Ошибка допуска

— …не наружу, — донёсся её голос. — Створка открыта. Поток к рамке. Не открывайте…

Связь снова треснула, но не исчезла. Показания четвёртого канала прыгнули выше рабочего порога. Потом ещё выше.

Кир отозвал допуск.

Зелёный маршрут стал красным, рамка заблокировалась, автоматика начала перенастраивать вытяжку. Правильное действие по регламенту оказалось худшим по смыслу Лединых слов.

— Она сказала не открывать рамку? — Таян вскочил. — Почему?

— Поток идёт к выходу. При открытии вынесет примесь в коридор.

— Тогда шлюзование через нижний ход.

Нижний ход был закрыт ремонтом. Оставалась защитная ниша у дальней стены — двадцать семь метров против шестнадцати до рамки.

Леда оттолкнулась от стены. Она тоже знала схему. Не пошла к выходу, хотя тот был ближе, а развернулась в глубину тоннеля.

— Леда, защитная ниша за вторым ребром, — сказал диспетчер. Его голос стал медленным, будто точность произношения могла удержать связь. — Двадцать семь метров. Подтвердите.

Она подняла руку. Не большой палец — два коротких движения в сторону ниши.

Кир вывел управление вентиляцией. Автоматика предлагала три сценария, все построенные на свидетельстве «створка закрыта». При закрытой створке следовало вытягивать воздух от рамки в старую камеру. При открытой — то же действие могло усилить приток из камеры в тоннель.

— Нельзя запускать штатную вытяжку, — сказал он.

— Уже запущена после отзыва, — ответил Таян.

На схеме загорелись стрелки. Кир увидел, как четвёртый канал анализатора Леды поднялся ещё на две деления.

— Останавливай.

— Нужны наши две подписи.

Кир нажал первым. Таян прочёл формулировку целиком и поставил вторую подпись.

Вытяжка остановилась.

Леда дошла до первого ребра. Её движения стали неровными; она снова и снова проверяла уплотнение уже надетой маски.

— Почему анализатор не предупредил раньше? — спросил Таян.

Кир не ответил. На экране уже был ответ: прибор предупреждал. Сначала дрейфом, который диспетчер подтвердил как безопасный. Потом запросом живой пробы, оставшимся без исполнителя. Потом потерей связи, которую Кир на две с лишним секунды поставил ниже этого запроса.

Ни одна причина не была достаточной. Вместе они образовали маршрут, по которому Леда шла сейчас.

У дальней стены раскрылась защитная ниша с механической рукоятью и собственным баллоном чистой смеси. До неё оставалось девять метров. Леда остановилась перед решёткой, из которой поднималась белая струя: старый воздушный контур проходил не только за створкой. Прижавшись к стене, она переступила решётку. Анализатор стал красным.

— Аварийная группа у рамки, — доложил внешний оператор. — Запрашивают вход.

— Не открывать, — одновременно сказали Кир и Таян.

Чтобы подать чистую смесь, Кир вручную отметил свидетельство закрытой створки сомнительным. Жёлтая рамка появилась сразу — с опозданием на две минуты и на весь один выбор. «Порог» разрешил подачу, в журнал снова ушло имя Кира.

Леда добралась до ниши. Положила ладонь на механическую рукоять, потянула вниз. Створка сдвинулась на ладонь и остановилась.

— Что там? — Таян наклонился к экрану.

На кромке ниши горел маленький красный индикатор: разность давлений. Пока тоннель находился под избыточным потоком, дверь не могла открыться полностью.

Кир выключил слишком быстро поданную смесь. Давление падало медленно. Леда держала рукоять всем телом и не отвечала диспетчеру. Защитное стекло зала помутнело, отрезая инцидент от остановившихся на мосту людей.

Давление сравнялось. Красный индикатор погас. Створка ниши поддалась, Леда сделала шаг внутрь и рухнула на колено. Её рука скользнула с рукояти. Дверь начала закрываться на пружине, но ботинок остался на пороге.

— Уберите ногу, — сказал диспетчер. — Леда, ещё немного. Уберите ногу внутрь.

