Обычно главная проблема системы проявляется только после запуска

Предпосылки

В период с 1968 по 1972 год НАСА запустило к Луне девять миссий «Аполлон». До Луны удалось добраться благодаря десятилетней работе 400 000 человек, миллиардам долларов и неисчислимому количеству движущихся частей. Из девяти миссий на Луну восемь стали грандиозными успехами, а одна чуть не закончилась катастрофой.

«Аполлон-13» стартовал 11 апреля 1970 года и должен был стать первой из серии миссий, посвящённых исследованию Луны — после того как «Аполлон-11» совершил первую посадку, а «Аполлон-12» усовершенствовал её, выполнив точное прилунение.

13 апреля, чуть более чем через два дня после запуска, один из двух больших кислородных баков в служебном модуле космического корабля взорвался, выведя корабль из строя на пути к Луне. В течение следующих дней инженеры НАСА лихорадочно работали вместе с астронавтами, чтобы преодолеть казавшиеся непреодолимыми проблемы и вернуть их на Землю живыми и невредимыми.

Если посмотреть на «Аполлон-13», его проблемы и их решение, то в первую очередь бросается в глаза не то, как ловко астронавты, инженеры и руководители импровизировали, чтобы справиться с непредвиденными обстоятельствами, а скорее обратное — то, насколько продуманные заранее процедуры были готовы к адаптации.

Командный модуль «Аполлона-13» не зря назвали «Одиссеем» — это слово означает долгое путешествие, обычно отмеченное множеством удач и неудач.

Ещё до того, как «Одиссей» начал своё путешествие, он пережил необычное начало, став первой миссией, в которой состав экипажа поменяли буквально перед стартом.

Трое — это команда

Управление космическим кораблём — сложная задача; одновременно происходит так много вещей, что нажимать кнопки и выполнять процедуры приходится чаще, чем один человек способен осилить за раз. В то время как «Меркурий», первый космический корабль США, был достаточно простым, чтобы им мог управлять один астронавт, «Аполлон» был гораздо более крупным и сложным аппаратом.

Вместо того чтобы взваливать на одного астронавта всё управление космическим кораблём от начала до конца, работу разделили между тремя членами экипажа. Командир, пилот командного модуля и пилот лунного модуля — обратите внимание, что ни один из них не называется просто «вторым пилотом».

В результате каждый астронавт мог специализироваться на своей конкретной части миссии (оставаясь при этом компетентным и в других областях), и они также могли подменять друг друга. После удара молнии, который вывел из строя «Аполлон-12» при запуске, астронавтом, переключившим тумблер «SCE to Aux» на панели командного модуля, был Алан Бин, поскольку ему было легче всего дотянуться до этого критически важного переключателя, несмотря на то, что он был пилотом лунного модуля.

Развивая эту идею дальше, НАСА не только предусмотрело взаимную поддержку трёх астронавтов во время полёта, но и назначило для каждого из них дублёра. Дублёр проходил почти такую же подготовку, как и астронавт, назначенный для полёта, и отправлялся представлять его на совещаниях по планированию (а это всегда «весело»!). Запасной астронавт был готов заменить основного в любой момент, но только серьёзная травма или болезнь могли заставить астронавта отказаться от полёта. Хотя нескольким астронавтам приходилось отменять свои полёты и позволять дублёрам лететь вместо них, это всегда было результатом серьёзных заболеваний (у Дека Слейтона была аритмия сердца, а Майкл Коллинз перенёс операцию на позвоночнике).

В случае со злополучным «Аполлоном-13» пилот командного модуля Кен Мэттингли незадолго до полёта случайно заразился краснухой, и его сняли с полёта по медицинским показаниям. Несмотря на обычно лёгкое течение этой болезни, ни один врач не стал бы рисковать возможными экзотическими и неожиданными побочными эффектами, когда астронавты собирались приземлиться на Луне!

Всего за три дня до запланированного старта командир Джеймс Ловелл и пилот лунного модуля Фред Хейз приступили к последним тренировкам вместе с дублёром пилота командного модуля Джеком Свигертом. Одной из немногих неточностей фильма «Аполлон-13» 1995 года было то, что дублёр был якобы менее подготовлен, чем основные члены экипажа. Цель этой последней тренировки заключалась не в том, чтобы проверить, умеет ли Свигерт управлять космическим кораблём (что он, бесспорно, умел), а в том, чтобы посмотреть, как весь экипаж работает вместе как единое целое.

Последние изменения в составе экипажа «Аполлона-13» и то, как экипаж работал вместе, являются примерами того, что сами астронавты были частью фундамента миссии.

Часто приходится выбирать между стоимостью и надёжностью. Обучение шести астронавтов вместо трёх требует больше времени, денег и других ресурсов, но наличие дублёров означает, что вы сможете управлять ситуацией, если произойдёт что-то непредвиденное.

А теперь о машине

Хотя астронавты из плоти и крови были самым важным компонентом полёта (ведь весь смысл заключался в том, чтобы человек, а не машина, вышел на Луну), вся эта 110-метровая конструкция была построена из миллионов и миллионов высоконадёжных двигателей, труб, соединителей, переключателей, насосов, датчиков, клапанов, компьютерных чипов и многого другого.

В первые минуты полёта отказ одного из двигателей второй ступени привёл к резким колебаниям ракеты, и неисправный двигатель был отключён за считанные секунды до того, как полёт пришлось бы прервать.

Как оказалось, двигатели были спроектированы с учётом подобных отказов и могли компенсировать потерю мощности. Остальные четыре исправных двигателя продолжали работать дольше, чем планировалось, и компенсировали отказ неисправного.

Не пролетев и десяти минут, «Аполлон-13» подтвердил правильность инженерных подходов к созданию надёжных компонентов, предусматривающих наличие резервных вариантов для всего и вся — как для человека, так и для техники.

В современной разработке надёжных программных сервисов мы используем множество шаблонов и техник для достижения требуемой надёжности. Хотя между задачами высадки человека на Луну и доступа к выбранному веб-сайту есть много общего, разработка программного обеспечения приводит к появлению множества абстракций, не имеющих отношения к полёту в космосе. Например, если между вашим локальным телефоном или ноутбуком и сервером, к которому вы пытаетесь подключиться, происходит временный сбой, локальное приложение может «незаметно» повторять попытки, устраняя временные сбои, пока не добьётся успеха или не решит, что проблема критическая. Если повезёт, вы даже не заметите этой проблемы, кроме очень небольшой задержки при загрузке экрана. Хотя ваши разработчики и инженеры (почти наверняка) не летают в космос, вы всё равно обучаете резервных специалистов для ротации дежурной поддержки.

Конечно, есть и различия: экипажу «Аполлона» приходилось обходиться тем, что было запущено на борту, тогда как в современных программных системах исправления можно вносить прямо во время «полёта».

Наконец, преодолев проблему с краснухой ещё до начала полёта и поломку двигателя во время старта, астронавты «Аполлона-13» и инженеры НАСА в Хьюстоне могли бы расслабиться и насладиться обычным полётом к Луне.

Что ещё могло пойти не так?