Master Alarm! Quanto può essere difficile atterrare sulla Luna con degli astronauti?

Il primo allunaggio

Si immagini di vestire, per un momento, i panni di Neil Armstrong, l’astronauta al comando della missione Apollo 11 che insieme a Buzz Aldrin è atterrato sul suolo lunare per primo [4]. Si immagini di essere ormai vicini al momento più importante della missione: l’atterraggio presso il cosiddetto Mare Tranquillitatis. A 102 ore e mezzo dal decollo, Neil Armstrong si trova con Buzz Aldrin nel Lunar Excursion Module, il veicolo denominato Eagle che gli consentirà di atterrare. I preparativi per il PDI (Power Descent Initiation) occupano le menti dei due astronauti, che hanno anche gravi problemi di comunicazione con il Controllo Missione. Nonostante le difficoltà, il Controllo Missione dà finalmente il segnale che Neil e Buzz attendevano: We are Go for PDI! Mark. 3:30 ‘til ignition! A questo punto i due astronauti sono autorizzati a iniziare la discesa al suolo lunare. L’eccitazione è palpabile nell’abitacolo, ma la concentrazione necessaria a mantenere tutto sotto controllo è grande. Ed ecco che dopo 102 ore e 33 minuti dal decollo, Armstrong, con voce calma e sicura, comunica l’accensione del motore: Ignition! Tutto sembra procedere correttamente. Ma dopo appena cinque minuti dall’accensione del motore, ecco che si accende la spia che Neil Armstrong non avrebbe mai voluto vedere: MASTER ALARM! Armstrong, con un tono di urgenza, segnala immediatamente al Controllo Missione: Program Alarm! Aldrin, accanto ad Armstrong, esclama It’s a twelve-O’-two, ovvero 1202, e richiede informazioni al Controllo Missione al riguardo: non aveva mai visto, nonostante le intense sessioni di simulazione a Terra, un allarme 1202. Questo momento dev’essere stato raggelante per i due astronauti a bordo del LEM. Si può solo cercare di immaginare le domande che affollavano la loro mente: quale sarà la risposta del Controllo Missione? Siamo Go oppure siamo No Go per l’atterraggio? Riusciremo comunque ad atterrare sulla superficie lunare? Oppure dovremo lanciare il comando ABORT? Ed ecco la voce del CAPCOM risuonare nelle loro orecchie: Roger. We got you...We are Go on that alarm! Un sospiro di sollievo nell’abitacolo: il viaggio verso il suolo lunare continua! Durante la discesa, però, la spia MASTER ALARM si accenderà altre 4 volte! In totale gli astronauti fronteggeranno 4 allarmi 1202 ed un allarme 1201 durante tutta la discesa al suolo lunare, mentre si occupavano di tenere sotto controllo la loro posizione e la loro velocità rispetto alla superficie, la quantità di carburante rimasta e la possibilità pratica di atterrare. Alla fine, come tutti sappiamo, la navicella Eagle riuscirà ad atterrare ai margini di un grande cratere proprio mentre il carburante nei serbatoi era ormai agli sgoccioli. Ma come mai si verificarono così tanti allarmi durante la discesa? Scopriamolo insieme!

Apollo Guidance Computer

Prima di raccontare le ragioni che hanno portato Neil Armstrong e Buzz Aldrin a dover far fronte a tutti questi allarmi durante la loro discesa verso il suolo lunare, è necessario descrivere, in maniera breve e sommaria, il computer di cui gli astronauti si servivano a bordo del Modulo di Comando e del LEM per compiere al meglio le varie fasi della missione: l’Apollo Guidance Computer [5], spesso abbreviato in AGC. Per prima cosa è il caso di osservare che l’AGC non è paragonabile a nessuno dei moderni computer che affollano le nostre vite, che siano laptop o smartphone. La potenza di calcolo di questi moderni dispositivi è sicuramente superiore all’AGC, ma il loro scopo, ovvero le mansioni per cui sono stati progettati, è profondamente diverso dall’AGC. Le missioni Apollo erano molto complicate e articolate in numerose fasi: hanno di fatto reso necessaria l’esistenza di un computer che potesse gestire in tempo reale, o quasi, tutti i vari strumenti per misurare l’assetto delle navicelle, la loro velocità, la loro posizione, e che potesse inviare e ricevere dal Controllo Missione tutta una miriade di dati importantissimi e vitali per il buon esito della missione. Questo rende l’AGC una macchina davvero potente, nonostante i limiti delle sue componenti fisiche, all’epoca di nuovissima concezione. Dunque, come funzionava, a grandi linee, l’AGC? Una risposta possibile è: in maniera molto simile a un computer moderno. Il dispositivo dal quale siete connessi a questo sito, mentre voi leggete questo articolo, si occupa di garantire il funzionamento di tanti altri programmi. Ad esempio, mentre leggete l’articolo, state ascoltando musica da un’altra applicazione, avete dei documenti di testo aperti con Word e magari un browser connesso alla vostra email. Il vostro computer ha la potenza di calcolo necessaria per gestire simultaneamente tutte queste attività. L’AGC mirava a dare agli utenti l’impressione di far procedere simultaneamente i vari programmi lanciati, proprio come un computer moderno, ma non eseguiva più programmi contemporaneamente: ogni programma veniva eseguito secondo una sequenza programmata, che era possibile interrompere in caso vi fossero altri programmi più urgenti da dover eseguire con assoluta necessità. La velocità di esecuzione dell’AGC dà, appunto, l’impressione di simultaneità. Operativamente, come faceva l’AGC a mettere uno dopo l’altro, secondo uno schema logico di priorità, i vari programmi che era chiamato a eseguire? Mediante delle particolari memorie dove i dati potevano essere immagazzinati. Nel Modulo Lunare esistevano sette di queste particolari memorie con 12 “caselle” da riempire: cinque di queste caselle potevano essere riempite con gli ordini di priorità richiesti per i vari programmi, con la posizione nei banchi di memoria di altri dati e con altre tipologie di dati necessari al funzionamento del computer, ed erano note con il nome di Vector Accumulator o, in breve, VAC Area; le sette caselle rimanenti potevano essere occupate con dati da conservare solo temporaneamente ed erano chiamate Multipurpose Accumulator o, in breve, MPAC. Queste memorie venivano gestite dal primo vero e proprio sistema operativo, chiamato Executive. L’Executive gestiva l’ordine di esecuzione dei vari programmi, cercando di inserire il nuovo programma da eseguire in una delle caselle precedentemente citate. Una volta scelta la casella, l’Executive non faceva altro che decidere il livello di priorità del programma, se eseguirlo subito oppure attendere che altri processi venissero terminati, secondo l’ordine precedentemente stabilito. Il sistema era progettato per avere sempre una casella libera dove inserire la routine successiva da eseguire, in modo da garantire sempre un funzionamento regolare del computer. Se, per qualche ragione, tutte le caselle disponibili fossero occupate al momento dell’inserimento di un nuovo programma nella coda di esecuzione, il computer è progettato per cristallizzare il suo stato di funzionamento in una memoria apposita per poi eseguire un riavvio; tutta la procedura garantisce che i dati vitali per gli astronauti vengano comunque erogati correttamente e che il computer si riavvii in un tempo talmente breve da non essere rilevabile all’essere umano. Ecco, ora abbiamo tutti gli strumenti per capire gli errori 1202 e 1201!

