Незадокументированная ошибка обнаружена в коде бортового компьютера Apollo 11 с использованием искусственного интеллекта и языка спецификаций.

Обнаружение ошибки в одном из наиболее изученных кодов в истории

Код компьютера Apollo Guidance (AGC) находится в открытом доступе с 2003 года, будучи перепечатанным с распечаток из Лаборатории приборов MIT. В 2016 году репозиторий Криса Гарри на GitHub стал вирусным, и тысячи разработчиков изучили этот ассемблерный код, работающий на оборудовании с 2 КБ стираемой оперативной памяти и тактовой частотой 1 МГц. Несмотря на такое внимание, до сих пор не было опубликовано ни одного формального верификационного анализа, проверки моделей или статического анализа полётного кода.

Ошибка: Утечка блокировки ресурса в управлении гироскопом

Ошибка находится в подсистеме инерциального измерительного блока (IMU), который управляет платформой на основе гироскопов, сообщающей космическому кораблю, куда он направлен. AGC управляет IMU через общую блокировку ресурса под названием LGYRO. Когда компьютеру нужно создать крутящий момент на гироскопах (чтобы скорректировать дрейф платформы или выполнить наведение по звёздам), он захватывает LGYRO в начале и освобождает его, когда все три оси были подвергнуты воздействию момента.

Проблема возникает во время 'кейджинга' — аварийной меры, при которой физический зажим фиксирует кардановы подвесы IMU на месте, чтобы защитить гироскопы от повреждений. Когда крутящий момент завершается нормально, процедура завершается через STRTGYR2, и блокировка LGYRO снимается. Но когда IMU зафиксирован во время выполнения операции создания момента, код завершается через процедуру под названием BADEND, которая не снимает блокировку.

Отсутствуют две инструкции: CAF ZERO TS LGYRO — всего четыре байта. Как только LGYRO застревает, каждая последующая попытка создать момент на гироскопах обнаруживает, что блокировка удерживается, переходит в режим ожидания сигнала пробуждения, который никогда не поступит, и зависает. Это отключило бы точное наведение, компенсацию дрейфа и ручное создание момента на гироскопах.

Как это было обнаружено: ИИ и поведенческие спецификации

Исследователи использовали Claude и Allium, их язык поведенческих спецификаций с открытым исходным кодом, чтобы преобразовать 130 000 строк ассемблерного кода AGC в 12 500 строк спецификаций. Спецификация моделирует жизненный цикл каждого общего ресурса: когда он захватывается, когда должен быть освобождён и по каким путям. Этот подход выявил изъян, который был упущен при чтении и эмуляции.

Спецификации были получены из самого кода, и процесс напрямую указал на дефект. Это представляет собой иной подход по сравнению с предыдущими исследованиями, которые были сосредоточены на чтении кода, эмуляции кода и проверке транскрипции.

Исторический контекст и потенциальное влияние

21 июля 1969 года, пока Нил Армстронг и Базз Олдрин гуляли по лунной поверхности, Майкл Коллинз находился на орбите один в командном модуле «Колумбия». Каждые два часа он исчезал за Луной, теряя радиосвязь с Землёй. Во время каждого пролёта он запускал Программу 52 — наведение по звёздам, которое удерживало навигационную платформу направленной в правильную сторону. Если бы платформа отклонилась, двигательный импульс для возвращения домой был бы направлен неверно.

Ошибка могла бы проявиться, если бы Коллинз случайно активировал переключатель фиксации, пока компьютер создавал момент на гироскопах. Код корректно обработал бы это, обнаружив фиксацию, прервав создание момента и завершив работу — но наведение по Программе 52 провалилось бы, и навигационная платформа могла бы потерять свою ориентацию.