法航447: Reloaded(4)

holycow

罗贝的反应正是让全世界的飞控工程师和航空安全专家感到困惑的难题。A330代表着世界上最先进的座舱设计，其自动化程度差不多要把一个复杂的飞行机器变成一台傻瓜机了。结果空速计在巡航阶段的短时间失灵竟然使得这些法航的飞行员们彻底乱了阵脚。他们怎么会不理解飞机已经失速了？问题的根子正在于座舱的高度自动化，自动化使得过去的几十年里飞行事故率大大降低，自动化也催生出一系列和自动化有关的新的事故原因。
4 d/ x$ U: o6 g  g3 t
无论是波音还是空客，在座舱设计和自动化程度这一点上的原则是一样的：两人制机组 ---- 因为飞机各系统的高度可靠性和冗余度已经不需要随机工程师这个位置了。信息的组织化和简洁化 ---- 玻璃驾驶舱里就那么几个大屏的显示器，所有飞行中最基本和最常用的参数缺省显示在这几个显示屏上，其他不太重要的参数则被隐藏起来，免得飞行员面对一大堆仪表；如果飞行员需要，可以改动屏幕的设置，显示自己需要的其他参数。高度自动化 ---- 飞行管理计算机是所有飞行系统的核心，很多航线参数在地面的时候就由签派员设定，飞行员用键盘输入飞行管理系统，飞行管理系统自动遵照运行，在正常的情况下，飞行员只起一个监控的角色。飞行管理系统还决定在什么样的情况下向飞行员显示什么样的参数，隐藏其他的参数；在电传飞控的飞机上，自动系统还限制飞行员的输入信号，保证飞机不超出飞行包线。
* ^9 I0 @0 |/ Z! W/ R! P1 J
波音的首席驾驶舱设计师说过：“波音的设计原则是，设计师能预料到的98%的飞行状况都能由自动系统处理，设计师预料不到的那2%交给飞行员处理。问题就在于，我们设计师预料不到的那2%，飞行员怎么知道？他们怎么能正确判断某种状况是属于那2%，即时接手做出正确的处置；而在其余的时候正确判断那是98%，从而不去和自动系统冲突？”

迈阿密大学的Earl Wiener从八十年代就开始研究自动系统的人机交互问题，他提出了著名的维尔纳定律：

' T* k6 Z, t% X+ S* 每一种新的自动设备都会产生与之相关的新的操作员错误

/ c# i+ w! O5 B9 ~! c# L" y* 越是先进的设备产生越是诡异的错误
* s) c  f0 V6 n% ~0 e
# \( d5 ^7 o, A" A+ O& T0 z* 自动设备能轻易处理不那么严重的异常，但对于那些处理不了的严重异常，自动系统会使其严重程度加倍
7 G1 k# ], e% o; A6 Y
* U) q+ b! C3 j/ Z- d; \1 r5 y* 自动系统能在工作负担低的阶段帮助减轻工作负担，但在工作负担高的阶段增加工作负担

