Буквально каждый космический аппарат оснащается дублирующими системами, то есть несет на борту по два одинаковых комплекта оборудования, один основной, а второй – запасной. Когда аппарат оказывается в космосе, то (за исключением случая с космическим телескопом «Хаббл») уже нет никакой возможности добраться до него и починить те детали на борту, которые вышли из строя, поэтому наличие запасного оборудования – своего рода страховой полис на случай неприятностей.

Дублироваться могут компьютеры, электроника и другие ключевые компоненты аппарата. Компьютер станции MRO, подсистема обработки команд и данных, по сути, является «мозгом» орбитального аппарата и контролирует все его функции. Главный компьютер называется компьютером «комплекта A», а тот, который его дублирует, – компьютер «комплекта B».

– Есть нечто вроде неписаного правила, которое гласит, что нельзя менять ролями комплекты, если в этом нет жесткой необходимости, – говорит Зарек, – потому что могут пройти годы с тех пор, как вы использовали компьютер комплекта B, и вы даже не знаете, работает ли он до сих пор на самом деле.

Но MRO своеобразно решает эту проблему. Он легко переключается туда и обратно между комплектами A и B без команд со стороны. Сам. Без предупреждения. Часто.

– Мы любим говорить, что у станции MRO есть свое собственное сознание, да еще страдающее раздвоением личности, – рассказывает Джонстон, – и мы не очень хорошо понимаем почему. Мы пытались исследовать проблему и так и не разобрались, почему он то и дело передает управление от главного компьютера к дублирующему и обратно, и, честно говоря, мы не управляем этим процессом.

Но, несмотря на раздвоение личности, Mars Reconnaissance Orbiter продолжает функционировать хорошо, говорит Джонстон.

– На наше счастье, обе «личности» в основном «здоровые».

Тем не менее в тот момент, когда случается этот «перебой», космический аппарат переходит в защитный (безопасный) режим, и из-за этого все процессы замирают. После этого аппарат выполняет ориентацию панелями солнечных батарей перпендикулярно к Солнцу (первое условие продолжения работы – гарантировать наличие энергии), а затем разворачивает антенну большого усиления к Земле, чтобы иметь возможность получать команды.

Потом наземная команда проводит диагностику, стремясь понять, что именно послужило поводом для переключения ведущего и ведомого комплектов, и выводит MRO из безопасного режима. Этот процесс может занять несколько суток, а значит, научные инструменты не могут выполнять свои функции, и MRO не может работать в качестве ретранслятора данных для роверов. Так что «перескоки» MRO влияют и на ход других программ. В большей части случаев спутник Mars Odyssey может вступить в строй и поработать ретранслятором, но он не обеспечивает столь же высокую скорость передачи данных.

Несмотря на то что переключения между основным и дублирующим компьютерами, как правило, доставляют лишь неудобство, в истории программы был период, когда эти события начали повторяться с пугающей частотой.

– С 2007 по 2008 год у нас было четыре случая переключения, а затем, в 2009 году, произошли один за другим четыре новых сбоя, – рассказывает Джонстон. – Начинало казаться, что такие события будут происходить все чаще и чаще. Возможно, мы могли потерять управление космическим аппаратом, если бы этот процесс продолжился.

Инженерам пришлось потратить много времени на изучение проблемы, отвлекшись от научных задач и других связанных с проектом вопросов. Хотя им и не удалось полностью решить проблему, вызывающую переключение комплектов в компьютерной системе, они смогли обнаружить иную угрозу, которая могла оказаться фатальной.

– Мы выяснили, что в определенных условиях станция могла полностью и безвозвратно потерять всю память, – говорит Джонстон. – В этом случае она вернулась бы в изначальное состояние, стала бы считать, что находится на стартовом комплексе, и перешла бы в режим получения команд исключительно через физически присоединяющуюся кабель-мачту, которая используется, когда космический аппарат установлен на ракете, а ракета – на стартовой позиции. Поэтому нам пришлось вмешаться и внести в бортовые программы изменение, которое полностью убеждало аппарат MRO в том, что он уже находится на орбите в режиме работы и научных исследований, и это навсегда. И что возможности вернуться к пусковой фазе у него нет.

MRO стал лучше работать после такого исправления, и, по мнению Джонстона, теперь команда «более уверена в том, что, когда сбои такого рода происходят, мы не потеряем нашу станцию из-за них, просто у нас регулярная “смена личности” с одной на другую».

Но проблемы на борту заслуженного искусственного спутника Марса все-таки есть. В тот день, когда я приехала с визитом к Джонстону и Зареку в лабораторию реактивного движения, на MRO вышел из строя радиокомплекс, который занимался ретрансляцией данных для посадочных аппаратов. Инженерам пришлось перезагрузить радиокомплекс (выключить его и включить заново), и после этого он заработал.

– Получается, мы с вами тут разговариваем, а в этот момент могут случаться неожиданности на борту аппарата, который уже десять лет работает в глубоком космосе, – говорит Зарек. – Любое оборудование стареет со временем, космос – это жесткая и неприветливая среда, и я думаю, что нам невероятно везет, что спутник, который каждые два часа, тринадцать раз в сутки, делает новый оборот вокруг Марса и уже сделал свыше 45 000 витков, каждый раз справляется самостоятельно.