Часть 4. 594 слова

— Хорошо, — сказала Майя. — Теперь моя очередь. Ты взял три вполне разумные вещи и доказал ими, что чаще ошибаются люди. Я возьму те же три вещи и докажу обратное.

— Уже интересно.

— Первое. Ты насчитал семьдесят пальцев и решил, что количество возможностей нажать не туда работает против людей. Отлично. Тогда считаем до конца. На семерых человек у нас приходится не семьдесят, а тысячи датчиков, контактов, клапанов, приводов, реле, контроллеров, линий связи и программных процедур. Каждый из них что-то измеряет, сравнивает, открывает, закрывает, переключает или подтверждает без всяких пальцев. Причём человек работает смену, потом ест, спит, отдыхает и несколько часов вообще ничего не нажимает. У техники рабочее время гораздо длиннее: жизнеобеспечение, терморегуляция, навигационные датчики, вычислительные контуры и автоматика не уходят спать после вахты. Один человеческий палец ещё должен дотянуться до кнопки, а контакт в реле может сработать сотни раз, пока его владелец спокойно лежит в койке. И ни один датчик не понимает, зачем он сейчас что-то измеряет: он просто выполняет свою маленькую операцию снова и снова. Человек хотя бы иногда способен остановиться и подумать, а датчик будет добросовестно ошибаться всю смену, которой у него вообще нет. Если сама численность действий повышает шанс ошибки, то техника проигрывает людям с таким счётом, что твои семьдесят пальцев даже на табло не поместятся. Поэтому статистически подозревать людей только потому, что они много делают, несправедливо: оборудование делает несравнимо больше и делает это дольше.

Тимофей выслушал до конца.

— Нет. Ты приравняла любое срабатывание элемента к человеческому действию. Так вероятность отказа не считают. У реле есть ресурс, у датчика — допустимая погрешность, у системы — интенсивность отказов. Сто тысяч нормальных срабатываний не превращаются в сто тысяч возможностей ошибиться только потому, что тебе так удобнее.

— А семьдесят пальцев, значит, превращаются?

— Пальцы были иллюстрацией.

— Прекрасно. Это тоже иллюстрация. Только у меня участников больше.

Тимофей посмотрел на неё с подозрением, но Майя была совершенно серьёзна.

— Второе. Ты объявил резервирование доказательством надёжности техники. А я утверждаю обратное: резервирование позволяет технике скрывать собственные ошибки. Отказал один датчик — система сравнила его показания с двумя соседними, выкинула странное значение и пошла дальше. Просел насос — второй подхватил нагрузку. Один канал дал сбой — пакет ушёл по запасному. В результате техническая ошибка была, но происшествия для экипажа как будто не было, потому что соседний узел её прикрыл. Да, запись останется в сервисном журнале, но в статистику нештатных ситуаций она попадёт совсем не так, как ошибка человека: корабль продолжил работу, тревоги не было, последствий не было. Для общей картины это почти идеальное исчезновение. Человек такой роскоши почти не имеет. Если Тимофей нажал не туда, рядом не возникает второй Тимофей, который тихо нажмёт туда и сделает вид, что первый вообще ничего не делал. Значит, техника постоянно получает возможность исправлять себя до того, как её проступок станет заметен, а человеческая ошибка сразу выходит на сцену и попадает в журнал. Это создаёт систематическое преимущество в статистике: машины могут ошибаться коллективно, потому что у них организовано взаимное алиби. Люди ошибаются поодиночке и поэтому выглядят виноватыми чаще. Так что резервирование не доказывает, что техника реже ошибается. Оно доказывает, что она лучше умеет не попадаться.

— Вот теперь ты обвиняешь резервные системы в сокрытии улик.

— В сокрытии последствий.

— Нет. Резервирование не прячет отказ. Оно не даёт отказу отдельного элемента превратиться в нештатную ситуацию. Сам отказ остаётся в сервисном журнале и учитывается в статистике надёжности. Ты смешала две разные вещи: отказ компонента и причину происшествия.

— Ничего я не смешала. Мы обсуждаем, почему в статистике происшествий люди оказываются виноваты чаще.

— Это называется отказоустойчивость. Именно ради этого резервирование и существует.

— Тимофей, ты сам только что доказывал надёжность техники тем, что её ошибки исправляет другая техника. Теперь я говорю то же самое, а тебе внезапно не нравится вывод.

Он открыл рот, потом закрыл.

— Продолжай.

— С удовольствием. Третье. Ты сказал, что при привычных действиях человеческое внимание может уйти смотреть туманность. Допустим. Но пока оно там любуется пейзажем, техника не перестаёт работать и вполне способна размножить одну неисправность в несколько новых. Поломки вообще очень удобно размножаются почкованием. Сначала датчик начинает чуть завышать значение — не настолько, чтобы поднять тревогу. Контур компенсации принимает это за реальность и меняет режим. Новый режим увеличивает нагрузку на соседний узел, тот нагревается, другой контроллер корректирует уже его, где-то появляется задержка, и через несколько минут экипаж видит совсем не тот симптом, с которого всё началось. Получается родословная: первичная неисправность, две дочерние компенсации, внучатая перегрузка и в конце человек, который получает странное показание и пытается вернуть систему в норму. Если его действие оказывается последним перед аварией, в отчёте очень удобно написать «ошибка экипажа», хотя к этому моменту техническая семья уже успела вырасти до нескольких поколений. И чем лучше автоматика умеет компенсировать отклонения, тем дольше эта семья может существовать незаметно. Ты называешь это каскадом. Я называю почкованием, потому что каскад течёт в одну сторону, а здесь проблемы расходятся по разным системам, каждая выращивает следующую и потом все вместе встречают человека у панели. После этого обвинять его одного — всё равно что ругать пожарного за то, что он последним вошёл в горящий отсек.

Тимофей несколько секунд молчал.

— Каскадный отказ существует. Почкование поломок — нет.

— Название тебя смущает?

— Меня смущает, что ты превратила техническую систему в семейство организмов. При расследовании каскада ищут инициирующее событие, последовательность отказов, условия, действия оператора. Последняя нажатая кнопка автоматически не становится причиной аварии.

— Значит, ты признаёшь, что до кнопки могла существовать целая цепочка технических проблем.

— Конечно.

— Тогда о чём мы спорим?

— О том, что из существования каскадных отказов не следует, что статистика систематически сваливает технические причины на людей.

Майя нахмурилась.

— Если в конце цепочки стоит человек, именно его действие видно лучше всего.

— Не обязательно. Для этого и существует анализ причин.

— Который проводят люди.

Майя выдержала паузу.

— Вот, коротко. Это мои аргументы.

Тимофей посмотрел на неё.

— И это, по-твоему, коротко? Это раза в три больше, чем я сказал.

— Ро-3, ты считал?

Ответ пришёл сразу:

— Пятьсот девяносто четыре слова. Это в 2,19 раза больше объёма предыдущей аргументации Тимофея.

Майя кивнула, будто получила именно тот результат, которого ожидала.

— Вот видишь, не так уж много слов надо, чтобы сломать твою стройную систему.

— Ты её не сломала.

— Тогда повтори, что в нашей нештатной ситуации виноват человек.