Ошибка допуска

В семь тридцать он сохранил набор данных как «сценарий-четыре». Рядом не было пометки «демонстрация», имени Леды или расчёта смерти. Только маршрут, времена свидетельств и ожидаемое расхождение.

— Почему сохранили этот сценарий? — спросила Сая.

— Он лучше остальных показывал проблему.

— «Лучше» — это как?

— Все свидетельства проходили формальную проверку, а физические условия уже расходились. Чистый случай без постороннего отказа.

— Вы знали, кому назначен маршрут и что Леда войдёт при зелёном допуске?

— Я знал расписание работ.

Он отвечал правдой, выбирая для неё самый узкий проход. Сая не спросила, почему из четырёх случаев он наблюдал именно четвёртый. Кир удержал молчание там, где мог бы сообщить недостающий вопрос.

Таян подошёл ближе к экрану.

Хранитель подтвердил: сценарий можно исполнить внутри изолированной копии, но потребуется разрешение комиссии, потому что результат станет новым производным материалом. Мерон хотел дать разрешение сразу. Сая потребовала сначала составить вопросы, на которые должен ответить прогон.

Они записали четыре пункта: распознавала ли модель ложную согласованность; когда риск становился видимым; какие последствия она считала вероятными; какие действия могли разорвать последовательность. Кир предложил пятый — сколько ложных блокировок вызвало бы правило при применении ко всему городу.

— Это относится к оценке исправления, — сказал Мерон.

— И к причине отказа от карточки, — возразил Кир. — Если вы покажете только этот случай, получится, что совет отверг очевидное спасение. Он отверг изменение с ценой.

Сая добавила пункт.

Изолированная модель показала ряды свидетельств со своими временными шкалами: белый коридор допустимых сочетаний и медную область, где формальная действительность сохранялась после утраты физической согласованности.

Сценарий Леды пересёк медную границу в семь тридцать одну сорок восемь, когда механик освободил привод. Но модель узнала об этом только после подключения отметки обслуживания утром. Без неё первое видимое расхождение возникало в семь тридцать девять двенадцать: живая проверка среды стала новее записи створки.

Без ночной ветки старая модель увидела бы окно позже, по разнице времён, но всё ещё за две минуты до допуска — достаточно для блокировки.

Модель отметила ожидаемые последствия: остановка работы — высокая вероятность; повреждение локального анализатора — средняя; воздействие на исполнителя — низкая при соблюдении выхода после первого дрейфа. Тяжёлое воздействие находилось в хвосте диапазона и зависело от направления потока, которого в исходных свидетельствах не было.

Мерон увеличил последнюю строку.

— Смерть?

— Отдельно не рассчитана. Для этого нет данных о составе и дозе.

— Но воздействие на человека рассчитано.

— Как низкая вероятность.

— Не нулевая, — сказал Таян.

Кир повернулся к нему.

— Здесь почти нигде нет нуля. Поэтому существует диапазон, а не обещание безопасности.

— Леда видела этот диапазон?

Ответ был очевиден всем. На её браслете горела ровная зелёная полоса.

— Нет, — сказал Кир. — Рабочий интерфейс его сворачивает.

— А ты видел.

— Да.

Впервые за утро это короткое слово не давало Киру преимущества. Оно лишь соединяло его с экраном.

Прогон показал четыре возможных разрыва последовательности. Автоматическая блокировка остановила бы допуск, но за сутки задержала ещё четыреста двенадцать маршрутов. Ручная блокировка Кира остановила бы один. Независимая проба обнаружила бы поток. Физическая метка после освобождения привода исключила бы старое свидетельство.

— Последнее предложила сама Леда, — напомнил специалист по среде.

Сая внесла ссылку на её голосовую запись. Имя Леды появилось рядом с моделью Кира не как название погибшей в сценарии, а как автор решения, до которого она дошла внутри тоннеля.

После прогона Мерон подготовил предварительный вывод: риск ложной согласованности был известен организации за восемь месяцев до события; предложенное исправление отклонили из-за непроверенной воспроизводимости и цены ложных блокировок; автор предупреждения располагал локальной моделью и наблюдал соответствующий случай до выдачи допуска.

