АБИ, уникальный подводный робот-исследователь, погиб в возрасте 16 лет.

The New York Times, 15 марта 2010 года

АБИ (автономный бентонический исследователь) оказался пока единственным роботом, удостоившимся некролога в The New York Times. Этот аппарат размером с небольшой автомобиль был создан для исследования самых глубоких областей в Мировом океане (слово «бентонический» означает зону вблизи морского дна).

Его потеряли вблизи побережья Чили, по всей видимости, из-за имплозии герметичных отсеков под огромным давлением больших глубин. В момент аварии АБИ совершал свое 222-е погружение с того момента, как его впервые использовали для нанесения на карту деталей морского дна в 1996 году, и, по сути, уже был наполовину выведен из эксплуатации, поскольку ему на замену был построен другой аппарат под названием «Сентри». Хотя потеря АБИ стала ударом для его создателей, в тот момент контролировавших работу аппарата с расположенного рядом океанографического судна, его гибель лишь акцентировала внимание на принесенной им пользе и, кроме того, при этом не пострадал ни один человек.

Меня приняли в команду, работавшую над проектом АБИ, в 1989 году в институте Вудс-Хоул. Первоначальной задачей аппарата было опуститься на морское дно вблизи группы гидро­термальных источников, прикрепиться там к некоему якорному приспособлению и перейти в режим «спячки». План был таков, что время от времени АБИ «просыпался» бы — возможно, раз в месяц на сутки или раз в год на месяц — и осуществлял бы тщательный анализ области гидротермального источника с выполнением измерений, фотосъемки и документальной фиксации роста и распада необычных геологических образований и экосистем. После того как я помог спроектировать ранний вариант компьютерного обеспечения АБИ, я пере­ключился на другие вопросы, в то время как основоположники проекта Дана Йоргер, Барри Уолден и Эл Брэдли продолжали заниматься аппаратом на каждом из этапов его долгого становления.

АБИ так и не выполнил поставленной перед ним задачи. Но он делал другое: картографировал морское дно с беспрецедентной точностью, для чего ему требовалось совершать передвижения вдоль прямых трасс на большие расстояния, собирая огромное количество данных о топографии дна. «Мы никогда не планировали, что АБИ будет ходить по прямой, — вспоминает Йоргер. — Но приходится заниматься тем, чего требует дело». Ученые были готовы жертвовать скудными деньгами своих грантов на то, чтобы заполучить крупномасштабные геологические карты океанского дна, и поэтому команда АБИ научилась выполнять эту задачу.

Этот робот делался с оглядкой на пилотируемый подводный аппарат «Элвин», но не мог служить ему заменой. Барри Уолден, один из троих инженеров — инициаторов проекта АБИ, был начальником группы по эксплуатации «Элвина» в Вудс-Хоуле. Бо́льшая часть погружений АБИ в начальный период его использования совершалась во время экспедиций, где основную роль играл «Элвин», — в ночное время с борта той же плавучей базы, в то время как основной аппарат находился на палубе и заряжал свои батареи. Был даже случай, когда «Элвин» спас АБИ, когда тому не удалось всплыть во время одного из своих первых погружений.

Момент зрелости АБИ наступил в 1999 году во время экспедиции к Восточно-Тихоокеанскому поднятию, расположенному в двух днях пути от острова Пасхи. Йоргер планировал выполнить серию магнитометрических измерений вдоль подводного хребта. Но геолог Билл Райан, который изначально имел подготовку инженера, заставил Йоргера запрограммировать АБИ так, чтобы осуществлять скорее систематическую съемку, а не серию локальных измерений. Аппарат погрузился на глубину 2600 м, проследовал вдоль трассы около 20 м длиной над вулканическим рельефом с резкими перепадами, собрал данные со своего сонара и фотокамер и возвратился на поверхность до рассвета. Йоргер обнаружил, что если работать быстро, то можно успеть выгрузить собранные данные, нарисовать первоначальную рабочую версию карты и распечатать ее как раз к тому моменту, как она потребуется ученым, планирующим с утра погружаться на «Элвине».

Через какое-то время Йоргер собрал данные трасс съемки с восьми отдельных погружений в единую карту, покрывающую область 1 × 4 км в поперечнике. Йоргер вспоминает, как он впервые, испытывая смятение и мандраж, продемонстрировал составленную им карту исландскому геологу Карлу Грёнвольду и спросил его: «Что вы думаете об этом?» Ответом ему было молчание. «Геологи — они такие, — поясняет Йоргер. — Если вы даете им в руки карту и они ничего не говорят минуты две, значит, вам удалось их зацепить». Грёнвольд расшифровал понятные ему знаки, говорившие о связности данных, наличии закономерностей, геологических деталей. Потом посмотрел на Йоргера и заявил: «У меня нет даже карт Исландии такого качества». Так автономное устройство доказало, что может доставлять ценные данные в руки ученым.

Впервые ученые, опускающиеся под воду в «Элвине», получили возможность попасть на изрезанный подводный вулканический ландшафт, располагая настоящей его картой. Оглядываясь назад, кажется нелепым то, что в некоторые геотермальные области до этого «Элвин» погружался сотни раз, но никто не потрудился нанести их детали на карты. Автономный аппарат стал средством к тому, что методы контактной полевой геологии, доступ к которым открыл «Элвин», дополнились методами точного картографирования рельефа глубин.

После своего первоначального успеха АБИ более десятилетия использовался в геологической съемке и картографировании, при этом постоянно улучшались точность его навигационной системы, плотность хранения данных и качество фотосъемки. Его температурные и химические датчики могли даже обнаруживать плюмажи гидротермальных вод, поднимающиеся из донных источников, и к 2004 году Йоргер и его команда разработали методы, которые позволяли на основании этих данных находить новые гидротермальные поля.

Пришедший на смену АБИ аппарат «Сентри» был спроектирован специально для выполнения этой новой задачи. В 2010 году похожим способом с его помощью был нанесен на карты плюмаж подводного выброса нефти, вырывавшейся из скважины «Макондо» после катастрофического разлива нефти в результате аварии на добывающей платформе «Дипвотер Хоризон». Эти данные позволили выяснить, что бо́льшая часть разлитой нефти не выбрасывается на берег, а собирается в толще морской воды в виде гигантского облака.

В чем состояла сущность автономности АБИ? Отсутствие буксирного троса определенно позволяло аппарату перемещаться свободно, а также приближаться вплотную к деталям изрезанного рельефа, что было бы трудно достижимо при использовании буксируемого устройства типа «Ясона» или даже опасно в случае «Элвина». Пришлось продумать множество особенностей его конструкции и деталей программного обес­печения, которые требовались только для того, чтобы аппарат мог уходить на глубину и безопасно возвращаться, ни обо что не ударившись, и обладал достаточным интеллектом, чтобы в случае проблем аварийно всплыть и позвать на помощь. Базовая схема перемещения, однако, была сетью простых прямых линий, идущих назад и вперед, и покрывала максимальную территорию без пропусков. Так же как и в нашем мысленном эксперименте с лунным роботом-прыгуном, научными исследованиями все равно занимались ученые, которые пользовались полученной информацией, интерпретировали данные карт и таким образом как бы присутствовали посреди изучаемого ландшафта.

