ТРИЗ: Прием «Заранее подложенная подушка» (Предварительное исполнение)

Приём «Заранее подложенная подушка» (Предварительное исполнение) — одиннадцатый из 40 изобретательских приёмов ТРИЗ. Его формулировка: компенсировать относительно невысокую надёжность объекта заранее подготовленными аварийными средствами. Если нельзя сделать систему абсолютно надёжной (или это неоправданно дорого), нужно заранее подготовить то, что смягчит последствия сбоя: резерв, защиту, запасной путь, средство спасения. Название образное: «подложить соломку» там, где можно упасть. Приём входит в фонд, из которого выбирают решения для технических противоречий, и указан в ячейках матрицы Альтшуллера.

Происхождение и исследовательская база

Фонд из 40 приёмов Альтшуллер выделил из анализа большого массива патентов; по распространённой оценке, к концу 1960-х он изучил около 40 тысяч описаний изобретений. Приём №11 отвечает на противоречие «нужна высокая надёжность — но абсолютная надёжность недостижима или слишком дорога»: вместо бесконечного повышения надёжности самого объекта решение ищут в другом месте — в подготовке ответа на сбой. Он тесно связан с соседним приёмом «Предварительное анти-действие»: там заранее создают противодействие вредному фактору, здесь — заранее готовят средство компенсации последствий. Отличие важно: подушка не предотвращает отказ, а ограничивает ущерб от него. Поэтому её ценность определяется тремя параметрами: насколько вероятен сбой, насколько тяжелы последствия и сколько стоит содержать подушку в готовности.

Первый документированный кейс — подушка безопасности автомобиля. Идея надувной подушки для смягчения удара родилась не сразу. Американец Джон Хетрик построил прототип на кухонном столе в 1952 году, подал заявку на патент в августе 1952 года и получил патент № 2 649 311 18 августа 1953 года. Однако массово подушки не появлялись ещё много лет: главной проблемой был датчик. В 1967 году Аллен Брид изобрёл механизм «шарик в трубке» — электромеханический датчик удара, раскрывающий подушку менее чем за 30 миллисекунд; в 1968 году его компания создала соответствующий датчик. В 1968 году Ford и Eaton пришли к выводу, что осуществимость концепции подтверждена, и планировали предложить подушки на полноразмерных Ford и Mercury 1971 модельного года; General Motors последовала примеру в 1973 году с моделью Oldsmobile Toronado. В 1981 году Mercedes-Benz стала первым производителем, представившим подушку безопасности и преднатяжитель ремней на серийном автомобиле (S-класс серии W 126, женевский автосалон). Приём здесь виден чётко: аварию нельзя исключить, но её последствия для человека смягчает заранее подготовленное средство, которое срабатывает только при аварии. Оговорка: история подушек безопасности излагается по-разному, а приоритет отдельных изобретателей и точные даты внедрения предметны для споров; надёжно установлены патент Хетрика 1953 года, значение датчика и серийное внедрение в 1970–1980-х годах.

Второй кейс — урок «Титаника». Спасательные шлюпки — классическая «подушка»: сбой (гибель судна) не исключён, а шлюпки готовятся заранее. Но «Титаник» показывает, что подушка должна быть рассчитана на реальный ущерб, а не на формальную норму. Британские правила, по которым строился лайнер, определяли число шлюпок по валовой вместимости судна (для судов свыше 10 000 тонн — не менее 16 шлюпок общим объёмом 5 500 кубических футов), а не по числу людей на борту; эти нормы действовали с 1894 года, когда крупнейшие пассажирские суда были около 13 000 тонн, а «Титаник» имел 46 328 тонн. «Титаник» этих правил не нарушал: 20 шлюпок вмещали 1 178 человек при требуемых 1 060. Но максимальная нагрузка судна составляла около 3 330 человек, и подушка оказалась рассчитана на треть. Итог известен: после катастрофы в 1914 году была принята первая Международная конвенция по охране человеческой жизни на море (SOLAS), потребовавшая обеспечить шлюпки и спасательные жилеты для всех находящихся на борту, а тоннажная формула была отменена. Урок для приёма: подготовленное аварийное средство должно соответствовать масштабу возможного ущерба, а формальное соответствие норме — не доказательство достаточности. Оговорка: детали расчётов и причин гибели судна в разных источниках различаются; надёжно установлены нормы 1894 года, число шлюпок и вместимость, а также принятие SOLAS в 1914 году.

