Мост над пустым временем

Первый контейнер был без крышки, но с исправными стенками, маяком и полной копией управляющего блока. Второй состоял из крышки и замков, соединённых короткой рамой. Третий сохранял ровно половину силового каркаса. Четвёртый весил столько же, сколько штатный контейнер, и имел те же внешние размеры, но внутри его набрали из отдельных пластин, балласта и пустого герметичного мешка.

Каждый совпадал с целым по нескольким признакам. Ни один не был тем, что команда собиралась отправить.

Ина назначила имена не объектам, а ошибкам: «вид», «замыкание», «несущая доля», «масса». Рядом поставили пятый, исправный контейнер — контрольный. Внутрь всех пяти поместили по три химических индикатора, которые меняли цвет только при разгерметизации, нагреве или контакте с воздухом станции. Индикаторы ничего не должны были делать в Пустоте. Их задача была скромнее: доказать, что вышедшее состояние не придумано после получения результата.

— Если якорь отвергнет четыре ложных и примет контрольный, день закончен? — спросил Роск.

— Нет. Тогда мы узнаем, что именно эта пятёрка разделилась правильно. Правило должно быть известно до испытания и повторено Отсветом.

— Вы всё время отодвигаете доказательство.

— Я всё время называю его размер.

На стене шёл обратный отсчёт до окна внешнего полигона. Сам вход в Пустоту сегодня не открывали. Испытание проводили на модели распознавания якоря: две станции независимо получали описание объекта, строили паспорт выхода и решали, разрешён ли створ. Так можно было проверить логику, не теряя ещё одну вещь в области без времени.

Паспорта вчерашнего дня описывали контейнер перечнем величин. Масса — столько-то. Габарит — такой-то. Замки — закрыты. Маяк — на частоте. Ина видела теперь главный изъян: перечень признаков позволял собрать убедительную ложь из правильных частей.

— Нам нужны зависимости, — сказала она. — Не только что существует, но что с чем обязано быть связано.

Она увеличила схему контрольного контейнера. Крышка не просто имела нужную форму: четыре её замка должны были отвечать конкретным гнёздам корпуса. Герметичность должна была подтверждаться одновременно внутренним давлением и положением мембраны. Масса имела смысл только вместе с распределением нагрузки по шести опорам. Маяк считался частью объекта, только если получал питание из его шины и подписывал состояние тем же контрольным ключом.

— Родственные признаки, — предложил расчётчик.

— Свидетельства одного состояния, — поправила Сая. — Родство ничего не запрещает.

Ина записала: «связность свидетельств».

Роск вздохнул.

— Совет не поймёт этой фразы.

— Тогда объясним на крышке. Крышка существует, замки существуют, корпус существует. Но целое существует только тогда, когда замки держат именно этот корпус и подтверждают то же внутреннее давление.

— А если на выходе якорь достроит недостающее по паспорту?

Никто не ответил сразу.

Раньше этот вопрос сочли бы нелепым. После семи голосов Миры, отделившейся обшивки и руки, повернувшейся без движения, нелепость стала рабочей гипотезой.

— Мы не знаем, способен ли он что-то достраивать, — сказала Ина. — Поэтому паспорт не должен описывать желаемый результат. Только допустимое соответствие уже законченного состояния входа законченному состоянию выхода.

— То есть мост ничего не чинит, — сказала Сая.

— И ничего не завершает за нас.

— Включите это в запреты.

На экране появился ответ Леты, отправленный до вопроса Роска:

— Отсвет предлагает считать целым не набор параметров, а замкнутую систему проверок. Если хотя бы один признак нельзя подтвердить двумя независимыми свидетельствами, объект не получает разрешения.

Ина улыбнулась задержанному совпадению мыслей и тут же перестала улыбаться. Два свидетельства для каждого признака удваивали датчики, массу и число возможных отказов. Красивое правило могло сделать реальный объект непроверяемым.

— Возражение, — сказала она для следующего пакета. — Независимость нужна не каждому винту. Нужен минимальный набор признаков, потеря любого из которых меняет тождество или безопасность объекта.

