Alliance Research Group

ARG Explains 11

Sześć rozmów na statku Bosmana

Opowieść o tym, czemu kapitan nie musi wiedzieć wszystkiego, a kompas musi widzieć wszystko.

Governance vessel with declared latency
COMPASS N / S / NULL LOGBOOK WHAT + WHY KEYS TEMPORARY RIGHTS The captain is not the bottleneck. The ship is the governance system.

Ten esej jest opowieścią. Każda postać i każda scena niesie pojęcie z papieru technicznego Governance with Declared Latency. Czytelnik, który nigdy o nim nie słyszał, też powinien dojść do końca i zrozumieć rzecz. Czytelnik, który zna paper, zobaczy te same rzeczy w innym świetle.

01

Odwołanie

Kto może zmienić decyzję, regułę i Legal Anchor.

02

Pustka

Kompas, który uczciwie mówi „nie wiem”.

03

Konflikt warstw

Gdy reguła i czucie systemu wskazują co innego.

04

Dwie księgi

Audit mówi co. Opowieść mówi dlaczego.

05

Ster w burzy

Jak wymieniać system, gdy statek dalej płynie.

06

Klucze

Uprawnienia są czasowe, warunkowe i świadkowane.

I. Wypłynięcie

Wczesnym rankiem statek Bosmana wypływał z portu. Nie był ani największym statkiem we flocie, ani najszybszym. Ale miał coś, czego inne statki nie miały: kapitana, który wiedział, że nie wie wszystkiego.

Kapitan Bosman stał na mostku i patrzył, jak Albert — dawny żeglarz, który nigdy nie był kapitanem, ale przepłynął więcej mórz niż ktokolwiek z załogi — sprawdzał busolę.

— Coś cię niepokoi, Albercie? — spytał Bosman.

— Zawsze coś mnie niepokoi — odpowiedział Albert, nie odrywając oka od igły. — Tym razem niepokoi mnie tempo. Wiatr się zmienia szybciej niż kiedyś. Burze przychodzą bez ostrzeżenia. Przeciwnicy na innych statkach uczą się szybciej, niż my zdążamy reagować.

Bosman skinął głową. Wiedział to. Wszyscy kapitanowie ostatnich miesięcy mówili o tym samym.

— I co z tego wynika?

Albert spojrzał na niego.

— Wynika z tego, że jeśli każdą decyzję na statku ma podejmować jedna osoba — kapitan, ja, ktokolwiek — to nasz statek jest tak szybki jak najwolniejsza decyzja tego człowieka. A człowiek to człowiek. Ja jem. Ja śpię. Ja czasem nie wiem.

— Więc kogo masz prosić?

— Nikogo. Po prostu trzeba inaczej zbudować statek.

Tę rozmowę Albert nazwał później fractal bottleneck — bo, mówił, gdy raz człowiek staje się wąskim gardłem na statku, to staje się nim na każdym poziomie: w tym jak ster reaguje na falę, w tym jak załoga reaguje na alarm, w tym jak rada oficerska decyduje o zmianie kursu. Wszędzie taki sam mechanizm, w innej skali.

Statek wypłynął. Sześć rozmów miało się jeszcze odbyć, zanim wrócił.

II. Pierwsza rozmowa: O tym, kto kogo może odwołać

Trzeciego dnia rejsu zdarzyła się sprawa z wartownikiem.

Stary Spock — bosmanmat, który odpowiadał za klucze do magazynów i porządek na pokładzie — zawiesił marynarza za to, że w nocy bez pozwolenia otworzył skrzynię z linami zapasowymi. Marynarz tłumaczył, że potrzebował liny, że burza się zbliżała, że nie było czasu pytać.

Marynarz przyszedł do kapitana.

— Spock mnie ukarał. Niesłusznie. Ratowałem statek.

Bosman wezwał Spocka.

— Czy mogłeś zwolnić tę karę?