* 原本手工能完成的任务，一旦自动化了，很快就变成手工完成不了了 ---- 因为没人再会手工操作了

* 每当你解决一个问题，你必定会导致一个新的问题，唯一的希望是新的问题没有旧的问题严重

* 有些问题永远无解
9 N! V0 V: G( h, v4 q; ~. H& p
密歇根大学的Nadine Sarter对于维尔纳定律在驾驶舱自动化的应用有一个更详细的解释 ---- 在一个玻璃驾驶舱里，在那些简洁的大屏幕显示器后面，自动化飞控系统的复杂程度到了人无法全面理解的地步。有些问题，飞行员们在最简单的塞斯纳上根本不成问题，但是在高度自动化的座舱里却丈二和尚摸不着头脑。飞行员们往往认为自己理解了飞控系统的逻辑，以为自己做某个动作飞机一定会如何反应；当飞机的反应和自己的预期不一样的时候，飞行员就开始抓瞎了。而在法航447上面则是另一个极端，飞行员完全不相信系统给出的信息和警告，他们从解除自动驾驶开始就害怕这个复杂的系统，完全不信任它。
  G6 a5 o' I1 V6 d! j! W! r
Sarter说：“不论是波音还是空客，我都可以轻易地举十个飞行员被飞控系统彻底搞糊涂的例子。有一次我和五个某型飞机飞控系统的工程师在一起做研究，我问他们如果出现某种情况，飞控系统将如何反应？这五个人吵了半天都给不出一个一致的答案。如果飞行员在半空中碰到了同样的问题，那么上帝保佑。”
' C) _, X+ }  r* f*************************************************************
, }. Q9 |7 T1 v7 r" R/ n# Z& ]: F杜博瓦机长是在异常发生后的1分38秒进入驾驶舱的，没人知道他是坐在观察员座位上，还是站着，或是跪在地板上观察。杜博瓦抵达后不久，失速警报突然停止了 ---- 447航班的攻角到了匪夷所思的程度，以至于计算机认为攻角指示器一定出了故障，于是停止了失速警报。这使得在后面的阶段，失速警报诡异地反了过来 ---- 每当飞行员低头降低攻角的时候，攻角数据回到“正常”范围，失速警报响起；而抬头的时候，攻角数据大到“异常”，失速警报关闭。这完全是逆向的反馈。

- O  G$ ]) }, v杜博瓦指向显示屏上的某一个参数：“看这儿，看这个。”
2 K' b# b4 @. k) Q) [1 l/ [
2 L0 P0 b: S$ i+ p0 @# Z罗贝：“看这个！看这个！”

* q  y' e) g/ e3 o失速警报响起。博南：“我没有垂直速率指示了！”其实垂直速率指示就在那里，每分钟15000英尺，只是伯南不再相信这个指示而已。
+ F# W$ W: N2 N, Z$ i3 E3 l
罗贝：“我们什么指示都没有了！” 这位更彻底，啥都不信了。
. C* E: z. W2 y) v" p
- [4 `! j. [- z+ B伯南：“我觉得我们飞得太TM快了”，他伸手打开了减速板。
6 r. N  |: r* }- e9 @$ K: U
罗贝：“No, No!  别开减速板！”
$ A: q8 w, H; E: c+ x- i, P
% Q- F  m" d2 {“别开？ OK。” 伯南把减速板又收了回来。

伯南和罗贝同时在操纵侧杆，输入冲突警告。

伯南：“我们在下降！”

罗贝：“拉杆！”

在23秒的时间里杜博瓦不发一言，罗贝终于忍不住了：“你怎么看？你觉得是什么问题？”

“不知道，我们在下降。”
( I4 Q. o% A$ a+ s& c: A
相比那两个飞行员，杜博瓦有一个优势 ---- 对于一开始的空速管失灵他完全不知道，那两个人也没告诉他。现在他的面前显示的所有参数都是正确读数：他能够看见低空速，低地速，大仰角，大下降率，加上时断时续的失速警告，不停的失速抖振，滚转控制困难 ---- 如果这不是失速，什么是失速？

伯南终于从持续的右坡度中改平，“谢天谢地，改平了。” 话音未落，飞机又开始摇晃，在左右17度的坡度之间晃来晃去。

" G! N9 Z3 |+ n7 l4 t/ Y. P杜博瓦：“改平。看地平仪，看备用地平仪。”
+ X( b4 G3 M" a' Z3 i" h
" v1 P3 l# W  N罗贝：“注意速度！你在爬升！” 他的意思是仰角太大了，因为飞机绝对是在往下掉。

* U( f9 L+ m2 r1 d5 H8 D# `! H伯南：“我在下降！”
+ h. G2 p, [& g- r
杜博瓦听懂了罗贝的意思：“不，你在抬头。”
" p* l7 W5 u& \7 U. P& C0 y5 ^
4 ], G" q* R; R/ X, G5 [. f伯南：”我在抬头？ 那好，我低头。”
9 m! J' ]& c( n! h( [. Q
" P5 u6 Z4 v/ M/ `! b罗贝：”OK, 起飞推力！”
; u, R# e. B" l: ^0 l
5 `' p  E8 ]. ]* q伯南：“我们现在高度多少？”

