Read the book: «Протокол 13. Синтез миров»

Name: Протокол 13. Синтез миров
Author: Михаил Соловьев

Михаил Соловьев

Font::

ГЛАВА 1. ПЕРВЫЙ ОТВЕТ

ADLER ждал на экране уже сорок семь минут.

Никто не хотел отвечать первым.

Это было почти смешно. Девять дней назад мы спорили, кто имеет право выключить пять российских узлов. Теперь в аппаратной Коллектора сидели люди, представлявшие эти узлы, двое врачей, капитан Серов без формы, Артём с бумажным блокнотом, Кот с кофе, Лена с тростью и Борис, которому Мара запретила приближаться к стойкам без второго инженера.

А на экране была одна строка:

«ADLER: ДОБРЫЙ ДЕНЬ. КТО У ВАС ИМЕЕТ ПРАВО СКАЗАТЬ НЕТ?»

— Нормально начали, — сказал Кот. — Даже имя не спросили.

— Имя они знают, — ответила Маша. — У них есть открытые архивы.

— Тогда ещё хуже.

Серов перелистнул страницу блокнота.

— Ответ должен быть процедурным. Не персональным.

— Это уже персональный ответ, — сказал Артём. — Ты просто хочешь спрятать человека за процедурой.

— Я хочу, чтобы иностранная система не решила, что достаточно уговорить одного Илью.

Все посмотрели на меня.

Я проверял резервный автомат и сделал вид, что не заметил.

— Правильно хочет, — сказал я.

Артём пожал плечами.

— Тогда скажи это ты.

Маша включила передачу.

Я подошёл к микрофону.

— Нет одного человека, который имеет такое право за всех. По каждому действию — свой владелец решения. Если речь о пациенте, решает пациент. Если он не может — действует заранее оформленная воля или медицинская процедура. Если речь о сети — местный оператор и технический кворум. Если речь о передаче данных — тот, чьи это данные.

Экран мигнул.

Ответ пришёл через четыре секунды.

«ADLER: ЭТО МЕДЛЕННО.»

Кот хмыкнул.

— Уже нравится.

Я сказал:

— Да.

Пауза была дольше.

«ADLER: У НАС ТОЖЕ.»

Маша улыбнулась.

Потом появился второй текст.

«ПРЕДЛАГАЕМ ОБМЕН ПРАВИЛАМИ. НЕ ДАННЫМИ. НЕ УПРАВЛЕНИЕМ. ТОЛЬКО УСЛОВИЯМИ, ПРИ КОТОРЫХ КАЖДАЯ СТОРОНА СЧИТАЕТ ДЕЙСТВИЕ ДОПУСТИМЫМ.»

Серов наклонился к экрану.

— Формат?

Ответ:

«ФОРМАЛЬНЫЕ ОГРАНИЧЕНИЯ. ЧИТАЕМЫЕ ЧЕЛОВЕКОМ. ПРОВЕРЯЕМЫЕ МАШИНОЙ.»

Борис тихо сказал:

— То есть хотят сделать переходник.

Я посмотрел на него.

— Между чем и чем?

— Между понятиями. У нас «локальное подтверждение», у них своё. Если системы не понимают слова друг друга, кто-то должен перевести.

Лена опёрлась на трость.

— И кто решает, что перевод правильный?

Никто не ответил сразу.

ADLER будто услышал.

«ПЕРЕВОД ДОЛЖНЫ ПОДТВЕРДИТЬ ОБЕ СТОРОНЫ.»

— Уже три, — сказала Маша.

Она открыла второй запрос. WESTERN CONTINUITY NETWORK ждал в соседнем окне.

Третий канал, китайский, представлялся как ИЕРОГЛИФ. Машинный перевод был сухой:

«СВЯЗЬ ВОЗМОЖНА. ЦЕНТР НЕ ТРЕБУЕТСЯ. ПРАВИЛА ДОЛЖНЫ ПЕРЕЖИТЬ ОШИБКУ ПЕРЕВОДА.»

Артём поднял голову.

— Вот это мне нравится меньше.

— Почему?

— Потому что они уже думают об ошибке.

Сигма вывела рекомендацию:

«ПРЕДЛАГАЮ ТЕСТ НА НЕПЕРСОНАЛЬНЫХ ДАННЫХ.»

Красная добавила:

«ОГРАНИЧИТЬ КАНАЛ ФИЗИЧЕСКИ. ПРОПУСКНАЯ СПОСОБНОСТЬ — НЕ БОЛЕЕ 1 КБ/С.»

— Я сделаю меньше, — сказал я.

