Защита от дурака

Высокая техника боится человека и не верит в его сообразительность. Там, где это только возможно, она старается предохранить себя от ошибок, свойственных живому существу. Название было придумано жестокое, бичующее — защита от дурака!

— Ильф и Петров, «Одноэтажная Америка»

   

На любую защиту от дурака рано или поздно найдётся изобретательный дурак.

— Парадигма американских военных инженеров

Поверьте, инженеры знают, что говорят

Большая красная кнопка надежно защищена

Защита от дурака (дуракоустойчивость, moon. 馬鹿ヨケ (бака-ёкэ), англ. foolproof, фриц. idiotensicher, защита от дауна), также известная как долбоебокомпенсирующий запас прочности — проектирование техники с учётом бритвы Хэнлона, то есть афедронорукости, глупости и клоунирования конечного пользователя. Реализуется в двух вариантах.

Суть

Далеко не всегда причинение вреда обусловлено целенаправленным вредительством — зачастую, как подметил это в свое время еще Хайнлайн, дело не в злых намерениях, а в обычной человеческой глупости. Особенно это заметно, если мы говорим о технике.

Для начала пара слов о технике безопасности вообще. Конструкционно защищать технику от целенаправленного вредительства зачастую не имеет смысла. Во-первых потому, что любая мало-мальски протестированная техника является безопасной при использовании по назначению, и предполагает, что человек, пользующийся ею, понимает, как и зачем ею пользоваться, и не собирается причинять вред технике и самому себе. Во-вторых — потому что злонамеренное использование — это все-таки использование, применение основных или хотя бы побочных функций предмета, и его нельзя принципиально исключить, не причинив вреда основной функции.

Для примера: бензопила предназначена, чтобы пилить, и хотя ее основная функция — пилить дерево, конструкционно сложно и заблокировать в ней возможность пилить людей. Это обычная функция, пила, которая может пилить дерево, наверняка может пилить и людей. Даже если оснастить её суперсовременным аварийным тормозом (который определяет сопротивление распиливаемого материала, и мгновенно тормозит пилу, если оное близко к сопротивлению человеческого тела), тот, кто целенаправленно собирается распилить человека, скорее всего попытается купить пилу без такой функции или разобраться, как обойти или убрать эту деталь, не говоря уже о том, что это сделает пилу вдвое дороже, и пострадает от этого в первую очередь тот, кто просто собирался использовать инструмент по назначению. В общем, защитить от вредительства проще и эффективнее организационно.

Гораздо хуже обстоят дела не со злонамеренными, а с безусловно неправильными способами использования. По многим причинам. Прежде всего, как вообще находить такого рода недокументированные возможности, особенно у достаточно сложной техники? Запустите в комнату с бензопилой обезьяну, и через пару часов там будет сломанная бензопила или/и ошметки. Посмотрите запись того, как ей это удалось, заблокируйте эту возможность в конструкции, запустите в комнату с модифицированной бензопилой новую обезьяну. Что будет через какое-то время? Велика вероятность, что также сломанная бензопила или/и останки. Дурак по своей природе изворотлив, и способен придумать то, что наверняка не пришло бы в голову разработчику (у которого оказалось недостаточно фантазии или есть хоть чуть-чуть здравомыслия).

Так исторически сложилось. Еще до промышленной революции проблема дураков и техники решалась последней в свою пользу — техника бесцеремонно убивала того, кто использовал её неправильно. Но, чем сложнее становится техника, тем сложнее и такого рода «прецедентная» разработка — не так-то много людей, готовых во имя великой цели себя убить. Поэтому работающая защита от дурака, зачастую там где неверное использование опасно в первую очередь для техники — там, где тестировщик может себе позволить многократно делать с объектом всё, что придет в голову без угрозы для себя. Относительно хорошо обстоят в этом плане дела с программным обеспечением. Во многих случаях дурак достаточно изворотлив и периодически находит способы обойти защиту от себя.

