Zusammenfassung

  • Evelyn Berezin leitete den Rechnerentwurf eines landesweiten United-Airlines-Systems mit drei Prozessoren und Kommunikationsknoten für rund sechzig Städte.
  • Redundanz, Verriegelungen und Umleitungen sicherten die Verfügbarkeit gegen bestimmte Fehler; Eingaben, Verkaufslogik und die sachliche Richtigkeit des Sitzbestands prüften sie nicht.
  • Berezin unterschied dieses frühe System für Sitz- und Ticketdaten ausdrücklich von späteren Reservierungssystemen mit größerem Informations- und Transaktionsumfang.

In der Frage „Ist noch ein Platz frei?“ stecken zwei Zusagen. Der Rechner muss antworten, und die Antwort muss zur betrieblichen Wirklichkeit passen. Evelyn Berezin löste bei Teleregister die erste Aufgabe mit einer für die späten fünfziger Jahre außergewöhnlichen Architektur. Wer daraus die zweite Zusage ableitet, verwechselt technische Widerstandsfähigkeit mit Datenwahrheit.

Berezin erinnerte den Entwurfsbeginn für United im Jahr 1958; das Computer History Museum datiert die Auslieferung auf etwa 1962. Die Zentrale in Denver sollte rund um die Uhr ein nationales Netz bedienen. Ein Fehler musste in Sekunden erkannt, der betroffene Prozessor entfernt und die Arbeit anderswo fortgesetzt werden.

Drei Prozessoren und kontrollierter Leistungsverlust

US-Patent 3.253.262 nennt Evelyn Berezin Wilenitz, Frank C. Marino und Donald W. Russell als Erfinder. Es beschreibt drei unabhängige Prozessoren, von denen jeder freie die nächste Transaktion übernehmen konnte. Gemeinsamer Speicher und Peripherie waren durch Verriegelungen geschützt. Die Redundanz war kein bloßes Reservegerät, sondern eine Ordnung aktiver Ressourcen.

Berezin nannte das Prinzip „fail-soft“. An festgelegten Punkten verglichen die Maschinen ihren internen Fortschritt; ein abweichender Rechner konnte abgeschaltet werden, während die übrigen weiterliefen. Zu Beginn habe ein Prozessor den Normalverkehr bewältigt. Ein Ausfall senkte daher zunächst die Kapazität. Waren Puffer erschöpft, erhielt der Agent jedoch ein Besetztzeichen und musste erneut anfragen.

Sie berichtete außerdem, die zentrale Verarbeitung sei in elf Betriebsjahren nie vollständig ausgefallen. Das ist eine wichtige Erinnerung, aber kein unabhängiger Verfügbarkeitsbericht. Auch die oft zitierte Antwort in einer Sekunde war eine Anforderung oder Zielgröße. Berezin sagte später, ganz so schnell sei das System nie gewesen.

Zwei Leitungen mit demselben Schicksal

Rund sechzig Stadtknoten verbanden lokale Agentenplätze mit Denver. Getrennte Hin- und Rückwege sowie Schalter zum Umgehen eines ausgefallenen Knotens sollten Störungen begrenzen. Teleregister hatte eine eigene Kommunikationsabteilung; Fachleute von Philips in Eindhoven entwickelten Geräte, weil die verfügbare Telefontechnik nicht schnell genug war.

Ein Vorfall in Nevada offenbarte dennoch eine gemeinsame Ursache. Berezin zufolge lagen vermeintlich getrennte Wege auf derselben Richtfunkstrecke. Eine Sprengung trennte Terminals in etwa der Hälfte des Landes ab, während die Zentralrechner weiterliefen. Das Rechenzentrum war verfügbar, der Dienst aber nicht überall. Zwei Linien im Plan sind keine Vielfalt, wenn sie denselben physischen Fehler teilen.

Was „Reservierung“ damals bedeutete

Eine Teleregister-Broschüre von 1956 zeigt UNISEL mit 33 Tagen Flugverfügbarkeit in vier Verkehrszentren. Unterhalb eines Sicherheitspolsters musste der Agent telefonisch bestätigen. Als spätere Stufe plante Teleregister einen zentralen Reservisor mit Magnettrommel: lokale Anzeigen als Satelliten, Verkäufe und Stornierungen als Änderungen am exakten Sitzstand.

Das belegt eine Produktplanung, nicht die unveränderte Umsetzung jeder Funktion im United-System. Berezin setzte selbst die Grenze. Der Einfachheit halber nannte sie es Passagierreservierungssystem, doch im Kern hielt es Ticketdaten für Sitz und Flug. Spätere Systeme speicherten mehr und erledigten mehr.

SABRE markiert diesen Generationenwechsel. Das Computer History Museum beschreibt es als gemeinsames Projekt von American Airlines und IBM, das 1964 in Betrieb ging, und betont zugleich, es sei nicht das erste computergestützte Reservierungssystem gewesen. Spätere Transaktions- und Passagierakten gehören nicht rückwirkend zu Teleregister.

Ein laufendes System kann einen falschen Bestand bewahren

Failover beantwortet, wie Verarbeitung nach dem Verlust einer Komponente weitergeht. Bestandswahrheit verlangt andere Kontrollen: Wird Verkauf oder Stornierung genau einmal angewandt? Können zwei Agenten den letzten Sitz nehmen? Wird ein Wiederholungsversuch zum Duplikat? Gelangen Flugänderungen in den Datensatz, und wird dieser mit dem Betrieb abgeglichen?

Die geprüften Quellen belegen nicht alle diese Eigenschaften. Ein korrekter Prozessor kann eine falsche Eingabe treu speichern. Drei Rechner können sich über einen veralteten Wert einig sein. Ein verbleibender Weg kann denselben Auftrag zweimal liefern. Elf Jahre ohne vollständigen Zentralausfall wären daher kein Nachweis für elf Jahre ohne Bestandsabweichung.

Die Abgrenzung schmälert Berezins Leistung nicht. Sie führte Relaiskonstrukteure in den elektronischen Entwurf und arbeitete neben einer eigenen Kommunikationsgruppe. Marino und Russell teilen das zentrale Patent; Teleregister-Ingenieure, Philips-Entwickler, United-Betriebspersonal und Netzbetreiber prägten das System. Der Fortschritt bestand darin, Prozessoren, gemeinsame Ressourcen, Knoten und Wege in Fehlerdomänen zu zerlegen, damit ein Defekt nicht das ganze Land anhielt. Die heutige Ergänzung lautet: Was überlebt, ist dadurch noch nicht wahr.

Quellen