— Добавьте, что я открыл карточку блокировки, — сказал Кир.

— Это уже в последовательности действий, — ответил Мерон.

— В выводе это важно. Я не просто наблюдал.

Сая посмотрела на него через дугу рабочих мест.

— Вы хотите, чтобы неотправленное предупреждение считалось предупреждением?

— Оно показывает намерение остановить допуск.

— Показывает подготовку действия. Затем вы его не совершили.

— Потому что модель предсказывала остановку работ, а не смерть. Я ожидал, что локальный прибор поймает дрейф.

— Это ваша версия мотива. Мы её запишем.

— У вас есть модель.

— Модель подтверждает прогноз диапазона. Она не подтверждает, почему вы выбрали не вмешиваться.

— Если бы совет принял карточку, Леда была бы жива.

Никто не ответил сразу. На городской карте очередной маршрут стал янтарным.

— Возможно, — сказала Сая. — Если бы механик поставил физическую метку, если бы отменённый обход вошёл в сборку, если бы интерфейс показывал возраст свидетельств, если бы вы отправили блокировку, последовательность тоже могла разорваться. Комиссия проверит каждый путь. Но ни один чужой пропущенный путь не превращает ваш пропущенный путь в исполненный.

— Значит, предупреждать бессмысленно?

— Предупреждение имеет значение. Поэтому ваше имя останется на карточке. Невмешательство тоже: ваше имя останется возле допуска Леды. Одно не стирает другое.

Сая подписала предварительный состав комиссии. Серый круг на браслете Кира замкнулся тонкой чертой протокола.

— С этого момента вы участвуете во всех технических заседаниях по окну расхождения, — сказала она. — Не как человек, которого наконец признали правым. Как человек, обладающий знанием, которое необходимо проверить. До отдельного решения вы не входите в ядро, не связываетесь с семьёй Леды и не публикуете карточку.

— Вы боитесь, что я расскажу правду?

— Я боюсь, что любой из нас расскажет только ту правду, в которой ему удобно жить.

Мерон передал Киру первый запрос комиссии: описать границы, при которых модель ошибочно блокирует безопасные допуски, и отделить их от условий сегодняшнего события. Срок стоял до полудня. Рядом система показала предупреждение о конфликте интересов.

Кир принял запрос. Ему вернули право говорить именно тогда, когда он понял: говорить придётся не речь, которую он готовил восемь месяцев, а ответы на чужие вопросы.

На выходе из зала Таян задержался у двери.

— Ты правда ожидал только разбитый анализатор?

— Модель это показывает.

— Я спросил не модель.

Кир посмотрел через стекло на изолированный накопитель. В журнале уже сохранилось, что в семь двадцать восемь из четырёх подсвеченных маршрутов он открыл именно маршрут Леды. Пока это называлось наблюдением. Чтобы назвать это выбором, комиссии требовался ещё один вопрос.

— Я ожидал, что она остановит работу, — сказал он.

Таян кивнул, но не ушёл.

— А почему ты был уверен, что именно она заметит?

Глава 5. Цена отключения

Таян не дождался ответа. Его браслет завибрировал одновременно со стеной: на городской карте янтарная полоса разом стала красной, и в зале комиссии погасли все открытые карточки. Поверх них возникло сообщение: «Контрольная остановка сборки. Новые допуски удерживаются».

Мерон выругался одними губами и вызвал дежурного.

— Кто разрешил общий тест?

— Совет устойчивости, — ответил голос. — По предварительному выводу комиссии. Они требуют доказать, что действующие свидетельства не создают второе окно.

— Мы ещё не передали вывод.

— Из зала ушла автоматическая отметка класса риска. Совет увидел её в общем журнале.

Мерон вывел состояние очереди. За сорок две секунды «Порог» удержал восемьсот девятнадцать запросов. Большинство были обычными: входы в насосные, тяговые шкафы, распределительные камеры. Один узел мигал белым внутри красного поля.

— Больничное кольцо, — сказал представитель эксплуатации. — Переводят резервный контур охлаждения томографического блока. Без допуска бригада не войдёт в нижний теплообменник.

