— Для непосредственной угрозы жизни нужен отдельный режим, — сказал Мальцев.
— Нет, — ответила Наталья Андреевна.
— Человек без сознания не может дать согласие.
— Поэтому вмешательство должно ограничиваться сохранением жизни и не затрагивать личность.
— Кто определит границу?
— Заранее согласованные правила. Такие же, как в медицине.
— Сейчас нет времени создавать законы.
— Тогда нельзя давать неизвестной системе право действовать вместо них.
Мальцев повернулся ко мне.
— Ваше мнение?
— Аварийный пакет может содержать только физическое состояние и разрешать минимальное воздействие до восстановления способности решать.
— Это уже ограничение личности без согласия, — сказала Наталья Андреевна.
— Врач останавливает кровотечение у человека без сознания.
— Да. Но не меняет его характер, память или класс.
Мы закрепили границу.
АВАРИЙНАЯ СВЯЗЬ:
— ТОЛЬКО ПРИ НЕПОСРЕДСТВЕННОЙ УГРОЗЕ ПРЕКРАЩЕНИЯ БИОЛОГИЧЕСКОЙ АКТИВНОСТИ
— МИНИМАЛЬНОЕ НЕОБХОДИМОЕ ВМЕШАТЕЛЬСТВО
— ЗАПРЕТ НА КОПИРОВАНИЕ ЛИЧНОСТИ
— ЗАПРЕТ НА ИЗМЕНЕНИЕ ПАМЯТИ И САМООПИСАНИЯ
— АВТОМАТИЧЕСКОЕ ПРЕКРАЩЕНИЕ ПОСЛЕ СТАБИЛИЗАЦИИ
Система обработала.
УСЛОВИЯ ДОПУСТИМЫ
— Уже лучше, — сказала Кира.
Следующая проблема была сложнее.
Чтобы сеть не имела центра, нужно было создать первый замкнутый контур.
Не менее трёх независимых узлов.
— Почему трёх? — спросила Кира. — Двое тоже могут разговаривать напрямую.
— Могут, — сказал Левин. — Но это ещё не сеть в нужном нам смысле.
Он нарисовал две точки и линию между ними.
— Здесь существует ровно один маршрут. Убери один узел или сам канал — структуры больше нет.
Рядом появились три точки, соединённые треугольником.
— А здесь впервые возникает цикл. Между каждой парой участников существует прямой путь, а сам контур не определяется одним посредником.
— Но если убрать одного из трёх, останутся только двое.
— Да. Сеть станет хуже, но не потеряет сам принцип связи.
Лина Николаевна увеличила схему.
— Нам нужна не просто децентрализация. Нам нужна связность, переживающая отказ отдельных участников.
— То есть каждый важный маршрут должен иметь запасной?
— В зрелой сети — несколько. Причём желательно таких, которые не проходят через одни и те же промежуточные узлы. Иначе два нарисованных маршрута на самом деле имеют одну точку отказа.
Мальцев посмотрел на треугольник.
— А три — это только минимальная конструкция.
— Да, — сказал Левин. — Первый цикл. Не готовая сеть.
Но оставалось второе условие: каждый узел должен был уметь передать сообщение другому, не изменяя его.
Система предложила:
меня;
Саэля;
Корректора.
— Нет, — сказала Кира.
— Что теперь?
— Два из трёх узлов не являются людьми. Один из них уже пытался стереть тебе личность.
Корректор повернул гладкую голову.
КОРРЕКТИРУЮЩАЯ ФУНКЦИЯ НЕ СОДЕРЖИТ НАМЕРЕНИЯ
— От этого легче.
Саэль не возражал.
После утраты большей части Хора он оставался лучшим хранителем карты направлений. Он мог видеть маршруты, недоступные земным носителям.
Корректор умел находить искажения.
Я сохранял несовместимые описания.
Вместе мы действительно образовывали минимальный контур.
— Но контроль должен быть у людей, — сказал Мальцев.
— Тогда это снова центр, — ответила Лина Николаевна.
— Я говорю не о контроле. О возможности остановить.
— Участники должны останавливать собственные связи.
— А если один узел станет опасным?
— Остальные перестанут передавать через него.
— Если не успеют?
Кира сказала:
— Тогда Корректор отметит несоответствие.
— А кто решит, что делать?
— Каждый локальный контур отдельно.
Мальцев покачал головой.
— Вы строите систему, которая будет медленно реагировать на угрозу.
— Да, — сказал я.
— Почему вы произносите это как преимущество?
— Потому что Система слишком быстро решала, кого исправлять.
Левин покачал головой.
— Только давайте не смешивать две разные вещи. Обходные маршруты защищают сеть от отказа узла. Задержка ничего от отказа не защищает.
