Margaret Hamilton: da meteorologia ao software de voo da Apollo

A matemática e o primeiro computador

Margaret Hamilton nasceu em Paoli, em Indiana, e deixou a cidade com seis semanas de vida. ^2,4 Cresceu em cidades pequenas do Meio-Oeste e fez o ensino médio na Península Superior de Michigan. ⁴ A mãe dava aulas no ensino médio, e o pai, professor universitário de inglês, filosofia e poesia, presidiu a Sociedade de Poesia de Michigan. ⁴

Começou matemática na Universidade de Michigan, em 1955, e se transferiu para o Earlham College, onde se formou em 1958 com bacharelado em matemática e filosofia como área secundária. ¹ Contou ao Computer History Museum que a chefe do departamento, Florence Long, a fez querer ensinar matemática numa universidade. ⁴

A informática ainda não era assunto de sala de aula. Num verão de faculdade, Hamilton trabalhou como aprendiz de atuária numa seguradora em Hartford, numa sala cheia de calculadoras Marchant operadas em sua maioria por mulheres, e recusou o convite dos executivos para seguir como atuária. ⁴ O plano era fazer pós-graduação em matemática abstrata na Brandeis, o que ela adiou para sustentar a família enquanto o marido estudava. ⁴

Em 1959 mudou-se para Boston e achou uma vaga provisória no departamento de meteorologia do MIT, com o professor Edward Lorenz, que precisava de alguém para programar. ^1,4 Ela nunca tinha chegado perto de um computador. ⁴ O de Lorenz era um LGP-30, que ficava no escritório dele, e foi o próprio professor quem lhe passou o que sabia: entregava as instruções e mostrava truques, como pôr o código nas posições certas do tambor magnético da máquina para o programa rodar mais depressa. ^4,5

Lorenz é o meteorologista associado à teoria do caos e ao efeito borboleta, e a Linda Hall Library nota que o trabalho de Hamilton para ele coincidiu com a época em que ele descobria esse efeito. ²⁰ O MIT afirma que o trabalho dela alimentou publicações posteriores de Lorenz sobre o caos. ¹ Segundo a ficha dela no Computer History Museum, quem programava naquela época aprendia na prática, porque não havia cursos formais de ciência da computação nas universidades. ⁵ Depois, Hamilton contratou e treinou outra pessoa para escrever o software de Lorenz. ⁴

SAGE: onde o erro não tinha como se esconder

De 1961 a 1963, Hamilton trabalhou no MIT Lincoln Laboratory, no projeto SAGE, o primeiro sistema de defesa aérea dos Estados Unidos. ^1,5 Escreveu software para o protótipo do computador AN/FSQ-7, o XD-1, usado pela Força Aérea para procurar aviões possivelmente hostis. ¹

Ela conta que o recrutador, que só entrevistara homens no quarto do hotel, propôs fazer a conversa no bar do hotel, e que foi contratada ali. ⁴ Como não podia viajar, não fez o curso de seis a oito semanas sobre as instruções da máquina e estudou por conta própria; segundo ela, quando os colegas voltaram, já tinha adiantado a maior parte do trabalho. ⁴

Entre as primeiras tarefas dos novatos estava um programa deixado por um colega que saíra, escrito num estilo tão engenhoso que ninguém o entendia, com comentários em latim e em grego. ⁴ Hamilton conseguiu fazê-lo rodar, e ele imprimiu os resultados. ⁴ Dali tirou uma regra para si: quando escrevesse programas, colocaria comentários. ⁴

O que mais a marcou no SAGE foi a visibilidade do erro. Quando um programa travava, a máquina disparava campainhas e luzes, e todos corriam para descobrir de quem era o programa. ^4,5 O Computer History Museum liga esse ambiente ao interesse que ela passou a ter por software confiável. ⁵

O Laboratório de Instrumentação e a Apollo

O Laboratório de Instrumentação do MIT, hoje independente com o nome de Draper Laboratory, fechou em 1961 o contrato com a NASA para o sistema de orientação da Apollo. ⁷ Em 1965, segundo o MIT, Hamilton se preparava para voltar à pós-graduação quando surgiu um anúncio de jornal: o laboratório procurava gente para escrever software que levasse o homem à Lua. ¹ A pergunta da entrevista dela ao Guardian, em 2019, fala em 1964, e o MIT fala em 1965. ^1,18

