图片来源@视觉中国

文｜航通社，作者｜书航

3月10日，埃塞俄比亚航空 ET302 航班坠毁，距今超过一周。关于此事的讨论逐渐形成一个结论：

在人类和机器的优先级当中，应该始终以人类操作为第一位，机器为第二位。如果让机器贸然的控制与人类安全相关的操作的话，那就是草菅人命。

结论真的是如此简单吗？

特朗普：我想要专业飞行员，而不是科学家来开飞机

ET302 空难让波音 737 Max 8 飞机在全世界范围停飞。人们越来越关注这一机型配备的机动特性增强系统（MCAS），它的原意是为了防止飞机由于重心不稳而失速。但在几个月前的印尼狮航 JT610 空难中，出现了人类驾驶员与该系统“互搏”的状况，最终使得飞行员失去对飞机的控制，机毁人亡。

尽管埃塞航空的空难调查才刚刚开始，但很多第三方分析认为两起事故的成因类似，都是与 MCAS 有关。

“人机互搏”是一个非常刺激的，引人联想的字眼，它将机器和人类之间的冲突描绘得张力十足。关于此事的讨论逐渐形成一个结论：在人类和机器的优先级当中，应该始终以人类操作为第一位，机器为第二位。如果让机器贸然的控制与人类安全相关的操作的话，那就是草菅人命。

这样的想法在美国总统特朗普发布推文后，获得了更多的支持，也引来更多争议。他写道 [1] ：

“飞机变得越来越复杂，以至于难以飞行。飞行员已经不需要了，需要的是麻省理工学院的计算机科学家们。我在很多产品上都看到过类似的情况，总是进一步进行不必要的探索，然而往往旧有的和简单的反而更好。瞬间的决策是必要的，复杂反而带来危险，事倍功半。我不知道你们是否也这么想，但我不希望爱因斯坦当我的飞行员。我想要的是专业的飞行员，并让他们更便捷快速地掌控飞机。”

但是，18 日在香港地铁发生的一起事故，则让我们有机会重新审视这一结论，为我们提供看问题的不一样的角度。

18 日凌晨 3 点左右，香港地铁在测试新信号系统时，荃湾线中环站到金钟站之间两辆列车拦腰相撞 [2] 。事故导致两站之间的线路中断，荃湾线列车要在金钟折返。虽然说只有一站地的路程，但是这里是香港岛最中心，最繁忙的交通枢纽，无数上班族不得不绕远转两趟车，通勤时间普遍增加了半小时。

当时，一列列车在金钟至中环路段间的一个 X 形交叉道口想要变道，另一辆同样在这一路口变轨的列车撞到了前车腰部的一节车厢。事故造成了极大冲击，有数节车厢完全毁坏，车皮变形扭曲，车座甩飞，场面惨不忍睹。

幸亏车上没有任何乘客，只有两名车长。他们都没有受重伤，其中一位扭了右脚脚脖子。但这也是港铁 1979 年投入服务以来，第一次出现如此重大的事故，这为港铁 40 周年生日蒙上了阴影。

由于港岛各线路收车时间非常晚，经常超过午夜，所以从前一天运营结束，到第二天早上发车，中间留给港铁的处理时间，每天只有三个小时。目前事情已经过去两天，但是两趟列车仍然不能被挪走，何时开通这一段路程，目前看是遥遥无期。

最新消息：今天（3.20）早上，港铁荃湾线金钟站和港岛站之间的列车服务刚刚恢复。

地铁工程师：自动保护系统失效，也不能只靠人手刹车

港铁之所以要升级信号系统，是因为这会让两趟车间隔时间更短，从而承载更多乘客，也提高大家的出行效率。

旧的“区间信号系统”是将两个地铁站划为一段区间，这段区间内只要有车，那么其它车就不能进入。新的 “基于通信的列车控制技术”（CBTC）依靠车辆自身传感器判断安全车距，因此两站之间完全可以容纳两辆，甚至更多辆车。这样，在早晚高峰期就能看到上一趟车刚走，下一趟车用不了几秒就来的景象。

为港铁提供本次信号系统更新的，是法国阿尔斯通（Alston）和加拿大泰雷兹（Thales）两家公司的联合体，这两家公司承担着全球各地，包括中国的铁路和地铁网络的信号系统服务，在国际上享有很高的知名度。不过，这两家公司在其他地方承建的地铁项目也都出过事故。

其中，阿尔斯通和中国通号的合资公司卡斯柯（Casco）承建上海地铁信号系统，在 2011 年 9 月 27 日，上海地铁 10 号线豫园站至老西门站间发生两车追尾，共造成 271 人受伤，所幸无人死亡 [3] 。

而泰雷兹负责新加坡地铁的信号系统，2017 年 11 月 15 日新加坡地铁曾发生两车追尾，造成 38 人受伤。[4]