Она подняла голову. За мутным щитом нельзя было различить взгляд. Несколько секунд Леда не двигалась, затем согнула ногу. Створка закрылась.

Индикатор герметичности сменился на зелёный.

Система запустила чистую смесь внутри ниши. Биометрического канала там не было.

Таян первым нарушил молчание:

— Сколько до безопасного открытия рамки?

— Шесть минут до входа, — ответил Кир.

— Она в чистой нише.

Это прозвучало не утверждением, а просьбой согласиться.

Герметичность держалась. Кир не позволял себе строить из этого исход.

На экране появился Мерон. Он подключался с перехода, фон за его спиной двигался.

— Доклад по фактам. Без версий.

Таян начал: допуск исполнен, запрос живой пробы, потеря канала, превышение по примеси, техника в защитной нише, группа готовится к входу. Он говорил ровно, разделяя события, как учили на разборах.

— Почему отзыв через девять секунд? — спросил Мерон.

Таян посмотрел на Кира.

Кир мог сказать, что отзыв прошёл сразу после восстановления связи. Это было бы верно и скрыло бы первые секунды.

— Предупреждение конкурировало с запросом живой пробы, — сказал он. — Я изменил порядок отображения.

— На основании?

— Считал потерю повтором известных помех у силового короба.

— Считал или подтвердил?

— Считал.

Мерон задержал взгляд на нём, но не продолжил. Сейчас важнее была Леда.

Аварийная группа вошла через шесть минут двадцать секунд. Три белых костюма обошли решётку, подключили переносной шлюз и открыли нишу. Спасатель заслонил камеру. В служебном канале прозвучало: «Контакта нет». Потом: «Пульс проверяю». «Выносим».

Мерон отключил общий звук.

— Изолировать журнал допуска, — приказал он. — Рабочие места не закрывать. Ничего не исправлять, не дополнять и не комментировать внутри события. Кир, Таян — доступ только на чтение до прибытия восстановления.

У Кира погасли поля управления. Осталась временная линия: допуск, запрос Леды, потеря канала, изменение порядка, превышение, отзыв, вмешательство в вытяжку. Его действия выглядели синими засечками между машинными и чужими.

Но они были там.

Через три минуты появилась закрытая запись: «Реанимационные мероприятия начаты на месте».

Кир прочёл её несколько раз.

Он хотел приложить к событию карточку известного риска, показать, что предупреждал. Поле вложений было заблокировано. Тогда он захотел сказать Таяну, что его модель оказалась верна. Таян смотрел на застывший кадр пустого тоннеля. Слова не вышли.

Дверь зала допуска открылась без сигнала.

Вошла женщина в тёмном рабочем комбинезоне, с плоским серым кейсом у бедра. Она была ниже Мерона, появившегося следом, и шла быстрее него. У стойки Кира остановилась не затем, чтобы представиться: приложила кейс к изолированному порту и дождалась синей полосы физического соединения.

— Сая Рем, восстановление инцидентов, — сказала она, глядя на временную линию. — Кто менял представление на третьей секунде?

В журнале уже стояло имя.

Кир поднялся.

— Я.

Глава 3. Не ошибка системы

Сая не стала ждать ответа, который уже видела в журнале.

— Сядьте, — сказала она Киру. — И не помогайте мне объяснять ваши действия.

Серый кейс раскрылся на стойке тремя узкими экранами. На первом застыла временная линия, на втором проступила схема сервисного тоннеля, третий оставался пустым. Сая вынула из паза две плоские метки и передала одну Таяну.

— Подтвердите, что рабочие места не перезапускались после изоляции.

Таян приложил палец. Кир сделал то же, когда метка дошла до него. Система приняла подтверждения и нарисовала вокруг копии журнала синюю рамку. Не зелёную. Синий здесь означал не безопасность, а сохранность: с этим свидетельством ничего нельзя было сделать, кроме как смотреть.

За стеклом зала люди расходились с моста. Их выводили по одному, хотя опасная среда оставалась далеко, за двумя герметичными контурами. На носилках Леду уже увезли. Последняя закрытая запись сообщала, что реанимацию продолжили в транспортном модуле. Следом шла пустота длиной в одиннадцать минут.

