自动化深渊

第18章末尾，人们把旧隔热层从机身里抽出来，像抽走一层隐患。本章开篇提到的国家安全生产监督管理总局是中国的煤矿、工矿商贸等安全生产监管机构，负责发布各类生产安全事故调查报告。

2012年6月29日，一份报告被放在公众面前，封面没有照片，没有残骸图，只有“责任事故”四个字。它认定两年前伊春那架支线客机的坠毁不是天灾，而是人没做到位。报告点了几类失守：机长在低能见度下继续进近，机场没有中线灯，安全管理层层放行。读它的人会感到一种熟悉的沉重：事故可以追溯，责任可以认定，整改可以下达。这是中国安全生产体系常见的公文节奏，把一场灾难钉在具体环节上。

可几乎在同一段时间，大西洋另一侧的另一份报告，反而让调查者陷入了一种完全不同的困境。那份报告的对象，是2009年6月1日凌晨消失在赤道附近海域的法国航空447航班。调查人员手里也有黑匣子，也有驾驶舱录音，也有飞行数据，甚至也能写下“结论”。但那个结论不知道应落到谁头上。

飞机没有爆炸，没有解体，没有发动机失效。三枚空速管先后结冰，自动驾驶退出，然后三名飞行员在一架结构完好的飞机上，用不到四分钟，把一场本可控制的故障飞成了坠海。为什么？

这个问题逼着调查者把目光从零件、线路、材料转向驾驶舱内部。哈利法克斯之后，航空界把可见的火灾风险一层层封住，材料换掉，电线重查。可法航447揭开的是另一层更隐蔽的空洞：当自动化系统把飞行员从操纵者变成监控者，机器突然交回操纵权的那一刻，人未必还认得出飞机的状态。

本章的入口因此不是机场跑道，不是坠机现场，而是一份公文和另一份报告的平行出现。两份文件，两种归因方式。伊春可以言之凿凿地判“责任事故”，因为机场、气象、进近决断、公司管理都看得见。大西洋上的那一架飞机，各项可见条件似乎都还允许活下来，可结果是228人无一幸存。看得见的故障都排除之后，剩下的只有一件事：人机之间的手足无措。

先看2009年的那个夜晚。法航447从里约热内卢加利昂国际机场起飞，目的地巴黎戴高乐机场。

机型是空客A330-200，216名乘客，12名机组。这个数字在后来所有档案里被反复引用，它背后是192名巴西人、法国人、德国人、中国人以及其他国籍的乘客。飞机在夜间升空，很快进入大西洋上空。跨赤道航线没有全程雷达覆盖，飞机与地面通过卫星数据链和语音报告保持联系。巡航阶段自动接通，飞行管理计算机按照预定航路运行。驾驶舱里，两名副驾驶在座，机长按规定进入休息舱。这不是例外，而是长途航班的常态。

进入热带辐合带之后，云团密集。机载雷达能看见一片片强回波。夜航中，飞机不能轻易左转绕开整个天气系统，国际航路在此收窄，大多数客机都从同一条通道穿过。客舱里大部分乘客在休息，也许有人看见窗外云层深处的闪电。驾驶舱内，仪表蓝光映在面板上。

然后，三个皮托管中的一个开始堵塞。皮托管是一根朝前开口的小管，靠迎面气流的压力测空速。高空冷云中，冰晶可以进入管口结成冰。一个皮托管堵了，本来不致命。A330有三套独立测量，坏一个还有两个。

问题不在测量本身，而在电传操纵系统的逻辑：它看到三个空速互相矛盾，便不再信任其中任何一个。于是它自动退出自动驾驶，退出自动推力，把飞行控制从“正常法则”降到“备份法则”。这个切换不需要飞行员同意，只在显示屏上闪出警示，伴随一声信号音。飞机没有失控，只是把决定权还给了人。这原本可以是一条平静的处置路径。手册里写着：保持当前姿态，监控速度，等待空速管加热除冰，数据恢复后重新接通。