Более того, погружения АБИ в действительности стали менее автономными после того, как был достигнут прогресс в технологии акустической связи. Первоначально во время своих погружений АБИ действовал почти независимо от команд человека: все, что можно было сделать, — это услышать от него несколько акустических импульсов, означающих, что аппарат все еще «жив», да послать ему с поверхности один-единственный звуковой код, служивший командой на прерывание задания и всплытие. «Помимо этого и данных слежения "сверху" [с поверхности], мы понятия не имели, что в те моменты происходило там, внизу», — вспоминает инженер Рич Камилли.

Однако постепенно возможности по передаче данных сквозь толщу воды возрастали. Подводные акустические модемы стали способны пересылать пакеты данных на расстояние нескольких километров в воде, примерно как старые телефонные модемы переводили компьютерные данные в последовательности жутко звучащих трелей и бульканья, и работала эта связь примерно с той же скоростью. С использованием таких модемов автономные подводные устройства наподобие АБИ смогли возвращать центру управления пакеты данных — текстовые сообщения с данными телеметрии, навигационного положения, текущей глубины, состояния батарей и даже данные с целевых научных датчиков и камер. В то же время те, кто управлял аппаратом с поверхности, получили возможность загружать в него новые команды, в том числе менять «на ходу» план разведки.

Во время одного из погружений АБИ в 2009 году отказал основной комплект бортовых навигационных гироскопов. Чтобы не прерывать «вылазку», в ходе которой уже начали поступать ценные данные, инженеры стали передавать аппарату на глубину команды переместиться на несколько метров в том или ином направлении, по сути, «управляя» аппаратом как джойстиком, посредством малоскоростного канала связи (что очень похоже на то, как советские инженеры управляли своими луноходами на поверхности Луны в 1970-х годах). Таким образом, настоящей задачей стало не увеличение автономности системы, а конструирование систем отображения и алгоритмов, которые помогали бы людям оценивать данные аппарата в реальном времени.

Как и в случае связи с объектом, находящимся на Марсе, подводная акустическая связь имеет свои ограничения. Ширина полосы пропускания ничтожна по сравнению с самой простой связью WiFi в кафе, а временна́я задержка на больших расстояниях измеряется секундами, то есть она такая же или больше, как при радиосвязи с объектом на Луне. Кроме того, как бы операторам АБИ или «Сентри» ни хотелось оставаться на связи со своими роботами, для выполнения других задач им порой приходится уводить свое судно на большие расстояния от места погружения. В такие периоды подводный аппарат работает в автономном режиме.

И все равно, даже если подводный робот функционирует без связи с плавучей базой на протяжении всего погружения, он регулярно возвращается на борт. Инженеры привыкли думать, что автономия начинается с момента погружения аппарата. Но если глядеть на вещи шире, то исследовательская система представляет собой совокупность обитаемого аппарата (судна) и автоматического аппарата, который периодически запускается с борта первого в автономные выходы, завершающиеся его возвращением к своим операторам для обмена данными, зарядки энергией и получения новых инструкций. Как и во время поиска обломков самолета Air France, автономность здесь имеет периодический характер, зависящий от место­положения, качества связи и множества других факторов. В промежутках между автономными периодами люди регулярно вмешиваются в работу аппарата. Автономность снова существует лишь в определенном контексте.

Джеймс Кинзи когда-то пришел работать молодым инженером в Лабораторию глубоководных погружений, лелея большие планы в области разработки автономных устройств. Он начал с построения вероятностных моделей распределения гидротермальных источников по океанскому дну и пытался сделать так, чтобы подводные аппараты могли по текущим данным своих датчиков направляться к источникам. Со временем, однако, Кинзи осознал, что «стремление вложить в аппарат такое количество автономности, скорее всего, являлось проблемой с самого начала». В силу самой сути океанографических исследований сложно заранее сформулировать задачи очередного погружения, поскольку условия у цели постоянно меняются. Что бы ни закладывалось в программу аппарата, оно основывается на неких заранее сделанных предположениях об условиях среды и моделях, которые могут перестать совпадать с реальностью в меняющемся контексте. «Возможно, мы сосредоточились не на тех аспектах понятия автономности... Мы хотим, чтобы аппарат сам понимал многое из того, что вокруг него происходит, а эти данные могут быть ему вообще недоступны». Кинзи по-своему выразил то же удивление, которое испытали конструкторы марсианских планетоходов, когда их абстрактные схемы столкнулись с реальностью.

«Одна из проблем работы с устройством, которое способно принимать решения самостоятельно, — рассказывает Кинзи, — это определенная доля непредсказуемости в его действиях. Если даже, допустим, мы следим за ним, то [имеем шанс воскликнуть:] "Господи, он вдруг свернул на юго-запад! Он сломался или это сработал элемент из дерева принятия решений?"» Работы на больших глубинах в океане стоят дорого, и, хотя людей на борту автономных подводных аппаратов нет, они все равно ценны. «Люди хотят знать, где находится и что делает их оборудование, — замечает Кинзи. — Особенно если заплатили за него кучу денег».

Следует также учесть, что развитие технологий связи не стоит на месте. Например, становится возможной практическая реализация оптической связи. По сути, это комплект свето­диодных ламп, которые мигают с высокой частотой, посылая данные сквозь толщу воды; с их помощью можно добиться скорости передачи данных, соответствующих связи WiFi, на коротких дистанциях порядка сотен метров под водой. В рамках этой технологии можно с борта судна опускать под воду в глубину моря оптический модем, который будет там играть роль своеобразного уличного фонаря. При этом автономный подводный аппарат может приблизиться к нему, обменяться данными через световой канал и снова отправиться работать на маршрут. Также человек имеет возможность удаленно управлять с борта судна самим аппаратом, когда он находится в пределах дальности оптической связи от модема, и позволять ему выполнять самостоятельные задачи, когда аппарат удаляется за границу дальности или связь утрачивается. В этом случае автономность становится функцией местоположения и ширины канала связи.

Так или иначе, но границы между пилотируемыми, дистанционно управляемыми и автономными подводными аппаратами начинают размываться. Инженеры сейчас грезят об исследованиях океана при помощи многочисленных аппаратов, работающих согласованно. Внутри некоторых из них могут быть люди, другие окажутся дистанционно управляемыми или автономными, и каждый из этих аппаратов будет способен работать в любом из режимов в нужные моменты времени. Последнее усовершенствование «Элвина» включало установку программного обеспечения, изначально разработанного для автономных устройств. Не исключено, что когда-нибудь он будет работать на связи с судном через оптоволоконную «привязь». А когда-нибудь, может быть, и без экипажа.

Технические сложности заключаются в том, как координировать работу всех этих машин, снабжать людей информацией и гарантировать, что действия роботов будут совпадать с намерениями людей. Какие-то из них будут управляться через высоко­скоростные каналы связи наподобие оптоволоконных линий, другие — через каналы с более ограниченной пропускной способностью. Третьи будут то кружить около узла управления, чтобы обменяться с ним данными, то самостоятельно уходить в мрак глубин. Каждый элемент будет работать, как ему предписано, но также и принимать собственные решения в согласии с запрограммированными алгоритмами поведения.

