Załamanie systemów sieciowych

Autor: David Clarke (wersja oryginalna)

16 maja 2011

W społeczności komentatorów zjawiska Peak Oil znajdują się osoby podejrzewające, że możemy stanąć w obliczu załamania naszego współzależnego społeczeństwa, które będzie nagłe, dojmujące i kompletne. Wielokrotnie powtarzałem, że siebie do tej grupy nie zaliczam. Sądzę, że nasz styl życia będzie musiał ulec poważnemu przeobrażeniu, ale nastąpi to powoli. Nie spodziewam się, że w nieodległej przyszłości będę okładał kogokolwiek kością udową. Opinia ta utrwalona jest w druku i mediach elektronicznych – rychło z tego stanowiska raczej się nie wycofam… ale niedawne wydarzenie zmusiło mnie, bym przyznał, że wskazana jest odrobina asekuracji.

Od pewnego czasu mamy w pracy problemy z naszą wewnętrzną siecią. Przez ostatnie dwa dni mój e-mail (i co najważniejsze, dostęp do Internetu) był szczególnie zawodny. Sieć regularnie przeskakiwała w oka mgnieniu z trybu „pracuje” na „zawieszona.” Przypomniałem sobie, że szybkość upadku sieci bywa często funkcją jej naturalnej częstotliwości (szybkości), a zasięg załamania uzależniony jest od szeregu czynników, z obciążeniem i stopniem współzależności wewnątrzsieciowej włącznie.

Trop serwisowy ostatecznie zaprowadził do źródła problemu – defektu oprogramowania w jednej z maszyn intranetu. Sterowniki sieciowego interfejsu pojedynczej maszyny były uszkodzone.

Zdarzenie to zrodziło w moim umyśle pytanie: skoro Protokół Internetu w swoim wyjściowym zamyśle został zaprojektowany jako solidny, niezawodny, nadmiarowy system, to dlaczego jeden wadliwy element oprogramowania pojedynczej maszyny zdołał zatrzymać sieć z tysiącami węzłów?

Odpowiedź była prosta: opłacalność.

Nasza sieć intranet mogła zostać zbudowana w sposób zapewniający jej niezawodność (odporność), ale zamiast tego zbudowaną ją tak, aby była wydajna (tania). Nie będąc siecią złożoną z systemów bezawaryjnych, nasza sieć to układ współzależności. Kiedy system był obciążony, jedna usterka sparaliżowała cały system. „Biznesowa wydajność” na dwa kolejne dni rozłożyła naszą sieć na łopatki.

W ostatnim czasie dostrzegam ten schemat bardzo często. W zeszłym roku w naszym mieście nastąpiła przerwa w dostawie elektryczności. Pewnego popołudnia system transmisji prądu był poważnie obciążony i wyłączyła go pojedyncza usterka.

Akademicy badający załamania złożonych systemów dochodzą do interesujących konkluzji. Jeden z przeprowadzonych przez nich eksperymentów rozpozna każdy, kto kiedykolwiek bawił się jako dziecko w budowę zamków z piasku. Wznieś kopczyk poprzez stopniowe dodawanie ziaren piasku. Wkrótce w dół zaczynają zsuwać się lawiny. Czasem są nieznaczne, innym razem mają wpływ na cały stos. Najwyraźniej nie ma sposobu na miarodajne przewidzenie rezultatu.

Jednakże Per Bak w swojej książce „Jak działa natura” pokazuje, że istnieje bardzo pouczający sposób spojrzenia na tę kwestię.

Można wyróżnić krytyczny kąt dla kopczyków piasku – poziom nachylenia, poza który zbocze nie może już wyjść nie powodując osuwania piasku. Wyobraźmy sobie, że dodając piasek zabarwiamy na czerwono wszystkie obszary stosu, które osiągają ten krytyczny kąt (i w związku z tym są bliskie lawinowego osunięcia). Zauważymy, że czerwone pola ujawniają się jako strużki biegnące po zboczu w dół kopczyka. Dodawany piasek sprawia, że stos staje się wyższy i szerszy – na coraz bardziej stromych zboczach pojawia się coraz więcej czerwonych strużek. W końcu zaczynają one wzajemnie się łączyć.

Jeżeli zrzucimy ziarenko piasku na czerwony obszar, przyspieszymy lawinę. Jeżeli ów czerwony obszar jest połączony z innymi polami tej barwy, wszystkie zostaną pociągnięte przez lawinę. Jeżeli obszar czerwony jest odizolowany, lawina będzie ograniczona do jednej strużki biegnącej w dół zboczem kopczyka.

