Уильям Митчелл - Я++ - Человек, город, сети

Помимо оборудования к катастрофическому распространению ошибок склонно и программное обеспечение. В январе 1990 года небольшая техническая проблема на телефонной подстанции в Нижнем Манхэттене привела к тому, что коммутатор ненадолго отключился и запустил перезагрузку своего программного обеспечения. Включившись снова, он известил другие коммутаторы по всей стране, что они могут начинать направлять ему вызовы. К сожалению, из-за ошибки в программе эти извещения вызывали перезагрузку получавших их коммутаторов. Включившись снова, они становились новым звеном этой цепной реакции и так далее. Прежде чем ошибка была найдена и исправлена, нарушилась работа 114 подстанций, а телефонная сеть была практически выведена из строя на девять часов. Не состоялось 70 из 138 миллионов запрошенных в этот день междугородных разговоров и звонков на номера 800, что привело к ущербу в сотни миллионов долларов 7.

Ситуация может усугубляться тем обстоятельством, что разные типы сетей часто функционально зависят друг от друга – и сбой в одной сети может спровоцировать неполадки в другой. Особенно тесно переплетены сети телекоммуникаций и электроснабжения: аппаратура первых нуждается в электроэнергии, инфраструктура вторых управляется при помощи сложных телекоммуникационных систем. Похожим образом при отключении электричества выходят из строя светофоры, и на дорогах начинается неразбериха. А там, где работа водоснабжения и воздуховодов обеспечивается электронасосами, из-за перебоев с электричеством здание может стать непригодным для обитания. Даже при отсутствии прямой взаимозависимости близкое расположение сетевых соединений может способствовать распространению сбоев. К примеру, в тоннелях под Гудзоном и Ист-Ривер в Нью-Йорке проложены как транспортные, так и телекоммуникационные магистрали, поэтому затопление тоннеля приведет к обрыву обеих сетей 8. Разрушение башен-близнецов одновременно уничтожило и важный пересадочный узел подземки в цокольном этаже, и множество телекоммуникационных передатчиков на крыше.

Зрелищный и потому часто упоминаемый случай цепной реакции сбоев произошел в Вустере, штат Массачусетс. Подросток взломал программное обеспечение телефонной подстанции и стер настройки коммутатора, в результате чего телефонная связь отключилась по всему округу 9. Диспетчеры местного аэропорта использовали телефонный сигнал для включения огней на взлетно-посадочной полосе. Когда заходивший на посадку самолет запросил включить огни, диспетчеры не смогли ничего сделать, и аэропорт пришлось закрыть.

Случается, что серьезные повреждения инфраструктуры естественным образом приводят к выводу крупной сети из строя. К примеру, буран, случившийся в Квебеке в январе 1998 года, повалил деревья, столбы и опоры ЛЭП, повредив тысячи миль проводов на громадной территории. В результате многие районы Монреаля остались без электричества на несколько морозных недель, а работы по восстановлению потребовали огромных усилий. Однако в определенных обстоятельствах к отключению целых систем может привести и точечный сбой или повреждение.

Еще на заре эры интернета передовые исследователи начали понимать, что способность системы поддерживать функционирование после сбоя во многом зависит от ее структуры. Пол Баран начал свою основополагающую статью о рассредоточенных сетях с диаграммы, показывающей три типа сетевых структур: централизованную, децентрализованную и распределенную 10. Централизованная сеть состоит из соединений, расходящихся от центрального узла, совсем как радиальные улицы Пальмановы. Такая сеть, по словам Барана, «очевидно уязвима, поскольку вывод из строя одного лишь центрального узла прерывает связь между всеми остальными пунктами».

Высотные башни – скажем, башни Всемирного торгового центра – уязвимы именно потому, что все вертикальные пути сосредоточены в центральном несущем стволе. Строительные нормативы требуют наличия нескольких изолированных путей эвакуации, и при сравнительно небольшом возгорании этого может быть достаточно, но не в случае катастрофических событий, когда ствол разрушается полностью.

Децентрализованная сеть получается из «нескольких звезд, соединенных между собой в большую звезду», примерно как расходящиеся от площадей главные улицы в созданном Кристофером Реном плане Лондона, в Париже Оссманна или Вашингтоне Л’Анфана. Центры звезд остаются уязвимыми местами сети, но разрушение одного такого подцентра не приводит к тотальному обрушению: отключаются лишь узлы, подсоединенные непосредственно к нему, а остальная система продолжает функционировать. Децентрализация дает возможность поступенчато наращивать размер сети и позволяет блокировать последствия аварии.