В мире, который формируется на наших глазах, мы можем представлять себе автономность как странной формы трехмерное облако в толще океана, в пределах которого постоянно курсируют различные аппараты. Теперь вообразите, что мы говорим не об аппарате АБИ, а о вашем автомобиле, а трехмерное «облако автономности» располагается в вашем городе. В определенных местах такой автомобиль становится на некоторое время автономным: например, двигаясь по полосе скоростного шоссе или в составе группы автомобилей. В другие моменты, как, например, на большом удалении от вышек сотовой связи или в условиях снегопада, который мешает нормально работать датчикам автоматики, автономные возможности снижаются и водителю приходится больше задач брать на себя. Вы то въезжаете на своей машине в «облако автономности», то выезжаете из него, при этом автономные режимы деликатно включаются или отключаются.

Неслучайно перспективы появления не нуждающихся в водителе машин (пожалуй, такие машины действительно заслуживали бы названия «автомобили», если бы термин не был занят еще столетие назад) вызывают в обществе живой интерес и споры вокруг вопроса об автономности. Очень часто в связи с этим вопросом упоминается компания Google, что происходит благодаря проводимой ею тщательно дозированной информационной кампании (хотя бо́льшая часть работ этой компании носит закрытый характер, поэтому приходится полагаться на публичные заявления).

Безусловно, производители автомобилей уже многие десятилетия добавляют те или иные элементы автоматизации в свою продукцию: от автоматических трансмиссий до круиз-контроля и антиблокировочных тормозных систем. Моя семейная «Вольво» снабжена программой, которая сама жмет на тормоз, если обнаруживает, что машина вот-вот собирается врезаться во что-нибудь (и когда я за рулем, мне приходится доверять этой программе). В общем, автопроизводители не уклоняются от пути постепенного внедрения изменений, продавая элементы автоматики под обозначением «средства безопасности», а вовсе не как средства автономии. Компания Mercedes-Benz представила концепт-кар с интерьером, задуманным как «мобильное жизненное пространство», в котором люди могут расслабляться и читать, окруженные заботой автономных устройств автомобиля. Однако, в отличие от концепции Google, в компании Mercedes говорят о так называемом «симбиозе реального и виртуального миров», где «пассажиры могут интуитивно взаимодействовать с автомобилем». Google, напротив, пропагандирует идею полной автономности транспортного средства. Как формулирует эту идею один из инженеров компании Google, сравнивая их подход с подходами других автомобильных компаний: «Они хотят делать машины, которые помогают водителям быть лучше. Мы же хотим делать машины, которые сами по себе лучше водителей». Uber, рыночный гигант в сфере пассажирских перевозок на легковых такси, нанял большую группу робототехников, которые раньше работали на Университет Карнеги–Меллон, что, очевидно, связано с идеей автоматизации принадлежащих им машин.

Google тестировал самоходные автомобили на калифорнийских дорогах общего пользования начиная с 2009 года и заявляет, что их машины прошли в общей сложности тысячи кило­метров без дорожных происшествий. Они ездят вдоль трасс, нанесенных с большой точностью на карты Google, после того как по ним проехали управляемые людьми машины Google, занимающиеся съемкой местности; эти карты служат своеобразными «виртуальными рельсами» для самоходных машин (и они в самом деле пока не могут ездить по дорогам, для которых не существует карт с высокой детализацией). На испытательных рейсах в машинах для безопасности находились водители и специалисты по программному обеспечению, которые могли включать или отключать автономный режим. «Замысел был в том, что человек выводит автомобиль на трассу, включает систему, затем она ведет машину все основное время путешествия — скучная часть, а под конец люди вновь берут управление на себя», — вспоминает инженер Google Натаниель Фэйрфилд.

После того как журналист The New York Times Джон Маркофф совершил поездку в одной из таких машин, он пришел к выводу, что «компьютеризованные системы, способные заменить водителей-людей, практически готовы к эксплуатации и могут значительно уменьшить риск человеческой ошибки». Это мнение потенциально согласуется с поставленной Google задачей — в два раза сократить количество смертельных случаев из-за аварий на скоростных автотрассах США. Демагогия компании вокруг этого проекта пропитана отличающим Кремниевую долину оптимизмом, типичным для разговоров о перспективах компьютерных систем. Ведущий инженер проекта специалист по роботам Себастиан Тран предрекает в будущем наступление утопической эпохи автономных систем «без автомобильных аварий и пробок».

Ряд критиков указывает на ограниченность подхода Google к решению этой проблемы. Бо́льшая часть испытательной работы была проведена в Северной Калифорнии или других штатах запада США. Успешные испытательные поездки «гугломобилей» в Неваде проходили в установленных компанией условиях: только в хорошую погоду и только по простым трассам (кроме того, Google не пожелала раскрывать информацию о том, как часто водителям приходилось прерывать автономный режим). У алгоритмов этих машин были проблемы с обработкой информации о местах дорожных работ, и посаженному для безопасности водителю на таких участках приходилось управлять автомобилем самому. Журналист — популяризатор техники Марк Харрис не так давно поведал, что для того, чтобы стать дежурным водителем — испытателем «гугломобиля», необходимы долгие недели тренировок. Это означает, что моменты передачи управления от компьютера человеку остаются сложными и опасными.

В отличие от передвижения по пустым и широким коммерческим трассам Запада, где специалисты Google проводили свои испытания, езда по городу подразумевает значительную долю взаимодействия с другими участниками движения, поскольку ехать приходится в довольно замысловатой, хаотичной и динамично меняющейся обстановке. Google признает, что эта задача в десять, а может, и в сто раз более трудная, чем вести машину по скоростному шоссе. И вновь обеспечение автономности машины в условиях социума оказывается гораздо сложнее абстрактной технической проблемы.

Джон Леонард из Массачусетского технологического института, который помогал разрабатывать некоторые из базовых алгоритмов самоуправляемых машин для определения местоположения и прокладки пути, говорит о том, как много в вож­дении зависит от межчеловеческого взаимодействия. Мой покойный друг Сет Теллер, который в том же институте занимался проблемами робототехники, отмечал, что езда по городу состоит из сотен «непродолжительных социальных договоренностей между людьми», которые возникают, когда мы наблюдаем дорожную обстановку, устанавливаем взаимный визуальный контакт с другим участником движения, пропускаем кого-нибудь вперед или взмахиваем рукой в знак благодарности тому, кто дал дорогу нам. Компьютеры постепенно учатся распознавать и отмечать различные объекты физического мира. Но, как могут подтвердить пилоты «Предейтора», их возможности по распознаванию людей и их намерений остаются очень примитивными.

Шутя лишь отчасти, Леонард утверждает, что вождение в Бостоне может приравниваться к операции в экстремальной среде. Он поставил видеокамеру на приборную доску своего авто­мобиля и коллекционирует записи моментов вождения, с которыми трудно справиться алгоритмически: въезд на загруженную дорогу в час пик; следование по полосе движения, когда разметку не видно под пылью или снегом; поворот налево через несколько полос. Снежной бостонской зимой 2015 года трехмерный ландшафт городских улиц мог радикально измениться за ночь, когда трехметровые кучи снега сужали проезжую часть и заставляли менять режим вождения.