Imagem: ArnoldReinhold · CC BY-SA 4.0 · Wikimedia Commons

O MIT diz que ela foi contratada como a primeira programadora do projeto no laboratório e a primeira mulher da equipe. ¹ Hamilton contou ao Guardian que os engenheiros que já estavam no projeto eram de hardware e que, a seu ver, o laboratório concluiu que ela daria conta do desconhecido. ¹⁸

Ela começou nas missões não tripuladas e foi promovida a líder da equipe do software de voo das missões tripuladas. ¹ Hamilton descreve o caminho assim: primeiro o software de sistemas, a parte compartilhada pelos computadores do módulo de comando e do módulo lunar; depois o software do módulo de comando; por volta da Apollo 8, todo o software de bordo. ⁴ Em 1968, segundo o MIT, era diretora-assistente responsável pela equipe do módulo de comando e de serviço, e mais de 400 pessoas trabalhavam no software da Apollo. ¹

Imagem: NASA · Domínio público · Wikimedia Commons

O número muda conforme o que se conta. Hamilton diz que o grupo dela chegou a cerca de 100 pessoas e que outras 300 a 400, os colaboradores de outras áreas, enviavam código que, ao entrar na versão, passava a ser responsabilidade do grupo. ⁴ Cada missão tinha dois supervisores de montagem, apelidados de rope mothers, em referência à memória de corda em que o programa acabava gravado, na Raytheon. ⁴

Imagem: NASA (enviada por Grabert na Wikipédia em alemão) · Domínio público · Wikimedia Commons

Uma falha dela virou prática de trabalho. Hamilton conta que, ao pôr uma mudança sua no software de sistemas da versão do dia, todos os programas travaram e os colegas foram até a porta dela perguntar o que tinha feito. ⁴ A partir daí exigiu uma versão offline: a mudança só entrava na versão principal depois de funcionar ali. ⁴ Sobre o clima do laboratório, escreveu que, por ser o software um mistério, a direção deu à equipe liberdade e confiança totais. ⁶

O bug da Lauren e a Apollo 8

A Apollo 8 decolou em 21 de dezembro de 1968, com Borman, Lovell e Anders, e deu dez voltas na Lua na véspera de Natal, num voo de 147 horas. ¹⁶ Segundo o relatório de David Hoag, diretor do laboratório, foi a primeira vez que os Estados Unidos mandaram homens à Lua, com o sistema de orientação do MIT participando do voo. ¹⁶

Imagem: NASA / Bill Anders · Domínio público · Wikimedia Commons

Antes desse voo, Hamilton viveu um episódio que ela e o MIT contam do mesmo jeito. Ela às vezes levava a filha, Lauren, então com quatro anos, ao laboratório. A menina brincava de astronauta no simulador do módulo de comando e selecionou, com o simulador em voo, o programa P01, de pré-lançamento, e o simulador travou. ^1,4

Hamilton propôs uma mudança no software para impedir a seleção do P01 em voo. Foi vencida: o argumento, nas palavras dela e do MIT, era que astronautas treinados jamais cometeriam o erro. ^1,4 Ela ao menos conseguiu registrar uma nota na documentação do programa dizendo para não selecionar o P01 em voo. ⁴

Na Apollo 8, o erro aconteceu: Jim Lovell selecionou o P01 durante o voo, e os dados de navegação desapareceram. ¹ O MIT diz que Hamilton e a equipe foram chamados para resolver e que, depois, a mudança que ela havia proposto entrou no programa. ¹ Ela chamou o caso de bug da Lauren. ^4,18 O MIT o descreve como exemplo inicial de programação defensiva: software que prevê o erro e o corrige por conta própria. ¹ O relatório de Hoag não menciona o P01, mas registra que, nos poucos problemas operacionais do voo, o computador deu o alarme correto e os astronautas se recuperaram sem ajuda do solo. ¹⁶

Alarmes prioritários e a contagem até cinco

Por volta de 1966, segundo Hamilton, ela passou a se preocupar com uma pergunta: e se houvesse uma emergência e os astronautas não soubessem, porque o computador só mostrava o que eles pediam? ⁴ O software de bordo era assíncrono, mas não podia interromper a tela da tripulação. ⁴ Ela queria que o computador interrompesse os astronautas para avisar de uma emergência. ⁴