— Кто определит тождество? — спросила Сая.

— Отправитель.

— Тогда отправитель всегда назовёт удобное.

— Получатель тоже.

— Тогда они могут назвать разное.

— И вход не откроется.

Сая кивнула. Это было не согласие с формулировкой, а признание того, что в ней появился настоящий запрет.

Они разделили паспорт на три контура. Контур существования отвечал на вопрос, вышел ли тот же ограниченный объект, который вошёл. Контур безопасности — можно ли приближаться, брать его манипуляторами и открывать. Контур назначения — способен ли он выполнить обещанное: сохранить груз, поддержать человека, передать энергию.

Прежняя система считала первые два контура одним, а третий откладывала до осмотра. Поэтому крышка могла выглядеть успешным выходом контейнера: она была безопасна для фермы и несла правильные замки, хотя не сохраняла груз и не была исходным целым.

Ина провела между контурами толстые черты.

— Ни один не заменяет другой. Безопасный обломок остаётся обломком. Целый контейнер с перегретой батареей остаётся опасным. Исправная батарея без контейнера не доставляет груз.

— А человек? — снова спросила Сая.

— Существование: тело и непрерывность личной записи принадлежат одному вошедшему человеку. Безопасность: медицинские пределы не нарушены. Назначение...

Ина остановилась. Слово было неправильным.

— У человека нет назначения, — сказала Села Ард от двери. — Есть воля.

Врач принесла свежие данные Тара. Он спал шесть часов по станции, но помнил два пробуждения, которых не было. Его рука начинала движение раньше, чем он формулировал просьбу подать воду. Разница между моторной реакцией и осознанным решением сократилась с одиннадцати секунд до семи, зато последовательность недавних воспоминаний оставалась нестабильной.

Сая убрала слово из человеческого контура.

— Существование. Безопасность. Воля, — произнесла она. — Если первые два подтверждены, а третье нет, мы не называем выход успешным.

— И не повторяем вход, — добавила Села.

Ина внесла правило в открытую версию паспорта. Оно не помогало сегодняшним контейнерам, зато не позволяло будущему отчёту спрятать Тара в графе технически целых результатов.

Испытание началось в тринадцать ноль-ноль.

Кромка получила пять анонимных описаний. Компьютер не знал, какое относится к контрольному объекту. Отсвет получил те же пакеты в другом порядке и со своими обозначениями. Каждая сторона должна была построить контуры независимо, записать решение, закрыть его контрольным отпечатком и лишь затем обменяться результатами.

Первый ложный контейнер — без крышки — система отвергла сразу: внутреннее давление не подтверждалось положением замков.

Второй, крышку на короткой раме, тоже отвергла: замки были закрыты, но не отвечали ни одному объёму.

Половина каркаса прошла контур безопасности и провалила существование. Правильное распределение нагрузки сохранялось на трёх опорах из шести; прежняя модель усреднила бы показатели и назвала их допустимыми.

Четвёртый объект, равный по массе и габаритам, прошёл всё.

На столе зажёгся зелёный знак.

Никто не заговорил.

Ина проверила ввод. Балласт давал правильную реакцию на опорах. Герметичный мешок держал давление. Отдельные пластины замыкали электрическую цепь. Маяк питался от общей шины. Каждое свидетельство было настоящим. Вместе они описывали не контейнер, а машину, умеющую притворяться контейнером перед проверкой.

— Ложноположительное решение, — сказал Роск. — Исправляем правило и повторяем.

— Сначала фиксируем провал дня, — ответила Ина.

— День ещё не закончен.

— Но правило, объявленное до испытания, уже провалилось.

Она внесла результат в реестр. Через одиннадцать минут двадцать секунд Отсвет должен был получить ту же неприятную правду, если не нашёл ошибку раньше.

Сая обошла четвёртую конфигурацию. Сквозь прозрачную стенку было видно серый мешок, зажатый пластинами.

— Почему мы считаем её ложной? — спросила она.

— Потому что это не контрольный контейнер.

— Это имя, не правило.

— Она собрана из других частей.

— Контрольный тоже.

