Глава 2
Управление и контроль
Предотвращение катастрофы
В RAND, учитывая свою долгую специализацию на теории принятия решений, я выбрал область, которая казалась на тот момент недостаточно проработанной и в то же время важной: управление ядерными силами ответного удара высшим командным составом и особенно президентом.
Большинство моих коллег занимались исследованием уязвимости стратегических систем ядерного оружия, баз и транспортных средств, а также возможностей ее уменьшения. Я присоединился к небольшой группе, которая изучала проблему уязвимости и надежности «нервной системы» вооруженных сил: командных пунктов, процессов информирования и принятия решений на разных уровнях, средств связи, систем предупреждения и сбора разведданных.
По широко распространенному мнению решение о том, при каких условиях и когда отдавать команду на применение американского ядерного оружия против Советского Союза, должен был принимать президент или другой выживший высший представитель власти. Процедуры принятия такого решения и его исполнения были конкретными вопросами, которые требовали знания сугубо секретной информации. Так вот, мне поручили исследовать именно эту проблему управления не только ввиду ее очевидной важности, но и в силу прямой связи со всем, что я анализировал в своей аспирантской работе по принятию решений в условиях неопределенности. Речь шла о неординарном и, вполне возможно, последнем решении руководителя страны, принимаемом в условиях неопределенности.
Более того, при первом знакомстве с ключевым исследованием R-290 «Защита потенциала США по нанесению ответного удара в 1950-е и 1960-е гг.» мне бросилось в глаза слово, которое было в центре моих собственных раздумий в Гарварде в том году: «неоднозначность». В исследовании, одним из основных авторов которого был Альберт Уолстеттер наряду с Гарри Роуэном и Фредом Хоффманом, отмечалось, что некоторые наши планы зависели от наличия «стратегического» предупреждения о неизбежном нападении противника – разведывательных данных, полученных до пуска вражеских ракет.
«Однако планирование на основе стратегического предупреждения опасно, и это нельзя недооценивать… Если мы хотим быть реалистичными и точными до наступления события, то самое большее, что можно сказать в ответ на вопрос “Намереваются ли Советы атаковать нас?”, это “Возможно”. А ответы на другие важные вопросы “Когда?” и “Где?” еще более неоднозначны… На самом деле вопрос заключается не в том, с каким упреждением мы получим эти сигналы, а в том, насколько однозначными они будут. Мы можем твердо утверждать, что они будут неоднозначными… Неоднозначность стратегического предупреждения усложняет проблему принятия решения».
Никакая иная формулировка проблемы принятия решения (самого важного в истории человечества!) не могла привлечь мое внимание сильнее, чем эта. «Неоднозначность» – это не тот термин, который использовался тогда в академических спорах о риске и неопределенности. Мне было особенно странно видеть его в секретном исследовании по той причине, что я как раз занимался внедрением в академическую практику этого технического термина, обозначавшего субъективную неопределенность в результате отсутствия опыта или недостатка информации, неясности значения фактов, серьезного разногласия мнений наблюдателей и экспертов или противоречивости разных типов свидетельств. (Я предполагал – и это позднее подтвердилось во многих лабораторных экспериментах, – что такую неопределенность нельзя охарактеризовать одной численной вероятностью распределения ни взглядов людей, ни их поведения, хотя и то, и другое не было «полностью неопределенным».)
Неопределенность стратегического предупреждения, описываемая здесь, похоже, подпадала под эту категорию. И Уолстеттер не уставал подчеркивать, что та же самая проблема существует и в контексте «тактического» предупреждения: данных радаров дальнего обнаружения и космических инфракрасных датчиков, сигнализирующих о приближении вражеских самолетов или запуске ракет в сторону Соединенных Штатов до того, как они достигнут цели.
Радары арктической линии раннего обнаружения (Distant Early Warning Line – DEW) не раз, как я узнал вскоре, принимали высоко летящие стаи гусей за советские бомбардировщики, приближающиеся к нам со стороны Северного полюса. До появления МБР у нас было несколько часов, чтобы распознать ошибку и тем временем поднять на боевое дежурство свои самолеты. А всего через год после моего прихода в RAND высокотехнологичная радиолокационная и компьютеризированная система раннего обнаружения баллистических ракет (Ballistic Missile Early Warning System – BMEWS) в первую же неделю эксплуатации сообщила о приближении ракет. В этот раз на принятие решения было всего 15 минут.
5 октября 1960 г. ряд высокопоставленных представителей отраслей, занимающихся разработкой технических систем для ВВС, включая Тома Уотсона, главу IBM, посетили командный пункт NORAD, устроенный в горе Шайен, штат Колорадо. Пит Петерсон, впоследствии министр торговли в администрации Никсона, а на тот момент исполнительный вице-президент Bell & Howell, занял кресло командующего на балконе перед огромной картой мира. В честь высоких гостей устроили своего рода ролевую игру. В своей книге «Управление и контроль» (Command and Control) Эрик Шлоссер рассказывает, что происходило в тот день, и его версия во многом совпадает с тем, что тогда доходило до меня и других, работавших над проблемой.
«Первый радиолокационный комплекс BMEWS, расположенный на авиабазе Туле, Гренландия, был введен в строй на той неделе, и бизнесменам объясняли суть численных уровней угрозы, идентифицируемых новой системой предупреждения.
Если над картой мира вспыхивала красная цифра 1, это означало, что к Соединенным Штатам приближаются неопознанные объекты. Если загоралась цифра 3, то уровень угрозы был высоким, и об этом немедленно уведомлялись Стратегическое авиационное командование (SAC) и Объединенный комитет начальников штабов. Максимальный уровень угрозы был равен 5 – это сгенерированное компьютером предупреждение означало 99,9 %-ную вероятность нападения на Соединенные Штаты. Петерсон сидел в кресле командующего, когда уровень угрозы вдруг начал расти. Загорелась цифра 4, и помещение быстро заполнили офицеры NORAD, а когда замелькала цифра 5, Петерсона и других руководителей быстро выпроводили из зала, отвели в небольшой офис, закрыли за ними двери и оставили в уверенности, что началась ядерная война».
Один из присутствовавших там бизнесменов, Чак Перси, в то время президент Bell & Howell, а позднее сенатор от штата Иллинойс, «вспоминал потом о чувстве паники в NORAD». Именно так при мне в том месяце говорили полковники ВВС, хотя Пентагон, когда слухи о случившемся все же просочились наружу, уверял, что сигнал предупреждения никто не воспринял всерьез. Одно обстоятельство заставило некоторых в NORAD счесть сигнал более «неоднозначным», чем компьютерные 99,9 %, – пребывание в Нью-Йорке Хрущева, который прибыл на той неделе для участия в ассамблее ООН. Как оказалось, радары BMEWS засекли отраженный от Луны сигнал, когда она всходила над Норвегией. Разработчики, как я слышал в Пентагоне, предполагали, что сигнал радара достигнет Луны, но не ожидали, что эхо будет таким же сильным, как и в случае приближающихся ракет. Ошибаются все.
Во время чтения упомянутых заключений Уолстеттера меня поразил не только акцент на неоднозначности сигналов предупреждения, но и указание на когнитивные и поведенческие эффекты этой неоднозначности. Она неизбежно должна приводить к задержке ответной реакции на разных уровнях управления вооруженными силами, а также к ответной реакции самого президента. В ракетную эру задержка на несколько минут означает лишение способности нанести ответный удар и уничтожение командования. Но что должен делать президент или военное командование в случае получения сигнала о «возможной» атаке или даже сигнала о 99,9 %-ной вероятности от компьютерной программы, которая может просто дать сбой?