Numa reunião com gente de software e de hardware, os de hardware disseram que não dava, porque o equipamento não ficava ligado durante toda a missão e um deles temia que não aguentasse. ⁴ Ela sugeriu deixá-lo ligado, e dias depois a resposta foi que fariam isso. ⁴ Os engenheiros de sistemas objetaram que a conversa entre homem e computador viraria um problema de paralelismo. ⁴

Naquela noite, conta Hamilton, ela foi para casa decidida a resolver a objeção e voltou no dia seguinte com uma solução rudimentar: o astronauta contaria até cinco antes de responder a um alarme prioritário, para saber a qual tela estava respondendo. ⁴ A prática entrou nas listas de verificação da tripulação e ficou conhecida como a tela de cinco segundos. ⁴

Imagem: ArnoldReinhold · CC BY-SA 4.0 · Wikimedia Commons

Um relatório do próprio laboratório sobre o teclado e o visor do computador, de Alan Green e Robert Filene, diz que as Display Interface Routines, as rotinas que ficam entre os programas da missão e o sistema de teclado e visor, foram escritas por Margaret Hamilton. ¹⁵ Ela diz ter escrito pessoalmente as telas prioritárias. ⁴ O Computer History Museum resume o conjunto como o que permitia ao software interromper os astronautas e trocar as telas normais por telas de emergência. ⁵

A base disso era uma peça que não foi dela. O executivo do computador, o escalonador que dava prioridade a cada tarefa e suspendia as menos importantes quando chegava uma mais urgente, foi projetado por Hal Laning em meados dos anos 1960, segundo Don Eyles. ¹² Eyles conta também que, cerca de um ano antes da Apollo 11, a equipe do software lunar recebeu o pedido de escrever o programa de pouso de modo que o computador pudesse ser desligado e religado sem interromper a manobra, a chamada proteção contra reinício. ¹²

20 de julho de 1969: a descida

A Apollo 11 foi lançada em 16 de julho de 1969. ⁶ Em 20 de julho, o módulo lunar Eagle iniciou a descida com a ignição do motor por volta de 102 horas e 33 minutos de tempo de missão. ^10,12

Imagem: NASA · Domínio público · Wikimedia Commons

Cerca de cinco minutos depois, Neil Armstrong avisou: alarme de programa. ^10,12 Era um 1202. ¹⁰ Em Houston, Steve Bales, de 26 anos, responsável pelo computador de orientação do módulo lunar, tinha de dizer se era seguir ou abortar. ^10,12 Numa simulação antes da missão, o controle abortara por causa de um alarme parecido, e o diretor de voo, Gene Kranz, mandou listar os alarmes possíveis. ¹⁹ Bales passou a tarefa a Jack Garman, e a lista, escrita à mão, ficava embaixo do vidro do console. ¹⁹

Garman olhou a lista: o 1202 indicava sobrecarga, e, se o alarme não se repetisse demais, estava tudo bem. ¹⁹ Bales respondeu que era go, e o comunicador de cápsula, Charlie Duke, repassou à tripulação. ^12,19 Na sala de apoio, em Houston, Russ Larson, do MIT, estava ao lado de Garman e fez sinal de positivo com o polegar. ¹²

Imagem: NASA · Domínio público · Wikimedia Commons

Os alarmes voltaram. Buzz Aldrin percebeu que um deles aparecia quando ele pedia a tela 16/68, que mostrava a distância até o local de pouso, e passou a pedir essa informação a Houston. ^10,12 Perto de 102h42 veio um 1201, e Duke respondeu que era o mesmo tipo e que seguiam em go. ¹⁰ Eyles registra três alarmes 1201 e 1202 em 40 segundos na fase de aproximação, a P64. ¹² Armstrong passou o piloto automático para o modo de atitude fixa às 102h43m08s e depois entrou no modo semimanual P66, onde ficou 2 minutos e 20 segundos, sem novos alarmes, até o pouso. ¹²

Eagle tocou o Mar da Tranquilidade às 102h45m40s de missão, cerca de sete minutos depois do primeiro alarme. ^10,12,19 Na sala de monitoramento do laboratório, em Cambridge, Hamilton ouvia as conversas com o controle de missão quando as telas normais foram interrompidas pelas telas de prioridade; ela escreveu que olhou para Fred Martin, do outro lado da sala, e ele para ela. ⁶ Em 2017, disse que tudo aconteceu rápido demais para haver consulta ao laboratório. ⁴