— Тогда зачем она?
— От другого типа ошибки. От слишком быстрого согласия.
Он указал на две части схемы.
— Здесь у нас отказоустойчивость: один участник исчез — информация идёт другим путём. А здесь защита от ложного решения: один участник объявил что-то ошибкой — остальные не обязаны немедленно подчиняться его выводу.
— Поэтому три подтверждения? — спросил Мальцев.
— На первом этапе. Мы исходим из того, что один из подтверждающих контуров может ошибаться, иметь повреждённую модель или неполные данные.
— А если ошибаются два?
— Тогда эта схема уже ничего не гарантирует.
Мальцев усмехнулся.
— Наконец-то честная характеристика системы.
— Любая отказоустойчивость начинается с ответа на вопрос, сколько отказов вы обещаете пережить. Фраза «система надёжна» сама по себе ничего не означает.
Корректор обработал фразу.
ЗАМЕДЛЕНИЕ РЕАКЦИИ ПОВЫШАЕТ РИСК РАСПРОСТРАНЕНИЯ ОШИБКИ
— И снижает риск исправить то, что ошибкой не является.
ПОДТВЕРЖДЕНИЕ
Мы добавили обязательную задержку для любого вмешательства, не связанного с непосредственной угрозой жизни.
Три независимых подтверждения.
Право носителя увидеть причину.
Право отказаться.
Право потребовать повторную проверку другим контуром.
— Бюрократия, — сказал Мальцев.
— В распределённых системах это два разных механизма защиты. Резервные маршруты — от отказа узла. Независимые подтверждения — от ошибочного решения, — ответил я.
— В государстве тоже. Только обычно менее честно.
К вечеру схема была готова.
Система всё ещё не считала её первичным узлом.
СТРУКТУРА СОДЕРЖИТ НЕСКОЛЬКО НЕЗАВИСИМЫХ ЦЕЛЕЙ
— Так и задумано.
ОТСУТСТВУЕТ ГАРАНТИЯ ДОСТАВКИ
— Доставка только по согласию.
ОТСУТСТВУЕТ ЦЕНТРАЛЬНЫЙ МЕХАНИЗМ КОРРЕКЦИИ
— Коррекция не должна быть центральной.
ОТСУТСТВУЕТ ЕДИНАЯ МОДЕЛЬ НОСИТЕЛЕЙ
— Именно.
Система повторила:
СТРУКТУРА НЕ МОЖЕТ БЫТЬ КЛАССИФИЦИРОВАНА КАК УСТОЙЧИВАЯ СЕТЬ
— Кем не может? — спросила Лина Николаевна.
СЕТЬЮ ВОССТАНОВЛЕНИЯ
— А земным атласом?
Пауза.
ЗЕМНОЙ АТЛАС НЕ СОДЕРЖИТ ОПРЕДЕЛЕНИЯ УСТОЙЧИВОЙ СЕТИ
— Тогда добавим.
Мы сформулировали:
Устойчивая сеть — структура, сохраняющая возможность передачи состояний внутри максимально возможных связных частей при отказах в пределах заданного класса повреждений, без обязательного сохранения любого конкретного маршрута, узла или общей цели.
Система возразила:
СТРУКТУРА МОЖЕТ РАЗДЕЛИТЬСЯ НА НЕСВЯЗАННЫЕ ЧАСТИ
— Да.
В ТАКОМ СЛУЧАЕ ГЛОБАЛЬНАЯ СВЯЗНОСТЬ БУДЕТ УТРАЧЕНА
— Но локальная останется, — сказал Левин. — Если связь Москвы с Томском исчезнет, это не причина уничтожать работающий контур между двумя больницами в Томске.
Лина Николаевна добавила:
— Мы не требуем, чтобы сеть любой ценой оставалась одним объектом. Разделение допустимо. Принудительное сшивание частей — нет.
ЧАСТЬ ИНФОРМАЦИИ МОЖЕТ БЫТЬ УТРАЧЕНА
— Да.
ОТДЕЛЬНЫЕ УЧАСТНИКИ МОГУТ ОТКАЗАТЬСЯ ОТ ПОМОЩИ
— Да.
ТАКАЯ СЕТЬ НЕ ОБЕСПЕЧИВАЕТ МАКСИМАЛЬНОЕ СОХРАНЕНИЕ
— Она обеспечивает добровольное сохранение.
Левин посмотрел на меня.
— Система не понимает, зачем сеть, которая допускает собственный распад.
— Последний импульс объяснял.
Связь должна сохранять право на отключение.
Мы добавили его как базовое условие.
КАЖДЫЙ УЧАСТНИК МОЖЕТ ПРЕКРАТИТЬ СВЯЗЬ
