摘要

  • Margaret Hamilton 后来回忆，她曾提出优先显示和五秒响应窗口：紧急信息可以替代常规画面，让宇航员有时间回应。这段回忆讨论的是人机界面和操作程序，并不意味着计算机替人决定了登月任务的结局。
  • Apollo 11 的飞行记录记下了 1202、1201 程序报警、乘组的观察，以及 Charlie Duke 发出的“Go”通话。NASA 的后续注释和工程人员的回忆分别说明了咨询链条中的不同角色，不能合并成一个英雄故事。
  • 优先信号可以打断注意，却不会自动成为行动授权。权限仍取决于接收者的职责、当时掌握的证据、既定程序和人的判断。

一个会打断人的显示，不是一台会发号施令的电脑

Margaret Hamilton 的贡献最值得讨论之处，不是把她塑造成独自拯救 Apollo 11 的英雄，而是她如何描述一个信息界面问题：如果屏幕正显示执行任务所需的普通数据，计算机怎样才能让宇航员知道有一项异常情况必须优先处理？在计算机历史博物馆的口述史访谈中，Hamilton 回忆自己建议使用优先显示：紧急信息暂时取代常规画面，给宇航员五秒钟回应。她还说，硬件同事实现了显示能力，Houston 将有关流程纳入检查清单和训练。这里依据的是她多年后的回忆，是她对问题和自身工作的证言；这组材料并非当时的设计规格书，不能据此确认实现细节的每一步。

这一限定不会缩小她的贡献，反而让它更准确。优先显示把一个条件放到其他信息之前，重新安排了人的注意力，也留出一个回应窗口。可是，它本身并没有决定宇航员应该继续操作、询问地面、等待还是暂停。系统能改变人先看到什么、何时看到；注意力被占用，不等于行动已经获准。

因此，“五秒”不应被包装成适用于所有场景的安全标准。现有来源并未证明这一间隔在任何任务和负载下都是最优的。重要的是 Hamilton 回忆中的步骤：优先消息出现，操作者有机会响应，然后系统依照规则继续。安全性取决于触发条件、显示内容、响应方式以及计时结束后软件所做的事；单独一个数字不能说明这套交互约定。

NASA 的人物介绍将 Hamilton 放在更大的 Apollo 团队中，并记载她领导 MIT 仪器实验室的软件工程部门。NASA 在 2003 年发布的获奖公告也表彰了 Hamilton 及其团队对 Apollo 飞行软件的贡献。这些材料证明她承担了重要领导工作，也证明 NASA 后来给予了集体性认可；它们不证明她独自编写了所有软件，更不证明她拥有任务现场每一项决策的权限。团队语境不是对个人贡献的稀释，而是识别软件、硬件、测试、程序、训练和任务控制如何共同构成系统的前提。

1202 和 1201 报警记录能说明什么

1969 年 7 月 20 日登月下降期间，Apollo 11 乘组报告了 1202、随后又报告了 1201 程序报警。登月记录与通话日志汇集了实时无线电通信和后来补充的编辑注释。记录中可见 Aldrin 报警、乘组与地面之间交换信息，以及 Charlie Duke 通报“Go”。之后出现 1201 报警，也有相应的“Go”通话。这份材料可以证明无线电里说了什么以及大体顺序，但文档中的解释性注释并非都属于当时的通话内容。

任务概要把这些通话放回着陆时间线；NASA 的Apollo 11 任务报告则在事后给出更具体的技术解释：报警与会合雷达解析器接口相关的意外计数器中断有关，报告称其抢占了超过百分之十的计算机处理能力。把它笼统说成“计算机崩溃”会抹掉机制上的差别。报告解释了负载和优先级问题，却不能单独告诉我们每个人在当时知道什么，或谁有权接受继续执行的风险。

这条链上有多个彼此不同的动作：雷达相关活动产生中断；软件调度任务；计算机给出报警；宇航员观察并报告；地面专家解释影响；Houston 传回答复。报警是系统输出，不是登月决定。机组的观察、技术分析和无线电答复也各有不同。说“计算机判断着陆安全”会把权限错误地交给软件；把结果归功于一名工程师，则会以另一种方式抹掉整条链。

NASA 的登月注释将 Guidance Officer Steve Bales 描述为评估超载是否会危及着陆的重要角色。Hamilton 等参与者后来的回忆也强调 Jack Garman 对报警模式的认识和建议。这些说法未必相互排斥：识别代码、给出技术建议、判断任务风险以及在无线电中发出“Go”可能是不同环节。不过，公开记录不足以完整还原每次内部交接，因而不应把它们拼成一条毫无疑问的单人决策链。

工程师 Frank McGwire 和 Peter Adler 提供了彼此独立的回忆。McGwire 的第一人称叙述谈到他本人对报警的经历和工程团队的反应；Peter Adler 的回忆则是另一位参与者的视角。McGwire 说自己在飞行前测试中没有亲眼遇到这些报警，这只能说明他个人的经验，不能推导为整个项目没有做过模拟或恢复测试。同样，Hamilton 提及 Garman，也不能抹去任务注释所记载的 Bales 角色。

来源还显示，模拟环境、工程团队、乘组和地面控制之间的信息并不完全对称。NASA 注释提到此前出现过模拟报警；Aldrin 后来回忆说，自己没有充分了解报警的含义。这足以提示知识在不同角色之间分布不均，但不足以支持“Apollo 没有经过测试”或“只有某一组掌握所有知识”的概括。一次测试可以留下观察结果，却未必让每位操作者都理解其意义；训练可以教授一项程序，却不能保证参与者马上认出所有变体。

