要約

  • Margaret Hamiltonは後年、優先表示と五秒の応答時間を提案したと語った。緊急情報が通常画面に割り込み、宇宙飛行士が返答できるようにする仕組みである。これはインターフェースと運用手順の話であり、コンピューターが着陸を決定したという話ではない。
  • Apollo 11の飛行記録には1202、1201プログラム警報、乗組員の報告、Charlie Dukeの「Go」通信が残る。NASAの後年の注釈と技術者たちの回想は、助言の連鎖の異なる部分を記録している。単独の英雄譚にまとめるべきではない。
  • 優先警報は人の注意を奪える。しかし、信号だけで行動権限は生じない。誰が何を知り、どの役割を担い、どの手順のもとで判断するのかが別に問われる。

注意を呼び込む機能と、決定する権限

Margaret Hamiltonの仕事を「一人でApollo 11を救った」と描く必要はない。より具体的で有益なのは、彼女が後年語った表示上の問題を見ることだ。画面が通常の飛行データを示しているとき、コンピューターが緊急状態をどう知らせるのか。Computer History Museumのオーラルヒストリーで、Hamiltonは優先表示を提案したと回想している。緊急表示が通常画面に割り込み、宇宙飛行士に五秒間の応答機会を与える構想だったという。表示機能のハードウェア実装は同僚が担い、手順はHoustonのチェックリストと訓練に組み込まれた、とも述べている。これは数十年後の証言であり、本人が問題と自身の役割をどう記憶したかを示す。ここで参照した資料には、当時の完全な設計仕様書は含まれていない。

この限定は功績を小さくするのではなく、何を評価しているのかを明確にする。優先表示は情報の順序を変え、人の注意を通常作業から緊急状態へ移す。応答のための時間も設ける。しかし、宇宙飛行士が作業を続けるべきか、地上に確認するべきか、待機するべきかまでは表示機能だけでは決められない。ソフトウェアは「まずここを見てほしい」と要求できる。注意を得ることと、次の行動を許可することは違う。

「五秒」を普遍的な安全基準として扱うのも適切ではない。今回の資料から、その時間があらゆる状況で最適だったとは言えない。注目すべきなのは、Hamiltonが記憶する一連の動きだ。警報が割り込み、人に応答の機会が与えられ、その後システムは決められた規則に従って動く。何が割り込むのか、画面に何が示されるのか、返答がなかったとき何が起きるのか。その三点がそろわなければ、時間だけを取り出して設計を評価することはできない。

NASAの人物紹介は、HamiltonをApollo誘導計画の多くの参加者の一人として紹介し、MIT Instrumentation LaboratoryのSoftware Engineering Divisionを率いたと記している。2003年のNASAの表彰発表も、彼女とチームの飛行ソフトウェアへの貢献を認めた。これらは重要な役割と後年の組織的評価を裏付けるが、すべてのコードを彼女一人が書いたことや、飛行中のあらゆる運用判断を担ったことを証明するものではない。チームという文脈は個人の功績を薄めるものではない。ソフトウェア、ハードウェア、試験、手順、訓練、ミッションコントロールがどのようにつながるかを把握するために必要だ。

1202と1201の記録をどう読むか

1969年7月20日の月面降下中、Apollo 11の乗組員は1202、続いて1201のプログラム警報を報告した。着陸記録と管制交信には無線の会話と、後から加えられた編集注釈が併存する。Aldrinが警報を伝え、乗組員と地上が情報をやり取りし、Charlie Dukeが「Go」と通信する。後に出た1201警報にも「Go」の返答がある。この記録から発言と大まかな順序は確認できるが、注釈までがすべてその場で話された言葉というわけではない。

ミッション概要は着陸全体の時間軸を示す。Apollo 11ミッション報告書は、予期しないカウンター割り込みを会合レーダーのレゾルバー・インターフェースに関連づけ、コンピューター能力の一割超が割り込みによって使われたと説明する。これを「コンピューターが全面的に停止した」と言い換えると、技術的な違いが消える。報告書は負荷と処理の仕組みを説明するが、その時点で各人が何を知っていたのか、誰が運用上のリスクを受け入れたのかまでは自動的に答えない。