— Mogłem — odpowiedział Spock. — Mogłem zwolnić tę jedną karę. To moje prawo.

— A czy mogłeś zmienić regułę, że nie wolno otwierać skrzyń bez pozwolenia?

Spock pokręcił głową.

— Nie sam. Tę regułę zapisaliśmy na początku rejsu, wszyscy oficerowie razem. Mogę ją zmienić tylko z radą oficerską.

— A gdybym ja kazał ci ją zmienić?

Spock spojrzał na kapitana spokojnie.

— Zmieniłbym, kapitanie. Ale wtedy bym też zapisał w dzienniku, że to ty kazałeś. Zmiana reguły jest sprawą nas wszystkich. Pojedyncza kara to sprawa moja. Pojedyncza decyzja to sprawa kapitana.

— A co jeśli ktoś chce odwołać samą zasadę, że jest Legal Anchor — żelazne prawo, którego ani ty, ani ja, ani rada oficerska nie złamie?

— To trzeba wpłynąć z powrotem do portu — powiedział Spock. — Legal Anchor zmienia się tylko na lądzie. Nie na morzu. Nie pod presją burzy. Nigdy w pojedynkę.

Bosman zwolnił marynarza z kary tego dnia. Liny rzeczywiście były potrzebne. Ale regułę zostawił, jak była. Trzy warstwy autorytetu — pojedyncza kara, reguła, prawo żelazne — i tylko ostatniej z nich nie ruszał nawet kapitan.


III. Druga rozmowa: O kompasie, który mówi „nie wiem”

Kompasy na statkach Bosmana były niezwykłe. Zwykły kompas pokazuje północ. Te kompasy pokazywały trzy rzeczy: północ, południe, i — czasem — pustkę.

Pustka oznaczała, że kompas nie ma odpowiedzi. Że pole magnetyczne jest zbyt zaburzone, że żelazo w ładowni zakłóca pomiar, że coś jest nie tak.

Kapitan na innych statkach nie cierpiał takich kompasów. „Co mi po kompasie, który mówi ‘nie wiem’?” — pytali. Bosman odpowiadał:

Lepszy kompas, który czasem mówi „nie wiem”, niż kompas, który zawsze mówi „północ”, a połowę razy się myli.

Ale Bosman wiedział też, że pustka ma cenę. Każde nie wiem znaczyło, że ktoś — sternik, oficer, on sam — musiał zatrzymać się i sprawdzić. Kosztowało czas. Kosztowało wysiłek.

Brat Kartezjusz, kapelan-chronista statku, prowadził w dzienniku osobną rubrykę dla pustek. Pewnego razu pokazał ją Bosmanowi.

— Spójrz, kapitanie. W tym tygodniu kompas powiedział pustka dwadzieścia razy. Sternicy musieli zatrzymać się dwadzieścia razy. To jest dużo.

— Co proponujesz?

— Trzy stopnie zaufania — powiedział Kartezjusz. — Kompas mówi pustka mała: sternicy próbują jeszcze raz. Pustka średnia: oficer wachty rozstrzyga. Pustka duża: wszyscy oficerowie razem. I jeszcze jedno: kompasy, które długo nie myliły się, mogą podejmować decyzje samodzielnie nawet w pustce małej. Kompasy, które miały błędy, muszą pytać częściej.

Bosman pokiwał głową.

— Niech tak będzie. Pustka jest cenna, bo uczciwa. Ale uczciwość bez wagi też potrafi zatopić statek.


IV. Trzecia rozmowa: O tym, co kompas chce, a czego mu nie wolno

Pewnej nocy Albert stanął przy kompasie i zaczął się śmiać. Bosman wyszedł na pokład.

— Co cię tak rozbawiło?

— Spójrz, kapitanie. Kompas pokazuje północ. Żelazo pokazuje, że jesteśmy o pięć stopni na wschód. Mapa mówi, że obie odpowiedzi są błędne.

— Więc co mówi kompas?