Что из усвоенной нами информации о работе аппаратов в экстремальных условиях поможет нам пролить свет на возможное будущее самоуправляемых автомобилей? Мы знаем, что для автономных машин будут характерны все те же проблемы, которые известны нам по примерам использования автоматизации в уже описанных нами средах, — отказы систем, различия в опыте пользователей-операторов, сложности при фокусировке внимания, ухудшение навыков ручного управления, а также растущая склонность чрезмерно полагаться на автоматику по мере все более широкого распространения таких систем.

Самой главной проблемой для самоуправляемой машины станут моменты передачи управления между автоматикой и водителем — то, что мы можем назвать «проблемой рейса 447 Air France». Каждая критически важная система должна располагать способами справляться с аномалиями, возникающими при отказе отдельного датчика или модульного устройства или в ситуации, когда в окружающем мире что-то идет не так, как ожидается. Чем сложнее система, тем больше потенциальных аномалий она в себе таит. И хотя отдельные аномалии такого рода могут возникать редко, в США люди ежедневно совершают более миллиарда поездок на автомобиле, что в десять тысяч раз превышает количество ежедневных авиарейсов.

Допустим, «гугломобиль» сможет распознать ситуацию, с которой он не в состоянии справиться сам, и предупредит водителя, что тому необходимо взять управление на себя. Возможно, для этого на приборной панели будет зажигаться световой сигнал «Проверь автономность», аналогичный имеющемуся сейчас в машинах малопонятному оповещению «Проверь двигатель», хотя в целях эффективности ему следует быть намного информативнее. Что будет, если эта лампочка загорится, когда машина движется на большой скорости и передача управления должна произойти без промедлений? Если человек, освобожденный от обязанности вести машину, уснет или погрузится в чтение книги, сможет ли он вновь включиться в контур управления достаточно быстро, чтобы успеть отвести машину от лобового удара, выбоины на дороге или столкновения с препятствием?

Точно так же, как в истории рейса 447, водителям придется сталкиваться с этим испытанием в наиболее сложных дорожных ситуациях. И вдобавок по сравнению с операторами рассмотренных нами систем, работающих в экстремальных условиях, водители в большинстве своем не так хорошо подготовлены и могут иметь крайне разные навыки, физические возможности, социальное происхождение, экономический статус и образование. Как бы ни были опасны экстремальные среды, тем не менее и глубины океана, и воздушное пространство, и космические дали относительно «однородны» по сравнению с вождением автомобиля в дорожных условиях — значительно более хаотичным и неопределенным процессом.

Вероятно, в ответ на подобную критику Google изменил подход и ищет способы полностью избавиться от этих доставляющих неприятности субъектов — водителей. По словам инженера Натаниеля Фэйрфилда, Google выяснил, что «люди ленивы» и «перескакивают от обоснованного недоверия к чрезмерному упованию» на системы, которыми пользуются. Проведя эксперименты, компания пришла к выводу, что людям-водителям нельзя доверять настолько, чтобы позволить взаимодействовать с их программами, и приняла модель нулевого участия человека в процессе вождения. Инженеры Google говорят о «ленивых водителях» и о том, что 93% автомобильных аварий происходят по причине ошибок человека (конечно же, специалисты по «человеческому фактору» давно поняли, что люди ошибаются чаще всего из-за плохой конструкции управляемой системы или непродуманных норм управления).

Новая версия автомобиля Google была представлена в 2014 году и производит впечатление дружественной и безопасной для людей машины. С целью снижения уровня риска ездит она медленно, в ней отсутствуют руль и приборная панель, так что такой машиной человеку вообще нельзя управлять. По словам руководителя проекта Криса Армсона, компания «движется к цели создания транспортных средств, которые полностью возьмут на себя тяготы водительского дела». Эти полностью автономные машины будут «функционировать безопасно и независимо от человека, чье вмешательство в их работу не потребуется».

Весь «пользовательский интерфейс» новой машины составляют две кнопки — для запуска и остановки двигателя, а также дисплей, на котором отображается маршрут (непонятно только, как же водитель должен говорить машине, куда ехать). Водителя превратят в пассажира, чьей обязанностью будет «откинуться в кресле, расслабиться и наслаждаться поездкой». «Машине нет нужды прибегать к помощи водителя-человека — в ней достаточно дублирующих систем, — утверждает Фэйрфилд. — Она оснащена двумя рулевыми моторами, и у нас есть множество различных способов прекратить движение». Появившиеся на сервисе YouTube рекламные видеоролики под легкую музыку демонстрируют, как пассажиры пожилого возраста, инвалиды, слепые наслаждаются приятными поездками на автомобилях Google по озаренным сияющим солнцем пустым и широким калифорнийским шоссе.

Безусловно, предоставить инвалидам или старикам возможность свободно перемещаться — похвальная цель. Но выбранный Google способ достичь ее представляет собой возврат в прошлое и попытку ухватиться за упущенную возможность. Как это ни забавно, именно такая высокотехнологичная компания, как Google, в своей риторике шагает назад в XX век, архаически выставляя водителя пассивным наблюдателем. Их «новый» подход становится жертвой всех трех порожденных XX веком мифов о роботах и автоматизации: 1) автомобильная техника должна логически развиваться до полной, утопической автономности (миф о линейном прогрессе); 2) автономные системы управления освободят водителя от обязанности водить (миф замещения); 3) автономные машины могут действовать полностью самостоятельно (миф о полной автономности).

Наши исследования работы систем в экстремальных средах научили нас тому, что такая утопическая автономность рушится при столкновении с реальными условиями среды, в которых людям приходится рисковать жизнью. И в действительности утопия автоматизации от Google оказывается намного более хрупким и менее функциональным решением, чем богатая автоматизация, нацеленная на помощь водителю-человеку. Действительно, присутствие живого водителя в автоматизированном автомобиле вызывает проблемы с путаницей режимов, концентрацией внимания и интерфейсами взаимодействия, но все эти проблемы решаемы — особенно с учетом опыта, полученного нами на уроках экстремальных сред. Однако вместо этого инженеры из Google гонятся за призраком наивной автоматизации, пытаясь поставить задачу таким образом, чтобы ее могли решать программы от Google. Подобный способ формулировки проблем особенно приятен инженерам по причине его замкнутой на себя природы: пусть вождение сводится лишь к навигации и предотвращению столкновений.

Данная форма автоматизации может быть приемлема для узкого, локального использования (меня не удивит появление таких машин без водителей в нишевых применениях, например для развозки пассажиров в пределах парковок или кампусов колледжей, примерно как это делают монорельсы в аэропортах). Но вождение автомобиля во всей его полноте — социальная активность, которая испытывает влияние всего разнообразия географических, экономических, культурных и других факторов. Google ничего не говорит о том, как их программный код должен учитывать это чудесное многообразие. И, более того, просто потому, что в машинах будут ездить люди, встают непростые вопросы о допустимом риске, надежности и степени вины той или иной стороны в происшествии, на которые необходимо отвечать. У инженеров Google есть привычка постоянно хвалить друг друга за то, что они берутся за самые трудные задачи, но в этом случае они закрыли глаза на все важные и социально значимые проблемы и сделали выбор в пользу узких алгоритмических решений.

