Компьютерные войны и ядерная безопасность

Борис Раушенбах

Профессор теоретической механики Московского физико-технического института; действительный член Академии наук СССР и Международной академии астронавтики. Лауреат Ленинской премии. Член Комитета советских ученых за мир, против ядерной угрозы.

Сейчас многие говорят о необходимости нового мышления в наш ядерный век. Слишком могущественным стал человек, он в состоянии сделать то, что еще в начале нашего столетия казалось абсолютно невероятным — уничтожить на Земле все живое, в том числе и себя. В этих новых условиях уже нельзя думать и действовать как во все предшествующие столетия и тысячелетия — с позиций интересов своего рода, своего племени или своей страны. Ныне надо учитывать глобальные последствия своих действий.

Глобальный характер человеческой деятельности проявляет себя всюду — в проблеме ограниченности земных ресурсов, в экологических проблемах и, конечно, в проблеме гонки вооружений.

При решении, например, экологических задач, стоящих перед человечеством, оно, образно говоря, имеет «право на ошибки». Это связано с тем, что экологические процессы развиваются достаточно медленно, их можно спокойно наблюдать, изучать, а затем рекомендовать те или иные изменения в деятельности человека. Если предложенные меры оказались неэффективными, можно разработать новые и в конце концов методом «проб и ошибок» решить задачу.

Совершенно иной характер будут иметь ошибки в случае ядерного конфликта. Времени на их исправление просто не будет. Вполне возможно, что первая ошибка окажется и последней. Крайняя скоротечность ядерного конфликта объясняется тем, что время полета баллистических ракет измеряется минутами.

Компьютеры в войне

В силу скоротечности боевых операций и чрезвычайной сложности современной боевой техники, в том числе управления ею, компьютеры становятся совершенно необходимым элементом вооруженных сил. Как правило, они выступают в роли помощников человека, делая возможным управление современным оружием. Однако по мере усложнения управления и возрастания скоротечности боевых действий компьютеры начинают вытеснять человека и на них возлагается принятие ответственных решений. Это может привести к тому, что в особо сложных обстоятельствах противостоять друг другу будут не люди, а компьютеры.

Возможность возникновения компьютерной войны станет реальностью, если стратегия запуска по предупреждению войдет в силу или воплотятся в жизнь планы милитаризации космоса. Полная компьютеризация любой боевой системы чревата серьезными опасностями. В этой статье мы выбрали в качестве примера оружие, размещаемое в космосе,— это поможет нам конкретизировать анализ, и такой пример наиболее адекватно отражает полную компьютеризацию боевых систем.

Такая компьютеризация таит в себе огромные опасности. Некоторые виды космического оружия потребуют полной компьютеризации из-за поистине мгновенного, буквально за долю секунды, распространения ими разрушительной энергии. Оказывается невозможной обычная схема боевого управления, состоящая из трех звеньев: сообщение об обстановке — ожидание решения командования — выполнение полученного приказа. Ожидание решения военного или политического руководства становится невозможным, поскольку никакой человек не сможет оценить обстановку и принять правильное решение, если ему на это отводится время, измеряемое секундами. Поэтому решение будет приниматься компьютерами в соответствии с заложенными в них программами.

Люди становятся заложниками компьютеров — в случае ядерной войны само существование человечества начинает зависеть от компьютеров, от заложенных в них программ и от исправности этих думающих машин. В этих условиях возможность непреднамеренного начала боевых действий одной из сторон, начала боевых действий по ошибке или в результате случайного стечения обстоятельств перестает быть академическим вопросом.

Проблема непреднамеренного, случайного возникновения ядерного конфликта все чаще обсуждается сегодня как одна из серьезных опасностей, угрожающих человечеству. Возможны различные причины опасного развития событий; остановимся только на тех, которые связаны с работой компьютеров.

Обычно указывают на две бросающиеся в глаза причины. Первая из них — отказы отдельных элементов космической боевой системы. В результате того, что тот или иной элемент системы выйдет из строя, возможно не только падение эффективности боевой системы, но и начало боевых действий без достаточных для этого оснований. Вторая причина — ошибки в программном обеспечении компьютеров.