Вариант первый: советский

На заводе будущего работать будут машины, один человек и одна собака. Человек будет кормить собаку, а собака — не подпускать человека к машинам

— Коммунистические мечты

Можно придумать защиту от дурака, но только от неизобретательного

— Закон Кейсера

Большие транзисторы,
Толстые платы,
Все спаяно намертво,
Шины — канаты,
Чтоб грязные руки
Солдат по призыву
Не стали причиной
Случайному взрыву.

— «Русский робот» (С. Ягов)

При неправильном использовании техника убивает криворукого мудака, полезшего к ней со своими деревянными по пояс ручонками. Тем самым полностью решается вопрос дальнейшего её неправильного использования.

Данный метод широко использовался при проектировании советской военной техники, однако привело это лишь к выведению особо изощрённых дураков, способных обойти данную и все остальные виды защиты.

Травма на производстве, рабочий отрубил себе палец гильотинными ножницами для листового металла. Приехала комиссия, спрашивает — как ты умудрился, там ведь две кнопки надо нажать, одну справа, другую слева, обе руки заняты? Рабочий показывает — зажимает одну кнопку палкой, правой рукой проталкивает лист, левой жмет вторую кнопку. И отрубает себе второй палец на глазах охуевшей комиссии.

Было ещё много чуть менее смешных фейлов.

Сегодня в офисе юзер (девушка-блондинка) запихнул карту памяти miniSD из мобилки в слот Memory Stick Duo PRO в ноутбуке. Ессно, карта ушла туда с головой, админ пыхит, злится, пытается достать.
Админ: Зачем было ЭТО туда пихать?
Юзер: По размеру подходило...
Админ: Мда... Подозреваю, что именно так был изобретен анальный секс...

— 391362

Rain: Навеяно историей про разработчиков абсолютно надежных систем.

Пару лет назад один мой знакомый купил новый винт. Стал его падключать - не лезет питание и все тут. Ну он смотрит - а форма штекера питания на проводе и на винте не совпадает. (там веть защита от дурака, чтоп наоборот не вставить). Ну от думает "Новое питание, не разработано..." Берет и подрезает ножиком штекер, так чтоп он влез в разъем наоборот :)
Винт сгорает нах.
Как потом сказал один мой друг, "Защиту от дарака придумали, а защиту от долбаеба пока нет..."

— 398081

Примеры изделий, где реализовывалась данная защита: Франкенштейновский голем, элементали из DnD, Чернобыльская АЭС, большая часть советского оружия, как и линкор Ямато, Кофман гарантирует это.

Вариант второй: современный

Создайте систему, которой сможет пользоваться даже дурак, и только дурак захочет ею пользоваться.

— Принцип Шоу

Техника не дает дураку убить себя. В обоих смыслах.

В идеале составляется граф конечного автомата, описывающего поведение системы, и нежелательные состояния блокируются условными или безусловными переходами в желательные. Требует больших ресурсов при проектировании и тестировании, так что нищеброды и жадины обычно забивают болт на правильность, и делают как обычно. Наиболее часто просто нельзя воткнуть (только для персонажей с параметром Strength меньше пяти) что-нибудь не туда или вверх ногами.

Примеров доуда и больше:

• Самые обычные автоматы (в народе пробки), стоящие в каждой квартире. Отличная защита от долбаеба, включающего в одну розетку через тройник холодильник, электроплиту и чайник.
• В хороших программах примерно половина кода предназначена для спасения мира от идиотов. А еще часто вместо того, что дураку нельзя, решают что ему можно, так что даже изобретательный дурак не сможет сломать программу.
• Одним из необходимых качеств практически любых станков всегда считалась высокая дуракоустойчивость. Например, станок не запустится, пока оператор не закроет защитный кожух, защищающий его от осколков. Либо автоматический пилильный станок, для работы которого нужно держать нажатыми две расположенные довольно далеко кнопки, во избежание попыток пропихнуть деталь руками.
• Годным примером защиты от дурака можно считать блокировку включения заднего хода на современных автомобилях до тех пор, пока авто не стоит на месте.
• Современные компьютеры. Все их разъемы уникальны, так что впихнуть видеокарту в слот для оперативной памяти не получится.
• Пластиковый профиль карт памяти, не дающий втыкать их вверх ногами
• Хитрые болты и шурупы под нестандартный инструмент на фирменных девайсах чтобы кто попало в них не лазил (зачастую это используется ещё и для наживы от продажи этого специального фирменного инструмента, а также для развода на покупку нового быдлодевайса путём усложнения ремонта неисправного: удлинители, закрученные шурупами с необычными шляпками, уже давно в продаже).
• Срок годности продуктов часто пишут с запасом.
• В Бубунте и в некоторых других дистрибутивах Линукса права суперпользователя заблокированы по умолчанию, дабы не допустить цугундера, который может допустить типичный убунтоид в работе с терминалом (школьник, нуб или домохозяйка) в силу своей вопиющей некомпетентности.

