13 de noviembre de 2026
El respaldo que no era una copia
El Apolo 11 voló con dos sistemas de guiado construidos sobre principios distintos, y necesitó los dos. El Ariane 5 voló con dos idénticos, y un solo fallo detuvo ambos. Esa diferencia tiene nombre, y NoWayOS está construido para quedar del lado correcto.
Todo el mundo sabe que conviene tener un respaldo. Menos gente hace la incómoda pregunta siguiente: un respaldo ¿de qué, exactamente?
Cinco alarmas
El 20 de julio de 1969, el módulo lunar del Apolo 11 estaba a pocos minutos de la superficie de la Luna cuando su ordenador de guiado lanzó una alarma por la que la tripulación tuvo que preguntar al control de la misión. Luego otra. Cinco en total, en el último tramo del descenso.
El ordenador estaba sobrecargado. Lo que hizo a continuación es una de las grandes obras de ingeniería de esta historia: cada vez, se reinició, soltó el trabajo que podía esperar y retomó de inmediato el que no podía. El alunizaje siguió adelante.
Esa es la parte que todos cuentan. La parte que merece contarse después ocurrió al día siguiente.
El segundo sistema
El módulo lunar llevaba un segundo sistema de guiado, y no era una copia de repuesto del primero. Lo construyó otra empresa, sobre otro principio. El sistema principal mantenía la orientación con una plataforma que giraba libremente sobre cardanes. El segundo no tenía cardanes: sus sensores iban atornillados directamente a la nave, y calculaba dónde estaba arriba con aritmética.
Estaba allí para llevar a la tripulación de vuelta a la órbita si el sistema principal llegaba a detenerse. Durante el alunizaje no hizo falta.
Después, en el ascenso para acoplarse con el módulo de mando, una serie de maniobras llevó la plataforma del sistema principal a la única posición con la que una plataforma con cardanes no puede, y perdió su referencia de actitud. La tripulación pasó al segundo sistema para mantener estable la nave, y se acopló.
El segundo sistema no podría haber fallado del mismo modo. No tenía esa pieza.
Dos iguales
Ahora la otra historia. En 1996, el primer Ariane 5 despegó con dos unidades de referencia inercial que le decían hacia dónde apuntaba: una en funcionamiento y otra en reserva. Eran idénticas, hasta en el software.
A los treinta y siete segundos, un número dentro de ese software se hizo demasiado grande para el espacio que tenía reservado. La unidad de reserva se detuvo. La unidad en funcionamiento, que ejecutaba el mismo código en el mismo vuelo, se detuvo también. El informe de la comisión de investigación es público, y es tajante: no había nada a lo que cambiar, porque el respaldo ya había seguido el mismo camino.
Dos copias. Un fallo. No quedó nada.
Cómo lo llaman los ingenieros
Un fallo que se lleva por delante un sistema y su repuesto a la vez es un fallo de causa común. La defensa contra él es la redundancia diversa: un segundo sistema construido de forma lo bastante distinta como para que lo que detiene al primero no esté en el segundo.
El transbordador espacial volaba así. Cuatro de sus ordenadores de vuelo ejecutaban el software de una empresa; el quinto ejecutaba software escrito por separado por otra. Cuatro copias protegen de un ordenador que se avería. No protegen de un programa que está mal, porque los cuatro lo están ejecutando.
No sale gratis. El primer lanzamiento del transbordador se canceló cuando el quinto ordenador y los otros cuatro no lograron ponerse de acuerdo en la hora. Dos diseños dan más trabajo que uno, y hay que hacer que se encuentren.
Dónde entra NoWayOS
La mayoría de los dispositivos dedicados ejecutan hoy uno de un número muy pequeño de sistemas operativos de uso general. Sus respaldos también. Cuando aparece un defecto en un motor de navegador, un escritorio o un núcleo de decenas de millones de líneas, o cuando sale una actualización defectuosa, aparece en todos los lugares donde se ejecuta ese software, el mismo día.
Un dispositivo NoWayOS es distinto por dentro. Su núcleo es seL4, unas 10 000 líneas. Todo lo nuestro por encima de él está escrito en Rust. No tiene motor de navegador, ni escritorio, ni shell, de modo que un defecto en uno de ellos no está en él.
Eso significa que NoWayOS no tiene que sustituir lo que usted ya utiliza para ser útil. Puede estar a su lado: una segunda manera de hacer una tarea esencial, construida sobre otro principio.
Lo que no hace
La diversidad tiene límites, y preferimos que los conozca por nosotros.
Le da a un dispositivo NoWayOS fallos distintos, no ninguno. No hace nada por lo que dos sistemas comparten: la alimentación, la red, los servicios que hay detrás, o un error en lo que la tarea debía ser. Y algunas de las piezas de código abierto de NoWayOS se usan también en otro software, por lo que cada imagen enumera cada componente que contiene, para que usted pueda leer qué tiene en común con el sistema de al lado.
NoWayOS está en desarrollo, así que este es un papel para el que está diseñado, no uno que haya desempeñado ya. La página de seguridad dice en qué se apoya.
Los ingenieros del Apolo no llevaron un segundo sistema porque esperaran que el primero fallara. Lo llevaron porque no podían demostrar que no fallaría, y se aseguraron de que aquello que detuviera al primero no encontrara nada conocido en el segundo.