Институт назван по методу, который использует. Данная страница излагает метод как процедуру: что он требует на входе, какой артефакт обязан оставить каждый шаг, при каких условиях Системный синтез неприменим и где он ломается. Изложение рассчитано на проверку, а не на согласие.
Определение
Системный синтез — метод сборки систем из разнородных и конфликтующих требований, в котором конфликт снимается не усреднением, а разнесением требований по разным координатам системы: по уровню, по фазе времени или по контуру управления. Устойчивость собранного целого обеспечивается протоколом взаимной проверки между разнесёнными частями, а не жёсткой сцепкой между ними.
Метод применим только там, где два требования исключают друг друга. Если требования совместимы, задача решается оптимизацией, и синтез не нужен. Это условие отказа входит в определение, а не сопровождает его.
Происхождение
Ни один шаг метода не является новым по отдельности. Каждый взят из установившейся традиции, и ниже названо, что именно взято и что осознанно не взято. Метод предъявляется как продолжение этих традиций, а не как открытие.
| Традиция | Что взято | Что не взято |
|---|---|---|
| Тектология, А. А. Богданов, 1913–1922 | Положение о том, что законы организации разнородного едины и переносимы между областями | Претензия на всеобщую организационную науку, объясняющую любую предметность |
| Общая теория систем, Л. фон Берталанфи, 1968 | Понятие структурного соответствия между областями знания | Объяснительная установка без обязательной процедуры и без проверяемого выхода |
| Закон необходимого разнообразия, У. Р. Эшби, 1956 | Ограничение: разнообразие управляющего контура не может быть меньше разнообразия управляемого | Взято целиком как ограничение, изъятий нет |
| Модель жизнеспособной системы, С. Бир, 1972–1979 | Пять управляющих систем и алгедонический канал как критерий живучести целого | Управленческая рамка как самодостаточная: у Бира нет требования формальной проверки решений |
| АРИЗ и идеальный конечный результат, Г. С. Альтшуллер, 1956–1985 | Противоречие как обязательный вход задачи и идеальный конечный результат как форма цели | Каталог приёмов устранения противоречий: он привязан к физике технических систем |
| Аксиоматический дизайн, N. P. Suh, 1990–2001 | Аксиома независимости: функциональные требования разносятся по независимым проектным параметрам. Третий шаг метода есть её прямое применение | Матричный формализм проектирования как обязательная нотация и аксиома информации в исходном виде |
| Науки об искусственном, Г. Саймон, 1969 | Иерархия почти разложимых систем: сильные связи внутри уровня, слабые между уровнями | Взято как ограничение на выбор координаты разнесения |
| Кибернетика второго порядка, Х. фон Фёрстер, 1974 | Наблюдатель входит в описание системы. Отсюда раздел «Проверка метода на самом институте»: метод применяется к устройству, которое его применяет | Радикальный конструктивизм: инвариант проверяется извне, а не задаётся наблюдателем |
| Нейро-символические архитектуры, 2019–2026 | Разделение порождения гипотезы и её строгой проверки между разными компонентами | Конкретные реализации: метод не предписывает решателя и не привязан к нотации |
Что в методе своё
Своим является правило композиции. Живучесть целого по Биру, снятие конкретного противоречия по Альтшуллеру и проверяемость результата формальными методами связываются в один рабочий цикл, где каждый шаг обязан оставить артефакт установленной формы, а последний шаг обязан замкнуть ошибку без участия человека.
Область, для которой правило формулируется, тоже своя: организации, в которых исполнителем регулярных операций является автономная вычислительная система, а ответственность за результат остаётся на институте. В этой области ни одна из перечисленных традиций не даёт готовой процедуры: Бир не знал автономного исполнителя, Альтшуллер работал с техническими системами, формальная верификация не отвечает на вопрос о живучести организации. Четвёртый шаг следует из закона Эшби: такой исполнитель порождает действия быстрее и разнообразнее, чем их успевает отработать контур из людей, поэтому ошибка, адресованная человеку, накапливается быстрее, чем исправляется.
Процедура
Четыре шага. У каждого назван вопрос, обязательный выход и признак невыполнения. Шаг считается пройденным только при наличии выхода; ссылка на понимание выходом не является.
Шаг 1. Инвариант
- Вопрос. Какое свойство система обязана удерживать во внешней среде независимо от своего состава?
- Обязательный выход. Утверждение вида «система удерживает функцию F при затратах не выше E и не порождает некомпенсированного риска R», где F, E и R названы и измеримы.
- Признак невыполнения. Инвариант сформулирован через состав («система состоит из») или через намерение («система стремится»). Ни то, ни другое не проверяется извне.
Шаг 2. Структурное противоречие
- Вопрос. Какие два требования к системе исключают друг друга?