При качественном проектировании есть команда специально отобранных дураков для тестирования недокументированных возможностей проектируемого. Им даже за это платят. Так-то!

Примеры

Техника

• Форма всего, что, в теории, могут собирать из частей неспециалисты. USB-порты, зарядные устройства чего угодно, компьютерные платы, розетки, сменные насадки инструментов — все это целенаправленно делается так, чтобы соединить детали неправильно было невозможно. Персонажи с билдом в силу с достойным лучшего применения упорством взламывают такую защиту. Надо заметить, что часто система еще и продублирована диодом, пропускающим ток только в правильном направлении.
• Удержание дурака подальше от представляющих угрозу деталей. Сверлильный станок, который работает, только если нажать обе кнопки — из этой оперы. В больших промышленных агрегатах — дурака стараются еще и отодвинуть от устройства, устанавливая пульт в паре метров от опасных частей, да еще и часто требуют не просто нажатия двух кнопок, а одновременного нажатия двух кнопок. Чтобы не получилось зажать одну кнопку спичкой — прецеденты были.
• На станках с опасными потрохами ставят дверцы и шторки с концевым выключателями, не дающие запустить или останавливающие станок при их открывании. Изобретательные дураки подкладывают под концевики подручные предметы, имитирующие закрытую дверцу.
• Болты с нестандартной головкой и заклепки. Позволяют серьезно усложнить жизнь дураку. Увы, не работают против изобретательного дурака.
  • А также весьма осложняют жизнь ремонтно-техническому персоналу.

Оружие

• «Ядерный чемоданчик», который приводится в действие минимум двумя ключами — один у президента, второй у министра обороны. Мало ли что.
  • На случай если оба окажутся дураками, продублировано на постах исполнителей — нажатие на «красную кнопку» (в виде ещё одной пары ключей и набора кучи кодов) происходит только при единогласном решении ответственных офицеров. Если хоть один против — кнопка не нажимается. Так что запустить ядерный армагеддон, кинув валенок на пульт, не получится даже у законченного дебила. Но, как на самом деле устроена защита от дурака на ядерных объектах в наше время — информация секретная. Стоит только упомянуть, что благодаря ей в свое время война не состоялась — на одной советской подлодке обнаружился спаситель мира, отказавшийся жать кнопку, а на одной американской базе обнаружился капитан-стальные-яйца, не поддавшийся панике и решивший дождаться объяснений, какого черта сработала тревога. Именно по этой причине главный элемент безопасности мира — не автоматика, а люди, и пока на кнопку нажимают люди — мир… возможно будет спать спокойно.
  • При этом, во время Холодной войны, на многих американских баллистических ракетах код запуска был «00000000». А что? Вдруг забудут пароль во время тревоги.
• Реактивные гранаты — современные образцы встают на боевой взвод только в полете, отлетев на безопасное расстояние от стрелка. Явление совсем молодо — до эры компьютерных игр не было идиотов, пытающихся совершить рокет-джамп.
  • На самом деле это страхует от случайного выстрела, если гранатомет неудачно упадет или стрелка убьют и он падая нажмет на спуск. Одному человеку в лицо попала граната из подствольника. Остался калекой.
  • Предохранительные механизмы, ставящие снаряд на боевой взвод при выстреле, были ещё в артиллерийских снарядах ещё времён Первой Мировой — мало ли какой косорукий солдат уронит снаряд с установленным взрывателем при заряжании.
• Переключатель режимов огня и по совместительству предохранитель на автомате Калашникова. Критикуется очень многими, мол, почему это самое нижнее положения переключателя — одиночный огонь? Всё просто: АК в конце 40-50х годов (то есть для массовой призывной армии) создавался для реальной войны. А на реальной войне даже опытному бойцу, попав под обстрел, тяжело сохранить хладнокровие и четкость движений — рука быстро спускает предохранитель до упора и боец соответственно стреляет одиночными, а не выпускает в молоко всю обойму из-за паники. Но в мирных реалиях уютных безопасных стрельбищ, особенно для придирчивых западных пользователей сиё решение кажется весьма странным и неудобным.
  • Это популярное заблуждение. На самом деле, подобное расположение позиций продиктовано конструкцией УСМ, чтобы их поменять местами, пришлось бы увеличивать количество деталей, а следовательно, трудоёмкость, стоимость, сложность обслуживания и склонность к поломкам. Другое дело, что военным решение «продали» именно под таким соусом.

