Еще один, менее заметный путь от CDS к кризису – это появление новых, неожиданных вариантов возникновения сбоев – так же, как у Галилея с колоннами или с циркониевым фильтром в реакторе Ферми. Контракты CDS увеличивают и сложность, и жесткость связей внутри финансовой системы. Институты, которые ранее были не связаны между собой, оказываются взаимосвязанными, и возникают новые причинно-следственные цепочки, которых никто не мог предвидеть.
Здесь имеется в виду страхование долговых обязательств[34]. Банки, выпускающие сложные новые ипотечные долговые обязательства, обращаются к страховым компаниям, которые называются «монолиниями», а большие страховые компании, например AIG, страхуют такие инструменты с помощью кредитно-дефолтных свопов. На первый взгляд это полезно обеим сторонам: для страховщиков это прибыльно и не сопряжено, как кажется, с большими рисками, а инвесторы начинают чувствовать себя уверенно, поскольку за их спиной стоят надежные страховые компании.
Но, как мы видели в случае с LMX-спиралью, даже страхование, лежащее в основе обеспечения безопасности, может создавать неожиданные риски. Скрытая опасность исходит от «кредитных рейтингов», которые являются мерой риска ценных бумаг, определяемой компаниями, которые называются рейтинговыми агентствами. Если долговое обязательство застраховано, то оно обладает таким же кредитным рейтингом, как у страхователя. Страховые компании типа AIG, конечно, имеют очень высокий кредитный рейтинг, поэтому даже долговые обязательства с высоким риском могут получить прекрасный кредитный рейтинг после страхования в AIG.
К сожалению, у этого процесса есть и обратная сторона. Если страховая компания по ошибке застраховала слишком много рисковых долговых обязательств, ей будет грозить банкротство и она потеряет высокий кредитный рейтинг. Именно это произошло с AIG и монолинейными страховщиками. При снижении рейтинга страховщиков происходит снижение рейтинга всех застрахованных долговых обязательств. Когда одновременно понижается рейтинг большого количества долговых обязательств, банки в соответствии с действующим регулированием, запрещающим им иметь слишком много рисковых обязательств, должны эти обязательства так же одновременно продать. Не нужно быть финансовым гуру, чтобы понять, что сочетание системы безопасности с регулированием этой безопасности прописывает рецепт резкого падения цен.
В результате банки, даже способные преодолеть финансовые трудности, связанные, например, с субстандартным ипотечным кредитованием, подталкиваются к банкротству. Банку было бы выгоднее сохранить разумный портфель обязательств со средними рисками, застрахованными страховой компанией. Страховая компания сама попадает в неприятное положение, поскольку она застраховала субстандартные ипотечные продукты, и кредитный рейтинг банковского портфеля понижается не потому, что изменилось качество портфеля, а потому что изменилось положение страховщика. Банк по закону обязан продать свои активы тогда, когда это делают другие банки. Это похоже на то, что скалолаз карабкается вверх, а страховочный трос сбрасывает его в пропасть. Страховые компании и их сеть кредитно-дефолтных свопов действуют, как страховочный трос.
Вместо того чтобы снижать риск, кредитно-дефолтные свопы увеличивают его и заставляют возникать в самых неожиданных местах. То же можно сказать и о других системах финансовой безопасности. Например, это касается пресловутых обеспеченных долговых обязательств (CDO), под которыми скрывались финансовые потоки от субстандартных ипотечных кредитов. Целью их создания было придание рискам формы, сочетающей рискованные и совершенно безопасные «слои». Но вместо этого получилась система, когда риски стали «зашкаливать»: удвоенные убытки по соответствующим ипотечным кредитам неоднократно возводились в степень в процессе реструктурирования и приводили к убыткам в 4, 16, 256 и даже 65 000 раз большим, чем ожидалось. (Эти цифры носят иллюстративный характер и неточны, однако как иллюстрация CDO они подходят.) В обоих случаях системы безопасности позволили инвесторам и банкам быть неаккуратными и обратить небольшие проблемы в настоящие катастрофы. Специалисты по промышленной безопасности, если бы их спросили, могли бы заранее предупредить, что такие неожиданные последствия встречаются повсеместно.
Более корректные меры безопасности, конечно, смогут сработать по-другому, однако опыт техногенных катастроф показывает, что создать меры безопасности, которые не имели бы отрицательного эффекта, труднее, чем кажется. Но если «нанизывание» одной системы безопасности на другую не является панацеей ни от промышленных, ни от финансовых катастроф, то чем же тогда лечить эту болезнь?
