— Для непосредственной угрозы жизни нужен отдельный режим, — сказал Мальцев.

— Нет, — ответила Наталья Андреевна.

— Человек без сознания не может дать согласие.

— Поэтому вмешательство должно ограничиваться сохранением жизни и не затрагивать личность.

— Кто определит границу?

— Заранее согласованные правила. Такие же, как в медицине.

— Сейчас нет времени создавать законы.

— Тогда нельзя давать неизвестной системе право действовать вместо них.

Мальцев повернулся ко мне.

— Ваше мнение?

— Аварийный пакет может содержать только физическое состояние и разрешать минимальное воздействие до восстановления способности решать.

— Это уже ограничение личности без согласия, — сказала Наталья Андреевна.

— Врач останавливает кровотечение у человека без сознания.

— Да. Но не меняет его характер, память или класс.

Мы закрепили границу.

АВАРИЙНАЯ СВЯЗЬ:

— ТОЛЬКО ПРИ НЕПОСРЕДСТВЕННОЙ УГРОЗЕ ПРЕКРАЩЕНИЯ БИОЛОГИЧЕСКОЙ АКТИВНОСТИ

— МИНИМАЛЬНОЕ НЕОБХОДИМОЕ ВМЕШАТЕЛЬСТВО

— ЗАПРЕТ НА КОПИРОВАНИЕ ЛИЧНОСТИ

— ЗАПРЕТ НА ИЗМЕНЕНИЕ ПАМЯТИ И САМООПИСАНИЯ

— АВТОМАТИЧЕСКОЕ ПРЕКРАЩЕНИЕ ПОСЛЕ СТАБИЛИЗАЦИИ

Система обработала.

УСЛОВИЯ ДОПУСТИМЫ

— Уже лучше, — сказала Кира.

Следующая проблема была сложнее.

Чтобы сеть не имела центра, нужно было создать первый замкнутый контур.

Не менее трёх независимых узлов.

— Почему трёх? — спросила Кира. — Двое тоже могут разговаривать напрямую.

— Могут, — сказал Левин. — Но это ещё не сеть в нужном нам смысле.

Он нарисовал две точки и линию между ними.

— Здесь существует ровно один маршрут. Убери один узел или сам канал — структуры больше нет.

Рядом появились три точки, соединённые треугольником.

— А здесь впервые возникает цикл. Между каждой парой участников существует прямой путь, а сам контур не определяется одним посредником.

— Но если убрать одного из трёх, останутся только двое.

— Да. Сеть станет хуже, но не потеряет сам принцип связи.

Лина Николаевна увеличила схему.

— Нам нужна не просто децентрализация. Нам нужна связность, переживающая отказ отдельных участников.

— То есть каждый важный маршрут должен иметь запасной?

— В зрелой сети — несколько. Причём желательно таких, которые не проходят через одни и те же промежуточные узлы. Иначе два нарисованных маршрута на самом деле имеют одну точку отказа.

Мальцев посмотрел на треугольник.

— А три — это только минимальная конструкция.

— Да, — сказал Левин. — Первый цикл. Не готовая сеть.

Но оставалось второе условие: каждый узел должен был уметь передать сообщение другому, не изменяя его.

Система предложила:

меня;

Саэля;

Корректора.

— Нет, — сказала Кира.

— Что теперь?

— Два из трёх узлов не являются людьми. Один из них уже пытался стереть тебе личность.

Корректор повернул гладкую голову.

КОРРЕКТИРУЮЩАЯ ФУНКЦИЯ НЕ СОДЕРЖИТ НАМЕРЕНИЯ

— От этого легче.

Саэль не возражал.

После утраты большей части Хора он оставался лучшим хранителем карты направлений. Он мог видеть маршруты, недоступные земным носителям.

Корректор умел находить искажения.

Я сохранял несовместимые описания.

Вместе мы действительно образовывали минимальный контур.

— Но контроль должен быть у людей, — сказал Мальцев.

— Тогда это снова центр, — ответила Лина Николаевна.

— Я говорю не о контроле. О возможности остановить.

— Участники должны останавливать собственные связи.

— А если один узел станет опасным?

— Остальные перестанут передавать через него.

— Если не успеют?

Кира сказала:

— Тогда Корректор отметит несоответствие.

— А кто решит, что делать?

— Каждый локальный контур отдельно.

Мальцев покачал головой.

— Вы строите систему, которая будет медленно реагировать на угрозу.

— Да, — сказал я.

— Почему вы произносите это как преимущество?

— Потому что Система слишком быстро решала, кого исправлять.

Левин покачал головой.

— Только давайте не смешивать две разные вещи. Обходные маршруты защищают сеть от отказа узла. Задержка ничего от отказа не защищает.

