Software is een gevaarlijk goedje!

Incidenten als gevolg van gebrekkige software zijn eerder regel dan uitzondering. En dat is ook eigenlijk niet verwonderlijk, betoogt professor Chris Verhoef, zolang de overheid weigert regels te stellen aan een industrie die zichzelf heeft uitgevonden.

Windmolens in Duitsland kunnen hun energie even niet kwijt: de energiepiek veroorzaakt onmiddellijk een domino-effect in de computers, met als gevolg een stroomstoring tot in Marokko. Honderden treinen vallen stil, vijf miljoen Fransen zitten zonder stroom, vele landen worden getroffen. Over treinen gesproken, er staan ons nog twaalf computerstoringen te wachten, voorspelde ProRail ons, en de overheid is dat spuugzat.

Over de overheid gesproken, de Belastingdienst is nu vrijwel elke dag in het nieuws met dusdanige computerproblemen dat er stemmen opgaan om de top onder curatele te stellen.
Over stemmen gesproken, stemcomputers vertonen allerlei gebreken, wat onacceptabel is aangezien die het hart van de democratische (rechts)orde raken.

Over harten gesproken, de afgelopen tien jaar waren alleen al in de VS 300 onnodige doden te betreuren door weigerende elektronica plus software in de tegenwoordig oh zo populaire hartdefibrillatoren. Over terugroepen gesproken, Ford roept op dit moment 33.169 vrachtwagens terug wegens te veel CO-uitstoot. Honderdduizenden auto’s worden teruggeroepen omdat lampjes niet aangaan als het moet, of juist wel als het niet moet, remmen niet werken, accu’s leeglopen, metertjes verkeerde levels aangeven, airbags niet afgaan, de stroom uitvalt, en meer. En dat allemaal omdat de software faalt.

Over falen gesproken, niemand weet precies wat de faalkans is van de Maeslantkering, omdat het hart van de kering uit software bestaat. Het mag hoogstens eens in de tienduizend jaar fout gaan, wat hoogst onwaarschijnlijk is voor software. Falen van de kering heeft talloze doden tot gevolg en de economische schade is niet te overzien.
Over economische schade gesproken, een beurshandelaar verwisselde twee getallen en probeerde dat tevergeefs binnen 85 seconden ongedaan te maken. Maar het handelssysteem liet de overduidelijke onzintransactie door, en aan het eind van de handelsdag was een Japanse firma meer dan 40 keer verkocht. Schade: 331 miljoen dollar.

Ik kan zo uren doorgaan, maar het punt lijkt me nu wel duidelijk: we staan aan de vooravond van een tsunami van automatiseringsproblemen. De reden hiervoor is dat werkelijk alles om ons heen tjokvol zit met dat gevaarlijke goedje dat software heet. Productie ervan is noch gelicentieerd, noch geprotocolleerd, noch gereguleerd, noch geprofessionaliseerd.

Oplossingen in de trant van: stel die lui onder curatele, laat de top opstappen, laat ze sneller werken, heb een pittig gesprek, stop er meer geld in, ga erbovenop zitten, en meer goed bedoelde symptoombestrijding gaat zero zoden aan de dijk zetten. Onverkort horen we van de softwareproducenten dat het om kinderziektes gaat, en dat ‘het’ binnenkort is opgelost. Dat mañana-effect horen we nu al jaren, en elke keer weer steken automatiseringsproblemen de kop op.

Er is iets fundamentelers aan de hand: de productie van software heeft nog te veel het karakter van een wildwestgebeuren. Iemand die zich software-engineer wil noemen, wordt geen strobreed in de weg gelegd. Het vak is simpelweg niet beschermd. Er zijn dus ook geen eisen, verplichtingen, erecodes, garanties en andere zaken die bij een echte beroepsgroep horen. Dat is trouwens een van de voornaamste redenen dat beroepsmatige wanprestatie in de VS een ‘losing lawsuit’ is. Geen rechter wil eraan om iemand te veroordelen, omdat hij de professie niet als beroepsgroep weet te identificeren. Dus als je bij een willekeurige burger je röntgenbuis laat programmeren, kun je in de VS later niet je gelijk halen bij de rechter.

Verder is er geen vastgelegd protocol waarin best practices zijn neergelegd, de do’s en dont’s, geen vademecum, geen transparant proces. Iedereen kan en mag zijn eigen idee daarover bedenken en toepassen. Inclusief slechte ideeën, worst practices, en het in de wind slaan van de meest basale fundamenten die voor elke engineering-discipline gelden. Uiteraard zullen IT-leveranciers je om de oren slaan met al hun zelfbedachte methodes en technieken, maar de praktijk leert dat die kennelijk niet altijd werkten. Bovendien, zou je de farmaceutische industrie geloven op hun blauwe ogen als die zeggen dat ze zelf hebben vastgesteld dat hun medicijnen goed zijn?

Er zijn niet of nauwelijks regels die softwareontwerp, constructie en -gebruik in wet en regelgeving vastleggen. Minder regelgeving, ik hoor het u zeggen. Echter, een maatschappij die tot in de haarvaten afhankelijk is van goed werkende software, kan het zich niet veroorloven om een branche die zijn eigen regels stelt te laten bepalen of de treinen wel of niet rijden, of stemmen wel of niet worden uitgebracht, of toeslagen nu wel of niet worden betaald, en of de telefoon nu wel of niet werkt.

Nederland is een grote IT-spender, en ook onze overheid projecteert talloze bezuinigingen op nog te realiseren automatisering. Van al die investeringen faalt het merendeel, en al dat verbrande geld had ook besteed kunnen worden aan fundamentele oplossingen. Voor het idee: op jaarbasis wordt alleen al aan falende IT-oplossingen 290 miljard dollar weggegooid in de VS en Europa samen, elk jaar weer. Hoeveel pittige gesprekken zijn er nog nodig eer de overheid inziet dat het werkelijke probleem dieper ligt dan een vermanend woord?

Professor dr. Chris Verhoef is hoogleraar Informatica aan de Vrije Universiteit Amsterdam