正是这两起过往事故的起因和处置，让业内人士评价说，不应该武断地认为人手操作肯定比机器更安全。

上海地铁 10 号线追尾事故，虽然当时发生了信号系统故障，但其成因与信号系统本身质量、设计和稳定性无关。官方调查结果 [5] 显示，这事妥妥的是一起责任事故。

事发当天下午，电工在地铁 10 号线新天地站封堵电缆线出现的孔洞，却弄松了一根正插着的线，导致区间线路区域内信号系统没电，车站列车自动监控面板黑屏。这一段列车随即改为人工调度。但调度员、接车站值班员都没有严格确认区间线路是否没车，就让下一班车行驶进来，导致追尾。

有不愿意透露姓名的专家表示 [6] ，“无法理解为何在电话闭塞（就是打电话以确认下一班车可以安全驶进）下发生追尾”。

依照有关规定，12名事故责任人员受到严肃处理。

而新加坡那次的事故有所不同，调查发现是泰雷兹出错。泰雷兹道歉并承担全部责任。当时，前车探测安全距离的“保护系统”失灵，导致后车以为前方没车，在前车停站时撞了上去。

目前，如果自动保护系统失效，都只能靠人手刹车。香港“有线电视”采访铁路工程师张子惇（香港工程师学会控制自动化及仪器仪表分部前主席）[7] ，他觉得不应该只靠人手刹车。

“自动保护系统的功能就是希望不要靠人手，因为电脑是最清楚的。可以最快，也可以最知道什么时候应该或不应该刹车。我们全靠它去做，一定比人的反应和决定更好。否则就不需要这样的自动保护系统了啊。”

他也认为即使系统出错，都不应该出现撞车这种不安全的结果。

这位工程师的话，跟特朗普所称的人类飞行员比机器更专业的说法，形成了鲜明的反差。

因为飞机和汽车、火车不一样？

列车员看到了前方的情况，应该会采取紧急刹车措施。但是众所周知，人是需要一段反应时间的，总是不如机器那么快。

其实说到人类驾驶员的反应时间这个问题，让我们形成最深刻印象的，应该是 2009 年的“哈德逊河上的奇迹”。全美航空 1549 号航班的机长萨伦伯格（Chesley Sullenberger）驾驶飞机降落在河面上之前，曾经有一段时间是允许他返航，回到自己起飞的拉瓜迪亚机场的。

在美国国家运输安全委员会（NTSB）最开始的调查中，认为飞机在刚开始遭受鸟击的时候，仍然有选择的余地，有充足时间可以直接返航，这样就不用损失飞机，也不必引起这么大的轰动。这也让萨伦伯格背负了很大的精神压力。

然而后来 NTSB 在模拟飞行时发现，如果将这个比较有富余的时间，同时叠加考虑作为人类的机长，在思考问题，查看手册以及作出决策时所用的时间的话，那么再返回跑道是不可能的，且会使曼哈顿地面上密集的人群陷入危险。

NTSB 在事故调查报告 [8] 中总结道：“在事故期间，飞行机组人员的专业水准和他们优秀的机组资源管理，使得他们对飞机的控制，达到在这种情况下最优良的性能”。

可以想见，考虑到人并不是一个特别靠谱的，完全按照程序执行的机器，因此我们考虑到人面对事故的场景，就必须把人在心理、情绪等方面出现的变量考虑在内。

不管是开车，还是开飞机，人都有自己的反应时间，都可能出偏差。但飞机在飞行中遇到问题，暂时爬升俯冲，尚有回旋余地；开车，那就是一瞬间的事。所以开飞机有飞行手册，开车根本不会有一个驾驶手册给你，因为你哪里还来得及执行什么命令呢？

与之类似的是，飞机和汽车上都有安全带，但火车一般不设置安全带。去年台铁“普悠玛”号列车出事，就有人质疑为何不配安全带，但实际上原因很好理解：高速列车速度和飞机差不多快，撞上又不会有什么反应时间，车身严重变形的话，系安全带会让人、座位和车身死死扭曲在一起，反而比直接被甩出车厢的存活几率更低。[9]

由此可见，在飞机上，如果出现人和机器争夺控制优先级的情况，确实应该让人类优先，这是因为在高空中，人类短时间反应不过来的“小错误”一般是可以补救的。但地面车辆开展自动驾驶的实验，也是合理的，因为地面行车不存在反应时间这回事，此时机器肯定会比人更少犯错。

可是为什么我还是觉得机器不靠谱？

全球的新闻媒体都非常喜欢报道那些不同寻常的事件，而不是呈现多数人都能想到的常态。这可能让我们对全局情况的了解出现偏差。

在面对事故的时候，如果飞行员慌神了，造成严重后果，算是情理之中；如果人表现正常，却是飞机系统出了问题，如同去年的狮航空难，算是意料之外；如果飞行员能够凭借过人的意志，像机器一样一丝不苟地执行流程，就是极端罕见，更会给人留下深刻印象。

去年 5 月 14 日川航 3U8633 航班的“英雄机长”刘传建 [10] 就是这样。在飞机的前挡风玻璃碎裂，并且副驾驶已经快被拽出飞机的时候，他依然能够用钢铁般的意志，像一台精准的电脑一样，将飞机正确的、安全的带回地面，每一个步骤几乎都无可挑剔。

