У компьютеров шаттла недостаточно памяти, чтобы хранить все программы на протяжении всего полета. Когда шаттл уже выведен на орбиту, астронавты вынимают некоторые кассеты и загружают программу для следующей фазы полета – всего таких фаз шесть. Ближе к концу полета астронавты загружают программу для снижения.
На борту шаттла находятся четыре компьютера, прогоняющие одни и те же программы. Все четыре, если все идет нормально, работают согласованно. Если один компьютер начинает работать несогласованно с остальными, то полет может продолжаться по-прежнему. Но если согласованно работают только два компьютера, полет должен быть сокращен и шаттл незамедлительно возвращен обратно.
Для еще большей безопасности на борту имеется пятый компьютер, расположенный отдельно от других четырех, с проводами, идущими по другим каналам, – на этом компьютере только программа подъема и программа спуска. (Обе программы только и могут поместиться в его памяти.) Если что-то случится с остальными компьютерами, то этот пятый компьютер сможет вернуть шаттл обратно. Он никогда не должен использоваться.
Но самое впечатляющее – это посадка. Как только астронавты узнают, где предполагается приземление, они нажимают одну из трех кнопок – обозначенных как Эдвардс, Белые Пески[56] и Кеннеди, – сообщающих компьютеру, где шаттл собирается приземляться. Затем несколько маленьких ракет его немного тормозят и вводят в атмосферу под почти прямым углом. Это опасный этап, во время которого вся обшивка нагревается.
В течение этого времени астронавты ничего не видят, и все изменяется так быстро, что снижение должно выполняться автоматически. На высоте около 35 000 футов шаттл замедляется до скорости меньше скорости звука и может при необходимости перейти на ручное управление. Но на высоте 4 000 футов происходит нечто такое, чего компьютер сделать не может: пилот нажимает на кнопку, чтобы выпустить шасси.
Мне это показалось очень странным – какая-то дурь, учитывающая психологию пилотов: в глазах публики они герои; у всех создается представление, будто они-то и управляли полетом шаттла, тогда как на самом деле им вовсе не нужно ничего делать до того момента, когда они нажимают кнопку, чтобы выпустить шасси. Им невыносима мысль, что фактически им нечего делать.
Я полагал, что было бы безопаснее, если бы компьютер выпускал шасси, учитывая возможность, что по какой-либо причине астронавты могут оказаться без сознания. Инженеры по программному обеспечению согласились и добавили, что выпускать шасси не вовремя очень опасно.
Инженеры рассказали мне, что наземное управление может послать сигнал выпустить шасси, такое резервное управление включается в определенный момент времени, если пилот, находясь в полубессознательном состоянии, не выпустил шасси до этого момента. Было бы гораздо лучше, если бы все это полностью делал компьютер.
Обычно пилоты также управляли и тормозами. Но это создавало множество проблем: если тормозить слишком интенсивно вначале, то тормозная колодка сотрется полностью, когда вы достигнете конца посадочной полосы, – а вы все еще двигаетесь! Поэтому программистов и попросили создать компьютерную программу управления торможением. Поначалу астронавты бурно возражали против этих перемен, но сейчас они очень довольны, что автоматическое торможение так хорошо работает.
Хотя в Джонсоне пишут много хороших программных продуктов, компьютеры на шаттле настолько устарели, что их больше не производят. Память на них старого типа, она сделана из маленьких ферритовых сердечников, через которые проходят провода. А ведь за это время мы разработали намного лучшее «железо»: кристаллы памяти, которые есть сейчас, намного меньше; емкость памяти у них несоизмеримо больше и они намного более надежны. У них имеются встроенные коды исправления ошибок, что обеспечивает хорошую сохранность блока памяти. С помощью современных компьютеров мы можем создавать такие отдельные программные модули, что внесение изменений в выполняемые функции не потребует столь уж значительного переписывания всей программы.
Из-за громадных инвестиций в имитаторы полета и все остальное техническое обеспечение начинать все заново и заменять миллионы строк программы, которая уже скомпонована, было бы очень дорогостоящим.
Я узнал, как специалисты по программному обеспечению разрабатывали авиакосмическую электронику для шаттла. Одна группа создавала программное обеспечение, разбивая на отдельные части. После этого части объединялись в гигантские программы и тестировались независимой группой.
Когда обе группы считали, что все баги отработаны, они проводили полную имитацию полета, тестируя каждую часть системы шаттла. В подобных случаях они применяли такой принцип: эта имитация – не только упражнение для проверки, все ли в порядке с программой; это реальный полет – если сейчас что-то откажет, это чрезвычайно серьезно, как оно и было бы, если бы астронавты реально находились на борту и попали в беду. Речь идет о вашей репутации.
За многие годы у них только шесть раз произошел сбой на уровне имитации полета – и ни разу в реальном полете.