Мерон вошёл с влажными от санитарного раствора рукавами и положил на стол временный протокол.

— Леда Арс умерла в транспортном шлюзе в восемь ноль семь. Заключение о причине будет позже. До него используем формулировку «смерть после воздействия среды в сервисном тоннеле».

Между входом Леды и записью о смерти помещалось двадцать шесть минут, и почти каждая была кем-то подписана.

— Кто ведёт первичный разбор? — спросил Мерон.

— Я восстанавливаю событие, — ответила Сая. — Разбор ведёте вы. Это разные вещи.

Мерон задержал на ней взгляд, потом придвинул к себе свободный экран. В верхней строке уже стояло: «Предварительная классификация: отказ периферийного свидетельства». Ниже система предлагала выбрать главную причину из списка.

— Наружный датчик положения створки передавал закрытое состояние, — сказал он. — Физически створка была открыта. Есть подтверждение аварийной группы.

— Факт, — сказала Сая.

— Локальный анализатор техника зарегистрировал дрейф после входа.

— Факт с временной отметкой.

— Техник приняла зелёный допуск и вошла.

Сая впервые подняла глаза от экранов.

— Она исполнила выданный маршрут. Слово «приняла» оставляет впечатление, будто ей предложили спорную ставку. Как выглядел её экран?

Таян вызвал копию интерфейса браслета. На ней горела ровная зелёная полоса: среда соответствует, маршрут подтверждён, рабочее окно — восемнадцать минут. Ни диапазона, ни времён отдельных свидетельств.

— Вот так, — сказал он.

— Тогда факт: Леда Арс вошла по разрешённому системой маршруту. Её решение войти существует. Решение показать ей единый зелёный итог тоже существует.

Мерон удалил из строки слово «приняла» и написал: «исполнение допуска пользователем». Кир почувствовал раздражение. Сая меняла слова, пока за ними не оставалось ничего, что можно было защитить или обвинить. Но именно поэтому каждое слово становилось тяжелее.

— В оперативном смысле всё равно начинаем с датчика, — сказал Мерон. — Пока он выдаёт ложное положение, кольцо закрыто.

— Закрытие — действие. «Датчик стал причиной смерти» — версия.

— Я этого не говорил.

— Это уже написано сверху.

Сая повернула к нему экран. Предварительная классификация выглядела невинно: системе требовалась папка, чтобы назначить исполнителей. Однако выбранная папка определяла, кому первым дадут доступ к данным, кого отстранят и какие вопросы попадут в утреннюю сводку.

Мерон сменил классификацию на «множественное расхождение свидетельств». Поле подсветилось янтарным: для такого класса требовалась комиссия, а не ремонтная бригада.

— У нас город на этой системе, — сказал он. — Если к полудню не будет рабочей границы отказа, придётся закрыть все тоннели с датчиками этой серии.

— Тогда к полудню нужна граница отказа. Не виновный предмет.

На карте города серые точки ожидали утренних допусков. Теперь каждая казалась просьбой сделать вывод быстрее, чем позволяли факты.

Сая увеличила участок перед входом Леды. Два свидетельства легли рядом. «Состав среды: соответствует», время последней проверки — 07:39:12. «Створка вытяжки: закрыта», время физического изменения — 07:31:48, время подтверждения — 07:40:03.

— Почему старое положение получило свежее подтверждение? — спросила она.

Таян подался к экрану.

— Контроллер подтвердил доступность записи. Не само положение.

— Но в сборку ушло время доступности?

— Да. Для медленных механизмов состояние считается устойчивым, пока нет команды движения.

— Команда была?

— В основном контуре — нет.

Сая открыла ветку обслуживания. В ней обнаружилась ночная отметка механика: «ручное освобождение привода перед осмотром». Отметка не являлась командой движения и потому не меняла свидетельство. Она только сообщала человеку, что створка могла сместиться.

— Это видел диспетчер? — спросила Сая.

— Если раскрывал служебные примечания, — ответил Таян.

— Леда?

— На её браслет примечания обслуживания не передаются.

— Кир?

Он знал, что вопрос адресован не системе.

— Я видел расхождение времён до выдачи допуска.

Мерон медленно повернулся к нему.

