Общий дом как операционная система

В основу положена радикальная, но продуктивная метафора: нынешнее мироустройство - со всем его общественно-политическим, экономическим и правовым укладом - это работающая, но старая операционная система. Условное имя - «Windows 11». Она не бессмысленна: она загружается, на ней живут миллиарды процессов. Но её баги уже известны - те, что проявляются десятилетиями и стоят человеческих жизней.

Вопрос документа: если дать полный корпус разработчиков и чистый лист, как бы выглядела следующая версия - «Windows 12»? Идеальной не существует - речь о наиболее правильной и совершенной из достижимого в нынешней ситуации.

Метафора ОС взята всерьёз. У операционной системы есть настоящая анатомия: ядро и кольца привилегий, модель разрешений, изоляция процессов, планировщик, механизм обновлений, обработка ошибок, аутентификация. Каждая ось отображается на устройство общества на удивление точно - а где отображение ломается, оно ломается поучительно. В конце (Часть IX) разбирается и главный изъян самой метафоры: у ОС есть владелец, а у человечества его быть не должно. Язык операционных систем выбран именно из-за этой точности - он ближе и понятнее всего для объяснения такого устройства. При этом «Windows 12» - аналитическая линза, а не лозунг: в самой модели государство не исчезает, а становится тонким слоем (Часть III), так что речь о переустройстве всего стека как предмете разбора, дополняющем государства, а не об их упразднении.

Специальные технические термины (kernel, user space, capability, zero-knowledge, sandbox, nullifier и подобные) намеренно не расшифровываются: пояснения к каждому раздули бы объём, а их значение при необходимости легко найти в открытых источниках. Здесь важна не точность IT-определения, а роль, которую термин играет в устройстве.

Документ устроен так: сперва диагноз старой системы (I), затем разбор того, что из неё обязано выжить (II), потом архитектура новой (III) и место человека в ней (IV). Дальше - три самых нагруженных модуля, вскрытых по отдельности (V-VII), их взаимные конфликты (VIII), ловушка архитектора (IX), стресс-тесты на слом (X), сверка с реальными живыми попытками (XI) и, наконец, открытый горизонт работы (XII).

Главная ошибка любого разговора о будущем - обсуждать государство как монолит, который либо есть, либо его нет. Государство - это не сущность, а связка функций, оказавшихся в одних руках по причинам войны, налога и промышленности:

1. Монополия на легитимное насилие - кто имеет право принуждать.
2. Юрисдикция над территорией - власть над куском физического пространства.
3. Производство общих благ - дороги, сети, оборона, суд, инфраструктура.
4. Принадлежность и идентичность - кто «свой», к кому приписан человек.
5. Перераспределение - забота о слабых, страховка от несчастья.
6. Право и разрешение споров - правила и арбитраж.
7. Внешнее представительство - голос вовне, на международной сцене.

Нет закона природы, по которому эти семь функций обязаны лежать в одной коробке. Они склеились исторически - и сегодня расклеиваются на глазах: идентичность утекает в сети, деньги - в протоколы, споры - в частный арбитраж, общие блага - в транснациональные структуры. Понимание государства как разъёмной связки, а не атома, - фундамент всего дальнейшего.

Прежде чем проектировать новое, надо честно определить, что нельзя выкинуть. Романтическая версия - государства просто растворяются в добровольных сообществах - разбивается о несколько твёрдых фактов.

Физическое пространство ривально

Реку, электросеть, порт, гектар земли нельзя «форкнуть», и нельзя быть в двух юрисдикциях сразу. Пока люди имеют тела и занимают место, кто-то управляет этим местом и разрешает конфликты за него. Это неустранимое ядро территориальной власти: материя рождает конкуренцию за исключительное пользование.

Физическая безопасность - крайний случай, где выход невозможен

Пандемия, вторжение, катастрофа. Здесь нужна структура, из которой нельзя выйти по клику, потому что она обязана удержать в общей цене тех, кто хотел бы сбежать. Свобода выхода прекрасна против тирании и смертельна против пандемии: вирусу всё равно, какому добровольному сообществу принадлежит человек.

