Кризис доверия

[vitus_wagner]

realcorwin пишет серию постов о Чернобыле, сравнивая эту катастрофу с другими техногенными и природными катастрофами последнего столетия (начиная с Титаника).

И вот какие интересные мысли у него проскальзывают:

Под "сбоями взаимодействия" подразумеваются аварии, когда действия экипажа, сами по себе, вполне разумны, и все системы самолета работают исправно, но "плюс" на "плюс" совершенно неожиданно дает "минус". Такое было совершенно невозможно в машинах 1950 – начала 1970-х годов, которые "по определению" подчинялись воле пилота. Но с появлением различной автоматики безопасности, призванной уберечь машину от возможных грубых ошибок человека, с удивительным постоянством стали возникать ситуации, которые пилот и автоматическая система оценивали по-разному. В результате, часть команд летчика блокировалось автоматикой – с вполне однозначным результатом. Например, автоматика А-320 не распознала касание земли при посадке самолета в Варшавском аэропорту и отказалась выпустить спойлеры и включить реверс двигателя

То есть разработчики и покупатели техники не доверяют профессионалам, эту технику эксплуатирующим.
Вы думаете почему я так возвмущаюсь по поводу dbus, udev и прочих подобных нововведений в Linux? А потому что та же самая тенденция. Но в случае персональных компьютеров - она ещё более абсурдна. Получается что владелец компьютера не доверяет сам себе, вернее доверяет разработчику софта больше, чем самому себе. Да, конечно, в чем-то разработчик более компетентен. Да, конечно, есть ситуации когда надо защищаться от собственных ошибок. Но невозможность в некоторый конкретный момент взять управление на себя, сказать "делай как я сказал! Сейчас Я знаю, что все твои алгоритмы фигня, а делать надо так-то" - это мина замедленного действия, заложенная в техническую систему.

Там же:

Высокое информационное сопротивление советской пирамиды власти сыграло значительную роль в усугублении последствий катастрофы и, в частности, вызвало задержку эвакуации и переоблучение населения, но, во-первых, этот фактор компенсировался высокой организованностью процедуры эвакуации. И, во-вторых, информационное сопротивление американской управляющей системы оказалось приблизительно таким же в Нью-Йорке 11 сентября 2001 года или в Нью-Орлеане летом 2005 года. Кризис управления характеризует современный этап развития индустриальной цивилизации и равным образом проявился для всех ведущих промышленных стран.

Так причина-то та же самая. Социальная пирамида - это тоже такая машина, созданная людьми и управляемая людьми. И если создатели не доверяют конкретным операторам, а операторы - друг другу, информационное сопротивление неизбежно будет высоким.


Аналогичная тема у меня вылезла недавно в одной политической дискуссии. rblaze заявил "Не доверяю я народу". Э, а кому ещё доверять?

Comments

[alexkuklin.livejournal.com]

По поводу технологий типа dbus и udev - ты неправ, имхо.
Оно нужно, и в варианте линукса оно хотя бы легко изучаемо, в отличие от виндов - достаточно в скрипты нос сунуть. Мое возмущение по этому поводу - связано скорее с тем, что я не удосужился release notes прочитать, хотя стоило. :)

Переключить на "сделай, как я сказал" - как раз в линуксе можно. В отличие от.


Что касается авиакатастроф - как раз наоборт, большая часть сейчас происходит потому, что пилот не слушает машину. Если не знаешь, почитак hectop - много интересного.

[nasse.livejournal.com]

Мне попадались некоторые линуксовые дистрибутивы (какие-то редхатоиды), которые при запуске гуевых конфигурилок нафиг теряют с любовью вписанные от руки фрагченты конфигов. И логика у них какая-то странная...

[alexkuklin.livejournal.com]

Это совсем другая грань проблемы.

[dottedmag.livejournal.com]

А детскими ножничками, забранными в пластмассу, нельзя резать металл. Вот ведь жалость.

[vitus_wagner]

Что касается авиакатастроф - как раз наоборт, большая часть сейчас происходит потому, что пилот не слушает машину.

В каком смысле "слушает машину"? Так как ты в автомобиле слушаешь шумы в двигателе и подвеске?
Ну нафига ему её слушать, если сделать ничего кроме того, что и так сделает автоматика он не может?