Уолстеттер предлагал путь повышения выживаемости находящихся в боевой готовности бомбардировщиков при неоднозначном или неясном сигнале предупреждения без вступления в войну. Для частичного решения проблемы ложных сигналов и недостатка информации Альберт разработал процедуру «подтверждающего контроля». Она предполагала отделение «подъема бомбардировщиков в воздух по сигналу предупреждения» от принятия решения об исполнении военных планов, т. е. отправки бомбардировщиков к целям. Самолеты, поднятые в воздух при подтверждающем контроле, должны были следовать в определенный район сбора и кружить там до тех пор, пока не получат прямой, «подтверждающий» приказ об «исполнении», т. е. движения к заранее определенным целям, или приказ о возвращении на базу.
Если они не получали никакого приказа, то должны были возвращаться на свою базу в точке, для достижения которой у них хватало топлива. (У баллистических ракет такая возможность отсутствует, их нельзя отозвать после запуска. Президент Рейган как-то раз заявил об обратном для ракет, базирующихся на подводных лодках. Наверное, он был не совсем в курсе. Непростительная ошибка для президента.)
Но были ли эти меры предосторожности надежными в реальной практике? Ни один военный секрет не охраняют тщательнее сведений о том, как, кто и при каких обстоятельствах принимает решение об исполнении планов на случай ядерной войны, т. е. об использовании самолетов и неотзываемых ракет. Мне, однако, неожиданно представилась возможность исследовать этот вопрос в реальных условиях с максимальным доступом, хотя и не президентского уровня. Главнокомандующий вооруженными силами США в тихоокеанском регионе (CINCPAC) адмирал Гарри Фелт направил запрос на изучение проблем управления системами ядерного оружия в тихоокеанском регионе Управлению научно-исследовательских работ ВМС (ONR). Я был рад тому, что RAND отрядила меня для участия в этой работе.
Осенью 1959 г. я прибыл в Кэмп-Смит на острове Оаху, Гавайи, в штаб-квартиру CINCPAC в качестве одного из участников исследовательской группы под руководством доктора Джона Уилкса. Я не согласился остаться там на целый год (моя жена оказалась неготовой отправиться туда с семьей вслед за мной) и после нескольких месяцев пребывания на острове уехал оттуда и бывал в тех краях в течение 1960 г. лишь наездами для помощи группе на заключительных этапах исследования. Значительная часть нашей работы выполнялась в штаб-квартирах CINCPAC и командования ВВС США в зоне Тихого океана (PACAF) на Оаху, однако нам приходилось ездить и по всему тихоокеанскому региону. Я изучал оперативную деятельность и беседовал с командирами, разработчиками планов и операторами практически на всех командных пунктах в районе Тихого океана.
Основная проблема, на которую главнокомандующий нацеливал наше внимание, заключалась в том, как после принятия решения об использовании ядерного оружия обеспечить надежное и своевременное доведение его собственного приказа об «исполнении» плана военных действий до различных родов войск в тихоокеанском регионе. Приказ должен был дойти до командных пунктов, прежде чем они, линии связи и наступательные силы будут уничтожены в результате советского удара. Я, однако, занимался другим вопросом: уменьшением вероятности несанкционированного действия. Как гарантировать, что ни у кого из подчиненных не возникнет соблазн или возможность отдать команду на использование находящихся в их распоряжении средств в отсутствии санкции со стороны вышестоящих командиров или президента?
В принципе, несанкционированные действия были просто запрещены. В соответствии со всеми совершенно секретными военными планами приказ об исполнении на всех уровнях командования должен отдаваться на основании прямого, явного приказа вышестоящего командира, по сути, президента. Однако в планах были положения о выполнении различных подготовительных действий со стороны местного командования и даже предусматривалась возможность подъема самолетов в воздух по сигналу о неизбежной вражеской атаке для их защиты от уничтожения. Это был тот самый процесс «подтверждающего контроля» Уолстеттера. Такой взлет самолетов не означал решения об исполнении плана войны, т. е. об отправке самолетов к намеченным целям.
Эту процедуру называют также «отказобезопасной». Если с базы не поступает сигнал приступить к действиям или вернуться, то на самолетах должны считать, что получили сигнал о возвращении. Такой сигнал может быть ошибочным, если действительно началась война и средства связи уничтожены, однако подобная ошибка менее опасна, чем ошибочный налет на цели в отсутствии военных действий, когда средства связи вышли из строя по техническим причинам или из-за атмосферных помех.
Процесс «подтверждающего контроля», или «отказобезопасная» процедура, предполагает обучение пилотов и выработку у них понимания, что они не должны брать курс на цель ни при каких обстоятельствах без прямого приказа – явного и однозначного – от вышестоящего командира. А приказ об исполнении должен сопровождаться «подтверждением» того, что он исходит от высшего командования, т. е. должен сопровождаться кодовым обозначением и передаваться так, чтобы его принадлежность к высшему командованию была очевидной.
Но в какой мере их поведение соответствует этим инструкциям? Насколько в реальности безопасен этот процесс? Я поставил эти вопросы в первой же докладной записке, направленной в Министерство обороны всего через месяц после моего прихода в корпорацию RAND в качестве летнего консультанта в 1958 г. Она была озаглавлена «Слабые места отказобезопасной системы» и адресована Уолстеттеру, автору отказобезопасной процедуры, и Фрэнку Элдриджу, ведущему эксперту RAND по средствам коммуникации, одному из аналитиков, которых я консультировал. Записка отражала мои личные впечатления от закончившейся всего год назад службы в высокодисциплинированной организации, Корпусе морской пехоты, и познания, почерпнутые в процессе изучения военной истории. Я знал, что поведение добросовестных офицеров должно основываться не только на том, что их учили делать в конкретных обстоятельствах, но и на понимании миссии, а также на фактических представлениях о текущей ситуации, полученных в результате непосредственного опыта и наблюдений.
Короче говоря, в докладной записке я утверждал, что отсутствие прямого приказа об исполнении после приказа о подъеме самолетов в воздух, сопровождаемого явными признаками вражеской атаки, неизбежно будет неоднозначным, как и тактический сигнал предупреждения, на основании которого были подняты самолеты. Отсутствие каких-либо сигналов может означать желательность возвращения на базу. Из существующих правил следовало, что действовать нужно именно так. Вместе с тем это может означать и то, что приказ об исполнении был отдан, но еще не поступил и, не исключено, не успеет прийти вовремя, когда запасов топлива еще достаточно для выполнения задания. Или его бы отдали и получили, если бы вражеский ядерный удар не уничтожил командный пункт с передающей станцией или не нарушил связь.
Иными словами, отсутствие прямого приказа могло быть очень тревожным знаком в зависимости от того, с какими другими свидетельствами оно сочетается. Например, как часто пилоты тренируются в достижении заданной точки и выжидании в определенном районе без получения сигнала о возвращении и без, как оказывается впоследствии, нападения на их базу?
Если вся процедура отрабатывается достаточно часто вплоть до этой точки, то пилоты будут предполагать в любом отдельно взятом случае в отсутствии других признаков, что они участвуют в учениях. У них должна выработаться привычка возвращаться. У них не должно быть причин нарушать привычный ход событий, не подчиняться постоянным инструкциям и лететь к намеченным целям даже при отсутствии дополнительных приказов. Они должны были в плановом порядке возвращаться на базу.
Однако результаты работы в RAND и изучения ситуации на местах в составе исследовательской группы CINCPAC не позволяли с уверенностью утверждать, что у большинства пилотов в тихоокеанском регионе была возможность приобрести такую привычку. Фактически, несмотря на разные мнения по этому вопросу, выработка подобной привычки казалась маловероятной.