— Насколько большое?

— Достаточное, чтобы открыть карточку блокировки.

— Ты её открыл?

— Да.

— Отправил?

— Нет.

Сая поставила отметку на линии перед исполнением допуска.

— Причина неотправки?

— Я ожидал, что локальный анализатор обнаружит примесь до опасной концентрации и работа остановится.

— На чём основано ожидание?

— На моей модели расхождения.

Таян посмотрел на него так, словно не расслышал знакомое слово.

— Той самой модели? — спросил он. — Из зимнего теста?

— Её новой версии.

— Ты сказал, что окно закрыто фильтром давности.

— Я сказал, что сборка проходит проверку.

— Это не одно и то же.

Мерон поднял ладонь, прекращая разговор.

— Модель зарегистрирована?

— Рабочая копия локальная.

— Тогда пока её нет, — сказал Мерон. — Есть твоё объяснение после события.

Кир хотел доказать, что не придумал окно сейчас. Но на третьем экране уже появлялись связи: старое свидетельство положения, свежее подтверждение доступности, отменённый обход, зелёный итог, запрос Леды, задержанное предупреждение.

— Повторим без главной причины, — сказала она. — Датчик положения не отразил фактическое состояние створки. Правило давности позволило использовать его запись. Отметка обслуживания не участвовала в машинной сборке. Интерфейс техника скрыл возраст отдельных свидетельств. Кир Невель увидел расхождение и не отправил блокировку. После потери канала он изменил порядок предупреждений. Леда Арс вошла по зелёному допуску, обнаружила дрейф, запросила живую пробу и пошла к защитной нише, когда узнала направление потока.

— И умерла, — сказал Кир.

— Да.

— Её решение тоже останется в разборе, — продолжила она. — Но не в виде удобной фразы «сама вошла». Она проверила снаряжение, запросила причину отмены обхода, потребовала независимую пробу и выбрала дальнюю нишу, чтобы аварийное открытие не вынесло примесь к людям. Это решения специалиста в пределах информации, которую ей дали.

Мерон открыл запись с камеры и остановил кадр на руке Леды у анализатора.

— А если она нарушила предел локального прибора? В инструкции есть выход при первом дрейфе.

Таян нашёл нужный пункт. Под ним стояло исключение: при активной внешней диагностике исполнитель ожидает подтверждения оператора, если показание остаётся ниже рабочего порога. Именно такое подтверждение Леда получила.

Мерон закрыл инструкцию.

— Значит, это убираем.

— Не убираем, — сказала Сая. — Записываем, что проверили и не подтвердили. Иначе через неделю кто-нибудь найдёт этот пункт и объявит, что комиссия его скрыла.

В зал принесли опломбированный контейнер с браслетом Леды. Сая подключила его к кейсу; чтение подтвердили Мерон и дежурный хранитель архива.

Браслет отдал последние локальные события. Их оказалось больше, чем получил «Порог». Перед входом Леда трижды раскрывала сведения о маске, проверила остаток фильтра и сохранила номер ночной заявки. В тоннеле она создала голосовую пометку, не успевшую уйти из-за потери связи.

Сая включила её без усиления.

— Четвёртый канал плывёт. Створка, похоже, не села после ручного освобождения. Если подтвердится, ставить механическую метку на самой рамке, не в журнале…

Запись оборвалась шорохом движения.

Леда назвала то, для чего Киру понадобилась модель, меньше чем через две минуты после входа. Его замысел требовал, чтобы пользователь заметил опасность. Пользователь заметил. Система и люди не успели признать это знанием.

— Пометка принадлежит расследованию, — сказал Мерон. — До уведомления семьи наружу не отдавать.

— Конечно.

Сая внесла слова Леды отдельным фактом и не стала воспроизводить их снова.

Мерон назначил физическую проверку створок и ограничил допуски этой серии маршрутами с независимой пробой. Кольцо замедлилось, но не остановилось.

— Теперь можно дать оперативную формулировку, — сказал он. — Несовместимость периферийных свидетельств при неотражённом обслуживании. Человеческие действия — в приложении комиссии.

— Почему в приложении? — спросила Сая.

