我可能太信任了，但是我通常接受升级。 几个月前，我很乐意接受iPhone操作系统的升级，并且丢失了我在手机上存储的所有Notes。 这些笔记包含银行和信用卡的详细信息，护照的详细信息，以及我不时需要查阅的其他有用的东西，主要是在旅行时。 真正令我大开眼界的是，我将这些便笺存储在手机中而不是云中，假设它们更安全，更私有，因为它们仅限于我口袋，矿井和矿井中的硬件。 不是这样我得到了一个教训：苹果掌握了便携式办公室的实际使用的钥匙，并且可以随意或仅因疏忽而破坏我的安排。 他们可以决定最适合我的。

我们现在处于公开发现阶段，研究为什么有两架新飞机从空中坠落，飞行员努力阻止它们跳入地面。 美国飞行员匿名报告了该问题（如上所示），并且手册和培训的不足是已知的。 坠机事故发生在外国航空公司身上，但是所有乘客都可以看到未知的风险。

感谢您对我以前的帖子的评论，尤其是那些从其他航空资源中找到更多资料并进入737系列开发历史的评论。 也感谢您观看有关飞行一般原理的视频。 一般原则是理解的基础。

我想我大概是在29月，即22月2018日狮航失事之后，正在浏览航空网站，并形成了一种看法，认为防失速系统出了点问题，并告诉了人们。 我可能已经告诉过任何愿意在XNUMX月聆听的人，但是我知道我在XNUMX年XNUMX月XNUMX日与一名试飞员讨论了此事。我们都回想起了这次讨论，在场的家人都记得提出的基本要点。 菲利普·特洛克（ https://www.unz.com/jthompson/the-tetlock-forecast/ ）会绝对正确地告诉您，在进行评估之前，预测必须尽可能具体。 因此，请进一步披露：我认为我只针对空速指示器而不是迎角指示器争论此事，并且不了解或不包括有关737 Max系列飞机设计变更历史的任何内容，仅是Lion Air坠毁提出了防失速系统问题。

这个故事包含了所有内容：操作员/机器界面的复杂性（主要是认知问题），现代飞机的复杂性（主要是具有某些认知方面的科学问题）以及涉及安全性，操作和培训的飞机行业所涉及的妥协成本以及制造商之间的竞争（经济和政治问题）。

我的重点是飞机的认知任务，并形成对系统如何工作以及如何在紧急情况下必须进行管理的理解。 我也对维护飞机，故障报告和纠正的认知方面感兴趣。 心理学在认知任务的讨论中起着一定的作用。 例如，飞机起飞后不久就开始潜入地下，这是自然的事情吗？ 阅读手册吗？ 从记忆中回想起，飞机在不断下降时，需要做什么？ 提醒您，解除系统连接所需的任务清单会因不可靠的攻击角度指示器而被您所未知。 我的观点是，驾驶舱不适合设计不良的IQ测试项目。 系统必须适应人类信息处理的限制，并且必须与惊吓的反应以及标准的飞行员反应和惯例相适应。

使用詹姆斯·拉因（James Reason）的解释性框架（人为错误，1989年），飞行员驾驶波音737 Max 8飞机并遇到MCAS（机动特性增强系统）的不透明工作，他们正在执行有意但错误的动作：他们试图将飞机从飞机上拉出。潜水。 飞机实际上是在起飞后从机场爬出的，但是攻角指示器的故障已经使MCAS确信它处于失速状态。 （要多花钱，您可以购买第二个迎角指示器，而显然这两家航空公司都没有这样做。为了安全起见，两个航空公司应该是标准配置，而无需支付额外费用）。 因此，MCAS将飞机的机头放下，以避免失速。 飞行员做出反应，将拨叉向后拉，以恢复向上飞行，这是一个显而易见的事实，即除非他能够提高身高，否则他将与乘客一起丧命。 他的动作暂时满足了MCAS的要求，然后又再次出现，从而有助于防止失速（因为拉起轭架是不够的：整个尾翼必须“修剪”成适当的角度）。 飞行员正在做自然而然的事情。

MCAS努力按照指示进行操作，但设计不当，在这种情况下，它只能依靠一个指标，而不是两个可以识别和解决差异的指标，并且对飞机的总体情况没有常识。 飞行员知道他们刚刚起飞。 据我所知，MCAS并不“知道”这一点。 再一次，据我所知，MCAS甚至都不知道飞机的高度。 （我知道这不是真正的人工智能，但我将其用作运输中人工智能可能引起的一些问题的例证）。 飞行员以“强烈但错误”的行动做出回应（在大多数情况下这是完全正确的），由于输入和范围理解的严格限制，MCAS坚持以“正确但错误”的行动坚持。 令人不寒而栗，它将传感器错误扩大为致命故障。 第二个传感器和更多的培训可能会减少此问题的影响，但引擎/机翼配置的固有不稳定性仍然存在。