Hamilton 的回忆应当放在什么位置

最容易讲成故事的版本，是优先显示在登月时弹出了 1202 报警，因此救了任务。这组来源没有证明这样的因果关系。Hamilton 的口述史描述了她记得的设计意图和开发过程，飞行日志则记录报警和通信。在本文所核查的材料中，没有找到同期设计文件证明五秒窗口正是为 1202 或 1201 报警所触发。两个记录都涉及信息与响应，并不等于前者导致了后者的具体决策。

Hamilton 的工作完全可以在更精确的范围内显得重要。她指出了信息通路的一种失败可能：紧急状况会埋在常规显示中，未必能及时进入人的视野。她回忆的解决办法同时涉及软件行为、硬件实现和操作实践。系统抬高信息优先级；人获得回应机会；检查清单和训练让交互变得可识别。这是改善人类判断条件的工程贡献，不是把判断权移交给程序。

关键软件的工程工作不止是让代码算出正确数值，还包括优先级、计时、故障模式、操作者预期和恢复路径。五秒的故事自然引出具体问题：什么情况可以覆盖当前屏幕？操作者回应、不回应或请求更多信息时会发生什么？原任务何时恢复？现有来源没有提供完整需求文档、代码审查、验收测试或乘组训练大纲。证据缺失限制了我们可以重建的细节，但不能据此断言这些文件从未存在。

NASA 的表彰又是另一类证据。2003 年的公告能说明机构后来认可 Hamilton 和团队的贡献，却不能分离出某个人对特定着陆结果的反事实影响，也不能替代技术记录来解释软件具体如何运行。反过来，这个小型来源集合里没有某份规格书，也不能证明它不存在。稳妥的结论是：材料支持一段关于界面提议的事后回忆，并记录了 NASA 对团队工作的正式认可；它们不足以让我们逐行复原最初的实现。

报警不等于授权

高优先级界面确实拥有影响力：它重新安排了人的注意。但紧急信号不会自动解释自身。报警代码必须与系统状态、时间点、同时运行的任务、剩余容量和恢复方式相联系。相同代码在任务不同阶段可能代表不同风险；如果屏幕只给代码、不呈现上下文，操作者就可能需要查阅第二个信息源或请教专家。报警本身并没有携带作出决定所需的全部信息。

Apollo 11 记录恰好呈现了这种区别：Aldrin 发出观察，Duke 传达地面答复，注释提到 Bales 的技术判断，参与者回忆中则出现 Garman。计算机产生代码。历史叙述应该区分谁发现了信号、谁作出解释、谁有权接受操作风险，以及谁负责传话。既然公开来源没有说明每一次交接，就应保留这些空白，而不是用一个更流畅的英雄故事来填补。

计时结束时发生什么，同样是一项人为制定的规则。软件可能恢复先前画面、重复报警、进入安全模式，或者继续原来的任务。每种选择都在操作者未答复时偏向某一种风险。Hamilton 回忆中的设计让这一问题显现出来，但不代表五秒适合作为其他系统的标准。可迁移的经验是明确写出什么可以打断人、回应时间有多长、超时后系统怎么做，并在真实负载下验证整段行为。

对当代软件的参考

这段历史对今天的意义不在于照搬 Apollo 架构，而在于识别一种反复出现的难题。现代通知、控制台、联锁装置和自动升级机制都在分配注意力。评估它们时，应问：什么状态触发了信号？接收者能查到什么证据？谁既有专业能力又有权限处理？确认、忽略或超时之后系统怎样行动？事后能否还原当时的状态和操作，而不只依靠人的记忆？

通知太多，会让人把中断当作日常噪声；重要情况如果埋在普通界面里，也可能无人注意。优先级是一种稀缺资源，若每件事都紧急，就没有信号真正重要。阈值由谁设定、信号交给谁、操作后果由谁承担，都是组织治理问题，尤其当传感器、程序、培训和事故责任分散于不同团队时。

测试也必须覆盖人机交互，而不只是计算结果。单元测试可以确认优先标记何时出现；模拟试验可能发现时序或负载冲突；训练演练能观察使用者是否识别信号；程序审查可以查出接收者是否拥有相应权限；跨团队演习可以检验机载系统与地面人员的交接。这些证据回答不同问题，过了一项测试不代表其余环节也可靠。Apollo 的历史提醒我们区分测试种类，而不是让它背书来源未提及的现代流程。

结语：系统可以打断，人仍须判断

对 Hamilton 的评价不必依赖夸大的因果叙述。她回忆了一个具体的信息问题，以及带有响应窗口的优先显示提议。NASA 将她记载为集体软件工程努力中的领导者，并在多年后表彰了她和团队。Apollo 11 的记录则显示，报警进入了一个由机组、专家和地面通信共同组成的操作流程。

现有证据不能证明五秒显示处理了登月时那次特定报警，更不能证明软件决定了是否继续。它支持的是一个更能用于工程工作的判断：能够抢占注意力的界面必须公开其规则，并指出人的权限落在哪里。计算机可以要求人看过来；接下来信号意味着什么、允许采取什么行动，仍须由承担相应职责的人和组织作出判断。

来源