1.2. О возможностях формального аксиоматического метода в теории управления риском

В теории обеспечения безопасности сложных технических систем было пройдено два больших этапа. На первом этапе предполагалось, что надлежащие инженерные решения, организационные меры, квалифицированные и дисциплинированные сотрудники могут обеспечить абсолютно надежное функционирование сколь угодно сложных технических или социально-технологических систем. Такой взгляд часто называют теорией абсолютной надежности.

Жизнь заставила скорректировать его. Начиная с определенного порога сложности, приходится иметь дело с вероятностными характеристиками аварий и катастроф в природной и техногенной сфере. Снижение соответствующих вероятностей до недавнего времени и рассматривалось как один из главных путей управления риском. Родился вероятностный подход к анализу надежности сложных технических систем. Его характерные трудности таковы. Во многих случаях нам приходится сталкиваться с редкими событиями и уникальными конструкциями, для которых корректно определить соответствующую вероятность очень трудно, поскольку, с одной стороны, нет достаточной статистики, чтобы опираться на опыт, а с другой - нет теории, которая позволяла бы выводить эти величины, исходя из первых принципов.

Традиционный подход теории надежности, связанный с построением дерева отказов, учитывает лишь простейшие взаимосвязи между элементами сложной системы, в то время как для сложных систем характерно взаимное влияние различных элементов, более сложные причинно-следственные связи. Кроме того, зачастую неудовлетворительным оказывается сам характер ответов, связанных с вероятностным анализом. Допустим, что надежность уникального объекта, от которого зависит наше существование, определяется как одна возможная авария на миллион лет. Удовлетворит ли нас это? Если мы знаем только эту вероятность, то это ничего не говорит о том, когда можно ждать наступления такого события. Оно может произойти и завтра, и через тысячи лет. Этот парадокс сродни следующему. Вероятность того, что бесконечно тонкое острие иглы попадет в данную точку листа бумаги, равна нулю, но если мы бросаем иглу, то в какую-то точку она тем не менее попадет. Если авария произошла, естественно пересчитать те вероятности, на основе которых принимались решения о строительстве и эксплуатации объекта. Найти корректную процедуру для этой операции обычно оказывается нелегко.

Поскольку зачастую «слабым звеном» является человек, состояние сложной системы, ее безопасность сплошь и рядом нельзя оценивать без учета того, какие люди и в каких условиях работают на ней. Возникает проблема комплексной оценки риска в социально-технологических системах. Другими словами, анализ риска и безопасности предполагает сегодня междисциплинарное исследование, основой которого могут служить концепции, идеи и методы системного подхода реализованного на основе адекватных моделей в рамках формального аксиоматического метода.

Формальный аксиоматический метод основан на применении понятия Формальные системы. Это системы операций над объ­ектами, понимаемыми как последовательности символов (т. е. как слова в фиксированных алфавитах); сами опера­ции также являются операциями над символами. Термин «формальный» подчеркивает, что объекты и операции над ними рассматриваются чисто формально, без каких бы то ни было содержательных интерпретаций символов. Пред­полагается, что между символами не существует никаких связей и отношений, кроме тех, которые явно описаны сред­ствами самой формальной системы.

Если предложить читателю упорядочить объекты 53, 109, 3, то, скорее всего, он без всяких дополнительных вопросов расположит их в порядке 3, 53, 109. Иначе говоря, этой за­даче будет дана обычная арифметическая интерпретация: последовательности цифр рассматриваются как изображе­ния чисел в десятичной системе, упорядочение этих после­довательностей есть расположение изображаемых ими чи­сел по возрастанию, а правила сравнения таких изображе­ний чисел известны настолько хорошо, что обычно о них никто не задумывается. В действительности же такое истол­кование задачи, вообще говоря, не вытекает из текста «упо­рядочить объекты 53, 109, 3»; его можно понимать как за­дачу лексико-графического упорядочения (что приведет к результату 109, 3, 53), как задачу распределения бегунов с номерами, 53, 109, 3 по дорожкам (решение которой зави­сит от процедуры распределения и заведомо не связано с числовой интерпретацией объектов) и т. д. Возможность неоднозначного извлечения задач из текста означает, что этот текст не содержит формального определения задачи. Для такого определения нужно четко описать класс объ­ектов, для которых задача решается, и явно ввести для них понятие упорядочения, описав его как систему локальных операций над символами, из которых эти объекты состоят.

По существу при таком понимании «формальное описание» задачи означает ее точное, явное описание — все, что существенно для решения задачи, выписано явно. Поэтому уточнение задачи принято называть ее формализацией.