$ {/ _* S: w( h% T7 m! g, x- ^" A杜博瓦: “擦！这不可能！”
% l3 R0 l  B' R5 p+ X/ r
伯南：” 我们现在高度多少？”
5 J# a6 z% m' s1 _! G+ M
罗贝：”高度多少？你什么意思？”

4 S" O8 O8 W% S2 c+ @: V伯南：“我在下降？”
7 a* d# r3 k5 f. n$ E7 B
3 X  V5 C; b. C0 p& f罗贝：“对，你在下降。”
  u" V4 v( r0 k* l4 I/ ]: R" ~
伯南没有得到他关于高度的回答，此时飞机正掉到20000英尺，突然间右侧倾41度。
7 f! Q' f/ X* w  {+ o; L0 w
杜博瓦：“机翼改平。”

2 B, p9 S1 |% f: F0 z# ^" a罗贝：“机翼改平！”
3 }& D- u; C1 S# P2 B. N& z
伯南：“我在让它改平！”

1 i0 A6 l5 @0 M& d& s杜博瓦有点急了：“改平它！”
( ^+ _. U2 L% v! S# [8 S# ?: M
伯南：“我向左打到底了！”
% A+ R8 h& Z+ j6 K1 S* `
3 d% \- |4 V: Z; m- K罗贝也开始压杆，输入冲突警告。

杜博瓦说：“蹬舵。” 这下成了。“动作轻柔，改平。”
4 o) v* c6 a2 i* w8 A
飞机此时正掉到13000英尺。理论上说，这是拯救法航447最后的机会。如果飞行员能够以30度角向下俯冲摆脱失速，那么还能够将将地在海平面以上拉平飞机上升，整个过程要控制地非常好，使得飞机不至于拉起太晚冲入海中，又不至于拉起太急结构受力太大在空中解体。全世界大概有不到十个飞行员能完美地完成这样的动作，驾驶舱里这三个人显然不在此列。

伯南：”高度10000！”

罗贝：“等等！我！我接掌控制！我！” 他没有按他这边的超越按钮，伯南也没有放手，输入冲突警告。

伯南：”这TM怎么回事？我们为什么一直往下掉？”

; K8 T0 t" w+ Q9 @伯南：“9000英尺！”

( W" t, D7 e+ S7 a# N2 Z  g杜博瓦：“蹬舵轻柔点。”
) z+ A# F" _1 I, T7 {; ?* T  |
6 a5 i8 J& |# z罗贝：”上升，上升，上升，上升！” 他的意思是拉杆抬头。
- i5 F. y- _# h8 n6 [# a
伯南：“可是我从头到尾一直在拉杆！” 输入冲突警告。

杜博瓦：“不，不，不！不要上升！” 他的意思是不要抬头。杜博瓦终于明白了伯南一直在让飞机抬头。
$ s" h- c4 J+ C+ E( ?
! S8 B8 A# d  m( e2 c罗贝：“那好，低头！” 输入冲突警告。

7 C2 D6 A) A3 L, J伯南：“好吧，控制交给你。我们仍然在起飞推力。”

下面13秒没人说话。
. D* u+ P' C( ?) _
$ b' a& B! w8 S) s0 Q/ f; x( q4 y杜博瓦：“小心，你又在抬头了。”

罗贝：“我抬头了？”
  t4 e/ r8 p. \' C4 Y
) J/ R2 S! L/ u4 ]  C4 V杜博瓦：“你抬头了。”

伯南：“我们非拉杆不可了，4000英尺！”
- p- j# |, J, I- b
近地警告响了：“下降率，拉杆。”
7 d+ W5 @6 G6 {  O" w
杜博瓦：“好吧，拉杆。” 他知道这回死定了。

