从法航空难看自动化悖论：数字设备解决了小麻烦，却为大灾难埋下隐患？_风闻

我们正越来越多地借助计算机来驾驶飞机或者进行安全检查。无人驾驶汽车将是自动化技术的下一突破口。然而，人类对自动化的依赖是否正在削弱我们的技能？这是否会成为一件危险的事？文中提到的法航447号班机空难正是一个血淋淋的例子。

当睡眼惺忪的马克·杜波依斯（Marc Dubois）走进自己飞机的驾驶舱时，见到的是一片混乱景象。

飞机颠簸得很厉害，连清仪盘上的读数都难以看清。报警声此起彼伏地响起，副驾驶正在操控飞机。身为机长的杜波依斯故作镇静地问道：“出什么事了？”

副驾驶大卫·罗伯特（David Robert）的回答就没那么平静了：“我们完全失去了对飞机的控制，不知道怎么回事！我们把所有的东西都试过了！”

事实上，机组人员当时是可以控制住飞机的，本来只需要一组简单的动作就可以结束这场混乱，但他们没有，连试都没有试一下。副驾驶罗伯特只有一句话是说对了：他不知道发生了什么事。

正如作家兼专业飞行员威廉·朗格维舍（William Langewiesche）一篇写于2014年的文章中所描述的，法国航空447号班机起飞时非常顺利，它于当地时间2009年5月31日下午7点29分在里约热内卢准时起飞，目的地是巴黎。

事后看来，这三位飞行员各自都有弱点。

32岁的副驾驶皮埃尔-塞德里克·博南（Pierre-Cedric Bonin）很年轻，经验不足；

37岁的大卫·罗伯特经验更多一些，但他刚刚成为法航的管理人员，不再担任全职飞行员；

57岁的机长马克·杜波依斯经验丰富，但他在里约期间一直陪伴一位休班的空乘游山玩水。后来媒体曝出，他登机前只睡了一个小时。

幸运的是，虽然存在这些潜在的安全缺陷，但机组人员掌控的是世界上最先进的飞机之一：一架空中客车A330，它的操纵极其顺畅，非常易于上手。

这种飞机还拥有一种更加精密的自动化系统，叫做电传飞行控制系统。

传统的飞控系统，飞行员是通过机械方式直接控制襟翼，包括方向舵、升降舵和副翼，这也意味着飞行员可能出错的环节很多。

电传飞控系统更平稳，也更安全。在飞行员（连带他们的各种失误）跟飞机的机械运转之间，电传飞行控制系统“横插了一竿子”。它可以说是人与机器之间的翻译，一面观察飞行员对控制系统的操作，搞清楚飞行员希望飞机如何移动，一面完美地执行这一意图。它可以把蹩脚的操作转换为优雅的飞行动作。

这使得A330极难坠毁，该机型的安全记录也非常了不起：自从1994年问世以来，A330在此后15年间的商业飞行中没有发生过一起坠机事故。

但是，自相矛盾的是，**打造一种如此细致入微地对飞行员提供保护的飞机，这是有风险的。**这意味着，当某种少见的紧急情况出现时，飞行员基本上都没有过处理经验。

447号班机当时面临的状况其实并不是特别凶险：飞行路线上空出现了暴风雨。这些都不是什么大问题，但或许机长杜波依斯过于大意了，起飞之后他就离开驾驶舱补觉去了，让经验不足的博南负责操控飞机。

博南很紧张，麻烦刚露苗头就让他爆了粗口：“真他妈该死，他妈的！”他不止一次表达了要让飞机在“3-6”（即36,000英尺）飞行的想法——令人遗憾的事实是，法航标准操作程序建议A330在较低的高度飞行。

虽然飞到云层上方来躲避暴风雨是行得通的，但飞机有飞行高度限制，高空的大气非常稀薄，提供的升力不足。在那样的高度上，飞行的容错率很低，出现失速的风险很高。如果飞机以过于陡峭的仰角爬升，就容易发生失速，一旦发生这种情况，飞机就会以头朝上的姿势朝地面坠去。

