Сын полка

Пилоты авиакомпании Air France прозвали Пьера-Седрика Бонэна сыном полка. Он поступил в авиакомпанию совсем молодым, в двадцать шесть лет, имея за плечами всего несколько сотен часов налета, и учился на аэробусах французского авиаперевозчика. К тому дню, когда он поднялся на борт злополучного рейса AF447, ему исполнилось тридцать два и он успел налетать 2936 часов – солидный опыт, хотя Бонэн все равно оставался самым “зеленым” в тройке пилотов.

Тем не менее 31 мая 2009 года, когда самолет авиакомпании Air France, выполнявший рейс 447, оторвался от взлетной полосы в международном аэропорту “Галеан” Рио-де-Жанейро и взял курс домой, в Париж, управлял воздушным судном именно Пьер-Седрик Бонэн.

Это был Airbus A330, один из самых высокотехнологичных пассажирских самолетов за всю историю авиации. Его система автоматического управления настолько совершенна, что обошлась бы в полете без помощи людей, за исключением взлета и посадки. И даже когда летчик берет управление на себя, ее встроенные системы безопасности сводят риск ошибки человека к минимуму.

Однако автопилот, который уверенно преодолевает любые предусмотренные конструкторами трудности, несет в себе скрытую угрозу безопасности. Летчик не сможет постоянно поддерживать высокий профессиональный уровень, необходимый для самостоятельного управления системой, если предполагается, что он берется за штурвал в исключительных случаях. Ему не хватит опыта, на который он мог бы опереться, чтобы в экстренной ситуации оказаться во всеоружии.

Именно это и произошло во время рейса AF447. Бонэн успел наработать тысячи летных часов в кабине пилотов аэробуса, но обладал минимальным практическим опытом ручного управления авиалайнером А330. В основном деятельность его как пилота ограничивалась тем, что он следил за работой автоматической системы. Поэтому в тот вечер, когда автопилот отключился, Бонэн не сумел обеспечить безопасность полета.

Неприятности начались, когда внутри встроенных в фюзеляж датчиков скорости образовались кристаллики льда. Оставшись без адекватных показаний, автопилот подал звуковой сигнал и переложил ответственность на человека. Само по себе еще не повод для волнений. Но когда воздушное судно слегка тряхнуло в зоне турбулентности, Бонэн, не имея должной подготовки, отреагировал слишком резко. Лайнер начал немного крениться на правый борт, Бонэн схватился за боковую ручку управления и наклонил ее влево. А главное, он одновременно потянул сайдстик назад и тем самым послал самолет круто вверх.

Воздушное судно попало в более разреженную атмосферу, а Бонэн упорно тянул ручку на себя, пока нос самолета не оказался задран настолько, что воздух перестал равномерно обтекать крылья. Теперь они отражали воздушный поток, авиалайнер резко потерял подъемную силу и падал хвостом вниз с небес в океан.

В кабине пилотов раздались сигналы тревоги. Командир поспешил из каюты для отдыха обратно в кабину. Борт AF447 несся к океану со скоростью три километра в минуту.

К тому моменту датчики оттаяли, механических повреждений не было, океан маячил еще далеко внизу, и все еще можно было исправить. Бонэну и его напарнику хватило бы всего десяти-пятнадцати секунд, чтобы спасти всех, кто находился в самолете, – достаточно было толкнуть ручку управления вперед и опустить нос лайнера, так чтобы воздушный поток снова начал плавно и равномерно огибать крылья.

Но Бонэн в панике тянул сайдстик назад. Никто не осознавал, что он сам создал чрезвычайную ситуацию. Драгоценные секунды таяли. Командир велел выровнять крылья. Экипаж немного поспорил, теряют они высоту или набирают. Затем, на высоте меньше 2500 метров, управление взял на себя второй пилот.

– Вверх… вверх… вверх… – раздавался крик второго пилота.

– Я же все это время тянул ручку назад! – отвечал Бонэн.

Наконец до командира дошло. Он понял, что уже три с лишним минуты они падают из-за срыва потока, и приказал опустить нос. Поздно. Увы, теперь они были уже слишком близко к поверхности воды. “Чтоб его! Мы разобьемся! Не может быть!” – орал Бонэн. Спустя несколько мгновений авиалайнер рухнул в Атлантический океан, унося с собой 228 живых душ.

Парадоксы автоматизации

В 1983 году, за двадцать шесть лет до катастрофы с французским авиалайнером, психолог Лизанна Бейнбридж написала свое знаменитое эссе о неявной опасности чрезмерного доверия к автоматизированным системам. Создайте машину, чтобы она исправляла людские огрехи, объясняла Бейнбридж, и, как ни парадоксально, люди станут слабее.

Любой из нас в той или иной степени может сейчас это подтвердить. Ведь именно поэтому люди уже не способны запоминать телефонные номера, многие из нас с трудом разбирают собственный почерк и не в силах найти дорогу без навигатора. У нас мало шансов приобрести навыки такого рода, потому что все это делает за нас техника.

У нас есть все основания волноваться, как бы нечто подобное не произошло и с навыками вождения – а тут ставки побольше, чем с каким-то почерком. Пока мы не сумеем наладить полностью беспилотный режим, автомобиль время от времени будет передавать управление водителю. Удастся ли нам сразу вспомнить, что мы должны делать? И будет ли у подрастающего поколения возможность вообще научиться водить машину?