Tę podstawową zasadę można zastosować do każdego sieciowego problemu. Jeżeli jedna ścieżka sieci staje się krańcowo obciążona (czyli zmienia kolor na czerwony), system wykrywa, że osiągnęła szczyt swojej przepustowości i opóźnia ruch (gromadzi go wyżej) lub przenosi na inne ścieżki (dystrybuuje szerzej).

Gdyby pozostałe ścieżki były nowymi, nieobciążonymi i nadmiarowymi częściami sieci, wówczas nie stanowiłoby to problemu. Ale nimi nie są. Pozostałe ścieżki to najzwyczajniej inne elementy starej, mocno nadwyrężonej, przeładowanej sieci. Niebawem wszystkie przybierają barwę czerwoną i są ze sobą wzajemnie powiązane. Zatem w chwili, kiedy jedna część sieci zawodzi przekazuje ruch do następnej części, która także zawodzi – tworzy się lawina. Przy wszystkich połączonych sieciach każda z nich jest ułomna i każda ostatecznie ulega załamaniu.

Nasza sieć działa z prędkością elektroniczną i z taką samą szybkością zawiodła.

Zrozumienie, jak do tego doszło jest krytycznie ważne. W tworzeniu całkowitego załamania sieci można wyróżnić cztery etapy:

1. Skonstruuj sieć poprzez budowę połączeń między systemami.

2. Kiedy określona część sieci zbliża się do poziomu przeciążenia (kolor czerwony), uznaj ten fakt i użyj połączeń, które stworzyłeś – pozwolą one przenieść obciążenie na inną część sieci.

3. Postępuj tak nadal, aż wszystkie obszary przybiorą barwę czerwoną.

4. A teraz zwiększ obciążenie.

Kiedy sypaliśmy piach na nasz kopczyk pozwalaliśmy, aby ziarna spadały w sposób przypadkowy, dlatego przypadkowe wydawały się być także lawiny. Ale kiedy uzyskaliśmy zdolność monitorowania (widzenia naszych potencjalnych obszarów „lawinowych” w kolorze czerwonym), mogliśmy z namysłem przekierowywać piasek na inne obszary. Opóźnia to lawinę, ale ostatecznie będzie ona znacznie gorsza, ponieważ pojawi się, kiedy wszystkie obszary będą czerwone.

Reasumując: Zdolność dokonywania pomiarów i monitorowania systemu daje nam możliwość uniknięcia małych lawin na poszczególnych obszarach. Jednakże dodając obciążenie bez dodawania przepustowości wywołujemy przeciążenie sieci, co w konsekwencji sprawia, że wszechogarniająca lawina jest nieunikniona.

Jeżeli nie możemy rozbudować przepustowości, lepiej byłoby pozwolić na serię mniejszych lawin.

Rzut okiem na obecne rynki finansowe może zilustrować to samo zagadnienie. Kiedy spojrzymy na udzielane kredyty hipoteczne zwiększonego ryzyka sub-prime, zauważymy, że rynek stworzył całą serię „instrumentów inwestycyjnych”, które pozwoliły na podział ryzyka. Powołano złożoną sieć współzależności, aby podzielić ryzyko, ale nie dodano „przepustowości”, aby uporać się z prawdopodobną niewypłacalnością. Różne instytucje, które zakupiły te „instrumenty inwestycyjne” myślały, że kupują środki, a nie zadłużenie. Instytucje nie zdołały rozpoznać konieczności dodania „przepustowości” w postaci płynności finansowej równej prawdopodobnej wartości niespłaconego zadłużenia. W rezultacie dodawanie obciążenia (w postaci niewypłacalności pożyczkobiorców) zagraża upadkiem całej sieci, a nie tylko pojedynczego ośrodka, w którym powstało zadłużenie.

Warto zauważyć, że załamanie może nastąpić w systemie szybkim, ale możemy tego nie odczuć do chwili, zanim nie przetoczy się ono przez system wolny, o ile systemy te istnieją jako ogniwo łańcucha. Przykładowo systemy kredytowe mogą zablokować się względnie szybko, ale możemy tego nie odczuć do momentu, zanim skutki nie dosięgną systemów transportowych. Kiedy kredyt jest niedostępny pośrednicy nie mogą zakupić towarów (takich jak chociażby zboże), zatem nie trafiają one na statki i nie są dostarczane – ale zanim dostrzeżemy załamanie dostawcze, upłyną tygodnie. Prędkość następstw toczącego się załamania jest często ograniczona do naturalnej częstotliwości najwolniejszego ogniwa.