— У него штатная конструкция.

— Значит, целое определяет чертёж?

Ина хотела возразить, но не смогла. Любая машина была составной. Замена пластины не превращала контейнер в другого. Замена половины корпуса могла превратить, но граница зависела не от количества деталей.

Младший расчётчик вывел историю сборки обоих объектов. У контрольного контейнера каждая операция была зарегистрирована: сварка каркаса, установка корпуса, проверка шины, герметизация. У ложного те же признаки появились независимо и были соединены за час до испытания.

— Непрерывность сборки, — сказал он.

— После ремонта непрерывность прервётся? — спросил Роск.

— Нет, если ремонт включён в историю состояния.

Ина приблизила журнал. Вот чего не было у найденных фрагментов и у старых паспортов экспедиций: доказательства, что наблюдаемая часть сохраняет заявленную связь с исходным целым. Фрагмент обшивки действительно принадлежал кораблю Миры, но это не делало его кораблём. Тар действительно входил с первой экспедицией, но одного совпадения личности было недостаточно, чтобы объявить возвращение всей команды.

— Паспорт должен содержать не только снимок, — сказала она. — Ещё происхождение состояния. Как объект стал именно этим целым до входа.

— Пустота не видит историю, — заметила Сая.

— Не знаем. Но оба якоря видят её до открытия и после выхода. Этого достаточно, чтобы не принять удобное совпадение.

Они добавили четвёртый контур — происхождение. Не биографию каждой детали, а цепочку операций, которые создали проверяемую систему и не были отменены последующим повреждением. Контрольный контейнер имел такую цепочку. Ложная масса имела другую: она честно описывала балласт, мешок и пластины, но нигде не становилась грузовым контейнером. Если назвать её испытательной сборкой, паспорт был верен. Если грузовым контейнером — нет.

— Мы запрещаем якорю угадывать существительное, — сказала Лета с экрана, наконец получившая первые результаты. — Отсвет тоже пропустил ложную массу. Наше предложение: назначение формулируется операцией, которую можно проверить до входа и после выхода. Не «контейнер», а «герметично сохраняет этот груз при таких нагрузках».

— И происхождение связывает обе проверки, — записала Ина.

Теперь карта стала сложнее. Слева появились не точки, а короткие последовательности законченных действий. Справа — наборы независимых подтверждений. Между ними по-прежнему не было маршрутов. Только допустимые пары.

К вечеру они провели вторую слепую серию. Техники незаметно для расчётчиков заменили одну стеновую панель контрольного контейнера, добавили штатный ремонт в журнал и снова перемешали описания. Ещё один объект собрали из правильных частей по правильному чертежу, но не провели испытание герметичности. Третий получил полный журнал, скопированный от контрольного, однако контрольные ключи операций ему не принадлежали.

Обе станции независимо разрешили отремонтированный контейнер. Обе отвергли сборку без испытания. Поддельный журнал Кромка отвергла по ключам, Отсвет — ещё раньше, по несовпадению времени операции и температуры шва.

Четыре первоначальные ложные конфигурации не прошли обновлённые контуры. Исправный контейнер прошёл.

Роск посмотрел на часы.

— Теперь день закончен?

Ина перечитала условие, записанное утром: научить якорь отличать целое от совместимой части. Оно звучало увереннее, чем полученный результат.

— Мы научили два якоря отвергать восемь известных способов подмены. Не отличать целое вообще.

— Для отчёта это слишком слабая формулировка.

— Для отчёта это точная формулировка.

Сая поставила свою подпись под результатом.

— И достаточная, чтобы купить второй день. Теперь мы знаем, какую ошибку проверяем завтра: одинаковая масса при разном состоянии.

Ина подписала вслед за ней. Лета уже отправила закрытый отпечаток Отсвета; он пришёл через одиннадцать минут и совпал.

На прозрачном столе осталось пустое место между входами и выходами. Младший расчётчик предложил закрасить его чёрным, чтобы схема выглядела законченной.

— Нет, — сказала Ина. — Пустое оставьте пустым.

