В пятничном дайджесте новостей Формулы-1 после Гран-при Сингапура была строчка, за которой я застрял: FIA признала, что спринт-квалификацию испортило всплывающее окно на компьютере сотрудника race control. С ним не успели отреагировать вовремя, а операция, которую нужно было выполнить после, осталась невыполненной — под давлением времени о ней просто забыли.
Спринт-квалификация — короткая отдельная сессия, которая разыгрывает стартовые позиции перед субботним спринтом, мини-гонкой на ограниченную дистанцию. В этом сезоне из чемпионата убрали DRS, антикрыло, открывавшееся на прямых, — и вместо него появился Overtake Mode: когда машина отстаёт менее чем на секунду, она получает почти полмегаджоуля дополнительной энергии за круг и может выдавать её на более высокой скорости, до 355 км/ч против 345. Режим включает вручную race control, и именно этот ручной шаг однажды стал самым дорогим действием уик-энда.
Зацепило здесь вот что: в 2026 году модальное окно — окно, которое перехватывает внимание, требует ответа и висит поверх всего остального — до сих пор умеет остановить систему, где каждая секунда измеряется десятками тысяч долларов.
Всё случилось в первой части спринт-квалификации. Серхио Перес из Cadillac разбил машину, на трассу вышел красный флаг, машины вернулись к гонке — и Overtake Mode не включился. На тайминг-экранах мелькали сообщения «overtake enabled» и «overtake disabled», но после рестарта режим оставался выключенным. Дополнительно тайминг-система дала сбой, из-за чего задержался старт второй части, однако в FIA подчеркнули: две неисправности не связаны.
Официальное заявление называет причину — «человеческий фактор в race control». Николас Томбазис, директор FIA по классу одноместных машин, рассказал Sky Germany подробности. «Обычно повторное включение — ручной процесс, потому что мы хотим убедиться: с точки зрения безопасности включать режим допустимо. На чьём-то компьютере появилось всплывающее окно, на которое не успели отреагировать вовремя. А потом, под давлением времени и прочего давления, об этом просто забыли».
Когда проблему заметили, режим включили на 27 секунд, а потом выключили обратно, сочтя, что так честнее. Вышло наоборот: досталась эта подача лишь тем машинам, которые в тот момент находились в нужной точке трассы. Половина пелотона получила полсекунды преимущества на круг, половина — нет; точнее выразился Карлос Сайнц: «Половина машин проехала круг с мотором, который давал ей полсекунды на круг больше, чем у остальных».
Чинить было нечем: Williams просил судей допустить все 22 машины во вторую часть, давая всем чистый лист, — отказ, регламентных полномочий нет; перезапуск первой части не состоялся бы и вовсе, не хватило бы комплектов резины. Aston Martin держал опцию протеста, результат остался прежним. Томбазис прямо назвал случившееся для FIA почти худшим сценарием: главные приоритеты агентства — безопасность и честность, а здесь пострадал результат.
Контекст делает картину злее. Неделю раньше на Гран-при Малайзии софтверный сбой обесточил гибридные моторы на формационном круге, и рестарт задержали на 48 минут — после того, как обновление софта закачали во все машины разом. F1 уже несколько недель живёт в мире, где софтовый сбой и забытая регламентная ручная операция идут в одной очереди рисков.
Race control — закрытая комната без окон, в которой работают больше тридцати человек: три ряда столов, спереди — локальные специалисты из американского подразделения FIA. Синие столы, забитые коммуникационным оборудованием, переезжают с каждой гонкой наравне с весовыми и safety car, чтобы системы были одинаковыми везде — в Майами, Сингапуре и Лас-Вегасе.
Внутри — рутина, собранная из чётких ролей. Video analyst находит реплеи и бортовые камеры по запросу гонк-директора. Оператор messaging-системы ведёт третью страницу тайминг-экранов — ту самую, где команды получают официальные сообщения стюардов. Отдельный человек держит на экране состояние ERS каждой машины: если гибрид умер, свет на авто может погаснуть, и до этого момента его последнее известное состояние должен знать кто-то один.
Когда случается серьёзный удар, система сама выбрасывает алерт с силой удара и точкой на трассе. Вокруг — не меньше двадцати пяти камер наблюдения на общем экране.
Эта комната держится на системе Racewatch, которую FIA строит уже около пятнадцати лет вместе с австралийской Catapult. Около шести десятков потоков с камер трассы плюс бортовые камеры превращаются в папку по каждому инциденту: видео, аудио и данные по ситуации складываются автоматически. Инициировать инцидент могут из race control, из команд, из удалённого операционного центра или судьи.
У системы есть документированная родословная ошибок. FIA когда-то коммуницировала с командами по электронной почте, пока тогдашний руководитель Ferrari Стефано Доменикали не получил письмо о типе дождевых шин перед стартом мокрой гонки — с тех пор у агентства собственная messaging-система. После Абу-Даби-2021, где под safety car неверно посчитали отставших, появился виджет с очередью за машиной безопасности: круги, отставания, машины в отведении и в боксах собираются сами. После того как в Саудовской Аравии-2024 стартометр не увидел старт Ландо Норриса и штрафовать его было не по чем, на сетку поставили дополнительные камеры, а папка с готовыми роликами стала собираться за 40 секунд после погасших огней — и регламент тут же поправили.
Крис Бентли, отвечающий в FIA за информационные системы одноместных гонок, описывает философию прямо: «Если случается проблема, мы делаем выводы, чтобы в следующий раз её не было». Его коллега из той же команды проводит параллель с авиацией: система должна давать пилоту ровно столько информации, сколько он в состоянии усвоить, и ни миллиметром больше. Ручной шаг после красного флага здесь — сознательный выбор: перед включением режима кто-то должен убедиться в безопасности. Но у системы нет способа узнать, выполнен ли этот шаг.