) l! Y  b# K% c伯南还没死心：“拉杆！拉杆！拉杆！”
$ A* ]( L5 u2 U+ O
罗贝：“擦！我们要摔了！这不可能！这TM怎么回事？！”

下降率，拉杆。滴铃铃铃铃。失速。滴铃铃铃铃。下降率，拉杆。右座接管控制。
4 A3 d) l6 n) B
6 \4 \: c) n; C1 _# o6 M“擦！死定了。”

3 }% f$ Y: _& p杜博瓦：“仰角10度。”
. ?9 k" y  Z5 U2 v6 w0 f
两秒钟后，法航447平拍在大西洋里。这时是从里约起飞后4小时15分，空速管失灵后4分20秒。坠海前瞬间447航班已经向右绕了一个225度的大圈，仰角16度，机翼近乎水平，空速只有107节，垂直下降率每分钟11000英尺。

老马丁

"原本手工能完成的任务，一旦自动化了，很快就变成手工完成不了了 ---- 因为没人再会手工操作了"

转换一下，重要的手动任务，千万不要自动化，这应该作为一条买车的原则. 自适应定速巡航, 盲点检测, 自动趴车, 这些貌似帮人的feature, 其实都是在害人。

晨枫

我怎么第一次听说这个Wiener's Law？和我的工作经验太……太……太符合了。我在不同的帖子里也说过类似的意思，不过没有他说得好！Sarter说的一个问题5个人大吵一顿，我太能理解了！我之所以没有和其他人大吵，是因为这些大app是我一个人做的，自己和自己吵总是容易点。在压力下要对混淆不清的状况作出判断，真是度秒如年！

晨枫

老马丁 发表于 2014-11-12 13:15
"原本手工能完成的任务，一旦自动化了，很快就变成手工完成不了了 ---- 因为没人再会手工操作了"

转换一下 ...

“重要的手动任务，千万不要自动化”
- _5 k# }# @0 [0 [# x, `这只有在任务相对简单的时候能够做到。现代工业过程（包括开飞机）的任务数量和难度极大增加，已经不可能回到手动了。就是办公室里，当年领一张表，手里填写，就完事了；现在要到intranet上在无数的网页和链接里找到正确的表格，然后电子填写，然后找到正确的cost center和work flow center，才能递交上去。这也是自动化，办公室自动化。没有办法，因为现在的表格比当年多多了，递交的对象也多多了。

走南闯北

"每当你解决一个问题，你必定会导致一个新的问题，唯一的希望是新的问题没有旧的问题严重"

以前看到个说法，永远不会有idiot-proof的解决方案。上帝会给你造个新的idiot出来。

走南闯北

晨枫 发表于 2014-11-13 03:24
我怎么第一次听说这个Wiener's Law？和我的工作经验太……太……太符合了。我在不同的帖子里也说过类似的意 ...

项目人越多，花在交流上的时间越多。这时间还不能省，省一分钟能多让大家做一个小时。
如果项目的人还不在一地/一国，能有一半的时间干活而不是开会就不错了。

这是说明做项目还是要独裁吗？

holycow

走南闯北 发表于 2014-11-12 12:07
"每当你解决一个问题，你必定会导致一个新的问题，唯一的希望是新的问题没有旧的问题严重"

. O. u6 v5 w& P( p  b3 H" y/ i以前看到个说法 ...

并且上帝造新idiot的方法绝对是不拘一格

李根

holycow 发表于 2014-11-12 15:19
并且上帝造新idiot的方法绝对是不拘一格

7 h- T: q0 f% v! N5 I! U8 _( h3 ^/ a“拘”的发音正好跟武汉话里面“猪”的发音是一样的。
! u) S, k: m+ k+ x
所以你上面的话用武汉话说就是：
/ Y0 M: ~7 y$ v4 ~. R- e! u
  b% s0 t8 t& b1 j. ^9 b$ D  q* H不猪一格