Однако существует и третья причина, на которую до сих пор не обращали должного внимания. Она не связана ни с отказами элементов боевой системы, ни с ошибками разработки ее программного обеспечения, а поэтому носит неустранимый характер. Ее порождает несогласованность программных обеспечений двух противостоящих друг другу систем. В них будут заложены не фактические свойства боевой системы потенциального противника, а лишь представления об этих свойствах. В условиях взаимной секретности эти представления окажутся неточными, а возможно, и просто ошибочными. Вот эту подмену реальных свойств системы потенциального противника на неизбежно неточные представления о них мы и будем называть отсутствием согласования программного обеспечения компьютеров обеих систем.

Чтобы облегчить дальнейшее рассмотрение, сделаем практически невероятное предположение, что программное обеспечение обеих противостоящих систем никаких ошибок не содержит и никаких отказов элементов в системах не происходит. Единственные ошибки, которые мы будем в дальнейшем учитывать,— это ошибки планирования, связанные с недостаточностью информации о противостоящей стороне.

Выведенные в космос многофункциональные системы составят некий боевой комплекс. Чтобы не быть застигнутым врасплох, значительные средства будут затрачиваться не только на обнаружение старта баллистических ракет, но и на обнаружение подготовки к такому старту, к боевому использованию космического оружия и других подготовительных операций.

Будем далее исходить из двух почти очевидных предположений: что обнаружение операций, непосредственно предшествующих боевому использованию космических средств, возможно и что обе стороны не стремятся развязать ядерный конфликт при первом же обнаружении признаков, которые могут быть истолкованы как подготовка к началу боевых действий.

Если система А обнаружила, что система В приступила к подготовительным операциям, то она тоже должна начать их, а не развязывать ядерную войну, поскольку действия системы В могли быть ошибочно истолкованы. Лишь при обнаружении достаточно большой совокупности тревожных признаков система А может счесть себя вынужденной к началу боевых действий, причем необязательно сразу пускать в ход ядерное оружие. Таким образом, создается определенная постепенность реагирования на действия другой стороны, имеющая целью исключить возможность случайного возникновения ядерного конфликта.

Чтобы придать этим довольно общим рассуждениям известную наглядность, можно предложить такую, например, схему реагирования системы А на действия системы В. Пусть разработчики системы А заложили в ее программу последовательность действий, которая исходит из того, что критическим является одновременное появление шести тревожных сигналов.

Конечно, приведенная схема — лишь наглядная иллюстрация. Критическое число одновременного появления тревожных сигналов может быть и иным, оно безусловно будет связано с тем, о каких признаках идет речь, и, кроме того, схема реагирования на действия стороны В будет не столь элементарной. Но какими бы ни оказались реальные программы, они всегда будут исходить из требований постепенного наращивания ответных действий, чтобы последние были адекватны потенциальной угрозе. Очевидно также, что исчезновение тревожных сигналов (уменьшение их числа) приведет к соответствующей отмене ответных мероприятий. В конце концов, если действия системы В были просто неверно интерпретированы, то по мере исчезновения тревожных сигналов или уточнения их интерпретации (ведь их могли породить и редкие природные явления) система А вернется к исходному состоянию.

Описанная последовательность действий — их постепенность и обратимость — делает систему А «устойчивой» к слабым возмущениям (малому числу тревожных сигналов): она реагирует «пропорциональным» образом, наращивая или ослабляя ответные подготовительные операции в соответствии с планом. При этом не видно никаких причин для лавинообразного развития процесса, приводящего к ядерному конфликту без достаточных оснований. Эта простая «пропорциональность», казалось бы, исключает случайное возникновение ядерного конфликта.

Очевидно, что система В будет строиться с учетом аналогичных требований и тоже будет «устойчивой», в ней тоже будет реализована «пропорциональность», о которой речь шла выше. Однако «устойчивость» систем Aw. В, взятых порознь, вовсе не означает, что устойчивой будет большая система А + В.