Как выяснила наша группа во время посещения авиабазы Кадена на Окинаве, первую часть процедуры подъема самолетов в воздух по сигналу предупреждения отрабатывали часто, практически ежедневно, в разное время, вплоть до выруливания на взлетно-посадочную полосу. На авиабазе Кадена пилоты не находились непрерывно в готовых к взлету самолетах или казарме для дежурных экипажей у взлетно-посадочной полосы. Они свободно перемещались по всей территории, но у каждого был персональный джип с водителем, поскольку тревоги объявлялись не менее одного раза в день.
Дежурный офицер предложил нашей исследовательской группе самой назначить время для учебной тревоги в тот день. Тогда наш руководитель Джон Уилкс сказал: «Окей, сейчас». Тотчас же по всей территории загудели клаксоны, и практически мгновенно на всех дорогах, ведущих к взлетно-посадочной полосе, появились джипы с пилотами, которые выпрыгивали из машин и быстро забирались в кабины, на ходу застегивая шлемы и комбинезоны. На десятке самолетов заработали двигатели, почти одновременно. На все ушло 10 минут.
Эта учебная тревога показала, что самолеты будут готовы к взлету вовремя при получении приказа. В этом отношении все было идеально, однако дальнейшая часть упражнения, гарантированное обеспечение полета к району выжидания с последующим возвратом в случае отсутствия приказа о выполнении боевого задания, требовала намного больше времени и затрат (с точки зрения топлива и технического обслуживания). Понятно, что отрабатывали ее намного реже. Мы интересовались, проводилась ли такая отработка вообще. Ответы были туманными и противоречивыми. Стратегическое авиационное командование, которое разработало эту процедуру, действительно проводило ее полномасштабную отработку часто, однако занимались ли этим вооруженные силы театров военных действий, было неясно.
Фактически мы узнали на авиабазе Кадена, что тактические дежурные самолеты там никогда не поднимались в воздух во время ежедневных учений, и причиной этого были вовсе не затраты. Они даже не выруливали к месту старта. Причиной, как нам объяснили, была опасность аварии, возможно, даже ядерной аварии.
Каждый из дежурных самолетов F-100 с одним пилотом нес подвешенную к фюзеляжу термоядерную бомбу Mark 28. Говорят, что такие бомбы были предназначены для размещения внутри самолета в целях повышения безопасности, но на тактических истребителях-бомбардировщиках для них не было места.
Более того, у таких бомб не было «защиты от одноточечной детонации». Водородные, термоядерные бомбы приводились в действие плутониевым зарядом, подобным тому, который уничтожил Нагасаки. Плутониевое ядро было окружено сферической оболочкой из кумулятивных зарядов взрывчатого вещества. Когда их одновременно подрывали, они сжимали плутониевое ядро и доводили его массу до сверхкритической, после чего происходил ядерный взрыв, поджигавший термоядерное топливо.
«Защита от одноточечной детонации» означала, что конструкция не допускала ядерного взрыва при случайной детонации одного из кумулятивных зарядов. Точнее говоря, вероятность ядерного взрыва составляла «менее одного на миллион». Только детонация нескольких кумулятивных зарядов – в результате падения, возгорания, выстрела или замыкания – приводила к частичному ядерному взрыву. Его мощность могла быть эквивалентной бомбе, сброшенной на Хиросиму.
Поскольку эти боеприпасы не имели защиты, существовала опасность детонации одного-двух кумулятивных зарядов при аварии с последующим радиоактивным заражением большой территории и даже частичным или полным ядерным взрывом. Хотя вероятность последнего была небольшой, рисковать во время учений, которые проводились ежедневно, все же не стоило.
Таким образом, во время учебных тревог пилоты всего лишь садились в самолеты и запускали двигатели. Они не выруливали со стоянок к месту старта, не говоря уже о взлете. Пилоты, когда не были на дежурстве, конечно, регулярно летали на самолетах без бомб. Они, несомненно, выполняли и тренировочные задания с реальным оружием на борту, но не в условиях тревоги. Однако мы так и не смогли получить ясный ответ на вопрос, взлетали ли находящиеся на дежурстве пилоты для выполнения тренировочных заданий с ядерным оружием на борту. Нам говорили, что такое если и случалось, то редко, а может быть, и никогда.
На мой взгляд, прозвучи приказ вырулить на взлетно-посадочную полосу, дежурные пилоты восприняли бы его как экстраординарное, а может быть, и беспрецедентное событие. Даже если бы это было всего лишь учебным заданием (о чем пилотам не сообщалось), первую пару раз они наверняка подумали бы: «Началось!» Вражеская атака неизбежна или это упреждающий удар. Как минимум пилоты должны были решить, что угроза вражеской атаки на этот раз более серьезна, чем прежде. Именно с таким настроением они летели бы к району выжидания даже в отсутствии приказа о выполнении боевого задания после взлета.
О таком последствии отсутствия регулярных подъемов самолетов в воздух по тревоге в условиях, близких к реальным, похоже, не подозревали ни офицеры, отвечавшие за контроль над ядерным оружием, ни пилоты, с которыми я разговаривал. Фактически они признавались в том, что подобное им и в голову не приходило. Все воспринимали мои доводы как нечто новое, интересное и правдоподобное. Такое положение не могло не беспокоить. Они соглашались с тем, что в первый раз (даже несколько раз) вначале дежурные пилоты, оказавшиеся в районе выжидания, неизбежно должны были предполагать самое худшее просто потому, что такого раньше не случалось. Пилоты наверняка будут думать, что война началась или неизбежна, поскольку командиры, отдавшие беспрецедентный приказ, похоже, считают именно так.
А что если у пилотов есть и другие причины так думать? Допустим, это случилось во время международного кризиса и регионе или где-нибудь еще в мире. Допустим, это произошло после получения стратегического предупреждения или в условиях повышенной угрозы войны или нападения. Что если в регионе идет реальная война, скажем, между КНР и Тайванем или в Индокитае? Или случился серьезный кризис, подобный тому, что реально произошел в 1954–1955 гг. и повторился в 1958 г. (вскоре после того, как я написал свою докладную записку), когда коммунистический Китай на материке на протяжении нескольких месяцев вел артиллерийский обстрел близлежащих островов, занятых войсками Гоминьдана? В обоих случаях на президентском уровне обсуждалась возможность использования американского ядерного оружия для прекращения атаки и сохранения доступа к островам Цзиньмынь и Мацзу. (В начале 1958 г. на Тайване и в районе г. Осан, Южная Корея, были размещены крылатые ракеты Matador с ядерными боеголовками.)
Что если после подъема самолетов по сигналу предупреждения на одной из американских баз в регионе, возможно, на той самой базе, откуда стартовали самолеты, произойдет мощный взрыв? На первый взгляд это может показаться невероятным совпадением, слишком далеко выходящем за рамки наихудшего сценария. Однако по размышлении такое событие кажется уже не таким невероятным. Насколько я мог понять из множества разговоров, никому в регионе даже в голову не приходила такая мысль. Вместе с тем никто не отвергал ее как неправдоподобную после короткого обсуждения.
Нужно только вспомнить, почему дежурные F-100, несмотря на неудержимую тягу командования к учебным тревогам в условиях, приближенных к реальным, и к соблюдению всех требований, самолеты очень редко, если вообще когда-либо, выводились на взлетно-посадочную полосу. Этого не делали именно из-за возможности аварии и ядерного инцидента с конкретными боеприпасами. В основе нежелания командиров проводить такие учения лежало опасение, что поспешное выруливание самолетов на взлетно-посадочную полосу могло привести к столкновению, возгоранию и мощному взрыву самолетов с последующим радиоактивным заражением большой территории и даже реальным ядерным взрывом.