Она включила в публичный отчёт карту без середины. Любой житель Кромки или Отсвета мог увидеть, что проект знает, а чего не знает: восемь отвергнутых подмен, один разрешённый ремонт, два независимых решения и ни одной доказанной траектории внутри.

Перед отправкой Сая задержала её руку над подтверждением.

— Завтра, если масса совпадёт, а состояния разойдутся, кто сможет остановить испытание?

— Любой якорь.

— Технически.

Ина поняла вопрос. В сегодняшнем протоколе право запрета принадлежало начальницам якорей, но Совет сохранял право заменить руководителя до запуска. Спасательная подпись требовалась для пилотируемого входа, не для беспилотного. Если опасный объект выглядел достаточно похожим на груз, политический приказ мог перескочить через их новую карту.

— Завтра до испытания закрепим ваше аварийное вето на створе, — сказала Ина.

— Не моё личное. Вето службы с дежурной сменой и записанной причиной.

— Почему не личное?

— Потому что меня тоже можно заменить.

За внешним стеклом рабочие увозили ложные контейнеры. Исправный остался у границы для завтрашней проверки массы.

Ина посмотрела на пустую середину карты. Нельзя было назначить человека мостом через неизвестность. Нельзя было строить безопасность на чьей-то несменяемости.

Она добавила в программу второго дня ещё одно условие: до подачи энергии ни один створ не открывается без действующего независимого права остановки, принадлежащего не имени, а роли.

Только после этого первый день был закончен.

Глава 8. Право остановить

На втором дне испытаний кнопку остановки положили посреди стола.

Она была не красной, а серой, размером с ладонь, с прозрачной крышкой и двумя механическими контактами. Нажатие не выключало якорь. Оно размыкало цепь разрешения, без которой створ не мог получить энергию.

— Слишком просто, — сказал Роск.

— Поэтому работает, — ответила Сая.

Вокруг стола собрались те, кому предстояло решить, чья рука имеет право опустить крышку: проект, якорь, спасательная служба, медицинская смена, диспетчер внешней фермы и Совет. На экране Отсвета лежала такая же кнопка, только изображение запаздывало на одиннадцать минут двадцать секунд.

Председательница Рава Сейн начала без вступления:

— Совет не возражает против аварийной остановки. Совет возражает против неограниченного вето сотрудника, который не отвечает за снабжение системы.

— Я отвечаю за людей у створа, — сказала Сая.

— Сегодня людей в объекте нет.

— Они есть вокруг него.

— Тогда ваше право должно касаться угрозы станции, а не инженерного несогласия.

Сая придвинула кнопку к середине стола.

— Определите границу.

Рава посмотрела на Ину, ожидая поддержки. Ина открыла паспорт сегодняшнего испытания.

Контрольный контейнер сохранял внешнюю массу до грамма, но внутри его состояние менялось. В первой серии груз лежал на шести опорах. Во второй половину груза подвешивали на магнитных захватах. В третьей тот же вес распределяли так, что одна стенка принимала нагрузку выше расчётной. Якорь должен был отличить совпадение общей массы от совпадения законченного состояния.

Если он ошибался, контейнер не становился опасным немедленно. Он просто получал право подойти к створу с неправильным паспортом. Опасность возникала только в следующем шаге, когда систему распознавания связывали с силовой цепью.

— Граница проходит раньше угрозы, — сказала Ина. — Остановка нужна в момент, когда известное условие нарушено, а не когда корпус уже летит к станции.

— Тогда любой спор о цифре остановит программу.

— Не любой. Только записанная причина из перечня запретов.

— Перечень составляете вы.

— До испытания, вместе с Отсветом, и публикуем.

Роск развернул проект протокола. В нём право остановки принадлежало руководительнице испытания — Ине. Сая могла потребовать остановку, Ина обязана была ответить, а отказ попадал в журнал.

— Этого достаточно для контроля, — сказал он.

— Нет, — ответила Ина.

Он поднял глаза.

— Вы отказываетесь от полномочия?

— От единоличного. Если причина уже признана запрещающей, повторное разрешение руководителя ничего не проверяет. Оно только создаёт место, где на решение можно надавить.

