26 сентября 1983 года подполковник Станислав Петров нёс дежурство на командном пункте Серпухов-15. Была ночь, 0:14. Система раннего предупреждения зафиксировала старт американской баллистической ракеты. Потом ещё одной. Потом ещё трёх.
По инструкции он должен был немедленно доложить наверх. Петров не доложил. Решил, что датчик ошибся. Оказался прав: советский спутник «Oкo» принял отражение солнечного света от облаков за факел двигателя МБР.
«Периметр» в тот момент проходил испытания. Петров работал с другой системой. Прямой связи между ними не было. Но именно такие случаи были перед глазами у конструкторов, когда они принимали решение оставить в «Периметре» живого офицера.
Зачем человек, если машина надёжнее
Идея полной автоматизации ответного удара выглядит рационально. Машина не боится. Не колеблется. Реагирует за секунды, не дожидаясь командования, которого уже нет.
Если главная задача «Периметра» состоит в том, чтобы гарантировать удар возмездия при уничтоженной командной вертикали, то живой офицер выглядит слабым звеном. Физически уязвимым. Тем, кого можно поразить вместе с командными пунктами в первом эшелоне.
Почему тогда конструкторы его оставили?
Проблема, которую датчики не решают сами
Ядерный взрыв оставляет одновременно несколько физических следов: сейсмическую волну, электромагнитный импульс, радиационный фон, тепловую вспышку. Датчики фиксируют каждый из них. Проблема в том, что каждый из них встречается и без ядерного взрыва: сейсмические сигналы от землетрясений, электромагнитный импульс от гроз, тепловые вспышки от пожаров или, как у Петрова, от отражения солнца от облаков.
При реальном ядерном ударе все сигналы приходят одновременно и в конкретной комбинации. Но полный автомат не знает, достаточно ли этой комбинации для запуска. Он получил набор показаний. Решение о том, что они означают, требует суждения, а не вычисления.
Брюс Блэр в книге «The Logic of Accidental Nuclear War» (1993) зафиксировал: ложные тревоги были главным кошмаром систем предупреждения с обеих сторон на протяжении всей холодной войны. Проблема была системной. В США в 1979 году NORAD получил сигнал о массированном советском ударе: причиной оказался компьютерный сбой. В 1980 году история повторилась из-за дефектного чипа стоимостью 46 центов.
Мне попался у Блэра ещё один факт: до подтверждения ложной тревоги 1979 года у дежурных офицеров оставалось несколько минут, и за это время они прошли несколько уровней ручной проверки. Автомат прошёл бы их за секунды.
Что происходит, если эти секунды оказываются последними перед запуском?
Что Ярынич говорил о принципе
Валерий Ярынич был среди разработчиков «Периметра». Не наблюдателем. В книге «C3: Nuclear Command, Control, Cooperation» (2003) он последовательно утверждал: конструкторы намеренно оставили человека в петле принятия решения. Не из-за технических ограничений эпохи. Из принципа.
При полной автоматизации любого ложного сигнала достаточно, чтобы запустить реальный ответный удар на несуществующий первый. Это не теория. Человек в бункере берёт на себя функцию фильтра: он единственный элемент системы, способный отличить землетрясение от ядерного взрыва по совокупности контекста, а не только по показаниям приборов.
Был и второй аргумент, доктринального характера. Советская военная доктрина не предусматривала передачи права на применение ядерного оружия полностью автоматическому устройству. Человек в цепи принятия решения был требованием, а не компромиссом. Ярынич называл это не ограничением, а осознанной позицией.
Кто тогда вправе принять это решение, если командование уничтожено?
Алгоритм офицера: три вопроса вместо одной кнопки
Дежурный офицер в бункере «Периметра» отвечает на три вопроса. Первый: видят ли датчики признаки ядерного удара. Второй: молчат ли каналы связи с командованием. Третий: соответствует ли совокупность этих данных картине реального удара, а не случайного совпадения. Последнее невозможно вычислить. Его можно только оценить.
Только при утвердительном ответе на все три офицер активирует систему. После этого она работает без него: командные ракеты уходят по рассчитанным траекториям и транслируют сигнал запуска выжившим МБР по всей территории страны.
Я несколько раз возвращался к этому алгоритму у Ярынича, прежде чем понял, где именно находится граница. Датчик фиксирует событие. Офицер интерпретирует его в контексте всего, что знает о текущей обстановке. В чём именно состоит эта разница?
Суть вот в чём: датчик не знает разницы между Петровым и войной. Офицер знает.
Почему полуавтомат на самом деле устойчивее
Здесь есть парадокс, который стоит сформулировать явно.
Система с человеком кажется ненадёжнее: его можно убить, его бункер поразить, его оснащение вывести из строя. Это кажется слабостью. Система без человека выглядит абсолютной: нечего убивать, нечего запугивать, ничего не останавливает.
Но именно это и делает полный автомат опасным. Не потому что он может промолчать в нужный момент. Чем это грозит? Он запустит и реальный ответный удар, и реакцию на ложную тревогу с одинаковой уверенностью.
«Периметр» с офицером работает иначе. Чтобы система сработала ошибочно, нужно одновременно обмануть датчики, каналы связи и суждение живого человека. Это принципиально более высокий порог, чем одиночный ложный сигнал.
По логике, которую Ярынич последовательно отстаивал в книге: задержку ответного удара можно компенсировать. Ошибочный запуск не компенсируется. Значит, офицер в бункере служит не слабым звеном, а условием, при котором система остаётся оружием, а не источником новой угрозы.
Машина, которая умеет останавливаться
Принято говорить о «Мёртвой руке» как о системе, которая ведёт войну без людей. На самом деле конструкторы «Периметра» остановили автоматизацию именно в той точке, где она становилась опаснее проблемы, которую решала.
Офицер в бункере не стал компромиссом с технологиями 1970-х. Это принципиальная граница. До неё: машина. После неё: человек, который понимает разницу между землетрясением и ядерным взрывом, между геомагнитной бурей и атакой.
Они строили не самое быстрое оружие. Они строили оружие, которое не выстрелит по ошибке.
Статья опирается на книги Ярынича и Блэра, а также на открытые материалы об инциденте Серпухов-15. Петров и «Периметр» развивались параллельно, без прямой связи: Петров работал с другой системой, его решение было самостоятельным. Здесь он использован как иллюстрация проблемы ложной тревоги, которую конструкторы «Периметра» решали независимо. Если у вас есть архивные источники, уточняющие описанный алгоритм принятия решения, поправьте меня в комментариях: такие уточнения ценнее любого дополнительного источника. Для тех, кому интересен этот формат разбора советских инженерных решений, следующие материалы будут здесь.