И, конечно, даже в случае автономных «гугломобилей» человеческий фактор не теряет своей значимости, просто проявляется по-другому и в другое время. Давайте заглянем внутрь алго­ритма, чтобы на примере понять, насколько по-человечески может быть скроен код, который, на первый взгляд, является автономным. Рассмотрим историю первого задокументированного столкновения между автономными автомобилями. В 2007 году в результате Большого технического соревнования, профинансированного Агентством по перспективным оборонным научно-исследовательским разработкам, возник ряд технологий, на которых ныне основывается идея автомобиля от Google. Крис Армсон, инженер Google, был главным инженером победившей тогда команды, и многие из других участников соревнования сейчас тоже работают в Google.

В том происшествии автомобиль Массачусетского технологического института под названием «Талос» обгонял авто­мобиль Корнеллского университета, который именовался «Скайнет» — у этой машины были проблемы с алгоритмом планирования, и она медленно тарахтела вдоль обочины. Компьютеры на борту «Талос» классифицировали «Скайнет» как «скопление статических объектов», а не как движущийся транспорт, и приняли решение выполнить поворот, объехав это «скопление». Но корнеллская машина на самом деле не стояла на месте, а двигалась, выписывая «кренделя», схему которых «Талос» распознать не сумел. «Скайнет» рванул вперед как раз в тот момент, когда «Талос» начал поворачивать перед его носом, в результате чего оба автомобиля столкнулись, получив незначительные повреждения. Ни та, ни другая команда не выиграла соревнование.

Надо отдать должное командам, которые совместно разобрались с происшедшим и опубликовали все подробности аварии. Повинны были многочисленные алгоритмы и датчики, но ключевую роль сыграла ошибка компьютера массачусетского автомобиля, «не узнавшего» в корнелльской машине движущийся объект и не сумевшего предсказать его возможный путь. По иронии судьбы, стратегия Массачусетского института состояла в том, чтобы избегать предметной классификации дорожных объектов (например, «автомобиль» или «дорожный отбойник»), что сулило множество вероятных ошибок, а взамен лишь делить их на движущиеся и неподвижные. Но правильному анализу данных о скоростях от датчиков машины мешал случайный шум (который бывает в любых данных), поэтому, чтобы фильтровать данные об объектах, компьютер из Массачусетса использовал пороговое значение 3 м/сек. Все, что двигалось быстрее, считалось «движущимся», а все, что медленнее, — «неподвижным».

Откуда взялось это значение порога? Просто один инженер так оценил разницу между движением и неподвижностью и внес это значение в алгоритм. Я спросил моего коллегу Джона Хау, одного из авторов проекта, много ли таких пороговых чисел запрограммировано в системах вроде этой. Он ответил мне: «Очень, очень, очень много...» На самом деле «конфигурационный файл» для автомобиля «Талос» содержал примерно тысячу строк текста, которым устанавливались значения сотен переменных: расположения и данные калибровки датчиков, поправочные коэффициенты для взаимного сопоставления данных датчиков, настройки для борьбы с засветкой от солнца и т.д. Технология машинного обучения может снизить зависимость от предустановленных параметров, но и она зависит от людей-программистов, определяющих ее базовую структуру. Хау отмечает, что действие основных алгоритмов в целом сильно зависит от того, насколько верны модели неопределенности внешних факторов. По его словам, «проблема автономии в своей основе — проблема существования в неопределенном мире».

Этот краткий экскурс в код раннего образца автономной машины раскрывает, насколько глубоко такая «автономность» пронизана результатами человеческих решений в бесчисленных мелких деталях, как, например, то пороговое значение, которое мы наблюдали, а также и в более глубоких аспектах, в частности в используемых моделях неопределенности. Вспомним нашу исходную картину автономности как набора путей передачи входных данных от датчиков, которые трансформируют их в целевые действия. Чудесно наблюдать за тем, как работает такая технология, но ведь за созданием этих путей передачи информации и трансформаций стоят люди.

Именно эти люди, если вы поедете в созданной ими машине, могут вас убить.

Юристы и законоведы лишь начинают изучать проблемы ответственности, связанные с эксплуатацией автомобилей без водителей. Если в вашем понимании автономность — это когда транспортное средство само принимает решения, то цепочка ответственности может оказаться прерванной. Кто будет виноват, если ваш «гугломобиль» свалится вместе с вами в кювет? Этот вопрос касается не только того, что именно юристы пропишут в контрактах, он касается фундаментального понимания автономности: если некая система действительно работает самостоятельно, то как ее производитель может быть виноват, если что-то пойдет не так? (Некоторые полагают, что традиционное понимание ответственности производителя применимо и здесь: если компания выпускает продукт, она же и несет за него ответственность.) С практической точки зрения как можно выдать сертификат безопасности на программное обеспечение для машины без водителя?

Подход к сертификации программного обеспечения систем, от которых зависят жизни людей, наподобие авиалайнеров, хорошо отлажен, но является довольно громоздким и дорогим: он включает тщательное тестирование, при котором каждый элемент кода выполняется хотя бы один раз, и это совмещается с тщательным контролем за изменениями. Те же стандарты применяются при сертификации выполняемых людьми процессов планирования, проектирования и создания кода, удовлетворяющего тщательно продуманным требованиям, и они же распространяются на этапы контроля качества и улучшений кода после его внедрения в действующие системы. Но в своем нынешнем виде эти процедуры неприменимы для систем, которые считаются полностью автономными и где число возможных вариантов действий стремится к бесконечности. И, кроме того, как и системы технического зрения в авиации, автономные машины вроде создаваемых Google должны полагаться на высоконадежные базы данных, которые часто обновляются. Если вы пропустите установку еженедельного обновления, то можете въехать прямо в стройплощадку или кучу снега.

Как же мы можем сертифицировать предлагаемые Google модели риска и неопределенности? Любой автоматический алгоритм планирования пути включает тот или иной вариант этих неизвестных величин. Само планирование работает путем оптимизации так называемых «функций издержек», то есть заключается в постоянном поиске ответа на вопрос «Какой путь из этой точки в ту наиболее оптимален?» в отношении времени, затрат энергии, риска или какой-то другой переменной. Но сама функция издержек заключает в себе результат расстановки приоритетов людьми. В одной поездке, допустим, вы везете на заднем сиденье детей и вам хочется ехать осторожно, соблюдая все правила: в этом случае чаша весов должна склоняться в сторону безопасности, а не скорости. В другой раз вы можете путешествовать в одиночку и куда-нибудь спешить и вам захочется ехать побыстрее за счет увеличения риска. Или же у вас окажется мало топлива, и вам потребуется сделать приоритетным его экономию.

В качестве мысленного эксперимента давайте подумаем, не должен ли ваш автономный автомобиль быть оборудованным регулятором с надписью «риск»? Хотите попасть домой поскорее? Выкрутите регулятор «риск» до упора! Система пере­ключится в режим более агрессивного вождения, вы попадете домой быстрее, и дополнительная сумма страховки автоматически спишется с вашего банковского счета. (А как насчет других водителей, которые при таком раскладе тоже рискуют больше? Повышение страховой ставки для них оплатите вы?) Или вы едете вместе с детьми? Тогда уверните регулятор риска обратно, и ваша машина будет следовать правилам дорожного движения со всей дотошностью.