Забота о тех, кто не может внести вклад

Это самый сильный аргумент за что-то государствоподобное, и его реже всего произносят вслух. Добровольные сообщества по природе хорошо заботятся о полезных и плохо - о бесполезных: больных, старых, сломанных, «невыгодных». Историю к солидарности принуждали именно через невыходимую структуру - ту, из которой здоровый и богатый не может эмигрировать от обязательств перед слабым. Убрать принуждение к солидарности - и получится сортировка людей по полезности. Это не свобода. Это дарвинизм с хорошим интерфейсом.

Первое решение любой ОС: что крутится в кольце 0 (привилегированно), а что - в user space, где процесс может упасть, не уронив систему. Монолит - плохая архитектура. Здесь архитектура - микроядро. В ядре - только то, что физически неотделимо и рояльно, то, из чего нельзя выйти:

• защита физической безопасности и физического пространства;
• планетарные системы жизнеобеспечения - климат, океан, атмосфера, орбита, спектр, вода;
• управление сверхтехнологиями, где цена ошибки - вид целиком (искусственный интеллект, биоинженерия);
• и главное - поддержание самой модели разрешений: гарант того, что никто не станет root'ом.

Всё остальное - экономика, культура, сообщества, уклады, веры, эстетики - выносится в user space. Там оно конкурирует, ошибается, банкротится, умирает и рождается заново, не забирая систему с собой. Ядро - тонкое; над ним - бурлящее пространство свободных процессов.

Сердцевина всей модели и точка, где ломается большинство исторических систем.

В операционной системе суверен - user. Процессы существуют, чтобы служить пользователю; когда процесс мешает пользователю или зависает, его завершают - штатная операция, а не трагедия. Глубочайший баг почти всех устройств общества в том, что они инвертируют это отношение: человек становится процессом, обслуживающим Систему - экономику, нацию, государство, партию, «великую цель». Человека планируют (шедулят) под задачи системы, а не наоборот.

Лучшая идея современной компьютерной безопасности - права как способности (capabilities) при принципе наименьших привилегий. На ней строится вся политика.

• Никакой актор не получает больше полномочий, чем нужно под конкретную задачу.
• Любое полномочие отзываемо, ограничено по сроку и аудируемо. Нет вечных, безусловных, наследуемых грантов власти.
• Права человека - не абстрактная декларация, а конкретные неотъемлемые токены, которые нельзя отнять юрисдикцией, разменять или обусловить полезностью.

Федеративность, полицентризм, песочницы. Сообщества, экономики и уклады - это изолированные процессы. Один падает - остальные живут. Тогда право выхода = право завершить процесс или выйти из него. Это мощнейший ограничитель тирании: власть, из-под которой можно уйти, вынуждена быть сносной, потому что иначе она останется без людей. Но у этого есть цена (Часть VIII): сплошная выходимость ведёт к сортировке по похожести, к исчезновению солидарности через различие и к вопросу «кто держит тех, из кого выходят все». Право выхода абсолютно в user space и невозможно в ядре - иначе рушится сама Часть II.

Собранная воедино, архитектура даёт не «нет государства», а многослойность. Организующий принцип - субсидиарность: решение принимается на самом низком уровне, способном его удержать, и поднимается выше, только когда обязано.

Такое разделение примиряет свободу с безопасностью лучше всего придуманного: оно не централизует по привычке и не децентрализует по догме, а кладёт каждую задачу туда, где она реально решается.

Модель отвечает на прямой вопрос - кем в ней становится человек - тремя связками.

Права (capability-токены, неотъемлемые, гарантируются ядром)

Функция

Человек - одновременно user (суверен над своей областью) и, коллективно, единственный источник авторитета ядра. Ядро легитимно ровно постольку, поскольку исполняется от имени пользователей. Нет «народа над людьми», нет «государства над гражданами» как отдельной высшей сущности - есть люди, чья совокупная воля и есть единственный root. Точнее: root'а как занятой позиции нет вообще (Часть IX), а есть только распределённый, никем не присваиваемый источник полномочий.