越是反常的事情，越是路人皆知。像刘传建这样的神操作，我们必须知道它是一个罕见的现象，不是所有的飞行员都能这么做的。而波音 737 Max 8 机型的系统问题，与该公司百年历史书写的安全传统大相径庭，其中也有可能涉及赶工期，甚至利益勾结等更深层问题，它震撼人心，正是因为它不是普遍现象。

前一阵，空客停产现今最大的民航客机 A380 时候，曾经有航空从业者向我们科普：波音跟空客在飞机控制系统的设计理念上有差异，波音希望飞行员能更主动，对飞机拥有完全控制权，而空客飞行员可以调整的飞机参数受到系统的更多限制 [11] 。可是 737 Max 8 客机的 MCAS 系统是机器占主导，看上去却偏离了波音的本来风格。

我们不知道是什么使得波音“改变了风格”，也许是因为他们比对手晚 9 个月开始设计同类型客机，赶时间的仓促，让他们不得不把这个环节交给机器。但如果最后发现，他们的考虑就是未来的系统越来越智能，人类必须在更智能也更准确的机器面前做出让步，那也是无可厚非的。

其实，波音想法的转变从去年《纽约时报》的一篇特稿 [12] 中可见端倪。当时，在探寻何时研发出完全无人驾驶的飞机时，该报记者认为波音对此的态度比空客更为积极。

波音公司发言人保罗·伯格曼（Paul Bergman）表示，公司正在更积极地探寻无人驾驶商业航班的可能性，也在探索进一步增强当前自动驾驶功能的方法。

“将无人机系统安全地集成到国家空域，对于释放其全部潜力至关重要。波音公司结合超过一个世纪的载人飞行经验教训，总结出系统的，基于风险考量的整合方法，可以保护我们当前空域的安全和保障，同时为无人系统开辟新的机会。今（2018）年，波音公司将探索将有人驾驶飞机任务自动化的基本原则，目标是提高安全性，并减少飞行员的工作量。”

人类的想法一直是自相矛盾，变来变去的，我自己写稿子，也难免几年前和现在的互相矛盾，”自打脸“什么的。所以我看到某些大腕所谓”打脸“的车祸现场就很平静，人非圣贤，孰能无过嘛，以最新一条为准即可。

同为人类的机长或驾驶员这个位置，到底应不应该无条件信任，也都有两方面相互矛盾的案例来支持。例如，在出租车、公交车加装外面打不开的栏杆，固然可以防止乘客对司机下手。但有的时候，也需要防止司机对乘客下手，或者司机突发心脏病什么的啊。

在 9/11 的时候，由于劫机乘客很容易进入驾驶室，所以此后飞机驾驶室的门被设置为从外面难以打开，给了机长足够的信任。但是后来又出了德国之翼的事故。有精神压力的驾驶员带着全机乘客”陪葬“，自主将飞机撞向了山峰，在此之前锁闭了驾驶室，其他人不能从外面打开。

加之 2019 年东海航空一位机长把自己老婆偷偷放进驾驶舱 [13]，这种事情反过来又降低了人们对于驾驶员的信任，希望能够再有一个什么双保险，如此”水多了加面，面多了加水“循环下去。

考虑到这种自相矛盾的事情经常出现，我们也无法指望任何人，包括机构，能够做出一个让所有人都满意的决策。只是说，每一次的事件发生，都会让人们了解到现行制度有哪些漏洞，进而封堵上这个漏洞。而最终演变出来的密密麻麻的规定，几乎每一条背后都是有血的教训的。

不管你相信未来是由人类驾驶员，还是由机器巡航系统来主导我们乘坐的汽车、火车和飞机，”亡羊补牢“可能是唯一一条能让所有人都同意的共识。今后遇到了别的事情，恐怕也只能是继续”走一步算一步“。

[1] http://fortune.com/2019/03/12/trump-tweet-albert-einstein-pilot/

[2] http://www.chinanews.com/ga/2019/03-18/8783242.shtml

[3] http://news.ifeng.com/mainland/special/shanghaiditiexiangzhuang/content-4/detail_2011_10/06/9662155_0.shtml

[4] https://www.8world.com/news/singapore/article/20171115-sg-green-line-fault-147206

[5] http://sh.eastday.com/qtmt/20111006/u1a927216.html

[6] http://shanghai.xinmin.cn/tfbd/2011/09/27/12214320.html

[7] http://cablenews.i-cable.com/ci/videopage/program/122529596

[8] https://www.ntsb.gov/investigations/AccidentReports/Reports/AAR1003.pdf

[9] http://www.chinanews.com/tw/2018/10-22/8656085.shtml

[10] http://www.cditv.cn/show-1171-1322442-1.html

[11] https://slate.com/news-and-politics/2011/07/do-pilots-have-a-preference-between-boeing-and-airbus.html

[12] https://www.nytimes.com/2018/07/16/business/airplanes-unmanned-flight-autopilot.html

[13] https://news.163.com/19/0110/11/E55IVTFV0001875P.html