Благая мечта об автоматизации: когда же, наконец, машина заменит человека в тяжелом деле управления техникой и ему можно будет отдохнуть от трудов праведных. При этом будут навсегда исключены надоевшие человеческие ошибки, так как машины не устают, не подвержены стрессам, не отвлекаются и ничего не забывают. Кажется, уже вот-вот, полная автоматизация близка, особенно на фоне впечатляющего роста мощности компьютеров. Тем более что есть обнадеживающие примеры: благодаря автоматике численность экипажа аэробусов удалось сократить с трех человек до двух и вплотную подобраться к замене компьютером и второго пилота, а наши космонавты часто выступают в роли «пассажиров» космических кораблей, стартующих, стыкующихся и спускающихся с орбиты в автоматическом режиме.
Увы, в реальности дела обстоят не так благостно. И упирается все, как ни парадоксально, в пресловутый человеческий фактор. Действительно, ведь «немому» ящику, называемому компьютером, надо доверять не просто управление каким-то техническим объектом, а в конечном счете свою жизнь и жизнь многих людей, которая может прерваться, если этот ящик взбрыкнет и поведет себя непредсказуемым образом или просто сломается. А то, что это может быть, — понятно, иначе человек (летчик, космонавт, оператор АЭС и любой другой оператор) за пультом (да и сам пульт!) давно бы стал не нужен. Вся надежда, что человек сумеет подстраховать, перехватить управление у автоматики, взять его на себя в случае чего. Он как вратарь в футболе — последний резерв, последняя надежда. Вряд ли сейчас найдется много охотников летать на полностью автоматическом пассажирском самолете без экипажа.
Каждое технологическое усовершенствование автоматики вольно или невольно вытесняет оператора на периферию непосредственного управления техникой. Поэтому возникает еще одно интересное обстоятельство: управляет вроде бы автоматика, а ответственность за безопасность по-прежнему несет человек. Получается, он отвечает за то, что сам не делает! Естественно, никому из операторов это не нравится.
Фактически летчик становится пассивным наблюдателем, поскольку больше контролирует работу бортовых систем, чем непосредственно пилотирует самолет. Автоматика требует постоянного внимания, «сканирования», как это называют пилоты; акцент в деятельности перемещается на мыслительные или, в психологических терминах, когнитивные процессы. Получается, что автоматика не оправдывает ожиданий, так как, хотя ручные задачи и отменяются, сложность управления возрастает. Ощущение исключенности из контура управления может стать причиной неуверенности и беспокойства или скуки, а прежняя профессиональная гордость сменяется чувством растерянности, ущербности, потери достоинства, когда оператор чувствует себя глупым на фоне умной автоматики.
В чем тогда будет заключаться роль экипажа таких самолетов? Фактически она может быть сведена к объявлениям в салоне для пассажиров. И оправдается мрачная шутка одного из старых пилотов, когда на вопрос «Чем отличается первый пилот от гуся?» следует ответ: «Гуси иногда летают».
При использовании автоматизированных систем управления неизбежно встает вопрос: даже если эта система станет более надежной и будет иметь дружественный интерфейс, должен ли оператор не раздумывая следовать ее советам и не приведет ли это к отказу от ответственности при появлении критических независимых соображений? Операторы могут излишне полагаться на автоматику и, столкнувшись с неожиданной проблемой, пытаться ее не замечать, вместо того чтобы выключить автоматику и перейти на ручное управление. С другой стороны, люди могут ошибиться в определении опасной или угрожающей ситуации, приняв ее за безопасную.
По-иному, чем в авиации, эволюция автоматизации происходила в космонавтике. Возможности человека по работе в космосе известны не были, поэтому и в советский, и в американский проекты первых пилотируемых космических кораблей, соответственно «Восток» и «Меркурий», заложили концепцию приоритета автоматического управления по отношению к ручному, которое рассматривалось в качестве резервного на случай нештатных ситуаций. Фактически человек должен был выступать в роли «затычки» или «дублера» потенциально ненадежных элементов.
Безоговорочная ориентация на автоматику и недоверие к космонавту в отечественной космонавтике, в отличие от американской, сохранилась и позднее. Многие последующие полеты показали, что выполнение экипажем функций дублирующего звена в нештатных ситуациях безошибочно реализовать не удается. Причиной же являлись не недостатки в наземной профессиональной подготовке, а исключенность космонавта из процесса управления в автоматическом режиме.
Следует отметить, что против стремления к тотальной автоматизации активно выступали многие специалисты, инженерные психологи и космонавты. Сам С. П. Королев незадолго до своей кончины признал ошибочность выбранного курса: «Мы заавтоматизировались…»
В 80-е годы отечественная космонавтика фактически столкнулась с нетрадиционными отказами автоматики, заставившими пересмотреть основные принципы решения проблемы надежности. Главным из них считается элементная избыточность для резервирования отказавшего оборудования. Новый тип отказов был связан не с поломками техники, а с неадекватной работой автоматики при диагностике бортовых систем.
Так, во время первого советско-французского космического полета на корабле «Союз Т-6» в 1982 году в режиме сближения с орбитальной станцией «Салют-7» автоматика ошибочно диагностировала отказ основного и резервного блоков датчиков угловых скоростей, что привело к аварийному прекращению автоматического режима. Дальнейшее сближение было успешно выполнено экипажем в ручном режиме. Как выяснилось, причиной неадекватной работы автоматики оказалось незначительное отличие расчетных, задаваемых разработчиками, значений моментов инерции корабля от реальных. Раньше это отличие не оказывало воздействие на управление и проявилось в ситуации быстрого, сложного разворота, впервые возникшей только в этом полете.