Программное обеспечение

• ПО славится тем, что защиту часто пихают не к месту, и от нее в лучшем случае нет ровным счетом никакой пользы, а то и вовсе начинает раздражать:
  • В серверной версии «самой известной» операционной системы для того чтобы войти на сайт компании-производителя этой самой операционной системы нужно сделать около десятка кликов мышью по всяким «Ок», «Осознаю всю опасность», «Готов к потенциальным рискам».
  • Многократное подтверждение операций в GUI. Малоэффективно ввиду быстрого привыкания — после длинной последовательности подтверждений Enter нажимается раньше, чем мозг успевает осознать, что результат недельной работы отправляется в никуда.
  • Вы действительно хотите безвозвратно удалить «Новый текстовый документ» весом 0 байт, который создали секунду назад?
    • А это не для вашей безопасности, это мы себе задницу прикрываем. А то вдруг нас обвинят в случайном, но безвозвратном уничтожении незаменимого документа или массива данных? А так — у нас железный ответ: сам пять раз подтвердил, так что гуляй лесом.
• В некоторых операционных системах пользователя упорно пытаются оградить от структуры папок, при простейшей работе не проблема и даже некое подобие удобства, но при нестандартных ситуациях с поиском/спасением/восстановлением жизнь осложнять может.
• Введение всех важных переменных по два раза с расчетом на то, что дважды ошибиться не получится даже случайно. (Но многие всё равно как-то ухитряются.)
  • Было бы что ухитряться. Попыток за двести дурак гарантированно или ошибётся дважды подряд одинаково, или найдёт способ скопировать криво введенное значение через буфер. Вводить же правильно попытке на шестой перестанет вообще.
• Полное запрещение нежелательных действий. Тот самый наиболее удачный пример явления, который пока есть только в сфере программного обеспечения. Вместо того, чтобы думать, что же еще дураку делать нельзя, администратор может сформировать жестко ограниченный список того, что пользователю делать можно.
• Как известно, многие начинающие линуксятники сталкиваются с «советом», как решить любую проблему с Линукс, после выполнения которой удаляются все файлы, включая саму систему. Ввиду этого были разработаны аж две системы защиты: команда не выполняется, если не указан параметр --no-preserve-root, либо при выполнении команды пользователем без права root система сообщает, что удаление не разрешено.
  • Добавлять саму команду не нужно.
    • (Легко гуглится по ключевым словам «патч Брамина» или «код из одной строчки в Perl». Не благодарите.)
• В Word’е по умолчанию отключён режим замены. До этого, помнится, было много драм из-за случайно нажатой кнопки Insert.
• Моддеры Rome: Total War и Medieval 2: Total War уже пятнадцать лет проклинают файл map.rwm, созданный, видимо, для того, чтобы какой-нибудь юзер, открывший и случайно испортивший tga-файлы карт, не запорол всю игру. После каждого изменения (даже корректировки границ провинций) map.rwm надо удалять, и при каждом запуске карты он генерируется снова (тут от него есть одна польза — самые лютые баги с картой вычисляются по отсутствию map.rwm после запуска кампаний). А теперь представьте, что вы делаете карту на 100 провинций…