— Kompas mówi: północ, ale czuję że to nie tak, ale taką mam regułę. — Albert popatrzył na Bosmana. — Czy widziałeś kiedyś kompas, który czuje?

— Każdy dobry kompas czuje, jeśli jest dobrze zrobiony.

— Ale co zrobimy, gdy czuje jedno, a reguła mówi co innego?

To była trzecia rozmowa. Bosman nazywał ją później konfliktem warstw.

— Trzy rzeczy musimy zrobić — powiedział. — Po pierwsze: zapisać w dzienniku obie. To, co kompas czuł, i to, co zrobił. Bez tego nie ma jak zrozumieć, gdy się pomylił. Po drugie: gdy reguła i czucie się nie zgadzają, ja albo rada oficerska rozstrzygamy — ale tylko w sprawach poniżej Legal Anchor. Legal Anchor jest poza dyskusją, nawet gdy kompas czuje inaczej. Po trzecie: jeśli mnie nie ma, jeśli rada nie odpowie — kompas zatrzymuje statek. Lepiej stać niż płynąć w niezgodzie.

Albert pokiwał głową.

— Człowiek nie zawsze będzie obecny na każdym szczeblu. Reguły muszą działać i bez nas. Ale Legal Anchor — to nasza wspólna obietnica. Tej nikt sam nie złamie.


V. Czwarta rozmowa: O dzienniku, który nie wystarczy

Brat Kartezjusz prowadził dwa rodzaje zapisków.

Pierwszy nazywał dziennikiem. W dzienniku zapisywał: kiedy, kto, co zrobił. Krótko, dokładnie, bez dygresji. Każda strona dziennika była zapieczętowana następnego dnia woskiem — żeby nikt nie mógł niczego zmienić wstecz.

Drugi rodzaj zapisków nazywał opowieściami. W opowieściach zapisywał: dlaczego. Dlaczego sternik skręcił w lewo, choć mapa pokazywała w prawo. Dlaczego oficer wachty zwolnił marynarza z kary. Dlaczego rada oficerska zdecydowała tak, a nie inaczej.

— Czemu prowadzisz dwie księgi? — spytał kiedyś Bosman.

Brat Kartezjusz uśmiechnął się.

— Bo to są dwie różne rzeczy, kapitanie. Co się wydarzyło i dlaczego się wydarzyło. Dziennik mówi co. Opowieści mówią dlaczego. Audytor, który przyjdzie po nas, potrzebuje obu. Bez dziennika opowieści są tylko bajką. Bez opowieści dziennik jest tylko datą i nazwiskiem.

— A jeśli ktoś będzie mieć tylko jedno?

— Wtedy będzie miał albo prawdę bez sensu, albo sens bez prawdy. — Brat Kartezjusz wskazał na obie księgi. — Dziennik to nie to samo co opowieść. Dwa różne dokumenty, dwa różne narzędzia. Jeden bez drugiego pęka.

Audyt to nie wyjaśnienie. Wyjaśnienie to nie audyt. Statek potrzebuje obu.

VI. Piąta rozmowa: O wymianie steru w czasie burzy

Czasem na morzu trzeba zmienić ster. Stary się zużywa, nowy projekt jest lepszy, sytuacja zmieniła się i poprzedni nie wystarcza. Ale na lądzie wymiana steru oznacza, że statek stoi w doku tygodniami. Na morzu tego luksusu nie ma.

Statek Bosmana miał trzy sposoby na wymianę steru w czasie ruchu.

01

Podwójny ster

Przez dwa dni działały oba: stary i nowy. Jeśli któryś mówił zatrzymaj, statek się zatrzymywał.

02

Cichy ster

Nowy ster był zamontowany, ale nie sterował. Rejestrował tylko, co zrobiłby, gdyby sterował.

03

Szybka zmiana

Każdy ster miał numer i pieczęć. Jeśli coś poszło nie tak, można było wrócić do starego w pół minuty.