В сентябре 1997 года ракетный крейсер USS Yorktown из проекта «Smart Ship» оказался у берегов Виргинии примерно на два с половиной часа неподвижен. Матрос, калибровавший топливный клапан, ввёл ноль в базу данных судовой системы мониторинга SMCS — и ноль уронил удалённые терминалы, а вместе с ними инженерную локальную сеть. «Два с половиной часа корабль был тем, что мы называем „мёртвым на воде“», — вспоминал командир Джон Сайли. Починка заняла пару часов и состояла в одной фразе экипажа: «Нужно просто поменять этот ноль на любое другое число — и всё поднимется».
Сначала случился поиск виноватого. Заголовок WIRED звучал как приговор: «Затопленный Windows NT». Спустя несколько месяцев военно-морской флот переложил вину с операционной системы на человека. Оба были правы и оба мимо: система спокойно приняла невозможное значение и не имела обратного пути, кроме как знающего трюк матроса.
Модальное окно работает по той же логике, только вместо нуля — невинное уведомление. Оно перехватывает ввод, висит поверх рабочего поля и требует решения: ответить или закрыть. Всё остальное под ним продолжает работать, но задачи оператора теперь другие: он занят окном. Если ключевая операция системы ручная, любое отвлечение означает потерянный шаг, а потерянный шаг в квалификации означает полсекунды на круг.
Я готов был найти в нормативах прямой запрет: мол, в критических фазах попапы запрещены давным-давно. Запрета нет — и это оказалось самой содержательной находкой.
NASA-STD-3001, свод требований к интерфейсам пилотируемой техники, формулирует иначе. «Всплывающие меню не должны закрывать критическую информацию или информацию, необходимую для выполнения задачи». Всплывающие сообщения должны уметь перемещаться или закрываться экипажем — либо закрываться автоматически. Любая команда должна получить на экране подтверждение, что система её приняла.
Необратимые действия — через диалог подтверждения, а срабатывание критических органов управления требует минимум двух независимых действий. Тревоги раскладываются по приоритетам с постоянной очередью неподтверждённых событий, и мигание отдано только тому, что требует немедленного внимания.
В своём консультационном циркуляре по интерфейсам кабины FAA откровеннее ещё: всплывающие окна там прямо перечислены как легитимный элемент управления, а требование одно — любая обратная связь от графического взаимодействия должна быть «очевидной и недвусмысленной». В документе нет ни слова «modal», и слово «dialog» не встречается вовсе.
Индустрия, стало быть, не запрещает попапы — она запрещает им закрывать нужное и требует, чтобы каждый ввод получал явный отклик. Это жёстче прямого запрета, потому что снимает ответственность с памяти человека. Правда в том, что в Сингапуре всплывающее окно, судя по всему, вообще ничего не перекрывало: его преступление состояло в том, что оно просто появилось. Окно осталось безымянным — ни в заявлении FIA, ни в комментариях Томбазиса не сказано, было ли это уведомление операционной системы, окно корпоративного ПО или что-то третье.
Цена прерывания измеряется не только потерянным временем. В исследовании из CHI-2008 прерванную работу люди выполняли быстрее и не менее качественно — но платили за это ростом стресса, фрустрации, ощущения нехватки времени и усилий. «Прерванная работа может выполняться быстрее, но цену свою она приносит с собой», — резюмировали авторы.
Больше всего эта цена проявилась не в офисах, а в реанимациях. За 31 день наблюдений за 461 пациентом интенсивной терапии мониторы выдали 2 558 760 сигналов: 187 звуковых тревог на койку в день, причём 88,8% размеченных аритмических срабатываний оказались ложными, а 93% истинных событий желудочковой тахикардии не длились достаточно, чтобы вмешиваться. После резонансной смерти 2010 года медсёстры объясняли, что просто не помнили сигналов о брадикардии; регулятор назвал это усталостью от тревог, и с тех пор тема живёт в топе опасностей медтехники.
Окно в race control принадлежит к этому же классу: чем чаще уведомления закрывают рефлекторно, тем вероятнее, что следующий за ним ручной шаг выпадет из памяти. Оператор, видящий за смену сотни служебных окон, вырабатывает единственный рабочий рефлекс — закрыть. Модальное окно учит собственной незначимости, и любой критический шаг, поставленный после него вручную, наследует эту незначимость целиком.
У FIA уже есть рабочий рецепт, и она применяет его сама к себе: каждую ошибку превращать в виджет. Неверный подсчёт отставших под safety car — виджет очереди. Старт, упущенный стартометром, — камеры и автоматическая папка, а потом поправка регламента. Логика переводит то же самое на случай сингапурского окна: состояние режима обгона после красного флага должно висеть перед глазами строкой состояния: сейчас выключено то, что по регламенту должно быть включено. Два независимых подтверждения и явный отклик системы на принятую команду — ровно те требования, которые NASA записала в свой стандарт десятилетия назад.
Сам Томбазис обещал разбор «чтобы такого больше не было», и для F1 это не пустая фраза — после каждого из перечисленных инцидентов система действительно менялась.
Ответ на вопрос зацепки сух и короток: всплывающее окно по-прежнему может остановить критическую систему, пока после него нужен человек, который не отвлёкся. Убрать одно окно из интерфейсов бессмысленно — важен шаг, который нигде не отражён в состоянии системы. Сообщения «overtake enabled» и «overtake disabled» мелькали на тайминг-экранах в ту самую сессию, но как обычный текст общего потока, задачей они не были. Окно ни в чём не виновато: оно просто появилось. Виновата цепочка, в которой после него никто не посмотрел на строку состояния.