— Потому что ремонтникам нужна воспроизводимая неисправность, а не психология разработчика.

— Ремонтникам — да. Комиссии нужна полная последовательность. Если разделить документы, первый начнут цитировать как причину, а приложение никто не откроет.

— Ты предлагаешь сообщить сменам, что разработчик видел риск и пропустил человека?

Кир ждал, что Сая ответит за него. Она повернула пустой экран к нему.

— Я предлагаю сначала установить, что именно он видел. Ожидание инцидента ещё не доказывает ожидание смерти. Незнание точного исхода не отменяет сознательного невмешательства. Нам не нужна ни удобная невиновность, ни удобное признание.

Кир сжал пальцы под столом. Он представлял этот момент иначе. Когда система ошибётся, он предъявит предупреждения, и окружающим придётся признать: он знал. Теперь знание оказалось не наградой, а вопросом с несколькими степенями точности.

— Я могу показать расчёт, — сказал он. — Там задан ожидаемый диапазон ущерба.

— Позже, через процедуру изъятия, — ответила Сая. — Сейчас проверяем, было ли окно известно организации до события.

Она запросила архив карточек риска по сочетанию признаков: разный возраст свидетельств, подтверждение доступности вместо подтверждения состояния, ручное обслуживание вне командного контура. Поиск занял почти минуту. Сначала появились десятки мелких жалоб на интерфейс, затем два отчёта испытателей. Ни один не соединял все три признака.

Последней возникла закрытая карточка восьмимесячной давности. Заголовок: «Ложная согласованность при независимой актуализации свидетельств». Статус — отклонена. Причина — «не предоставлен воспроизводимый случай с влиянием на допуск». Через три месяца карточку подавали повторно, приложив модель. Второй отказ ссылался на недостаток практических данных и риск роста ложных блокировок.

Таян отодвинулся от стола.

— Я этого не видел.

— Карточка была в архитектурной очереди, — сказал Кир. — Тебе приходила только принятая сборка.

Мерон прочёл историю решений до конца.

— Кто отклонял?

— Совет устойчивости, первая подача. Вторую закрыл секретарь после сверки критериев.

— Значит, окно было известно, — сказала Сая.

— Возможность была заявлена, — возразил Мерон. — Это ещё не подтверждённое окно.

— Верно. Так и запишем. Но версия о внезапном отказе датчика больше не выдерживает собственную формулировку. Восемь месяцев назад кто-то описал именно такой способ получить ложную согласованность. Сегодня автор карточки находился за пультом и открыл блокировку до входа Леды.

Кир увидел, как меняется комната. Не лица — расстояния. Таян сидел теперь чуть дальше. Мерон больше не заслонял городской экран плечом, словно оставлял между собой и Киром свободную линию. Сая не приблизилась и не отступила. Она вывела карточку на третий экран, рядом с записью о неотправленной блокировке.

Внизу стоял внутренний идентификатор автора, скрытый служебной маской старого архива.

Сая сняла маску запросом комиссии. Поле запросило отдельное подтверждение владельца записи.

Она посмотрела на Кира.

— Эта карточка риска ваша?

Глава 4. Автор предупреждения

— Моя, — сказал Кир.

На третьем экране стояли даты двух отказов. За восемь месяцев Кир привык произносить название карточки без надежды, что его дослушают.

Сая не попросила его приложить ладонь.

— Назовите идентификатор из памяти.

— АР-одиннадцать-сорок два. Вторая редакция — АР-одиннадцать-сорок два-б.

Мерон сверил строку. Совпадение появилось зелёным.

— Цель первой подачи? — спросила Сая.

— Запретить сведение свидетельств, если время подтверждения доступности подменяет время подтверждения состояния.

— Цель второй?

— Та же. Я добавил модель и предложил раздельную давность для физического состояния и доступности записи.

— Почему карточку отклонили?

Кир посмотрел на причины отказа, хотя знал их дословно.

— Потому что изменение увеличивало число ручных проверок. Совет потребовал воспроизводимый случай с влиянием на допуск. В модели они увидели искусственное сочетание условий.

— Вы считали отказ ошибочным?

— Считал и считаю.