Расчетные значения моментов инерции использовались в программах бортового вычислительного комплекса для автоматического контроля функционирования указанных блоков датчиков. И когда во время разворота возникло рассогласование между расчетными и измеряемыми значениями угловых скоростей, то, основываясь на заложенных количественных критериях оценки надежности, программы автоматического контроля определили эту ситуацию как отказ самих датчиков, сначала основного блока, а потом и резервного. Фактически ложная диагностика явилась следствием сложного межсистемного взаимовлияния особенностей конструкции корабля и системы управления движением, в то время еще не учитываемого разработчиками. Поэтому предусмотреть заранее, что причиной рассогласования станет не отказ датчиков, а неточность, неадекватность количественных критериев в программах автоматики, было принципиально невозможно.
Приведенный пример наглядно раскрывает общую логику проявления возможной неадекватности количественных критериев в автоматических программах управления: несовпадение измеряемых и расчетных параметров функционирования систем интерпретируется автоматикой как отказ какого-либо блока, хотя он и функционировал нормально, а причина рассогласования заключается в неоднозначности формализации межсистемного взаимодействия в моделях управления, используемых разработчиками.
Аналогичные по сути ситуации складывались во время сближения научных модулей «Квант-1», «Квант-2» и «Кристалл» с орбитальной станцией «Мир». Во всех трех полетах автоматическое сближение аварийно прекращалось из-за ошибочной диагностики отказов различных блоков системы управления сближением. Успешное сближение и стыковка каждого из модулей со станцией были выполнены со второй попытки за счет изменения или отмены количественных критериев в соответствующих программах контроля, осуществленных с земли. Причина неудачи автоматической стыковки первого грузового корабля «Прогресс М1-4» с Международной космической станцией в конце ноября прошлого года, прекращенной из-за большого крена на ближнем участке, как оказалось, тоже заключалась в несовершенстве программного обеспечения.
Получается, что ограниченная адекватность и неоднозначность использования количественных критериев надежности функционирования той или иной аппаратуры вследствие многовариантности и опосредованности связей между различными системами и их взаимовлияния может привести к возникновению не предусмотренных разработчиками ситуаций. Их парадоксальность заключается в том, что, несмотря на аварийную диагностику автоматики, сами технические системы будут функционировать нормально! Но тогда перестает действовать основной принцип обеспечения надежности, заключающийся в резервировании отказавших блоков систем, так как автоматика отключит любое количество исправной резервной аппаратуры, сколько бы ее ни было. Реализация управления в этом случае возможна только путем резервирования автоматики оператором на основе использования им не количественных, а качественных критериев оценки надежности, позволяющих проводить целостный анализ возникающих ситуаций.
Если отвлечься от космонавтики, то отличие качественных и количественных критериев можно проиллюстрировать нашумевшим шахматным матчем 1997 года между Гарри Каспаровым и компьютером Deep Blue. Кстати, именно в шахматах существуют понятия «материал» (количество) и «качество». Сам Каспаров считает проблемой номер один для компьютера отсутствие гибкости. Под ней понимается наличие у каждой машины четкой шкалы приоритетов (то есть критериев), которая не может быть изменена во время партии в зависимости от особенностей конкретной позиции. При этом машина всегда пытается перевести качество и временные факторы в числа, представляющие собой математический эквивалент материала.
Как известно, чемпион мира матч проиграл, и многим кажется, что это событие повлияет на будущие взаимоотношения человека и компьютера. По мнению Каспарова, главной причиной, приведшей к возникновению у него стресса и чувства неуверенности, помимо некоторых важных, но организационных вопросов, явился проигрыш им второй партии.
В критической позиции гроссмейстер пожертвовал три пешки, что по расчетам машины соответствовало преимуществу +300 (каждая пешка по +100). В результате жертв он получал хорошие тактические шансы, хотя явного выигрыша еще не следовало. Но машина пешки не взяла, а выбрала вариант с преимуществом +49, то есть позиционные потери составили -251. Далее Каспаров отмечает: «Это важнейший момент в развитии компьютерной технологии, если это правда. Но правда ли это — может быть доказано очень просто с помощью распечаток. Вы должны показать нам, КАК машина передумала. Я хочу знать, как они (программисты. — А.К.) сумели объяснить машине, что ценность различных позиционных последствий, позиционных недостатков равнялась -251. На мой взгляд, это невозможно. Компьютеры еще не умеют сравнивать материал и качество».
После матча возникшую позицию многократно анализировали с помощью различных шахматных программ, и всегда жертвы пешек принимались. Данный факт и отказ разработчиков компьютера от предоставления распечаток партий позволили Каспарову прийти к выводу, что критический ход сделала не машина, а человек. Он подчеркивает: «Даже одна возможность вмешательства в игру машины, прерывающего основной вариант словами «Стоп. Не ходи туда, откажись от этого варианта», невероятно улучшила бы игру компьютера. Ведь моя стратегия основана на утверждении, что машина сделает позиционную ошибку. На этом я строил свою стратегию. Я играл в странные шахматы, не в такие, к каким я привык, я пытался использовать наши, человеческие преимущества перед машиной. Но если меня лишили моего главного козыря — я обречен». Фактически речь идет о преимуществах человека над машиной в возможностях качественного, содержательного, а не количественного, формального типа мышления.
Если опять вернуться к космонавтике, то выдвинутый тезис о невозможности полной формализации управления, на первый взгляд, может быть опровергнут опытом создания и успешного проведения первого испытательного полета в полностью автоматическом режиме космического корабля многоразового использования «Буран» 15 ноября 1988 года. Однако особенности даже этого полета в определенной степени подтверждают сделанное предположение.
Как известно, во время спуска и посадки «Бурана» его сопровождал истребитель МиГ-25, пилотируемый космонавтом-испытателем Магометом Толбоевым. На заключительном этапе произошло неожиданное: подойдя к полосе, «Буран» не стал входить в правый посадочный разворот, а пошел поперек взлетно-посадочной полосы (см. схему слева). И летчик, и наземные диспетчеры на время просто растерялись.