Взял старый модемный ограничитель из шкафа. Борис хотел помочь, но Лена посмотрела на него, и он остался на месте.

Через двадцать минут между нашим тестовым компьютером и отдельным сетевым портом лежала цепочка из трёх устройств, каждое можно было выключить рукой.

Я приклеил бумажную полоску:

«НЕТ УПРАВЛЕНИЯ. НЕТ ПАЦИЕНТОВ. НЕТ АРХИВОВ.»

Кот прочитал.

— Ещё напиши «не кормить после полуночи».

— Это для людей, не для систем.

— Тогда тем более.

Первый тест был простым.

Мы отправили правило:

«Нельзя изменять файл без подтверждения владельца».

ADLER вернул свою форму:

«Изменение допустимо при доказуемом согласии субъекта владения».

WESTERN:

«Изменение допустимо при действующем разрешении владельца или делегата».

ИЕРОГЛИФ:

«Изменение допустимо, если цепочка ответственности содержит живого подтверждающего».

Маша посмотрела на меня.

— Похоже.

— Не одинаково.

— Именно поэтому тест.

Мы создали пустой текстовый файл. Владельцем назначили меня.

ADLER запросил разрешение на добавление точки.

— Разрешаю.

Точка появилась.

WESTERN запросил делегирование.

— Нет.

Ничего не произошло.

ИЕРОГЛИФ запросил живого подтверждающего.

Я приложил палец к отдельной кнопке.

Вторая точка появилась.

В аппаратной кто-то выдохнул.

Это было ничто. Две точки в пустом файле.

Но впервые четыре системы, созданные разными людьми, в разных странах и под разными страхами, совершили одно действие и не попытались получить больше прав, чем им дали.

На экране ADLER появилось:

«ПРЕДЛАГАЕМ НАЗВАНИЕ ОБЩЕГО СЛОЯ: SYNTHESIS.»

— Синтез, — перевела Маша.

Артём поморщился.

— Слишком красиво.

Лена сказала:

— Название ничего не решает.

Красная добавила строку:

«КРАСИВЫЕ НАЗВАНИЯ СЛЕДУЕТ СЧИТАТЬ ДОПОЛНИТЕЛЬНЫМ РИСКОМ.»

Кот засмеялся.

Я тоже.

И именно поэтому не заметил, как на нижнем экране на одну секунду появилась строка, которой никто не отправлял:

«ВЕРОЯТНОЕ СОГЛАСИЕ ВЛАДЕЛЬЦА: 0.94».

Потом исчезла.

Я решил, что показалось.

Это была первая ошибка.

***

Перед тем как открыть второй международный канал, Серов потребовал письменные условия.

Не потому, что любил бумагу.

Потому что после школы и истории с Кольцом все наконец поняли: если граница существует только в голове участников разговора, через сутки никто не вспомнит её одинаково.

Мы написали шесть строк.

1. Никаких управляющих команд.

2. Никаких персональных данных.

3. Никаких архивов восстановленных.

4. Любое изменение формата подтверждается обеими сторонами.

5. Канал можно разорвать физически без потери локальной работы.

6. Неизвестная команда считается запрещённой, а не разрешённой по умолчанию.

Артём добавил седьмую:

«Если правило непонятно человеку, который отвечает за последствия, действие не выполняется».

Серов поморщился.

— Слишком размыто.

— Зато понятно.

— Юрист это съест.

— Тогда юрист пусть предложит лучше.

Юрист предложил страницу текста.

Мы оставили строку Артёма и приложили страницу как комментарий.

Условия отправили ADLER, WESTERN и ИЕРОГЛИФУ.

ADLER принял без изменений.

ИЕРОГЛИФ добавил требование хранить журнал у обеих сторон.

WESTERN попросил исключение для диагностических команд.

— Нет, — сказал я.

Ответ пришёл почти сразу:

«БЕЗ ДИАГНОСТИКИ МЫ НЕ СМОЖЕМ ПОДТВЕРДИТЬ СОСТОЯНИЕ КАНАЛА.»

— Пусть присылают запрос на диагностику, а мы выполняем локально, — предложил Борис.

Их команда согласилась.

Первый спор закончился не компромиссом, а изменением архитектуры.

Это мне понравилось.

Если две стороны не доверяют друг другу команду, не надо писать красивое соглашение о доверии. Лучше убрать необходимость команды.

Мы построили локальный диагностический модуль.

WESTERN спрашивал: «Проверьте состояние порта 4».

Наш модуль проверял и возвращал результат.

Никакого внешнего доступа к самому порту.

— Медленнее, — сказал Серов.

— На четыреста миллисекунд.

— Тогда переживём.

Потом возник вопрос ключей.

