On 22/03/2012 19:25, Kviat wrote:
> W dniu 2012-03-22 16:57, Andrzej Jarzabek pisze:
>> (...)
>> No więc ja, jako użytkownik samochodów, samolotów, potencjalny pacjent
>> diagonozowany i leczony aparaturą medyczną, być może mieszkaniec
>> obszaru, będącego w zasięgu rażenia elektrowni atomowej, potencjalna
>> ofiara przestępców internetowych, i tak dalej, domagam się żeby
>> podejmować jakieś działania redukujące ryzyko mojej szkody.
>
> Czyli uważasz, że certyfikowanie programistów jest właśnie tym
> działaniem, które to ryzyko zredukują.

Nie.

> Czy zgodzisz się z tezą, że jeżeli certyfikowanie nie będzie miało
> wpływu na redukcję ryzyka, to wprowadzanie takiego systemu nie ma sensu?
> (tylko się upewniam, że nie jest to pomysł jedynie podparty ideologią
> certyfikowania dla samego certyfikowania).

Zgadzam się z taką tezą.

> Bo jak rozumiem, certyfikat ma zapewnić polepszenie jakości programu.
> Inaczej mówiąc, ma "zmusić" producentów oprogramowania żeby rzadziej
> "wybuchało".

Tak.

> Jeżeli tak, to pozwolę sobie zacytować kawałek tekstu zaczerpniętego z
> jednego z najbardziej popularnego "programu":
> "OGRANICZENIE I WYŁĄCZENIE ODPOWIEDZIALNOŚCI ZA SZKODY. Microsoft i
[...]

Tym bardziej ma zastosowanie to, o czym mówię: skoro indywidualny
użytkownik nie ma żadnej możliwości negocjowania warunków z monopolem
lub oligopolem producentów, to przynajmniej ustawodawca ma taką zdolność
i powinien z niej korzystać w imieniu konsumentów - "stosujesz takie a
takie środki, albo nie masz prawa sprzedawać swoich produktów/oferować
swoich usług na terenie UE".

> I choćby taki producent zatrudnił tysiąc programistów z certyfikatem i
> choćby drugi tysiąc certyfikowanych programistów sprawdzało tysiąc razy
> kod przez nich napisany, to jeżeli pomimo tego "wybuchnie", to marna
> pociecha dla użytkownika, któremu zniknęło z konta pierdyliard baksów
> przez dziurę w systemie.

Nie chodzi o to, żeby pociecha była większa, tylko żeby
prawdopodobieństwo wybuchu było mniejsze.

Analogicznie jak powiedzmy z tymi mostami: wymaga się, żeby projekt
mostu był tworzony przez certyfikowanego inżyniera lądowego nie po to,
żeby pocieszyć ludzi, którzy są na moście, który się akurat zawali (bo
rzecz jasna marna to dla nich pociecha), tylko po to, żeby mosty się
rzadziej zawalały.

> Dopóki użytkownik korzysta z oprogramowania _na_własne_ryzyko_ i dopóki
> producent nie będzie zmuszony do ponoszenia odpowiedzialności to żadne
> certyfikaty nie pomogą.

Pomijając to, że niezależnie od certyfikacji można rozważać odpowiednie
zmiany w prawie cywilnym, żeby jednak zmusić producenta do
odpowiedzialności (o ile faktycznie odpowiedzialności nie ma - zapis w
EULA nie oznacza, że nie ma odpowiedzialności, tylko że ty jako
użytkownik podpisujący EULA zgadzasz się na zwolnienie producenta od
odpowiedzialności), to jednak nie znaczy, że certyfikaty nie pomogą.

Rozważ na ten przykład sytuację, kiedy producent jest zwolniony od
odpowiedzialności, więc nie żadnej motywacji, żeby nie produkować chały.
Z drugiej strony producent jest zmotywowany do zatrudniania
certyfikowanych specjalistów, bo jeśli tego nie zrobi, to może zapłacić
kilka bazylionów kary. Z kolei certyfikowany specjalista jest
motywowany, żeby nie produkować chały, bo jeśli program się będzie
wywalał, to będzie dochodzenie, a jeśli dochodzenie wykaże, że prodował
chałę, to straci certyfikację. Nie wspominając już o tym, że kiepski
programista, jak bardzo by nie chciał produkować chały, to będzie ją
produkował - a certyfikacja spowoduje, że poziom certyfkowanych
programistów będzie odpowiednio wyższy (bo kiepski nie zda egzaminów).