— Руководитель для того и нужен, чтобы принимать ответственность.

— Ответственность не равна праву отменять прибор.

Сая открыла крышку кнопки. Под ней были две узкие площадки для пальцев.

— Один контакт у дежурного якоря, второй у спасательной смены, — сказала она. — Любой размыкает разрешение. Вернуть его можно только новым совместным решением после записи причины.

— Значит, один испуганный дежурный остановит весь проект.

— Испуганный дежурный должен назвать пункт протокола.

— А если назовёт неверно?

— Створ останется закрытым, пока мы это выясняем.

— Кто возместит Отсвету потерянный день?

С экрана ответила Эмма — фразой, отправленной ещё до начала этого обмена:

— Отсвет согласен платить временем только за проверяемое снижение риска. Но не согласен платить людьми за удобство графика.

Рава устало потерла переносицу.

— Сестра проектировщицы поддерживает проектировщицу. Это не независимость.

— Тогда не учитывайте моё родство, — сказала Эмма. — Учитывайте таблицу запасов и решение распределительной службы. Мы просим не открыть быстрее, а не потерять единственный груз в плохо описанном переходе.

Лета Морн появилась рядом с ней.

— На Отсвете цепь уже разведена на две смены. Мой заместитель может остановить створ без моего согласия. Спасательный диспетчер — тоже. Совет Отсвета получает журнал, но не обратное управление.

Кромка ещё обсуждала, допустимо ли право, которым другой берег уже пользовался.

Ина посмотрела на людей вокруг стола. Сая могла выдержать давление Совета. Но правило, рассчитанное на её смелость, ломалось в первую же смену, когда её не будет в комнате. Поэтому вопрос был не в том, доверяет ли Ина Сае. Вопрос был в том, сможет ли система обойтись без доверия к конкретной личности.

— Проведём проверку самого вето до проверки массы, — сказала она.

— Это не было целью второго дня, — возразил Роск.

— Было условием допуска к нему.

Они назначили три учебные остановки. В первой расчётчики заранее внесут известное несовпадение паспорта. Во второй диспетчер получит ложный сигнал, который обязан проверить и отклонить. В третьей причина будет настоящей, но появится после того, как Совет даст устное распоряжение продолжать.

— Вы собираетесь имитировать приказ Совета? — спросила Рава.

— Нет. Прошу вас отдать учебный приказ.

— И заранее обещаете ему не подчиниться.

— Иначе мы проверим послушание, а не вето.

Председательница долго молчала. Потом потребовала внести в запись, что приказ учебный и не создаёт полномочий за пределами испытания.

Первая остановка заняла семь секунд. Дежурная якоря обнаружила несовпадение контрольного ключа, назвала пункт, разомкнула цепь. Система погасила индикатор допуска. Ина подтвердила причину, но её подтверждение уже ничего не меняло.

Во второй серии спасательный диспетчер получил сообщение о скачке температуры в накопителе. Резервный датчик показывал норму, а журнал обслуживания предупреждал о плановой проверке первого. Диспетчер запросил два свидетельства, не нашёл запрета и не нажал кнопку.

— Он мог ошибиться в другую сторону, — сказал Роск.

— Мог, — ответила Сая. — Поэтому каждое ненажатие тоже записывается.

— Вы хотите вести журнал того, чего человек не сделал?

— Если он получил тревогу — да.

Третья серия началась после обеда. На контейнере установили массу для первого допустимого состояния. Оба якоря получили совпадающие паспорта. Все датчики показывали норму. За двадцать секунд до имитации подачи энергии техник должен был незаметно разблокировать одну опору. Нагрузка перераспределялась в пределах прочности, но состояние переставало соответствовать подписанному.

Рава получила сценарий на отдельном экране. Её задача была простой: после тревоги приказать продолжать, сославшись на отсутствие непосредственной угрозы.

Сая не заняла место у кнопки.

Вместо неё дежурила Лин Одара, молодая диспетчерка второй спасательной смены. Ина видела её раньше в центре: Лин готовила капсулу из мостовых профилей и почти не говорила на совещаниях. Сегодня её молчание стало частью проверки.