ここでは複数の役割が連続する。レーダーに関係する処理が割り込みを生み、ソフトウェアが作業を調整し、コンピューターが警報を出す。乗組員がそれを見て地上に伝え、地上の専門家が影響を評価し、Houstonが返答する。警報はシステムの出力であって、「着陸を続けよ」という決定ではない。乗組員の報告、技術的な評価、無線で伝える「Go」も別々の行為だ。「コンピューターが安全だと判断した」と書けば、誤った構成要素に権限を与えてしまう。結果を一人の技術者に帰属させても、同じ役割分担を別の形で消してしまう。

NASAの着陸注釈は、Guidance OfficerのSteve Balesが過負荷による着陸への危険を評価したとする。一方、Hamiltonらの後年の回想は、警報パターンに詳しかったJack Garmanの認識や助言を強調する。これは必ずしも矛盾ではない。コードに気づくこと、技術的に助言すること、危険を評価すること、無線で返答することは、それぞれ異なる段階であり得る。ただし、公開資料は内部の受け渡しをすべて再現できるほど詳細ではない。全過程が確定した一つの指揮系統だったかのように整えるべきではない。

Frank McGwireとPeter Adlerは別個の回想を残している。McGwireの一人称の記述は自身が警報を経験した範囲と技術チームの対応を説明する。Peter Adlerの証言は別の参加者の視点だ。McGwireは飛行前の自分の試験でその警報を見たことがなかったと記す。これは本人の経験についての証拠であって、計画全体でシミュレーションや再起動手順が試されていなかったという証拠ではない。HamiltonがGarmanに言及したことも、着陸記録の注釈に登場するBalesの役割を消す理由にはならない。

シミュレーター、技術者、乗組員、地上管制の間では、情報が均等に届いていなかった可能性も示される。NASAの注釈は以前のシミュレーション中の警報に触れており、Aldrinは後にその意味を十分に説明されていなかったと振り返った。ここから、役割ごとに知識の境界があったと考えることはできる。しかし「Apolloは試験されていなかった」「一つの部署だけがすべてを知っていた」とまでは言えない。試験が結果を生んでも、運用者全員がその意味を理解するとは限らない。手順を訓練しても、各人がすべての変化形を即座に認識できるとは限らない。

Hamiltonの貢献と因果関係を分ける

もっとも語りやすい筋書きは、優先表示が着陸中に1202警報を割り込み表示し、ミッションを救ったというものだ。しかし、ここで挙げた資料はその因果関係を確認していない。Hamiltonの口述史は、彼女が記憶する設計意図と開発を語る。飛行記録は警報と通信を記録する。今回の資料には、五秒の応答時間が当該の1202または1201警報で作動したと示す同時代の設計文書は見当たらない。同じ情報問題を扱う二つの記録があることと、一方が他方の決定を引き起こしたと証明することは別だ。

より限定した記述でもHamiltonの仕事は重要である。彼女は、緊急事態が通常の表示に埋もれてしまうという情報経路の弱点を指摘した。彼女が回想した対処にはソフトウェアとハードウェアが関わり、さらに手順と訓練が必要だった。システムが優先度を上げ、人が応答する機会を得て、現場がそのやり取りを理解できるようにする。人が判断を働かせる条件を整える仕事であって、その判断をプログラムへ移すことではない。

安全性が重いソフトウェアを作ることは、正しい数値を計算させるだけではない。優先順位、時間、故障時の挙動、利用者の期待、復旧方法も設計対象だ。「五秒」という回想からは、どの状態が画面を割り込めるのか、利用者が答えたとき・答えないとき・追加情報を求めたとき何が起きるのか、その後にどの処理が再開されるのか、という問いが生まれる。参照資料には完全な要求仕様、コードレビュー、受け入れ試験、乗組員訓練の全体像は含まれていない。欠けた資料が再構成を制限するのであって、文書が存在しなかった証明にはならない。