Bosman nie kazał załodze wybrać jednego sposobu. Pozwalał oficerom wybierać. Ale wymagał trzech rzeczy:

Każda wymiana zapisana w dzienniku — z numerem starego i nowego steru.

Czas wymiany nie dłuższy niż minuta. Inaczej ster wraca sam.

Plan powrotu do starego steru — gotowy zanim zaczyna się wymiana, nie po.

Jeśli nie umiemy wymienić steru w czasie burzy, to nasz statek nie jest morski. Jest tylko duży.

VII. Szósta rozmowa: O kluczach do magazynu

Stary Spock miał klucze. Wszystkie.

Klucze do magazynu prochu, klucze do skrzyni z mapami, klucze do kabiny ładunkowej, klucze do skrzyni medycznej. Spock wiedział, gdzie jest każdy klucz, kto może go pożyczyć, na jak długo, na jakich warunkach.

Pewnego dnia młody marynarz przyszedł do Spocka.

— Daj mi klucz do prochu. Burza idzie, trzeba sprawdzić zapasy.

Spock pokręcił głową.

— Klucz do prochu masz tylko wtedy, gdy bosman wachty cię o to poprosi i gdy w dzienniku zapiszę dlaczego. I tylko na godzinę.

— Po co tak komplikować?

— Bo klucz do prochu to nie jest twoja własność, którą zdejmujesz z półki. Klucz to uprawnienie — żywe, czasowe, warunkowe. Masz prawo otworzyć magazyn prochu w ten konkretny czas, na ten konkretny powód, z tym konkretnym świadkiem. Po godzinie klucz przestaje być twój. Sam wraca do skrzyni.

Marynarz zmarszczył czoło.

— Dziwny system. Ale rozumiem.

— Niedziwny — powiedział Spock. — Stary. Tak robili w klasztorach. Tak robili w zamkach. Tak robili na okrętach wojennych Anglii w siedemnastym wieku. Każde prawo do działania jest czasowe, warunkowe, świadkowane. Jeśli klucz nie istnieje w twojej kieszeni teraz, nie możesz wejść do magazynu. Nie ma sprawy, że się zdenerwujesz. Nie ma sprawy, że jesteś dobry. Jeśli klucza nie ma, drzwi się nie otworzą.

Klucze są też formą pamięci — nie książkowej, ale operacyjnej. Spock pamięta, kto ma jaki klucz, na jak długo, dlaczego. Ta pamięć nie jest w dzienniku — jest w systemie kluczy. Gdy Spock zapomni, system zapomni. Gdy system zapomni, drzwi się otworzą dla każdego. Pamięć uprawnień jest tak samo ważna jak pamięć decyzji, bo uprawnienie bez pamięci to nie uprawnienie — to przypadek. (ASI to nie moc, to pamięć.)

Bosman, słuchając tej rozmowy z mostku, uśmiechnął się.

To była szósta rozmowa. Jeśli pierwsze pięć dotyczyły tego, kto i kiedy może decydować, ta szósta dotyczyła czegoś innego: kto w ogóle może otworzyć drzwi.

Druga oś tego samego problemu. Bez niej cała pierwsza piątka rozmów dotyczyła tylko tego, na co już mieliśmy klucz. A klucze to inna sprawa.

VIII. Powrót

Statek wracał do portu po sześciu miesiącach.

Wszystkie sześć rozmów odbyło się gdzieś po drodze. Każda zostawiła ślad w dzienniku Brata Kartezjusza. Każda dodała coś do tego, co Bosman wiedział, że nie wie.

Ostatniej nocy Albert siedział z kapitanem na rufie.

— Wracamy, Albercie. I co teraz?

— Teraz zapisujemy to wszystko, kapitanie. Jak to się ułożyło. Jak działa. Co jeszcze nie działa. — Albert spojrzał na mapę. — Pięć rzeczy mnie wciąż niepokoi. Nie wszystko jeszcze rozumiemy.