Сознательно мы это делаем или нет, но именно такие решения мы принимаем каждый раз, садясь за руль. В случае автоматизированной машины от Google эти решения примет за вас некий инженер, размышляющий над ними в своем конструкторском бюро. Если мы все же хотим оставить возможность решения за собой, тогда нам необходим интерфейс. Как выглядит карта вашего города с отмеченными зонами риска? Вы когда-нибудь видели своими глазами трехмерные участки авто­номности?

Эти мысленные эксперименты подсказывают нам подход, альтернативный тому, который предлагает компания Google, — не устранять водителя, а заново продумать его роль. Странно манящие, призрачные картинки сканированного лазером ландшафта, которые позволяют увидеть, что собой представляют внутренние модели автомобиля без водителя, теперь становятся основой нового интерфейса и нового процесса вождения. Как любил говорить мой коллега Билл Митчелл, «приборная доска должна быть интерфейсом города, а не интерфейсом двигателя».

Представьте: больше нет ограниченных, стесняющих циклов обратной связи по поддержанию движения строго по полосам и скоростного режима. Теперь мы сами — в определяющей роли, мы являемся теми, кто задает высокоуровневую стратегию поведения для автомобиля, но и органы управления остаются в наших руках. Мы используем модели среды, обогащенные алгоритмически обработанными данными датчиков, чтобы передвигаться в разные части спектра автоматизации в разные моменты времени, то оказываясь на участках автономии и риска, то покидая их.

Реализовать такую схему правильно будет непросто, но решение этих проблем сулит больше, чем утопические надежды на абсолютную автономию. Мы должны дать возможность пере­движения пожилым, больным людям и инвалидам, позволить водителю отвлекаться от управления на другие задачи (обмен текстовыми сообщениями, чтение) и повысить безопасность, но все-таки сохранить центральную, определяющую роль человека-водителя.

Задачи компании Google и общий характер их заявлений на тему автономных машин не раз менялись в прошлом и могут измениться вновь под воздействием стремительно разворачивающейся общественной дискуссии. Те публичные заявления, которые делаются от имени компании, вероятно, отражают борьбу точек зрения внутри их собственной команды конструкторов. И все же культурное влияние самой компании Google настолько велико, что она определяет ход дебатов во всех сферах — от государственных законодательных органов до фирм — производителей автомобилей, и она не одинока в этом. И Главное управление по обеспечению безопасности дорожного движения США, и Ассоциация инженеров авто­мобилестроения устанавливают уровни автоматизации для автомобилей, и в этом явно или неявно находит воплощение миф о линейном прогрессе, завершающемся «полностью автоматическими транспортными средствами». Стандарты этих двух групп не оставляют места ни для гибридных режимов, в которых одни задачи могут выполняться с высокой степенью автоматизации, а другие — нет, ни для информационно обогащенной автоматизации, которая дает возможность водителю участвовать в управлении автомобилем.

Сторонники «гугломобилей» и многие журналисты технической прессы упускают из виду то, что вопросы ответственности за возможный риск и сертификацию техники — отнюдь не второ­степенные «социальные» проблемы на пути этого, в остальных отношениях независимого технического новшества. Напротив, именно эти проблемы и являются ключевыми в деле автономии, и поиск решений принципиально важен для определения будущего и наших роботов, и нас самих. Это не просто какие-то технические вопросы — это вопрос о том, кому доверять управление.

Чтобы привести пример возможного альтернативного подхода, я закончу главу описанием двух проектов, в которых, начиная с ранних стадий, разработчики стремились увеличить роль человека и его осведомленность о внутренних состояниях автономной системы. Оба с самого начала нацелены на создание работающей в согласии человеко-машинной команды, а не на создание высокоавтоматизированной машины, к работе которой человек должен адаптироваться.

Беспилотный вертолет на большой скорости приближается к посадочной зоне. Он сканирует местность при помощи лазера — это похоже на лазерный сканер, установленный на крыше «гугломобиля», — который охватывает окружающий рельеф и выполняет тысячи измерений дальности. Выстраиваемой трехмерной топографической моделью лазерное устройство в реальном времени снабжает компьютер. Он, в свою очередь, применяет к полученным данным сложные алгоритмы и выстраивает различные варианты возможной траектории полета. Алгоритмы позволяют выявить плоские участки местности и найти участок, свободный от деревьев, проводов и других препятствий, где вертолет мог бы сесть. Они анализируют, достаточно ли та или иная площадка ровная, чтобы вертолет не перевернулся после посадки.

Когда вертолет приближается к точке посадки, деревья начинают перекрывать ему видимость. Полагаясь на данные лазерного сканера, компьютер выбирает путь чуть правее, где между деревьями имеется промежуток, проводит по нему аппарат и совершает приземление.

Этот сценарий описывает демонстрационный полет, совершаемый по реальному проекту: полноразмерный автономный транспортный вертолет, создаваемый компанией Aurora Flight Sciences из города Манассас, штат Вирджиния. Эта фирма занимается созданием беспилотных аппаратов в рамках правительственной программы исследований. В реальном полете система была испытана в феврале 2014 года. Цель программы — создать беспилотные вертолеты, которые могли бы летать в опасных зонах, доставляя грузы, а также, возможно, вывозить пострадавших, не ставя под угрозу жизни пилотов. Я принимал участие в разработке этого проекта и создал в его рамках архитектуру взаимодействия человека с автономной системой. Идея заключалась в том, чтобы рассматривать автономную систему как часть человеко-машинной команды при проектировании не только схемы ее взаимодействий с человеком, но и ключевых алгоритмов ее работы.

После успешной демонстрации в The Wall Street Journal вышла статья о проекте со следующим заголовком: «Военно-морские беспилотники живут своим умом». Кажется, среди журналистов процветает миф о достижимости полной автономии.

Но где же тут действовали люди? Оказывается, везде. Поскольку летал рабочий прототип, в пилотском кресле вертолета для безопасности находился пилот. Он сидел сложив руки и наблюдал за тем, как компьютер ведет машину в воздухе, но в любой момент был готов перехватить управление и вывести компьютер из процесса контроля за полетом. Хорошо обкатанная в полевых условиях система по идее вовсе не нуждается в пилоте. Но «пилот-дублер» может оказаться вовсе не таким бесполезным, как нам может на первый взгляд показаться, — этот человек просто занят работой другого рода.

Еще более важно то, что, когда вертолет приземляется, его ждут в точке прибытия. В конце концов, какой толк от доставки груза, если нет никого, кто бы мог его принять, распаковать и использовать по назначению? Встречающие должны иметь мужество и доверие к машине, поскольку стоять на летном поле и наблюдать, как к тебе приближается здоровенный вертолет под управлением компьютерной программы, — занятие не для слабонервных. В нашей команде побывали на собеседовании десятки людей, которые постоянно работают на летном поле и зарабатывают на жизнь тем, что принимают на земле обычные пилотируемые вертолеты. Большинство из них прошли войны в Ираке и Афганистане, и не раз с ними бывало так, что они, глядя в небо, видели, как в нем кружат различные беспилотные аппараты. При этом они испытывали тревожное чувство из-за того, что невозможно было понять, кому принадлежат те или иные машины и какие задачи они выполняют. Последнее, с чем летные техники хотели бы столк­нуться на театре военных действий, был как раз «беспилотник, живущий своим умом». Напротив, они мечтали о надежном партнере, который безукоризненно выполнял бы данные ему поручения.

