Маргарет Гамільтон: код Apollo і уроки надійності для України

Маргарет Гамільтон померла. Жінка, яка керувала написанням бортового програмного забезпечення для місій Apollo і, за легендою, сама запровадила термін «software engineering», коли це слово ще викликало посмішки у залізних інженерів.

Найвідоміший момент її роботи стався за хвилини до посадки Apollo 11. Комп'ютер модуля почав видавати тривоги 1201 і 1202 — його завалило більшою кількістю задач, ніж він міг обробити. У будь-якій звичайній системі тих років це означало б зависання чи перезавантаження в найгірший можливий момент. Замість цього комп'ютер скинув другорядні обчислення, зберіг критичні й продовжив вести модуль до поверхні. Ніл Армстронг сів на Місяць на машині, яка свідомо відмовилася робити частину роботи, щоб не впасти цілком.

Що саме вона зробила правильно

Ключ — не в кількості коду, а в тому, як система поводиться, коли все йде не за планом. Гамільтон закладала два принципи, які досі лежать в основі інженерії надійності.

• Пріоритизація під навантаженням. Система знала, які задачі життєво важливі, а які можна викинути. Коли ресурсів бракувало, вона не намагалася зробити все погано — вона робила головне добре, а решту не робила взагалі.
• Самовідновлення замість падіння. Помилка не каскадувала. Перезапуск скидав сміття, але зберігав стан критичних процесів і повертався до роботи за частки секунди.

Гамільтон також наполягала на захисті від людської помилки — перевірках, які колеги вважали зайвими, бо «астронавти натреновані й не помиляться». Один із астронавтів усе ж запустив не ту програму в польоті. Її параноя виявилася дешевшою за катастрофу.

Чому це стосується українського коду просто зараз

Дрон над лінією фронту — це той самий бортовий комп'ютер Apollo, тільки дешевший і в тисячу разів чисельніший. Він працює з перешкодами, часто з обірваним зв'язком, на процесорі, який може захлинутися потоком даних із камери, GPS і системи стабілізації одночасно. Питання не в тому, чи виникне перевантаження — а в тому, що апарат зробить, коли воно виникне.

Логіка Гамільтон дає пряму відповідь. Утримати курс і керування — критично. Передати відеопотік у повній якості — бажано, але від цього не залежить, чи долетить апарат до цілі. Система, яка в момент перевантаження сама пожертвує картинкою заради стабільності польоту, виконає завдання. Система, яка намагатиметься втримати все, впаде в поле.

Те саме в енергетиці. Коли підстанцію б'є ракета, а автоматика керує тим, що лишилося, вона має деградувати керовано: вимкнути другорядних споживачів, утримати критичні вузли, не дати збою розповзтися по мережі каскадом. Це не метафора надійності Apollo — це той самий інженерний принцип, застосований до іншого заліза.

Урок Гамільтон не старіє, бо він не про технологію. Він про чесне визнання, що система працюватиме в умовах, гірших за розрахункові, і що найважливіше рішення — не як уникнути збою, а що саме зберегти, коли збій уже настав. Код, який цього не передбачає, надійний рівно до першої серйозної проблеми. Код, який це передбачає, саджає модуль на Місяць із увімкненою сиреною тривоги.