Можно не сомневаться в том, что подобные мысли приходили в голову многим. Именно поэтому самолеты оставались на своих местах. О чем никто не думал, так это о следующем вопросе. Как такое событие повлияет на умонастроение дежурных пилотов, которые уже взлетели либо с этой базы, либо с соседней, либо с какой-то отдаленной базы в этом регионе?
Они могут, конечно, догадаться об истинной причине случившегося – о том, что произошла беспрецедентная авария. Однако, даже если такая мысль придет в голову всем сразу, ей будет противопоставлено другое объяснение, которое выглядит намного более вероятным в сложившихся условиях. В конце концов, зачем вообще самолеты с бомбами на борту подняли в воздух? Может ли такой реалистичный вылет оказаться тренировкой, несмотря на все риски? Или все же командиры получили более серьезные, чем обычно, возможно, однозначные свидетельства неминуемой вражеской атаки? А теперь еще этот взрыв! Каким он был – ядерным или нет, необязательно ясно в первый момент, особенно при наблюдении с самолетов, находящихся в воздухе. Вполне можно решить, что это реальная атака.
В этот момент между самолетами должен идти интенсивный обмен информацией, и они должны пытаться связаться со своей базой. Но если на этой базе произошел частичный ядерный взрыв, установить связь будет невозможно. Сам взрыв вполне может уничтожить все пункты радиосвязи, а электромагнитный импульс – вывести из строя средства высокочастотной дальней связи на значительной территории.
Это означает, что последним сигналом, которые самолеты получат со своей базы, а может быть, и с других баз в регионе, будет грибообразное облако, поднимающееся над тем местом, откуда они только что стартовали. Таким образом, самолеты будут на какое-то время отрезаны от связи. Последующее отсутствие приказа выполнить задание или возвратиться, как, впрочем, и каких-либо других приказов, может найти очень простое объяснение: вражеский удар. И это совершенно понятно с учетом беспрецедентности подъема самолетов в воздух и прочих обстоятельств, подкрепляющих уверенность в том, что был нанесен удар.
По моим представлениям, в результате ложной тревоги, сочтенной достаточно серьезной, чтобы поднять в воздух тактические силы на любой базе в тихоокеанском регионе, а может быть, и в любом другом районе мира, где тип боеприпасов не позволял регулярно тренироваться в осуществлении взлета, некоторые пилоты в воздухе с термоядерными бомбами на борту вполне могли решить, хотя они и не получили приказа о выполнении боевого задания, что началась всеобщая ядерная война и приказ действовать не поступает из-за нарушения связи.
Таким образом, за приказом на взлет может последовать сильный взрыв на американской авиабазе и отсутствие связи, обусловленные именно реальным подъемом в воздух множества самолетов с ядерным оружием, которое, как известно, не отличается максимальной безопасностью. На практике вероятность таких событий, которые по отдельности маловероятны, но взаимосвязаны, может резко возрастать.
Если ложные тревоги, приводящие к заблаговременному взлету самолетов, являются распространенным явлением на театре военных действий или даже в мире, то большое количество задействованных авиабаз и самолетов должно резко повышать вероятность случайного взрыва. Даже если первоначальный взлет происходит по инициативе начальника всего лишь одной авиабазы, то сильный взрыв – особенно такой, который вызывает отключение каналов связи, – может привести к заблаговременному взлету самолетов в других местах и, следовательно, повысить вероятность второго взрыва. А любое такое событие способно повлечь за собой прекращение связи.
Из опыта службы в Корпусе морской пехоты я хорошо знал, как в армии интерпретируют приказы и воинский долг, а многочисленные разговоры с высокопоставленными офицерами ВВС еще больше убедили меня в том, что в такой ситуации многие пилоты сочтут своим долгом выполнить назначенную миссию, т. е. военную задачу, в нарушение буквы приказа ждать однозначной санкции сверху. Они будут думать, что такая санкция вряд ли поступит, если вражеский удар нанесен после их взлета. Таким образом, приказ командира о заблаговременном взлете может невольно оказаться равносильным приказу на выполнение боевого задания.
Когда я представлял эти аргументы опытным штабным офицерам на разных командных пунктах и авиабазах в тихоокеанском регионе, ничего обнадеживающего в ответ не слышал. Они считали их непривычными, но вполне реальными. Никто из них не сказал, что я упускаю из виду нечто, снижающее вероятность представленной катастрофической цепочки событий.
В конечном счете я пришел к выводу, что эти соображения нужно протестировать на самом нижнем уровне оперативного командования. Посмотрев на карту в штаб-квартире около Токио, я выбрал небольшую американскую авиабазу в Южной Корее: Кунсан. Это была самая северная в Корее (вернее сказать, в тихоокеанском регионе) база, где на боевом дежурстве находились самолеты с ядерным оружием. Пожалуй, эти самолеты были ближе к территории коммунистического государства, чем самолеты на любой другой базе в тихоокеанском регионе. Члены нашей группы имели право пользоваться военными самолетами, а адмирал Фелт разрешил нам «посещать любые места, говорить с кем угодно, осматривать любые объекты». Практически без предупреждения я отправился в Корею, чтобы встретиться с начальником авиабазы в Кунсане.
После приземления в Сеуле я продолжил путь до Кунсана на легкомоторном самолете и вскоре оказался на пыльной взлетно-посадочной полосе авиабазы, смахивающей на небольшой городок на Диком Западе. Начальником базы был майор ВВС. Под его командованием находились 12 самолетов F-100, к фюзеляжу каждого из которых была подвешена термоядерная бомба Mark 28 мощностью 1,1 Мт. Одна такая бомба была эквивалентна половине взрывчатки, брошенной Соединенными Штатами за всю Вторую мировую войну в Европе и тихоокеанском регионе. В распоряжении всего лишь одного майора, командовавшего небольшой группой самолетов среди безлюдных холмов, находилось огневая мощь, в шесть с половиной раз превышавшая ту, что была использована за все время Второй мировой войны.
Насколько я помню, как и на авиабазе Кадена, эти бомбы в то время не имели защиты от одноточечной детонации. В ответ на мой вопрос майор сообщил, что пилоты не выполняют упражнения по выруливанию на взлетно-посадочную полосу с бомбами на борту. Часть этой эскадрильи находилась в постоянной боевой готовности. Мы были в нескольких минутах полета от Северной Кореи, но цели этих самолетов располагались на северо-востоке России – еще примерно час полета. Я поинтересовался, через какое время, если самолеты направятся в район выжидания, их засекут северокорейские или русские радары и через сколько они выйдут за пределы прямой видимости с базы. Майор вдруг занервничал, сказал, что это очень чувствительные вопросы и отказался отвечать на них до «подтверждения моих полномочий».
После того, как он повторил это пару раз, я разозлился и сказал: «Хорошо, тогда позвоните в Японию и спросите подтверждение там». Мы пошли на командный пункт, и майор попробовал связаться со штаб-квартирой в Японии по радио. В результате выяснилось, что связи с Японией нет и что она отсутствовала уже несколько часов. Не удалось связаться с Японией и через штаб-квартиру американских войск в Корее в Осане. Я спросил, часто ли такое случается, и майор ответил, что «практически каждый день» атмосферные помехи оставляют его без связи с Японией.
Я решил, что беседовать дальше не имеет смысла, пока майор не переговорит с дежурным офицером в Японии о моем допуске, и почти час листал журналы в командном пункте. В Осане, где я немного пообщался с персоналом перед вылетом в Кунсан, мои вопросы тоже встретили с настороженностью. Похоже, случись там ядерный взрыв по изучаемым мною причинам, Кунсан вполне мог оказаться отрезанным от всего мира.
