Вы когда-нибудь тратили деньги на то чтобы чувствовать себя спокойнее, а после этого начинали тревожиться еще сильнее? Поставили сигнализацию на машину и начали дергаться от каждого писка на парковке. Купили страховку и вдруг осознали сколько всего еще не застраховано. Сделали резервную копию рабочих файлов и тут же подумали, а что если и облако упадет.

Я создаю наборы еды для чрезвычайных ситуаций. И вижу эту штуку в концентрированном виде. Человек покупает набор. Потом еще один. Потом спрашивает про генераторы, фильтры для воды, сроки хранения топлива. Потом пишет что смотрит участок за городом. Каждый следующий шаг логичен. А последнего шага не существует.

Алгоритм входа в ловушку

Представьте айтишника. Назовем его Серёга. Зарплата 200 тысяч, жена, кот. Серёга прочитал пару статей на Хабре про устойчивость инфраструктуры, посмотрел новости про отключения электричества в приграничных регионах и задумался. А что если у нас так же?

Шаг первый. Серёга покупает запас еды на месяц. Крупы, консервы, макароны. Тысяч на пятнадцать. Разумно? Абсолютно. Жена даже похвалила.

Шаг второй. Еда есть, а воды нет. Серёга берет фильтр и пару канистр. Три тысячи. Логично? Ну а как иначе, если воду отключат вместе со светом.

Шаг третий. Еда, вода, а если свет вырубят? Генератор. Тридцать тысяч. Серёга вспоминает, как в прошлом году на даче двое суток сидели без электричества. Нормальное решение.

Шаг четвертый. А если это не на пару дней, а надолго? Серёга начинает смотреть участки в Тверской области. Ездит по выходным, смотрит землю, прикидывает бюджет на домик. Пока просто прикидывает.

Шаг пятый. Участок нашелся. Нужна скважина, забор, хотя бы бытовка. Это уже сотни тысяч.

Прошел год. Серёга потратил около двух миллионов. Каждое отдельное решение было рациональным. Купить еду, разумно. Купить воду, логично. Генератор, практично. Участок, дальновидно.

Деньги не исчезли, они превратились в генератор, участок, запасы. Но в итоге Серёга стал менее маневренным. Да это всё полезные вещи, они пригодятся при куче сценариев. Но Серёга отказался от курсов по ML, не поехал на конференцию, отложил смену работы. Два миллиона ушли в защиту. Все развитие ушло туда же.

И в процессе он узнал кучу нового. Про точки отказа генератора, про хранение топлива, про скважины. Каждая единица оборудования принесла с собой новые зависимости. Генератору нужно топливо, масло, отвод выхлопа. Участку нужна охрана, обслуживание, дорога. Серёга теперь разбирается в генераторах, скважинах и хранении топлива лучше большинства своих коллег. Но его защита все еще неполна, и он это знает.

То что происходит с Серёгой, хорошо описывается штукой под названием "странная петля". Это когда движение в одном направлении неожиданно возвращает тебя к началу. Как бесконечная лестница Эшера. Поднимаешься, поднимаешься, а оказываешься на том же этаже.

У Серёги классическая странная петля. Назовем ее "петля крепости".

Тревожишься → закрываешь риски → каждая единица снаряжения приносит новые зависимости → зависимости это новые риски → тревожишься.

Старые риски ты закрыл, но точек отказа, за которыми нужно следить, стало больше. А параллельно с каждым оборотом петли ресурс перетекает из развития в защиту. И чем дольше Серёга в петле и если произойдёт что-то, чего он вообще не предвидел, у него не останется ресурсов на ответ. Всё уже вложено в генератор, буржуйку и бочки с водой. Потому что предвидеть помогает развитие. А на него, у Серёги, ресурса не осталось.

Та же петля, другие декорации

Эта петля встречается много где. Давайте посмотрим.

Кибербезопасность. Ставишь файрвол, теперь нужно его обновлять. Обновление ломает совместимость, нужен патч. Патч открывает новую дыру, нужен еще один слой. Каждый слой защиты это новый код, новые зависимости, новая поверхность для атаки.Тревожишься → ставишь защиту → защита порождает новые уязвимости → тревожишься.

Страхование. Застраховал машину, начинаешь думать про квартиру. Застраховал квартиру, а здоровье? А жизнь? А от потери работы? Каждый новый полис делает тебя чуть более осведомленным о рисках. И чуть более занятым, обслуживая все эти полисы.

Тесты в программировании. Пишешь тесты, чтобы код был надёжнее. Тесты - это тоже код, его тоже нужно поддерживать, обновлять при каждом рефакторинге, разбираться почему упали. Чем больше тестов, тем больше обслуживания. Тревожишься за качество → пишешь тесты → тесты порождают новые расходы → меньше времени на сам продукт → тревожишься за качество.

Ну штош. Если петля одна и та же везде, может и выход из нее тоже один?

Почему закрыть все риски не получится

Серёгина система безопасности это список. «Если голод → запасы», «если холод → генератор», «если хаос → участок». Набор правил «если X, то Y». Проблема в том, что в этот список попадают только те X, о которых Серёга уже знает. Правило для угрозы, о которой не подозреваешь, написать нельзя. А по-настоящему больно бьет именно то, чего не знаешь.

Примеров масса, вот пара первых вспомнившихся.