幸运的是，高空也提供了足够的时间和空间来纠正失速。而且驾驶飞机摆脱失速状态，是每一位飞行员都要掌握的基本功。

随着法航447号班机接近暴风雨，机翼开始结冰。博南和罗伯特开启了除冰系统，以防止积冰制造的阻力拖慢飞行速度。罗伯特数次劝告博南把操纵杆往左拉，以避开暴风雨最猛烈的区域。

接着，警报声响起，表示自动驾驶仪已经断开，飞机上的一个空速传感器因结冰而停止了工作——这不是什么大问题，但这个问题需要飞行员接管飞机控制权。

但与此同时，另一个变化也因此发生：电传飞行控制系统切换了模式，自我降级，这时候它能给予飞行员的辅助减少，而飞行员则拥有了更大的控制权。

第一个后果几乎是立刻出现的：飞机开始左右不停地摇晃，博南过于猛烈地拉动了操纵杆。然后，他又犯了一个简单的错误：他向后拉动操纵杆，飞机开始急剧爬升。

随着机头朝上，飞机开始失去空速，自动语音不断报警：“失速！失速！失速！”可是博南还在向后拉操纵杆。在大西洋的黑色夜空中，这架飞机以每分钟2000米的速度扶摇直上。

然而，飞机马上就要陷入失速状态，然后就会朝1万米下的水面坠去。要是博南或罗伯特当时能够意识到发生了什么事，事情本来可以在早期阶段就得到解决。但他们并没有，为什么呢？

问题的根源在于那个保障A330安全飞行15年、跨越数百万英里的系统：电传飞行控制系统。

或者更确切地说，问题并非源自该系统，而是这样一个事实：飞行员已经变得极度依赖它。

让博南犯错的问题被称为模式混淆。

也许他没有意识到，飞机已经切换到替代的控制模式，而他在这种模式下获得的帮助将变得少很多。也许他已经知道飞机切换了模式，但并没有完全理解其中的含义：飞机现在将任由自己失速。

为什么博南和罗伯特对警报置之不理？

最合理的解释就是：他们以为这是飞机在用自己的方式告知，它正在出手干预以防止失速。

简而言之，博南让飞机失去了空速，因为他的直觉认为，有了飞控系统的辅助，根本不会发生飞机失速。

博南缺乏在没有计算机辅助情况下驾驶飞机的经验，这进一步加剧了局面的混乱。

虽然他飞A330的时间也不算短了，但他大部分时候都只是在监控和设置飞机的计算机，而不是直接手控。至于那少部分手动驾驶的时间，几乎也都是在飞机起降的时候。所以他当时的手足无措也就毫不奇怪了。

正如威廉·朗格维舍所写，飞行员根本不习惯在没有计算机辅助的情况下驾驶飞机。

即使经验丰富的机长杜波依斯也有点手生了：他在过去6个月总计执飞346小时，其中只有4小时是在手动驾驶，而且全都是在飞控系统全力辅助下进行的。机上的三名飞行员都被剥夺了练习飞行技巧的能力，因为通常情况下负责驾驶的是飞机自己。

这个严重的问题其实是有说法的，叫做**“自动化悖论”**。它适用于各种情境，从核电站的操作员到游轮的船员，从我们再也记不住电话号码的简单事实（因为我们把号码都存到了手机）到我们现在都不擅长心算（因为我们周围到处都有电子计算器）。

自动化系统变得越出色，人类操作员的技能就会变得越生疏，继而造成他们必须面对的状况变得越极端。

《人为错误》（Human Error）一书的作者、心理学家詹姆斯·瑞森（James Reason）写道：

“手动控制是一项高度技能化的活动，而技能是需要不断练习才能保持水准的。然而，极少出错的自动化控制系统剥夺了操作员练习基本控制技能的机会……这意味着，当出现异常状况需要手动控制时，操作员要有更熟练的技能，而不是反过来。”