То есть похоже было на то, что компьютерщики знают что делают: знают, что работа компьютеров жизненно важна для шаттла, но потенциально опасна, а потому они были чрезвычайно дотошны. Они писали программы, которые приводили в действие очень сложные механизмы, функционирующие в такой среде, где условия меняются радикально, – программы, измеряющие эти изменения, гибко реагирующие, поддерживающие высокий уровень безопасности и точности. Я бы сказал, что в некотором смысле они когда-то были на переднем крае в том, как обеспечить качество в роботизированных или интерактивных компьютерных системах, но из-за устаревшего технического обеспечения теперь это уже не так.
Я не исследовал электронику столь же всесторонне, как двигатели, поэтому, быть может, мне мало есть что сказать в расхваливании товара, однако сам я так не считаю. Инженеры и руководители хорошо контактировали друг с другом, и они тщательно следили за тем, чтобы не менять критерии безопасности.
Я сказал программистам, что считаю их систему и их отношение очень хорошими.
Один парень пробурчал что-то насчет начальников из НАСА, которые хотят из экономии сократить тестирование: «Они постоянно твердят, что мы всегда проходим тесты, так зачем проводить их так много?»
До отъезда из Хьюстона я продолжил свое тайное расследование слухов о том, что Белый дом надавил на НАСА с запуском шаттла. Хьюстон – коммутационный центр, поэтому я отправился к тем, кто занимается телеметрией, и спросил их о системе коммутации. Я проделал те же штучки, что и во Флориде, – ко мне отнеслись так же хорошо, – но на этот раз я выяснил, что, если бы на шаттле захотели связаться с конгрессом, Белым домом или с чем угодно, то им нужно было бы предупредить за три минуты: не за три месяца, не за три дня, не за три часа – за три минуты. А потому они могут это сделать, когда захотят, и ничего не нужно заранее записывать. Так что это был тупик.
Как-то я имел беседу об этих слухах с репортером «Нью-Йорк таймс». Я спросил его:
– Как вы выясняете, что такого рода вещи – правда?
Он говорит:
– Полагаю, что тут можно сделать – так это поговорить с теми, кто управляет системой коммутации. Я попробовал, но у меня ничего не вышло.
За первую половину апреля группа генерала Кутины получила окончательные результаты испытаний, проводившихся НАСА в Маршалле. НАСА включила туда и свою собственную интерпретацию этих результатов, но мы сочли, что напишем все заново, по-своему (кроме тех случаев, когда тест ничего не показал).
Генерал Кутина установил в Маршалле целую систему для написания отчета нашей группы. Это длилось дня два. Но прежде чем мы к чему-то пришли, мы получили от мистера Роджерса сообщение: «Возвращайтесь в Вашингтон. Вы не должны делать записи там».
Так мы отправились в Вашингтон, и генерал Кутина предоставил мне кабинет в Пентагоне. Кабинет был хороший, вот только не было секретаря, и у меня не получалось работать быстро.
Билл Грэм всегда был очень отзывчив, поэтому я ему позвонил. Он устроил все так, что я смог воспользоваться кабинетом одного сотрудника – тот был в отъезде – и услугами его секретарши. Она оказалось очень и очень полезной: она могла записывать с той же скоростью, с какой я говорил, а потом правила это, корректируя мои ошибки. Мы очень упорно работали – так были написаны большие куски отчета. Все получалось прекрасно.
Нил Армстронг, который был в нашей группе, оказался потрясающе хорош в такого рода писанине. Он мог только глянуть на мою работу и незамедлительно обнаружить все слабые места, вот так вот запросто – и всегда оказывался прав, – на меня это производило очень сильное впечатление.
Каждая группа писала главу или две основного отчета. Наша группа писала какую-то часть «Главы 3. Катастрофа», но основной нашей задачей была «Глава 4. Причина катастрофы». Однако такая система, в частности, привела к тому, что мы так ни разу и не встретились, чтобы обсудить, что выяснила каждая группа, – прокомментировать открытия друг друга с наших разных ракурсов. Вместо этого мы занимались тем, что называют «оттачиванием слов» – или тем, что мистер Хотц позднее назвал «гравированием на надгробной плите», – корректировкой пунктуации, шлифовкой фраз и т. п. У нас так никогда и не было настоящего обсуждения идей, разве что случайно, в ходе этого «оттачивания слов».
Например, возникал вопрос: «Эта фраза о двигателях должно быть сформулирована так или эдак?»
Я пытался начать дискуссию: «У меня лично создалось впечатление, что двигатели не так хороши, как вы здесь говорите…»
Тогда они говорили: «Значит, мы применим здесь более консервативную формулировку», – и переходили к следующей фразе. Возможно, это очень эффективный способ быстро выдать отчет, но мы так и проводили одно заседание за другим, шлифуя фразы.