Как оказалось, причиной странного маневра стал сильный боковой ветер. А теперь представим, что человек пилотировал не самолет сопровождения, а сам «Буран». Тогда в описанной ситуации у него было бы только два варианта действий: либо взять управление на себя и посадить машину вручную, либо не вмешиваться в работу автоматики. В первом варианте получилось бы, что пилот отключил нормально работающую автоматику, а это не может рассматриваться как полностью правильное решение даже в случае удачной посадки и считалось бы серьезной ошибкой при неблагоприятном исходе. Во втором варианте, кстати, психологически невозможном с точки зрения летчика, он просто становился бы заложником автоматики. Но кто тогда даст пилоту гарантию, что автоматика сработает правильно, а орбитальный самолет не улетит куда-то в степь и там не разобьется? Ведь не только опытнейший летчик-испытатель, совершивший десятки полетов на самолетах-лабораториях и аналоге «Бурана», но и наземные службы управления не сразу смогли понять смысл совершаемого автоматикой маневра. Складывается патовая ситуация: как бы летчик ни поступил, он все равно «виноват». Следовательно, даже нормальная работа автоматики не гарантирует, что у человека не возникнет проблем в управлении техникой.
Автоматика все больше проникает на транспорт. Многие из современных моделей автомобилей оснащаются системами спутниковой навигации, компьютерами, выполняющими функции технической диагностики и даже непосредственного управления. Системы поддержки водителей становятся все более и более активными, уже создаются пробные варианты автопилота для вождения автомобиля в сложных городских условиях. Характерно, что главным препятствием на пути их внедрения считаются не технические трудности, а отсутствие законов, предусматривающих уголовное наказание компьютера (кстати, это опять проблема ответственности).
Что же получается? С одной стороны, вероятность возникновения непредвиденных ситуаций не позволяет полностью положиться на автоматику. С другой стороны, человек, лучше ориентируясь в сложных, нестандартных ситуациях, может споткнуться на ровном месте. Возможности проведения качественного, содержательного анализа ситуаций оператором определяются его профессиональным опытом, знаниями и умениями, способностями к творческому мышлению, психологической готовностью принять ответственное решение в экстремальных условиях. Но даже профессионалам высокого класса это порой не удается. Человек не всегда способен заменить автоматику в изначально неизвестных и неопределенных ситуациях, нелинейных и неустойчивых процессах межсистемного взаимодействия. В этих условиях возможны ошибочные, несанкционированные действия, несоблюдение профессиональных норм и даже отказ от деятельности.
Ограниченность возможностей операторов в непредвиденной ситуации межсистемного взаимодействия выявила и авария на четвертом блоке Чернобыльской АЭС. Вспомним, кстати, что технических отказов при этом не было, а одной из основных причин аварии, помимо ошибок персонала, явилось предположение разработчиков планируемого эксперимента о независимости электротехнических и ядерных процессов.
Таким образом, основная проблема автоматизации заключается даже не компьютере и программном обеспечении. Эта проблема во многом имеет психологический характер, так как происходит столкновение в общем-то непримиримых позиций двух профессиональных групп людей — разработчиков техники и средств автоматики, с одной стороны, и операторов — с другой. Первые (в надежде максимизировать надежность) спрашивают: что можно автоматизировать, что мешает передать все функции компьютеру, и только затем: что можно оставить человеку? Вторые (надеясь достичь максимальной удовлетворенности трудом) задаются вопросом: какие задачи могут быть выполнены человеком и в каких ему не обойтись без помощи компьютера?
В связи с тем, что проблема автоматизации управления техникой явно имеет психологический аспект, она попадает в круг интересов инженерной психологии как одной из отраслей психологической науки. Ее решение ищется в основном в рамках проблемы распределения функций между человеком и автоматикой. Принципы решения этой, по словам отца кибернетики Н. Винера (N. Wiener), одной из великих проблем претерпели значительную эволюцию. Рассмотрим вкратце некоторые из них.
Одним из первых стал принцип преимущественных возможностей, разработанный главным образом П. Фиттсом (P. M. Fitts). Суть его заключается в том, что функции человеку и автоматике должны назначаться в зависимости от того, чьи преимущества будут лучше использоваться при выполнении задачи управления. Инструментом распределения функций являются перечни преимущественных возможностей для различных задач. Например, человек превосходит машину в обнаружении слабых визуальных и акустических сигналов, создании и использовании гибких процедур, хранении больших объемов информации и вспоминании нужных фактов в нужный момент, индуктивном мышлении; наоборот, машина превосходит человека в быстроте и силе реакций, выполнении повторяющихся, рутинных задач, скорости и точности вычислений. Варианты подобных перечней разрабатываются до сих пор.
Однако у этого принципа достаточно быстро выявились серьезные ограничения, выразившиеся в существенной тривиальности итогового вывода: автоматика хорошо выполняет те функции, которые плохо выполняет человек, и наоборот. Иначе говоря, возможности человека и автоматики оказались взаимоисключающими. Однако существуют задачи, например оценка риска движения на высокой скорости, с которой одинаково плохо справляются и люди, и машины.
В противовес принципу преимущественных возможностей Н. Джорданом (N. Jordan) был выдвинут принцип взаимодополняемости человека и машины. В соответствии с ним нужно не распределять функции, а организовывать совместную деятельность человека и машины таким образом, чтобы взаимно усиливать их функции. Взаимодополняемость может выражаться как в обеспечении оптимальной трудности деятельности, так и в резервировании, дублировании человеком машины при возникновении отказов в ее работе посредством перехода на ручной режим управления.
К сожалению, из принципа взаимодополняемости прямо не следовали конкретные средства его реализации. Так, Джордан считал, что распределять следует не функции (задачи), а действия, из которых состоит каждая задача. Но главный вопрос: как определять необходимую степень автоматизации процессов управления? — остался открытым.
Следующим шагом стало понимание того, что разделение функций между человеком и автоматикой на основе перечней Фиттса является статическим. С позиции проектирования проблема распределения функций является нестационарной. Например, автоматика может отказать, а человек подвержен стрессам. Таким образом, следует осуществлять динамическое или адаптивное распределение функций.
