Благая мечта об автоматизации: когда же, наконец, машина заменит человека в тяжелом деле управления техникой и ему можно будет отдохнуть от трудов праведных. При этом будут навсегда исключены надоевшие человеческие ошибки, так как машины не устают, не подвержены стрессам, не отвлекаются и ничего не забывают. Кажется, уже вот-вот, полная автоматизация близка, особенно на фоне впечатляющего роста мощности компьютеров. Тем более что есть обнадеживающие примеры: благодаря автоматике численность экипажа аэробусов удалось сократить с трех человек до двух и вплотную подобраться к замене компьютером и второго пилота, а наши космонавты часто выступают в роли «пассажиров» космических кораблей, стартующих, стыкующихся и спускающихся с орбиты в автоматическом режиме.

Увы, в реальности дела обстоят не так благостно. И упирается все, как ни парадоксально, в пресловутый человеческий фактор. Действительно, ведь «немому» ящику, называемому компьютером, надо доверять не просто управление каким-то техническим объектом, а в конечном счете свою жизнь и жизнь многих людей, которая может прерваться, если этот ящик взбрыкнет и поведет себя непредсказуемым образом или просто сломается. А то, что это может быть, - понятно, иначе человек (летчик, космонавт, оператор АЭС и любой другой оператор) за пультом (да и сам пульт!) давно бы стал не нужен. Вся надежда, что человек сумеет подстраховать, перехватить управление у автоматики, взять его на себя в случае чего. Он как вратарь в футболе - последний резерв, последняя надежда. Вряд ли сейчас найдется много охотников летать на полностью автоматическом пассажирском самолете без экипажа.

Каждое технологическое усовершенствование автоматики вольно или невольно вытесняет оператора на периферию непосредственного управления техникой. Поэтому возникает еще одно интересное обстоятельство: управляет вроде бы автоматика, а ответственность за безопасность по-прежнему несет человек. Получается, он отвечает за то, что сам не делает! Естественно, никому из операторов это не нравится.

Фактически летчик становится пассивным наблюдателем, поскольку больше контролирует работу бортовых систем, чем непосредственно пилотирует самолет. Автоматика требует постоянного внимания, «сканирования», как это называют пилоты; акцент в деятельности перемещается на мыслительные или, в психологических терминах, когнитивные процессы. Получается, что автоматика не оправдывает ожиданий, так как, хотя ручные задачи и отменяются, сложность управления возрастает. Ощущение исключенности из контура управления может стать причиной неуверенности и беспокойства или скуки, а прежняя профессиональная гордость сменяется чувством растерянности, ущербности, потери достоинства, когда оператор чувствует себя глупым на фоне умной автоматики.

В чем тогда будет заключаться роль экипажа таких самолетов? Фактически она может быть сведена к объявлениям в салоне для пассажиров. И оправдается мрачная шутка одного из старых пилотов, когда на вопрос «Чем отличается первый пилот от гуся?» следует ответ: «Гуси иногда летают».

При использовании автоматизированных систем управления неизбежно встает вопрос: даже если эта система станет более надежной и будет иметь дружественный интерфейс, должен ли оператор не раздумывая следовать ее советам и не приведет ли это к отказу от ответственности при появлении критических независимых соображений? Операторы могут излишне полагаться на автоматику и, столкнувшись с неожиданной проблемой, пытаться ее не замечать, вместо того чтобы выключить автоматику и перейти на ручное управление. С другой стороны, люди могут ошибиться в определении опасной или угрожающей ситуации, приняв ее за безопасную.

По-иному, чем в авиации, эволюция автоматизации происходила в космонавтике. Возможности человека по работе в космосе известны не были, поэтому и в советский, и в американский проекты первых пилотируемых космических кораблей, соответственно «Восток» и «Меркурий», заложили концепцию приоритета автоматического управления по отношению к ручному, которое рассматривалось в качестве резервного на случай нештатных ситуаций. Фактически человек должен был выступать в роли «затычки» или «дублера» потенциально ненадежных элементов.

Безоговорочная ориентация на автоматику и недоверие к космонавту в отечественной космонавтике, в отличие от американской, сохранилась и позднее. Многие последующие полеты показали, что выполнение экипажем функций дублирующего звена в нештатных ситуациях безошибочно реализовать не удается. Причиной же являлись не недостатки в наземной профессиональной подготовке, а исключенность космонавта из процесса управления в автоматическом режиме.

