar göra allt enligt boken går verksamheten snabbt neråt. Arbetare tappar intresset och blir uttråkade: de glömmer eller lär sig aldrig varför organisationen gör saker på vissa sätt; och de börjar kännas mer som kuggar i en maskin än integrerade delar av en levande institution. Effektiva organisationer måste hitta sätt att hålla sina medlemmar fräscha och fokuserade på jobbet.

Varje organisation som betonar konstant lärande måste tolerera en viss mångtydighet, konstaterar Schulman. Det kommer alltid att finnas tillfällen då människor är osäkra på det bästa tillvägagångssättet eller är oense även om vilka de viktiga frågorna är. Detta kan vara hälsosamt, säger Schulman, men det kan också vara oroande för chefer och medarbetare som tycker att en välfungerande organisation alltid ska veta vad de ska göra. Han berättar om ett möte med Diablo Canyon-chefer där han beskrev några av sina upptäckter. Vad är det för fel på oss att vi har så mycket oklarheter? frågade en chef. Chefen hade helt missat poängen med Schulmans forskning. Lite otydlighet var inget att oroa sig för. Istället borde fabrikens chefer vara oroliga om de någonsin trodde att de hade alla svaren.

Schulman ger ytterligare en observation om högtillförlitliga organisationer: de straffar inte anställda för att de gör misstag när de försöker göra rätt. Straff kan fungera - eller åtminstone inte vara alltför skadligt - i en byråkratisk organisation där alla följer boken, men det avskräcker arbetare från att lära sig mer än de absolut måste, och det dödar kommunikationen.

Om en organisation lyckas hantera en teknik så att det inte sker några olyckor eller hot mot den allmänna säkerheten kan den stå inför ett lömskt hot: kalla det priset för framgång. Det naturliga svaret från utsidan – oavsett om det är högre ledning, tillsynsmyndigheter eller allmänheten – är att börja ta den prestationen för given. Och eftersom möjligheten till en olycka verkar mindre och mindre verklig, verkar kostnaden för evig vaksamhet svårare och svårare att motivera.

Men organisatorisk tillförlitlighet, även om den är dyr, är lika avgörande för säkerheten hos en teknik som utrustningens tillförlitlighet. Om vi ​​ska hålla våra tekniska framsteg från att slå tillbaka måste vi vara lika smarta med våra organisationer som vi är med våra maskiner.

Dölj