— Сколько у них времени?

— Основной контур держит температуру ещё четырнадцать минут. Потом автоматика отключит оборудование. Внутри две процедуры.

Сая уже открывала карточку узла.

— Процедуры можно прервать?

— Одну — да. Вторая идёт с контрастом. Врач просит не двигать пациента семь минут.

Мерон связался с больничным диспетчером и приказал перейти на ручной допуск. Комплект оказался заперт в чистой зоне, ключ был у старшей смены на эвакуации, а единственного инженера нельзя было увести от теплообменника. Ручная процедура существовала, но людей для неё в нужном месте не было.

На карте рядом с больницей рос счётчик удержанных допусков. Кир машинально раскрыл состав её запроса: две живые пробы среды, положение двери, наряд бригады, состояние оборудования, полномочия смены. Свидетельства обновлялись почти одновременно. Окна, похожего на тоннель Леды, не было.

— Этот узел можно отпустить, — сказал он.

Мерон не повернулся.

— На каком основании?

— Здесь нет независимой актуализации старой физической записи. Дверь опрашивается напрямую, обе пробы сделаны после последнего сервисного действия.

— Общий тест удерживает все новые допуски.

— Значит, тест проверяет не мою гипотезу. Он проверяет, сколько город проживёт без «Порога».

— Сейчас это один и тот же вопрос для людей, которые увидели смерть после зелёной рамки.

Совет разрешил исключение для больничного кольца только после ручной сверки свидетельств и двух подписей комиссии.

— Они защищают себя, — сказал Кир. — Никто не хочет первым вернуть зелёный цвет.

— А кто должен? — спросил Мерон. — Человек, который час назад объяснял, почему зелёный цвет убил техника?

Он придвинул Киру карточку больницы.

— Вы теперь технический свидетель. Не говорите «можно отпустить». Назовите проверяемое условие, при котором этот допуск не принадлежит исследуемому классу.

Серый круг требовал пометить ответ как факт, расчёт или предположение.

— Факт: все физические свидетельства собраны после последнего изменения состояния, — произнёс Кир. — Факт: ни одно свидетельство не получило продление действительности через контроллер доступности. Расчёт: при текущих временах их допустимые интервалы имеют общую область. Предположение: неучтённого ручного вмешательства после живой пробы не было.

— Последнее проверяем у бригады, — сказала Сая.

Инженер у рамки показал целую пломбу и механический индикатор в рабочем секторе. Хранитель сохранил кадры и время связи.

Две подписи комиссии легли под исключением. Рамка больничного узла стала зелёной на семь минут, только для одной бригады и одного помещения.

Люди в плащах исчезли за дверью. Счётчик температуры остановился в трёх делениях от аварийной черты.

Мерон не закрыл карточку.

— Ручная процедура заняла четыре минуты сорок одну секунду, — сказал он. — Пять специалистов здесь, инженер у рамки, диспетчер и хранитель. За это время в городе прибавилось три тысячи запросов. Хотите обработать их тем же способом?

— Я не предлагал отключать всё.

— Восемь месяцев назад ваша карточка предлагала обязательную блокировку при временном расхождении.

— До уточнения класса.

— Уточнение было в приложении, которого не существовало.

Кир открыл рот и остановился. Так прежде отвечали ему: риск интересный, но границ нет; приходите с воспроизводимостью. Теперь за отсутствие границ платила не комиссия, а люди у больничной рамки.

— Поэтому мне нужен был случай, — сказал он.

Таян резко отодвинулся от стола. Ответ на его вопрос прозвучал, хотя Кир пытался направить его в другую сторону.

— Случай уже был, — сказала Сая. — Вы имеете в виду доказательство.

— Без события карточка оставалась бы архивом.

— А сейчас событие стало разрешением на общий тест, который вы считаете неправильным. Значит ли это, что любая цена доказательства приемлема, пока решение принимаете вы?

— Нет. Я говорю, что совет выбрал тупой способ проверки.

— Тогда помогите выбрать не тупой. Не используйте больницу как подтверждение того, что вас опять не поняли.