可接手操纵的副驾驶没有执行这条路径。他向后拉起了侧杆。飞机抬头，高度上升，空速开始下降。为什么拉杆？调查人员反复听那段驾驶舱录音，听不清动机，只听见动作。

拉杆之后几秒钟，失速警告响起。警告不是蜂鸣，不是红灯，而是一个合成人声，不断重复一个词：停。可这个最直白的指令没有被执行。两个副驾驶在讨论空速是否可靠，讨论数据是否错误。他们不看迎角，不读失速警告的含义。操纵侧的副驾驶继续拉杆，飞机在高空以抬头姿态进入失速，机翼气流分离，高度开始急剧下降。杆还是向后的。

黑匣子录音里最令人不安的不是喊叫，而是那种近乎日常的困惑。两名飞行员都没有说出“我们失速了”。他们一直试图理解仪表在说什么。几十分钟的完整录音里，没有一个人明确喊出“推杆、低头、增加推力”。机长被叫回驾驶舱后，也没有立即扭转局面。三个人坐在那里，飞机在下坠，警告在响，高度在掉。直到最后十几秒，才有一名飞行员似乎突然明白了什么，但已经太迟。飞机以每分钟超过一万英尺的垂直速度撞上海面。

黑匣子在四千米深的海底躺了两年，直到2011年才被找到。2012年，法国航空事故调查机构发布了最终报告。报告没有把主因归于皮托管，也没有把责任全部推给飞行员。它把焦点放在一个更棘手的地方：在自动化长期接管之后，飞行员已经不认识失速了。

这份报告与伊春报告不同，它没法用“违章”两个字收场。伊春的夜航建议可以追溯到南航黑龙江分公司运行安全技术部2009年8月27日印发的安全技术通告。

那份通告指出，伊春机场跑道未设中线灯，仅划有中线标志，并建议自2009年9月1日起，原则上禁止夜间飞行，同时避免在昼间中雨及夜间降水条件下降落。事故发生于2010年8月24日夜间，通告中的建议未能阻止飞机继续下降。责任链条清晰，可逐层追溯：谁批准了夜间飞行，谁决定继续进近，谁未能守住安全标准。

法航447却把这些环节都绕开了。飞机有适航证，机组有资质，航路正常，自动系统短暂退出又留下一架空管堵塞的飞机。真正的断裂不在制度化流程里，而在人的认知里。

报告由此提出一个更普遍的命题：自动化让飞机更可靠，也让驾驶它的人更脆弱。这个命题并不新鲜，但法航447把它坐实了。要理解这个悖论，不能只看法航447的几分钟。它只是极端爆发。自动化依赖的土壤已经铺了很多年。

早期的飞机操纵，钢索、液压、驾驶盘、方向舵踏板都直接连着舵面。飞行员手上的力量，脚下阻力的变化，都能传递飞机状态。到了电传操纵时代，操纵输入先变成电信号，再经过计算机处理。

A330的侧杆不联动，两个人各握一侧，一个拉杆，另一个未必知道。侧杆本身几乎没有力反馈，它轻得像桌面游戏摇杆。计算机根据飞行包线限制，把人的输入“翻译”成舵面动作。这种设计不是偷工减料，而是有意把飞机限制在安全边界内。所谓“正常法则”，就是让飞行员在大多数情况下拉不出失速，拉不出结构超限。飞机替人设了一道围栏。

听上去很好。可围栏也有代价。一个从来拉不出失速的飞行员，在围栏突然撤销时会怎样？法航447给出了答案：他可能继续拉杆，因为他不知道前方就是失速。

空客的设计理念并不隐藏这一点。它倾向于让计算机守护边界，人只做决策。波音则保留更多传统触觉，驾驶杆与方向舵有反馈，人可以更直接地感受飞机。这不是空客错、波音对，而是两种驾驶哲学。

关键是，监管和训练体系并没有把这两种哲学差异带来的风险完全对应起来。飞行员进入A330之前，可能来自传统飞机，也可能来自电传飞机。复训科目里，高空失速、异常姿态、备份法则下的手动飞行，这些项目长期不足。

调查人员在报告里没有用“衰退”这个带情绪的词，但各国民航管理者的反应都很清楚：这代人的手动飞行时间在萎缩。驾驶舱录音里有一段被广泛讨论的细节。失速警告持续响起时，操纵侧副驾驶仍在向后拉杆。这个动作与警告内容完全相反。为什么一个经过长期训练的飞行员会做相反的事？因为他在那一刻不相信警告。

