1-9-zukunft-entscheiden

1. Az első 1202-es programriasztás akkor jelent meg, amikor az Apollo 11 holdmodulja 1969. július 20-án a Hold felé ereszkedett, a hajtóműve pedig teljes gázzal működött, és nem volt lehetőség a repülés felfüggesztésére.

2. Neil Armstrong jelentette az esetet Houstonnak.

3. Buzz Aldrin ugyanazt a kódot olvasta le, miközben a navigációs számítógép továbbra is irányította az űrhajót, és a felszín egyre közeledett, így alig maradt idő a kiváltó oka ismeretlen figyelmeztetés kivizsgálására.

4. Armstrong arra kérte Houstont, hogy értelmezze a riasztást, mivel a pilótafülkében a kód alapján önmagukban nem tudták megoldani a problémát.

5. A Misszióirányító Központban a repülésirányítóknak másodperceik voltak arra, hogy megkülönböztessék a leszállást engedélyező számítógépes figyelmeztetést attól, amely a repülés megszakítását követelte, mivel a hajtómű már mindkét kimenetelhez szükséges üzemanyagot fogyasztotta.

6. A válasz Charlie Duke-on keresztül érkezett: folytathatják az utat.

7. Ez a válasz nem azonosította a hibát, nem javította ki a számítógépet, és nem tette biztonságossá a hátralévő ereszkedést pusztán egy kijelentéssel.

8. A figyelmeztetést egy olyan állapothoz kapcsolta, amelyet ellenőrizni lehetett, miközben a repülés a felszín felé folytatódott.

9. A riasztás azt jelezte, hogy a számítógép túlterhelt, de az irányítók még mindig látták, hogy az alapvető navigációs funkciói működnek.

10. A figyelmeztetés éppen azért volt komoly, mert ez a funkció olyan fontos volt.

11. Ha a számítógép elvesztette volna a leszállás irányításának képességét, az egy pillanattal korábban megfigyelt megnyugtató repülési pálya alig nyújtott volna védelmet, mivel a modulnak még mindig le kellett lassulnia, és meg kellett találnia a leszállásra alkalmas területet.

12. A döntés ezért a következő mérési eredményektől függött, nem csupán attól, amit a csapat már látott.

13. A NASA küldetésjelentése szerint körülbelül öt perc alatt öt programriasztás jelent meg, de ezek nem szóltak folyamatosan.

14. A riasztások között a számítógép folyamatosan elvégezte a navigációhoz szükséges számításokat.

15. Houston nem számította ki a biztonságos leszállás numerikus valószínűségét az öt jelzés alapján.

16. Azt ellenőrizte, hogy egy adott hiba átlépte-e egy meghatározott határt, miközben a legénység továbbra is képes volt végrehajtani a tervezett megszakítást, ha a további süllyedés már nem felelt meg a leszállás feltételeinek.

17. A különbséget könnyű figyelmen kívül hagyni egy sikeres leszállás után.

18. Abban a pillanatban senki sem használhatta a jövőbeli leszállást bizonyítékként arra, hogy a következő riasztás is elviselhető lesz.

19. A repülés előtt megállapított szabály segített lehetővé tenni a döntéshozatalt.

20. A NASA küldetésjelentése szerint az ilyen típusú riasztások nem tették automatikusan szükségessé a süllyedés leállítását, ha a számítógép továbbra is megfelelően navigált.

21. Ez a szabály nem tette minden riasztást ártalmatlanná; hanem meghatározta azokat a bizonyítékokat, amelyeken a repülés folytatásának sorsa múlt.

22. Megmutatta az irányítóknak, hogy mely megfigyelt körülmény fontosabb, mint pusztán egy figyelmeztető kód jelenléte.

23. A kiképzés is fontos volt, mert egy hasznos szabályt fel kell ismerni és alkalmazni, mielőtt a rendelkezésre álló idő lejár, különösen akkor, ha a kódot leolvasókat és a járművet irányítókat rádiókapcsolat választja el egymástól.

24. Az űrhajósok közölték a látott kódot, így a földi irányítók pontos figyelmeztetést kaptak, amelyet összehasonlíthattak más repülési információkkal.

25. Az irányítók megvizsgálták a földre érkező repülési és számítógépes információkat, majd operatív ajánlást továbbítottak a legénységnek.

26. A szoftver egy másik, a hangos hívásnál kevésbé látható hozzájárulást is nyújtott.

27. Prioritásai lehetővé tették a kritikus irányítási feladatok folytatását akkor is, amikor alacsonyabb prioritású feladatok terhelték a számítógép korlátozott kapacitását, így a navigáció megfigyelt működőképessége érthetőbbé vált, mint egy differenciálatlan rendszerben lett volna.

28. E szerepek közül egyik sem tudta egyszerűen helyettesíteni a többit.

29. A kabinban megjelenő figyelmeztetés nem jelentett teljes körű diagnózist, a houstoni telemetria pedig nem tudta megmutatni az alatta elterülő terep minden részletét, ahol egy mechanikailag hibátlan süllyedés is rosszul végződhetett volna.

30. Minden megfigyelőnek más-más kilátása volt ugyanarra a süllyedésre.

31. A legénység láthatta, amit a számítógép kijelzett, majd később azt is, ami az ablakokon kívül volt; Houston összehasonlíthatta a továbbított méréseket a várható repülési viselkedéssel, de egyik fél sem rendelkezett önmagában teljes képpel.