Por que o computador não travou, e quem fez o quê

O relatório da missão, de novembro de 1969, registra cinco alarmes de programa na descida, do tipo executive overflow: o computador não conseguia fazer tudo o que lhe era pedido no ciclo. ⁹ Segundo o relatório, mais de 10% da capacidade do computador estava sendo ocupada por interrupções de contagem sem sentido, vindas das unidades que ligam o radar de encontro ao computador. ⁹

A raiz, segundo o relatório, estava na ligação entre o radar e o computador: a tensão de 800 hertz que excitava o radar vinha de um sistema travado em frequência com a do computador, mas não em fase. ⁹ Don Eyles acrescenta que a falha estava na documentação da interface, que pedia sincronia de frequência e não de fase, e que o problema fora detectado em testes do módulo LM-3 sem ser corrigido. ¹² Com a chave do radar em AUTO ou SLEW, posições previstas nos procedimentos da tripulação, os contadores subiam e desciam quase sem parar e consumiam de 13% a 15% do tempo do computador. ^9,12

A folga era pequena. O computador operava a cerca de 90% da capacidade no pico da descida, segundo o relatório, e a tela 16/68 tirava um pouco mais. ^9,12 Quando a tarefa longa de navegação não terminava antes de ser agendada de novo, o executivo reservava outra área de memória, até esgotá-las, e chamava o alarme. ¹²

Imagem: NASA · Domínio público · Wikimedia Commons

Foi aí que o desenho do software contou. A cada alarme, o computador reiniciava, descartava a fila de tarefas acumuladas e retomava só o que estava protegido contra reinício, como a direção do motor e a tela da tripulação. ^11,12 Hamilton descreveu o mecanismo, em 2009, como o de limpar toda a fila e reiniciar as funções, deixando passar só as de maior prioridade até o pouso. ⁶

Esse desfecho teve vários autores. Hal Laning projetou o executivo. ¹² Don Eyles e Peter Adler, dois jovens do laboratório, programaram as rotinas de voo propulsado do módulo lunar: Eyles ficou com a descida, e Adler com as demais fases com motor, exceto a subida. ¹¹ Em Houston, George Cherry, gerente do sistema de orientação no MIT, diz ter respondido ao controle que os dados baixados pareciam normais. ⁶ A causa só foi explicada depois: George Silver, especialista no radar de encontro, ouviu os alarmes pela TV, lembrou de um caso dos testes do LM-3 e só conseguiu falar com os representantes do MIT em Houston na manhã de 21 de julho, menos de uma hora antes da decolagem da Lua. ¹²

O papel de Hamilton foi liderar a divisão que escreveu e testou o software de voo, incluindo a parte de sistemas, com a detecção de erros, a recuperação e as telas prioritárias. ^5,6,15 Em 2017 ela apontou Garman como quem decidiu pelo prosseguimento e disse que os dois recordaram aquele dia muitas vezes. ⁴

O nome do ofício e as empresas

Hamilton conta que, no laboratório, os engenheiros de hardware e os aeronáuticos eram engenheiros e os programadores eram tratados como cidadãos de segunda classe. ⁴ Nas simulações, notou que decisões de projeto, interrupções e interfaces eram parecidas no hardware e no software, e propôs chamar uma parte do sistema de engenharia de software. ⁴ Os colegas acharam graça, até que um respeitado engenheiro de hardware disse, numa reunião grande, que o que eles faziam era engenharia tanto quanto o hardware. ^4,18

Quem inventou o termo? Hamilton diz que o usou na Apollo, e a Linda Hall Library situa o uso a partir de 1968. ²⁰ Brian Randell, que foi coeditor do relatório da conferência da OTAN em Garmisch-Partenkirchen, em 1968, escreveu que o termo era então essencialmente desconhecido e que o título da conferência foi escolhido, ele pensa que por Fritz Bauer, para provocar. ²³ Bertrand Meyer achou a expressão em uma carta de agosto de 1966 do presidente da ACM, Anthony Oettinger. ²⁴ A própria Hamilton, na história oral, deixou a dúvida: não sabe se o termo já era conhecido na Rússia ou em outro lugar. ⁴

Hamilton deixou o MIT em meados dos anos 1970. ¹ Segundo o Computer History Museum, chefiou também o esforço do software de voo do Skylab, e a Agência FAPESP registrou em 2003 que, depois da Apollo, ela trabalhou nos programas do Skylab e do ônibus espacial. ^5,21