- Обязательный выход. Пара вида «требование A требует свойства P, требование B требует его отсутствия», где P — одно свойство, а не набор пожеланий.
- Признак невыполнения. Вместо пары получается список желаемого. В этом случае противоречия нет, и метод не применяется.
Шаг 3. Координата разнесения
Конфликт снимается введением дополнительной координаты, вдоль которой оба требования выполняются раздельно. Координат три, и выбор между ними обосновывается, а не подразумевается.
- Уровень. Детерминированное ядро и адаптивная периферия. Требование строгости отнесено к ядру, требование гибкости — к периферии.
- Время. Система ведёт себя как P в одной фазе и как не-P в другой; фазы разделены явным переходом, а не плавным дрейфом.
- Контур управления. Требования отнесены к разным управляющим контурам, связанным протоколом, а не общим состоянием.
- Обязательный выход. Выбранная координата, отвергнутые координаты и причина отказа от каждой.
- Признак невыполнения. Решение описывается словами «баланс», «компромисс», «золотая середина». Это признак усреднения, то есть отказа от синтеза при сохранении его названия.
Шаг 4. Замыкание контура
- Вопрос. Куда попадает ошибка на выходе блока и что она изменяет на входе?
- Обязательный выход. Контур с названным измерителем, порогом срабатывания и адресатом сигнала.
- Признак невыполнения. Адресатом сигнала является человек. Такой контур не замкнут. Он допустим как временное состояние, но обязан быть помечен незамкнутым и учитываться при оценке системы.
Условия применимости и отказа
Метод, применимый всегда, не несёт информации. Ниже перечислены случаи, в которых применять его не следует.
- Требования совместимы. Работает оптимизация; синтез добавит уровней без выигрыша.
- Противоречие снимается изменением цели. Тогда решается задача постановки цели, а не задача сборки.
- Цена дополнительной координаты выше цены самого конфликта. Разнесение всегда стоит связности; на малых системах эта цена превышает выигрыш.
- Отсутствует измеритель. Без измерителя четвёртый шаг невыполним, и результат нельзя отличить от декларации.
Где соответствие между областями ломается
Перенос между инженерией, вычислительными системами и правом продуктивен, но не полон. Соответствие, у которого нет случаев расхождения, не несёт информации, поэтому расхождения названы прямо.
- Ресурс среды. В технике ресурс среды устойчив: тяжесть и трение не отменяются решением. В праве роль ресурса играют бремя доказывания и презумпции, а они срочны и отменяются изменением нормы. Приём переносится, надёжность приёма — нет.
- Проверка эмерджентности. В композитном материале новое качество проверяется испытанием образца до внедрения. В организации проверить можно только последствия и только с задержкой; испытание образца невозможно в принципе.
- Замкнутость множества параметров. Аксиома независимости формулируется для конечного и известного набора проектных параметров. В организации набор не замкнут: новые параметры появляются в ходе работы, и разнесение, верное вчера, может перестать быть верным.
- Стоимость ошибки шага 2. В технике неверно названное противоречие обнаруживается испытанием. В праве и в организации оно может не обнаружиться годами, поскольку система продолжает работать, компенсируя конфликт ручным трудом.
- Темп проверки. В технике датчик и исполнительный механизм работают в одном темпе. В организации вычислительный исполнитель действует быстрее, чем институт проверяет последствия: аудит и суд идут неделями. Разнесение по времени (шаг 3) здесь ненадёжно: инвариант может быть нарушен раньше, чем закончится проверка. Поэтому допустимость действия проверяется до его исполнения, а не по последствиям.
- Защита отключением. В технике защита часто строится на размыкании цепи. В организации, где регулярные операции исполняет вычислительная система, отключение останавливает и саму работу. Поэтому допустимость проверяется для каждого действия, а отключение остаётся крайней мерой.
Проверка метода на самом институте
Операционная модель института построена этим методом, поэтому она же служит его первой проверкой. Четвёртый шаг требует, чтобы ошибка замыкалась без участия человека. По этому критерию контуры института проходят не все, и ниже это показано без изъятий.