32. Az irányító „indulás” parancsa egyesítette ezeket a részleges nézőpontokat.

33. Ez engedélyt jelentett a leszállási feltételek további tesztelésére, nem pedig ígéretet arra, hogy semmilyen új körülmény nem kényszerítene más döntésre, mielőtt a modul elérné a felszínt.

34. Éppen ezért volt fontos az előre elkészített megszakítási terv, még akkor is, ha a cél továbbra is a leszállás maradt.

35. A megszakításnak megvoltak a maga veszélyei, de meghatározott válaszlépést kínált arra az esetre, ha az űrhajó már nem felelne meg a leszállás feltételeinek, miközben még elegendő idő és hajtóanyag állt rendelkezésre a beavatkozáshoz.

36. Ilyen válaszlépés nélkül a figyelmeztető szabály hatékonysága csökkenne.

37. Az a feltétel, amelyet csak akkor lehet felismerni, amikor már késő cselekedni, egyáltalán nem is tekinthető igazi feltételnek.

38. A küldetés után rendelkezésre álló diagnózis más képet mutat, mint az, amely a riasztás idején elérhető volt.

39. A nyomozók a számítógép túlterhelését a randevú-radarral kapcsolatos feladatokra vezették vissza, amelyekre a leszállási hely kiválasztásához nem volt szükség, de mégis igénybe vették a korlátozott számítási kapacitást.

40. Ez a mechanizmus utólag magyarázatot ad a riasztásokra.

41. A valós időben döntést hozó személyek azonosítani tudták a túlterhelés típusát, és ellenőrizni tudták, hogy a létfontosságú navigáció továbbra is működik, de még nem ismerhették a túlterhelést kiváltó teljes láncolatot.

42. Bizalmuk szűkebb alapon nyugodott.

43. Azon a megfigyelhető viselkedésen, a számítógép tesztelt prioritásain és egy olyan szabályon alapult, amely megkülönböztette az időszakos figyelmeztetést a vezérlőrendszer meghibásodásától, annak ellenére, hogy a túlterhelést kiváltó ok továbbra is ismeretlen maradt.

44. Ezek a támaszpontok nem szüntették meg a bizonytalanságot.

45. Lehetővé tették annak megfogalmazását, hogy miért indokolt a folytatás abban a pillanatban, és milyen bizonyíték gyengítené ezt az ítéletet, így a legénységnek oka volt a folytatásra anélkül, hogy úgy tett volna, mintha a figyelmeztetés megoldódott volna.

46. Még a „folytatás” szó is félrevezető lehet, ha egyetlen döntésre utal, amelyet passzív bizalom követ.

47. Az űrhajó tovább süllyedt, miközben a mérések változtak.

48. Minden új mérési eredmény megerősíthette a munkahipotézist, megkérdőjelezhette azt, vagy olyan új problémát vethetett fel, amelyet a számítógépes riasztás nem jósolt meg.

49. A korrekcióra nyitott döntés is döntés marad.

50. Az embereket egy adott irányvonalhoz köti, időt és üzemanyagot fogyaszt, és eltolja azt a pontot, amelyen alternatívák alkalmazhatók, még akkor is, ha mindenki egyetért abban, hogy a döntést esetleg felül kell vizsgálni.

51. Ez a költség teszi fontossá az ellenőrzés időzítését.

52. A már megkezdett motoros ereszkedés során lehetetlen lett volna minden figyelmeztetés okát kideríteni, mielőtt továbbhaladtak volna, mert a földi vizsgálat nem állíthatta le sem a hajtóművet, sem az órát.

53. Minden figyelmeztetés figyelmen kívül hagyása pedig elszalasztotta volna a lehetőséget egy meghibásodó rendszer észlelésére.

54. A hasznos kérdés pontosabb volt: mi kell, hogy igaz maradjon ahhoz, hogy ez az ereszkedés folytatódhasson, és ki tudja megmondani, mikor már nem így van?

55. Houston figyelemmel kísérhette a jelentett repülési viselkedést, de a legénységnek olyan eseményeket is értelmeznie kellett, amelyeket egyetlen telemetriai csatorna sem tudott önmagában eldönteni, beleértve azt is, hogy a tervezett repülési pálya alatti talaj alkalmas-e a leszállásra.

56. Ahogy a holdmodul egyre alacsonyabbra ereszkedett, a célterület láthatóvá vált.

57. Armstrong látta, hogy a tervezett leszállási hely egy kráter közelében lévő egyenetlen talaj felé vezetett, ahol nagy sziklák veszélyeztették a leszállást, annak ellenére, hogy a leszállási rendszer látszólag még mindig a feladatát végezte.

58. Lehetséges volt, hogy a számítógép által kiszámított pálya helyes volt, de a célpont nem megfelelő.

59. Ez a bizonytalanság eltért a programriasztástól, és megváltoztatta a legénység feladatát: közvetlenül kellett megítélniük a felszínt, és módosítaniuk kellett a pályát, mielőtt a fennmaradó üzemanyag tovább szűkítette volna a lehetőségeiket.

60. Armstrong átvette a kézi irányítást, és elkezdte a holdmodult a veszélyes terület mellett elvezetni.

61. Ekkor a legénység ablakon kívüli kilátása olyan döntő jelentőségűvé vált, amit a houstoni műszeradatok nem tudtak pótolni.

62. A földi irányítóközpont továbbra is a számokat figyelte, de a magasság és a sebesség nem tudta igazolni, hogy milyen talaj van a leszállótámaszok alatt.