> A nie zostanie zmuszony. Ani przez
> certyfikowanych programistów, ani ustawowo. Żaden, podkreślam żaden
> programista, nawet z megahiper certyfikatem nie będzie w stanie zmusić
> pracodawcy do testowania tworzonego kodu na wszystkich możliwych
> kombinacjach sprzętowych, ze wszystkimi możliwymi wersjami sterowników
> (firm trzecich) i wszystkimi możliwymi programami jakie sobie
> potencjalny użytkownik zechce zainstalować samodzielnie. Łącznie z tymi
> programami, które dopiero powstaną. O wirusach nie wspomnę.

Powiedzmy, że to zależy od platformy na której chodzi to oprogramowanie
- dla niektórych rodzajów oprogramowania można bez problemu przetestować
je na wszystkich możliwych kombinacjach sprzętowych, na których ten
program ma chodzić (bo jest tylko jedna taka kombinacja), ze wszystkimi
możliwymi wersjami sterowników firm trzecich (bo tych wersji jest równo
zero) i wszystkimi możliwymi programami, jakie sobie potencjalny
użytkownik zechce zainstalować samodzielnie (bo nie da się nic
zainstalować samodzielnie).

Natomiast pomijając tego typu przypadki, można zauważyć, że nawet skoro
nie da się przetestować na wszystkich możliwych kombinacjach itd., to na
niezawodność nie ma żadnego wpływu na ilu możliwych kombinacjach się
testuje, jakie testy się wykonuje, i jak długo. I tutaj certyfikowany
programista może powiedzieć "nie mogę tutaj pracować, bo wasz proces nie
spełnia norm dla tego typu oprogramowania". Pomijając już to, że oprócz
certyfikowania programistów można też certyfikować innych specjalistów,
np. osoby zarządzające procesem czy kierujące testami.

Ale przede wszystkim: to, czy program, który jest testowany na trzech
konfiguracjach sprzętowych będzie działał na innych konfiguracjach, w
szczególności na ilu innych konfiguracjach, kombinacjach sterowników,
innych programów itd. itd nie będzie działał, w _kolosalny_ sposób
zależy od jakości programisty i jakości stosowanych przez niego praktyk.
Właśnie im program jest słabiej testowany, tym większa różnica w
niezawodności między programem napisanym przez dobrego, a niedobrego
programistę.

> Jaki jest sens wprowadzania certyfikacji, skoro jedyną osobą ponoszącą
> konsekwencje używania programu jest sam użytkownik?

Bo użytkownik to też człowiek? Jak się most zawali, to jedyną osobą
ponoszącą konsekwencje jest sam użytkownik, czyli osoba będąca w tym
czasie na moście. Czy należy w związku z tym uznać, że bezpieczeństwo
mostów to temat, w którym państwo nie powinno się wtrącać?

Poza tym oczywiście ww wielu sytuacjach nie jest to prawdą, że tylko
użytkownik ponosi konsekwencje.

> Albo inaczej: czy wprowadzenie certyfikowania miałoby dotyczyć
> _wszystkich_ programistów, czy tylko niektórych?
> Których?

Nie wiem. To zależy od tego, co wykażą badania.

>> Domagam
>> się w ramach tego, żeby prowadzić badania na temat tego, jakie
>> działania przynoszą dobre rezultaty w stosunku do kosztów. I jeśli z
>> tych badań wyjdzie, że certyfikacja programistów, w jakichś
>> sytuacjach, w jakimś zakresie, byłaby odpowiednio skutecznym, w
>> stosunku do kosztów, środkiem, to domagam się, żeby olać marudzenie
>> kolesi, którzy np. mówią, że certyfikacja zła, bo wolny rynek cośtam
>> cośtam. I tyle.
>
> Uważam, że certyfikacja nie ma sensu - to próba uspokojenia sumienia
> poprzez ignorowanie rzeczywistości. A w związku z tym, wydawanie kasy na
> takie badania to marnotrawstwo.

No więc właśnie uważam, że kolesi wygłaszających takie komunały należy
ignorować. Łatwo stwierdzić, że to, co napisałeś, to kompletna bzdura,
można robiąc z tego copypastę, w którą można wstawić cokolwiek.

"Uważam, że (prawo jazdy/pasy bezpieczeństwa/certyfikacja
lotników/przepisy budowlane/normy żywności/przepisy BHP/testowanie
leków/znaki ostrzegawcze) nie ma(ją) sensu - to próba uspokojenia
sumienia poprzez ignorowanie rzeczywistości."