В конце концов майор связался с Японией, и ему разъяснили, что мне можно рассказать «все». Он предложил мне повторить вопросы еще раз. Я задавал их, а майор качал головой и спокойно говорил, что у него нет ответов. Это было довольно странно с учетом его беспокойства по поводу секретности, заставившего отложить наш разговор на целый час. Меня мучила мысль, не лжет ли он мне на этот раз, но майор казался искренним, и я успокоился. Вообще он оказался довольно общительным. Ему в Кунсане не приходилось раньше сталкиваться с исследователями, и он, похоже, с удовольствием обсуждал задаваемые мною вопросы.
Поскольку база Кунсан располагалась так близко к радарам на территории коммунистической Кореи, как мне сказали в Осане, ее начальник не имел права поднимать самолеты в воздух по собственной инициативе в соответствии с процедурой подтверждающего контроля даже в целях снижения ущерба от ожидаемой атаки. Он не должен был поднимать самолеты в воздух ни при каких обстоятельствах, кроме получения прямого приказа из вышестоящего штаба через Токио или, возможно, через Осан. Я хотел услышать от майора подтверждение этого, а потом посмотреть, как он отреагирует на определенные гипотетические ситуации. Но все получилось не так.
Я спросил, может ли он при каких-то обстоятельствах поднять самолеты по тревоге, например при ожидании неминуемой атаки. Майор ответил: «Вы ведь знаете, когда я должен сделать это, не так ли?» Он словно пытался прощупать, что мне известно.
Я сказал: «Да. Только когда вы получите приказ из Токио или Осана».
«Правильно, – ответил он и продолжил, – но, хочу заметить, что я командую этой базой, а у каждого командира есть неотъемлемое право защищать свое подразделение. Это фундаментальный закон войны. Это старейший принцип войны, и я, как командир, имею моральное и официальное право защищать своих людей. Если я вижу, что им грозит опасность, я должен вывести их из-под удара».
Я не понимал, почему майор говорит это и, похоже, хочет, чтобы сказанное было записано. Мы только что выяснили, что я приехал для оценки системы управления системами ядерного оружия по заданию главнокомандующего вооруженными силами США в тихоокеанском регионе адмирала Фелта, а он твердит, что фактически чувствует себя вправе, руководствуясь фундаментальными принципами войны, нарушать конкретные и прямые инструкции CINCPAC. Для меня не было неожиданностью, что полевой командир может вести себя подобным образом в определенных ситуациях. Именно это предчувствие и привело меня в Корею. Но я совершенно не ожидал, что командир уже обдумал такое решение и будет так откровенно говорить о своей готовности не подчиняться приказам из штаб-квартиры.
Эти приказы, в конце концов, не были чем-то сумасбродным. Их отдали базе Кунсан из-за ее близости к вражеской территории и радарам. Неожиданный подъем эскадрильи в воздух может быть обнаружен и интерпретирован коммунистами как сигнал неминуемого нападения. (В реальности, с учетом дальнейшего рассказа майора, враг был не таким глупым, чтобы подумать именно так.) Таким образом, существовала серьезная причина держать самолеты строго под контролем более высокой инстанции независимо от того, нарушает это принципы войны или нет.
Но я не реагировал на выступление майора. Мне хотелось узнать, какие условия могли заставить его поднять самолеты в воздух. Я поинтересовался, как бы он воспринял внезапное отсутствие связи во время острого кризиса (вроде кризиса в Тайваньском проливе год назад). Он сказал, что это «вполне могло» заставить его дать команду на взлет без приказа сверху.
И вновь это не было чем-то удивительным или чем-то таким, чего не могло произойти на других базах, где не подразумевалось нарушение директив. Так было даже в эру, когда отсутствие связи в результате естественных помех считалось обычным явлением. Атмосферные помехи нарушали высокочастотную связь практически ежедневно по всему тихоокеанскому региону: примерно раз в день в Кунсане, как сказал мне майор. Даже подводные кабели связи с Японией бывало повреждались траулерами. Во время одного реального кризиса все виды связи между NORAD и системой дальнего обнаружения баллистических ракет одновременно вышли из строя, насколько я помню, из-за лесного пожара, уничтожившего наземные линии на одном конце континента, и землетрясения, повредившего коммуникации на другом конце.
Как бы то ни было, командиры и штабные офицеры говорили мне, что неожиданное нарушение связи во время кризиса всегда считается очень тревожным знаком, требующим перехода на высокий уровень готовности и, возможно, подъема в воздух части самолетов. Таким образом, ответ майора ничем не отличался от ответов на других базах. Он просто не признавал, что его директивы, которые отличались от директив на других базах, спущены ему во избежание опрометчивых действий.
Ну а как вы отнесетесь к сообщению о ядерном взрыве где-нибудь в западной части тихоокеанского региона? По его словам, этого было бы более чем достаточно. В этом случае он не стал бы ждать приказа.
Теперь большой вопрос. Я спросил, что, по его мнению, произошло бы, если бы он отдал приказ на взлет. Майор ответил: «Вы ведь знаете содержание приказов. Самолеты отправились бы в район выжидания и стали бы кружить там до получения дальнейших приказов. Они могут кружить около часа, и после этого запасов топлива у них хватит для достижения цели или возвращения на базу. Если не будет команды на выполнение боевого задания, они должны вернуться. У них такие приказы».
До этого он говорил мне, что у самолетов в районе выжидания не будет связи с базой. Если их подняли в воздух в рамках тревоги на всем театре военных действий, то в районе выжидания должен находиться самолет управления с другой базы, имеющий более мощные средства связи. А самолеты, поднятые в воздух только по его приказу, будут кружить в районе выжидания сами по себе, не имея возможности связаться с кем-либо.
Я спросил: «Ну а что дальше?»
«Если они не получат приказа выполнить боевое задание? Думаю, они вернутся назад, – сказал майор и добавил: – Большинство из них».
Последние три слова дошли до меня не сразу, поскольку до того, как он произнес их, мой мозг буквально разрывался. Хотя внешне я оставался бесстрастным, внутренний голос кричал: «Думаю? Ты думаешь, что они вернутся назад?!»
И это их командир, тот, кто отдает им приказы, человек, который отвечает за их подготовку и дисциплину! Пока я приходил в себя от такого ответа, последние слова «большинство из них» звучали у меня в ушах.
«Конечно, если один из них решит закончить выжидание и направится к цели, я думаю, остальные последуют за ним, – добавил майор, запнулся и затем продолжил: – А они могут сделать это. Если один возьмет курс на цель, они могут все последовать его примеру. Хотя я и приказываю им не делать этого».
Я старался не выдавать своих эмоций. У меня в запасе было еще несколько вопросов. Может ли произойти частичный ядерный взрыв бомбы Mark 28 под фюзеляжем самолетов в случае аварии на взлетно-посадочной полосе? Майор кивнул. Я обрисовал ситуацию. Что если первые пять взлетевших пилотов увидят позади грибообразное облако над базой в результате взрыва шестого самолета на взлетно-посадочной полосе? Что они подумают, как поведут себя, когда их тряхнет взрывной волной?
Похоже, такой вопрос майор слышал впервые, и он заинтересовал его. Первый ответ был уклончивым. «Ну, здесь все-таки не Окинава, где взрыв означал бы гибель семей пилотов». Он хотел сказать, как оказалось, что вероятность неподчинения инструкциям зависит от того, кто именно погибнет в результате взрыва, в такой же мере, как и от того, в чем пилоты увидят причину взрыва – в аварии или в нападении на базу. «На Окинаве», где у некоторых пилотов на базе находятся семьи, по его словам, «они наверняка ослушались бы приказа». В конце концов, трудно точно определить, авария это или что-то другое, а потом, после такого инцидента у пилотов просто исчезнет смысл жизни. В Кунсане если пилоты в воздухе поймут, что лишились (всего лишь) майора и базы, у них вряд ли будет полная уверенность во вражеском ударе, и они могут отправиться на запасную базу в отсутствии приказа атаковать цели.
