Неуязвимость. Отчего системы дают сбой и как с этим бороться - Андраш Тилчик

Утром 1 августа в торговую систему компании Knight поступили сотни ордеров от брокеров-дилеров, чьи клиенты могли участвовать в программе розничной ликвидности. Семь серверов обрабатывали ордера правильно и посылали их на Нью-Йоркскую фондовую биржу как ордера RLP. Но на восьмом сервере случилась беда.

Когда в 9:30 открылась Нью-Йоркская биржа, этот сервер начал обрабатывать присланные клиентами заявки. Но код RLP в нем не был установлен, поэтому вместо того, чтобы направлять каждый полученный ордер на биржу по фиксированной цене, сервер рассылал сотни ордеров в секунду, один за другим, причем цену устанавливал дефектный код Power Peg, сохранившийся на этом сервере. Нью-Йоркскую фондовую биржу наводнили ордера на покупку акций более ста компаний, включая Ford, General Motors, Pepsi и ту швейцарскую фармацевтическую компанию, на которую обратил внимание Джон Мюллер, – Novartis.

Хотя заполненные ордера не отражались во внутренних системах компании Knight, они были перехвачены мониторинговой программой, которая следила за некорректными операциями. Однако эта программа не предоставила подробной информации о содержании и происхождении заявок, поэтому менеджеры поначалу не осознавали всей серьезности ситуации. И, подобно компьютеру на АЭС Three Mile Island, который во время аварии выдавал только знаки вопроса, мониторинговая система Knight быстро утратила контроль над происходящим.

К тому времени когда компании удалось устранить проблему, она уже находилась на грани банкротства.

Финансовая катастрофа, постигшая фирму Knight, 30 лет назад была бы невозможна. Пока в торговле ценными бумагами не стали доминировать компьютеры, большинство сделок проводилось в ходе личного контакта покупателей и продавцов в торговом зале биржи. Это делало транзакции более понятными и уменьшало вероятность возникновения неожиданных взаимодействий. Когда происходило что-то странное, например клиент обращался с неожиданно крупной заявкой, трейдеры могли перепроверить ситуацию перед тем, как осуществить сделку. Это делало фондовый рынок достаточно слабо связанной системой. А если возникало недопонимание, то трейдеры могли просто побеседовать с клиентом и отменить некорректную операцию. Однако резкий рост использования компьютеров в торговле ценными бумагами превратил современную финансовую отрасль в сложную, малопрозрачную и не прощающую ошибок среду.

Когда Ти Джей добрался до своего офиса, он и его команда топ-менеджеров начали обсуждать пути получения срочного инвестирования от своих торговых партнеров, поскольку стоимость собственных акций фирмы Knight резко упала. На следующий день после происшествия Ти Джей – с больным коленом и прочим – появился на канале Bloomberg Television и попытался успокоить инвесторов: «Техника дает сбои. Это плохо. Мы этого не хотим, но все же такое случается».

Тому Джойсу с большим трудом удалось спасти компанию. К концу недели он добился значительных денежных вложений в фирму, а через несколько месяцев Knight объявила, что она сливается с фирмой Getco, своим бывшим конкурентом. Вскоре после слияния Ти Джей покинул объединенную компанию.

«Я не думаю, что кто-то из нас застрахован от проблем, – сказал он нам. – Задним числом все мы думаем и бегаем быстрее, а прыгаем выше. До того как возникает проблема, принимается масса мер предосторожности». Но этих мер бывает недостаточно. Фирмы, подобные компании Knight, сместились в опасную зону намного дальше, чем кто-либо мог предположить.

10 апреля 2010 года. День у Калеба Холлоуэя начался хорошо. Он был долговязым парнем двадцати восьми лет, работал помощником бурильщика на одной из самых сложных современных нефтяных платформ. Холлоуэй и его коллеги заканчивали бурение разведочной скважины на нефтеносном участке Macondo Prospect, принадлежавшем корпорации British Petroleum (ВР). В то утро начальник платформы Джимми Харрелл вызвал Холлоуэя в свой кабинет. Там на небольшой церемонии, в присутствии других управляющих платформы, Харрелл вручил Калебу серебряные часы – награду за то, что бурильщик обнаружил изношенный болт в ходе инспекции оборудования.

А почти через 12 часов после этого Холлоуэй едва избежал гибели{58}. Глина и нефть, выброшенные из скважины под огромным давлением, били фонтаном высоко над платформой, называвшейся Deepwater Horizon. Через несколько минут от работающих двигателей загорелось газовое облако. Члены команды спустили полупустые спасательные лодки или спрыгнули в темные воды Мексиканского залива с высоты 18 м. Некоторые не смогли выбраться с платформы – погибло 11 человек. Прежде чем затонуть, платформа Deepwater Horizon горела два дня, выбрасывая пламя на такую высоту, что его было видно с расстояния в 50 км{59}.

Последующие три месяца из скважины глубиной 1,5 км беспрепятственно вытекала нефть. Наконец, через 87 дней после взрыва, компании ВР удалось запечатать скважину. Но к тому времени почти 5 млн баррелей нефти вытекло в Мексиканский залив, в результате чего образовалось огромное плавающее нефтяное пятно.

Название буровой платформы Deepwater Horizon («Глубоководный горизонт») было исполнено большого смысла. За год до того, как на ней произошел взрыв, с платформы пробурили самую глубокую на тот момент скважину в мире. Она проходила на 1,6 км сквозь толщу воды и вгрызалась в морское дно на глубину еще 8 км. Такие нефтедобывающие компании, как ВР, брали платформы в лизинг для открытия новых месторождений нефти. Однако процесс бурения на такую глубину резко повысил сложность и жесткость связей во всей системе работ. ВР рисковала, все дальше и дальше заходя в опасную зону. А при стоимости лизинга 1 млн долларов в день эксплуатация Deepwater Horizon была совсем не дешевым делом. Поэтому инженеры торопились закончить работу на участке Macondo и перейти к новым проектам.

Авария на буровой платформе произошла не из-за изношенного болта или чего-то подобного, что могли бы обнаружить бурильщики при очередной инспекции оборудования. Все случилось из-за неспособности ВР справиться с возросшей сложностью всей системы буровых работ.