Koncepcją kluczową jest to, że monitoring i sieciowe powiązanie systemu pozwala udać się nam na skraj katastrofy, a następnie przenieść obciążenie na inną część sieci, aż i ona znajdzie się na skraju katastrofy.

Po przedyskutowaniu efektów powiązań sieciowych, chciałbym teraz wypuścić się z tą analogią nieco dalej i spojrzeć na jej konsekwencje z perspektywy ropy naftowej.

Kilka lat temu pozyskanie ropy sweet light crude zaczęło być problematyczne. W odpowiedzi na sytuację przestaliśmy mówić o „ropie” i zaczęliśmy używać terminu „paliwa płynne.” Obejmują one LNG (Liquefied Natural Gas) – gaz ziemny w postaci ciekłej, etanol, ropę ciężką, piaski roponośne i coraz liczniejszą grupę pozostałych substytutów ropy.

W gruncie rzeczy część sieci o nazwie „Ropa sweet light crude” zmieniła kolor na czerwony, zatem zapoczątkowaliśmy łączenie „Sieci ropy” z innymi sieciami.

Podłączyliśmy ropę do sieci „żywności” poprzez przerobienie produktu żywnościowego na etanol. W rzeczywistości żywność była już pod nią podłączona wcześniej, ponieważ we współczesnym świecie produkcja żywności wymaga ropy; jednakże teraz obwód został zamknięty – wcześniej używaliśmy ropy, aby wytworzyć żywność, a teraz wykorzystujemy żywność (kukurydzę, cukier, olej palmowy etc.), aby wytworzyć ropę (lub jej substytuty).

Poprzez dodanie do sieci ciekłego gazu i paliw płynnych z węgla (CTL: Coal-To-Liquid) nastąpiło połączenie ropy z innymi źródłami energii. Wraz z postępującym wzmacnianiem tego połączenia i zapoczątkowanym dokładaniem obciążenia, każdy niedobór któregokolwiek z tych źródeł będzie miał wpływ na pozostałe. W pewnym zakresie zjawisko to już ma miejsce.

Dodawanie do sieci piasków roponośnych i rozmaitych substytutów ropy stworzyło zaskakujące sprzężenie pomiędzy środowiskiem i ropą. Przybiera ono wiele form, ale najbardziej interesującą z nich przedstawia fakt, iż substytuty ropy są mniej wydajne niż ropa sweet light crude – bez względu na zakres wykonanej pracy produkuje się znacznie więcej CO2. Połączenie to wyłania się stopniowo i może mieć interesujące reperkusje. Problem ten dotyczy praktycznie wszystkich substytutów ropy, zatem ich adaptacja na szeroką skalę (zwłaszcza CTL i piasków roponośnych) może spowodować środowiskową katastrofę, która w konsekwencji wstrzymałaby produkcję etanolu i wywołała efekt domina w innych częściach sieci.

System finansowy odgrywa w tej sieci istotną rolę. Jeżeli energia, żywność i środowisko można uznać za trzy składowe sieci, to nasz system finansowy można potraktować zarówno jako formę sieciowego monitoringu, jak i medium komunikacyjne stosowane przez sieć do przekazywania sygnałów. Uznajmy, że system finansowy przypomina niebieski kabel wychodzący z tyłu komputera. Prawdopodobnie nie ulegnie on przegrzaniu, ale nasz finansowy system jest siecią złożoną z kilku sieci i jarzy się czerwienią. Poza monitoringiem i komunikacją, system finansowy udziela wsparcia w zakresie konserwacji i modernizacji systemów energetycznych, zatem jego przepustowość ma znaczenie zasadnicze.

Kiedy jedną część systemu dosięga problem (powiedzmy, że nagle spada poziom produkcji LNG), wówczas za pośrednictwem systemu finansowego przesyłane są komunikaty (w formie podwyższonych cen), a pozostałe części systemu przejmują obciążenie – jeżeli są do tego zdolne – zwiększając produkcję. W porównaniu z siecią Protokołu Internetu system ten ma liczne wady. Wysokie opóźnienie prowadzi do spowolnionych reakcji. Mierny monitoring prowadzi do sprzecznych sygnałów lub niepowodzenia w wykryciu niedomagań. Błędne komunikaty często nie są korygowane, prowadzą do niewłaściwych reakcji itd.