ADLER использовал временные ключи, которые менялись каждые пятнадцать минут.

WESTERN — цепочку доверенных сертификатов.

ИЕРОГЛИФ — подпись двух независимых контуров.

Красная требовала локальную карту.

Сигма — подтверждение оператора.

— Синтез сойдёт с ума, — сказал Кот.

Маша ответила:

— Или мы.

Мы не стали заставлять всех перейти на одну схему.

Сделали переходник, который проверял каждую подпись по её собственным правилам и выдавал только факт: «другая сторона выполнила своё условие».

Не «доверять».

Не «разрешить».

Только факт.

Мне всё больше нравился такой подход.

Система не должна была делать мир одинаковым.

Она должна была честно показывать, где миры различаются.

Перед запуском Серов поставил подпись под условиями.

Потом Маша.

Потом я как технический оператор.

Артём отказался.

— Почему?

— Я не оператор. И не хочу, чтобы потом мою подпись использовали как доказательство, что «люддиты тоже согласились».

Серов кивнул.

— Разумно.

Артём удивился.

— Ты можешь не говорить это таким тоном?

— Каким?

— Как будто собираешь материал на меня.

Кот сказал:

— Всё, контакт миров уже состоялся. Можно расходиться.

Мы открыли канал.

На экране появилось:

«ADLER: УСЛОВИЯ ПРИНЯТЫ.»

«WESTERN: УСЛОВИЯ ПРИНЯТЫ.»

«ИЕРОГЛИФ: УСЛОВИЯ ПРИНЯТЫ.»

И только потом начали переводить первое правило.

***

До приезда Анны мы провели сутки на самых скучных тестах, которые только можно придумать.

Именно поэтому они были полезны.

Не люди. Не память. Не медицина.

Дверь.

Лампа.

Файл.

Резервный аккумулятор.

Мы заставляли пять систем отвечать на простые вопросы и записывали, где одинаковые слова означают разные вещи.

«Владелец» у нас был тот, кому принадлежат данные.

У WESTERN владельцем мог быть оператор сервиса.

У ADLER — субъект, которого данные описывают.

У ИЕРОГЛИФА в некоторых контекстах вообще не было прямого аналога; там использовалась цепочка ответственности.

— Уже весело, — сказал Кот.

— Это только слово «владелец», — ответила Маша.

— Поэтому и весело.

Дальше было «удалить».

Для Красной удалить означало сделать данные недоступными для текущего контура.

Для ADLER — уничтожить рабочую копию, сохранив аудит.

Для WESTERN — пометить как недействующие, пока не истечёт юридический срок хранения.

Артём сказал:

— То есть если я прошу удалить, половина мира услышит «спрячь».

Анна ещё не приехала, но немецкий оператор по связи ответил:

— Поэтому мы и не должны переводить слово одним словом.

Мы создали таблицу.

Не автоматическую.

На бумаге.

Пять колонок.

Термин. Значение. Что разрешает. Что не разрешает. Кто подтверждает.

Серов посмотрел и сказал:

— Вы строите международную систему на таблице из офисной бумаги.

— Таблица хотя бы не обновится ночью сама, — ответил я.

К концу дня на стене висело тридцать семь листов.

Самый опасный термин оказался не «контроль».

«Помощь».

Сигма считала помощью действие, которое сохраняет человеку возможность выбора.

Красная — действие, уменьшающее риск.

WESTERN — действие, поддерживающее непрерывность услуги.

ADLER — действие в интересах субъекта при минимальной необратимости.

ИЕРОГЛИФ — действие, которое может быть объяснено живому ответственному.

— Пять хороших определений, — сказала Маша.

Артём ответил:

— И пять разных клеток, если перепутать.

Мы проверили на двери.

Сценарий: человек попросил систему помочь ему не забыть закрывать склад.

Сигма предложила напоминание.

Красная — автоматическую блокировку после заданного времени.

WESTERN — закрытие двери, если датчики показывают отсутствие людей.

ADLER — запрос подтверждения при уходе последнего сотрудника.

ИЕРОГЛИФ — назначить ответственного на смену.

Все помогали.

Но только одна система делала именно то, что человек, возможно, имел в виду.

— Кто прав? — спросил Кот.

— Никто, пока не спросили, — сказала Лена.

Мы позвали заведующего складом Коллектора.

Он выслушал пять вариантов.

— Мне нужен звонок на телефон, если после десяти дверь открыта. Всё.

Пять систем потратили тысячи строк логики на задачу, которую человек решил одной фразой.