Сходные соображения по поводу того, что такое «точное описание», довольно подробно рассматривались при обсуж­дении понятия «алгоритм» и таких его элементов, как «дан­ные», «элементарный шаг». В оп­ределенном смысле проблему точного описания некоторого множества можно рассматривать как проблему построения алгоритма, перечисляющего или порождающего это множе­ство. Однако иногда акценты здесь несколько смещаются. Чтобы было ясно, о чем идет речь, рассмотрим формализа­цию понятия формулы, которая дается индуктивным определением формулы. Нетрудно по­казать, что множество формул, определенных таким обра­зом, перечислимо (и даже разрешимо) и, следовательно, существует алгоритм, порождающий это множество. Одна­ко конкретный порядок порождения формул, который опре­делил бы номер формулы в списке этих формул, т. е. кон­кретный перечисляющий алгоритм, этим определением не фиксируется. Зафиксировать такой алгоритм можно различ­ными способами, но для точного определения формулы этого не требуется.

Индуктивное определение формулы — простой пример описания перечислимого множества, в котором использова­ны все существенные составные части понятия «алгоритм», кроме одного — детерминированности. Отбрасывая несу­щественный здесь порядок перечисления элементов множе­ства, мы выигрываем в компактности описания, которое при этом не становится менее точным. Такое описание, не явля­ясь алгоритмом, представляет собой формальную систему, однозначно описывающую множество формул.

Исторически теория формальных систем, так же как и теория алгоритмов, возникла в рамках оснований мате­матики при исследовании строения аксиоматических тео­рий и методов доказательства в таких теориях. С их изуче­ния и начнется знакомство с формальными системами.

Принципы построения формальных теорий. Всякая точ­ная теория определяется, во-первых, языком, т. е. некото­рым множеством высказываний, имеющих смысл с точки зрения этой теории, и, во-вторых, совокупностью теорем — подмножеством языка, состоящим из высказываний, истин­ных в данной теории.

Каким образом теория получает свои теоремы?

В математике с античных времен существовал образец систематического построения теории — геометрия Евклида, в которой все исходные предпосылки сформулированы явно, в виде аксиом, а теоремы выводятся из этих аксиом с помощью цепочек логических рассуждений, называемых доказательствами. Однако до середины XIX в. математиче­ские теории, как правило, не считали нужным явно выде­лять действительно все исходные принципы; критерии же строгости доказательств и очевидности утверждений в ма­тематике в разные времена были различны и также явно не формулировались. Время от времени это приводило к необ­ходимости пересмотра основ той или иной теории. Известно, например, что основания дифференциального и интеграль­ного исчислений, разработанных в XVIII в. Ньютоном и Лейбницем, в XIX в. подверглись серьезному пересмотру; математический анализ в его современном виде опирается на работы Коши, Больцано, Вейерштрасса по теории пре­делов. В конце XIX в. такой пересмотр затронул общие прин­ципы организации математических теорий. Это привело к созданию новой отрасли математики — оснований мате­матики, предметом которой стало как раз строение матема­тических утверждений и теорий и которая поставила своей целью ответить на вопросы типа: «как должна быть постро­ена теория, чтобы в ней не возникало противоречий?», «ка­кими свойствами должны обладать методы доказательств, чтобы считаться достаточно строгими?» и т. д. Одной из фундаментальных идей, на которые опираются исследова­ния по основаниям математики, является идея формализа­ции теорий, т. е. последовательного проведения аксиоматического метода построения теорий. При этом не допускается пользоваться какими-либо предположениями об объектах теории, кроме тех, которые выражены явно в виде аксиом; аксиомы рассматриваются как формальные последователь­ности символов( выражения), а методы доказательств — как методы получения одних выражений из других с помо­щью операций над символами. Такой подход гарантирует четкость исходных утверждений и однозначность выводов, однако может создаться впечатление, что осмысленность и истинность в формализованной теории не играют никакой роли. Внешне это так; однако в действительности и аксио­мы, и правила вывода стремятся выбирать таким образом, чтобы построенной с их помощью формальной теории мож­но было придать содержательный смысл.

Более конкретно формальная теория строится следующим образом.

1. Определяется множество формул, или правильно по­строенных выражений, образующее язык теории. Это мно­жество задается конструктивными средствами (как прави­ло, индуктивным определением) и, следовательно, перечис­лимо. Обычно оно и разрешимо.

2. Выделяется подмножество формул, называемых акси­омами теории. Множество может быть и бесконечным; во всяком случае оно должно быть разрешимо.

3. Задаются правила вывода теории. Правило вывода —это вычислимое отношение на множестве формул.