Это означало, что люди, находящиеся в зоне посадки аппарата, должны были получить возможность отменить посадку. Так мы оснастили техника с летного поля iPad. После пятиминутной тренировки он или она могли взаимодействовать с вертолетом в рамках короткой процедуры обмена информацией. Человек предлагает вертолету зону для посадки. Компьютер имеет возможность не согласиться, если выбранная зона не отвечает его действующим ограничениям по безопасности. Взамен он может предложить несколько альтернатив. Человек в ответ должен или принять одну из предложенных альтернативных зон, или скомандовать вертолету улетать.

Как выяснилось, создание схемы этого обмена, интерфейса и программного комплекса, с которым пользователь мог бы выполнить задачу меньше чем за минуту, а также набора понятных человеку внутренних состояний автономной системы, оказалось одной из наиболее сложных задач во всей программе.

Вдобавок успешная демонстрация испытательной посадки вертолета вызвала у вертолетчиков вопрос: если у нас есть сканер и алгоритмы, которые так надежно определяют подходящие для приземления области, то, может, и простому пилоту-человеку они не помешают? По мере того как программа развивается, автономные возможности, вполне вероятно, появятся и у пилотируемых вертолетов, а не только у беспилотных. Например, тем вертолетам, которые в наших городах используются как скорая помощь для эвакуации пострадавших в больницу, приходится садиться в крайне сложных и неопределенных условиях. Мы только начинаем понимать, какую выгоду с точки зрения повышения скорости и безопасности сулят новые наборы датчиков и алгоритмов, которые мы исследуем.

Некоторые из этих идей принимают четкие очертания, порождая понятие «частично пилотируемый летательный аппарат» (ЧПЛА). Ведущий отраслевой журнал Aviation Week & Space Technology десятилетиями публикует статьи с отзывами летчиков о новых летающих машинах. В 2012 году статья, посвященная самолету под названием «Центавр», стала знаменательным описанием того, как летчик-испытатель за время своего полета вообще не притронулся к рычагам управления.

Журналист издания совершил полет на заднем сиденье небольшого двухмоторного самолета. На переднем сиденье кабины размещался пилот-дублер, но его руки спокойно лежали на коленях. Рядом с ним, на том месте, где положено быть креслу второго пилота, находился механизм, состоящий из тросовых тяг, приводных рычагов и сервомоторов. Пилот-дублер поворотом рычага привел механизм в действие, и тот начал сам передвигать ручку управления и рулевые педали. Все приводные рычаги в нем — сдвоенные для надежности. Если один комплект выйдет из строя, второй продолжит свою работу. Пилот-дублер имеет возможность отключить механизм одним поворотом рычага, если что-то вдруг пойдет не так. В противном случае у него нет причин дотрагиваться до ручек управления.

Располагавшийся на заднем сиденье «оператор» командовал самолетом при помощи ноутбука, пользуясь интерфейсом, идентичным тому, который использовали наземные техники в процессе посадки беспилотного вертолета. Глядя на экран компьютера, он имел возможность менять высоту полета, задавать путевые точки, взлетать и приземляться. Нажатие кнопки «старт» запускает систему автономного взлета. Компьютер сам придерживает тормоза, дает полный газ, проверяет состояние двигателя и приборов и отпускает тормоза, начиная разбег по взлетно-посадочной полосе. Самолет ускоряется, поднимается в воздух и начинает набор высоты в своем полуавтономном полете.

Будучи ЧПЛА, «Центавр», названный так в честь кентавра, мифического полуконя-получеловека, может летать как простой самолет под управлением пилота, как если бы он был обычным сертифицированным серийным воздушным судном прямо с авиазавода. Но, помимо этого, он обладает возможностью работать в полуавтономном режиме, как во время испытательного полета, в котором журналист с заднего сиденья отдавал команды при помощи ноутбука. И мало того, он может летать и как беспилотник, будучи на связи с землей посредством радиосвязи при помощи того же самого компьютерного интерфейса.

Инженеры из Aurora создали «Центавр», подвергнув переделке в ЧПЛА коммерческий самолет модели «Диамонд DA-42». Они установили механизм пилотирования на месте переднего сиденья, большое количество новых электронных систем, независимых от авионики самолета, а также перевели в цифровую форму компьютерных алгоритмов инструкции по летной эксплуатации и действиям в аварийной обстановке.

Беспилотные летательные аппараты не допущены к эксплуатации в большей части национального воздушного пространства США, но «Центавр» получил от Федерального управления гражданской авиации сертификат летной годности, который разрешает полет в непилотируемом режиме при условии, если на борту есть пилот-дублер. Благодаря этому на самолете можно отрабатывать различные датчики, алгоритмы и процеду­ры для перспективных беспилотных систем. Под управлением пилота его перегнали на Аляску: в пределах этого штата он имеет законную возможность летать как беспилотник и собирать данные для климатических исследований.

«Центавр» является образчиком переходной технологии и годится для выполнения летных испытаний и отработки техники, пока регулирующее законодательство и приемы обращения с подобной техникой еще формируются. Но в нем уже заключается семя нового способа пилотирования, так что, в конце концов, даже в границах национального воздушного пространства США работа пилота-дублера может в итоге превратиться в управление посредством ноутбука.

Брезжит ли перед нами будущее с авиалайнерами, которые летают без пилотов? По всей видимости, это вряд ли случится очень скоро, но «Центавр» демонстрирует нам, как много необходимых для этого технологий существует уже сегодня. С точки зрения техники автоматизация рулежки, процедур взлета, следования воздушной трассе и посадки уже хорошо зарекомендовала себя. Сам по себе беспилотный самолет — кажется, уже решенная техническая задача, но лишь в том случае, если не брать в расчет его человеческое окружение. И вновь мы увидели, что полностью автономное функционирование — не такая уж большая проблема. Можно сказать, что данная технология уже есть в наши дни, но приобрести социальную значимость и начать приносить общественную пользу ей мешает то, что для этого нужны не только сами машины, но и являющиеся частью повседневной жизни социальные, политические и экономические системы, в которых есть место для вышеназванных машин и в которых они приносят практическую и опытную пользу, а это проблема гораздо более широкого плана.

Авиалайнеры обязаны проходить сертификацию по безопасности, которая гарантирует, что они не будут падать людям на головы. Их производители должны не только обеспечить низкую вероятность аварии, но еще и практически доказать безопасность самолета. Пассажирский лайнер должен работать не только в любой мыслимой аварийной ситуации, но и почти во всех немыслимых тоже. Вот почему проблемы надежности беспилотных летательных аппаратов, вопросы риска, меры ответственности за ущерб и доверия, как в случае машин без водителя, остаются нерешенными, если мы рассмотрим их в связи с миром людей. Формирование доверия к таким системам потребует долгих лет демонстраций, тестирования и большой инженерной работы как залога их надежности.