使用Reason的GEMS系统，飞行员在驾驶中未发生1级滑倒或失误。 他们遵循了正确的程序，并正确地将飞机降落（飞行员曾经或两次忘记在起飞时放下襟翼或在着陆时放下轮子）。 我认为他们没有犯基于规则的2级错误，因为他们的基于规则的反应是合理的：他们考虑了本地状态信息，并试图遵循合理的规则：避免通过试图增加身高而坠入地面。 他们可能会被指控犯有3级错误：基于知识的错误，但相关知识并未提供给他们。 他们可能试图通过找到更高层次的类比来解决问题（对此很难猜测，但是诸如“我们的指标不可靠”或“我们在自动驾驶功能中触发了不良情况”之类的东西），然后他们必须恢复为问题的思维模型，并考虑结构与功能之间的抽象关系，进行诊断，制定纠正措施并进行测试。 这种基于知识的方法会带来什么？ 确切地记住在这种罕见情况下应采取的措施，或者在手册中找到正确的页面进行处理。 飞机起飞后不久一直出于未知原因而坠毁，这很难做到。 在高空飞行时，它稍微容易一些。

在这一点上，需要指出的是，关闭CMAS的难易程度有些混乱。 如果关闭，则轭和其他控件的所有自然动作都会关闭，但不会永久关闭。 它像条棍子的狗一样回来。 更糟糕的是，它将收集您没有扔过的棍子。 防刺件失控检查表的正确答案是将两个小开关向下滑动到切出位置。 找到它们可能是一个问题（不能在驾驶舱中随便关掉东西），而对于那些没有得到警告的人，发现所需的奥术程序所花费的时间在低海拔（例如起飞后）可能不足。 。 可以理解，飞行员并不了解该系统的复杂性。 他们在机上有一个秘密的副驾驶员，但没有被告知。

这是我通常将其描绘成切片的奶酪的图，其中的奶酪有时会排成一列。

安全取决于了解风险并提供深入的保护。 没有哪个保护过滤器是完美的，因此要依次放置几个过滤器，以希望它们能捕获除最罕见事件以外的所有事件。 对MCAS感到好奇的是，它被赋予了执行命令的权力。 与其说是纵深防御，不如说是一种克服内在缺陷的尝试。 尽管存在很大的漏洞，但它是在防御阵中放置得很早的一片奶酪，因为它优先考虑了一个易受攻击的指标，然后独立进行，并且违反了飞行员的意愿。 工程和经济决策的链条导致了737 Max系列飞机的出现，如果在迎角和空速指示器方面存在冗余，并且采用了一种整合输入的方法，最重要的是，一种与飞机进行通讯的方法，则CMAS可能会起作用。试点系统正在尝试执行的操作，以及出于何种原因。 指挥链应该是飞行员做出决定，CMAS提出建议，并征得其许可。

一些评论是关于飞行员的比赛的。 我不会回避智力上的种族差异作为对人类行为的解释，但在这种情况下，我不认为这是最可能的解释。 如果系统不透明且无法正确传达给飞行员，则对所有飞行员都是责任。 在这方面，正确选择的飞行员应该很相似。 但是，我知道航空公司在安全记录，维护标准以及故障报告和纠正方面存在差异。 我认为，狮航没有正确处理故障指示器。 英国空中交通管制部门的一位朋友告诉我们，最好的航空公司会迅速处理问题，而其他航空公司（通常是低成本航空公司）则更有可能记录下来，但后来予以解决。 他们可以容忍错误，而且大多数情况下都不会发生任何事情。 总而言之，最好查看航空公司的安全概况。 埃塞俄比亚航空公司被认为是相当安全的，而狮子航空则被认为不那么安全，但是评估这些问题意味着仔细研究飞行员的能力和总体维护质量。 （替代方法可能是查看有关国家每行驶一英里的死亡人数。所有这些都是另一天的情况）。

尽管当前的重点完全放在了波音上，但相同的一般原则也适用于空客和所有运输系统。 例如，汽车具有安全系统，但未经许可（或至少在碰撞即将发生之前）尚未接管控制。 考虑到道路和天气状况，汽车可以建议谨慎的速度，或者当前速度对停车距离的意义。 一个经过充分解释的警告系统可能会有所帮助，例如那些评估驾驶员机敏性并显示警告的系统。 好的。 它们不会接管方向盘或踩刹车。

飞行是安全的，这自相矛盾的是使这些坠机更加难以承受。 波音公司正在对MCAS进行升级。 尽管Max系列的设计存在折中影响重心的情况，但改进的系统可能仍可以工作，可能是通过使用几个标配的传感器来实现的。

另一方面，可能不会说服乘客。 他们可能会觉得自己被一家傲慢的公司所愚弄，并决定避开737 Max，这仅仅是为了向制造商传达一个明确的信息：在设计中增加安全性，并使控件简单，愚蠢。