Радость познания

В памяти основной линии компьютеров недостаточно места для всех программ подъема, спуска и контроля полезной нагрузки в полете, так что память загружается около четырех раз с кассетной ленты самими астронавтами.

В аппаратных средствах за много лет не произошло никаких изменений — используется аппаратура пятнадцатилетней давности — это сопряжено с колоссальными усилиями по замене и отладке нового программного обеспечения в такой сложной системе. Аппаратные средства устарели; например, установлена память старого типа с ферритовым сердечником. Становится все трудней найти производителей для поставки таких устаревших компьютеров высокого качества и высокой надежности. Современные компьютеры значительно более надежны, работают гораздо быстрее, имеют упрощенную схематику, позволяя выполнять больший объем работы, и не требуют дозагрузки памяти, поскольку их память значительно больше.

Программное обеспечение проверяется очень тщательно методом снизу вверх, «по восходящей». Во-первых, проверяется каждая новая строка программы, затем с помощью специальной функции контролируются разделы программы или модули. Границы раздвигаются шаг за шагом, пока новые изменения не будут вставлены в законченную систему и полностью проверены. Окончательный выход считается вновь выпущенным конечным продуктом. В заключение полностью независимая группа проверки, представляющая критикующую сторону по отношению к группе разработчиков программного обеспечения, тестирует и проверяет программное обеспечение, как будто эта группа является покупателем поставленного продукта. Существует дополнительная проверка с применением новых программ в имитирующем устройстве и так далее. Обнаружение ошибки в ходе проверочного тестирования считается очень серьезным промахом, причина ошибки тщательно изучается, чтобы избежать подобных ошибок в будущем. Такие неожиданные ошибки были обнаружены только шесть раз за все время программирования, программа изменена (для новых или модифицированных нагрузок). Принцип, которому следовали, состоял в том, что проверка — это не аспект программной безопасности, это просто тестирование безопасности, а не контроль катастрофы. О безопасности полета нужно судить исключительно по тому, насколько хорошо программа работает в проверочных тестах. Нарушения здесь приводят к серьезному беспокойству. Из всего вышесказанного ясно, что система проверки компьютерного программного обеспечения должна быть высочайшего качества. Казалось бы, что здесь мы не имеем элементов оглупления и снижения уровня стандартов безопасности, как в ракетах-носителях на твердом топливе или в основном двигателе космического корабля. Но… обратимся к последним предложениям руководства — предлагается сократить сложные и дорогостоящие тесты как необязательные. С этим никак нельзя согласиться, поскольку здесь не принимается во внимание едва уловимое взаимное влияние — источники ошибки, обусловленные даже незначительной заменой одной части программы на другую. Пользователи постоянно нуждаются в изменениях — новые нагрузки, новые требования и модификации. Изменения обходятся дорого, поскольку они требуют всестороннего тестирования. Правильный путь сберечь деньги — сократить количество самих изменений, но никак не качество тестирования для их осуществления.

Можно добавить, что сложную систему можно значительно улучшить с помощью более современного аппаратного обеспечения и методик программирования. Любое соперничество извне будет приносить свои плоды — следует внимательно изучить, хороша ли эта идея для НАСА.

В заключение вернемся к датчикам и силовым механизмам электронной системы — они не связаны так глубоко, как компьютерная система, с авариями и надежностью космического корабля. Например, иногда фиксировались отказы датчиков температуры. Но 18 месяцев спустя на борту использовались все те же датчики, которые по-прежнему ломались, пока запуск не пришлось наконец отложить, так как два из них отказали одновременно. И уже в следующем успешном полете снова использовался все тот же ненадежный датчик. Кроме того, системы контроля реактивного движения, реактивных двигателей, применяемые для переориентации и контроля в полете, представляются пока не совсем надежными. Существует длинная череда поломок, ни одна из которых пока серьезно не повлияла на полет. Работа реактивного двигателя проверялась датчиками, и, если не происходило возгорания, компьютеры выбирали другой двигатель. Но в их конструкции не предполагается поломок — и эту проблему можно решить.

