從法航空難看自動化悖論：數字設備解決了小麻煩，卻為大災難埋下隱患？_風聞

我們正越來越多地藉助計算機來駕駛飛機或者進行安全檢查。無人駕駛汽車將是自動化技術的下一突破口。然而，人類對自動化的依賴是否正在削弱我們的技能？這是否會成為一件危險的事？文中提到的法航447號班機空難正是一個血淋淋的例子。

當睡眼惺忪的馬克·杜波依斯（Marc Dubois）走進自己飛機的駕駛艙時，見到的是一片混亂景象。

飛機顛簸得很厲害，連清儀盤上的讀數都難以看清。報警聲此起彼伏地響起，副駕駛正在操控飛機。身為機長的杜波依斯故作鎮靜地問道：“出什麼事了？”

副駕駛大衞·羅伯特（David Robert）的回答就沒那麼平靜了：“我們完全失去了對飛機的控制，不知道怎麼回事！我們把所有的東西都試過了！”

事實上，機組人員當時是可以控制住飛機的，本來只需要一組簡單的動作就可以結束這場混亂，但他們沒有，連試都沒有試一下。副駕駛羅伯特只有一句話是説對了：他不知道發生了什麼事。

正如作家兼專業飛行員威廉·朗格維舍（William Langewiesche）一篇寫於2014年的文章中所描述的，法國航空447號班機起飛時非常順利，它於當地時間2009年5月31日下午7點29分在里約熱內盧準時起飛，目的地是巴黎。

事後看來，這三位飛行員各自都有弱點。

32歲的副駕駛皮埃爾-塞德里克·博南（Pierre-Cedric Bonin）很年輕，經驗不足；

37歲的大衞·羅伯特經驗更多一些，但他剛剛成為法航的管理人員，不再擔任全職飛行員；

57歲的機長馬克·杜波依斯經驗豐富，但他在里約期間一直陪伴一位休班的空乘遊山玩水。後來媒體曝出，他登機前只睡了一個小時。

幸運的是，雖然存在這些潛在的安全缺陷，但機組人員掌控的是世界上最先進的飛機之一：一架空中客車A330，它的操縱極其順暢，非常易於上手。

這種飛機還擁有一種更加精密的自動化系統，叫做電傳飛行控制系統。

傳統的飛控系統，飛行員是通過機械方式直接控制襟翼，包括方向舵、升降舵和副翼，這也意味着飛行員可能出錯的環節很多。

電傳飛控系統更平穩，也更安全。在飛行員（連帶他們的各種失誤）跟飛機的機械運轉之間，電傳飛行控制系統“橫插了一竿子”。它可以説是人與機器之間的翻譯，一面觀察飛行員對控制系統的操作，搞清楚飛行員希望飛機如何移動，一面完美地執行這一意圖。它可以把蹩腳的操作轉換為優雅的飛行動作。

這使得A330極難墜毀，該機型的安全記錄也非常了不起：自從1994年問世以來，A330在此後15年間的商業飛行中沒有發生過一起墜機事故。

但是，自相矛盾的是，**打造一種如此細緻入微地對飛行員提供保護的飛機，這是有風險的。**這意味着，當某種少見的緊急情況出現時，飛行員基本上都沒有過處理經驗。

447號班機當時面臨的狀況其實並不是特別兇險：飛行路線上空出現了暴風雨。這些都不是什麼大問題，但或許機長杜波依斯過於大意了，起飛之後他就離開駕駛艙補覺去了，讓經驗不足的博南負責操控飛機。

博南很緊張，麻煩剛露苗頭就讓他爆了粗口：“真他媽該死，他媽的！”他不止一次表達了要讓飛機在“3-6”（即36,000英尺）飛行的想法——令人遺憾的事實是，法航標準操作程序建議A330在較低的高度飛行。

雖然飛到雲層上方來躲避暴風雨是行得通的，但飛機有飛行高度限制，高空的大氣非常稀薄，提供的升力不足。在那樣的高度上，飛行的容錯率很低，出現失速的風險很高。如果飛機以過於陡峭的仰角爬升，就容易發生失速，一旦發生這種情況，飛機就會以頭朝上的姿勢朝地面墜去。

