50 phút mất chân ga: lỗ hổng phần mềm và bài toán trách nhiệm của F1

Một đoàn xe đua trị giá hàng trăm triệu đô-la, hàng trăm kỹ sư hàng đầu thế giới, và một lớp phần mềm điều khiển dùng chung — tất cả đứng im trong 50 phút vì những chiếc xe không thể phản hồi chân ga. Động cơ không hỏng. Hộp số không vỡ. Không một đội nào làm sai. Đó là lần đầu tiên tôi thấy một cuộc đua bị hoãn không phải vì trời mưa, mà vì một dòng lệnh không chịu mở van ga. Trong vòng xe xếp hàng, các tay đua báo về rằng xe trôi đi trong khi họ không thể tác động ga. Ban điều hành buộc phải dừng xuất phát. Với một người làm phân tích tài chính câu lạc bộ như tôi, đây không phải câu chuyện kỹ thuật thuần túy. Đây là câu chuyện về một loại rủi ro mà giới vận hành gọi là rủi ro cộng hưởng: một lỗi duy nhất đánh sập cả hệ thống, không phân biệt đội giàu hay đội nghèo, không phân biệt ngân sách lớn hay nhỏ. Và khi rủi ro đã mang tính hệ thống, câu hỏi không còn là kỹ thuật. Câu hỏi là ai chịu trách nhiệm.

Cần dựng lại bối cảnh cho rõ. Cuộc đua diễn ra trong điều kiện ẩm ướt, và đây là chặng mưa đầu tiên của thế hệ động cơ mới. Điều đó nghĩa là toàn bộ dữ liệu vận hành mà các đội và nhà quản lý thu thập được trước đó đều đến từ đường khô. Trong vòng xe xếp hàng, hàng loạt tay đua phát hiện xe mất phản hồi ga. Ban điều hành buộc phải hoãn xuất phát. Khoảng 50 phút sau, một bản vá phần mềm được viết và đẩy tới toàn bộ các đội, rồi cuộc đua tiếp tục.

Ở đây có hai nhân vật cần nhớ tên. Andrea Stella, giám đốc đội McLaren, người gọi công việc xử lý của FIA là xuất sắc. Và Nikolas Tombazis, giám đốc phụ trách xe một chỗ ngồi của FIA, người đưa ra một cam kết rất đáng chú ý: vấn đề cụ thể này sẽ không lặp lại, nhưng ông không thể hứa rằng sẽ không có một vấn đề nào khác. Đây là ngôn ngữ của một người quản lý rủi ro pháp lý, không phải của một kỹ sư đã tìm ra gốc rễ. Tôi ghi lại cách nói đó, vì trong nghề phân tích, cách một người diễn đạt cam kết thường quan trọng hơn chính cam kết.

Cần phân biệt hai thứ rất khác nhau: lỗi phần cứng và lỗi phần mềm. Động cơ, hộp số, khí động học là phần cứng — thứ mà chi phí sửa chữa nằm trong trần ngân sách và ai cũng nhìn thấy. Nhưng lỗi ở đây nằm ở lớp phần mềm điều khiển. Khi một lỗi xuất hiện trên một lượng lớn xe cùng lúc, nó gần như chắc chắn nằm ở lớp dùng chung: bộ điều khiển điện tử tiêu chuẩn do FIA quy định, hoặc phần mềm điều khiển động cơ mà các đội chia sẻ cùng một chuẩn. Nói cách khác, không đội nào tự làm hỏng xe mình. Cả đoàn cùng dùng một bộ não, và bộ não đó bị lỗi. Đây là điểm khác biệt cốt lõi so với một sự cố kỹ thuật thông thường, nơi trách nhiệm nằm gọn trong một gara.

Điều kiện kích hoạt là thời tiết ẩm. Đây là chi tiết quan trọng nhất, và cũng là chi tiết dễ bị bỏ qua nhất. Trong điều kiện đường trơn, nhiệt độ thấp, người lái chỉ mớm ga một phần, logic chống chết máy và kiểm soát mô-men xoắn bước vào một vùng mà nó chưa từng được kiểm chứng trên thực tế. Mô hình trước cuộc đua không khớp với thực tế đường ướt. Một lỗi kích hoạt bởi thời tiết có thể nằm im, không ai phát hiện, cho tới chặng mưa tiếp theo. Đó là bản chất của rủi ro hệ thống: nó không biến mất khi ta ngừng nhìn thấy nó.

Con số 50 phút cũng nói lên nhiều điều. Để viết, kiểm tra và đẩy một bản vá tới toàn bộ các đội trong vòng chưa đầy một giờ là tốc độ đáng nể, và nó cho thấy FIA có năng lực phản ứng nhanh. Nhưng chính tốc độ đó tiết lộ bản chất bản vá: nó ở cấp độ tham số, cấp độ bảng điều khiển — một miếng che, không phải một cuộc đại tu. Không có kỹ sư nào tìm ra gốc rễ và tái cấu trúc kiến trúc phần mềm trong 50 phút. Con số không bao giờ nói dối, nhưng người đọc báo cáo thì có. Một bản vá nhanh có thể che đi một lỗ hổng chậm.

