допроса в рабочее совещание. На коленях у него лежала папка.

У окна стоял незнакомый Морозову человек лет тридцати пяти. Сухой, аккуратный, в сером костюме без единой лишней складки. Просто стоял так, чтобы видеть всех троих и одновременно не мешать.

— Знакомьтесь, это Андрей Витальевич Горелов, — сказал Кирсанов. — Смежная закрытая тема «Луча». Операторские формы, режимные рабочие места, диагностика отказов. Сейчас он входит в ваш проект с правом голоса по всему операторскому контуру, а формальное руководство закрытым направлением «82В» мы оформим чуть позже.

Горелов коротко кивнул.

— Он не надзиратель, — добавил Кирсанов, глядя уже на Морозова. — И не человек, который будет ходить по лаборатории с печатью и запрещать всё подряд. Если такое начнётся, сообщите мне. Это ваш коллега, профессионал. Но его вопросы вы будете слушать.

— Вопросы по делу я слушаю, — сказал Морозов.

— Вот и хорошо.

Кирсанов открыл тонкую папку. Внутри лежали три листа машинописного текста с пометками красным карандашом.

— Закрытой машине нужен операторский профиль, — сказал он. — Ведомственный контур покупает управляемое рабочее место, а не школьную вольность, кружок или надежду на то, что пользователь сам напишет программу. Горелов знает, как неудачно спроектированные рабочие места умирают в реальной эксплуатации.

Горелов впервые заговорил.

— Они умирают не от отсутствия вычислительной мощности. Чаще от мелочей. Неправильная клавиша рядом с правильной. Одинаковые поля на экране. Отсутствие аварийного признака. Невозможность понять, зависла машина или ждёт данные. Оператор после ночной смены ошибается не потому, что глуп, а потому что пульт и экран требуют от него лишней внимательности.

Он говорил ровно, почти сухо. Но за каждой фразой чувствовался чужой опыт.

— Поэтому, — продолжил Горелов, — если мы делаем закрытую модификацию, я предлагаю не тащить в неё всё гражданское наследство. Бейсик, свободная клавиатура и экран, на котором программа может нарисовать что угодно, только увеличат риск. Нужна жесткая форма. Фиксированные зоны. Свой загрузчик. Свои клавиши. Свой набор режимов. Чем меньше свободы, тем меньше отказов по вине человека.

Иван Михайлович шевельнулся, но промолчал.

Морозов посмотрел на Кирсанова. Тот не помогал и не мешал. Сидел неподвижно, давая спору состояться.

— Андрей Витальевич, — сказал он, — всё, что вы перечислили, абсолютно верно.

Горелов чуть поднял брови. Он явно ждал сопротивления с первой фразы.

— Оператор не должен страдать от нашей любви к универсальности. Экран должен помогать, а не требовать расшифровки. Аварийное состояние должно быть видно сразу. Нельзя строить закрытый контур так, будто за ним сидит студент-программист с кружкой чая.

Морозов выдержал паузу и добавил:

— Но я категорически против вашего метода решения.

— Почему? — спокойно спросил Горелов.

— Потому что вы предлагаете лечить человеческую ошибку архитектурным расколом.

В комнате стало тише. Даже гул батареи под окном будто отошел на второй план.

Морозов наклонился вперед.

— Если мы сделаем отдельную «82В» со своим загрузчиком, своими экранными формами, своими клавишами и своим набором базовых подпрограмм, мы получим удобный прибор. Возможно, даже очень удобный. Его легко показать заказчику. Легко описать в акте. Легко принять в одном ведомстве.

— Именно, — сказал Горелов.

— А потом придёт второй заказчик. У него будет другая форма, другой порядок ввода, другая ведомость, другой аварийный признак. Мы добавим вторую версию. Потом третью. Через два года у нас будет набор закрытых приборов, каждый из которых чуть-чуть отличается от другого. Программы не переносятся. Люди переучиваются. Ошибки исправляются отдельно. Любая доработка превращается в отдельную маленькую войну с железом.

Морозов провел пальцем по краю стола.

— Так мы размножим несовместимость вместо безопасности.

Горелов выслушал без раздражения. Потом взял с края стола чистый лист и быстро начертил прямоугольник.

— А это операторское место, — сказал он. — Вот зона статуса. Вот зона данных. Вот зона ввода. Если программа гражданской ветки имеет право писать куда угодно, она может затереть зону статуса. Или вывести ошибку тем же цветом, что и норму. Или оставить на экране старые данные после отказа канала. Вы предлагаете мне доверять дисциплине программиста. Я предлагаю не давать ему такой возможности физически.

— Вы предлагаете зашить форму в прибор.

— Да.

— А когда форма изменится?

— Перепроектируем.

Иван Михайлович тихо кашлянул.

— Перепроектируем, — повторил он с таким видом, будто слово само по себе требовало отдельного акта, трёх подписей и месячного лимита на детали.

Горелов посмотрел на него без обиды.

— Иногда перепроектирование дешевле ошибки оператора.

— Иногда, — согласился Морозов. — Но не всегда. И точно не как основной принцип.

Он взял лист Горелова и рядом нарисовал второй прямоугольник. Внутри — тонкую линию основания.

— Вот базовая «Сфера-82»: процессор, память, базовые процедуры ввода-вывода, клавиатура, общий порядок вывода на экран. Это фундамент. Выше — ваш спецрежим. Пусть он загружает свои жёсткие рамки. Пусть аппаратно проверяет, что программа не лезет в зону тревоги. Пусть ведёт журнал отклонений. Пусть при отказе канала принудительно выставляет аварийный экран. Но он живёт сверху. Он не меняет фундамент.

Горелов наклонился над листом.

— Программная защита.

— Программно-аппаратная. Опасаетесь зависаний? Сделаем отдельный аппаратный сторожевой таймер. Поставим счётчик, который сам выбросит сигнал аварии, если основная программа зависнет и перестанет его сбрасывать. Где нужна отдельная ПЗУ-накладка под ваши требования — будем проектировать. Но нижний слой остаётся совместимым.

— Вы слишком доверяете нижнему слою.

— Нет. Я ему не доверяю. Поэтому и хочу, чтобы его проверяло как можно больше людей и задач.

Горелов поднял глаза.

— А если открытая программа обойдёт ваши рамки? Если базовая подпрограмма останется прежней, а спецрежим только делает вид, что держит оператора за руку?

— Тогда это халтура, а не защита, — сказал Морозов. — И мы её не принимаем. Таблица разрешений должна стоять аппаратно там, где её нельзя обойти обычной программой. Часть уйдёт в отдельное ПЗУ, часть — в схему контроля. Но это всё равно надстройка, а не новый компьютер.

Горелов не согласился, но перестал смотреть на второй прямоугольник как на детский рисунок.

— Проверять массой людей и задач? — переспросил он. — Вы про тех самых радиолюбителей и школьников?

Вопрос прозвучал почти нейтрально. Горелов смотрел не на воображаемый класс с детьми, а на будущую уязвимую границу между открытым и закрытым.

— В том числе школьники, — сказал Морозов. — С закрытыми данными они работать не будут. Зато массовая гражданская среда находит ошибки, которые стерильный закрытый стенд не видит.