63. Aldrin közölte a magasságot és a süllyedési sebességet, míg Armstrong olyan talajt keresett, ahol a leszállótámaszok sziklákba ütközés nélkül le tudtak telepedni, így a munkát a mért mozgás és a látható terep között osztva.

64. Az eredeti helyszín elhagyása egy problémát megoldott, de egy másikat súlyosbított.

65. Minden másodperc, amit a biztonságosabb terep keresésével töltöttek, olyan hajtóanyagot emésztett fel, amelyre akár a leszálláshoz, akár a kísérlet feladásához szükség lehetett.

66. Az alacsony üzemanyagszintre vonatkozó figyelmeztetés éppen a keresés közben érkezett, így a legénységnek a csökkenő magasságon kívül egy újabb időkorlátja is lett.

67. A houstoni „60 másodperc” jelzés a tervezett üzemanyag-döntési pontig hátralévő időt jelölte, nem pedig a tartály kiürüléséig tartó pontos visszaszámlálást – ez a különbség pedig fontos, ha a döntés magában foglalja a kísérlet esetleges megszakítását is.

68. A tényleges tartalék későbbi becslése eltért a repülés során rendelkezésre álló figyelmeztető képtől.

69. Az üzemanyag mozgása a tartályon belül bonyolította az értékelést, így a későbbi rekonstrukciót nem lehet Armstrong kezébe helyezni abban a pillanatban.

70. Azon jelzés alapján kellett repülnie, amelyet kapott.

71. Ez a jelzés szűkítette a rendelkezésre álló lehetőségeket: vagy hamarosan talál egy megfelelő helyet, vagy a fennmaradó kapacitást a küldetés megszakítására használja fel, ami önmagában is manővert igényelne, nem pedig varázsütésre eltüntetné a veszélyt.

72. A számítógépes riasztás nem szűnt meg pusztán azért, mert a terep és az üzemanyag most nagyobb figyelmet igényelt.

73. Jelentősége attól függött, hogy a számítógép folytatta-e azt a munkát, amely lehetővé tette az irányított leszállást.

74. A működő számítógép továbbra is fontos volt a repülés szempontjából, de egy hibátlan számítógép sem tudta elsimítani a sziklákat, sem feltölteni a tartályt, és az egyik területen elért siker nem jelentette azt, hogy a többit elhanyagolhatták volna.

75. Minden figyelmeztetés egy-egy különböző mechanizmushoz tartozott.

76. Ha ezeket egyetlen általános veszélyérzetként kezelték volna, elrejtette volna a gyakorlati különbséget a navigáció ellenőrzése, a sziklák kikerülése és a kilépési útvonal megőrzése között.

77. A holdmodul a kezdeti célponttól távolabb landolt.

78. Az eredmény azt mutatja, hogy a legénység és a földi csapat sikeresen kezelte ezeket a változó körülményeket ezen a repülésen.

79. Ez nem bizonyítja, hogy a riasztás jelentéktelen volt, hogy az üzemanyag-tartalék bőséges volt, vagy hogy egy másik megközelítés ugyanolyan jól végződött volna ugyanolyan nyomás alatt és hiányos információk mellett.

80. Az eredmények bizonyítékok, de túl későn érkeznek ahhoz, hogy megmagyarázzák, mit állíthatott volna felelősségteljesen előre a döntéshozó.

81. A választás tisztességes leírásának figyelembe kell vennie a leszállás előtt rendelkezésre álló információkat és az egyes szakaszokban még lehetséges lépéseket.

82. Ennek a leírásnak meg kell különböztetnie a döntéshozatali jogkört az információtól.

83. Houston a számítógépes riasztás alapján javasolhatta a repülés folytatását; Armstrong irányította a járművet, amikor a leszállóhely láthatóvá vált.

84. Aldrin figyelemmel kísérte és jelentette azokat a mérési értékeket, amelyek elvesztését egyik társ sem engedhette meg magának, miközben a figyelem a felszínre irányult, és folyamatosan szóba hozta a sebességet és a magasságot, miközben Armstrong leszállóhelyet keresett.

85. A szoftver biztosította a magas prioritású feladatok folytonosságát.

86. Az előre kidolgozott eljárások lehetővé tették az irányváltoztatást, bár ezek a rendelkezések egyike sem garantálta a veszélytelen megszakítást vagy leszállást.

87. Ez a munkamegosztás nem szüntette meg a felelősséget azzal, hogy szétosztotta azt.

88. Konkrét formát adott a felelősségnek: valakinek értelmeznie kellett a kódot, valakinek közölnie kellett az ítéletet, és valakinek irányítania kellett az űrhajót, amikor új veszélyek jelentek meg az ablakokon kívül.

89. Feladataik egyre szűkülő határidőn belül találkoztak, így a megalapozott döntésnek is időben el kellett jutnia a pilótafülkébe.

90. A bizonytalanság megfelelő magyarázatához ezért több kell, mint pusztán annak kijelentése, hogy a tudás hiányos volt.

91. Meg kell határoznia, mi volt ismeretlen, mit lehetett még megfigyelni, melyik feltételezésen alapult a döntés, és mikor jár le ez a feltételezés, mert a kétely homályos elismerése senkinek sem ad használható jelzést az irányváltoztatáshoz.

92. Az Apollo 11-en egy időszakos túlterhelés egyidejűleg létezhetett a működő navigációval.

93. Egy meghibásodott irányító funkció vagy a hátralévő manőverhez túl kicsi üzemanyag-tartalék megváltoztatta volna a „rajt” jelentését, még akkor is, ha ugyanaz a legénység és az irányítók továbbra is az eredeti küldetés sikerét akarták volna.