После того, как майор провел такое различие, я напомнил ему наше исходное предположение: пилоты поднимаются в воздух по тревоге впервые по приказу Токио, Осана или своего командира. С учетом этого и других моментов, характерных для кризиса, он согласился с тем, что его пилоты примут частичный ядерный взрыв в Кунсане или, если уж на то пошло, сообщение о взрыве в Осане или Кадене за нападение. Связь будет нарушена, поэтому они не смогут получить приказ о возврате. В общем, они наверняка возьмут курс на цели.
* * *
Я возвратился в Кэмп-Смит с ощущением, что получил практически исчерпывающий ответ на один из своих вопросов: реально ли возникновение таких обстоятельств, в которых даже дисциплинированный офицер – не какой-нибудь негодяй или псих – может не подчиниться инструкции воздерживаться от выполнения планов ядерной войны без прямого и подтвержденного приказа начальства. Однако в рамках своей работы по оценке системы управления и контроля, в RAND и в Объединенном командовании вооруженных сил США в зоне Тихого океана (PACOM), я задавал и другие вопросы. Если такой приказ поступит, какова уверенность в том, что он действительно исходит от президента или другого уполномоченного лица? Может ли кто-то на нижестоящем уровне по собственной инициативе отдать такой «подтвержденный» приказ?
В теории – подразумевающей прямые указания командования – ответ был отрицательным. Однако в первый месяц работы в RAND я наткнулся на наставление SAC с описанием порядка аутентификации приказа о выполнении боевого задания для бомбардировщиков. Там мне в глаза бросилась еще одна уязвимость отказобезопасной системы, которую я описывал в первом пункте своего секретного исследования.
Я указывал в докладной записке на возможность того, что в описанных выше условиях какой-нибудь из пилотов на боевом дежурстве мог «даже в отсутствии полной уверенности в начале войны счесть основания для выполнения боевого задания вполне достаточными». По моим предположениям, с его точки зрения, имело смысл «попытаться при случае потянуть за собой сослуживцев, направив им вроде бы аутентичный сигнал “атаки”». Я написал, что «независимо от того, насколько вероятна такая ситуация, по моему мнению, у него есть возможность сделать это» (именно так это место было выделено в оригинале записки).
В соответствии с порядком SAC в самолете дежурного пилота (или у него лично) находился запечатанный конверт с кодом из нескольких цифр – скажем, из четырех – на внешней стороне и еще одним кодом из четырех цифр внутри. После получения радиосигнала из восьми цифр, первые четыре из которых соответствуют цифрам на внешней стороне конверта, пилот должен вскрыть конверт и свериться с цифрами внутри него. Если они совпадают с последними четырьмя цифрами сигнала, значит, пилоту поступил подтвержденный приказ о выполнении боевой задачи, и он должен взять курс на цель.
Ряд коллег по RAND, знакомых с порядком SAC, соглашались с моим предположением о том, что цифры в коде на всех самолетах SAC на боевом дежурстве были одинаковыми. Чтобы поднять в воздух все самолеты, требовался всего один сигнал. Кроме того, по разумению моих коллег, код менялся очень редко.
В подразделениях тактических сил наземного базирования в тихоокеанском регионе выяснилось, что их процедура под кодовым названием Spark Plug была примерно такой же, как и процедура SAC. В соответствии с моими заметками «процедура Spark Plug являлась единственным способом инициирования применения [ядерного оружия] Силами быстрого реагирования… Аутентичная команда, передаваемая в соответствии с ней… подразумевала наличие санкции президента на применение ядерного оружия».
В каждом самолете на боевом дежурстве или командном пункте находился конверт в конверте. После получения сообщения в соответствии с процедурой Spark Plug надлежало выполнить следующие действия:
«На внешней стороне [конверта] указана серия… Если эта серия совпадает с той, что передана в сообщении, вскрыть конверт. На внешней стороне внутреннего конверта напечатаны две кодовые буквы; если эти буквы совпадают с первыми двумя буквами сообщения, “Подняться в воздух”. Если получено сообщение (первое или последующее), содержащее четыре буквы, первые две из которых совпадают с теми, что напечатаны на внешней стороне внутреннего конверта, вскрыть внутренний конверт. Если карточка внутри содержит все четыре буквы, “Применить” имеющееся оружие для удара по намеченной цели.
При наличии возможности и в целях снижения вероятности ненамеренного или несанкционированного действия конверт надлежит вскрывать в присутствии как минимум еще одного лица, знакомого с процедурой Spark Plug (не применяется к командирам самолетов, несущих бомбы)».
Требование вскрывать конверт в присутствии двух человек относилось только к командным пунктам, поскольку практически все бомбардировщики Командования ВВС США в зоне Тихого океана (PACAF), в отличие от бомбардировщиков SAC, были одноместными. «После получения сообщения передающие станции транслируют его открытым текстом [т. е. в незашифрованном виде] с установленными интервалами в течение одного часа, если не получают приказ прекратить трансляцию».
Тот факт, что коды одинаковы для всех самолетов и меняются редко, стал полной неожиданностью и для SAC, и для Командования ВВС в зоне Тихого океана. В обоих случаях это означало, что любой пилот на боевом дежурстве на земле или в воздухе мог просто вскрыть свой конверт – два конверта в случае PACAF – и узнать полный код аутентификации.
Поскольку любой пилот в воздухе, получив такой сигнал, должен был передать его другим самолетам своей эскадрильи по прямому высокочастотному каналу, тот, кто поднялся в воздух по тревоге и решил увлечь за собой остальные бомбардировщики для удара по России, мог вскрыть конверты и сообщить другим самолетам о получении очень слабого сигнала с соответствующим кодом. В условиях, которые я описывал выше, это вполне могло сработать.
Возвращаясь к той первой моей докладной записке по вопросам национальной безопасности, я сейчас понимаю, что она, во-первых, повлияла на направление моих исследований на базах Командования ВВС в зоне Тихого океана в следующем году, а во-вторых, предвосхитила ошеломляющие ответы, полученные мною. Никто из тех, с кем я говорил, не задавался прежде такими вопросами, и никто не считал их оторванными от действительности, когда они были озвучены.
Например, в случае аутентификации с использованием конвертов, когда я спрашивал о возможности возникновения ситуации, в которой сделавший сознательный выбор (или неуравновешенный) пилот может убедить других в необходимости атаковать цели, типичный ответ выглядел так: «Ну, он не может сделать этого по той причине, что ему неизвестен полный код подтверждения подлинности сообщения».
В этом месте я делал паузу в ожидании, что кто-нибудь изменит свое мнение (но этого никогда не случалось). А затем замечал небрежно: «Если он не вскроет конверты».
Даже после этого далеко не всегда наступало прозрение. Я нередко слышал: «Но это нарушение приказа. Если не получен полный сигнал, он не может вскрыть его».
Такой ответ, впрочем, повисал в воздухе ненадолго. Исходная предпосылка, в конце концов, заключалась в том, что офицер по той или иной причине был уверен (как генерал Джек Риппер в фильме Кубрика «Доктор Стрейнджлав», вышедшем на экраны через несколько лет) в начале Третьей мировой войны. Он собрался сбросить термоядерную бомбу на Россию и не рассчитывал вернуться назад. Все, с кем я встречался, соглашались к этому моменту дискуссии, что это реальная проблема, какой бы маловероятной она ни была.