— Тогда зачем она?

— От другого типа ошибки. От слишком быстрого согласия.

Он указал на две части схемы.

— Здесь у нас отказоустойчивость: один участник исчез — информация идёт другим путём. А здесь защита от ложного решения: один участник объявил что-то ошибкой — остальные не обязаны немедленно подчиняться его выводу.

— Поэтому три подтверждения? — спросил Мальцев.

— На первом этапе. Мы исходим из того, что один из подтверждающих контуров может ошибаться, иметь повреждённую модель или неполные данные.

— А если ошибаются два?

— Тогда эта схема уже ничего не гарантирует.

Мальцев усмехнулся.

— Наконец-то честная характеристика системы.

— Любая отказоустойчивость начинается с ответа на вопрос, сколько отказов вы обещаете пережить. Фраза «система надёжна» сама по себе ничего не означает.

Корректор обработал фразу.

ЗАМЕДЛЕНИЕ РЕАКЦИИ ПОВЫШАЕТ РИСК РАСПРОСТРАНЕНИЯ ОШИБКИ

— И снижает риск исправить то, что ошибкой не является.

ПОДТВЕРЖДЕНИЕ

Мы добавили обязательную задержку для любого вмешательства, не связанного с непосредственной угрозой жизни.

Три независимых подтверждения.

Право носителя увидеть причину.

Право отказаться.

Право потребовать повторную проверку другим контуром.

— Бюрократия, — сказал Мальцев.

— В распределённых системах это два разных механизма защиты. Резервные маршруты — от отказа узла. Независимые подтверждения — от ошибочного решения, — ответил я.

— В государстве тоже. Только обычно менее честно.

К вечеру схема была готова.

Система всё ещё не считала её первичным узлом.

СТРУКТУРА СОДЕРЖИТ НЕСКОЛЬКО НЕЗАВИСИМЫХ ЦЕЛЕЙ

— Так и задумано.

ОТСУТСТВУЕТ ГАРАНТИЯ ДОСТАВКИ

— Доставка только по согласию.

ОТСУТСТВУЕТ ЦЕНТРАЛЬНЫЙ МЕХАНИЗМ КОРРЕКЦИИ

— Коррекция не должна быть центральной.

ОТСУТСТВУЕТ ЕДИНАЯ МОДЕЛЬ НОСИТЕЛЕЙ

— Именно.

Система повторила:

СТРУКТУРА НЕ МОЖЕТ БЫТЬ КЛАССИФИЦИРОВАНА КАК УСТОЙЧИВАЯ СЕТЬ

— Кем не может? — спросила Лина Николаевна.

СЕТЬЮ ВОССТАНОВЛЕНИЯ

— А земным атласом?

Пауза.

ЗЕМНОЙ АТЛАС НЕ СОДЕРЖИТ ОПРЕДЕЛЕНИЯ УСТОЙЧИВОЙ СЕТИ

— Тогда добавим.

Мы сформулировали:

Устойчивая сеть — структура, сохраняющая возможность передачи состояний внутри максимально возможных связных частей при отказах в пределах заданного класса повреждений, без обязательного сохранения любого конкретного маршрута, узла или общей цели.

Система возразила:

СТРУКТУРА МОЖЕТ РАЗДЕЛИТЬСЯ НА НЕСВЯЗАННЫЕ ЧАСТИ

— Да.

В ТАКОМ СЛУЧАЕ ГЛОБАЛЬНАЯ СВЯЗНОСТЬ БУДЕТ УТРАЧЕНА

— Но локальная останется, — сказал Левин. — Если связь Москвы с Томском исчезнет, это не причина уничтожать работающий контур между двумя больницами в Томске.

Лина Николаевна добавила:

— Мы не требуем, чтобы сеть любой ценой оставалась одним объектом. Разделение допустимо. Принудительное сшивание частей — нет.

ЧАСТЬ ИНФОРМАЦИИ МОЖЕТ БЫТЬ УТРАЧЕНА

— Да.

ОТДЕЛЬНЫЕ УЧАСТНИКИ МОГУТ ОТКАЗАТЬСЯ ОТ ПОМОЩИ

— Да.

ТАКАЯ СЕТЬ НЕ ОБЕСПЕЧИВАЕТ МАКСИМАЛЬНОЕ СОХРАНЕНИЕ

— Она обеспечивает добровольное сохранение.

Левин посмотрел на меня.

— Система не понимает, зачем сеть, которая допускает собственный распад.

— Последний импульс объяснял.

Связь должна сохранять право на отключение.

Мы добавили его как базовое условие.

КАЖДЫЙ УЧАСТНИК МОЖЕТ ПРЕКРАТИТЬ СВЯЗЬ