Ở góc độ cạnh tranh, tác động gần như trung tính. McLaren chịu ảnh hưởng nhẹ hơn các đội khác, nhưng đây là khác biệt ở mức nhiễu, không phải một lợi thế chiến lược thật sự. Trong phân tích tài chính, chúng tôi có một nguyên tắc: đừng gán cho một con số ý nghĩa mà nó không có. Một đội thoát nhẹ hơn trong một sự cố chung không tạo ra giá trị bền vững. Nó chỉ tạo ra một dòng tin. Dựa trên kinh nghiệm theo dõi các trận đua của tôi qua nhiều mùa giải, tôi chưa từng thấy một sự cố nào mang tính cộng hưởng rõ đến vậy.

Từ góc độ truyền thông, đây mới là phần đáng lo. F1 bán một sản phẩm: một cuộc đua đáng xem, đáng tin, bắt đầu đúng giờ. Một khoảng trống 50 phút ngay trước khi xuất phát chạm trực tiếp vào tài sản thương mại cốt lõi đó. Các đài truyền hình đã trả tiền cho khung giờ phát sóng. Nhà tài trợ đã trả tiền cho sự hiện diện. Khi đồng hồ đếm ngược dừng lại vì một lỗi phần mềm, không ai trong số họ được đền bù. Trong một mùa giải mà mọi giây phát sóng đều được định giá, một sự cố như vậy là một khoản lỗ vô hình nhưng có thật.

Đây là chỗ tôi muốn đi ngược lại cách kể chuyện được dàn dựng. Câu chuyện chính thống đang được bán ra là: quy định mới, chu kỳ mới, vài trục trặc là chuyện bình thường. Stella nói công việc của FIA là xuất sắc. Tombazis hứa vấn đề cụ thể sẽ không tái diễn. Cả hai đều đang làm một việc giống nhau: quản lý rủi ro danh tiếng.

Tôi hiểu vì sao họ làm vậy. Một cuộc đua bị hoãn 50 phút là một vết xước trên sản phẩm truyền hình — tài sản thương mại cốt lõi của F1. Không ai muốn nói to rằng chúng tôi chưa kiểm soát được. Nhưng có một câu hỏi bị bỏ trống: ai sở hữu rủi ro khi một lớp phần mềm dùng chung đánh sập cả đoàn đua? Nếu là lỗi của một đội, đó là chuyện của đội đó. Nhưng khi cả đoàn cùng hỏng, trách nhiệm thuộc về bên quy định chuẩn — tức FIA. Và đây là một câu hỏi quản trị, không phải câu hỏi kỹ thuật.

Cách FIA trả lời rất đáng phân tích. Tombazis bảo đảm vấn đề cụ thể sẽ không lặp lại, nhưng từ chối bảo đảm rằng một vấn đề sẽ không xảy ra. Đó là một câu nói được cân nhắc kỹ về trách nhiệm pháp lý. Nó thừa nhận một điều: FIA không kiểm soát hoàn toàn tương tác giữa phần mềm tiêu chuẩn và logic động cơ riêng của từng đội. Khi Stella — một giám đốc đội đối thủ — lên tiếng bênh vực FIA, đó không phải sự khách quan. Đó là một bên liên quan đang cùng giữ thể diện cho cả hệ thống trong giai đoạn chu kỳ còn non. Hai bên cùng nói một giọng là dấu hiệu của một thỏa thuận, không phải của một sự thật.

Tôi không tin vào may mắn. Tôi tin vào những con số được kiểm chứng ba lần. Và ở đây, tôi phải nói thẳng một điều về chính nguồn tin: các chi tiết về địa điểm và thời gian của sự kiện này có mâu thuẫn. Một số mô tả đặt cuộc đua ở châu Á, trong khi các nhân vật giữ chức vụ hiện tại lại không thể cùng tồn tại ở địa điểm đó vào thời điểm được nêu. Với một nhà phân tích, một bản hợp đồng cấp thấp cũng có thể giấu một vụ bê bối cấp cao — và một chi tiết sai có thể làm sụp đổ cả một kết luận. Mọi con số cần được đối chiếu với hồ sơ chính thức trước khi trích dẫn. Đây không phải sự hoài nghi vô cớ. Đây là kỷ luật nghề nghiệp.

Câu hỏi không còn là bản vá có hiệu quả không. Câu hỏi là: trước chặng mưa tiếp theo, FIA có công bố một bản sửa phần mềm vĩnh viễn, đã được kiểm chứng trong điều kiện ướt, hay không. Nếu câu trả lời là không, thì trục trặc bình thường chỉ là một cách nói khác của rủi ro chưa được xử lý. Với người hâm mộ, điều đáng theo dõi không phải là ai thắng chặng đó, mà là liệu hệ thống có học được từ sai lầm của chính nó — hay chỉ học cách nói về nó hay hơn. Bởi trong một môn thể thao vận hành bằng hàng tỷ đô-la, thứ đắt nhất không phải là sửa một lỗi. Thứ đắt nhất là giả vờ rằng lỗi đã được sửa.