"Когда я впервые прочитал эту служебную переписку, мне показалось, что я читаю спор о какой-то мелочи.
Инженер просит добавить в программу защиту от случайного нажатия кнопки.
Ей отвечают: астронавты — люди высочайшей подготовки, они не совершают ошибок.
Спор она проиграла. Через несколько месяцев экипаж на пути к Луне нажал именно эту кнопку.
Немного контекста
Шестидесятые годы. Программирование как профессия только зарождается.
Слова «программная инженерия» не существует. Само занятие считается чем-то вспомогательным — вроде оформления расчётов. Настоящая работа — это железо: двигатели, конструкция, топливо.
Бортовой компьютер, установленный на корабле, по нынешним меркам смешон. Памяти — десятки килобайт. Программу записывали вручную: женщины-мастера на фабрике продевали проволоку через крошечные ферритовые кольца. Проволока прошла через кольцо — единица, мимо — ноль.
Такую память нельзя было изменить после изготовления. Ошибка означала, что всё плетут заново.
И вот главное, что нужно понимать про этот компьютер.
Он был слабее любого нынешнего кухонного прибора. И от него зависела посадка.
Человек
Маргарет Гамильтон родилась в 1936 году в Индиане.
Изучала математику. Вышла замуж, родила дочь. Планировала так: муж заканчивает юридический факультет, она работает и содержит семью, потом поступает в аспирантуру сама.
Устроилась в Массачусетском технологическом институте — писать программы для прогноза погоды. Потом перешла в проект противовоздушной обороны, где занималась поиском сбоев в системе.
Именно там она приобрела то, что определило всю дальнейшую историю.
Её работа состояла в том, чтобы искать причины отказов. Не создавать красивое, а разбираться, почему сломалось.
Когда лаборатория института получила заказ на программу для лунного корабля, Гамильтон пришла туда. Постепенно возглавила отдел, отвечавший за бортовое программное обеспечение.
Ей было около тридцати.
Она часто брала дочь с собой на ночные смены — Лорен спала на диване в лаборатории, пока мать работала.
Кнопка
Однажды девочка проснулась и подошла к тренажёру.
Тренажер — точная копия пульта управления кораблем, подключенная к настоящей программе. Ребенок начал нажимать на клавиши.
И нажал последовательность, запускающую программу с номером P01.
Эта программа отвечала за предполетную подготовку навигационной системы. Ее положено запускать на Земле, до старта.
Компьютер послушно выполнил ее. И стер все накопленные навигационные данные.
В симуляции корабль потерял ориентацию в пространстве.
Гамильтон посмотрела на это и поняла, что нашла настоящую брешь.
Дело не в ребенке. Дело в том, что система позволяет запустить наземную процедуру во время полета — и незаметно уничтожить данные, от которых зависит возвращение.
Она подготовила предложение: добавить проверку. Если корабль в полете, программу P01 не выполнять.
Отказ
Ей отказали.
И причины, как обычно бывает в таких историях, были не глупыми.
Первая — память. Каждая дополнительная строка кода занимала место в физической проволочной памяти, которого катастрофически не хватало. Инженеры бились за каждый байт.
Вторая — сроки. Срок был назначен политически, и любые изменения означали новые проверки.
Третья, и главная. Ей сказали примерно следующее: астронавты натренированы до автоматизма, они не нажмут не ту клавишу.
Это звучало убедительно. Речь шла о лучших лётчиках страны, отобранных из тысяч.
Гамильтон настаивала. В итоге сошлись на компромиссе, который всегда предлагают в таких случаях.
Защиту не добавили. Вместо этого в полётную документацию внесли примечание: программу P01 в полёте не запускать.
Предупреждение в инструкции вместо предохранителя в механизме.
Рождество 1968-го
Аполлон-8. Первый полёт человека к Луне — без посадки, с облётом и возвращением.
На пятые сутки полёта астронавт Джим Ловелл, находясь на орбите вокруг Луны, ввёл команду.
Он запустил программу P01.
Точную причину потом обсуждали по-разному — усталость, ошибка при вводе последовательности цифр. Ловелл был опытнейшим пилотом.
Результат был ровно тот, что в лаборатории. Навигационные данные стёрлись. Компьютер потерял представление о том, где находится корабль.
На Земле подняли тревогу. Гамильтон и её команда девять часов разрабатывали процедуру, позволяющую заново загрузить в бортовой компьютер данные о положении корабля.
Данные передали. Корабль вернулся.
Никто не погиб. Но урок был усвоен, и в дальнейшем такую защиту в систему заложили.