这个判断要放在A330的自动化语境里才能理解。正常法则下，系统不会让飞机进入失速。飞行员整个职业生涯可能都没见过真正的失速警告。当警告真的响了，他首先想到的是系统故障，而不是自己操作错误。人的思维总在寻找熟悉的解释。熟悉的解释是：空速管结冰，数据错误，警告可能是假的。这个判断一旦形成，后面的拉杆动作就变得“可以理解”，甚至有一点逻辑：如果警告是假的，那就继续按直觉带杆抬头。真正的失速不在他的经验库里。

报告细读到此，能看出三层原因。最外层是皮托管结冰，这是物理触发。第二层是空速矛盾导致自动化退出，这是系统逻辑。

最里层，也是最难修的一层，是飞行员的认知与训练没有跟上自动化的普及。报告没有停留在“训练要加强”这种空话。它连续追问：为什么飞行员没识别失速？因为训练没有高空失速科目。为什么没这个科目？因为行业认为电传飞机不会被拉得失速。为什么行业这么认为？因为统计数据支持，失速事故在自动化时代大幅减少。为什么统计好转之后反而出了法航447？因为风险没有消失，只是被转移到极端失效场景里，而人恰恰在这些场景里最不熟练。这个追问链条，把一起空难从“某个人失误”推到制度根源。

航空安全史的确是一部事故驱动史，但它不是线性进步。法航447提醒的是，每一步自动化带来的安全提升，都可能同时制造一个新的脆弱点。这个脆弱点平时藏在统计曲线下面，只在极端时刻露头。

调查报告发布后，航空业做了几类事。皮托管换得最快，更不易结冰的新型空速管在A330和A340机队中推广。这属于技术补救，路径清楚。训练方面的更新要慢得多。

法航自己开始增加高空失速识别与改出，增加备份法则下的人工操纵科目。国际民航组织推动“手动飞行能力恢复训练”，要求各航空公司在复训中加入异常姿态改出。各国民航局相应发文。看起来，一个系统补丁正在打上。

可商业航空的排班压力、燃油效率要求、空域拥挤程度，都不允许飞行员在航班上更多地手动飞行。一个机长一年飞七百多小时，真正动手操纵的时间可能只有起飞、着陆和少数转弯。其余时间，系统在飞，人在监控。模拟器里练十几个小时手动科目，回到航线上又是几百小时的监控员。这个矛盾没有消失，反而在扩大。

更深一层的矛盾是，航空公司到底该鼓励飞行员多手动，还是多自动？两种说法都有安全依据。手动飞行能让飞行员保持基本技能，但增加人为差错的机会。自动化能降低总体差错率，但让飞行员在极端情况下失去能力。这个问题没有统一答案。法航447之后，多数航企选择了“有限手动”，即在安全允许的空域和阶段，允许机组短时关掉自动驾驶，保持手感。

这个做法并非普遍强制，效果也参差不齐。一些公司在复训中增加了“自动驾驶意外脱开”的场景，但没有增加真实航班上的手动时间。飞行员在模拟器里会改出失速，并不等于在真正的黑夜里、在云团中、在高度和速度急剧变化时还能做出正确反应。模拟器的好处是安全，坏处也在此：它不能复制那种真实的无助感。而法航447最致命的，恰恰是那种无助感。

这场事故没有像哈利法克斯那样带来一次全球范围的材料更换。伊春报告可以列出整改清单，法航447的报告却只能列出“应该”和“建议”。

这是两类空难的根本区别。一类是物理性的，看得见，换得掉。另一类是认知性的，看不见，换不掉。自动化深渊不是某一个零件的深渊，而是人和机器之间那条界线上突然裂开的缝隙。

机器足够好，人才会放心退后。可退得越远，回来时就越难。法航447把这个过程压缩成几分钟，让全世界听见驾驶舱里的沉默和讨论声。然后大海吞掉一切，两年后黑匣子再把沉默翻译成报告。

从哈利法克斯到法航447，中间隔着对材料与对认知的两次补丁。前者补在机身内部，后者试图补在训练大纲里。可后者的难度要大得多。训练大纲可以改，手动科目可以加，但商业航空的每一天都在生产新的自动化依赖。