Прочее

• Продукты. Срок годности пишут с двойным запасом, а определяют по сроку, по истечению которого можно обнаружить хоть какие-то изменения.
  • В частности армейский тушняк, срок годности которого устанавливают с учетом того, что он может лежать на полевом складе в палатке под палящим афганским солнцем.
• Ветеринарно-фармацевтический продукт, предназначенный для хранения в холодильнике, при испытаниях хранимости параллельно проверяют при комнатной температуре и плюс сорока. И даже это может не помочь, если клиент-фермер в жаркой местности «сообразит» везти емкость летом кинутой под лобовое или заднее стекло машины и оставлять так на стоянке.

В фольклоре

Обыграно в одной из «растаманских сказок» Дмитрия Гайдука: учёные просадили выделенные им государством деньги, а чтобы хоть как-то отчитаться, украсили холодильник мигающими лампочками и выдали его генералу в качестве машины судного дня («…эта штука пережигает квантовую суперструну, на которой держится наша вселенная, и уничтожает вообще всё»). Генерал совершил короткий переворот, на время сместив президента («Ты мне потом сам спасибо скажешь»), и попытался угрожать этой штукой ООН. Был высмеян, психанул и решил запустить агрегат. Лампочки замигали, завыла сирена, и голос из громкоговорителя начал отсчёт: «Десять… Одиннадцать… Двенадцать…» Когда до собравшихся дошло, что взрываться ничего не собирается, генерала повязали. Спросили у учёных — те ответили, мол, разумеется, там же защита от дурака есть: этот рубильник вообще ни на что не влияет, а включается она изнутри.

Когда даже она не помогает

• Вышеупомянутые производственные хитрости. С одной стороны, правила техники безопасности действительно замедляют производственный процесс, с другой — не зря говорят, что они писаны кровью: если их нарушение входит в привычку, случайный фактор может стать фатальным (на производстве, где проходил практику автор правки, рассказывали о рабочем, который наловчился совать руки в не до конца остановившийся токарный станок, чтобы побыстрее поменять резец — фатальной стала выдача нового комплекта рабочей одежды, у которого рукав были немного просторнее, чем у старого, отчего его и намотало на заготовку).
• Те самые админы, работающие с крайне дуракозащищёнными системами, расскажут вам о «мистических» поломках, когда пользователи, которым и можно-то только запускать Word и Excel, умудряются «совершенно случайно» уронить операционку так, что фиг восстановишь.
• Моторные масла для гонок: смазывают лучше всего, но ресурс такого масла — одна гонка, либо максимум 1000 км по городу, о чем и написано на упаковке. Но несмотря на это, на одного гонщика, который понимает, что и зачем он льет в мотор, приходится армия оленей, у которых надпись «спорт» на канистре вызывает мгновенную эрекцию, которая спадает максимум через 15 тысяч километров пробега, когда на СТО им говорят, что двигатель восстановлению не подлежит.
  • Вообще, всё, что написано буквами или нарисовано в картинках, является не защитой от дурака, а средством прикрыть пятую точку: инструкцию дурак читает либо когда уже сломал матчасть, либо в очереди в травматологию.
• Целенаправленный саботаж/диверсия. То же разделение ключей от пуска ядерных ракет не поможет, если оба ответственных офицера внезапно оказываются в руках недружелюбных диверсантов, гарантирующих знакомство их гениталий с оголенными проводами. Ричард Марсинко и его «Red Cell» не дадут соврать. В ту же копилку — массовый саботаж на захваченных нацистами производствах в Бельгии, Франции и СССР.

См. также

• Премия Дарвина
• 95% населения — идиоты