Или в смысле не слушается подсказок автоматики? Ну так при сколько нибудь нештатной ситуации ценность этих подсказок сомнительна. История про то, что на том же A310 сделали сигнализацию о достижении критического угла атаки не слишком назойливой, чтобы пилотны "не пугались", а в результате они её просто не замечают и самолет сваливается в штопор - широко известна.

[alexkuklin.livejournal.com]

> Или в смысле не слушается подсказок автоматики?
выключает автопилот и пытается "вырулить" сам.
почитай hectop, он публикует результаты работы комиссий.
для современных самолетов там подряд "вопреки инструкциям системы...", "выключил автопилот..." и т.п.

[chaif.livejournal.com]

делигирование ответственности это вообще очень большая проблема.

[dottedmag.livejournal.com]

apt-get source dbus
apt-get source udev

Где недоверие?

Или поднятие сетевого интерфейса КБНДП ядру - это доверие, а поднятие сетевого интерфейса КБНДП userspace-скрипту - это недоверие?

Общение софта через дюжину различных IPC - это доверие, а через dbus - это недоверие?

Не понимаю.

[vitus_wagner]

А потом долго долго RTFS, потому что TFM они написать забыли.
Извини меня, у той дюжины различных IPC в совокупности API проще, чем у одного DBUS.

Базовая идея DBUS хороша. Реализация (на уровне протокола) - ублюдочна, на уровне библиотеки - не заслуживает никаких слов кроме таких, каких я в своём журнале не употребляю, а на уровне шелловских утилит - вообще отсутствует.

Проблема в том, что недоверие заложено в дизайн этих хреновин. Вот в оригинале у Кернигана и Томпсона было заложено доверие. Все было достаточно просто чтобы понять и им пользоваться. А здесь желание сделать чтобы понимать было не надо, в результате если понять всё-таки надо, это слишком сложно.

[ramendik]

В Чернобыле система безопасности была отключена вручную. С тем самым результатом.

[kastaneda]

Единственное, что более-менее точно известно про ход событий на ЧАЭС — что реактор взорвался именно потому, что была запущена аварийная защита АЗ-5. То есть, аварийная зашита сработала полностью противоположным образом. Только по этому поводу нет разногласий. Хронология событий в версии военных, версии Легасова и версии Дятлова — разная. Оценка действий операторов реактора — вообще полярная (от «грубо нарушили всё что можно» до «высококвалифицированные специалисты»). Желающие разобраться могут почитать журнал viur.

[yarikas.livejournal.com]

Теперь при электропередаче на вал часто ставят в похвалу наличие автоматического устройства, останавливающего машину помимо вахты. По этому поводу я всегда привожу слова Макарова: "Пусть машина запищит или завизжит, т.е. даст громкий звуковой сигнал, но остановлена она может быть только с вахты". (http://vivovoco.rsl.ru/VV/PAPERS/BIO/KRYLOV/KRYLOV_24.HTM)

Достаточно прочитать там чуть выше по тексту, чтобы понять, что автоматика прекрасно заменяет глупого, но исполнительного человека. Отсюда опять приходим к вопросу образования.

[vitus_wagner]

Автоматика, которая заменяет глупого и исполнительного человека, выполняя команды умного человека - это правильно. Вопрос в том, что автоматику пытаются заставить заменять собой неглупого человека, выполняющего команды человека глупого. Соответственно, такой Фигаро уже не может быть просто исполнительным, он должен быть себе на уме. Что и приводит к проблемам, когда интеллект оказывается неестественным, а то и противоестественным. См. по этому поводу мою статью О вреде дружественных интерфейсов

[demongl.livejournal.com]

"Э, а кому ещё доверять?"

Только себе да и то с оговорками.

[vitus_wagner]

Не получается, увы. Мы в обществе живем, а не на отдельном необитаемом острове каждый.

[dph.livejournal.com]

Мелкий комментарий - эта серия постов realcorwin по большей части цитаты из книги Х. Селдона
(т.е., Сергея Переслегина и других авторов).
О чем автор постов, разумеется, упомянул и что ни в малейшей степени не снижает уважение к этой серии постов.

[vitus_wagner]

То-то я больно знакомые рассуждения про постиндустриализм и сценарность там наблюдаю.

[slobin.livejournal.com]

Если я не спутал с прямым углом, эта книга есть (была три недели назад) в Библиоглобусе.

... На этой охоте вообще не в обычае шум ...