* * *
Помимо прочего, я обнаружил, что такая ситуация характерна не только для пилотов на боевом дежурстве, но и для дежурных офицеров на уровне баз, авианосцев и тихоокеанского командования вооруженными силами в целом. Другим повсеместным явлением было несоблюдение правила двойного контроля при вскрытии конвертов.
Для предотвращения несанкционированного действия с кодами со стороны одного дежурного офицера на каком-либо командном пункте было придумано универсальное и, казалось, надежное правило, в соответствии с которым на дежурстве постоянно, днем и ночью, должны находиться как минимум два офицера. Они вдвоем должны участвовать и прийти к общему мнению по вопросам аутентификации приказа о применении ядерного оружия от вышестоящего командира и передачи этого приказа нижестоящим командирам.
Поскольку условия на разных базах были разными, на каждом командном пункте, как оказалось, существовали собственные процедуры исполнения данной директивы. В соответствии со стандартной процедурой код подтверждения подлинности сообщения делился на две части и хранился в двух конвертах, и у каждого из двух постоянно присутствовавших дежурных офицеров находился только один конверт. Помимо этого, половины кодов, которые посылались нижестоящим командирам для аутентификации приказа о выполнении боевого задания, хранились в отдельных сейфах.
Каждый из двух дежурных офицеров должен был держать один конверт и знать комбинацию замка только одного из сейфов. При получении сигнала, скажем, из восьми цифр офицеры должны были вскрыть свои конверты и убедиться в том, что четырехзначные коды на карточках внутри соответствуют целой группе полученных цифр. После этого офицерам предписывалось открыть свои сейфы и в случае обоюдного согласия послать сообщение с объединенным кодом.
На командных пунктах, где был только один сейф, оба офицера могли держать свои половины кода в нем. Так или иначе, предполагалось, что на всех командных пунктах создавались условия, в которых один офицер не мог самостоятельно ни аутентифицировать входящее сообщение, ни отдать аутентичную команду на выполнение боевого задания.
На практике, однако, не все выглядело так. Как объяснили мне дежурные офицеры в разных местах, нередко на дежурстве находился только один человек. Требование иметь двух квалифицированных офицеров на каждом посту в любой момент времени ночью было слишком сложным для выполнения. График дежурств составлялся соответствующим образом, однако он не предусматривал подмены, когда одному из офицеров нужно было отлучиться для принятия пищи или по неотложным делам, связанным со здоровьем, а на некоторых базах с семьей. Следовало ли блокировать всю систему передачи команд и делать невозможным прием аутентичных приказов о выполнении боевой задачи, если один оставшийся дежурный офицер получал то, что представлялось командой на применение ядерного оружия?
Этого нельзя было допускать, с точки зрения несущих дежурство офицеров, каждый из которых мог на практике оказаться в такой ситуации. Поэтому они подходили к ней «неформально», по своему усмотрению или, чаще, по негласной договоренности со своими сослуживцами. В действительности все они знали комбинации замков обоих сейфов или могли получить их в нужный момент. Если сейф был единственным, то каждый офицер получал доступ к нему. Оба конверта находились у одного офицера, когда второй отлучался. Там, где существовали более строгие правила безопасности, офицеры всегда изобретали на досуге пути их обхода «в случае необходимости». И такие пути обязательно находились. Я видел это на всех командных пунктах, где побывал.
Офицеры рассказывали это, как говорится, «не для протокола», но всегда с некоторой гордостью иногда с тем, чтобы убедить меня в своей добросовестности, а иногда с тем, чтобы продемонстрировать работоспособность системы даже при отсутствии сослуживца в критический момент. Так или иначе, это означало, что правило двойного контроля было в тихоокеанском регионе не более чем формальностью. Способность системы не допускать возникновения ситуаций, в которых один человек мог скомандовать своим подчиненным «Вперед!», оказалась ложной. К тому же правило двойного контроля не исключало разногласий, когда присутствовали два человека, и даже использования силы (например, угрозы применить оружие). Такое было вполне реальным, особенно в условиях кризиса. Лет через 15 после этого, когда я рассказывал о своих открытиях журналисту Бобу Вудворду, он заметил, что сам когда-то был офицером, отвечавшим за системы ядерного оружия на флагманском корабле ВМС США, и подтвердил мои данные. Вудворд очень ярко обрисовал «меры предосторожности», которые он со своими сослуживцами предпринимали, чтобы один человек мог «в случае необходимости» отправить приказ о выполнении боевого задания нижестоящим подразделениям. Думается, что тысячи бывших офицеров помнят свои собственные способы обхода правила двойного контроля (которое до сих пор представляют как панацею во всех официальных описаниях системы ядерного контроля).
Позднее процедуры контроля пуска ракет шахтного базирования значительно усложнились, стали аппаратными и, надо полагать, более надежными. Однако и они имеют недостатки.
Джон Рубел, бывший заместитель начальника управления по исследованиям и разработкам Министерства обороны, пишет, что операторы ракет Minuteman успешно обходили особенность системы, для запуска которой требовалось получение в течение короткого интервала согласованного решения двух центров управления, т. е. двух дежурных офицеров. На случай уничтожения какого-либо центра система предусматривала пуск по команде одного из них при отсутствии сигнала от другого в течение определенного времени X. На практике, как выяснил Рубел, время X нередко (а может быть, и всегда) устанавливалось на ноль, что позволяло одному центру произвести пуск в любой момент.
В определенной мере по настоянию Рубела министр обороны Макнамара заставил разработчиков ракеты Minuteman, несмотря на их упорное сопротивление, добавить в систему электронный замок, не позволявший осуществить пуск без получения кодового сообщения от вышестоящего командования. Через несколько десятилетий после ухода Макнамары в отставку Брюс Блэр, офицер стартовой команды Minuteman в прошлом, рассказал бывшему министру обороны о том, что коды в центрах управления пуском ракет в ВВС были постоянно установлены на 00000000. По словам Блэра, Макнамара взорвался: «Это черт знает что! Какой идиот додумался до такого?!»
«А узнал он от меня, – рассказывает Блэр, – о том, что, хотя электронные замки и были установлены, все знали, как они открываются. Стратегическое авиационное командование (SAC) в Омахе втихую решило установить код на “замках” в виде нулей, чтобы обойти эту меру предосторожности. С начала и до середины 1970-х гг., пока я был офицером стартовой команды Minuteman, код ни разу не менялся. Инструкция о порядке проверки системы фактически требовала от стартовой команды выполнения двойного контроля с тем, чтобы на пульте блокировки в подземном бункере случайно не оказалось никаких других цифр, кроме нулей. Возможность несанкционированного пуска волновала SAC значительно меньше, чем возможность задержки из-за этих мер предосторожности в случае получения приказа о пуске. Таким образом, “секретный код разблокировки” в периоды ядерных кризисов во времена холодной войны всегда был одним и тем же – 00000000».
Реальность, которую я увидел в тихоокеанском регионе, была следующей: с точки зрения командиров и операторов на всех уровнях, вплоть до самого адмирала Гарри Фелта, обеспечение надежности передачи приказа главнокомандующего о применении ядерного оружия считалось несравненно более важной задачей, чем устранение возможности несанкционированного нанесения удара по целям без приказа Фелта или вышестоящего военачальника. Как мы увидим далее, приоритеты на высших уровнях национальной военной и гражданской иерархии выглядели точно так же в 1950-е гг. и во многом так же впоследствии.
На всем протяжении холодной войны эти приоритеты доминировали в командной среде, где:
– обеспечение надежности передачи приказа о применении ядерного оружия считалось намного более важным, чем предотвращение ложной тревоги или несанкционированного действия;
– особое внимание уделялось быстроте реагирования на сигналы предупреждения о ядерной атаке и принятия на высшем уровне решения о применении ядерного оружия по двум причинам:
1. Чтобы успеть уничтожить ядерное оружие неприятеля до того, как его применят;
2. Чтобы успеть запустить американские носители ядерного оружия до того, как будут уничтожены командные пункты и средства связи.