' Y: {) _% \* i

tanis

看完第一集觉得法航飞行员草芥人命。

, W, \6 o- O$ r这一集看完，更觉得飞行员活该。乘客真倒霉。

togo

这么高的下降速度跌落在水面上和跌落在水泥地上没有什么区别。只希望乘客受的苦少点。不过那四分钟的惊魂已经够心脏病发作几回了。

togo

这么高的下降速度跌落在水面上和跌落在水泥地上没有什么区别。只希望乘客受的苦少点。不过那四分钟的惊魂已经够心脏病发作几回了。

逍遥探花

老马丁 发表于 2014-11-13 03:15
"原本手工能完成的任务，一旦自动化了，很快就变成手工完成不了了 ---- 因为没人再会手工操作了"
# h( r7 y, S" u! M3 e7 k
转换一下 ...

$ W- t5 L4 t% a- v/ L' x宝马、奔驰、沃尔沃等都有一种技术，是车载电脑自动扫描前方道路，发现有人类会立即采取制动措施（即使驾驶员的操作是全油门），理论上能避免撞人。但是这几家都不敢公布说自己的车有这项技术，万一出问题，会赔死的。

四处张望

逍遥探花 发表于 2014-11-13 14:57
3 c' f# J' D( t宝马、奔驰、沃尔沃等都有一种技术，是车载电脑自动扫描前方道路，发现有人类会立即采取制动措施（即使驾 ...

- b  o& V+ _3 x" o有说了。不过都叫辅助系统。

馒头笼子

在自动化程度这么高的今天，要在压力下非常短的时间做出正确的判断真不是件容易的事情。
: o) E  A" J2 Z4 ~
年初手下一个女工程师干活的时候超过绞车设定的最大拉力，绞车自动停车之后，她立马陷入了疯狂状态，先后3次手动解除警报和停车，硬生生的把设备拉断。还好没死人

航空兵的后代

逍遥探花 发表于 3 小时前
( r! T- T. M; T/ d! s$ }, S! g# R0 w
2 B4 N# C1 u7 k宝马、奔驰、沃尔沃等都有一种技术，是车载电脑自动扫描前方道路，发现有人类会立即采取制动措施（即使驾驶员的操作是全油门），理论上能避免撞人。但是这几家都不敢公布说自己的车有这项技术，万一出问题，会赔

沃尔沃有公布和宣传啊，正前方是标配，测向是高配车型才有。
当然限制条件也很多，速度、天气等等来自: Android客户端

一叶飞刀

即使自动化有这样那样的问题，自动化依然让航空变得更安全而不是更不安全

晨枫

馒头笼子 发表于 2014-11-13 01:49
在自动化程度这么高的今天，要在压力下非常短的时间做出正确的判断真不是件容易的事情。

年初手下一个女工 ...

对，系统没有按照设想动作的话，要判断是系统故障，还是自己理解问题，这是很考验人的。这正是上面Earl's Law所说的东西。

老马丁

逍遥探花 发表于 2014-11-13 14:57
# \) w3 m4 }5 s% x6 v1 f. y宝马、奔驰、沃尔沃等都有一种技术，是车载电脑自动扫描前方道路，发现有人类会立即采取制动措施（即使驾 ...

新一代XC90选装这个技术。

xlan1976

从我接触到的情况看，绝大部分飞行员对于空气动力学的基本概念以及飞机系统的工作原理并不十分清楚。他们所接受的培训只是告诉他们一些经验公式或者是一些很具体的措施，也就是出现什么情况应该怎么做。但大多数飞行员并不清楚为什么这么做或者这些经验表达意味着什么。。当然，包括法航447在内的大部分情况下，这并不妨碍一个合格的飞行员进行正确的操作并安全的驾驶飞机。
从神牛描述的情况看，我觉得除了空客那个奇葩的死不悔改的左右座驾驶杆不能联动外，飞机本身没有大的问题，主要问题出在法航对飞行员的培训和能力要求以及驾驶舱资源的分配上。

走南闯北

馒头笼子 发表于 2014-11-13 15:49
在自动化程度这么高的今天，要在压力下非常短的时间做出正确的判断真不是件容易的事情。

年初手下一个女工 ...

WL？刚从school出来的FE?