Аварию нельзя исключить полностью — но можно заранее подготовить то, что ограничит её последствия. Важно, чтобы «подушка» была рассчитана на реальный, а не на формальный масштаб ущерба.

Ключевые идеи и принципы

1. Принцип: не бороться за абсолютную надёжность, а готовить ответ на сбой

   Повышать надёжность самого объекта до бесконечности невозможно и дорого; на каком-то уровне каждое следующее улучшение стоит непропорционально много. Приём предлагает перейти к другой логике: признать вероятность сбоя и заранее подготовить средства ограничения ущерба. Это не отменяет работу над надёжностью, а дополняет её вторым контуром защиты.

2. Принцип: подушка срабатывает только при сбое

   Подушка безопасности, шлюпки, резервный генератор, страховой запас, план аварийного восстановления — всё это средства, которые «не нужны» в нормальном режиме и включаются только при аварии. Отсюда две особенности: их содержание — постоянные затраты «впустую» (пока сбоя нет), а их работоспособность в момент сбоя невозможно проверить без испытаний. Поэтому подушку нужно регулярно тестировать.

3. Принцип: подушка должна соответствовать масштабу ущерба

   Главный урок «Титаника»: формальная норма не гарантирует достаточности. Подушку проектируют от последствий: сколько людей, денег, данных, времени под угрозой и что нужно, чтобы ущерб оказался допустимым. Полезный вопрос: на какой максимальный ущерб рассчитана подушка и что произойдёт, если он окажется больше?

4. Принцип: срабатывание должно быть быстрым, автоматическим и надёжным

   Подушка безопасности раскрывается за десятки миллисекунд, потому что времени на решение нет. Ключевой узел — датчик: без надёжного и быстрого срабатывания подушка бесполезна или опасна (ложное срабатывание). Поэтому вместе с самим средством проектируют условия и механизм запуска, а также защиту от ложных срабатываний.

5. Принцип: подушка не должна создавать новых рисков

   Аварийные средства сами могут быть опасны: подушка безопасности при неверных условиях срабатывания причиняет вред, резервный источник энергии — пожароопасен, страховой запас — портится. Новые риски нужно оценить и ограничить (Ошибка 3).

6. Принцип: как применять приём к задачам организации

   В организациях «подушка» — это резервы и планы на случай сбоя: резервный поставщик, запас времени и бюджета в проекте, резервное копирование и план восстановления, дублирование ключевых ролей, страхование, «антикризисный» сценарий, шаблон ответа на типовой инцидент. Это аналогия, и нужно определить, какой сбой и какой ущерб вы имеете в виду. Вопросы для работы: какие сбои возможны и какой ущерб они принесут? Что мы заранее подготовили и рассчитано ли это на максимальный ущерб? Как быстро и чем запускается «подушка»? Как часто мы проверяем её работоспособность? Сколько стоит её содержание и кто за неё платит, пока сбоев нет?

7. Принцип: как оценивать пользу применения приёма

   Заранее выберите метрики. Категории устойчивы: вероятность и ущерб сбоя с подушкой и без; время срабатывания или восстановления; доля покрываемого ущерба (на какой масштаб рассчитана подушка); стоимость содержания и проверок; результаты учений и тестов; число ложных срабатываний. Если ущерб снизился, но подушка не проверяется и не поддерживается в готовности, польза иллюзорна.