Общим для такого подхода является положение о зависимости степени автоматизации процессов управления от характеристик решаемых задач, условий деятельности и величины когнитивной или умственной рабочей нагрузки (workload) оператора. Считается необходимым снижать степень автоматизации при малой нагрузке и наоборот, что позволяет поддерживать ее на относительно постоянном уровне — не слишком низком и не слишком высоком.
Основные трудности при этом связаны с определением критериев распределения задач. Попытки использования для оценки рабочей нагрузки различных психофизиологических параметров, прежде всего характеризующие активность мозга, пока не увенчалась успехом.
В то же время возможен и другой способ динамического распределения функций, при котором оператор сам принимает решение и осуществляет передачу функций автоматике или оставляет их для выполнения вручную. Однако оператор может переоценить или, наоборот, недооценить свои возможности или ресурсы автоматики. Кроме того, автоматика с высокой степенью доверия будет использоваться часто, в противном случае может неоправданно выбираться ручное управление.
Проблемы доверия автоматике, активности в управлении, резервирования человеком автоматики, а также ответственности во многом решает принцип активного оператора, разработанный российскими психологами Н. Д. Заваловой, Б. Ф. Ломовым и В. А. Пономаренко. Как следует из названия, принцип определяет необходимость поддержания некоторого уровня активности оператора в автоматизированных режимах управления в связи с тем, что человек, работая, всегда имеет в виду конечную цель управления и активно к ней стремится.
Соответственно степень автоматизации необходимо выбирать так, чтобы человек, осуществляя непрерывный контроль процессов управления, часть операций по управлению выполнял самостоятельно. Следствием указанного принципа фактически является признание нецелесообразности использования полностью автоматических режимов и предпочтительность полуавтоматического управления.
Оставим сейчас в стороне целый пласт теоретических инженерно-психологических подходов к человеку и технике, являющихся методологической основой приведенных принципов. Это машиноцентрический, технократический, технически-ориентированный подходы и противостоящие им антропоцентрический, пользователе-центрический, антропоориентированный, пользовательско-ориентированный, деятельностно-ориентированный, когнитивный и другие.
Но что делать с новым типом отказов, выражающимся в возможности отключения исправных блоков систем, когда ни на автоматику, ни на человека нельзя полностью положиться? Понятно, что функцию резервирования автоматики оператором, реализуемую посредством самостоятельного снижения им степени автоматизации, нужно сохранить. Если же и оператор не может найти решения по выходу из непредвиденной ситуации, следует осуществить обратную, на первый взгляд парадоксальную, функцию — резервирование оператора автоматикой. Ее можно реализовать путем принудительного, не зависящего от воли человека повышения степени автоматизации процессов управления.
В случае непонимания и серьезных трудностей по выходу из ситуации (которая, кстати, может возникнуть не только из-за отказов техники, но и из-за собственных ошибок) субъективная сложность деятельности оператора будет гораздо выше, чем в нормальных условиях. Поэтому резервирование оператора автоматикой должно происходить при превышении некоторой нормативной величины этого показателя. И чем больше превышение, тем выше должна быть степень автоматизации, включая и переход на автоматический режим управления, если он возможен. В противном случае должны реализовываться автоматические резервные или аварийные режимы, обеспечивающие прежде всего надежность и безопасность технического объекта.
Повышение степени автоматизации, освобождая оператора от функций по управлению, тем самым предоставляет ему возможность для более полного и детального анализа ситуации. И если ситуация разъясняется, оператор переходит обратно к полуавтоматическому режиму управления, если же нет — контролирует работу автоматики.
Таким образом, полуавтоматические режимы управления должны являться основными и выбираться, исходя из оценки адекватности использования количественных критериев в программах автоматики, а автоматические и ручные — рассматриваться как резервные для страховки оператора и автоматики соответственно. Изложенная стратегия гибкого изменения степени автоматизации процессов управления составляет содержание разработанного нами принципа взаимного резервирования оператора и автоматики.
Но может быть, здесь нет ничего нового по сравнению с динамическим распределением функций? Подумаешь, одно понятие заменено другим — рабочая нагрузка на субъективную сложность деятельности. Действительно, при ее увеличении предполагается повышение степени автоматизации управления. Однако при последующем уменьшении субъективной сложности уже не происходит соответствующего снижения степени автоматизации, его осуществляет сам оператор, если сочтет нужным! Поэтому при взаимном резервировании отсутствует однокритериальная зависимость по поддержанию некоторого оптимального уровня, неважно — рабочей нагрузки или субъективной сложности, присущая динамическому распределению.
Осталось только разобраться, как практически оценить субъективную сложность деятельности. Разработанный для этого компьютерный метод основан на оригинальном анализе движений глаз. Обычно в психологии изучают зрительные маршруты, то есть перемещение точек фиксации взгляда на объекте наблюдения, полагая, что человек думает о том, куда в данный момент смотрит. Но всем знаком эффект «пустого взора», когда, задумавшись, перестаешь замечать окружающий мир и можно, например, налететь на столб (хорошо еще, если при ходьбе, а не на автомобиле!). Иначе говоря, в такие моменты человек смотрит, но не видит!
Чем сложнее для оператора деятельность, тем в большей степени он отстраивается от внешнего мира и погружается в свой внутренний. При этом, как оказалось, в движениях глаз человека исчезают скачки (саккады), с помощью которых взгляд перемещается с одной точки фиксации на другую, — они становятся просто не нужны. Поэтому длительность интервалов между саккадами (которая меняется в достаточно больших пределах) используется как параметр субъективной сложности операторской деятельности. Продуктивность метода проверена экспериментально, как в лабораторных условиях, так и на тренажерах для космонавтов.
Взаимное резервирование позволит реализовать своеобразную форму активной помощи или даже страховки человека в критических ситуациях, а разработчики автоматики будут в определенной мере гарантированы от операторских ошибок. Тем самым фактически реализуется обоюдная защита и оператора, и техники. Кроме того, оператор не будет чувствовать себя брошенным в одиночестве перед многообразной сложностью техники, а разработчики — устраненными из процесса управления.