Заключение

Если соблюдать стандартный график запусков, техника не сможет достаточно быстро следовать первоначальным консервативным критериям, гарантирующим полную безопасность челнока. И в этой ситуации формулировки требований безопасности меняются зачастую с сомнительной логической аргументацией — только бы вовремя сертифицировать полет. В результате полеты осуществляются в относительно небезопасных условиях, с вероятностью крушения, составляющей порядка одного процента (трудно быть более точным).

С другой стороны, официальное руководство настаивает на цифре в тысячу раз меньшей. Одна из причин кроется в попытке НАСА заверить правительство в своей безупречности и успешности — с очевидной целью обеспечить финансовые поступления. А может быть, они искренне верят, что их цифры верны, демонстрируя почти необъяснимое отсутствие взаимосвязи между ними и работающими в проекте инженерами.

Так или иначе, следствия такого положения малоутешительны — попробуйте убедить обычного гражданина летать на такой опасной машине — стандартном самолете, если его уровень безопасности соответствует уровню безопасности челнока. Астронавты, как и летчики-испытатели, должны знать о своих рисках — а нам оказана честь вселить в них мужество. Без сомнения, Маколифф была человеком огромного мужества и осознавала истинный риск лучше, чем уверяет нас руководство НАСА.

Позвольте порекомендовать официальным лицам НАСА реально оценивать технологические слабости и дефекты, чтобы активно их устранять. Они должны видеть реальные обстоятельства, сопоставляя затраты и практическую полезность кораблей с другими способами проникновения в космос. Они должны быть реалистичными при заключении контрактов, оценке затрат и сложности проектов. Они должны предлагать только реалистический график полетов, который обладает разумными возможностями и отвечает всем предъявляемым требованиям. Если в такой форме правительство не поддержит их, пусть так и будет. НАСА имеет обязательства перед гражданами, от которых просит поддержки, обещая быть открытой и честной организацией, так что граждане могут принять мудрое решение относительно использования своих ограниченных средств.

Чтобы технология была успешной, реальные обстоятельства должны ставиться выше пиара — ведь природу нельзя одурачить.

8. Что такое наука?

Что такое наука? Это прежде всего здравый смысл! Или нет? В апреле 1966 года великий Мастер обратился к Национальной ассоциации преподавателей научных дисциплин, где дал урок молодым преподавателям, как привить своим ученикам научное мышление, научить их смотреть на мир с любопытством и непредвзятостью, но прежде всего научиться сомневаться. Эта лекция была во многом данью памяти отцу Фейнмана — продавцу форменной одежды, — оказавшему на сына колоссальное влияние, научившему его особому, фейнмановскому взгляду на мир.

Я благодарен мистеру Де Роузу за счастливую возможность присоединиться к вам, преподавателям научных дисциплин. Я тоже преподаю научную дисциплину. У меня достаточно большой опыт — правда, в обучении аспирантов физике, — и в результате я знаю, что совсем не знаю, как надо учить.

Я уверен, что все вы тоже признаете, что не знаете, как это делать; в противном случае вас не беспокоило бы вступление в конвенцию.

Тема «Что такое наука?» не мой выбор. Это выбор мистера Де Роуза. Но я хотел бы сказать, что мое понимание вопроса «Что такое наука?» не равнозначно вопросу «Как учить науке?». И я хотел бы обратить ваше внимание на две эти формулировки. Я готовился к этой лекции о науке, но если кто-то думает, что я хочу рассказать, как учить науке, то должен вас заверить, что вовсе не собираюсь этого делать, поскольку ничего не знаю о маленьких детях. Я знаю лишь то, что ничего не знаю. Другой вопрос состоит в том, что большинство из вас (ведь так много докладов, статей и экспертов в этой области) не обладает достаточной уверенностью в себе. Есть немало людей, которые прочитают вам лекции на тему, почему дела не так хороши и как научиться преподавать лучше. Я не собираюсь ругать вас за плохую работу и указывать, как ее можно улучшить; таких намерений у меня нет.