94. Semmilyen szabály nem tudta volna ezeket a különböző állapotokat ugyanazon esetté alakítani.

95. Az Apollo 13 esetében élesebb változás mutatkozott abban, hogy a küldetés ésszerűen mire törekedhetett.

96. A legénység 1970 áprilisában indult útnak, hogy leszálljon a Holdra, de április 13-án meghibásodott egy oxigéntartály a szolgálati modulban, ami megfosztotta a parancsnoki modult a tervezett repüléshez szükséges erőforrásoktól.

97. A figyelmeztető lámpák és a csökkenő oxigénnyomás egyre növekvő veszélyt jeleztek az áramellátásra és az életfenntartó rendszerekre nézve.

98. A pontos kár mértéke nem volt azonnal ismert.

99. A jelek azonban máris aláásták a holdra szálláshoz szükséges feltételeket, ezért a legénység és az irányítók feladták ezt a célt anélkül, hogy megvárták volna a tartály meghibásodásának teljes kivizsgálását.

100. A holdmodult menedékhelyként használták.

101. A földi csapatok kidolgozták a visszatérési pályát és azokat a módszereket, amelyekkel a rendszereket úgy lehetett kihasználni, hogy három ember életben maradjon, miközben az eredetileg rövid holdi tartózkodásra szánt űrhajó sokkal hosszabb feladatot vállalt magára.

102. Körülbelül öt órával a baleset után végrehajtott manőverrel az űrhajót visszaterelték egy olyan pályára, amely a Földre vezethette, de a hazajutás és a legénység életben tartása még további munkát igényelt.

103. A legénység április 17-én tért vissza.

104. Ez az eredmény nem törölheti el a veszélyt, amellyel szembesültek, éppúgy, ahogy az Apollo 11 leszállása sem teheti értelmetlenné annak figyelmeztető jeleit; mindkét következtetés összekeverné a túlélést a korábban rendelkezésre álló ismeretekkel.

105. A két repülés különböző kérdéseket vet fel ugyanazon típusú döntéshozatal kapcsán.

106. Az egyik esetben egy riasztó jelzés nem érintette az eredeti cél eléréséhez szükséges alapvető feltételeket, legalábbis addig, amíg a csapat ellenőrizni tudta azokat, és még megmaradt az esélye az irányváltoztatásra.

107. A másikban az oxigén- és energiaellátás kiesése miatt az eredeti cél összeegyeztethetetlenné vált a legénység hazajuttatásával, így az emberek megmentése érdekében fel kellett adni azt a célállomást, amelyet el akartak érni.

108. A küldetés iránti hűség megkövetelheti a terv lezárását.

109. Ezt a tanulságot könnyű megfogalmazni a tények ismeretében, amikor az okok, a károk és a sikeres válaszlépések sorrendbe rendezhetők.

110. A repülés során a bizonyítékok apránként érkeztek, és a döntéseket a teljes magyarázatot megelőzően kellett meghozni.

111. A lényeg az volt, hogy az ideiglenes ítéletet elég konkrétan fogalmazzák meg ahhoz, hogy a következő megfigyelés megkérdőjelezhesse, ahelyett, hogy az első tervhez való ragaszkodás elnyomná minden új figyelmeztetést.

112. Az, hogy csak annyit mondunk, hogy a helyzet bizonytalan, nem segít sokat.

113. A legénységnek tudnia kell, melyik figyelmeztetés igényel figyelmet; a légiforgalmi irányítóknak pedig tudniuk kell, mit tudnak műszereik megállapítani és hol végződik a látóterük, hogy minden jelentés eljusson ahhoz, aki képes cselekedni az alapján.

114. Minden eljárásnak kell lennie egy felelősnek és egy kilépési pontnak.

115. Még így is előfordulhat, hogy az alternatíva kockázatokkal jár, és egy küszöbérték miatt alig marad idő a megfelelő reagálásra, mivel a visszatérő manőver maga is felemésztheti a már amúgy is szűkössé váló erőforrásokat.

116. A világos körülmények nem teremthetnek bizonyosságot, és nem állíthatják vissza a már felhasznált lehetőségeket.

117. Megmutathatják, miért folytatták az emberek a műveletet, miért változtattak irányt, és mely információkra alapozták ítéletüket, így a döntés vizsgálhatóvá válik anélkül, hogy azt állítanánk, minden következménye előre ismerhető volt.

118. Az Eagle leszállása során a számítógép tovább működött, miközben riasztásai döntést követeltek.

119. A válasz csak addig volt „indulás”, amíg a navigáció működött, a felszín leszállásra alkalmas maradt, és elegendő üzemanyag maradt ahhoz, hogy a legénység a látottak alapján cselekedhessen – ezeket a feltételeket a leszállás során kellett ellenőrizni, nem pedig előre igazolni.

120. Valódi tartalma abban a következő jelzésben rejlett, amely megváltoztathatta volna a döntést.

1. Der erste 1202-Programmalarm trat auf, als die Mondlandefähre von Apollo 11 am 20. Juli 1969 mit laufendem Triebwerk auf den Mond zusteuerte und es keine Möglichkeit gab, den Flug zu unterbrechen.

2. Neil Armstrong meldete dies an Houston.

3. Buzz Aldrin las denselben Code ab, während der Steuerungscomputer das Raumschiff weiter steuerte und die Mondoberfläche immer näher rückte, sodass kaum Zeit blieb, eine Warnung zu untersuchen, deren Ursache unbekannt war.