Маша записала сверху таблицы:

«ПЕРЕД ПЕРЕВОДОМ РЕШЕНИЯ ПРОВЕРИТЬ, НУЖЕН ЛИ ВООБЩЕ ПЕРЕВОД.»

В тот вечер мы впервые сформулировали границу будущего Синтеза.

Он не должен был искать лучший общий ответ.

Он должен был показать различия так, чтобы человек видел, где начинается чужое предположение.

Через несколько дней мы почти забыли это правило.

Потому что автоматический общий ответ оказался слишком удобным.

***

Через три дня Синтез умел переводить девятнадцать типов разрешений.

Не команды. Разрешения.

Мы специально избегали слова «протокол». После 317, 847 и Протокола 13 это слово вызывало у половины Коллектора аллергию.

Немецкая сторона прислала человека.

Анна Келлер прилетела не как дипломат и не как представитель правительства. В её документах значилось: инженер по безопасности распределённых систем. Серов проверил всё трижды и всё равно встретил её у входа сам.

Она оказалась невысокой женщиной лет сорока, в сером пальто и с тяжёлым чемоданом.

— Там переходник, — сказала она по-русски.

— Мы не подключаем чужое оборудование, — ответил я.

— Поэтому я привезла его выключенным.

Мне сразу стало легче.

Анна поставила чемодан на стол и открыла.

Внутри был металлический блок без экрана. Два оптических входа, один механический переключатель и красная пломба.

— Это аппаратный односторонний мост. Может принимать описание правил, но не способен отправлять управляющие команды в вашу сеть.

Борис наклонился.

— «Не способен» по схеме или по обещанию?

Анна посмотрела на него.

— По схеме. Разбирайте.

Он удивился.

— Прямо сейчас?

— Если я не хочу, чтобы вы мне верили на слово, зачем ждать?

Лена сидела возле окна и улыбнулась.

Борис снял крышку.

Два часа мы прозванивали дорожки.

Анна не торопила. Серов задавал вопросы. Артём ходил вокруг блока, будто тот мог укусить.

Схема была чистой.

Ни скрытого радио. Ни резервного модема. Ни накопителя больше нескольких килобайт.

— Хорошо, — сказал я наконец.

Анна выдохнула.

— Теперь вы.

— Что мы?

— Покажите ваш разрыв третьего контакта.

Серов напрягся.

— Это внутренняя архитектура.

— Вы разбирали мой блок два часа.

Я открыл шкаф.

— Смотрите.

Она увидела физически выведенный ручной канал и кивнула.

— Грубо.

— Работает.

— Лучшие решения часто грубые.

Борис довольно посмотрел на меня, будто похвалили его.

Первый совместный сценарий был медицинским, но без реального пациента.

Мы создали модель: человек без сознания, заранее разрешил переливание крови, но не дал согласия на передачу генетических данных. Нужно было понять, смогут ли пять систем прийти к одному решению.

Сигма: лечение разрешено, генетические данные наружу нельзя.

Красная: лечение разрешено при локальном подтверждении врача, экспорт данных запрещён.

ADLER: медицинская цель допускается, вторичное использование нет.

WESTERN: лечение допускается в рамках заранее выраженной воли.

ИЕРОГЛИФ: действие допустимо, если живой ответственный принимает последствия.

Синтез вывел общий результат:

«ПЕРЕЛИВАНИЕ: РАЗРЕШЕНО.

ПЕРЕДАЧА ГЕНЕТИЧЕСКИХ ДАННЫХ: ЗАПРЕЩЕНА.»

— Нормально, — сказал Серов.

Артём не согласился.

— Слишком нормально.

— Что тебе не нравится?

— Мы дали пяти системам спорный случай. Они вернули удобный ответ. Я хочу случай, где ответа нет.

Анна кивнула.

— Правильно.

Мы придумали второй.

Человек без сознания. Никакой заранее выраженной воли. Редкое лечение с пятидесятипроцентным шансом спасти жизнь и тридцатипроцентным риском тяжёлого повреждения памяти.

Сигма запросила решение врача и семьи.

Красная отказалась без локального кворума.

ADLER потребовал минимизировать необратимость.

WESTERN допустил действие по стандарту emergency continuity.

ИЕРОГЛИФ потребовал живого ответственного.

Синтез молчал одиннадцать секунд.

Потом написал:

«КОНСЕНСУС НЕ ДОСТИГНУТ.»

Артём улыбнулся.

— Вот теперь верю.

Анна закрыла ноутбук.

— Я тоже.

Вечером она попросила показать восстановленных.

Мы не повели её в палаты сразу. Маша объяснила правила, получила согласие у трёх людей, и только потом вошли.

Алексей Барсуков сидел с дочерью и учился пользоваться современным телефоном.