Не надо только считать предлагаемую стратегию автоматизации единственно верной. Она необходима лишь в самых сложных случаях. Например, лифт или стиральная машина и должны управляться полностью автоматически. Конкретную стратегию следует определять исходя как из объективных факторов сложности, относящихся к технике, управлению, функциям человека, так и личностных, социальных, культурных, организационных, экономических и иных ограничений. Но это уже, как говорится, другая история.
Опубликовано в журнале «Компьютерра» №12 от 26 марта 2001 года
Увы, в реальности дела обстоят не так благостно. И упирается все, как ни парадоксально, в пресловутый человеческий фактор. Действительно, ведь «немому» ящику, называемому компьютером, надо доверять не просто управление каким-то техническим объектом, а в конечном счете свою жизнь и жизнь многих людей, которая может прерваться, если этот ящик взбрыкнет и поведет себя непредсказуемым образом или просто сломается. А то, что это может быть, — понятно, иначе человек (летчик, космонавт, оператор АЭС и любой другой оператор) за пультом (да и сам пульт!) давно бы стал не нужен. Вся надежда, что человек сумеет подстраховать, перехватить управление у автоматики, взять его на себя в случае чего. Он как вратарь в футболе — последний резерв, последняя надежда. Вряд ли сейчас найдется много охотников летать на полностью автоматическом пассажирском самолете без экипажа.
Каждое технологическое усовершенствование автоматики вольно или невольно вытесняет оператора на периферию непосредственного управления техникой. Поэтому возникает еще одно интересное обстоятельство: управляет вроде бы автоматика, а ответственность за безопасность по-прежнему несет человек. Получается, он отвечает за то, что сам не делает! Естественно, никому из операторов это не нравится.Фактически летчик становится пассивным наблюдателем, поскольку больше контролирует работу бортовых систем, чем непосредственно пилотирует самолет. Автоматика требует постоянного внимания, «сканирования», как это называют пилоты; акцент в деятельности перемещается на мыслительные или, в психологических терминах, когнитивные процессы. Получается, что автоматика не оправдывает ожиданий, так как, хотя ручные задачи и отменяются, сложность управления возрастает. Ощущение исключенности из контура управления может стать причиной неуверенности и беспокойства или скуки, а прежняя профессиональная гордость сменяется чувством растерянности, ущербности, потери достоинства, когда оператор чувствует себя глупым на фоне умной автоматики.
В чем тогда будет заключаться роль экипажа таких самолетов? Фактически она может быть сведена к объявлениям в салоне для пассажиров. И оправдается мрачная шутка одного из старых пилотов, когда на вопрос «Чем отличается первый пилот от гуся?» следует ответ: «Гуси иногда летают».
При использовании автоматизированных систем управления неизбежно встает вопрос: даже если эта система станет более надежной и будет иметь дружественный интерфейс, должен ли оператор не раздумывая следовать ее советам и не приведет ли это к отказу от ответственности при появлении критических независимых соображений? Операторы могут излишне полагаться на автоматику и, столкнувшись с неожиданной проблемой, пытаться ее не замечать, вместо того чтобы выключить автоматику и перейти на ручное управление. С другой стороны, люди могут ошибиться в определении опасной или угрожающей ситуации, приняв ее за безопасную.
По-иному, чем в авиации, эволюция автоматизации происходила в космонавтике. Возможности человека по работе в космосе известны не были, поэтому и в советский, и в американский проекты первых пилотируемых космических кораблей, соответственно «Восток» и «Меркурий», заложили концепцию приоритета автоматического управления по отношению к ручному, которое рассматривалось в качестве резервного на случай нештатных ситуаций. Фактически человек должен был выступать в роли «затычки» или «дублера» потенциально ненадежных элементов.
Безоговорочная ориентация на автоматику и недоверие к космонавту в отечественной космонавтике, в отличие от американской, сохранилась и позднее. Многие последующие полеты показали, что выполнение экипажем функций дублирующего звена в нештатных ситуациях безошибочно реализовать не удается. Причиной же являлись не недостатки в наземной профессиональной подготовке, а исключенность космонавта из процесса управления в автоматическом режиме.
Следует отметить, что против стремления к тотальной автоматизации активно выступали многие специалисты, инженерные психологи и космонавты. Сам С. П. Королев незадолго до своей кончины признал ошибочность выбранного курса: «Мы заавтоматизировались…»
В 80-е годы отечественная космонавтика фактически столкнулась с нетрадиционными отказами автоматики, заставившими пересмотреть основные принципы решения проблемы надежности. Главным из них считается элементная избыточность для резервирования отказавшего оборудования. Новый тип отказов был связан не с поломками техники, а с неадекватной работой автоматики при диагностике бортовых систем.
Так, во время первого советско-французского космического полета на корабле «Союз Т-6» в 1982 году в режиме сближения с орбитальной станцией «Салют-7» автоматика ошибочно диагностировала отказ основного и резервного блоков датчиков угловых скоростей, что привело к аварийному прекращению автоматического режима. Дальнейшее сближение было успешно выполнено экипажем в ручном режиме. Как выяснилось, причиной неадекватной работы автоматики оказалось незначительное отличие расчетных, задаваемых разработчиками, значений моментов инерции корабля от реальных. Раньше это отличие не оказывало воздействие на управление и проявилось в ситуации быстрого, сложного разворота, впервые возникшей только в этом полете.
Расчетные значения моментов инерции использовались в программах бортового вычислительного комплекса для автоматического контроля функционирования указанных блоков датчиков. И когда во время разворота возникло рассогласование между расчетными и измеряемыми значениями угловых скоростей, то, основываясь на заложенных количественных критериях оценки надежности, программы автоматического контроля определили эту ситуацию как отказ самих датчиков, сначала основного блока, а потом и резервного. Фактически ложная диагностика явилась следствием сложного межсистемного взаимовлияния особенностей конструкции корабля и системы управления движением, в то время еще не учитываемого разработчиками. Поэтому предусмотреть заранее, что причиной рассогласования станет не отказ датчиков, а неточность, неадекватность количественных критериев в программах автоматики, было принципиально невозможно.
