【ITニュース解説】The Apollo 11 Landing Computer Wasn’t Flawless. It Was Built to Fail Gracefully.

アポロ11号の月着陸は人類史上最大の偉業の一つだが、その成功の影には、予想外の事態に直面しながらもミッションを完遂させた、当時の最先端コンピュータ技術の存在があった。月着陸船に搭載されたアポロ誘導コンピュータ（AGC）は、現代の視点から見れば非常に限られた処理能力しか持たないものだったが、その設計思想は現代のシステムエンジニアリングにも通じる重要な教訓を含んでいる。それは、コンピュータが「完璧ではない」ことを前提とし、「優雅に失敗する」ように構築されていたという点だ。

AGCは、月着陸のまさにその瞬間に、複数のプログラムアラームを発生させた。これは、コンピュータが処理能力の限界に達し、システムに何らかの問題が発生していることを示す警告だった。具体的には、「1201」や「1202」といったエラーコードが表示され、これはコンピュータが「オーバーロード状態にある」ことを意味する。月着陸の最終段階で、着陸レーダーが予期せぬ大量のデータをAGCに送り続けていたことが原因だった。この追加処理が、既に多くのタスクを抱えていたAGCの負担を大幅に増やしてしまったのである。もし現代のコンピュータであれば、フリーズしたりクラッシュしたりする可能性が高い状況だった。

しかし、AGCは稼働を停止することはなかった。その鍵となったのが「再起動保護」という設計思想である。AGCは、エラーを検知した際に、システム全体を停止させるのではなく、現在実行中のプログラムを中断し、最も重要なタスクを優先して再開するように設計されていた。これは、システムの一部が問題を起こしても、全体が機能停止に陥ることを防ぐための仕組みだ。たとえ一時的に機能が停止しても、すぐに重要な処理を再開できることで、ミッションの継続性を確保した。エラーが発生するたびにAGCは短い時間停止したが、その直後には重要な処理が再開されたため、宇宙飛行士は着陸操作を続けることができた。この再起動保護がなければ、アポロ11号の月面着陸は成功しなかっただろう。

もう一つの重要な仕組みが「優先度スケジューリング」である。AGCは、複数のプログラムやタスクを同時に処理する能力を持っていたが、それぞれのタスクにはあらかじめ優先順位が設定されていた。例えば、月面着陸においては、船体の姿勢制御、エンジンの噴射計算、高度・速度の計算など、ミッションの成功に直結するタスクが最優先される。一方で、着陸レーダーからのデータ処理や、宇宙飛行士への情報表示といったタスクは、それよりも低い優先順位が与えられていた。

月降下中にシステムがオーバーロード状態に陥った際、AGCはこの優先度スケジューリングの仕組みによって、低い優先度のタスクを一時的に停止させ、高い優先度のタスクに処理能力を集中させた。着陸レーダーからのデータ処理が過負荷の原因だったが、AGCは優先度の低いそのタスクを中断することで、着陸に不可欠な飛行制御タスクの実行を継続させたのだ。これにより、コンピュータは限られたリソースの中で、最も重要な機能が常に動作し続けることを保証し、宇宙飛行士は着陸を完了することができた。

これらの設計は、現代のシステムエンジニアリングにおいても非常に重要な考え方となる。完璧なシステムは存在せず、必ずどこかで不具合や予期せぬ事態が発生する可能性がある。そのため、システムを設計する際には、障害が発生した際にどのように対応し、いかにして重要な機能を維持し続けるかという「フォールトトレラント（耐障害性）」な視点が不可欠となる。アポロ11号のAGCは、約半世紀も前に、このフォールトトレラント設計の概念を具現化し、歴史的な偉業を支えたのだ。システムエンジニアを目指す皆さんにとって、この「優雅に失敗する」設計思想は、現代のあらゆるシステム開発に応用できる普遍的な原則として、常に心に留めておくべき教訓だと言えるだろう。