4. Armstrong bat Houston um eine Interpretation des Alarms – eine Anfrage, die das Cockpit allein anhand des Codes nicht klären konnte.

5. In der Missionskontrolle hatten die Fluglotsen nur Sekunden Zeit, um eine Computerwarnung, die eine Landung zuließ, von einer zu unterscheiden, die einen Abbruch erforderte, da der Triebwerk bereits den für beide Szenarien benötigten Treibstoff verbrauchte.

6. Die Antwort kam von Charlie Duke: Sie könnten weiterfliegen.

7. Diese Antwort identifizierte weder den Fehler, noch reparierte sie den Computer, noch machte sie den verbleibenden Sinkflug allein durch die Erklärung sicher.

8. Sie verband eine Warnung mit einem Zustand, der im weiteren Verlauf des Fluges in Richtung Oberfläche überprüft werden konnte.

9. Der Alarm signalisierte, dass der Computer überlastet war, aber die Fluglotsen konnten dennoch erkennen, dass die wesentlichen Navigationsfunktionen funktionierten.

10. Die Warnung war gerade deshalb ernst zu nehmen, weil diese Funktion so wichtig war.

11. Hätte der Computer die Fähigkeit verloren, den Sinkflug zu steuern, hätte eine noch einen Moment zuvor beobachtete, beruhigende Flugbahn kaum Schutz geboten, da das Modul dennoch abbremsen und eine Landefläche finden musste, auf der es landen konnte.

12. Die Entscheidung hing daher von den nächsten Messwerten ab, nicht nur von dem, was das Team bereits gesehen hatte.

13. Laut dem Missionsbericht der NASA traten innerhalb eines Zeitraums von etwa fünf Minuten fünf Programmalarme auf, doch sie ertönten nicht ununterbrochen.

14. Zwischen den einzelnen Alarmen führte der Computer weiterhin die für die Navigation erforderlichen Berechnungen durch.

15. Houston berechnete anhand dieser fünf Signale keine numerische Wahrscheinlichkeit für eine sichere Landung.

16. Es wurde geprüft, ob ein bestimmter Fehler einen bestimmten Schwellenwert überschritten hatte, während die Besatzung weiterhin in der Lage war, einen geplanten Abbruch durchzuführen, falls der weitere Sinkflug die Bedingungen für eine Landung nicht mehr erfüllte.

17. Dieser Unterschied ist nach einer erfolgreichen Landung leicht zu übersehen.

18. Zu diesem Zeitpunkt konnte niemand die bevorstehende Landung als Beweis dafür heranziehen, dass auch der nächste Alarm tolerierbar sein würde.

19. Eine vor dem Flug festgelegte Regel ermöglichte diese Beurteilung.

20. Dem Missionsbericht der NASA zufolge erforderten Alarme dieser Art nicht automatisch einen Abbruch des Sinkflugs, solange der Computer weiterhin ordnungsgemäß navigierte.

21. Diese Regel machte nicht jeden Alarm harmlos; sie legte fest, von welchen Anhaltspunkten die Fortsetzung des Fluges abhing.

22. Sie gab den Fluglotsen an, welcher beobachtete Zustand wichtiger war als das bloße Vorliegen eines Warncodes.

23. Auch die Ausbildung spielte eine Rolle, denn eine nützliche Regel muss erkannt und angewendet werden, bevor die verfügbare Zeit abläuft – insbesondere, wenn die Personen, die den Code ablesen, und diejenigen, die das Raumschiff steuern, nur über Funk miteinander verbunden sind.

24. Die Astronauten gaben den Code weiter, den sie sahen, und lieferten den Fluglotsen am Boden so eine präzise Warnung, die sie mit anderen Flugdaten abgleichen konnten.

25. Die Fluglotsen prüften die am Boden eintreffenden Flug- und Computerinformationen und gaben dann eine operative Empfehlung an die Besatzung zurück.

26. Die Software leistete einen weiteren Beitrag, der weniger sichtbar war als ein gesprochener Funkruf.

27. Ihre Prioritäten ermöglichten es, dass entscheidende Leitungsaufgaben fortgesetzt werden konnten, wenn Aufgaben mit niedrigerer Priorität die begrenzte Kapazität des Computers beanspruchten, wodurch die beobachtete Aufrechterhaltung der Navigation verständlicher wurde, als es in einem undifferenzierten System der Fall gewesen wäre.

28. Keine dieser Rollen konnte die anderen einfach ersetzen.

29. Eine in der Kabine angezeigte Warnung war keine vollständige Diagnose, und die Telemetriedaten in Houston konnten nicht jedes Detail des darunterliegenden Geländes zeigen, wo ein mechanisch einwandfreier Sinkflug dennoch schlimm enden konnte.

30. Jeder Beobachter hatte einen anderen Blickwinkel auf denselben Sinkflug.

31. Die Besatzung konnte sehen, was der Computer anzeigte, und später, was sich außerhalb der Fenster befand; Houston konnte die übermittelten Messwerte mit dem erwarteten Flugverhalten vergleichen, doch keine der beiden Seiten verfügte allein über ein vollständiges Bild.

32. Das „Go“ des Fluglotsen verband diese Teilperspektiven miteinander.

33. Es handelte sich um die Erlaubnis, die Bedingungen für die Landung weiter zu prüfen, nicht um ein Versprechen, dass keine neuen Umstände eine andere Entscheidung erzwingen würden, bevor das Modul die Oberfläche erreichte.