飞机在航路上自动飞行，飞行员盯着屏幕，盯着航电信息，盯着公司下发的气象和油量。这种状态重复几千小时后，一个人对机器松手瞬间的陌生感，不是几节模拟机课能消除的。法航447的调查者明白这一点，所以报告的语气里总有一种不情愿：它知道结论可能不会被完全落实，因为那意味着改变整个行业对自动化的态度。而这条回头路，没有人敢轻易走。

2012年6月29日，中国那份责任事故报告为伊春空难定案。法航447的最终分析也在同一年完成。两份文件相继出现在公众视野里，像两种安全逻辑的对照。一种说，守住标准，别蛮干。另一种说，标准本身没有失效，但标准背后的能力退了。伊春的跑道没有中线灯，这是设施缺口。

这种细读还揭示了一个被忽略的细节：在失速警告持续响起的几分钟里，侧杆并没有一直处于拉杆到底的位置。数据记录显示，操纵侧副驾驶曾多次短暂回杆，然后又向后拉。他似乎在试探，在传统驾驶杆上，这样的往复动作会传递到另一个驾驶杆，但在A330上，另一个侧杆纹丝不动。坐在右座的飞行员看不到同伴的手部动作，只能从姿态和速度的变化中猜测。两人之间的对话于是变成一连串不确定的疑问句：“我们还在爬升吗？”“速度可信吗？”

“这个警告是不是因为结冰？”没有人给出明确答案，因为每一个问题都指向他们不熟悉的系统状态。事故后的数据回放还显示，失速警告并非从一开始就出现。在自动断开后的最初约二十秒内，飞机还在可控状态。如果此时推杆低头，增加推力，很可能就能回到正常飞行。

但操纵侧副驾驶没有这样做。他先抬头，然后进入失速，等第一次警告响起，已经错过了最平稳的解围窗口。在随后的三分钟里，警告反复响起，有时消失几秒又再次触发，因为杆在他手里前后摆动。每次机头稍低，警告就会停，但杆又被拉回，警告再次响起。这种循环像一场无人指挥的交响乐，乐器各响各的，没有主旋律。

这种不熟悉并非偶然。在正常法则下，计算机允许飞行员拉杆，但会在失速发生前自动限制迎角。飞行员感受到的只是轻微阻力，可能都不知道自己正在接近边界。模拟器训练中，教员也极少让学员体验保护消失后的状态，因为电传飞机被认为不会真正失速。

于是当保护真正消失，飞行员面对的是一架从未在训练中见过的飞机：拉杆不再被阻止，机头会持续抬高，速度会急降，警告会响起。训练手册中的应急程序要求“确认失速后执行改出动作”，但没有告诉他如何在几秒钟内从怀疑仪表错误转向确认失速。尤其在高空，失速的特征和低空不同，机翼可能没有明显抖振，只有警告声和迎角指示。飞行员如果不看迎角，就很难把警告与真实的失速联系起来。

A330在全球客运机队中数量庞大，而许多机组是从更旧的机型转飞而来。转型训练通常只有几个月，其中关于电传操纵不同法则之间切换的内容，多数停留在理论考试层面。飞行员知道正常法则下有保护，也知道备份法则少了某些保护，但很少在模拟器中经历从正常法则突然降至备份法则的情况。教员很少设置这种场景，因为假设所有空速数据都错误的情况在教学中被视为极端中的极端。法航447证明，这种极端并非不会发生。

法航在事故后更新了训练大纲。新版大纲对“高空失速改出”的要求比以往细致：在模拟器中设置自动驾驶脱开、空速不可靠、失速警告响起三种状况同时发生，要求机组在五秒内完成推杆、设置最大推力、保持机翼水平。大纲甚至写明：机组应将“任何拉杆冲动视为错误反应”。类似条款被欧洲其他航司部分采纳。