Следует отметить, что против стремления к тотальной автоматизации активно выступали многие специалисты, инженерные психологи и космонавты. Сам С. П. Королев незадолго до своей кончины признал ошибочность выбранного курса: «Мы заавтоматизировались…»

В 80-е годы отечественная космонавтика фактически столкнулась с нетрадиционными отказами автоматики, заставившими пересмотреть основные принципы решения проблемы надежности. Главным из них считается элементная избыточность для резервирования отказавшего оборудования. Новый тип отказов был связан не с поломками техники, а с неадекватной работой автоматики при диагностике бортовых систем.

Так, во время первого советско-французского космического полета на корабле «Союз Т-6» в 1982 году в режиме сближения с орбитальной станцией «Салют-7» автоматика ошибочно диагностировала отказ основного и резервного блоков датчиков угловых скоростей, что привело к аварийному прекращению автоматического режима. Дальнейшее сближение было успешно выполнено экипажем в ручном режиме. Как выяснилось, причиной неадекватной работы автоматики оказалось незначительное отличие расчетных, задаваемых разработчиками, значений моментов инерции корабля от реальных. Раньше это отличие не оказывало воздействие на управление и проявилось в ситуации быстрого, сложного разворота, впервые возникшей только в этом полете.

Расчетные значения моментов инерции использовались в программах бортового вычислительного комплекса для автоматического контроля функционирования указанных блоков датчиков. И когда во время разворота возникло рассогласование между расчетными и измеряемыми значениями угловых скоростей, то, основываясь на заложенных количественных критериях оценки надежности, программы автоматического контроля определили эту ситуацию как отказ самих датчиков, сначала основного блока, а потом и резервного. Фактически ложная диагностика явилась следствием сложного межсистемного взаимовлияния особенностей конструкции корабля и системы управления движением, в то время еще не учитываемого разработчиками. Поэтому предусмотреть заранее, что причиной рассогласования станет не отказ датчиков, а неточность, неадекватность количественных критериев в программах автоматики, было принципиально невозможно.

Приведенный пример наглядно раскрывает общую логику проявления возможной неадекватности количественных критериев в автоматических программах управления: несовпадение измеряемых и расчетных параметров функционирования систем интерпретируется автоматикой как отказ какого-либо блока, хотя он и функционировал нормально, а причина рассогласования заключается в неоднозначности формализации межсистемного взаимодействия в моделях управления, используемых разработчиками.

Аналогичные по сути ситуации складывались во время сближения научных модулей «Квант-1», «Квант-2» и «Кристалл» с орбитальной станцией «Мир». Во всех трех полетах автоматическое сближение аварийно прекращалось из-за ошибочной диагностики отказов различных блоков системы управления сближением. Успешное сближение и стыковка каждого из модулей со станцией были выполнены со второй попытки за счет изменения или отмены количественных критериев в соответствующих программах контроля, осуществленных с земли. Причина неудачи автоматической стыковки первого грузового корабля «Прогресс М1-4» с Международной космической станцией в конце ноября прошлого года, прекращенной из-за большого крена на ближнем участке, как оказалось, тоже заключалась в несовершенстве программного обеспечения.

Получается, что ограниченная адекватность и неоднозначность использования количественных критериев надежности функционирования той или иной аппаратуры вследствие многовариантности и опосредованности связей между различными системами и их взаимовлияния может привести к возникновению не предусмотренных разработчиками ситуаций. Их парадоксальность заключается в том, что, несмотря на аварийную диагностику автоматики, сами технические системы будут функционировать нормально! Но тогда перестает действовать основной принцип обеспечения надежности, заключающийся в резервировании отказавших блоков систем, так как автоматика отключит любое количество исправной резервной аппаратуры, сколько бы ее ни было. Реализация управления в этом случае возможна только путем резервирования автоматики оператором на основе использования им не количественных, а качественных критериев оценки надежности, позволяющих проводить целостный анализ возникающих ситуаций.

