В каждом самолете на боевом дежурстве или командном пункте находился конверт в конверте. После получения сообщения в соответствии с процедурой Spark Plug надлежало выполнить следующие действия:
«На внешней стороне [конверта] указана серия… Если эта серия совпадает с той, что передана в сообщении, вскрыть конверт. На внешней стороне внутреннего конверта напечатаны две кодовые буквы; если эти буквы совпадают с первыми двумя буквами сообщения, “Подняться в воздух”. Если получено сообщение (первое или последующее), содержащее четыре буквы, первые две из которых совпадают с теми, что напечатаны на внешней стороне внутреннего конверта, вскрыть внутренний конверт. Если карточка внутри содержит все четыре буквы, “Применить” имеющееся оружие для удара по намеченной цели.
При наличии возможности и в целях снижения вероятности ненамеренного или несанкционированного действия конверт надлежит вскрывать в присутствии как минимум еще одного лица, знакомого с процедурой Spark Plug (не применяется к командирам самолетов, несущих бомбы)».
Требование вскрывать конверт в присутствии двух человек относилось только к командным пунктам, поскольку практически все бомбардировщики Командования ВВС США в зоне Тихого океана (PACAF), в отличие от бомбардировщиков SAC, были одноместными. «После получения сообщения передающие станции транслируют его открытым текстом [т. е. в незашифрованном виде] с установленными интервалами в течение одного часа, если не получают приказ прекратить трансляцию».
Тот факт, что коды одинаковы для всех самолетов и меняются редко, стал полной неожиданностью и для SAC, и для Командования ВВС в зоне Тихого океана. В обоих случаях это означало, что любой пилот на боевом дежурстве на земле или в воздухе мог просто вскрыть свой конверт – два конверта в случае PACAF – и узнать полный код аутентификации.
Поскольку любой пилот в воздухе, получив такой сигнал, должен был передать его другим самолетам своей эскадрильи по прямому высокочастотному каналу, тот, кто поднялся в воздух по тревоге и решил увлечь за собой остальные бомбардировщики для удара по России, мог вскрыть конверты и сообщить другим самолетам о получении очень слабого сигнала с соответствующим кодом. В условиях, которые я описывал выше, это вполне могло сработать.
Возвращаясь к той первой моей докладной записке по вопросам национальной безопасности, я сейчас понимаю, что она, во-первых, повлияла на направление моих исследований на базах Командования ВВС в зоне Тихого океана в следующем году, а во-вторых, предвосхитила ошеломляющие ответы, полученные мною. Никто из тех, с кем я говорил, не задавался прежде такими вопросами, и никто не считал их оторванными от действительности, когда они были озвучены.
Например, в случае аутентификации с использованием конвертов, когда я спрашивал о возможности возникновения ситуации, в которой сделавший сознательный выбор (или неуравновешенный) пилот может убедить других в необходимости атаковать цели, типичный ответ выглядел так: «Ну, он не может сделать этого по той причине, что ему неизвестен полный код подтверждения подлинности сообщения».
В этом месте я делал паузу в ожидании, что кто-нибудь изменит свое мнение (но этого никогда не случалось). А затем замечал небрежно: «Если он не вскроет конверты».
Даже после этого далеко не всегда наступало прозрение. Я нередко слышал: «Но это нарушение приказа. Если не получен полный сигнал, он не может вскрыть его».
Такой ответ, впрочем, повисал в воздухе ненадолго. Исходная предпосылка, в конце концов, заключалась в том, что офицер по той или иной причине был уверен (как генерал Джек Риппер в фильме Кубрика «Доктор Стрейнджлав», вышедшем на экраны через несколько лет) в начале Третьей мировой войны. Он собрался сбросить термоядерную бомбу на Россию и не рассчитывал вернуться назад. Все, с кем я встречался, соглашались к этому моменту дискуссии, что это реальная проблема, какой бы маловероятной она ни была.
* * *
Помимо прочего, я обнаружил, что такая ситуация характерна не только для пилотов на боевом дежурстве, но и для дежурных офицеров на уровне баз, авианосцев и тихоокеанского командования вооруженными силами в целом. Другим повсеместным явлением было несоблюдение правила двойного контроля при вскрытии конвертов.
Для предотвращения несанкционированного действия с кодами со стороны одного дежурного офицера на каком-либо командном пункте было придумано универсальное и, казалось, надежное правило, в соответствии с которым на дежурстве постоянно, днем и ночью, должны находиться как минимум два офицера. Они вдвоем должны участвовать и прийти к общему мнению по вопросам аутентификации приказа о применении ядерного оружия от вышестоящего командира и передачи этого приказа нижестоящим командирам.
Поскольку условия на разных базах были разными, на каждом командном пункте, как оказалось, существовали собственные процедуры исполнения данной директивы. В соответствии со стандартной процедурой код подтверждения подлинности сообщения делился на две части и хранился в двух конвертах, и у каждого из двух постоянно присутствовавших дежурных офицеров находился только один конверт. Помимо этого, половины кодов, которые посылались нижестоящим командирам для аутентификации приказа о выполнении боевого задания, хранились в отдельных сейфах.
Каждый из двух дежурных офицеров должен был держать один конверт и знать комбинацию замка только одного из сейфов. При получении сигнала, скажем, из восьми цифр офицеры должны были вскрыть свои конверты и убедиться в том, что четырехзначные коды на карточках внутри соответствуют целой группе полученных цифр. После этого офицерам предписывалось открыть свои сейфы и в случае обоюдного согласия послать сообщение с объединенным кодом.
На командных пунктах, где был только один сейф, оба офицера могли держать свои половины кода в нем. Так или иначе, предполагалось, что на всех командных пунктах создавались условия, в которых один офицер не мог самостоятельно ни аутентифицировать входящее сообщение, ни отдать аутентичную команду на выполнение боевого задания.
На практике, однако, не все выглядело так. Как объяснили мне дежурные офицеры в разных местах, нередко на дежурстве находился только один человек. Требование иметь двух квалифицированных офицеров на каждом посту в любой момент времени ночью было слишком сложным для выполнения. График дежурств составлялся соответствующим образом, однако он не предусматривал подмены, когда одному из офицеров нужно было отлучиться для принятия пищи или по неотложным делам, связанным со здоровьем, а на некоторых базах с семьей. Следовало ли блокировать всю систему передачи команд и делать невозможным прием аутентичных приказов о выполнении боевой задачи, если один оставшийся дежурный офицер получал то, что представлялось командой на применение ядерного оружия?
Этого нельзя было допускать, с точки зрения несущих дежурство офицеров, каждый из которых мог на практике оказаться в такой ситуации. Поэтому они подходили к ней «неформально», по своему усмотрению или, чаще, по негласной договоренности со своими сослуживцами. В действительности все они знали комбинации замков обоих сейфов или могли получить их в нужный момент. Если сейф был единственным, то каждый офицер получал доступ к нему. Оба конверта находились у одного офицера, когда второй отлучался. Там, где существовали более строгие правила безопасности, офицеры всегда изобретали на досуге пути их обхода «в случае необходимости». И такие пути обязательно находились. Я видел это на всех командных пунктах, где побывал.