幸運的是，高空也提供了足夠的時間和空間來糾正失速。而且駕駛飛機擺脱失速狀態，是每一位飛行員都要掌握的基本功。

隨着法航447號班機接近暴風雨，機翼開始結冰。博南和羅伯特開啓了除冰系統，以防止積冰製造的阻力拖慢飛行速度。羅伯特數次勸告博南把操縱桿往左拉，以避開暴風雨最猛烈的區域。

接着，警報聲響起，表示自動駕駛儀已經斷開，飛機上的一個空速傳感器因結冰而停止了工作——這不是什麼大問題，但這個問題需要飛行員接管飛機控制權。

但與此同時，另一個變化也因此發生：電傳飛行控制系統切換了模式，自我降級，這時候它能給予飛行員的輔助減少，而飛行員則擁有了更大的控制權。

第一個後果幾乎是立刻出現的：飛機開始左右不停地搖晃，博南過於猛烈地拉動了操縱桿。然後，他又犯了一個簡單的錯誤：他向後拉動操縱桿，飛機開始急劇爬升。

隨着機頭朝上，飛機開始失去空速，自動語音不斷報警：“失速！失速！失速！”可是博南還在向後拉操縱桿。在大西洋的黑色夜空中，這架飛機以每分鐘2000米的速度扶搖直上。

然而，飛機馬上就要陷入失速狀態，然後就會朝1萬米下的水面墜去。要是博南或羅伯特當時能夠意識到發生了什麼事，事情本來可以在早期階段就得到解決。但他們並沒有，為什麼呢？

問題的根源在於那個保障A330安全飛行15年、跨越數百萬英里的系統：電傳飛行控制系統。

或者更確切地説，問題並非源自該系統，而是這樣一個事實：飛行員已經變得極度依賴它。

讓博南犯錯的問題被稱為模式混淆。

也許他沒有意識到，飛機已經切換到替代的控制模式，而他在這種模式下獲得的幫助將變得少很多。也許他已經知道飛機切換了模式，但並沒有完全理解其中的含義：飛機現在將任由自己失速。

為什麼博南和羅伯特對警報置之不理？

最合理的解釋就是：他們以為這是飛機在用自己的方式告知，它正在出手干預以防止失速。

簡而言之，博南讓飛機失去了空速，因為他的直覺認為，有了飛控系統的輔助，根本不會發生飛機失速。

博南缺乏在沒有計算機輔助情況下駕駛飛機的經驗，這進一步加劇了局面的混亂。

雖然他飛A330的時間也不算短了，但他大部分時候都只是在監控和設置飛機的計算機，而不是直接手控。至於那少部分手動駕駛的時間，幾乎也都是在飛機起降的時候。所以他當時的手足無措也就毫不奇怪了。

正如威廉·朗格維舍所寫，飛行員根本不習慣在沒有計算機輔助的情況下駕駛飛機。

即使經驗豐富的機長杜波依斯也有點手生了：他在過去6個月總計執飛346小時，其中只有4小時是在手動駕駛，而且全都是在飛控系統全力輔助下進行的。機上的三名飛行員都被剝奪了練習飛行技巧的能力，因為通常情況下負責駕駛的是飛機自己。

這個嚴重的問題其實是有説法的，叫做**“自動化悖論”**。它適用於各種情境，從核電站的操作員到遊輪的船員，從我們再也記不住電話號碼的簡單事實（因為我們把號碼都存到了手機）到我們現在都不擅長心算（因為我們周圍到處都有電子計算器）。

自動化系統變得越出色，人類操作員的技能就會變得越生疏，繼而造成他們必須面對的狀況變得越極端。

《人為錯誤》（Human Error）一書的作者、心理學家詹姆斯·瑞森（James Reason）寫道：

“手動控制是一項高度技能化的活動，而技能是需要不斷練習才能保持水準的。然而，極少出錯的自動化控制系統剝奪了操作員練習基本控制技能的機會……這意味着，當出現異常狀況需要手動控制時，操作員要有更熟練的技能，而不是反過來。”