34. Deshalb war die vorbereitete Abbruchprozedur wichtig, auch wenn das Ziel weiterhin eine Landung war.

35. Ein Abbruch hätte seine eigenen Gefahren mit sich gebracht, bot jedoch eine definierte Reaktion für den Fall, dass das Raumschiff die Bedingungen für den Sinkflug nicht mehr erfüllte, solange noch genügend Zeit und Treibstoff zum Handeln vorhanden waren.

36. Ohne eine solche Reaktion wäre die Warnregel weniger wirksam.

37. Eine Bedingung, die erst erkannt werden kann, wenn es bereits zu spät ist, um zu handeln, ist eigentlich gar keine richtige Bedingung.

38. Die nach der Mission verfügbare Diagnose erzählt eine andere Geschichte als die, die zum Zeitpunkt des Alarms vorlag.

39. Die Ermittler führten die zusätzliche Computerbelastung auf Arbeiten im Zusammenhang mit dem Rendezvous-Radar zurück, das für die Wahl eines Landeplatzes nicht benötigt wurde, aber dennoch einen Teil der begrenzten Rechenkapazität beanspruchte.

40. Dieser Mechanismus erklärt die Alarme im Nachhinein.

41. Die Entscheidungsträger in Echtzeit konnten die Art der Überlastung erkennen und sicherstellen, dass die lebenswichtige Navigation weiterhin funktionierte, aber sie konnten noch nicht die gesamte Kette kennen, die dazu geführt hatte.

42. Ihre Zuversicht beruhte auf einer engeren Grundlage.

43. Sie stützte sich auf das beobachtbare Verhalten, die getesteten Prioritäten des Computers und eine Regel, die eine zeitweise auftretende Warnung von einem Ausfall der Steuerung unterschied – trotz der unbeantworteten Frage, was die Überlastung ausgelöst hatte.

44. Diese Anhaltspunkte beseitigten die Unsicherheit nicht.

45. Sie ermöglichten es jedoch, darzulegen, warum ein Fortfahren im Moment gerechtfertigt war und welche Anhaltspunkte diese Einschätzung schwächen würden, und gaben der Besatzung damit einen Grund, fortzufahren, ohne so zu tun, als sei das Warnsignal geklärt worden.

46. Selbst das Wort „Fortfahren“ kann irreführend sein, wenn es eine einmalige Entscheidung suggeriert, auf die passives Vertrauen folgt.

47. Das Raumschiff sank weiter ab, während sich die Messwerte änderten.

48. Jeder neue Messwert konnte die Arbeitshypothese bestätigen, sie in Frage stellen oder ein anderes Problem schaffen, das der Computeralarm nicht vorhergesehen hatte.

49. Eine Entscheidung, die offen für Korrekturen bleibt, ist immer noch eine Entscheidung.

50. Sie bindet die Menschen an einen Kurs, verbraucht Zeit und Treibstoff und verschiebt den Zeitpunkt, zu dem Alternativen genutzt werden können – selbst wenn sich alle einig sind, dass die Entscheidung möglicherweise revidiert werden muss.

51. Diese Kosten machen den Zeitpunkt einer Überprüfung wichtig.

52. Während eines bereits im Gange befindlichen motorisierten Abstiegs wäre es unmöglich gewesen, vor dem Weiterfliegen nach der Ursache jeder Warnung zu fragen, da eine Untersuchung am Boden weder den Motor noch die Uhr anhalten konnte.

53. Jede Warnung zu ignorieren hätte die Chance verspielt, ein ausfallendes System zu erkennen.

54. Die sinnvolle Frage war präziser: Was muss weiterhin zutreffen, damit dieser Abstieg fortgesetzt werden kann, und wer kann feststellen, wann dies nicht mehr der Fall ist?

55. Houston konnte das gemeldete Flugverhalten beobachten, doch die Besatzung musste auch Ereignisse interpretieren, die kein Telemetriekanal von selbst klären konnte – darunter die Frage, ob der Boden unterhalb der geplanten Flugbahn für die Landung geeignet war.

56. Als die Mondlandefähre tiefer kam, wurde das Zielgebiet sichtbar.

57. Armstrong sah, dass der geplante Landeplatz zu unebenem Gelände in der Nähe eines Kraters führte, wo große Felsen die Landung gefährdeten, obwohl das Landesystem offenbar noch seine Aufgabe erfüllte.

58. Die vom Computer berechnete Flugbahn mochte zwar korrekt sein, doch das Ziel war ungeeignet.

59. Dies war eine andere Unsicherheit als der Programmalarm, und sie veränderte die Vorgehensweise der Besatzung: Sie musste die Oberfläche direkt beurteilen und die Flugbahn ändern, bevor der verbleibende Treibstoff ihre Optionen weiter einschränkte.

60. Armstrong übernahm die manuelle Steuerung und begann, die Mondlandefähre an der gefährlichen Stelle vorbeizusteuern.

61. Nun wurde der Blick der Besatzung aus den Fenstern entscheidend – in einer Weise, die die Instrumentenanzeigen in Houston nicht ersetzen konnten.

62. Die Bodenstation beobachtete weiterhin die Zahlen, doch Höhe und Geschwindigkeit konnten keine Gewissheit über den Untergrund unter den Landebeinen geben.