Обязанности (цена невыходимого слоя - без неё вся конструкция утопична)

• Не портить общую память. Не сваливать свои издержки в биосферу и в чужую жизнь. Интернализация экстерналий - не налог и не мораль, а запрет на memory corruption: нельзя писать разрушение в память, которую делят все.
• Поддерживать содержание общего. Вносить в кернельный слой (безопасность, комонс, защита слабых), из которого нельзя выйти, - именно потому, что из него нельзя эмигрировать от обязательств. Единственное легитимное принуждение к взносу.
• Обслуживать систему. Участие как maintenance. ОС, которую никто не сопровождает, деградирует. Гражданство - это и логин, и дежурство по системе: минимальная доля внимания и труда, без которой общее ржавеет.

Настоящая дилемма

Это трилемма: три свойства, из которых одновременно достижимы максимум два.

Любая реальная система жертвует одним ради двух. Похоже, это структурное свойство задачи, а не недоработка.

Что пробовали и как оно ломается

• Централизованный биометрический реестр. Уникальность - отлично. Но это ровно тот root: единая точка исключения (отключили запись - человек стал гражданским трупом), единая точка слежки, неизбежный function creep.
• Web-of-trust (поручительство). Децентрализовано, приватно. Но Sybil-устойчивость слаба на масштабе и воспроизводит неравенство социального графа: у кого связи - того верифицируют; изолированный остаётся никем.
• Proof-of-personhood по биометрии. Уникальность на масштабе решается. Но: биометрический honeypot планетарного размера; доверие железу; уязвимость к принуждению; необратимость (радужку не перевыпустишь); и за всем - компания. Глобальная биодедупликация сама есть готовая инфраструктура слежки.
• Госдокумент в обёртке selective disclosure. Улучшает приватность, но оставляет государство корнем доверия и наследует лотерею гражданства.

Наименее-плохой вариант

Ключевой ход - расклеить то, что слово «идентичность» слепило в один ком: аутентификацию (тот же субъект), уникальность (субъект один) и атрибуты (человеку 18 / он член вот этого / у него есть право X). Преступление паспортных систем - гнать все три через один идентификатор.

• Проверяющий уникальность не должен становиться наблюдателем активности. Между «кто уникален» и «что делал» - криптографическая стена: zero-knowledge и нуллификаторы. Эмитент выдаёт доказательство и забывает; proof остаётся у человека.
• Плюрализм эмитентов вместо монополии. Много независимых, достаточно k-из-n. Ни один не root, ни один не единая точка исключения.
• Отзываемость вместо сырой биометрии как ключа. Первичный ключ - перевыпускаемый credential. Биометрия проваливает именно перевыпуск, потому не может быть корнем.
• Нуллификаторы по контексту. Доказать уникальность «в этих выборах», не связывая с уникальностью «на том форуме».

Настоящая дилемма

Два сцепленных вопроса: как аллоцировать дефицит (земля, энергия, материя, внимание) и кто финансирует невыходимое ядро. Над обоими - конфликт двух провалов:

Наименее-плохой вариант

1. Защищённый пол. Гарантированный минимум: пропитание, энергия, доступ к вычислению и информации, базовое здоровье. Обоснование - не жалость, а свобода: договариваться на рынке свободно можно, только если есть куда уйти от плохой сделки. Пол даёт силу встать и уйти; он делает рынок над ним честным.
2. Общее метрится и оплачивается. Ривальный комонс (атмосфера, орбита, спектр, вода, внимание) не бесплатен и не приватизирован - к нему платный дозируемый доступ. Выручка за истощение общего и финансирует пол и ядро. Это рента с общего (в духе Джорджа), а не налог на производство: платишь не за то, что создал, а за то, что изъял у всех.
3. Потолок концентрации - фича безопасности, а не зависти. Крайняя концентрация ресурса = концентрация власти = потенциальный root, а безрутовость - в аксиомах модели. Ограничение накопления - это анти-захват. Обоснование сильнее морального: не «богатство несправедливо», а «сверх-богатство есть несанкционированный захват прав администратора».