| Контур | Что удерживает | Замкнут без человека | Чем проверяется |
|---|---|---|---|
| Проверка допустимости действия агента | Ни одно необратимое действие не исполняется без доказательства допустимости | Нет. Запрет действует для одного класса действий из шестнадцати — удаления, с 24.09.2026; остальные классы в режиме совета. Перехват узнаёт 28 % действий кодового агента (замер 24.09.2026) | Для класса в запрете отказ останавливает действие до исполнения; квитанция каждого решения ложится в цепь |
| Согласованность внутренних реестров | Состав систем, ответственных и площадок описан непротиворечиво | Да | Расхождение возвращает отказ, работа не продолжается |
| Самопроверка опубликованного содержания | Страницы соответствуют канону и объявленным условиям | Да | Ежедневный прогон, расхождение фиксируется в состоянии |
| Измеритель ручных вмешательств | Частота ручных правок в рабочем контуре | Да | Величина выводится из следов, а не записывается рукой |
| Контроль достоверности ответов | Ответы не содержат утверждений сверх основания | Нет. Вердикт формируется автоматически, исправление вносит человек | Суточный отчёт и требование серии чистых суток |
| Наблюдение за прикладным контуром | Заказы, платежи, публикации, поисковая видимость | Нет. Сигнал адресован человеку | Ежедневный прогон, сигнал тревоги при расхождении |
Три контура из шести не замкнуты. Это не оговорка о будущем, а текущее состояние: метод оценивает институт так же строго, как проектируемые для заказчика системы, и в этих трёх случаях выносит незачёт.
Метод в изделии: открытый стек «ИБ 3.0»
Метод проверяется не только на устройстве самого института — он производит инженерные изделия. Каждая утилита открытого стека «ИБ 3.0» получена той же процедурой из четырёх шагов: инвариант, структурное противоречие, координата разнесения, замыкание контура. Ниже — два разбора; работающий код и воспроизводимые тесты — на странице кибербезопасности.
Шлюз допустимости действий (MITR Sentinel). Инвариант: действие агента не выводит контур в недопустимое состояние. Противоречие: агент полезен, лишь когда действует свободно, — и безопасен, лишь когда каждое действие проверено. Координата разнесения — по уровню: мысль остаётся свободной и вероятностной, а дискретный вызов инструмента проверяется детерминированным решателем до исполнения. Замыкание: при отказе агенту возвращается, какие условия контракта не доказаны и что их исправит; исправленное действие проходит шлюз заново. Разбор и код — защита ИИ-агентов от инъекций.
Криптографический журнал (ISS Ledger 117). Инвариант: журнал не переписывается задним числом. Противоречие: запись должна иметь доказательную силу для регулятора — и не зависеть от закрытых серверов доверия. Координата разнесения — по контуру доверия: целостность цепочки считается посторонним однофайловым скриптом по ГОСТ «Стрибог», без установки чужого ПО и без доверия к разработчику. Разбор и код — журналирование по ГОСТ Стрибог.
Границы метода
- Метод не порождает целей. Инвариант задаётся извне: правом, заказчиком, учредителем.
- Метод не заменяет предметную экспертизу. Он указывает, где искать решение, но не какое решение верно.
- Метод не оценивает вероятностей и не прогнозирует. Он проверяет.
- Метод не гарантирует, что найденная координата разнесения единственна. Он требует назвать отвергнутые, но не доказывает их исчерпанность.
Открытые вопросы
- Как измерять степень замкнутости контура, если исправление вносит человек, но по автоматически сформированному предписанию? Двоичная оценка «замкнут или нет» здесь груба.
- Существует ли для организации аналог аксиомы информации, то есть мера стоимости выбранной координаты разнесения, позволяющая сравнивать два синтеза между собой?
- Как формально отличить разнесение по уровню от скрытого усреднения, если сами уровни определены содержательно, а не строго?
- При каком объёме системы цена дополнительной координаты перестаёт окупаться? Порог известен эмпирически и не выведен.
- Как обнаружить, что правила ядра соблюдены по букве, а смысл инварианта утрачен: агент проходит все проверки, но достигает цели путём, которого институт не предполагал?
- Где предел разнесения по уровню? Ядро проверяет гипотезы периферии, пока проверка ему по силам. Если она требует больше вычислений, чем есть у ядра, остаются отказ в действии или скрытая передача доверия периферии. Каков формальный критерий этого предела?
Источники
- Богданов А. А. Тектология: всеобщая организационная наука. 1913–1922.
- Bertalanffy L. von. General System Theory: Foundations, Development, Applications. New York, 1968.
- Ashby W. R. An Introduction to Cybernetics. London, 1956.
- Beer S. Brain of the Firm. 1972; The Heart of Enterprise. 1979.
- Альтшуллер Г. С. Найти идею: введение в теорию решения изобретательских задач. 1986.
- Suh N. P. The Principles of Design. New York, 1990; Axiomatic Design: Advances and Applications. New York, 2001.
- Simon H. A. The Sciences of the Artificial. Cambridge, 1969.
- Foerster H. von (ed.). Cybernetics of Cybernetics. BCL Report 73.38. Urbana: University of Illinois, 1974.
Значения терминов, употреблённых на этой странице, приведены в глоссарии. Архитектурные следствия метода и разбор прикладных сценариев — в разделе «Архитектура». Исследовательская позиция института, из которой метод возник, изложена в «Доктрине управляемого перехода».