Eugene
зато практически нет юзеров, вот и кишит ада-инфраструктура багами
Не в этом дело. Вот для корректности простого градиентного спуска требуется около 100 аксиом и около 10 тысяч строк доказательств на вызывающем сомнения Lean. На Coq не известно, сколько всего потребуется.
Самолётная динамика на несколько порядков сложнее, там есть железо, которое надо аксиоматизировать, и ошибок в этот весь процесс можно внести уйму даже если сами инструменты идеальны, что не так, даже в случае с Coq, который тестируют интенсивнее всего.
Инженеры, в принципе, всегда учитывают, что у любой физической системы есть MTBF, ломается всё, всё нужно подстраховывать, чтобы снижать вероятность отказа.
Но в случае программных систем почему-то есть странная вера в то, что возможно сделать идеально корректно.
Олдскульные инженеры жалуются, что в современных самолётах даже нет прямой физической связи штурвалов с рулями самолёта. И если электроника отказывает, смолёт превращается в неуправляемый гроб.
В некоторых автомобилях та же фигня: руль слишком маленький, чтобы при отказе усилителя можно было управлять машиной.
Откуда берётся вера в непогрешимость ПО у ведущих инженеров - вопрос очень интересный.