Дефолт, 1998 год. Люди копили рубли. Кто-то на квартиру, кто-то на черный день. Они защищались от "обычных" рисков. А потом за неделю валюта обесценилась вчетверо. Все накопления, вся подушка безопасности, все превратилось в бумагу. Причем не из-за войны или стихийного бедствия. Государство само построило финансовую пирамиду из облигаций, плюс падение цен на нефть, плюс азиатский кризис. Сложилось все разом, и никто из копивших рубли "на черный день" не готовился к такому черному дню.

COVID, 2020 год. Никто не держал в голове сценарий "нельзя выйти из дома два месяца". Риск заразиться при каждом выходе, в аптеках за неделю раскупили парацетамол. Кто держал дома запас на пару недель - переждал первую волну спокойно. Остальные стояли в очередях, повышая те самые риски, от которых прятались.

Каждый раз риск, который не помещался в тогдашнюю систему безопасности. Конечный список правил "если X, то Y" просто не покрывает бесконечное множество возможных X.

Гёдель показал похожую штуку для формальных систем. Система не может решить все проблемы изнутри себя, нужно выходить за ее пределы.

Серёгина система безопасности это список известных ему угроз. Изнутри этого списка он не увидит то, чего в нем нет. Чтобы увидеть новые угрозы, нужны ресурсы за пределами этой системы. Новые знания, новый опыт, более широкая картина мира. Серёга, пока страховался, тоже учился, он узнал кучу полезного про генераторы и скважины. Но все его ресурсы ушли в одну область. За ее пределами он остался без запаса ресурсов на маневр.

Проблема Серёги не в генераторе, и не в буржуйке. Проблема в пропорции - два миллиона в защиту и ноль в развитие. Этим он лишил себя шанса расширить картину мира и возможности узнать о новых угрозах. А те риски, на которые сейчас уходит 100% ресурса, при росте дохода через пару лет станут пустяком. И эта гонка бесконечна, откроются новые угрозы. Но выживаемость растет с каждым оборотом.

Как разорвать петлю

Посмотрим внимательнее почему развитие это тоже форма безопасности.

Экономисты Трамелл и Ашенбреннер из Стэнфорда недавно показали это математически, правда для масштаба цивилизаций. Если какой-то риск уже существует (ядерное оружие, биотехнологии), стоять на месте гарантирует катастрофу на достаточно длинном горизонте. Их аналогия - велосипедист на оживленной дороге. Даже если вероятность аварии растет с каждым километром, остановиться посреди дороги еще опаснее. Нужно доехать до дома. Для одного человека аналогия не буквальная, но принцип тот же, пока риск существует, время работает против тебя. Развитие позволяет “проскочить” опасную зону быстрее.

Серёгин коллега, который вместо участка в Тверской области прошел курсы по ML, через год зарабатывает 300 тысяч вместо 200. Он стал более ресурсным. На ту же долю дохода он может обеспечить себе больше защиты, а горизонт планирования расширился. Он может позволить себе думать о рисках, до которых раньше руки не доходили.

А безопасность это предпосылка развития. Без минимальной подушки ты не можешь рисковать, менять работу, учиться. Тебе не до ML, когда ты думаешь, чем кормить семью в случае чего.

Получается, развитие усиливает безопасность, а безопасность дает свободу для развития. Они зависят друг от друга. Выбора между ними нет. Но петля крепости заставляет думать что он есть, и с каждым оборотом она отбирает ресурсы у развития.

Разорвать петлю крепости можно с двух сторон.

Первая, увеличить доходы. Чем больше зарабатываешь, тем меньшую долю ресурсов съедает безопасность от прежних угроз. То что сегодня стоит десять зарплат, через пару лет роста стоит три. Угрозы нового уровня, конечно, потребуют больших вложений, но и ресурса у тебя к тому моменту больше.

Вторая, снизить расходы на безопасность. Как? Перестать покупать все подряд под каждый отдельный сценарий. Вместо этого делать ставку на решения, которые работают при максимально широком спектре кризисов. Решения, которые будет трудно обеспечить когда кризис уже наступил. Запас еды, вода, автономное электричество, это вещи которые нужны почти в любом сценарии. А вот противогаз и дозиметр покрывают гораздо более узкий набор ситуаций.

Петля крутится только когда стоимость безопасности сопоставима с ресурсами на развитие. Когда Серёга вбухивает два миллиона в участок со скважиной и домиком, это десять месяцев его зарплаты. Эти деньги напрямую конкурируют с курсами, конференциями, сменой работы. Это и запускает петлю. Когда базовая страховка стоит несколько процентов от зарплаты, требуется один раз, петля не запускается.

Вместо вывода

Вернёмся к Серёге. Он сделал ставку на известные ему сценарии, в ситуации, когда ставку делать было и необязательно. Что бы изменилось, если бы он на первом шаге закрыл универсальные потребности за несколько процентов от зарплаты и переключился на развитие?

Почти два миллиона остались бы на развитие. За год курсы, конференция, может быть смена работы на более высокооплачиваемую. Через год его доход выше, его навыки сильнее, его способность адаптироваться к любому кризису, включая те, о которых он сейчас не подозревает, тоже выше.

Петля крепости закручивается, когда все ресурсы уходят в защиту. Разрывается - когда минимальную защиту закрываешь дёшево и широко, а остальное вкладываешь в рост. Потому что самый опасный сценарий не отключение света и не эпидемия. Самый опасный сценарий, когда ты перестал расти, потому что был всецело занят обороной.