Сая подтвердила раскрытие владельца. Под маской появилось имя Кира, его должность на момент подачи и перечень вложений. Первую карточку он подписал один. Во второй рядом стояла отметка автоматической проверки модели, но человеческих подписей больше не было.

— Вложение сохранилось? — спросила она.

— Архив хранит описание, не рабочую среду. Рабочая копия у меня.

— Где?

— На локальном узле разработки.

Мерон резко поднял голову.

— Ты принёс незарегистрированную модель в действующий контур?

— Она не подключена к контуру. Модель читает копии свидетельств и считает расхождение. Она ничего не исполняет.

— После твоего «ничего не исполняет» у нас погиб человек.

— Погиб не из-за модели.

Сая закрыла карточку поверх журнала смерти.

— Нам нужна рабочая копия. Изъятие проведём с фиксацией среды и контрольной суммой. До этого вы к узлу не подходите.

— Я могу показать её здесь. У меня есть удалённый просмотр.

— Нет.

— Вы потеряете время на перенос.

— Потеряем меньше, чем на спор, существовала ли показанная модель до события.

Мерон отправил двух хранителей к локальному узлу, отдельно запретив запуск модели и изменение среды. Кир продиктовал путь к хранилищу и ключевой контейнер.

Пока хранители снимали образ, комиссия перешла в соседний зал с пятью рабочими местами перед городской картой. На карте росла янтарная полоса ограниченных тоннелей.

Мерон назначил первичный состав: он как руководитель службы, Сая как ведущая восстановления, специалист по среде, представитель эксплуатации и хранитель журнала. Когда поле дошло до технических консультантов, он пропустил имя Кира.

— Добавьте Невеля, — сказала Сая.

Мерон повернулся к ней.

— Он участник события.

— Поэтому его показания нужны комиссии.

— Показания — да. Место в составе даст доступ к версиям и право влиять на выводы.

— Не членом с голосом. Носителем знания с протоколируемыми ответами. Отдельный уровень доступа, запрет на редактирование и обязательная фиксация каждого запроса.

Кир не сразу понял, почему предложение задело сильнее отстранения. «Автор предупреждения» было ролью. «Носитель знания» превращало его в один из источников рядом с браслетом Леды, журналом обслуживания и неисправной створкой.

— Если моя модель описывает окно, я не просто источник, — сказал он. — Я автор гипотезы, которую организация проигнорировала.

— Авторство будет указано, — ответила Сая.

— И последствия отказа тоже?

— Если связь подтвердится.

— Она уже подтвердилась.

Сая вывела рядом три строки. В первой была формулировка старой карточки: независимая актуализация способна создать ложную согласованность. Во второй — установленное сегодня сочетание времён. В третьей — неотправленная блокировка Кира.

— Первая строка подтверждает, что вы описали класс риска. Вторая — что событие принадлежит этому классу. Третья пока подтверждает, что до входа Леды вы увидели признаки и не остановили допуск. Какая из них делает вас оправданным?

— Я не сказал «оправданным».

— Тогда не будем добавлять это слово.

Мерон создал роль «технический свидетель» и внёс ограничения Саи. На браслете Кира появился серый разомкнутый круг комиссии: он открывал материалы и оставлял след возле каждого просмотра.

— Вы не удаляете, не связываете и не классифицируете записи, — сказала Сая. — Отвечаете на вопросы, указываете, где искать подтверждение, и сообщаете о противоречии, если его видите. Любое предположение называете предположением.

Хранители вернулись с изолированным накопителем и опломбированным контейнером. Контрольная сумма совпала с хешем старого ядра модели; поздние сценарии имели собственные отметки времени.

— Последнее изменение сегодня в шесть пятьдесят две, — прочёл Мерон.

— До смены, — сказал Кир.

— Что изменено?

— Добавлен импорт отменённых обходов. Раньше их приходилось отмечать вручную.

Сая попросила хранителя открыть журнал изменений, не запуская расчёт. В шесть пятьдесят две Кир подключил ветку обслуживания. В семь четырнадцать загрузил список текущих маршрутов внешнего кольца. В семь двадцать восемь модель выделила четыре допуска. Три система отложила сама из-за других ограничений. Четвёртый принадлежал Леде.