Prędkość upadku / krachu

Interesującą, odnotowania godną kwestią jest to, że zwiększanie popytu powyżej maksymalnej wydajności nie doprowadzi do natychmiastowego „rozpadu” tego systemu. Zakłady naftowe pracujące na pełnych obrotach nie doświadczą „rozpadu,” kiedy popyt przekroczy maksymalną wydajność – będą po prostu operować na poziomie wydajności. Upadek może nadejść, ale nastąpi to dlatego, że popyt rozgrzewa system finansowy i rujnuje inne systemy uzależnione od finansów. Ze względu na to, że system produkcji ropy jest zależny od innych systemów, może to doprowadzić do ostatecznego załamania produkcji ropy – w końcu brak konserwacji zdegraduje wydajność – ale jest to proces, który obejmuje okres miesięcy lub lat.

Analogicznie, proces dodawania wydajności jest wyjątkowo powolny. Budowa zakładów LNG i CTL trwa blisko dekadę.

System produkcji ropy z pewnością może upaść, ale byłby to upadek w zwolnionym tempie.

Jedyną częścią systemu, która może upaść szybko jest system finansowy. Zapewnia on monitoring, komunikację, konserwację i modernizację. Zatem nie jest wykluczone, że zupełny krach na tym obszarze mógłby doprowadzić do załamania całej sieci.

Jednakże czy taki finansowy krach może nastąpić? Natychmiastowe wstrzymanie produkcji ropy wymagałoby krachu daleko bardziej drastycznego niż Wieki Kryzys. Szybkość reakcji naszego systemu finansowego została poprawiona poprzez elektroniczne połączenie wszystkich pod-systemów, ale nadal istnieją liczne przewężenia, bezpieczniki i kody sprawdzające (sanity checks). Wielki Kryzys wyłaniał się przez okres miesięcy i lat. Nawet przy obecnych połączeniach elektronicznych, mało prawdopodobne jest zupełne załamanie naszych instytucji finansowych następujące z dnia na dzień.

Jeżeli system ten runie z dnia na dzień, stanie się tak za sprawą wyciągnięcia wtyczki – rozpadu społecznego na zewnątrz systemu.

Naturalna częstotliwość wydarzeń w sieci nafty i jej substytutów plasuje się przynajmniej w przedziale miesięcy, najprawdopodobniej lat. Wewnętrzne napięcia nie mogą wywołać momentalnego krachu.

Rozległość upadku / krachu

Rozległość rozpadu zależy od stopnia sprzężenia oraz stanu obciążenia każdej części sieci. Właśnie w tym punkcie zaczynam się martwić.

Wygląda na to, że ropa dobija do szczytu produkcji – eksport spada. Jeżeli chodzi o sieć żywności – światowe rezerwy zbóż bliskie są najniższego poziomu w historii; w przyszłym roku spodziewany jest kolejny ich spadek. A środowisko naturalne? Zmiana klimatyczna najwyraźniej jest już z nami – środowisko więcej udźwignąć nie zdoła.

Oglądana pod tym kątem sieć zdaje się być w stadium schyłkowym. Każda z trzech części sieci osiąga lub osiągnęła maksimum swojej wydolności. Jeżeli rozpiętość mierzona w latach stanowi naturalne czasowe ramy upadku / krachu tego systemu, dość prawdopodobnym jest, że właśnie teraz obserwujemy rozległy rozpad energetycznych systemów.

Nasze działania zwiększające liczbę połączeń z sieciami żywności i środowiska nie pomogą; możliwe, że po prostu przyspieszą upadek.

Sygnały wskazujące na początek krachu byłyby dostrzegalne w systemie monitoringu i komunikacji – systemie finansowym. Wzrosłyby ceny ropy. Jesteśmy tego świadkami… Wzrosłyby ceny żywności. Jesteśmy tego świadkami… Możemy oczekiwać niepokojów, niepewności i prób „wyceny” środowiska.

Konkluzja

Jestem zmuszony przyznać, że rozległy upadek jest możliwy. Nadal utrzymuję, że nagły rozpad jest mało prawdopodobny, ale jeżeli już trwa, z pewnością takim będzie się wydawał, kiedy w końcu go zauważymy.

Aktualizacja 2011: Powyższy tekst napisałem w roku 2007.

Tłumaczenie: exignorant