63. Aldrin gab Höhe und Sinkgeschwindigkeit durch, während Armstrong nach einem Boden suchte, auf dem die Landebeine aufsetzen konnten, ohne gegen einen Felsbrocken zu stoßen, und teilte so die Arbeit zwischen gemessener Bewegung und sichtbarem Gelände auf.

64. Das Verlassen der ursprünglichen Stelle löste ein Problem, verschärfte aber ein anderes.

65. Jede Sekunde, die mit der Suche nach sichererem Gelände verbracht wurde, verbrauchte Treibstoff, der entweder für die Landung oder für den Abbruch des Versuchs benötigt werden könnte.

66. Die Warnung vor niedrigem Treibstoffstand kam während dieser Suche und gab der Besatzung neben der sinkenden Höhe eine weitere Zeitvorgabe.

67. Houstons Ruf „60 Sekunden“ markierte die verbleibende Zeit bis zu einem geplanten Entscheidungspunkt bezüglich des Treibstoffs, nicht einen gemessenen Countdown bis zum leeren Tank – ein Unterschied, der von Bedeutung ist, wenn die Entscheidung einen möglichen Abbruch beinhaltet.

68. Eine spätere Schätzung der tatsächlichen Reserve wich von den während des Fluges verfügbaren Warnangaben ab.

69. Die Bewegung des Treibstoffs im Tank erschwerte die Ablesung, sodass die spätere Rekonstruktion Armstrong zu diesem Zeitpunkt nicht zur Verfügung stand.

70. Er musste sich auf die Anzeige verlassen, die er erhielt.

71. Diese Anzeige schränkte die verfügbaren Optionen ein: entweder bald einen geeigneten Ort finden oder die verbleibende Kapazität für einen Abbruch nutzen – was wiederum ein Manöver erfordern würde, anstatt die Gefahr auf magische Weise zu beseitigen.

72. Der Computeralarm war nicht einfach deshalb als Problem vom Tisch, weil das Gelände und der Treibstoff nun mehr Aufmerksamkeit erforderten.

73. Seine Bedeutung hing davon ab, ob der Computer weiterhin die Arbeit verrichtete, die einen kontrollierten Sinkflug ermöglichte.

74. Ein funktionierender Computer war für den Flug nach wie vor wichtig, aber ein einwandfreier Computer konnte weder die Felsen abtragen noch den Tank wieder auffüllen, und der Erfolg auf einer Front gab keinen Anlass, die anderen zu vernachlässigen.

75. Jede Warnung stammte von einem anderen Mechanismus.

76. Hätte man sie als ein allgemeines Gefühl der Gefahr betrachtet, hätte dies den praktischen Unterschied zwischen der Überprüfung der Flugführung, dem Ausweichen vor Felsen und der Sicherung eines Ausstiegs verschleiert.

77. Die Mondlandefähre landete jenseits des ursprünglichen Ziels.

78. Das Ergebnis zeigt, dass die Besatzung und das Bodenteam diese sich ändernden Bedingungen bei diesem Flug erfolgreich bewältigt haben.

79. Es beweist nicht, dass der Alarm trivial war, dass die Treibstoffreserve großzügig bemessen war oder dass ein anderer Anflug unter demselben Druck und bei unvollständigen Informationen ebenso gut ausgegangen wäre.

80. Ergebnisse sind Beweise, aber sie kommen zu spät, um zu erklären, was ein Entscheidungsträger im Vorfeld verantwortungsvoll hätte behaupten können.

81. Eine faire Darstellung der Entscheidung muss die vor der Landung verfügbaren Informationen und die in jeder Phase noch möglichen Maßnahmen berücksichtigen.

82. Diese Darstellung muss zudem zwischen Befugnis und Information unterscheiden.

83. Houston konnte angesichts des Computeralarms die Fortsetzung des Fluges empfehlen; Armstrong steuerte das Raumfahrzeug, als der Landeplatz in Sicht kam.

84. Aldrin überwachte und meldete Messwerte, auf deren Verlust es sich keiner der beiden Partner leisten konnte, während sich die Aufmerksamkeit auf die Oberfläche verlagerte, und hielt Geschwindigkeit und Höhe im Gespräch präsent, während Armstrong nach einem Landeplatz suchte.

85. Die Software hielt Aufgaben mit hoher Priorität am Laufen.

86. Vorbereitete Verfahren ermöglichten eine Kursänderung, obwohl keine dieser Vorkehrungen einen gefahrlosen Abbruch oder eine gefahrlose Landung garantierte.

87. Diese Arbeitsteilung entzog niemandem die Verantwortung, indem sie diese auf mehrere Personen verteilte.

88. Sie machte die Verantwortung konkret: Jemand musste den Code interpretieren, jemand musste die Einschätzung mitteilen, und jemand musste das Raumschiff steuern, wenn neue Gefahren außerhalb der Fenster auftauchten.

89. Ihre Aufgaben trafen bei einer immer knapper werdenden Frist aufeinander, sodass auch ein fundiertes Urteil rechtzeitig im Cockpit eintreffen musste.

90. Eine gute Erklärung von Unsicherheit erfordert daher mehr als die bloße Feststellung, dass das Wissen unvollständig war.

91. Sie sollte darlegen, was unbekannt war, was noch beobachtet werden konnte, auf welcher Annahme die Entscheidung beruhte und wann diese Annahme ihre Gültigkeit verlieren würde, denn ein vages Eingeständnis von Zweifeln gibt niemandem ein verwertbares Signal für einen Kurswechsel.