Отсутствие стабильности

Рассмотрение большой системы А + В, т. е. взаимодействующих систем А к В, показывает, что обычные методы расчета, моделирования, обработки и испытания больших систем, необходимые для обеспечения устойчивости их совместной работы, не могут быть реализованы с требуемой полнотой. Поскольку системы Ам В являются противоборствующими, то отработка и отладка каждой из них будет производиться независимым путем, более того, в полной тайне друг от друга. Их первое «объединение» в большую систему произойдет тогда, когда они приступят к боевому дежурству, их первая совместная работа произойдет при первой же реальной конфликтной ситуации, а первым испытанием могут оказаться боевые действия.

Современная теория управления говорит о том, что объединение двух порознь устойчивых систем в общую большую систему нередко приводит к неустойчивости последней. Поясним сказанное, обратившись к следующей схеме.

Прямоугольники А и В изображают соответствующие системы, а линии хм у, заканчивающиеся стрелками,— потоки информации, которыми обмениваются системы А и В после того, как они объединились в большую систему А -\- В. Этими «потоками информации» являются тревожные признаки, которые одна система обнаруживает в другой (помимо ее желания). Начнем рассмотрение задачи, обратившись к «разомкнутой» системе, предположив, что в точке С связь между А и Б прервана, и информация у в g       систему В не попадает, т. е. система В не в состоянии обнаружить процессов, идущих в системе А.

Предположим, что в системе В, функционирующей в мирных условиях, происходят какие-то процессы, которые регистрируются системой А (на схеме это по казано как получение информации х). Причем эти процессы порождены не подготовкой к боевым действиям, а мелкой неисправностью, контрольной проверкой или чем-нибудь подобным. Допустим, что система А воспринимает их как сигналы, свидетельствующие о подготовке системы В к боевым действиям (ведь система А не обладает исчерпывающей информацией о системе В; в этих условиях известная взаимная подозрительность не только легко объяснима, но и необходима). Получив информацию х, система А перейдет из режима чистого наблюдения в состояние боевой готовности той степени, которая адекватна полученной информации х. Если по истечении некоторого времени неисправность в системе В будет устранена или закончатся ее контрольные включения, поток информации х перестанет содержать тревожные признаки и система А вернется к режиму чистого наблюдения. Таким образом, случайный всплеск тревожных признаков не приведет в данном случае к трагическим последствиям.

Описанный здесь процесс, свидетельствующий об «устойчивости» системы А, оказался возможным вследствие того, что информация у, говорящая о действиях системы А, не поступила в систему В. Рассмотрим теперь поведение обеих систем при условии замыкания обратной связи в точке С, когда они становятся единой системой А -\- В.

Допустим, обе системы устойчивы в описанном выше смысле и обе работают идеально. Пусть, далее, в систему А поступит сигнал d, никак не связанный с работой системы В, а имеющий причиной какое-либо редкое природное явление, или случайное происшествие в космосе, или еще что-либо, что может быть интерпретировано системой А как тревожный сигнал. Предположим, что этот сигнал не слишком серьезен и система А сделает лишь первые шаги к переходу в состояние боевой готовности. Как только информация у об этих мерах будет получена системой В, она среагирует на нее, и в системе А окажется два одновременных сигнала d и х, из которых последний относится к действиям системы В.

Появление двух тревожных сигналов вместо одного приведет к тому, что система А предпримет еще один шаг, приближающий начало атаки, и это сразу изменит информацию у на входе в систему В, она тоже станет более тревожной. Связанная с этим перестройка функционирования системы В изменит содержание информации х, которая приобретет еще более тревожный характер, система А среагирует на это, и так разовьется лавинообразный процесс приближения к боевым действиям систем, который может перерасти в ядерный конфликт.

Приведенный пример поучителен в том смысле, что иллюстрирует реальную возможность совершенно «беспричинного» начала боевых действий в результате взаимодействия двух абсолютно исправных автоматизированных систем, каждая из которых, рассматриваемая независимо от другой, «устойчива». Теория управления легко объясняет возникшую неустойчивость системы А + В как порожденную положительной обратной связью (система А отвечает на действия системы В так, что система В не успокаивается, а еще более возбуждается).

Сложность контроля

Выходом из положения, казалось бы, может быть введение такой схемы управления, которая просто не реагирует на слабые сигналы. В предельном случае, стремясь устранить неустойчивость системы А + В в рассмотренном смысле, можно предложить схему функционирования систем, вообще не реагирующих на признаки подготовки другой системы к боевым действиям, а реагирующих, причем очень остро, возможно, с использованием ядерного оружия, только на начало боевых действий другой стороны.

