איך מערכות מורכבות נכשלות: 18 טענות על כשל ובטיחות

האתר how.complexsystems.fail מפרסם מחדש מסה קצרה מ־1998 על כשלים במערכות מורכבות כרשימה של 18 טענות ממוספרות. התאונות אינן אנומליה בעיני הטקסט, אלא תוצאה רגילה של האופן שבו מערכות כאלה נבנות ומופעלות, והוא עדיין מצוטט בדיונים על בטיחות ואמינות.

כשל כתכונה רגילה של המערכת

הטענות הראשונות קובעות שמערכות מורכבות — תחבורה, בריאות, ייצור חשמל — מסוכנות מעצם טבען: אפשר לשנות את תדירות החשיפה לסכנות, אבל התהליכים עצמם מסוכנים ללא הפחתה. התוצאות החמורות מובילות לבניית שכבות הגנה רבות, טכניות ואנושיות, וההגנה הזו בדרך כלל עובדת. אסון דורש כמה כשלים קטנים שמתיישרים יחד: כל אחד הכרחי, ורק שילולם מספיק.

מכיוון שהמורכבות מונעת הפעלה בלי פגמים, המערכות פועלות במצב מדורדר ונושאות תערובת משתנה של כשלים חבויים. ניתוח לאחר תאונה, כך לפי הטקסט, כמעט תמיד מגלה היסטוריה של «פרוטו־תאונות» קודמות.

הבעיה עם «סיבת שורש»

המסה דוחה את ייחוס התאונה לסיבת שורש אחת. אם כשל גלוי דורש פגמים מרובים, אין סיבה מבודדת — רק יחד הן מספיקות. חשיבה במונחי «סיבת שורש» משקפת צורך חברתי להאשים כוח או אירוע מקומי, ולא הבנה טכנית של כשל. בנוסף, ראייה לאחור מעוותת את הערכת פעולות האדם: הידיעה על התוצאה גורמת למבשרים להיראות ברורים יותר מכפי שהיו למפעילים בזמן אמת.

למפעילים שני תפקידים בעת ובעונה אחת — להפיק את תפוקת המערכת ולהגן עליה מכשל. אנשים מבחוץ ממעטים לזהות את הכפילות הזו: בתקופות שקטות מודגש תפקיד הייצור, ואחרי תאונה תפקיד ההגנה. כל פעולה היא הימור בתנאי אי־ודאות, וגם תוצאות מוצלחות הן הימורים שכאלה.

בטיחות נוצרת ברציפות

הטענות המסיימות קובעות שהבטיחות היא תכונה מתהווה של המערכת כולה, ולא רכיב שאפשר לקנות או לבודד, והיא דינמית מפני שהסכנה והניהול שלה משתנים תדיר. פעולה בלי כשלים היא תוצאה של אנשים שמחזיקים את המערכת בגבולות ביצוע סבירים — לעתים בבחירת שגרות מתורגלות ולעתים בהמצאת חדשות. זיהוי קצה המעטפה דורש מגע צמוד עם כשל, ולכן בטיחות טובה יותר תלויה בתמונה מכוילת של הסכנות ושל השפעת פעולות המפעילים.