Настоящая дилемма

Наименее-плохой вариант

• Политика как эксперимент. Поэтапная раскатка вместо «всё и сразу»; A/B на согласившемся малом контуре; замер по заранее объявленным метрикам; расширение только если сработало.
• Смещение к обратимости. Предпочтение откатываемому. Необратимое - радикально выше порог. Sunset-клаузы: правила истекают и должны быть переподтверждены. Дефолт - отмена, а не накопление; мёртвый институт тихо истекает, не тянется по инерции.
• Форк как предохранитель. Проиграл в обновлении - не воюешь, а отделяешься на открытых правилах. Плюрализм, применённый ко времени.
• Разделение власти менять правила и власти от правил выигрывать. Кто пишет поправку, не должен с неё кормиться. Изменение - под частичной вуалью неведения о своей будущей позиции.
• Кто сторожит апдейтер. Механизм обновления - сам код, и кто меняет его, тот и есть настоящий root. Мета-правило - самое трудноизменяемое: только устойчивое, растянутое во времени сверхбольшинство. Тайм-локи: изменение ядра требует поддержки через несколько периодов. Большинство во вторник ядро не трогает.

Это важнее любого модуля по отдельности. Три модуля - не независимые задачи, а связка ручек, где каждое положение одной портит другую. Честная модель обязана показывать эти конфликты, а не прятать.

Здесь метафора ОС даёт трещину - и трещина эта самое важное в документе. У операционной системы есть владелец - тот, у кого root, кто решает, что полезно пользователю, и катит обновления, не спрашивая. Человечеству такой владелец противопоказан.

Самое опасное в задаче «спроектируй мироустройство» - соблазн собрать красивую, единую, рационально устроенную систему с одним мудрым архитектором. Именно это в истории убивало миллионами. Общество - не код; ценности не имеют компилятора; нет юнит-теста на справедливость; и любой, кто заявляет, что знает, как надо, и требует права переписать всех, опаснее бага, который берётся чинить.

Это относится и к самому документу. Он написан как один голос - и именно поэтому его нельзя принимать как готовую систему. Его назначение - быть вскрытым, оспоренным и форкнутым, а не внедрённым.

Модель, не проверенную сценарием на слом, - не модель, а декорация. Прогон «Windows 12» через три жёстких сценария честно показывает, где она падает.

Сценарий 1. Пандемия

Быстрый смертельный патоген. Ядру нужно мгновенное принуждение к общей мере, а вся архитектура выстроена вокруг права выхода и минимального принуждения.

Сценарий 2. Война за физический ресурс

Два территориальных слоя претендуют на одну реку/шельф/коридор. Ресурс ривален, форк невозможен.

Сценарий 3. Захват со стороны ИИ

Сверхмощный ИИ - в ядре. Кто контролирует этот процесс, контролирует самый привилегированный код планеты.

Ничего здесь не ново целиком. Почти каждый элемент кто-то уже пробовал в жизни - и почти каждая попытка на чём-то сломалась. Честная модель обязана знать предшественников и не выдавать старое за небывалое. Новизна, если есть, - только в конфигурации, а не в элементах. Каждая живая попытка - уже проведённый стресс-тест одного модуля.

Ценность модели - не в ответах, а в качестве вопросов, которые она делает конкретными и проверяемыми. Слабые места предыдущих частей - это и есть повестка. Конкретные треки, открытые для совместного исследования, проектирования и проверки:

1. Sybil без Большого Брата. Удостоверять уникальность человека, не строя ни центрального реестра-слежки, ни исключающего гейта. Пока - трилемма без решения.
2. Аддитивная, а не гейтящая персональность. Чтобы отсутствие логина никогда не отнимало базового достоинства. Защита от главного риска - класса цифровых не-людей.
3. Финансирование невыходимого ядра без нового сборщика-тирана. Рента с общего - гипотеза; кто и как её собирает без превращения казны в root - открыто.
4. Скорость ядра против защиты от захвата. Дать ядру быстроту в катастрофе, не создавая станок чрезвычайного режима.
5. Арбитр сильнее сильнейшего, но не тиран. Может, ответ не в силе арбитра, а в конструкции, где нарушать невыгодно всем сразу, - это надо строить и проверять.
6. Аудируемость непостижимого. Контроль над сверхмощным ИИ в ядре, если его код нельзя понять человеческим умом. Возможно, важнейшая.
7. Пол и выход одновременно. Совместить право уйти с прочностью общего, чтобы свобода расхождения не убивала солидарность.
8. Метрики без Гудхарта. Мерить успех политик, не давя неизмеримое и не запуская гонку обхода порогов.