Мерон разделил карту по типам узлов. Простое ограничение по возрасту удерживало слишком многое: недельное свидетельство полномочий могло быть действительным, а положение створки — устареть за секунду.

Кир предложил три условия: физическое состояние менялось, прямое свидетельство после этого не обновилось, а посторонний источник продлил доступность старой записи. Там, где изменение не попало в сборку, его заменял непогашенный ручной наряд. Эксплуатация возразила: связи объектов неполны, один привод может называться в реестрах по-разному.

Раньше Кир назвал бы плохие данные доказательством своей правоты. Теперь на карте мигали реальные двери. Он ограничил поиск критическими объектами среды, давления, высокой энергии и медицинских контуров. Эксплуатация давала классы, а контролируемая копия его модели только отмечала кандидатов, не управляла допусками.

Сая внесла формулировку в протокол: модель Кира создаёт перечень кандидатов; решение принимает временная группа; каждый пропуск и каждая блокировка сохраняются как результат теста. Мерон добавил предел: если очередь критического узла ждёт больше девяноста секунд, запрос получает приоритетную ручную сверку.

Совет согласовал схему на двадцать минут. Общую остановку сняли, заменив её направленным удержанием. Красное поле на карте сжалось до ста восьмидесяти шести рамок.

Первые кандидаты оказались ложными. Кир правил запросы вслух, и после пятого исключения добавил направление зависимости: старую запись должен продлевать источник, не способный проверить само физическое состояние. В его карточке этого правила не было. Сая пометила его как новое, выведенное после события; Кир не стал выдавать скрытую особенность модели за прежнее сформулированное знание.

Седьмой кандидат пришёл с кислородной станции больничного кольца. Ночной наряд касался запорного клапана, прямое свидетельство оставалось старым, а контроллер связи продлил доступность блока. Все три условия совпали. Без оператора станция перешла бы на резерв через шесть минут, но индикатор клапана находился за рамкой: безопасный вход требовал проверки, для которой сначала требовалось войти.

Кир нашёл косвенный признак — ровное давление после голосового закрытия наряда, — но не выдал его за прямое свидетельство. Он предложил отдельный ограниченный вход к индикатору: без работы с оборудованием, с открытой рамкой и немедленным выходом при несоответствии. Оператор вошёл на три шага и показал закрытый клапан. После живой отметки «Порог» выпустил рабочий допуск; кассету разгрузили до перехода на резерв.

Мерон занёс в таблицу девять человеко-минут комиссии, задержку оператора и расход ресурса станции.

— Это цена ручной процедуры, когда она сработала. Мне нужно правило, которое завтра выдержит два миллиона решений.

За двадцать минут направленного теста модель выделила двести тридцать один запрос. После нового правила зависимости осталось сорок семь. В тридцати девяти случаях прямое свидетельство подтвердили удалённо; шесть перевели на ограниченные маршруты; два допуска удержали до физической проверки. Одним из них был вход в шахту регулятора теплосети, где ночная бригада действительно оставила заслонку в промежуточном положении.

Никто не погиб. Ничего не взорвалось. Но жилой сектор получил тепло на меньшей мощности, а ремонтная смена потеряла сорок минут. Это было первое повторение механизма без трагедии и первое доказательство его цены.

Совет потребовал оставить направленное удержание на сутки. Мерон отказался подписывать бессрочный режим без сменных групп и предела очереди. Они согласовали шесть часов, четыре критических класса и обязательную живую проверку всех связанных ручных нарядов.

— «Порог» остаётся в работе, — сказал Мерон комиссии. — Не потому, что событие единично. Потому что отключение переносит риск на людей, которые будут открывать двери вслепую, носить ключи и сверять несовместимые журналы. До доказательства безопасной замены мы ограничиваем конкретный механизм, а не отменяем инфраструктуру.

Кир услышал в этих словах пересказ собственного довода перед допуском Леды: нельзя останавливать полезную систему из-за хвоста вероятности. Разница была не в расчёте. Мерон назвал риск, ввёл предел, оставил журнал и распределил право остановки. Кир тогда оставил решение у себя и никому не сообщил цену.