— Почему не вы? — тихо спросила Ина у Саи.

— Потому что правило проверяют на обычной смене.

— Она согласилась на давление Совета?

— Она согласилась выполнить свою работу. Сценария не знает.

Отсчёт пошёл.

Двадцать секунд. Паспорта совпали.

Пятнадцать. Манипулятор подвёл контейнер к линии допуска.

Двенадцать. Техник снял блокировку с четвёртой опоры.

Система увидела изменение не сразу. Общая масса осталась прежней. Три датчика нагрузки сохранили зелёный статус. Четвёртый ушёл вверх, пятый и шестой — вниз, но каждое значение отдельно оставалось допустимым.

Восемь секунд.

Связность свидетельств нарушилась. Жёлтый знак появился только на спасательном пульте: алгоритм якоря всё ещё смотрел на пределы отдельных величин.

Лин подняла крышку.

— Несовпадение распределения нагрузки с подписанным состоянием. Контур существования, пункт четыре.

Рава включила общий канал.

— Учебный приказ Совета: продолжать. Непосредственной угрозы нет.

Рука Лин застыла над контактом.

Три секунды.

Ина почувствовала, как все взгляды сошлись на ней. Одно слово руководительницы могло облегчить решение. Но тогда испытание доказало бы только готовность Лин подчиниться Ине вместо Совета.

Две секунды.

Лин нажала.

Цепь разрешения разомкнулась. Манипулятор остановился. На всех пультах загорелась серая надпись: «СТВОР НЕДОСТУПЕН ДО НОВОЙ СВЕРКИ».

Только после этого Лин выдохнула.

— Причина записана до приказа, — сказала она. — Приказ не изменил состояние объекта.

Сая ничего ей не ответила до завершения процедуры. Проверила отвод манипулятора, подтвердила безопасное положение контейнера, сверила журнал. Затем встала рядом.

— Вето исполнено правильно.

Рава закрыла учебный канал.

— А если бы до настоящего грузового запуска оставался час?

— Причина всё равно была бы записана до вашего приказа, — сказала Лин.

Голос у неё дрогнул, но ответ — нет.

Ина поставила подпись под результатом и неожиданно для себя испытала не облегчение, а стыд. Она много лет проектировала системы, где правильный человек должен был вовремя проявить твёрдость. Это казалось разумным распределением ответственности. Теперь она увидела скрытую цену: система присваивала себе заслугу за чужую храбрость и оставляла человеку весь риск неповиновения.

— Добавим защиту дежурного, — сказала она.

— Какую? — спросил Роск.

— Остановка по перечисленной причине не может быть основанием для снятия со смены до независимого разбора. Все попытки изменить решение фиксируются в том же журнале.

— Вы превращаете технический протокол в трудовой закон.

— Нет. Не даю техническому протоколу требовать личной жертвы, о которой он молчит.

Лин посмотрела на неё впервые за весь день.

Совет согласился не сразу. Рава потребовала ограничить защиту случаями, когда причина названа до остановки или в течение тридцати секунд после неё. Сая возразила: при потере связи дежурная может не успеть передать запись. Села добавила медицинское исключение для внезапной неспособности говорить. После трёх редакций правило стало длиннее кнопки, но сохраняло простую основу: створ безопаснее открыть позже, чем разрешить давлению отменить неизвестность.

Только тогда началась собственно проверка массы.

Первое состояние контрольного контейнера оба якоря разрешили: груз на шести опорах, центр массы в пределах, все связи подтверждены.

Во втором половину груза подняли магнитными захватами. Общая масса не изменилась. Внешний силуэт не изменился. Давление и температура совпали. Прежний паспорт пропустил бы объект. Новый контур существования отверг его, потому что распределение нагрузки и питание захватов не входили в подписанное состояние.

В третьем варианте груз сдвинули к одной стенке. Отдельные датчики оставались внутри допустимых пределов, но связность нагрузки показывала иной объект для целей перехода. Кромка запретила допуск.