4. «Операторы АЭС вконец растерялись»
Когда в 1979 г. произошла авария на атомной станции «Тримайл-Айленд», Америка оказалась как никогда близка к крупномасштабной катастрофе. Все началось из-за того, что инженеры, пытавшиеся прочистить забитый фильтр, позволили стакану воды протечь не в ту систему. Сама по себе безобидная протечка вызвала срабатывание основных насосов, подававших воду в теплообменник, паровые турбины и градирни[35]. Теперь реактор нужно было охлаждать каким-то иным способом. То, что последовало дальше, представляет собой классический пример лавинообразного нарастания сбоев, каждый из которых можно было легко исправить, но вместе они привели к системной аварии, описанной Чарльзом Перроу.
Два аварийных насоса должны были начать прокачку воды через контур реактора, но на обоих вентили после профилактических работ оказались по ошибке закрыты. Об этом операторов должны были проинформировать световые сигналы, но лампочки оказались закрыты бумажной табличкой со словом «ремонт», висевшей на тумблере. Как только реактор стал перегреваться, автоматически открылся спусковой клапан, как на скороварке. Когда давление вновь пришло в норму, он должен был закрыться, но его заклинило в открытом состоянии, что вызвало опасное падение давления в реакторе.
Если бы операторы поняли, что клапан не может закрыться, то они могли бы перекрыть другой вентиль, расположенный ниже по трубе. Но панель управления показывала, что клапан закрылся нормально. На самом деле – сигнал означал, что клапан нужно привести в нормальное состояние. Пока они соображали, что происходит, начальник смены стал подозревать, что спусковой клапан открыт, и отправил сотрудника посмотреть на датчик температуры. Инженер доложил, что температура нормальная, потому что ошибочно посмотрел на другой датчик.
Это была серьезная ошибка, но объяснимая в такой ситуации. Какофония из более чем 100 аварийных сигнализаций затрудняла разговоры между людьми. Панель управления безумствовала: на ней было почти 750 сигнальных ламп, каждая из которых имела буквенный код, и одни были расположены рядом с соответствующим тумблером, а другие вдалеке от него. Одни лампы располагались над тумблерами, другие – под ними. Красные лампы указывали на включенное оборудование, зеленые – на выключенное. Но поскольку отдельные лампы были обычно зелеными, а другие обычно красными, даже хорошо обученный оператор не всегда мог правильно разобраться во множестве мигающих лампочек и быстро обнаружить неполадку.
В 6.20 утра на работу заступила новая смена. Именно она поняла, что перегретая охлаждающая жидкость уже больше двух часов вытекает из реактора. Новая смена быстро справилась с ситуацией, но к тому времени больше 12 0000 л очень токсичной жидкости уже успело вытечь, хотя расплавления топливных элементов удалось избежать. Если бы индикаторы были разработаны умнее, то с ситуацией можно было бы справиться намного быстрее.
Я спросил главу департамента ядерной безопасности МАГАТЕ Филиппа Жаме, какие уроки удалось извлечь из аварии на АЭС «Тримайл-Айленд». «Когда анализируешь то, что произошло, то приходишь к выводу, что все операторы АЭС вконец растерялись», – ответил он.
Жаме говорит, что после этой аварии много внимания стали уделять тому, что должны знать операторы и как донести до них это знание наиболее доступным образом. Задача сводится к тому, чтобы операторы никогда больше не пытались взять под контроль аварийный реактор под звуки сотен аварийных сигналов при тысяче мигающих лампочек.
Урок не прошел незамеченным для АЭС «Хинкли-Пойнт», которая высится на берегу Бристольского пролива на юго-западе Англии. Некогда она была открыта для посещения школьников, а теперь вокруг нее создан целый лабиринт блокпостов, а по периметру высится забор. В центре площадки, которую я посетил в один из ненастных дней конца июля, стоит серое бетонное здание, в котором находятся два ядерных ректора. Неподалеку от него расположено невысокое офисное здание, которое выглядело бы более уместно в каком-нибудь технопарке. В офисном здании есть тренажер, который почти полностью имитирует диспетчерский зал АЭС. Тренажер выглядит как в 1970-е: массивные металлические консоли и не менее массивные переключатели. Добавлены лишь современные плоские дисплеи, как в настоящей диспетчерской, чтобы получать дополнительную информацию о реакторе с помощью электронных датчиков. Скрытый от глаз мощный компьютер имитирует работу реактора, и его можно запрограммировать на любой сбойный режим.