Приведенный пример наглядно раскрывает общую логику проявления возможной неадекватности количественных критериев в автоматических программах управления: несовпадение измеряемых и расчетных параметров функционирования систем интерпретируется автоматикой как отказ какого-либо блока, хотя он и функционировал нормально, а причина рассогласования заключается в неоднозначности формализации межсистемного взаимодействия в моделях управления, используемых разработчиками.Аналогичные по сути ситуации складывались во время сближения научных модулей «Квант-1», «Квант-2» и «Кристалл» с орбитальной станцией «Мир». Во всех трех полетах автоматическое сближение аварийно прекращалось из-за ошибочной диагностики отказов различных блоков системы управления сближением. Успешное сближение и стыковка каждого из модулей со станцией были выполнены со второй попытки за счет изменения или отмены количественных критериев в соответствующих программах контроля, осуществленных с земли. Причина неудачи автоматической стыковки первого грузового корабля «Прогресс М1-4» с Международной космической станцией в конце ноября прошлого года, прекращенной из-за большого крена на ближнем участке, как оказалось, тоже заключалась в несовершенстве программного обеспечения.
Получается, что ограниченная адекватность и неоднозначность использования количественных критериев надежности функционирования той или иной аппаратуры вследствие многовариантности и опосредованности связей между различными системами и их взаимовлияния может привести к возникновению не предусмотренных разработчиками ситуаций. Их парадоксальность заключается в том, что, несмотря на аварийную диагностику автоматики, сами технические системы будут функционировать нормально! Но тогда перестает действовать основной принцип обеспечения надежности, заключающийся в резервировании отказавших блоков систем, так как автоматика отключит любое количество исправной резервной аппаратуры, сколько бы ее ни было. Реализация управления в этом случае возможна только путем резервирования автоматики оператором на основе использования им не количественных, а качественных критериев оценки надежности, позволяющих проводить целостный анализ возникающих ситуаций.
Если отвлечься от космонавтики, то отличие качественных и количественных критериев можно проиллюстрировать нашумевшим шахматным матчем 1997 года между Гарри Каспаровым и компьютером Deep Blue. Кстати, именно в шахматах существуют понятия «материал» (количество) и «качество». Сам Каспаров считает проблемой номер один для компьютера отсутствие гибкости. Под ней понимается наличие у каждой машины четкой шкалы приоритетов (то есть критериев), которая не может быть изменена во время партии в зависимости от особенностей конкретной позиции. При этом машина всегда пытается перевести качество и временные факторы в числа, представляющие собой математический эквивалент материала.
Как известно, чемпион мира матч проиграл, и многим кажется, что это событие повлияет на будущие взаимоотношения человека и компьютера. По мнению Каспарова, главной причиной, приведшей к возникновению у него стресса и чувства неуверенности, помимо некоторых важных, но организационных вопросов, явился проигрыш им второй партии.
В критической позиции гроссмейстер пожертвовал три пешки, что по расчетам машины соответствовало преимуществу +300 (каждая пешка по +100). В результате жертв он получал хорошие тактические шансы, хотя явного выигрыша еще не следовало. Но машина пешки не взяла, а выбрала вариант с преимуществом +49, то есть позиционные потери составили -251. Далее Каспаров отмечает: «Это важнейший момент в развитии компьютерной технологии, если это правда. Но правда ли это — может быть доказано очень просто с помощью распечаток. Вы должны показать нам, КАК машина передумала. Я хочу знать, как они (программисты. — А.К.) сумели объяснить машине, что ценность различных позиционных последствий, позиционных недостатков равнялась -251. На мой взгляд, это невозможно. Компьютеры еще не умеют сравнивать материал и качество».
После матча возникшую позицию многократно анализировали с помощью различных шахматных программ, и всегда жертвы пешек принимались. Данный факт и отказ разработчиков компьютера от предоставления распечаток партий позволили Каспарову прийти к выводу, что критический ход сделала не машина, а человек. Он подчеркивает: «Даже одна возможность вмешательства в игру машины, прерывающего основной вариант словами «Стоп. Не ходи туда, откажись от этого варианта», невероятно улучшила бы игру компьютера. Ведь моя стратегия основана на утверждении, что машина сделает позиционную ошибку. На этом я строил свою стратегию. Я играл в странные шахматы, не в такие, к каким я привык, я пытался использовать наши, человеческие преимущества перед машиной. Но если меня лишили моего главного козыря — я обречен». Фактически речь идет о преимуществах человека над машиной в возможностях качественного, содержательного, а не количественного, формального типа мышления.
Если опять вернуться к космонавтике, то выдвинутый тезис о невозможности полной формализации управления, на первый взгляд, может быть опровергнут опытом создания и успешного проведения первого испытательного полета в полностью автоматическом режиме космического корабля многоразового использования «Буран» 15 ноября 1988 года. Однако особенности даже этого полета в определенной степени подтверждают сделанное предположение.
Как известно, во время спуска и посадки «Бурана» его сопровождал истребитель МиГ-25, пилотируемый космонавтом-испытателем Магометом Толбоевым. На заключительном этапе произошло неожиданное: подойдя к полосе, «Буран» не стал входить в правый посадочный разворот, а пошел поперек взлетно-посадочной полосы (см. схему слева). И летчик, и наземные диспетчеры на время просто растерялись.
Как оказалось, причиной странного маневра стал сильный боковой ветер. А теперь представим, что человек пилотировал не самолет сопровождения, а сам «Буран». Тогда в описанной ситуации у него было бы только два варианта действий: либо взять управление на себя и посадить машину вручную, либо не вмешиваться в работу автоматики. В первом варианте получилось бы, что пилот отключил нормально работающую автоматику, а это не может рассматриваться как полностью правильное решение даже в случае удачной посадки и считалось бы серьезной ошибкой при неблагоприятном исходе. Во втором варианте, кстати, психологически невозможном с точки зрения летчика, он просто становился бы заложником автоматики. Но кто тогда даст пилоту гарантию, что автоматика сработает правильно, а орбитальный самолет не улетит куда-то в степь и там не разобьется? Ведь не только опытнейший летчик-испытатель, совершивший десятки полетов на самолетах-лабораториях и аналоге «Бурана», но и наземные службы управления не сразу смогли понять смысл совершаемого автоматикой маневра. Складывается патовая ситуация: как бы летчик ни поступил, он все равно «виноват». Следовательно, даже нормальная работа автоматики не гарантирует, что у человека не возникнет проблем в управлении техникой.