“自动化悖论”可以分为三个层面：

**通过具备易于操作的特点以及自动纠错功能，自动化系统可以容忍人工的无能。**正因为如此，一个技能不熟练的操作员可以滥竽充数很长时间，直至他的无能被暴露出来——这种无能会制造极大的隐患，几乎可以无限期地存在下去。

即便操作员是专家，由于有了自动化系统，他们的技能得不到练习，久而久之，这种技能也会变得生疏。

**自动化系统失效往往发生在异常状况中，或者会造成异常状况，这需要操作员能够熟练地应对。**一种更强大、更可靠的自动化系统只会让问题变得更糟。

在很多情形中，自动化系统并不会制造这样的悖论。

比如说，客服网页可以处理一般性的投诉和请求，这样人工客服就可以绕开这部分工作，在更复杂的问题上为客户提供更好的服务。

至于驾驶飞机，情况就另当别论了。自动驾驶仪和电传飞控系统提供的辅助并不会让机组人员腾出时间去关注其他更有意义的事情，只是让他们有功夫偷闲睡觉。

小憩被突然中断，机长杜波依斯在空速传感器失效1分钟38秒后，回到了驾驶舱。飞机仍然处在1万米的高空，不过它正以超过每秒45米的速度坠落。

除冰系统运转正常，空速传感器开始再次运行，但副驾驶们不再信任飞机上的任何仪器，可是这些仪器其实都在正常运转着，它告诉飞行员飞机根本不在往前飞，而是在向万米下方的水面坠落。

但是，机组人员并没有意识到出故障的仪器已经恢复正常，反而是认定更多仪器出了问题。杜波依斯沉默了23秒——23秒已经很长，足以让飞机的高度下降1200米。

飞机在这时候仍然是有救的，但前提是杜波依斯能正确判断飞机状态。

机头的位置现在已经非常高，以至于失速警报已经停止。有几次，博南稍稍把机头往下压了压，失速警报器又开始响起来——这无疑让他更摸不着头脑了。

博南试图减速，因为他担心飞机飞得太快了，但这恰恰与事实相反：飞机的时速还不到110公里，已经太慢了，而飞机坠落的速度是这个数字的两倍。完全搞不清状况的飞行员们进行了简短的讨论，试图弄清楚飞机到底是在爬升还是在坠落。

博南和罗伯特朝彼此大喊大叫，两个人都在试图控制飞机。驾驶舱里的三个人自说自话，已无暇顾他。飞机仍然是机头向上，但正在快速坠落。

晚上11点13分40秒，罗伯特朝着博南大喊：“爬升，爬升！”博南回答说，他一直在把操纵杆向后拉——如果杜波依斯早点知道的话，这则信息可能有助于他判断出飞机正在失速。

终于，杜波依斯搞清楚了状况，急忙喊道：“不，不要爬升。”

罗伯特宣布，他在控制飞机，开始把机头往下压。飞机终于开始加速，但他晚了大约1分钟……飞机的高度只剩下3300米。在垂直坠落的飞机和大西洋的水面之间，已经没有足够的空间让飞机重新飞起来了。

1分钟后，447号班机以大约200公里的时速撞上水面。机上所有人，包括228名乘客和机组人员，当场死亡。

作为航空安全领域备的权威，厄尔·维纳（Earl Wiener）提出了 “维纳定律”。

其中有一条是：“数字设备消灭了小错误，但同时为重大事故埋下了隐患。”

我们不妨将之改为：“自动化技术能够解决小麻烦，但偶尔也会引发大麻烦。”这一见解的适用范围不仅限于航空领域。

想必我们很多人都有过被导航软件带沟里的经历，前不久特斯拉汽车爆出的好几起事故也让我们记忆犹新。

这就引出了一个问题，如果自动驾驶汽车普及开来，那是不是也会遭遇“自动化悖论”的困扰？

谷歌自动驾驶汽车项目的负责人克里斯·厄姆森（Chris Urmson）希望这种汽车很快得到普及，这样他的子孙就再也不用去考驾照了。这个目标蕴藏的含义是：与飞机的自动驾驶仪不同，自动驾驶汽车永远不需要把控制权交还给人类。