但真正执行时，时间表和经费成了最大的障碍。一名训练部门的负责人解释，公司每年分配给每位飞行员的模拟器时间大约有几十小时，其中大部分要用于定期复训、航线检查和特殊科目，新加一个科目意味着要压缩其他科目。有些航司于是把“手动飞行恢复训练”做成一个附加项目，每年只安排一到两次，每次半小时。飞行员在模拟器里能够完成动作，但回到航班上，真正的手动飞行时间并没有增加。培训部门也知道这样不够，却没有更好的办法。

监管层面，欧洲航空安全局在2012年发布的适航指令要求所有A330/A340运营人更新飞行手册，明确“在空速不可靠时，不得以失速警告作为唯一依据”。同时也发布训练通告，建议各航司在复训中加入手动飞行科目。美洲和亚洲的民航当局跟进时间不一，有的在一年内完成，有的拖了更久。即使条文相同，执行深度也不一样。某些低成本航司和新成立的航空公司，机队扩张快，训练部门人手不足，往往选择最低标准的合规方案。飞行员知道自己的训练可能有缺口，但在排班压力和疲劳积累下，很少主动提出补训。

商业压力也站在自动化一边。民航局和航空公司都希望提高准点率、降低油耗。自动驾驶和自动推力比人工操纵更精确，更省油。如果航路中频繁切换手动，航班效率和舒适度都会下降。飞行员工会则担心增加手动飞行会带来新的风险：一个习惯于自动化监控的机长，在繁忙空域里手动操纵，可能比自动飞行更容易出错。双方都有安全数据支撑。

于是所谓的“有限手动”更像一句空话，只在天气良好、空域宽松时偶尔执行。有些航空公司尝试在特定航线上推行“手动飞行窗口”，比如要求起飞后十分钟内或下降前十分钟内，在自动驾驶断开状态下由飞行员手动操纵。政策一出台，机队排班系统就出现冲突：如果所有航班都在同一时段要求手动，空域管制服务和油耗监控都会被影响。航司内部开会时，训练部门和运行部门常常坐在一起，训练部门说需要增加手动时间，运行部门说这会增加成本和延误。

最后妥协的结果通常是把窗口设在夜间巡航、天气平稳的时段，但那时候飞行员已经飞了十几个小时，疲惫感会降低训练效果。于是政策存在，效果打折。

这种细微的拉锯，被每一次安全审计和每一份合规报告轻轻盖过。事故调查后的前两年，改动看起来很大：新训练科目、新手册、新空速管。但再过几年，航线照旧繁忙，新一代客机更依赖自动化，飞行员从操纵者进一步变成管理者。法航447留下的核心问题并没有解决。它只是从驾驶舱里的几分钟，扩散成整个行业日常运行中的长期矛盾。这个矛盾不会在安全会议上宣布结束，也不会出现在任何一份整改清单上。它只会在未来某个相似的夜晚，再次让某个人面对突然关掉的自动驾驶。

法航447的驾驶舱里，仪表齐全，警告在响，侧杆在手，却没有一个人把飞机救回来。设施缺口可以修，能力缺口怎么修？报告没有给出完整答案，只是写下建议。建议被转发，被翻译，被纳入训练大纲。

有的公司认真执行，有的公司把它当作合规动作。几年后，一项行业调查显示，许多飞行员在正常航班上对自动化的依赖程度仍在增加，手动飞行时间继续减少。这说明法航447的教训没有被真正消化。它没有消失，只是被藏在更深的地方。

自动化深渊并末关闭。皮托管的问题解决了，失速训练的科目增加了，可那个根本性的矛盾仍在发酵：航空公司希望安全，也希望效率；设计者希望机器守护边界，也希望飞行员随时能接管；监管者希望降低事故率，也希望训练成本可控。

这些目标相互拉扯。每一架新一代客机都更自动化，飞行员的任务进一步从操纵转向管理。手动能力恢复训练像一个逆向行驶的要求，顶着整个行业的前进方向。这是法航447留下的遗产：不是一项失败了的改革，而是一场尚未结束的拉锯。

飞机仍然在飞越大西洋，仍然会进入热带辐合带，仍然可能在某一个深夜把操纵权交还给驾驶舱。那一刻，坐在座位上的人能否认出失速，能否推杆低头，将决定下一份报告会不会再次写下同一个词：自动化。可这一次，它已经不是单纯的安全进步名词，而是一个需要被重新理解的风险来源。