“自動化悖論”可以分為三個層面：

**通過具備易於操作的特點以及自動糾錯功能，自動化系統可以容忍人工的無能。**正因為如此，一個技能不熟練的操作員可以濫竽充數很長時間，直至他的無能被暴露出來——這種無能會製造極大的隱患，幾乎可以無限期地存在下去。

即便操作員是專家，由於有了自動化系統，他們的技能得不到練習，久而久之，這種技能也會變得生疏。

**自動化系統失效往往發生在異常狀況中，或者會造成異常狀況，這需要操作員能夠熟練地應對。**一種更強大、更可靠的自動化系統只會讓問題變得更糟。

在很多情形中，自動化系統並不會製造這樣的悖論。

比如説，客服網頁可以處理一般性的投訴和請求，這樣人工客服就可以繞開這部分工作，在更復雜的問題上為客户提供更好的服務。

至於駕駛飛機，情況就另當別論了。自動駕駛儀和電傳飛控系統提供的輔助並不會讓機組人員騰出時間去關注其他更有意義的事情，只是讓他們有功夫偷閒睡覺。

小憩被突然中斷，機長杜波依斯在空速傳感器失效1分鐘38秒後，回到了駕駛艙。飛機仍然處在1萬米的高空，不過它正以超過每秒45米的速度墜落。

除冰系統運轉正常，空速傳感器開始再次運行，但副駕駛們不再信任飛機上的任何儀器，可是這些儀器其實都在正常運轉着，它告訴飛行員飛機根本不在往前飛，而是在向萬米下方的水面墜落。

但是，機組人員並沒有意識到出故障的儀器已經恢復正常，反而是認定更多儀器出了問題。杜波依斯沉默了23秒——23秒已經很長，足以讓飛機的高度下降1200米。

飛機在這時候仍然是有救的，但前提是杜波依斯能正確判斷飛機狀態。

機頭的位置現在已經非常高，以至於失速警報已經停止。有幾次，博南稍稍把機頭往下壓了壓，失速警報器又開始響起來——這無疑讓他更摸不着頭腦了。

博南試圖減速，因為他擔心飛機飛得太快了，但這恰恰與事實相反：飛機的時速還不到110公里，已經太慢了，而飛機墜落的速度是這個數字的兩倍。完全搞不清狀況的飛行員們進行了簡短的討論，試圖弄清楚飛機到底是在爬升還是在墜落。

博南和羅伯特朝彼此大喊大叫，兩個人都在試圖控制飛機。駕駛艙裏的三個人自説自話，已無暇顧他。飛機仍然是機頭向上，但正在快速墜落。

晚上11點13分40秒，羅伯特朝着博南大喊：“爬升，爬升！”博南迴答説，他一直在把操縱桿向後拉——如果杜波依斯早點知道的話，這則信息可能有助於他判斷出飛機正在失速。

終於，杜波依斯搞清楚了狀況，急忙喊道：“不，不要爬升。”

羅伯特宣佈，他在控制飛機，開始把機頭往下壓。飛機終於開始加速，但他晚了大約1分鐘……飛機的高度只剩下3300米。在垂直墜落的飛機和大西洋的水面之間，已經沒有足夠的空間讓飛機重新飛起來了。

1分鐘後，447號班機以大約200公里的時速撞上水面。機上所有人，包括228名乘客和機組人員，當場死亡。

作為航空安全領域備的權威，厄爾·維納（Earl Wiener）提出了 “維納定律”。

其中有一條是：“數字設備消滅了小錯誤，但同時為重大事故埋下了隱患。”

我們不妨將之改為：“自動化技術能夠解決小麻煩，但偶爾也會引發大麻煩。”這一見解的適用範圍不僅限於航空領域。

想必我們很多人都有過被導航軟件帶溝裏的經歷，前不久特斯拉汽車爆出的好幾起事故也讓我們記憶猶新。

這就引出了一個問題，如果自動駕駛汽車普及開來，那是不是也會遭遇“自動化悖論”的困擾？

谷歌自動駕駛汽車項目的負責人克里斯·厄姆森（Chris Urmson）希望這種汽車很快得到普及，這樣他的子孫就再也不用去考駕照了。這個目標藴藏的含義是：與飛機的自動駕駛儀不同，自動駕駛汽車永遠不需要把控制權交還給人類。