— Запишите, что общий тест был ошибкой, — сказал он.

— Запишем его последствия, — ответила Сая. — Оценку даст комиссия.

— Если бы больничный узел сорвался, ответственность была бы на совете.

— В том числе. Это не сделало бы ваш выбор меньше.

— Я не говорил о своём выборе.

— Поэтому я напомнила.

Таян стоял у дальней консоли, проверяя запросы водяного сектора. После вопроса у двери он больше не обращался к Киру напрямую. Теперь он переслал комиссии найденное соответствие: старая модель Кира давала маршрутам разные веса в зависимости от поведения исполнителя при прошлых сбоях. У Леды был самый высокий показатель самостоятельного обнаружения несоответствий.

Сая открыла правило модели. Оно не называло людей надёжными или ненадёжными. Оно оценивало вероятность, что исполнитель запросит дополнительную пробу до автоматической остановки.

В списке четырёх утренних сценариев Леда стояла первой.

— Это помогало вам ограничивать ложные блокировки? — спросила Сая.

— Да. Опытный исполнитель снижает вероятность тяжёлого исхода.

— Поэтому вы выбрали её маршрут для наблюдения?

Таян не торжествовал. Он приложил ссылку, которую Кир обязан был указать сам. На карте больничное кольцо снова было белым. Это позволяло собрать удобную защиту из правдивых частей: остановка опасна, ручной порядок дорог, ограниченный риск необходим.

Серый круг требовал выбрать тип ответа.

— Это предположение о моём мотиве, — сказал он. — Факт: модель ставила Леду первой по вероятности заметить расхождение. Факт: я открыл её маршрут и сохранил как сценарий. Я отвечу о причине после просмотра журнала собственных запросов.

— Вы помните причину, — сказал Таян.

— Помню. Но комиссия требует отделять память от подтверждения.

Сая приняла ответ и назначила изъятие истории запросов. Она не позволила Таяну назвать уклонение признанием и не позволила Киру выдать процедуру за невиновность.

Мерон передал Киру следующий рабочий запрос: описать новое правило зависимости, все сорок семь случаев направленного теста и пределы, при которых ограниченный вход допустим. Срок оставался прежним — до полудня.

— Систему сохранили, — сказал Кир. — Значит, моя карточка всё-таки была непрактичной.

— Нет, — ответил Мерон. — Она была незаконченной. Сегодня другие люди дописали к вашей мысли процедуру, за которую готовы отвечать. Не путайте отказ уничтожить «Порог» с отказом видеть его дефект.

Кир принял запрос. Доказанный механизм уже не принадлежал ему целиком: другие люди дали предел времени, ограниченный вход, критические классы и цену применения. Их возражения сделали точным то, что его модель прятала внутри расчёта.

На его браслете появился новый файл из архива запросов. Заголовок содержал время — семь двадцать девять — и имя Леды.

До открытия оставалось одно действие. Кир задержал палец над строкой, уже зная, что там не будет ни слова о спасении города.

Глава 6. Чужой маршрут

Файл с отметкой 07:29 Сая не позволила открыть на браслете Кира.

Она вызвала хранителя, дождалась контрольной копии и только потом вывела запись на общий экран. В сером круге комиссии появился короткий запрос: четыре маршрута, выделенные моделью, и набор полей, которые Кир просматривал перед выбором сценария. Имени Леды в строке не было. Вместо него стоял служебный номер допуска, но рядом система сохранила сортировку: вероятность самостоятельной проверки — по убыванию.

Маршрут Леды находился первым.

— Что именно вы запросили? — спросила Сая.

— Историю действий исполнителей при расхождении свидетельств.

— Зачем?

Кир посмотрел на категорию ответа. Факт, расчёт, предположение. Для памяти подходящего поля не существовало.

— Чтобы оценить, какой из четырёх случаев не закончится воздействием на человека.

— Это ваша память. Чем она подтверждается?

— Порядком полей. Я вывел самостоятельную проверку перед ценой оборудования.

Таян поднял голову от водяного сектора.

— А цену человека модель ставила после оборудования?

— Она считала ожидаемый ущерб, а не ценность человека.