Эффективные предохранители в виде правил или физических средств безопасности означали возможность задержки ответа. А задержка была недопустимой, опасной для выполнения миссии – обезоруживающего удара по неприятелю – и выживания своих вооружений, системы управления и самой страны. Начать с того, что военное руководство прекрасно знало о чрезвычайной уязвимости командных центров и линий связи, но не хотело информировать об этом представителей гражданского общества и чиновников. Перед лицом врага, сравнимого по жестокости с гитлеровцами и имеющего ядерное оружие, которое, как считалось (ошибочно), превосходит наше собственное, любые соображения относительно безопасности и жесткого контроля уходили на второй план.
Существовала еще одна причина – как я понял с подачи ряда офицеров, – по которой Объединенный комитет начальников штабов мирился с недостатками системы управления и длительное время упорно сопротивлялся любым мерам по ужесточению контроля над ядерным оружием. Это было недоверие, прежде всего в периоды кризисов, к мнению гражданского руководства, персонала и советников, особенно к их готовности применить ядерное оружие, когда военное руководство не сомневалось в необходимости такого шага. Такое недоверие возникло при Гарри Трумэне во время Корейской войны (несмотря на Хиросиму и Нагасаки) и усилилось при Эйзенхауэре, особенно в момент кризиса в Тайваньском проливе в 1958 г. Во времена Джона Кеннеди и Макнамары оно лишь углубилось.
Все это вылилось в потрясающее, на мой взгляд, выхолащивание процедур с аутентификационными кодами в конвертах в подразделениях ВВС в тихоокеанском регионе, на которое я наткнулся в начале своего исследования в 1959 г. Оно присутствовало также и в стратегических силах SAC. Там фактически остался всего один конверт с единственной карточкой, содержащей последние четыре цифры восьмизначного сигнала. По сути, это был код начала всеобщей ядерной войны.
Кода команды «Остановиться» или «Вернуться» в конверте или чего-нибудь подобного этому у экипажей самолетов не было. После получения аутентичного приказа о выполнении боевой задачи не оставалось никакой возможности – совершенно сознательно, как оказалось, – убедиться в подлинности приказа развернуться, отданного президентом или кем-либо еще. А подчиняться такому неподтвержденному приказу не полагалось.
Не существовало официально утвержденной процедуры, с помощью которой президент, Объединенный комитет начальников штабов или кто-либо еще мог удержать самолеты, получившие приказ о выполнении боевого задания, от сбрасывания бомб на цели. С этого момента самолеты, как тактические, так и стратегические, уже никто не мог вернуть назад – ни президент, ни его подчиненные, точно так же, как баллистические ракеты. А ведь многим самолетам SAC, взлетевшим с территории США, для достижения цели после получения приказа требовалось 12 часов, если не больше. Этого времени достаточно, чтобы и мировая история, и облик цивилизации решительно изменились: в советско-китайском блоке может произойти переворот, Советы могут признать поражение, не говоря уже о том, что может обнаружиться ужасная ошибка.
Помимо прочего, после отдания приказа о выполнении боевой задачи времени достаточно и для того, чтобы президент просто передумал (по словам некоторых высокопоставленных штабных офицеров, командование беспокоила такая возможность). Опасение подобного рода присутствовало, хотя и не в первых строках, в числе объяснений отсутствия приказа о возвращении в конвертах с кодами аутентификации. Чаще всего говорили, что при наличии в конверте двух карточек с кодом «Стоп» и с кодом «Вперед» в напряженной кризисной ситуации пилот может по ошибке выбрать не ту, которую нужно. Это довольно сомнительное объяснение – если не получен код, соответствующий приказу «Вперед», то код «Стоп» не нужен и не имеет смысла.
Серьезнее было предположение, высказанное мне в 1960 г., о том, что «Советы могут узнать код “Стоп” и развернуть всю армаду назад». Именно такую версию излагают президенту в кинофильме «Доктор Стрейнджлав», объясняя, почему он не может остановить самолеты, посланные безумным начальником базы генералом Джеком Риппером.
Меня сразил реализм этой сцены среди прочего, когда я впервые увидел фильм в 1964 г. Мы с Гарри Роуэном отправились из Пентагона в город в рабочее время, чтобы посмотреть его «по профессиональным соображениям». Мы вышли из темного зала на залитую солнцем улицу, совершенно потрясенные и уверенные в том, что нам показали не художественный фильм, а документальный. (Никто из нас и не подозревал в тот момент, как этого не подозревали и в SAC, что существующие стратегические планы первого и ответного удара в буквальном смысле были аналогом «машины Судного дня» из фильма.)
Откуда, недоумевал я, создатели фильма могли узнать о такой понятной лишь посвященным, предельно секретной (и совершенно немыслимой) детали, как отсутствие кода «Стоп», а также о предположительном объяснении этого отсутствия? Или, если на то пошло, о реальном отсутствии физических ограничений возможности начать атаку по решению командира эскадрильи и даже пилота бомбардировщика без санкции президента? Как оказалось, Питер Джордж, один из сценаристов и автор книги «Красная тревога» (Red Alert), положенной в основу фильма, когда-то был офицером командно-летного состава бомбардировочной авиации британских ВВС. Надо думать, в системе управления бомбардировочной авиацией в Великобритании было много общего с системой SAC, и, похоже, по тем же самым причинам.
Реальное беспокойство, как я слышал не раз от авторитетных штабных офицеров – в частности, от подполковника, а позднее генерал-майора Боба Лукмана из Управления ВВС по военному планированию, – вызывало то, что гражданский президент или (в случае его недоступности или уничтожения Вашингтона) гражданский заместитель может в ситуации неминуемого нападения после отдачи приказа о нанесении ядерного удара передумать и попытаться изменить этот приказ или отменить его. Как результат в лучшем случае мы упустим возможность нанесения скоординированного неожиданного удара, а в худшем – оставим свои вооруженные силы (а вместе с ними и страну) беззащитными перед вражеской атакой, которая уже началась или начнется, как только неприятель узнает о том, что произошло у нас.
Именно такой аргумент генерал Бак Терджидсон (в фильме «Доктор Стрейнджлав» его исполняет Джордж Скотт) приводит президенту, который пытается отозвать самолеты, отправленные генералом Риппером в сторону России. Это довольно реальное представление об ожидаемой реакции большинства офицеров ВВС всех рангов. Как сказал мне майор на авиабазе Кунсан, «если один самолет возьмет курс на цель, все остальные могут последовать его примеру».
Действительно ли это неверие в готовность высокопоставленных гражданских лиц начать ядерную войну – с которым я раз за разом сталкивался на своем опыте в Пентагоне – было ключевым мотивом отсутствия карточки с кодом «Стоп» в конвертах или нет, системы, создаваемые и управляемые военными, на практике гарантировали невозможность возврата бомбардировщиков после получения ими аутентичного приказа о нанесении ядерного удара (отданного кем угодно). Не мог президент и тогда, и сейчас – через эксклюзивное обладание кодами, необходимыми для использования любого вида ядерного оружия (таких кодов, впрочем, не было никогда и ни у одного президента) – физически или как-то иначе гарантированно не допустить отдачу аутентичных приказов Объединенным комитетом начальников штабов или нижестоящим командующим (или даже, как я уже говорил, дежурным офицером на каком-нибудь командном пункте). Это, конечно, не соответствует тому, что все президенты, вплоть до нынешнего, говорили публике. Как я покажу далее, впечатление, которое они создают, не соответствует действительности.