Автоматика все больше проникает на транспорт. Многие из современных моделей автомобилей оснащаются системами спутниковой навигации, компьютерами, выполняющими функции технической диагностики и даже непосредственного управления. Системы поддержки водителей становятся все более и более активными, уже создаются пробные варианты автопилота для вождения автомобиля в сложных городских условиях. Характерно, что главным препятствием на пути их внедрения считаются не технические трудности, а отсутствие законов, предусматривающих уголовное наказание компьютера (кстати, это опять проблема ответственности).Что же получается? С одной стороны, вероятность возникновения непредвиденных ситуаций не позволяет полностью положиться на автоматику. С другой стороны, человек, лучше ориентируясь в сложных, нестандартных ситуациях, может споткнуться на ровном месте. Возможности проведения качественного, содержательного анализа ситуаций оператором определяются его профессиональным опытом, знаниями и умениями, способностями к творческому мышлению, психологической готовностью принять ответственное решение в экстремальных условиях. Но даже профессионалам высокого класса это порой не удается. Человек не всегда способен заменить автоматику в изначально неизвестных и неопределенных ситуациях, нелинейных и неустойчивых процессах межсистемного взаимодействия. В этих условиях возможны ошибочные, несанкционированные действия, несоблюдение профессиональных норм и даже отказ от деятельности.
Ограниченность возможностей операторов в непредвиденной ситуации межсистемного взаимодействия выявила и авария на четвертом блоке Чернобыльской АЭС. Вспомним, кстати, что технических отказов при этом не было, а одной из основных причин аварии, помимо ошибок персонала, явилось предположение разработчиков планируемого эксперимента о независимости электротехнических и ядерных процессов.
Таким образом, основная проблема автоматизации заключается даже не компьютере и программном обеспечении. Эта проблема во многом имеет психологический характер, так как происходит столкновение в общем-то непримиримых позиций двух профессиональных групп людей — разработчиков техники и средств автоматики, с одной стороны, и операторов — с другой. Первые (в надежде максимизировать надежность) спрашивают: что можно автоматизировать, что мешает передать все функции компьютеру, и только затем: что можно оставить человеку? Вторые (надеясь достичь максимальной удовлетворенности трудом) задаются вопросом: какие задачи могут быть выполнены человеком и в каких ему не обойтись без помощи компьютера?
В связи с тем, что проблема автоматизации управления техникой явно имеет психологический аспект, она попадает в круг интересов инженерной психологии как одной из отраслей психологической науки. Ее решение ищется в основном в рамках проблемы распределения функций между человеком и автоматикой. Принципы решения этой, по словам отца кибернетики Н. Винера (N. Wiener), одной из великих проблем претерпели значительную эволюцию. Рассмотрим вкратце некоторые из них.
Одним из первых стал принцип преимущественных возможностей, разработанный главным образом П. Фиттсом (P. M. Fitts). Суть его заключается в том, что функции человеку и автоматике должны назначаться в зависимости от того, чьи преимущества будут лучше использоваться при выполнении задачи управления. Инструментом распределения функций являются перечни преимущественных возможностей для различных задач. Например, человек превосходит машину в обнаружении слабых визуальных и акустических сигналов, создании и использовании гибких процедур, хранении больших объемов информации и вспоминании нужных фактов в нужный момент, индуктивном мышлении; наоборот, машина превосходит человека в быстроте и силе реакций, выполнении повторяющихся, рутинных задач, скорости и точности вычислений. Варианты подобных перечней разрабатываются до сих пор.
Однако у этого принципа достаточно быстро выявились серьезные ограничения, выразившиеся в существенной тривиальности итогового вывода: автоматика хорошо выполняет те функции, которые плохо выполняет человек, и наоборот. Иначе говоря, возможности человека и автоматики оказались взаимоисключающими. Однако существуют задачи, например оценка риска движения на высокой скорости, с которой одинаково плохо справляются и люди, и машины.
В противовес принципу преимущественных возможностей Н. Джорданом (N. Jordan) был выдвинут принцип взаимодополняемости человека и машины. В соответствии с ним нужно не распределять функции, а организовывать совместную деятельность человека и машины таким образом, чтобы взаимно усиливать их функции. Взаимодополняемость может выражаться как в обеспечении оптимальной трудности деятельности, так и в резервировании, дублировании человеком машины при возникновении отказов в ее работе посредством перехода на ручной режим управления.К сожалению, из принципа взаимодополняемости прямо не следовали конкретные средства его реализации. Так, Джордан считал, что распределять следует не функции (задачи), а действия, из которых состоит каждая задача. Но главный вопрос: как определять необходимую степень автоматизации процессов управления? — остался открытым.
Следующим шагом стало понимание того, что разделение функций между человеком и автоматикой на основе перечней Фиттса является статическим. С позиции проектирования проблема распределения функций является нестационарной. Например, автоматика может отказать, а человек подвержен стрессам. Таким образом, следует осуществлять динамическое или адаптивное распределение функций.
Общим для такого подхода является положение о зависимости степени автоматизации процессов управления от характеристик решаемых задач, условий деятельности и величины когнитивной или умственной рабочей нагрузки (workload) оператора. Считается необходимым снижать степень автоматизации при малой нагрузке и наоборот, что позволяет поддерживать ее на относительно постоянном уровне — не слишком низком и не слишком высоком.
Основные трудности при этом связаны с определением критериев распределения задач. Попытки использования для оценки рабочей нагрузки различных психофизиологических параметров, прежде всего характеризующие активность мозга, пока не увенчалась успехом.