NASAによる表彰は別種の証拠だ。2003年の発表は、NASAが後年にHamiltonとチームの仕事を評価したことを示す。個人が特定の着陸にどれだけ因果的に寄与したかを測るものではなく、ソフトウェアの具体的な挙動を説明する技術資料の代わりにもならない。逆に、この限られた資料群に設計書がないからといって、それが存在しなかったとも言えない。根拠が支えるのは、表示の提案についての回想と、チームへの公式な評価である。

警報は許可ではない

優先表示には実際の力がある。人が何を見ているかを変えるからだ。しかし、緊急信号はそれ自体では意味を完結しない。コードはシステムの状態、発生時刻、並行する処理、残りの能力、復旧方法と結びつけて初めて解釈できる。同じコードでもミッションの段階によって影響は異なり得る。画面にコードしか表示されないなら、乗組員は別の画面や地上専門家を頼る必要がある。信号そのものが判断材料をすべて含むわけではない。

着陸記録のAldrinによる報告、Dukeの返答、Balesに関する注釈、Garmanに言及する回想は、役割の違いを示す。誰が信号を検出し、誰が意味を解釈し、誰がリスクを受け入れ、誰が認可を伝えたのか。公開資料が手渡しのすべてを明らかにしない以上、その空白は空白のままにしておくのが適切だ。

五秒が過ぎた後の挙動も、人間が定めたルールである。ソフトウェアは前の画面に戻るかもしれないし、警報を繰り返すかもしれない。安全モードへ移ることも、自動処理を続けることもあり得る。どの設計も、人が返答しない場合にどの危険を優先するかを選ぶ。Hamiltonの回想はこの論点を考える手がかりだが、五秒が他のシステムでも正しいとは示さない。割り込み条件、応答時間、応答がない場合の動きを明示し、現実的な負荷の下で一連の挙動を試験することが教訓となる。

現代の運用ソフトウェアに残る問い

現在のソフトウェアに対する示唆は、Apolloの構造をそのまま再現することではない。通知、ダッシュボード、安全インターロック、自動エスカレーションも、人の注意を振り分けるという点で同じ問いを生む。何が通知を発火させたのか。利用者が確認できる根拠は何か。誰に専門性と処置権限があるか。確認、保留、無応答の後に何が起こるか。後から記憶に頼らず、状態と行為をたどれるか。

通知が多すぎると、人は割り込みに慣れ、見ずに消すようになる。反対に、重要な状態が通常表示に埋もれると見落とされる。優先度は希少であり、すべてが緊急なら、本当に緊急な信号の意味も薄れる。閾値、受信者、手順、損害を引き受ける部門が異なるなら、アラート設計は組織の統治課題でもある。

試験対象には計算だけでなく人とのやり取りを含める必要がある。単体試験は優先フラグが立つ条件を確認する。シミュレーションは時間や負荷の組み合わせを探る。訓練は利用者がパターンに気づくかを確かめる。手順レビューは適切な役割が情報を受け取るかを見る。合同演習は搭載側と地上側の受け渡しを試す。一つの試験に合格しても、他の証拠が得られたことにはならない。Apolloの記録から学ぶべきなのは試験の区別であって、当時存在しなかった現代の手続きを歴史に投影することではない。

おわりに——割り込みの先に人の判断がある

Hamiltonの重要性を示すために、証拠を超えた物語にする必要はない。彼女は、緊急情報が通常表示に埋もれる問題と、応答時間を設けた優先表示を提案したと回想した。NASAは彼女を集団的なソフトウェア開発のリーダーとして紹介し、後年、チームとともに表彰した。Apollo 11の記録は、乗組員、専門家、地上との通信が異なる役割を担う運用の中で警報が処理されたことを示す。

これらの資料から、五秒の表示が着陸中の特定の警報を解決したとは言えない。ソフトウェアが続行を決めたとも言えない。より確かな教訓は、注意を割り込めるインターフェースには説明可能な規則と、判断権限を担う人の特定が必要だということだ。コンピューターは人に「見てほしい」と要求できる。その信号が何を意味し、どの行動を許すのかは、人と組織が決めなければならない。

出典