卡内基梅隆大学的自动驾驶技术专家拉杰·拉杰库马尔（Raj Rajkumar）认为**，**我们距离实现完全自动驾驶，还有10-20年时间。

在此之前，预计会是一种更为渐进的过程：在较为简单的环境中，让汽车自动驾驶，而人类则在情况变得复杂时接管控制权。

“随着时间的推移，能实现自动驾驶的场景将会不断增多。直到有一天，汽车将能完全自主行驶，但这最后一步将是很小的变化，人们可能都不会注意到。”拉杰库马尔说，即便到了那个时候，“还是会有一些事情会超出任何人的控制。”

如果这听起来很可怕，也许是因为它本该如此。

乍一看，汽车在情况变得复杂时，会向人类交还控制权，这听起来很合理。

但这引出了两个直接的问题：如果我们希望汽车知道在什么时候移交控制权，其实就是要求系统能够知道自己的能力范围——了解自己在什么状态下能行，以及什么状态下不行。

这是非常困难的事情，甚至对人类来说都不简单，更不用说一台计算机了。

另外，如果我们希望人类接管控制权，那么人类如何知道做出适当的反应呢？

我们已经知道，当飞机的自动驾驶仪断开时，训练有素的飞行员会很难弄清楚究竟发生了何种异常状况。有鉴于此，对于人类在计算机即将犯错时及早察觉的能力，我们也理应保持怀疑态度。

“人类还不习惯使用自动驾驶汽车，所以，我们真不知道当驾驶被汽车接管之后，人类司机将如何做出反应。”密歇根大学的阿努伊·凯·普拉丹（Anuj K Pradhan）说。

我们可能不会警惕地监视着计算机如何驾驶汽车，而是在车上玩手机，或者通过视频电话聊天——我们第一次乘坐自动驾驶汽车时兴许不会这么大意，但到第一百次时，一定就是如此了。

当计算机把控制权交还给人类司机时，它可能是在最极端和最具挑战性的情况下才这样做的。

当447号班机的自动驾驶仪让法航的三位飞行员接管飞机时，他们只有两三分钟的时间弄清楚应该怎么做。

当汽车上的计算机说“自动驾驶模式已经断开”，这时，我们把眼睛从智能手机屏幕上移开，看到一辆公交车正冲向自己，你觉得我们还能反应过来么？

普拉丹提出了这样一种想法，在人类获准操控自动驾驶汽车之前，他们必须具备若干年的手动驾驶经验。但这是否有用，我们很难知道答案。不管一位司机拥有多少年驾龄，只要让计算机接管了驾驶任务，驾车的技能肯定会逐渐生疏。

正是因为数字设备出色地解决掉了小错误，它们才为大错误埋下了隐患。数字设备为我们挡开了所有令人尴尬的反馈，解决了一切有可能让我们磨砺技能的挑战。当危机降临之时，我们就会悲哀地发现，自己被打得措手不及。

一些资深飞行员会要求后辈时不时关掉自动驾驶仪，以这种方式来保持自己的技能水平。这听起来是个好建议。但是，如果初级飞行员只在绝对安全的时候关掉自动驾驶仪，其锻炼效果也是有限的。

而如果让他们在具有挑战性的状况下关掉自动驾驶仪，出事故了怎么办？

有没有好办法来解决这种矛盾呢？

一种解决方案是调换计算机与人类的角色。也许我们不应该让计算机驾驶飞机、让人类在出现异常时接手，反过来可能更好一些：让人类驾驶飞机，让计算机进行监督，并在出现异常时实施干预。

毕竟，计算机不知疲倦，富有耐心，而且不需要练习。既然如此，我们为什么要让人来监督机器，而不是反过来呢？