Но даже если все водители сохранят (в широком смысле слова) свой уровень компетенции, нам все равно придется решить еще одну проблему. Ибо важно и то, что требуется от водителя до самоустранения автопилота. Возможностей всего две. Обе они, как пишет Бейнбридж, не особенно приятные.

При втором уровне автономности (управление “без рук”) предполагается, что водитель всегда будет предельно внимателен на дороге. Машина не настолько продвинутая, чтобы полагаться только на себя, ей требуется ваше чуткое руководство. Как однажды написал журнал Wired, это примерно та степень развития, когда “двухлетний ребенок помогает вам мыть посуду”.

В настоящее время приблизительно такого уровня достигли автопилоты Tesla. Сейчас это выглядит как навороченный круиз-контроль – система автоматического поддержания скорости ведет машину на трассе, может затормозить и прибавить газу, но рассчитывает на то, что водитель всегда начеку и в любой момент сможет вмешаться. Если вы надолго отпустите руль, включится сигнал тревоги, чтобы вы не теряли бдительности.

Однако, пишет Бейнбридж, такой подход не сулит ничего хорошего. Нереально требовать от человека постоянной внимательности: “Как бы ни был сосредоточен водитель, он сможет удерживать зрительное внимание на источнике информации, при том что почти ничего не меняется, не больше получаса”.

Некоторые факты говорят о том, что люди с трудом заставляли себя следить за дорогой, как того требовала компания Tesla. В 2016 году за рулем автомобиля Tesla погиб Джошуа Браун: он ехал на автопилоте 37,5 минут и врезался в грузовик, пересекавший ему путь. Как показало расследование Национальной администрации безопасности движения на автострадах (NHTSA), в момент столкновения Браун на дорогу не смотрел. Новость об этом происшествии облетела весь мир, однако не образумила отчаянных парней, выкладывающих в YouTube веселые ролики с советами, как перехитрить машину и внушить ей, что вы не теряете концентрации. Чтобы заткнуть настырную машину с ее напоминаниями о вашей ответственности, предлагалось привязать к рулевому колесу банку “ред-булла” или засунуть в него апельсин.

Те же вопросы встают и в других программах. Беспилотники Uber требуют от водителя личного участия через каждые 13 миль (21 км), но люди все равно с трудом концентрируются. 18 марта 2018 года самоуправляемый автомобиль Uber насмерть сбил женщину. На видеозаписи, сделанной в машине, видно, что “контрольное устройство” в лице сидевшего за рулем человека за секунды до происшествия на дорогу не смотрело.

Это серьезная проблема, но есть альтернативный выход. Производители автомобилей могли бы смириться с нашей человеческой природой и с тем, что нам свойственно отвлекаться. В конце концов, машина с автономным управлением тем и хороша, что можно, например, почитать в дороге. В этом заключается принципиальное отличие второго уровня (“без рук”) от третьего (“без глаз”).

Конечно, выйти на третий уровень гораздо сложнее в техническом отношении, но некоторые производители уже выпускают машины с учетом нашей рассеянности. Таков, в частности, автопилот Audi, рассчитанный на движение в плотном трафике. Когда вы ползете в пробке, он полностью берет управление на себя – устраивайтесь поудобнее и наслаждайтесь неспешной ездой. Но будьте готовы при необходимости включиться в процесс.

Система Audi неспроста применяется только на автомагистралях с ограниченным числом въездов и при медленном движении. При большом скоплении машин на трассе риск катастрофы снижается. Это важно. Потому что стоит только водителю перестать следить за дорогой, в критическом положении складывается худшая комбинация факторов.

У невнимательного водителя очень мало времени на то, чтобы оценить обстановку и принять решение. Допустим, вы сидите в машине с автоматическим управлением, включается предупреждающий сигнал, вы отрываетесь от детектива и видите, что впереди самосвал вывалил на дорогу свой груз. Вы должны моментально обработать информацию – слева от вас мотоцикл, перед вами резко тормозит фургон, справа, в слепой зоне, еще одна машина. Именно сейчас вам нужно досконально понимать дорожную ситуацию, но вы совсем не ориентируетесь в ней; добавьте еще недостаток опыта – и как раз тогда, когда от вас требуется высочайший уровень водительского мастерства, вы будете практически беспомощны.

Эксперименты с моделями беспилотников подтверждают этот факт. Участникам одного такого исследования предлагали читать или разговаривать по телефону, пока автомобиль рулит сам, и оказалось, что восстановить контроль над машиной удается через сорок секунд после того, как включится сигнал тревоги. Тот самый случай с рейсом AF447. Командир экипажа Дюбуа легко мог спасти самолет, но опоздал с решением примерно на минуту – слишком долго он соображал, что происходит, пока не отдал простой приказ, который должен был предотвратить трагедию.

Как ни странно, чем более совершенна технология автономного управления, тем сложнее человеку. С нерадивым автопилотом, пикающим каждые пятнадцать минут, водитель не уснет и не разучится управлять автомобилем. А вот умная и хорошо отлаженная автоматическая система, на которую можно положиться почти всегда, куда опаснее.

Вот почему руководитель исследовательского центра Toyota Джилл Пратт сказал:

Хуже всего, когда участие водителя нужно машине один раз за двести тысяч миль… Простой человек, который меняет машину через сто тысяч миль пробега, может так и не узнать, как это происходит [как автомат передает управление]. Но время от времени, может, в каждой второй моей машине, будет звучать это внезапное бип, бип, бип – мол, твоя очередь! А если годами этого не слышать и не видеть, как обычно и бывает… то, когда это произойдет, водитель растеряется.