Гамильтон потом говорила об этом сдержанно. Смысл её слов был примерно такой: она не радовалась своей правоте, потому что правота стоила девяти часов паники.
1202
И теперь — главное.
20 июля 1969 года. Лунный модуль Аполлона-11 идёт на посадку.
За несколько минут до касания компьютер выдаёт сигнал тревоги. Код 1202. Потом ещё раз. Потом 1201.
Экипаж не понимает, что происходит. Армстронг запрашивает Землю.
В центре управления двадцатишестилетний специалист по программному обеспечению Стив Бейлс за считаные секунды даёт ответ: продолжать.
Что произошло на самом деле.
Радар сближения был по ошибке оставлен в неверном положении переключателя. Он непрерывно засыпал компьютер данными, которые в этот момент были совершенно не нужны.
Компьютер оказался перегружен примерно на пятнадцать процентов сверх своих возможностей.
Обычная машина в такой ситуации зависла бы. Или продолжила бы выполнять все подряд и не успела бы рассчитать посадку.
Но программа Гамильтон была устроена иначе.
В ней была заложена система приоритетов. Каждой задаче присваивалась степень важности. При перегрузке компьютер не пытался делать все — он сбрасывал второстепенные задачи и перезапускался, сохраняя только критически важные.
Коды 1201 и 1202 означали не поломку. Они означали: «Я перегружен, отбрасываю лишнее, продолжаю главное».
Компьютер несколько раз перезапускался за минуту — и каждый раз возвращался к расчёту посадки, отбрасывая данные радара.
Модуль сел.
Если бы программа была написана обычным для того времени способом — по принципу «выполнять задачи по порядку», — посадку почти наверняка пришлось бы прервать.
Что было дальше
Гамильтон настаивала на термине, над которым поначалу посмеивались. Она говорила: то, чем мы занимаемся, — это инженерия. Программная инженерия.
Ей отвечали, что программирование — не инженерное дело.
Сегодня так называется целая дисциплина, которую преподают во всех технических университетах мира.
Она основала свою компанию, занималась теорией надёжных систем.
В 2016 году получила Президентскую медаль Свободы — высшую гражданскую награду США.
Есть известная фотография: невысокая женщина стоит рядом со стопкой распечаток программного кода. Стопка выше ее роста.
Что из этого стоит взять себе
Первое и главное. Ей отказали, сославшись на квалификацию сотрудников.
«Профессионалы не ошибаются» — самый распространенный и самый опасный аргумент против защиты от ошибок.
Профессионалы ошибаются. Именно потому, что доведённое до автоматизма действие выполняется без участия сознания. Джим Ловелл был одним из лучших лётчиков планеты и всё равно нажал не то.
Правильный вопрос при проектировании чего угодно — не «может ли человек ошибиться», а «что будет, когда он ошибётся».
Второе. Обратите внимание на подмену, которая произошла в споре.
Ей не отказали грубо. Ей предложили компромисс: примечание в документации.
Это выглядит как решение. На деле это перекладывание ответственности с системы на человека.
Предупреждение в инструкции работает ровно до первого усталого дня. Предохранитель в механизме работает всегда.
Каждый раз, когда вместо изменения процесса вам предлагают «просто написать в регламенте» — это тот же самый компромисс.
Третье, самое ценное. Настоящий подвиг её программы был не в том, что она не ломалась.
Она была написана исходя из допущения, что нештатное произойдёт обязательно.
Отсюда приоритеты задач. Отсюда способность отбросить лишнее и продолжить главное. Отсюда перезапуск, не теряющий контекста.
Разница между «система работает правильно» и «система правильно ведёт себя при сбое» — это разница между красивым решением и надёжным.
Полезная привычка при любом планировании: продумать не только то, как все пойдет, но и то, от чего вы откажетесь, если все пойдет не так. Заранее решить, что второстепенно.
Четвертое. Ошибка в лаборатории обошлась в ноль. Та же ошибка в полете — в девять часов на грани катастрофы.
Дочь Гамильтона, нажимая на клавиши, сделала то, что в инженерии называется «испытанием на дурака» и стоит очень дорого, если проводить его специально.
Ей этот результат достался бесплатно. И его отвергли.
Стоит помнить: случайный сбой в безопасных условиях — это подарок. Не раздражающая помеха, а бесплатное испытание.
И вывод, к которому я пришел.
Из той посадки мы запомнили фразу о маленьком шаге человека.
А между тем в последние минуты спуска все держалось на решении, принятом задолго до старта: научить машину не пытаться делать все сразу.
Отбрасывать второстепенное. Перезапускаться. Держаться главного.
Довольно неплохое правило и для машин, и для людей. "
...форумное ?😉