Master Alarm!

Ora, indossiamo di nuovo la tuta spaziale ed entriamo di nuovo nell’Eagle, con il suo equipaggio che si prepara all’atterraggio. Neil Armstrong e Buzz Aldrin, come previsto, attivano il radar per il rendez-vous per tracciare la posizione del Modulo di Comando [6], denominato Columbus e affidato alle esperte mani del terzo astronauta impegnato nella missione Apollo 11, ovvero Michael Collins [7], che in caso di emergenza doveva essere raggiunto nel più breve tempo possibile dal LEM. La modalità di funzionamento prescelta era denominata SLEW, per cui il radar veniva operato manualmente da un astronauta e non inviava alcun dato al computer. Tuttavia, nessuno degli astronauti o dei tecnici a Terra era consapevole del fatto che il radar, che era comunque in grado di dialogare con il computer, stava inviando un numero cospicuo di segnali di interruzione all’AGC. Questi segnali, pur non essendo onerosi per il processore dell’AGC, impedivano che le routine fondamentali per l’atterraggio, già programmate per l’esecuzione, venissero correttamente completate. Per questo motivo, tutti i programmi continuavano a occupare le caselle di esecuzione e nessuna poteva essere liberata per eseguirne di nuovi. Alla fine l’Executive, quando ha ricevuto l’ordine di eseguire un nuovo programma, non trovò nessuna casella libera dove collocarlo e segnalò, tramite l’allarme 1202, che il computer si era riavviato a causa di questo problema. In particolare, l’allarme 1202 indicava l’assenza di VAC Areas (quelle cinque caselle delle 12 totali) a disposizione, mentre l’allarme 1201 indicava l’assenza di un banco dati con 12 caselle libere. Come detto in precedenza, non appena uno di questi segnali di allarme veniva lanciato, il sistema cancellava tutti i processi in atto, indipendentemente da quanto fossero essenziali per gli astronauti, ma era in grado di farli ripartire rapidamente, così da non perdere nessun dato fondamentale per la navigazione. Per cinque volte durante la procedura di allunaggio si verificò esattamente questo, e ogni volta il radar per il rendez-vous continuava a lanciare i suoi segnali di interruzione al computer, causando ancora un suo sovraccarico! Già dopo il secondo allarme, tuttavia, Buzz Aldrin notò che c’era una correlazione tra il comando necessario per conoscere la distanza dal sito di atterraggio e la velocità del LEM (per gli amanti dei dettagli, il comando era Verb 16 Noun 68) e l’allarme 1202: ogni volta che Aldrin lanciava questo comando, il computer rispondeva con la spia del MASTER ALARM. La soluzione attuata fu quella di cercare di non pesare più di tanto sull’AGC e di far arrivare i dati necessari dal Controllo Missione, mentre i tecnici riuscirono subito a capire che questi allarmi non avrebbero pregiudicato l’allunaggio. L’AGC, infatti, si comportò esattamente come previsto, e gli astronauti furono in grado di far atterrare il loro LEM con successo.

Conclusione

Durante l’addestramento, Neil Armstrong e Buzz Aldrin non ebbero la possibilità di sperimentare gli effetti di un errore come il 1202 o il 1201. La loro risposta fu eccezionale, tenendo conto del fatto che i vari MASTER ALARM lanciati dall’AGC giunsero in momenti davvero cruciali. Non venne lanciato il comando ABORT per annullare l’atterraggio per una semplice ragione: non era necessario. Inoltre, il Controllo Missione elaborò prontamente una risposta per gli astronauti, e comprese che questi allarmi non indicavano nessun tipo di perdita di capacità operativa e diede opportunamente il Go per l’allunaggio! In una situazione così drammatica, è stato davvero un atteggiamento provvidenziale, che denota il livello altissimo di addestramento per gli astronauti e i tecnici del Controllo Missione [8].