Em março de 1976, publicou com Saydean Zeldin, na revista IEEE Transactions on Software Engineering, o artigo Higher Order Software, sobre uma metodologia para definir software. ¹⁷ No mesmo ano criou a Higher Order Software, empresa baseada na prevenção de erros e na tolerância a falhas, e a Wikipédia registra Zeldin como cofundadora. ^1,25 Em 1986 criou a Hamilton Technologies, cujo produto principal é a Universal Systems Language (USL), uma linguagem e metodologia de modelagem para sistemas que priorizam a prevenção de erros. ¹

A ideia central da USL, segundo o Computer History Museum, é que, em vez de procurar mais formas de testar erros e testar até o fim do ciclo, a maioria dos erros nem entra no sistema, pela forma como ele é definido. ⁵ Hamilton repetiu a lição ao Guardian em 2019: definir o sistema desde o início para minimizar erros, em vez de produzir código e corrigi-lo com remendos sobre remendos. ¹⁸

A fama tardia e a despedida

Em 3 de setembro de 2003, a NASA anunciou que Hamilton recebera o NASA Exceptional Space Act Award por contribuições científicas e técnicas. ⁸ O administrador da agência, Sean O'Keefe, disse que os conceitos criados por ela e pela equipe se tornaram os alicerces da engenharia de software moderna, e Paul Curto, que a indicou, disse ter se surpreendido ao descobrir que ela nunca fora formalmente reconhecida. ⁸ A Agência FAPESP informou que o prêmio veio com US$ 37,2 mil, o maior valor já entregue a um indivíduo na história da NASA. ²¹

O historiador William Ashworth, da Linda Hall Library, escreveu em 2021 que, nos dois livros que consultou sobre o computador da Apollo e a computação no programa, de 1996 e 2008, Hamilton quase não aparece, e sugere que a atenção das redes sociais às mulheres cientistas ajudou a mudar isso depois de 2016. ²⁰ O curador do Smithsonian Andrew Meade McGee diz que ela só foi amplamente reconhecida fora da computação e da aeronáutica nas últimas duas décadas. ³

A foto de 1969 em que Hamilton aparece ao lado de uma pilha de listagens circulou nas redes e a tornou um ícone para mulheres na ciência e na tecnologia, segundo o MIT. ^1,7 Sobre a origem da imagem, o MIT diz que quem a fez foi um fotógrafo do laboratório, para divulgar o trabalho do Laboratório de Instrumentação. ⁷ Hamilton disse ao Guardian que a pilha foi montada com todas as listagens da Apollo que havia na sala dela. ¹⁸

Imagem: Draper Laboratory (restaurada por Adam Cuerden) · Domínio público · Wikimedia Commons

Em 22 de novembro de 2016, o presidente Barack Obama entregou a ela a Medalha Presidencial da Liberdade, na Sala Leste da Casa Branca. ^1,13 Ao anunciar os 21 premiados em 16 de novembro, a Casa Branca resumiu que ela contribuíra para conceitos de software assíncrono, escalonamento por prioridade, telas de prioridade e decisão com humano no circuito. ¹⁴

Vieram ainda o título de Fellow do Computer History Museum, em 2017, o conjunto Women of NASA, da Lego, também em 2017, e, em 2019, o Intrepid Lifetime Achievement Award e uma homenagem do Google, que usou mais de 100 mil espelhos de uma instalação solar no deserto de Mojave para desenhar o retrato dela com a luz da Lua. ^1,5,20 A posse da turma de 2022 do National Aviation Hall of Fame, que incluía Hamilton, estava marcada para 24 de setembro de 2022, e em 2025 o Museu Nacional do Ar e do Espaço, do Smithsonian, deu a ela o Troféu Michael Collins pelo conjunto da obra. ^1,3,22

Hamilton morreu em 30 de setembro de 2026, aos 90 anos, num hospital de Cambridge, e a filha, Lauren Hamilton, comunicou a morte à Associated Press. ² O MIT publicou o obituário em 7 de outubro de 2026 e informou que haverá uma cerimônia em memória dela na primavera, em Cambridge. ¹ O administrador da NASA, Jared Isaacman, escreveu na rede X que o trabalho dela ajudou a tornar possíveis as primeiras viagens humanas à Lua. ² Segundo Maia Weinstock, criadora do conjunto de Lego, em texto ao Nature resumido pelo MIT, Hamilton trabalhou na Hamilton Technologies até depois dos 80 anos. ¹