— Удобное различие.

— Запрос показывает, кого вы считали способным заметить расхождение, — сказал он. — Он пока не показывает, зачем вы открыли маршрут. Не заставляйте журнал говорить больше, чем в нём записано.

Сая уменьшила окно.

— И меньше тоже не будем. В 07:29 Кир ранжировал четыре допуска. В 07:30 сохранил первый как сценарий. Теперь восстановим, что делала сама Леда между отменой обхода и входом.

Кир приготовился увидеть знакомую схему: запрос, рамку, зелёную полосу. Но Сая открыла не журнал «Порога», а рабочий наряд внешнего кольца. У него была собственная последовательность, собранная из диспетчерской, склада и браслета Леды. В ней допуск в тоннель занимал не начало и не конец, а середину чужой работы.

В 06:52 Леда приняла заявку жилого сектора «Северная гряда». В двух домах падала тяга возвратного воздуховода. Автоматика удерживала состав воздуха в норме, повышая мощность соседней линии, но резерв нагревался быстрее расчётного.

— Аварии не было, — сказал Кир.

Сая выделила следующую строку.

В 07:03 Леда запросила тренд за шесть часов и увидела ступенчатое падение после ночной перенастройки. В 07:08 она отказалась от предложенного диспетчером переноса на дневную бригаду. Причина: если заклинившая заслонка останется в промежуточном положении, резервная линия достигнет предела в час возвращения жителей. Тогда пришлось бы отключить вентиляцию сразу в двух домах, чтобы не перегреть общий привод.

— Это её оценка? — спросил Кир.

— Подтверждённая расчётом диспетчера в 07:12, — ответила Сая. — Он дал ей окно до восьми десяти. Позже тоннель занимала бригада теплоизоляции, а после полудня начиналась нагрузка.

На схеме возникли два жёлтых корпуса с достаточным запасом. Леда увидела цепь, которая могла привести к эвакуации вечером, и решила разорвать её утром, пока цена оставалась малой.

Запас составлял девять процентов к часу пик. Но Леда оставила расчёт, сообщила диспетчеру и приняла ограниченный наряд. Она не назначила цену молча.

— Что требовалось сделать в тоннеле? — спросил Таян.

Сая раскрыла карточку операции. Леда должна была дойти до сервисной ниши, проверить привод на месте, снять напряжение с линии и установить механический фиксатор. Если створка не садилась полностью, она обязана была выйти и вызвать двоих специалистов. Работа в одиночку разрешалась только для осмотра и фиксации при безопасном составе воздуха.

— Поэтому она несла фиксатор, — сказал Таян.

В журнале склада стояла выдача лёгкой медной скобы. После гибели её нашли в сумке у защитной ниши.

Кир помнил сумку как светлое пятно на записи и ни разу не спросил, что в ней было. В его сценарии не было домов, вечерней нагрузки и скобы.

— Ночной обход должен был проверить створку, — сказал он. — Если его отменили, её наряд опирался на неверное исходное состояние.

— Именно это она и заметила, — ответила Сая.

В 07:16 Леда запросила причину отмены обхода. Диспетчерская карточка отвечала: недостаточный состав смены, низкий приоритет при штатных дистанционных показаниях. Леда переслала вопрос оператору тоннеля: «Кто подтвердил положение после освобождения привода?»

Ответ пришёл через четыре минуты: «Телеметрия зелёная. Ручного подтверждения нет».

Леда не закрыла наряд. Она добавила локальную проверку маски, взяла переносной анализатор и попросила живую пробу у рамки. В 07:24 диспетчер предложил заменить заявку наблюдением до дневного обхода. Её ответ состоял из двух предложений: «Наблюдение покажет рост нагрузки после того, как исчезнет безопасное окно ремонта. Проверю среду и положение на месте; при несовпадении выйду без работы».

Леда видела риск отсрочки, добавила проверки и поставила предел собственным действиям.

— Она знала, что свидетельство положения старое, — сказал Кир.

— Она знала, что нет ручного подтверждения, — поправила Сая. — Возраст машинной записи браслет скрыл. Разницу временных меток видели вы.