Undokumentierter Fehler im Apollo-11-Lenkcomputercode mithilfe von KI und Spezifikationssprache gefunden

Einen Fehler in einem der am gründlichsten geprüften Codebasen der Geschichte finden

Der Code des Apollo Guidance Computers (AGC) ist seit 2003 öffentlich zugänglich, transkribiert aus gedruckten Listen des MIT Instrumentation Laboratory. Im Jahr 2016 wurde Chris Garrys GitHub-Repository viral, und Tausende von Entwicklern haben diesen Assembler-Code untersucht, der auf Hardware mit 2 KB löschbarem RAM und einem 1-MHz-Takt läuft. Trotz dieser gründlichen Prüfung gab es bis jetzt keine formale Verifizierung, Modellprüfung oder statische Analyse des Flugcodes.

Der Fehler: Ein Ressourcensperrverlust in der Gyroskopsteuerung

Der Fehler liegt im Inertial Measurement Unit (IMU)-Subsystem, das die gyroskopbasierte Plattform verwaltet, die dem Raumfahrzeug mitteilt, in welche Richtung es zeigt. Der AGC verwaltet die IMU über eine gemeinsame Ressourcensperre namens LGYRO. Wenn der Computer die Gyroskope drehen muss (um Plattformdrift zu korrigieren oder eine Sternausrichtung durchzuführen), erwirbt er LGYRO am Anfang und gibt sie frei, wenn alle drei Achsen gedreht wurden.

Das Problem tritt während des 'Caging' auf – einer Notfallmaßnahme, bei der eine physische Klemme die Gelenke der IMU feststellt, um die Gyroskope vor Schäden zu schützen. Wenn das Drehen normal abgeschlossen wird, verlässt die Routine über STRTGYR2 und die LGYRO-Sperre wird gelöscht. Aber wenn die IMU während eines Drehvorgangs festgestellt wird, verlässt der Code über eine Routine namens BADEND, die die Sperre nicht löscht.

Es fehlen zwei Befehle: CAF ZERO TS LGYRO – nur vier Bytes. Sobald LGYRO hängen bleibt, findet jeder nachfolgende Versuch, die Gyros zu drehen, die Sperre aktiv, schläft beim Warten auf ein Wecksignal, das nie kommt, und hängt sich auf. Dies würde die Feinausrichtung, Driftkompensation und manuelle Gyro-Drehung deaktivieren.

Wie er gefunden wurde: KI und Verhaltensspezifikationen

Die Forscher nutzten Claude und Allium, ihre Open-Source-Verhaltensspezifikationssprache, um 130.000 Zeilen AGC-Assembler in 12.500 Zeilen Spezifikationen zu destillieren. Die Spezifikation modelliert den Lebenszyklus jeder gemeinsamen Ressource: wann sie erworben wird, wann sie freigegeben werden muss und auf welchen Pfaden. Dieser Ansatz brachte einen Fehler ans Licht, den Lesen und Emulation übersehen hatten.

Die Spezifikationen wurden aus dem Code selbst abgeleitet, und der Prozess wies direkt auf den Defekt hin. Dies stellt einen anderen Ansatz dar als frühere Prüfungen, die sich auf das Lesen des Codes, das Emulieren des Codes und die Überprüfung der Transkription konzentrierten.

Historischer Kontext und mögliche Auswirkungen

Am 21. Juli 1969, während Neil Armstrong und Buzz Aldrin auf der Mondoberfläche liefen, umkreiste Michael Collins allein im Kommandomodul Columbia. Alle zwei Stunden verschwand er hinter dem Mond, außerhalb des Funkkontakts mit der Erde. Während jedes Durchgangs führte er Programm 52 aus, eine Sternbeobachtungsausrichtung, die die Führungsplattform in die richtige Richtung zeigte. Wenn die Plattform driftete, würde der Triebwerksschub, um ihn nach Hause zu bringen, in die falsche Richtung zeigen.

Der Fehler hätte auftreten können, wenn Collins versehentlich den Feststellschalter betätigt hätte, während der Computer die Gyroskope drehte. Der Code würde dies elegant handhaben, indem er die Feststellung erkennt, das Drehen abbricht und beendet – aber die P52-Ausrichtung würde scheitern, und die Führungsplattform könnte ihre Referenz verlieren.