Ограничения, слепые зоны и критика

Типовые ошибки

1. Ошибка 1: подушка рассчитана на формальную норму, а не на реальный ущерб.

   Аварийное средство соответствует требованиям, но не покрывает возможный масштаб последствий (как шлюпки «Титаника»), и его недостаточность обнаруживается только при аварии.

   Как избежать

   проектировать подушку от максимального допустимого ущерба и проверять, что произойдёт, если он превысит расчёт.

2. Ошибка 2: не проверяют работоспособность подушки.

   Аварийное средство существует «на бумаге», но не тестировалось: датчик не срабатывает, резерв не запускается, план не выполняется.

   Как избежать

   регулярно проводить испытания и учения, записывать результаты и устранять найденные недостатки.

3. Ошибка 3: не оценивают новые риски самой подушки.

   Аварийное средство создаёт собственную угрозу: ложные срабатывания, вред при срабатывании, пожароопасность, порчу при хранении.

   Как избежать

   проанализировать риски самого средства, ограничить условия его срабатывания и предусмотреть защиту от ложных запусков.

4. Ошибка 4: не считают стоимость содержания подушки.

   Подушку создают, но не закладывают бюджет на её поддержание, проверки и обновление; со временем она деградирует или её сокращают.

   Как избежать

   заложить стоимость содержания и ответственного, оценить её как постоянные расходы и сопоставить с ожидаемым ущербом.

5. Ошибка 5: используют подушку вместо устранения причины сбоя.

   Подушка «закрывает» повторяющиеся сбои, и над надёжностью основного объекта перестают работать; расходы на аварийные меры растут.

   Как избежать

   параллельно анализировать причины сбоев и устранять повторяющиеся; использовать подушку как второй контур, а не замену.

План внедрения

1. Неделя 1: определить возможный сбой и ущерб

   Выбрать систему или процесс, описать возможный сбой или отказ, его вероятность и максимальный ущерб. Заранее выбрать метрики. В фрейме — заполнить карточку «Возможный сбой/отказ».

2. Неделя 2: подготовить аварийное средство

   Определить, что заранее подготовить для ограничения ущерба, как оно запускается и рассчитано ли на максимальный ущерб. В фрейме — заполнить карточку «Заранее подготовленное аварийное средство».

3. Неделя 3: оценить стоимость и риски

   Посчитать стоимость содержания, проверок и обновления; оценить новые риски самого средства и условия ложных срабатываний. В фрейме — записать стоимость содержания цифрами.

4. Неделя 4: проверить работоспособность

   Провести испытание или учение, замерить время срабатывания и покрытие ущерба, зафиксировать недостатки и запланировать регулярные проверки.

Как реализовать этот план с помощью фрейма «Приём «Заранее подложенная подушка»» в OrgDevTools

Фрейм приёма в OrgDevTools — три текстовые карточки и вердикт.

• Карточка «Возможный сбой/отказ» — что может выйти из строя и с каким ущербом (неделя 1 плана).

• Карточка «Заранее подготовленное аварийное средство» — что подготовлено заранее (неделя 2).

• Карточка «Стоимость содержания «подушки»» — во что обходится постоянная готовность (неделя 3).

• Вердикт зависит от карточки аварийного средства: если заполнена — «Готовая мера: …», а при заполненной стоимости добавляется «(цена содержания: …)», иначе — подсказка оценить цену содержания; если пусто — просит вписать средство. Карточку сбоя вердикт не проверяет.

• Чего фрейм не делает — не проверяет, что средство рассчитано на реальный ущерб и работоспособно, не оценивает новые риски и не напоминает о регулярных проверках. Ошибки 1–5 остаются за вами; записывайте расчёт ущерба, способ срабатывания и график испытаний рядом с мерой.

Книги по теме

Г. Альтшуллер — «Алгоритм изобретения» (1969). Первоисточник фонда изобретательских приёмов, в который входит приём «Заранее подложенная подушка».