В то же время возможен и другой способ динамического распределения функций, при котором оператор сам принимает решение и осуществляет передачу функций автоматике или оставляет их для выполнения вручную. Однако оператор может переоценить или, наоборот, недооценить свои возможности или ресурсы автоматики. Кроме того, автоматика с высокой степенью доверия будет использоваться часто, в противном случае может неоправданно выбираться ручное управление.
Проблемы доверия автоматике, активности в управлении, резервирования человеком автоматики, а также ответственности во многом решает принцип активного оператора, разработанный российскими психологами Н. Д. Заваловой, Б. Ф. Ломовым и В. А. Пономаренко. Как следует из названия, принцип определяет необходимость поддержания некоторого уровня активности оператора в автоматизированных режимах управления в связи с тем, что человек, работая, всегда имеет в виду конечную цель управления и активно к ней стремится.
Соответственно степень автоматизации необходимо выбирать так, чтобы человек, осуществляя непрерывный контроль процессов управления, часть операций по управлению выполнял самостоятельно. Следствием указанного принципа фактически является признание нецелесообразности использования полностью автоматических режимов и предпочтительность полуавтоматического управления.
Оставим сейчас в стороне целый пласт теоретических инженерно-психологических подходов к человеку и технике, являющихся методологической основой приведенных принципов. Это машиноцентрический, технократический, технически-ориентированный подходы и противостоящие им антропоцентрический, пользователе-центрический, антропоориентированный, пользовательско-ориентированный, деятельностно-ориентированный, когнитивный и другие.
Но что делать с новым типом отказов, выражающимся в возможности отключения исправных блоков систем, когда ни на автоматику, ни на человека нельзя полностью положиться? Понятно, что функцию резервирования автоматики оператором, реализуемую посредством самостоятельного снижения им степени автоматизации, нужно сохранить. Если же и оператор не может найти решения по выходу из непредвиденной ситуации, следует осуществить обратную, на первый взгляд парадоксальную, функцию — резервирование оператора автоматикой. Ее можно реализовать путем принудительного, не зависящего от воли человека повышения степени автоматизации процессов управления.
В случае непонимания и серьезных трудностей по выходу из ситуации (которая, кстати, может возникнуть не только из-за отказов техники, но и из-за собственных ошибок) субъективная сложность деятельности оператора будет гораздо выше, чем в нормальных условиях. Поэтому резервирование оператора автоматикой должно происходить при превышении некоторой нормативной величины этого показателя. И чем больше превышение, тем выше должна быть степень автоматизации, включая и переход на автоматический режим управления, если он возможен. В противном случае должны реализовываться автоматические резервные или аварийные режимы, обеспечивающие прежде всего надежность и безопасность технического объекта.
Повышение степени автоматизации, освобождая оператора от функций по управлению, тем самым предоставляет ему возможность для более полного и детального анализа ситуации. И если ситуация разъясняется, оператор переходит обратно к полуавтоматическому режиму управления, если же нет — контролирует работу автоматики.
Таким образом, полуавтоматические режимы управления должны являться основными и выбираться, исходя из оценки адекватности использования количественных критериев в программах автоматики, а автоматические и ручные — рассматриваться как резервные для страховки оператора и автоматики соответственно. Изложенная стратегия гибкого изменения степени автоматизации процессов управления составляет содержание разработанного нами принципа взаимного резервирования оператора и автоматики.
Но может быть, здесь нет ничего нового по сравнению с динамическим распределением функций? Подумаешь, одно понятие заменено другим — рабочая нагрузка на субъективную сложность деятельности. Действительно, при ее увеличении предполагается повышение степени автоматизации управления. Однако при последующем уменьшении субъективной сложности уже не происходит соответствующего снижения степени автоматизации, его осуществляет сам оператор, если сочтет нужным! Поэтому при взаимном резервировании отсутствует однокритериальная зависимость по поддержанию некоторого оптимального уровня, неважно — рабочей нагрузки или субъективной сложности, присущая динамическому распределению.
Осталось только разобраться, как практически оценить субъективную сложность деятельности. Разработанный для этого компьютерный метод основан на оригинальном анализе движений глаз. Обычно в психологии изучают зрительные маршруты, то есть перемещение точек фиксации взгляда на объекте наблюдения, полагая, что человек думает о том, куда в данный момент смотрит. Но всем знаком эффект «пустого взора», когда, задумавшись, перестаешь замечать окружающий мир и можно, например, налететь на столб (хорошо еще, если при ходьбе, а не на автомобиле!). Иначе говоря, в такие моменты человек смотрит, но не видит!
Чем сложнее для оператора деятельность, тем в большей степени он отстраивается от внешнего мира и погружается в свой внутренний. При этом, как оказалось, в движениях глаз человека исчезают скачки (саккады), с помощью которых взгляд перемещается с одной точки фиксации на другую, — они становятся просто не нужны. Поэтому длительность интервалов между саккадами (которая меняется в достаточно больших пределах) используется как параметр субъективной сложности операторской деятельности. Продуктивность метода проверена экспериментально, как в лабораторных условиях, так и на тренажерах для космонавтов.
Взаимное резервирование позволит реализовать своеобразную форму активной помощи или даже страховки человека в критических ситуациях, а разработчики автоматики будут в определенной мере гарантированы от операторских ошибок. Тем самым фактически реализуется обоюдная защита и оператора, и техники. Кроме того, оператор не будет чувствовать себя брошенным в одиночестве перед многообразной сложностью техники, а разработчики — устраненными из процесса управления.
Не надо только считать предлагаемую стратегию автоматизации единственно верной. Она необходима лишь в самых сложных случаях. Например, лифт или стиральная машина и должны управляться полностью автоматически. Конкретную стратегию следует определять исходя как из объективных факторов сложности, относящихся к технике, управлению, функциям человека, так и личностных, социальных, культурных, организационных, экономических и иных ограничений. Но это уже, как говорится, другая история.
Опубликовано в журнале «Компьютерра» №12 от 26 марта 2001 года
