İnsan Onayı Olmadan Kırk Beş Dakika

Gözden Kaçanlar · Bölüm 04/10

Jersey City, New Jersey. 1 Ağustos 2012, saat 09.30.

Açılış zili nehrin karşısında, Manhattan'da çalıyor; Knight Capital'da sabah sıradan görünüyor. Knight bir piyasa yapıcısı — ABD hisse senedi piyasasında alıcıyla satıcı arasında duran, ülke genelindeki aracı kurumların emir akışını işleyen bir firma. Bugünün tek yeniliği şu: New York Borsası bu sabah Perakende Likidite Programı'nı devreye alıyor ve Knight, yüksek hızlı emir yönlendiricisi SMARS'ı bu programa hazırlamak için haftalardır çalışıyor. Yeni kod geçen hafta sunuculara kademeli olarak yüklendi. Her şey hazır görünüyor. Testler yapılmış, takvim tutmuş; kimsenin zihninde bir soru işareti yok.

Saat 09.30'da emirler gelmeye başlıyor — perakende müşterilerden 212 emir; SMARS'ın her sabah hiç sesini çıkarmadan işlediği türden bir akış. Yönlendirici çalışmaya koyuluyor.

Sonra durmuyor.

Dakikalar içinde Knight'ta bir şeylerin ters gittiği görülüyor. Hiçbir müşterinin istemediği hisselerde pozisyonlar birikiyor. Yönlendirici emir gönderiyor — yüzlerce değil, milyonlarca: satış fiyatından alıyor, alış fiyatından satıyor, tekrar tekrar. Mühendisler nedeni arıyor. Bulamıyorlar; en güvenli görünen adımı deniyorlar: yeni kodu geri almak. Mantık yerinde duruyor: sorun yeni kodla geldiyse, eski kod güvenli olmalı.

Akış yavaşlamıyor. Genişliyor.

Yönlendiricinin öbür ucunda piyasa var ve piyasa cevap vermeye devam ediyor. Makinenin gönderdiği her emir gerçek.

Gerçekte ne oldu

SEC'in 2013 tarihli kararında yeniden kurulan mekanizma neredeyse sıradan. Knight, borsanın yeni programına katılmak için SMARS'ı güncelledi ve kodu 27 Temmuz 2012'den itibaren kademeli olarak dağıttı. Dağıtım sekiz sunucuyu kapsıyordu. SEC'in ifadesiyle: "Knight'ın teknisyenlerinden biri yeni kodu sekiz SMARS sunucusundan birine kopyalamadı." Rapordaki bu tek cümle, o sabahın teknik çekirdeğini olduğu gibi özetliyor: sekiz sunucu, yedi güncelleme, bir eksik kopya.

Tek başına bu, atlatılabilir bir hataydı. Onu tehlikeli yapan daha eski bir karardı. Yeni kod, her emirde taşınan basit bir işareti — bir bayrağı — yeniden kullanıyordu. O bayrak eskiden Power Peg adlı bir işlevi tetikliyordu: Knight'ın 2003'te kullanmayı bıraktığı ama hiç silmediği bir yönlendirme mantığı. Dokuz yıl boyunca kimse ona dokunmamıştı; sistemin bir köşesinde, unutulmuş ama hâlâ bağlı, öylece duruyordu. Power Peg'in görevi, bir ana emir dolana kadar küçük alt emirler göndermeye devam etmekti. Ve yıllar önce, ana emrin tamamlandığını bildiren sayaç kodun başka bir yerine taşınmıştı. Eski mantığı hâlâ taşıyan o tek sunucuda Power Peg uyandı — ne zaman duracağını bilmesinin hiçbir yolu yoktu.

1 Ağustos'ta yedi sunucu yeni programın emirlerini doğru işledi. Sekizincisi, yeniden kullanılan bayrağı 2003'ten kalma bir komut olarak okudu. SMARS, 212 müşteri emrini işlerken yaklaşık 45 dakika boyunca piyasaya milyonlarca emir gönderdi — 154 hisse senedinde 4 milyondan fazla işlem, yaklaşık 397 milyon adet hisse. Yeni kodu geri almak durumu düzeltmedi, ağırlaştırdı: artık sekiz sunucunun tamamı eski mantığı ve canlı bayrağı taşıyordu. En güvenli görünen hamle, kusuru tek sunucudan alıp sekizine birden yaymıştı.

