13. November 2026
Das Backup, das keine Kopie war
Apollo 11 flog mit zwei Lenksystemen, die nach verschiedenen Prinzipien gebaut waren, und brauchte beide. Ariane 5 flog mit zwei identischen, und ein Fehler stoppte beide. Dieser Unterschied hat einen Namen, und NoWayOS ist dafür gebaut, auf der richtigen Seite davon zu stehen.
Jeder weiß, dass man ein Backup haben sollte. Weniger Leute stellen die unbequeme Anschlussfrage: ein Backup wovon genau?
Fünf Alarme
Am 20. Juli 1969 war die Mondlandefähre von Apollo 11 wenige Minuten von der Mondoberfläche entfernt, als ihr Lenkcomputer einen Alarm auslöste, zu dem die Besatzung bei der Flugleitung nachfragen musste. Dann noch einen. Fünf insgesamt, auf dem letzten Stück des Abstiegs.
Der Computer war überlastet. Was er dann tat, gehört zu den großen Ingenieurleistungen dieser Geschichte: Jedes Mal startete er neu, ließ die Arbeit fallen, die warten konnte, und nahm die Arbeit, die nicht warten konnte, sofort wieder auf. Die Landung ging weiter.
Das ist der Teil, den alle erzählen. Der Teil, der sich als Nächstes zu erzählen lohnt, geschah am Tag darauf.
Das zweite System
Die Mondlandefähre führte ein zweites Lenksystem mit, und es war keine Ersatzkopie des ersten. Ein anderes Unternehmen hatte es gebaut, nach einem anderen Prinzip. Das Hauptsystem hielt seine Orientierung mit einer Plattform, die frei in kardanischen Rahmen schwang. Das zweite hatte gar keine solchen Rahmen: Seine Sensoren waren fest mit dem Raumfahrzeug verschraubt, und wo oben war, rechnete es aus.
Es war dazu da, die Besatzung zurück in die Umlaufbahn zu fliegen, falls das Hauptsystem je ausfiele. Während der Landung wurde es nicht gebraucht.
Dann, auf dem Rückweg zum Andocken an das Kommandomodul, brachte eine Folge von Manövern die Plattform des Hauptsystems in die eine Stellung, mit der eine kardanisch gelagerte Plattform nicht zurechtkommt, und es verlor seine Lagereferenz. Die Besatzung schaltete auf das zweite System um, um das Raumfahrzeug stabil zu halten, und dockte an.
Das zweite System hätte nicht auf dieselbe Weise versagen können. Es hatte das Bauteil nicht.
Zweimal dasselbe
Nun die andere Geschichte. 1996 hob die erste Ariane 5 mit zwei Trägheitsreferenzsystemen ab, die ihr sagten, wohin sie zeigte: eines in Betrieb, eines in Bereitschaft. Sie waren identisch, bis hin zur Software.
Nach siebenunddreißig Sekunden wurde eine Zahl in dieser Software zu groß für den Platz, der für sie vorgesehen war. Das Gerät in Bereitschaft blieb stehen. Das Gerät in Betrieb, auf dem derselbe Code auf demselben Flug lief, blieb ebenfalls stehen. Der Bericht der Untersuchungskommission ist öffentlich, und er ist unverblümt: Es gab nichts, worauf man hätte umschalten können, weil das Backup bereits denselben Weg gegangen war.
Zwei Kopien. Ein Fehler. Nichts mehr übrig.
Wie Ingenieure das nennen
Ein Fehler, der ein System und seinen Ersatz gemeinsam ausschaltet, ist ein Ausfall aus gemeinsamer Ursache. Die Abwehr dagegen ist diversitäre Redundanz: ein zweites System, das so anders gebaut ist, dass das, was das erste stoppt, im zweiten nicht steckt.
Das Space Shuttle flog so. Auf vier seiner Flugcomputer lief die Software eines Unternehmens; auf dem fünften lief Software, die ein anderes getrennt davon geschrieben hatte. Vier Kopien schützen vor einem Computer, der kaputtgeht. Vor einem Programm, das falsch ist, schützen sie nicht, denn auf allen vieren läuft es.
Umsonst ist das nicht. Der erste Start des Shuttle wurde abgesagt, als sich der fünfte Computer und die anderen vier nicht auf die Zeit einigen konnten. Zwei Entwürfe sind mehr Arbeit als einer, und man muss sie zusammenbringen.
Wo NoWayOS ins Spiel kommt
Die meisten dedizierten Geräte laufen heute mit einem von sehr wenigen Allzweck-Betriebssystemen. Ihre Backups auch. Wenn in einer Browser-Engine, einem Desktop oder einem Kernel mit Dutzenden Millionen Zeilen eine Schwachstelle auftaucht, oder wenn ein fehlerhaftes Update hinausgeht, dann taucht sie überall auf, wo diese Software läuft, am selben Tag.
Ein NoWayOS-Gerät ist im Innern anders. Sein Kernel ist seL4, etwa 10.000 Zeilen. Alles von uns darüber ist in Rust geschrieben. Es hat keine Browser-Engine, keinen Desktop und keine Shell, also steckt eine Schwachstelle in einem davon nicht in ihm.
Das heißt: NoWayOS muss nicht ersetzen, was Sie betreiben, um nützlich zu sein. Es kann daneben stehen: als zweiter Weg, eine wesentliche Aufgabe zu erledigen, nach einem anderen Prinzip gebaut.
Was es nicht leistet
Diversität hat Grenzen, und wir möchten, dass Sie sie von uns hören.
Sie gibt einem NoWayOS-Gerät andere Fehler, nicht keine. Sie hilft nicht bei dem, was zwei Systeme teilen: der Stromversorgung, dem Netzwerk, den Diensten dahinter oder einem Irrtum darüber, was die Aufgabe eigentlich sein sollte. Und einige Open-Source-Bestandteile von NoWayOS werden auch in anderer Software verwendet. Deshalb führt jedes Image jede Komponente auf, die es enthält, damit Sie nachlesen können, was es mit dem System daneben gemeinsam hat.
NoWayOS ist in Entwicklung; dies ist also eine Rolle, für die es ausgelegt ist, und noch keine, die es ausgefüllt hat. Die Sicherheitsseite sagt, worauf sie beruht.
Die Ingenieure von Apollo nahmen kein zweites System mit, weil sie erwarteten, dass das erste versagt. Sie nahmen es mit, weil sie nicht beweisen konnten, dass es nicht versagt, und sie sorgten dafür, dass das, was das erste stoppt, im zweiten nichts Vertrautes vorfindet.