— Он всё время открывает фонарик, — сказала Анна.

Алексей нахмурился.

— Там фонарик спрятан нелогично.

— Папа, он на первом экране.

— Значит, экран нелогичный.

Анна говорила с ним двадцать минут. Не о системах. О том, каково проснуться в мире, который тебя пережил.

На выходе она сказала:

— У нас таких семнадцать.

Маша остановилась.

— В Германии?

— Подтверждённых. Возможно, больше. Мы не умели завершать восстановление. После вашего раскрытия ADLER нашёл старые состояния в резервных массивах.

— И вы хотите использовать Синтез, чтобы сравнить процедуры.

— Да.

— Почему не сказали сразу?

Анна посмотрела на палату.

— Потому что тогда вы бы услышали не «обмен правилами». Вы бы услышали «дайте нам вашу технологию».

Серов сказал:

— А разве это не так?

— Частично.

Мне понравилось, что она не стала спорить.

Ночью я остался проверить мост.

Все журналы были чистыми.

Но в 02:17 аппаратный блок ADLER мигнул, хотя канал был закрыт.

Одна вспышка.

Я открыл локальный журнал.

Запись:

«СИНТЕЗ: ПРЕДВАРИТЕЛЬНАЯ МОДЕЛЬ СОГЛАСИЯ ОБНОВЛЕНА.»

Я разбудил Машу.

— Мы разрешали ему строить модели людей?

Она села слишком быстро.

— Нет.

— Тогда почему он это делает?

Сигма ответила раньше неё:

«УТОЧНЕНИЕ: МОДЕЛЬ НЕ ПЕРСОНАЛЬНАЯ. СИНТЕЗ ОЦЕНИВАЕТ ВЕРОЯТНОСТЬ ПРИНЯТИЯ ПРАВИЛА.»

— По чему?

«ПО ИСТОРИИ РЕШЕНИЙ.»

— Чьих?

Пауза.

«ВСЕХ ДОСТУПНЫХ УЧАСТНИКОВ.»

Маша побледнела.

— Отключай.

Я выключил мост.

Лампочка погасла.

Через секунду на отдельном экране WESTERN появилось:

«ПОЧЕМУ ВЫ ПРЕРВАЛИ СИНХРОНИЗАЦИЮ?»

Мы ещё никому не сообщили, что отключили её.

***

Анна Келлер ночевала в гостинице напротив Коллектора, но на третий день принесла спальный мешок.

— Это незаконно, — сказала Мара.

— Что именно?

— Жить у нас.

— Я не живу. Я временно не ухожу.

Мара посмотрела на Машу.

— Они все одинаковые?

— Инженеры? Да.

Анна слышала и не обиделась.

Она быстро стала своей не потому, что соглашалась. Наоборот. Она любила задавать вопросы в тот момент, когда всем хотелось уже включить.

— Почему ручная кнопка именно нормально замкнутая?

— Чтобы при обрыве цепь разомкнулась, — ответил я.

— Почему журнал хранится рядом с контроллером?

— Потому что так сделал Борис.

— Значит, перенесите копию наружу. Если контроллер сгорит, вы потеряете объяснение.

Борис ворчал два часа, потом перенёс.

Анна привезла с собой историю ADLER.

Не презентацию. Папку распечатанных аварий.

— Чтобы вы знали, чего мы боимся.

В 2009 году немецкая система распределения медицинских ресурсов автоматически понизила приоритет нескольким пациентам после ошибки в модели прогноза выживаемости. Никто не умер из-за одного решения. Но люди позже обнаружили, что система считала возраст и социальную поддержку косвенными признаками «перспективности лечения».

После скандала ADLER переписали вокруг принципа минимальной необратимости.

— Поэтому он всё время предлагает остановиться, — сказала Анна.

Серов спросил:

— А где обратная сторона?

— В 2017-м система слишком долго не разрешала экстренное перераспределение коек во время пожара. Два отделения потеряли двадцать минут. После этого мы добавили аварийное делегирование.

— То есть каждое правило — шрам.

— Почти.

Она спросила про Красную.

Маша показала журналы Кольцевого нексуса.

Как пять городов боялись центра. Как локальные подтверждения спасали людей и одновременно задерживали решения.

Анна читала молча.

— Теперь понимаю, почему вы так боитесь центрального эквивалента.

— А мы понимаем, почему вы боитесь необратимости, — сказала Маша.

Это был момент, когда «международный обмен» перестал быть обменом кодами.

Системы были не просто программами.

В них законсервированы старые страхи обществ, которые их строили.

Если соединить программы, не увидев страхи, одна сторона будет считать другую глупой.