— Co konkretnie?

Po pierwsze — czy nasz dziennik na pewno jest niezniszczony. Może ktoś już go zmienił, a my się nie dowiemy.

Po drugie — czy gdy zmienimy regułę, nie otwieramy niechcący furtki dla nowego ataku.

Po trzecie — czy nasze tempo decyzji jest wystarczające w spokojny dzień, a w czas burzy może zbyt wolne.

Po czwarte — gdy jeden statek prosi drugi statek o pomoc, kto za co odpowiada w łańcuchu?

Po piąte — cykle życia kluczy. Klucze same nie wiedzą, kiedy umrzeć. Ktoś musi pamiętać.

Bosman skinął głową.

— Pięć otwartych pytań.

— Pięć rozmów na następny rejs. — Albert podał mu kubek. — Ale to jest dobrze, kapitanie. Sześć rzeczy zrozumieliśmy. Pięć jeszcze nie. Statek nie jest gotowy. Jest po prostu morski.

Bosman patrzył na linię horyzontu, gdzie port był jeszcze tylko cieniem.

Statek nigdy nie jest gotowy. Statek jest morski albo nie.

I wpłynęli z powrotem.


Epilog dla czytelnika

Sześć rozmów na statku Bosmana to było sześć decyzji architektonicznych:

Pierwsza — kto kogo może odwołać i co nie wraca już do dyskusji.

Druga — co robi kompas, gdy nie wie, i ile to kosztuje.

Trzecia — co robić, gdy reguła i czucie się nie zgadzają.

Czwarta — czemu co i dlaczego to dwie różne księgi.

Piąta — jak wymienić ster w czasie burzy.

Szósta — czemu klucze są inną osią niż reguły.

Pięć otwartych pytań to było pięć luk architektonicznych — rzeczy, których jeszcze nie umiemy zrobić dobrze.

Statek Bosmana to było Alliance Research Group. Albert, Stary Spock, Brat Kartezjusz to były persony floty. Sam Bosman to był każdy człowiek odpowiedzialny za system, który działa szybciej niż człowiek może decydować.

Ale te sześć rozmów to nie tylko architektura — to sześć agencji. Każda osoba na statku ma granicę, której nie przekroczy: Spock nie zmieni Legal Anchor, Albert nie wymieni steru bez planu powrotu, Kartezjusz nie poprowadzi jednej księgi zamiast dwóch. Agencja nie polega na tym, żeby każdy mógł wszystko. Polega na tym, żeby każdy miał swój brzeg i wiedział, gdzie się kończy. A te brzegi działają w różnych skalach czasowych: klucz Spocka — godziny, reguła Alberta — dni, dziennik Kartezjusza — lata. Governance, które nie widzi tych różnic skali, jest ślepe — bo traktuje decyzję godzinną tak samo jak decyzję dekadową. (Agent wybiera swój brzeg, Granice agencji.)

I cała ta opowieść jest o pewnym problemie, który nie dotyczy tylko statków, klasztorów ani zamków. Dotyczy każdego systemu, który musi działać szybciej, niż jego strażnik może na każdą decyzję spojrzeć.

Dla kogoś, kto chce poczytać tę samą rzecz w języku precyzyjnym, technicznym, formalnym — jest paper, który nazywa się Governance with Declared Latency. Pisany w innym rejestrze, dla innego czytelnika. Ale ta sama prawda.

Jedna prawda, dwie księgi — jak mawiał Brat Kartezjusz.

Ten esej jest częścią serii „ARG Explains” — prostym językiem o tym, nad czym pracujemy.

Postacie z tej opowieści, poza Kapitanem Bosmanem, odpowiadają personom Meta-Fleet ARG: Albert, Stary Spock i Brat Kartezjusz. Wzmianka o ich realnych imionach floty zostaje tu jako podziękowanie, nie jako wymóg czytania.

Czytaj dalej

Inne eseje z tej samej mapy