92. Bei Apollo 11 konnte eine zeitweise auftretende Überlastung neben einer funktionierenden Navigation bestehen.

93. Eine beschädigte Steuerungsfunktion oder eine für das verbleibende Manöver zu geringe Treibstoffreserve hätte die Bedeutung von „Go“ verändert, selbst wenn dieselbe Besatzung und dieselben Fluglotsen weiterhin den Erfolg der ursprünglichen Mission angestrebt hätten.

94. Keine Regel konnte diese unterschiedlichen Zustände zu einem identischen Fall machen.

95. Apollo 13 offenbarte eine deutlichere Veränderung dessen, was die Mission vernünftigerweise anstreben konnte.

96. Die Besatzung war im April 1970 gestartet, um auf dem Mond zu landen, doch am 13. April versagte ein Sauerstofftank im Servicemodul, wodurch dem Kommandomodul die für den geplanten Flug benötigten Ressourcen entzogen wurden.

97. Warnleuchten und sinkender Sauerstoffdruck deuteten auf eine wachsende Gefahr für die Stromversorgung und die Lebenserhaltungssysteme hin.

98. Das genaue Ausmaß des Schadens war zunächst nicht bekannt.

99. Doch die Anzeichen untergruben bereits die für eine Mondlandung erforderlichen Voraussetzungen, sodass die Besatzung und die Fluglotsen dieses Ziel aufgaben, ohne auf eine vollständige Erklärung für den Ausfall des Tanks zu warten.

100. Sie verwandelten die Mondlandefähre in einen Schutzraum.

101. Die Bodenteams erarbeiteten eine Rückflugbahn und Möglichkeiten, die Systeme so zu nutzen, dass drei Menschen am Leben bleiben konnten, während das Raumschiff, das ursprünglich für einen kurzen Aufenthalt auf dem Mond vorgesehen war, eine viel längere Aufgabe übernahm.

102. Ein Manöver etwa fünf Stunden nach dem Unfall brachte das Raumschiff wieder auf einen Kurs, der es zur Erde führen konnte, doch die Navigation nach Hause und die Versorgung der Besatzung erforderten noch weitere Anstrengungen.

103. Die Besatzung kehrte am 17. April zurück.

104. Dieses Ergebnis kann die Gefahr, der sie ausgesetzt waren, ebenso wenig auslöschen, wie die Landung von Apollo 11 deren Warnsignale bedeutungslos machen kann; beide Schlussfolgerungen würden das Überleben mit Wissen verwechseln, das bereits im Vorfeld verfügbar war.

105. Die beiden Flüge stellen unterschiedliche Fragen an dieselbe Art von Urteilsvermögen.

106. Im einen Fall ließ ein beunruhigendes Signal die wesentlichen Voraussetzungen für das ursprüngliche Ziel unberührt, zumindest solange, wie das Team diese überprüfen konnte und noch die Chance hatte, seinen Kurs zu ändern.

107. Im anderen Fall machte der Verlust von Sauerstoff und Energie das ursprüngliche Ziel unvereinbar mit der Rückkehr der Besatzung zur Erde, sodass die Rettung der Menschen erforderte, das angestrebte Ziel aufzugeben.

108. Die Treue zu einer Mission kann es erfordern, ihren Plan zu beenden.

109. Diese Lehre lässt sich im Nachhinein leicht formulieren, wenn Ursachen, Schäden und erfolgreiche Reaktionen geordnet dargestellt werden können.

110. Während des Fluges trafen die Erkenntnisse nur bruchstückhaft ein, und Entscheidungen mussten einer vollständigen Erklärung vorausgehen.

111. Die entscheidende Disziplin bestand darin, die vorläufige Einschätzung so konkret zu formulieren, dass sie durch die nächste Beobachtung in Frage gestellt werden konnte, anstatt zuzulassen, dass die Bindung an den ursprünglichen Plan jede neue Warnung überlagert.

112. Nur zu sagen, dass eine Situation ungewiss ist, bringt wenig.

113. Eine Besatzung muss wissen, welche Warnung Aufmerksamkeit erfordert; Fluglotsen müssen wissen, was ihre Instrumente anzeigen können und wo ihre Sicht endet, damit jede Meldung jemanden erreicht, der darauf reagieren kann.

114. Ein Verfahren braucht einen Verantwortlichen und einen Ausweg.

115. Selbst dann kann die Alternative Risiken bergen, und eine Schwelle lässt möglicherweise wenig Zeit für eine saubere Reaktion, da ein Rückmanöver selbst die Ressourcen verbrauchen kann, die gerade knapp werden.

116. Klare Bedingungen können keine Gewissheit schaffen oder bereits verbrauchte Optionen wiederherstellen.

117. Sie können aufzeigen, warum Menschen weitergemacht haben, warum sie den Kurs geändert haben und auf welche Informationen sich ihr Urteil stützte, wodurch die Entscheidung einer Überprüfung zugänglich wird, ohne zu behaupten, dass alle ihre Folgen vorhersehbar waren.

118. Während des Sinkflugs der „Eagle“ arbeitete der Computer weiter, während seine Alarme eine Entscheidung verlangten.

119. Die Antwort lautete „Weiter“ nur solange, wie die Navigation funktionierte, die Oberfläche landbar blieb und genügend Treibstoff vorhanden war, um auf das zu reagieren, was die Besatzung sah – Bedingungen, die während des Sinkflugs geprüft werden mussten, anstatt im Voraus bestätigt zu sein.

120. Ihr eigentlicher Inhalt lag in dem nächsten Signal, das sie hätte ändern können.