Sermayeye bağlı otomatik bir durdurma, sistemi durup sormaya zorlayan bir eşik yoktu. Böyle bir sabah, tasarım aşamasında kimsenin masasına gelmemişti. Akış kesildiğinde Knight vergi öncesi yaklaşık 440 milyon dolarlık bir zararla karşı karşıyaydı. Ayakta kalabilmek için birkaç gün içinde 400 milyon dolarlık kurtarma finansmanına ihtiyaç duydu.

Var olmayan kapı

Bu hikâyeyi bir yazılım hikâyesi olarak dosyalamak kolay: bir hata, kötü bir dağıtım, talihsiz bir bayrak. Oysa parçaların her biri tek başına sıradan. Kod tabanları atıl mantık taşır. Bayraklar yeniden kullanılır. Dağıtımlar ara sıra bir sunucuyu atlar. Bu üç kusurun birer örneği, yazılım işleten hemen her kurumda bugün de bulunur. Bunların hiçbiri, kendi başına, 45 dakikada 440 milyon dolara mal olmaz.

Sıradan bir kusuru yıkıcı bir rakama çeviren şey mimariydi: sistemde, makinenin çıktısının durup bir insanı beklemek zorunda olduğu tek bir nokta yoktu. Dağıtımda yoktu — kurulumu ikinci bir teknisyen gözden geçirmedi, eksik sunucu görünmez kaldı. Çalışma anında yoktu — emirler SMARS'tan borsalara doğrudan aktı; olağandışı hacmi zorunlu bir duraklamaya çeviren bir eşik yoktu. Ve en yalın oranda yoktu: içeri 212 emir girdi, dışarı milyonlarca çıktı — tek bir insan bakışının anında sorgulayacağı bir oran. O bakış hiçbir yere programlanmamıştı. Kapı unutulmamıştı; hiç tasarlanmamıştı.

Otomasyon kuran herkes için asıl ayrım şu: büyük hızda öneren bir makine bir varlıktır; büyük hızda taahhüt eden bir makine, içindeki her kusuru çarpar. Bu serinin ilk bölümünde kimsenin mutabakat yapmadığı bir satır yıllarca gizli kaldı, çünkü kimse bakmadı. Knight, aynı eksik kontrolün farklı bir saat hızındaki hâli — otomasyon hasarın doğasını değiştirmedi, yalnızca süresini kısalttı. Barings'te bakılmayan satır yıllara yayıldı; Knight'ta aynı boşluk dakikalara sığdı.

Onay kapısı olmayan hız, verimlilik değildir; risktir. Otomatik bir sistemin değeri, çıktısının taahhüde dönüştüğü anda belli olur — ve o an bir insana aittir.

Kapı bürokrasi değildir; makineye güvensizlik de değildir. Sistemin ürettiği ile kurumun bağlandığı arasına bilinçle bırakılmış boşluktur. İyi kurulmuş bir kapı süreci yavaşlatmaz; yalnızca geri dönüşü olmayan tek adımı görünür kılar ve o adıma bir isim yazar.

Sizin kapanışınız için anlamı

Kapanışınız hisse emri yönlendirmiyor. Ama her otomatik adımda sessizce tekrarlanan aynı mimari soruyu taşıyor: çıktı nerede taahhüde dönüşüyor — işlenen bir kayıt, onaylanan bir eşleşme, gönderilen bir ödeme? Cevap her hatta farklıdır ve çoğu kurumda bu soru hiç sorulmamıştır. Dört kontrol önerilir:

• Taahhüt noktalarını haritalayın. Kapanışınızdaki her otomatik hat için çıktının gerçeğe dönüştüğü adımı adlandırın — işlendi, onaylandı, gönderildi. Bu noktaların her birinde ya açık bir kapı olmalı ya da kapı olmamasının gerekçeli bir kararı.
• Atıl mantığı denetleyin. Eski makrolar, devralınmış şablonlar, amacı kaymış sütunlar ve bayraklar — kimsenin kullanmadığı mantık tarafsız değildir. Bekler. Knight'ın Power Peg'i tam dokuz yıl beklemişti.
• Dağıtım paritesini doğrulayın. Bir süreç değiştiğinde — yeni şablon, yeni eşleştirme kuralı, yeni ERP ayarı — her kopyanın değiştiğini teyit edin. Değişmeyen tek bir dal, Knight'ın sekizinci sunucusu gibi davranır. Bu kontrol dakikalar alır; yokluğu aylarca fark edilmeyebilir.
• İmzayı insanda tutun. Makine istediği hızda okusun, eşleştirsin, önersin. O 45 dakikanın dersi şu: kayıt işlemek bir karardır ve kararların bir sahibi olmalıdır.