卡內基梅隆大學的自動駕駛技術專家拉傑·拉傑庫馬爾（Raj Rajkumar）認為**，**我們距離實現完全自動駕駛，還有10-20年時間。

在此之前，預計會是一種更為漸進的過程：在較為簡單的環境中，讓汽車自動駕駛，而人類則在情況變得複雜時接管控制權。

“隨着時間的推移，能實現自動駕駛的場景將會不斷增多。直到有一天，汽車將能完全自主行駛，但這最後一步將是很小的變化，人們可能都不會注意到。”拉傑庫馬爾説，即便到了那個時候，“還是會有一些事情會超出任何人的控制。”

如果這聽起來很可怕，也許是因為它本該如此。

乍一看，汽車在情況變得複雜時，會向人類交還控制權，這聽起來很合理。

但這引出了兩個直接的問題：如果我們希望汽車知道在什麼時候移交控制權，其實就是要求系統能夠知道自己的能力範圍——瞭解自己在什麼狀態下能行，以及什麼狀態下不行。

這是非常困難的事情，甚至對人類來説都不簡單，更不用説一台計算機了。

另外，如果我們希望人類接管控制權，那麼人類如何知道做出適當的反應呢？

我們已經知道，當飛機的自動駕駛儀斷開時，訓練有素的飛行員會很難弄清楚究竟發生了何種異常狀況。有鑑於此，對於人類在計算機即將犯錯時及早察覺的能力，我們也理應保持懷疑態度。

“人類還不習慣使用自動駕駛汽車，所以，我們真不知道當駕駛被汽車接管之後，人類司機將如何做出反應。”密歇根大學的阿努伊·凱·普拉丹（Anuj K Pradhan）説。

我們可能不會警惕地監視着計算機如何駕駛汽車，而是在車上玩手機，或者通過視頻電話聊天——我們第一次乘坐自動駕駛汽車時興許不會這麼大意，但到第一百次時，一定就是如此了。

當計算機把控制權交還給人類司機時，它可能是在最極端和最具挑戰性的情況下才這樣做的。

當447號班機的自動駕駛儀讓法航的三位飛行員接管飛機時，他們只有兩三分鐘的時間弄清楚應該怎麼做。

當汽車上的計算機説“自動駕駛模式已經斷開”，這時，我們把眼睛從智能手機屏幕上移開，看到一輛公交車正衝向自己，你覺得我們還能反應過來麼？

普拉丹提出了這樣一種想法，在人類獲准操控自動駕駛汽車之前，他們必須具備若干年的手動駕駛經驗。但這是否有用，我們很難知道答案。不管一位司機擁有多少年駕齡，只要讓計算機接管了駕駛任務，駕車的技能肯定會逐漸生疏。

正是因為數字設備出色地解決掉了小錯誤，它們才為大錯誤埋下了隱患。數字設備為我們擋開了所有令人尷尬的反饋，解決了一切有可能讓我們磨礪技能的挑戰。當危機降臨之時，我們就會悲哀地發現，自己被打得措手不及。

一些資深飛行員會要求後輩時不時關掉自動駕駛儀，以這種方式來保持自己的技能水平。這聽起來是個好建議。但是，如果初級飛行員只在絕對安全的時候關掉自動駕駛儀，其鍛鍊效果也是有限的。

而如果讓他們在具有挑戰性的狀況下關掉自動駕駛儀，出事故了怎麼辦？

有沒有好辦法來解決這種矛盾呢？

一種解決方案是調換計算機與人類的角色。也許我們不應該讓計算機駕駛飛機、讓人類在出現異常時接手，反過來可能更好一些：讓人類駕駛飛機，讓計算機進行監督，並在出現異常時實施干預。

畢竟，計算機不知疲倦，富有耐心，而且不需要練習。既然如此，我們為什麼要讓人來監督機器，而不是反過來呢？