Более вероятно, что мы увидим в полете авиалайнеры, которыми будет управлять меньшее количество членов экипажа, и это наверняка случится до их полной автоматизации. В рейсах большой дальности обычно принимают участие трое или более пилотов, которые могут посменно работать во время длящихся часами однообразных отрезков пути. Если удастся сократить их количество, не снижая при этом уровень безопасности, авиакомпания получит от этого прямую выгоду за счет уменьшения стоимости каждого полета.

Проблема в том, что крупные авиалайнеры не имеют сертификата безопасности на полет с одним пилотом в кабине. И поскольку каждый из них — дорогостоящий и сложный технический объект, они так и будут продолжать эксплуатироваться в своей нынешней форме еще десятилетия. Поэтому для того, чтобы уменьшить на них экипажи, нам следует подумать об установке дополнительных устройств, которые могли бы взаимодействовать не только с системами самолета по образцу реальных пилотов, но и с единственным остающимся летчиком. Если мы задаемся целью заменить второго пилота в долгих рейсах машиной, такой машине, судя по всему, необходимо лишь уметь отслеживать возможные аварийные ситуации и реагировать на проблемы на протяжении ограниченного отрезка времени, достаточного для того, чтобы спящий командир воздушного судна успел проснуться и получить представление о происходящем. Такое устройство, однако, должно тестироваться и в ситуации типа рейса 447 Air France, то есть верно реагировать на внезапно возникающие угрозы, но подобный тест порой не под силу пройти и людям. (Кстати, крушение лайнера компании Germanwings выявляет особую социальную проблему: как гарантировать, что пилот — не самоубийца?)

Уже упомянутое Агентство по перспективным оборонным научно-исследовательским разработкам, которое финансировало соревнования первых образцов автомобилей без водителей, объявило конкурс разработок по способам легкой и дешевой автоматизации любого летательного аппарата. Если бы удалось добиться реализации этой технологии, то такое устройство могло бы стать универсальным помощником для пилота в решении других задач — выполнении рутинных операций, поиске нужных инструкций, занесении в базу данных полетных событий, формулированию предложений по эффективности полета. Вопреки мифу о замещении, оно не будет прямо выполнять функции второго пилота. Вместо этого сформируется новая схема разделения труда между пилотом и его автоматическим помощником, и каждый из них будет ярче всего проявлять свои сильные стороны. Размышления над этой проблемой и построение рабочего прототипа — часть исследовательской программы, финансируемой Агентством по перспективным оборонным научно-исследовательским разработкам. Результатом исследования может стать система, которая способна выступать в роли второго пилота, а при необходимости превратить любой летательный аппарат в дистанционно управляемый беспилотный.

Идея заключается в том, чтобы такой агрегат мог сидеть в кресле второго пилота и взаимодействовать с приборами и органами управления самолета так же, как это делает человек, — читать показания приборов с панели при помощи системы компьютерного зрения, держаться за ручку управления и вести самолет так же, как пилот, и даже пользоваться переключателями и рычагами, которыми оборудована кабина. Этот проект называется Система автоматической деятельности в кабине (ALIAS).

У системы ALIAS будут многочисленные, частично совпадающие задачи. Вероятно, наиболее смелая из них — возможность превратить любой самолет или вертолет и даже большой транспортник в автономный беспилотный аппарат при условии минимального вмешательства в конструкцию сертифицированного воздушного судна. Если будет линия связи с правильными характеристиками, оснащенным устройством ALIAS самолетом можно будет управлять удаленно. Задачей более непосредственной является возможность для ALIAS работать «помощником пилота», помогая ему выполнять рутинные задачи в те моменты, когда рабочая нагрузка на пилота велика и без них (это похоже на то, как маленький робот R2-D2 помогал Люку Скайуокеру в кинофильме «Звездные войны»). Тогда живой пилот сможет контролировать полет, отдавая системе команды через интерфейс, наподобие того, что имеется у iPad.

Наличие помощника пилота поможет совершать длительные полеты с уменьшенным экипажем. ALIAS не заменит собой второго пилота — его наличие на борту заставит переосмыслить взаимосвязь между командиром и вторым пилотом, а также основную задачу управления полетом воздушного судна. Гораздо раньше, чем в жизнь войдут полностью автоматические авиалайнеры, должны начаться полеты с системами наподобие ALIAS, сначала, по всей видимости, на длительных трансокеанских транспортных рейсах.

Я работаю в команде компании Aurora, выигравшей контракт на конструирование и постройку системы ALIAS. Она будет использовать систему машинного обучения для адаптации к новым типам летательных аппаратов, систему компьютерного зрения для того, чтобы видеть и понимать информацию, отображаемую на кабинных дисплеях, и ту или иную форму роботизированных манипуляторов, чтобы управлять полетом при помощи штатных органов управления и пользоваться переключателями на приборных панелях. Устройству потребуется тренировка, чтобы привыкнуть к каждому новому для него типу самолета или вертолета, что подразумевает как обучение базовым летным инструкциям и действиям, так и «наблюдение» за работой управляющего аппаратом живого пилота и сбор данных о том, что именно делает этот человек. ALIAS будет стремиться перенять навыки самых высококвалифицированных пилотов.

Однако наиболее серьезная проблема, которую надо решить при разработке системы ALIAS, — это не создание алгоритмов для нее, а поиск способов сотрудничества с человеком-партнером. Как мы выяснили по опыту коммерческих авиалайнеров, никто из пилотов не желает заполучить себе в кабину еще какой-то черный ящик со сложным интерфейсом, который занят непонятно чем и сбивает с толку пилота. Это значит, что не так просто пересмотреть задачи пилотов таким образом, чтобы повысить уровень абстракции, на котором они действуют, и при этом не добавить в их работу неоправданной сложности. Конечно, все это требует переосмысления самой роли пилота в самолете.

Летчик может в одном полете непосредственно управлять воздушным судном, в другом — управлять им же дистанционно, а в третьем — выполнять полет в автономном режиме. Более того, возможна ситуация, когда человек то разрешает роботу ALIAS управлять самолетом, то спустя час берет управление на себя. Системы наподобие ALIAS будут даже позволять пилоту отдыхать и спать во время длительных полетов, если только получится доказать, что машина способна управлять само­летом в аварийной ситуации достаточно долго, чтобы успеть разбудить командира, проинформировать его или ее о сложившейся ситуации и дать возможность вмешаться в процесс управления, если это окажется необходимым. Сон — проверенный способ снижения усталости пилотов и повышения эффективности их работы, но прежде, чем мы позволим пилоту спать во время полета, придется расстаться с привычным нам представлением о летчике как о герое, который всегда начеку и готов парировать любую опасную ситуацию, и согласиться с тем, что, несмотря на способности этого человека, у него есть свои физиологические и когнитивные ограничения.

ALIAS — проект с высоким уровнем риска и малой определенностью, как и все интересующие Агентство по перспективным оборонным научно-исследовательским разработкам программы. И пока нет ясности в том, когда (и как) он может быть реализован на практике. Но, существуя в качестве программы исследований, некоего сложного мысленного эксперимента, он наглядно подчеркивает идею, в истинности которой мы убеждались десятилетиями: нет постепенного линейного перехода от управляемых людьми аппаратов к дистанционно управляемым, а от них — к автономным. Вместо этого мы наблюдаем процесс слияния. Ручной режим управления, дистанционный и автономный развиваются совместно, и грани между ними постепенно стираются.