Если отвлечься от космонавтики, то отличие качественных и количественных критериев можно проиллюстрировать нашумевшим шахматным матчем 1997 года между Гарри Каспаровым и компьютером Deep Blue. Кстати, именно в шахматах существуют понятия «материал» (количество) и «качество». Сам Каспаров считает проблемой номер один для компьютера отсутствие гибкости. Под ней понимается наличие у каждой машины четкой шкалы приоритетов (то есть критериев), которая не может быть изменена во время партии в зависимости от особенностей конкретной позиции. При этом машина всегда пытается перевести качество и временные факторы в числа, представляющие собой математический эквивалент материала.

Как известно, чемпион мира матч проиграл, и многим кажется, что это событие повлияет на будущие взаимоотношения человека и компьютера. По мнению Каспарова, главной причиной, приведшей к возникновению у него стресса и чувства неуверенности, помимо некоторых важных, но организационных вопросов, явился проигрыш им второй партии.

В критической позиции гроссмейстер пожертвовал три пешки, что по расчетам машины соответствовало преимуществу +300 (каждая пешка по +100). В результате жертв он получал хорошие тактические шансы, хотя явного выигрыша еще не следовало. Но машина пешки не взяла, а выбрала вариант с преимуществом +49, то есть позиционные потери составили -251. Далее Каспаров отмечает: «Это важнейший момент в развитии компьютерной технологии, если это правда. Но правда ли это - может быть доказано очень просто с помощью распечаток. Вы должны показать нам, КАК машина передумала. Я хочу знать, как они (программисты. - А.К.) сумели объяснить машине, что ценность различных позиционных последствий, позиционных недостатков равнялась -251. На мой взгляд, это невозможно. Компьютеры еще не умеют сравнивать материал и качество».

После матча возникшую позицию многократно анализировали с помощью различных шахматных программ, и всегда жертвы пешек принимались. Данный факт и отказ разработчиков компьютера от предоставления распечаток партий позволили Каспарову прийти к выводу, что критический ход сделала не машина, а человек. Он подчеркивает: «Даже одна возможность вмешательства в игру машины, прерывающего основной вариант словами «Стоп. Не ходи туда, откажись от этого варианта», невероятно улучшила бы игру компьютера. Ведь моя стратегия основана на утверждении, что машина сделает позиционную ошибку. На этом я строил свою стратегию. Я играл в странные шахматы, не в такие, к каким я привык, я пытался использовать наши, человеческие преимущества перед машиной. Но если меня лишили моего главного козыря - я обречен». Фактически речь идет о преимуществах человека над машиной в возможностях качественного, содержательного, а не количественного, формального типа мышления.

Если опять вернуться к космонавтике, то выдвинутый тезис о невозможности полной формализации управления, на первый взгляд, может быть опровергнут опытом создания и успешного проведения первого испытательного полета в полностью автоматическом режиме космического корабля многоразового использования «Буран» 15 ноября 1988 года. Однако особенности даже этого полета в определенной степени подтверждают сделанное предположение.

Как известно, во время спуска и посадки «Бурана» его сопровождал истребитель МиГ-25, пилотируемый космонавтом-испытателем Магометом Толбоевым. На заключительном этапе произошло неожиданное: подойдя к полосе, «Буран» не стал входить в правый посадочный разворот, а пошел поперек взлетно-посадочной полосы (см. схему слева). И летчик, и наземные диспетчеры на время просто растерялись.

Как оказалось, причиной странного маневра стал сильный боковой ветер. А теперь представим, что человек пилотировал не самолет сопровождения, а сам «Буран». Тогда в описанной ситуации у него было бы только два варианта действий: либо взять управление на себя и посадить машину вручную, либо не вмешиваться в работу автоматики. В первом варианте получилось бы, что пилот отключил нормально работающую автоматику, а это не может рассматриваться как полностью правильное решение даже в случае удачной посадки и считалось бы серьезной ошибкой при неблагоприятном исходе. Во втором варианте, кстати, психологически невозможном с точки зрения летчика, он просто становился бы заложником автоматики. Но кто тогда даст пилоту гарантию, что автоматика сработает правильно, а орбитальный самолет не улетит куда-то в степь и там не разобьется? Ведь не только опытнейший летчик-испытатель, совершивший десятки полетов на самолетах-лабораториях и аналоге «Бурана», но и наземные службы управления не сразу смогли понять смысл совершаемого автоматикой маневра. Складывается патовая ситуация: как бы летчик ни поступил, он все равно «виноват». Следовательно, даже нормальная работа автоматики не гарантирует, что у человека не возникнет проблем в управлении техникой.

[i38924]