Проблема, возникающая при разработке космической системы, реагирующей на действия другой стороны таким образом, может быть сформулирована как проблема определения того порогового значения совокупности признаков, которые свидетельствуют о начале боевых действий и достаточны для принятия собственных ответных мер. Как показывает анализ, проблема эта не так проста, как кажется с первого взгляда.

Предположим, создатели системы А знают, что тот или иной вариант начала боевых действий другой стороной может быть безошибочно определен при появлении пяти известных тревожных признаков. Учитывая отсутствие полной согласованности программного обеспечения своей системы с фактическими свойствами системы потенциального противника, они будут стоять перед трудной задачей, если приборы зарегистрируют только 3 или 4 тревожных признака из пяти. Начинать ли боевые действия? Их следует начинать, если отсутствие ряда признаков — следствие «военной хитрости» или расхождения фактических свойств системы В с заложенными в компьютеры системы А представлениями об этих свойствах. Боевые действия ни в коем случае не следует начинать, если отсутствие ряда признаков свидетельствует о том, что происходит вовсе не нападение, а что-то другое, поскольку ответные действия стороны А стали бы в этом случае началом боевых действий по ошибке. Трудность решения усугубляется тем, что его надо заложить в программное обеспечение системы А задолго (возможно, за многие годы) до того, как в компьютерах системы А оно будет на самом деле приниматься. Таким образом, возникшая неопределенность признаков начала боевых действий может привести либо к ошибочному отказу от отражения нападения, либо к началу боевых действий по ошибке.

И без того сложная задача, стоящая перед создателями программного обеспечения обеих сторон, еще более осложняется возможностью пусков ложных целей. Сторона, запускающая их, будет стремиться не замаскировать, а усилить соответствующие признаки, чтобы противная сторона бессмысленно растратила свои запасы средств поражения настоящих целей. Таким образом, создатели программного обеспечения столкнутся с необходимостью поиска дополнительных признаков, позволяющих отличить настоящие цели от ложных. Неопределенность в истолковании поступающей информации возрастет в сильнейшей степени, что приведет к дополнительной «дестабилизации» всего программного обеспечения, а следовательно, и увеличит вероятность неадекватных, опасных действий, вплоть до использования ядерного оружия.

Реальные системы программного обеспечения будут скорее всего содержать как части, основанные на пропорциональном реагировании, так и части других известных теории управления способов реагирования на входную информацию. Анализ показывает, что это ни в малейшей степени не в состоянии изменить конечные выводы. Взаимно не согласованные системы А и В, объединившись в большую систему А -\- В, будут действовать по законам, свойственным системе А -j- В, которые не будут известны ни создателям системы А, ни создателям системы В. Приведенный выше пример показывает, что кардинальные свойства большой системы и составляющих ее частей могут быть качественно различными (системы A vi В порознь устойчивы, а система А + В неустойчива). Но в таком случае ни сторона А, ни сторона В не в состоянии гарантировать «разумное» поведение системы А + В. Здесь следует подчеркнуть, что в силу быстротечности боевых действий, которые могут по ошибке начать системы А и В, военное и политическое руководство обеих сторон не успеет вмешаться с целью их предотвращения.

Заключение

Таким образом, человечество как бы передоверяет свою судьбу системе компьютеров, которые даже при идеальной работе (без отказа элементов, без ошибок в разработке и реализации программного обеспечения) будут действовать по логике, неведомой человеку. Эта логика вполне способна при некоторых (никому не известных) обстоятельствах ввергнуть нас в войну, итогом которой будет гибель человечества. Там, где человек, возможно, и остановился бы, компьютеры будут продолжать действовать, ибо они не обладают моралью.

Чтобы не допустить такого развития событий, надо уже сегодня изменить свое мышление, думать не с позиций отдельных систем, А или В, а с позиции большой системы А + В, т. е. с позиции всего человечества. Достаточно встать на эту точку зрения, как сразу становится ясным, что подготовка к «звездным войнам», которая поставит человека в зависимость от компьютеров, выглядит как безответственная и опасная деятельность.