[zpt.livejournal.com]

Вы думаете почему я так возвмущаюсь по поводу dbus, udev и прочих подобных нововведений в Linux?
Насколько я помню, в линуксе бывают ситуации, когда нельзя удалить файл даже командой rm -f. Или я не прав и такого не бывает?

[vitus_wagner]

По-моему, это проходит по категории глюков драйверов. (если, конечно речь идет не о chattr +i - тогда это feature).

[slobin.livejournal.com]

Пара цитат противоположной направленности, чтобы было непонятно, что я сам думаю: ;-)

1. Вмешивайся в работу тактического компьютера, только если у тебя есть информация, которой у него нет.
2. У тебя никогда нет такой информации.
(Откуда-то из Буджолд)

Все успешные (не обязательно коммерчески, но оказавшие влияние на представления о возможном) языки доверяли программисту - C, Lisp, Smalltalk. (Paul Graham, какая-то из статей про Arc).

... Разноцветье слов и стали ...

from Mike

[(Anonymous)]

Мм... Кирилл, а причем здесь весьма средняя писательница Буджолд? Не говоря уж о том, что описываемая ей ситуация характерна тем, что нужно высокое быстродействие системы, причем "приказ принятый и исполнимый считается условно правильным". То есть на самом деле даже в этой ситуации военные пока к АИ относятся с обоснованной настороженностью, но сама специфика ситуации - сильно отличается от рассматриваемых.
Во втором случае, кстати, цитата тоже "веселая" - по сути, Грэхем утверждает, что этим свойством обладали те языки, которые он лично отобрал по неясному критерию. Не был ли это тот же критерий "доверия программисту"? %)

[silly_sad.livejournal.com]

> Но невозможность в некоторый конкретный момент взять управление на себя, сказать "делай как я сказал! Сейчас Я знаю, что все твои алгоритмы фигня, а делать надо так-то" - это мина замедленного действия, заложенная в техническую систему.


оказывается вы тоже против винды !

НО
в чернобыле именно так и сделали: вручную и против указаний выданных машиной и против инструкций созданных создателями реактора. И в ручную же потом не смогли ничего исправить.

Такчто проблема гораздо сложнее.

Мне кажется, что в случае с реактором конфликт между оператором и машиной надо всегда разрешать в пользу машины потому что в этом случае управляемый процесс:
1) принципиально быстрее реакции человеческого мозга
2) необратим
3) полностью ненаблюдаем человеком

В случае с управлением операционной системой, напротив, оператору доверия больше, потому что:
1) процесс всегда можно остановить и подумать
2) он теоретически обратим
3) он недоступен познанию машиной, потому что он по отношению к машине НЕ ВНЕШНИЙ.

так что напрасно вы все нахрен смешиваете.

from Mike

[(Anonymous)]

А вот тут не могу не согласиться. Ситуации - разные. Кстати, ситуация с автопилотом по указанным параметрам - где-то посередине. При этом в принципе можно докинуть и еще параметров, хотя, по первому впечатлению, эти - основные.
Правда, даже в случае реактора есть еще один нюанс - а) ядерные реакции познаны все же не до конца, а алгоритм работы автоматики еще и огрубляет известные теории (и не может этого не делать) и б) конструктивные особенности имеющегося физического устройства алгоритмом машины не рассматриваются (если этого не заложил автор алгоритма, на что гарантии нет) - см. пример с полыми концами стержней. Разумеется, у автора алгоритма времени больше, чем у оператора - но все же не настолько много, чтобы предусмотреть все возможные случаи...

[(Anonymous)]

Дятлов в своё время достаточно чётко описал в, как он это назвал, "статье":
1. Они не нарушали инструкций, поскольку запрета работы реактора на малых мощностях не было.
2. Их действия были продиктованы Программой (и они не сами эту Программу выдумали - пришла сверху, в т.ч. в её создании участвовали создатели РБМК-1000 в его изначальной "редакции").
3. Основополагающая причина аварии: это преступный конструкторский просчёт (или недочёт), нарушивший множество инструкций, стандартов и прочих документов, руководящих проектными и строительными работами по созданию ядерных реакторов. Виновники даже близко не стояли со скамьёй подсудимых. К примеру, довольно красноречивое сравнение самого Дятлова педали тормоза автомобиля с кнопкой АЗ-5. Нажимаете на тормоз в своём автомобиле, а вместо этого машина ускоряется, что есть немыслимый бред.