Öneri ile defter arasındaki boşluk

Bir görünürlük katmanı yalnızca tek yönde hızlı olmalıdır. Banka ekstresini, e-faturayı ve defter satırlarını okumak; ödemeyi faturayla eşleştirmek; örüntüden sapan satırı fark etmek — bunların hepsi makine hızından yararlanır ve hiçbiri sizi bir şeye bağlamaz. Sizi bağlayan son adımdır; hızın erdem olmaktan çıktığı yer de orasıdır. Aynı hız, öneri katmanında değer üretir; taahhüt katmanında risk biriktirir.

iFinances tam böyle kuruludur. Eşleştirme motoru önerir; kaydı kendisi işlemez. Her öneri kendi gerekçesini taşır — bu ödemenin bu faturaya neden ait olduğunu gösteren görünür bir sebep zinciri — böylece kapıdaki kişi, inanmak zorunda olduğu bir kutuyu değil, inceleyebildiği bir öneriyi onaylar. Örüntüden sapan bir satır, düzeltilmiş bir hata olarak değil, bakılması gereken bir sinyal olarak gelir. Kesin olan kesin, belirsiz olan belirsiz işaretlenir — ve bir insan evet demeden hiçbir şey defterinize yazılmaz. Onay anındaki kişi neye evet dediğini görür; görmediği hiçbir şeyin altına imza atmaz.

Kapı bir ihtiyat tavizi değil, tasarımın kendisidir: makinenin bulduğu ile defterinizin söylediği arasında bilinçli bir boşluk. Makinenin hızı insanın yargısına hizmet eder; tersi asla.

Sık Sorulan Sorular

1 Ağustos 2012'deki Knight Capital zararının nedeni neydi?

Kademeli bir dağıtım, sekiz emir yönlendirme sunucusundan birini eski kodda bıraktı; yeni mantıkta yeniden kullanılan bir bayrak, o sunucuda Power Peg adlı atıl bir işlevi tetikledi. Yönlendirici yaklaşık 45 dakikada milyonlarca istenmeyen emir gönderdi — 154 hisse senedinde 4 milyondan fazla işlem, yaklaşık 397 milyon hisse. SEC kararının odağı ise kontrollerdi: dağıtımın ikinci bir gözden geçirmesi ve sistem çıktısı ile piyasa arasında bir kontrol noktası yoktu.

Finansal otomasyonda insan onay kapısı nedir?

Otomatik çıktının bir insan teyit edene kadar bekletildiği, tasarlanmış bir kontrol noktasıdır — önerinin taahhüde dönüştüğü an. Mutabakatta bu, eşleşmeleri kendi başına işleyen bir motor ile gerekçeleriyle birlikte öneren ve onay bekleyen bir motor arasındaki farktır. Kapı, insan dikkatini binlerce rutin adıma yaymak yerine şirketi bağlayan az sayıdaki âna yoğunlaştırır.

Knight Capital bu zararı atlattı mı?

Kıl payı. Firma vergi öncesi yaklaşık 440 milyon dolar zarar açıkladı ve birkaç gün içinde, mevcut hissedarlar için ağır bir seyreltme pahasına 400 milyon dolarlık kurtarma finansmanı sağladı. Bir yıl içinde bir rakiple birleşme kararı aldı. Şirket devam etti — ama bağımsız bir firma olarak değil.

O sabah saat yaklaşık 10.15'te akış nihayet kesiliyor. Açılış zilinin üzerinden 45 dakika geçmiş. İçeri 212 emir girdi; dışarı 4 milyondan fazla işlem çıktı. Bu iki sayının arasında ne bir onay ekranı vardı ne bir gözden geçirme adımı ne de bir imza — bir insanın evet demek zorunda olduğu tek bir an bile yoktu. Otomatikleştirdiğiniz her süreç bir gün kendi 09.30'uyla karşılaşır. Önceden yanıtlanması gereken soru yapısal ve sessizdir: makinenizin çıktısının sizin paranıza dönüştüğü o noktada kim evet diyor — ve hayır demek için vakti olacak mı?

✦ iFinances — Görmediğini gör.