飛航管制在研究什麼？
談到飛航管制到底是在研究什麼，讓我將舞台移至東京的天空來說明。
東京國際機場（通稱羽田機場）是日本最繁忙的機場，尖峰時刻每兩分鐘就有一班航機起降。只要站在羽田機場的瞭望台，就能看見一架架排列整齊的飛機，不間斷地起飛降落。
（圖片來源：資料圖庫）
圖說：談到飛航管制到底是在研究什麼？
比較世界各國機場截至二○一四年九月的單年度旅客量，排名第一的是美國亞特蘭大國際機場，其次是中國北京首都國際機場，第三名是英國倫敦希斯洛機場，接續在後的正是榮登全球第四的羽田機場（資料來源：ACI Annual World Airport Traffic Report）。羽田機場二○一四年的起降架次共計四十四萬七千次，總旅客量約七千兩百萬人。一窺反映出東京上空航空交通狀況的雷達螢幕，就可發現螢幕被密密麻麻的飛機覆蓋。
二○一四年十二月，羽田機場的C跑道向南側延長為三千三百六十公尺（原為三千公尺）。日本政府為了因應二○二○年的東京奧運，目標新增三萬六千至三萬九千次起降架次，且為了滿足未來需求，甚而考慮是否增設第五條跑道。
天空中就算有許多飛機一同飛行，卻不會發生碰撞等意外事故，都歸功於我們稱為「航空管制員」（正式名稱為飛航管制員）的人致力於管理空中交通。航空管制員負責讓航機安全順利飛行，緊盯對應空中交通狀況的雷達螢幕，從地面向機師下達準確的指令。
一般汽車駕駛可觀察窗外，透過鏡子與其他車輛保持安全距離，掌握周邊交通狀況。他們打開導航就能指引路徑，也可使用智慧型手機程式來了解交通事故和壅塞路段的資訊。另一方面，操作航空器的機師現實中處於不太自由的狀態。他們無法透過駕駛艙的窗戶，正確掌握附近的飛機正在飛往哪裡或要飛向何地。正因如此，才需要管制員常駐地面管制中心，在盡量不延誤抵達時間、減少油耗量或噪音的考量下，出聲指示機師調整高度和速度等。駕駛艙中的機師根據耳機裡傳來的管制員指示操作飛機。我們稱這種種作業為飛航管制，正式名稱是航空交通管制。
以日本為例，民航機的飛航管制大致分為四類：負責太平洋上空的越洋管制（oceanic control）、負責距機場較遠處天空的航路管制（enroute control）、負責機場周邊上空的終端雷達管制（terminal radar control），以及設於機場負責引導在機場滑行的航機並發出進離場指示的機場管制（aerodrome control）。
羽田機場周邊的終端雷達管制設於機場之內，越洋管制則隸屬福岡航空交通管理中心管轄範圍，因此日本的管轄空域稱為「FUKUOKA」（福岡）。航路管制由札幌、東京、福岡、那霸四地的航空交通管制部負責。其中東京管制部管轄的空域最廣，平均每日需處理約三千七百架班機，航空管制員的作業責任隨之益發沉重。肩負眾多生命的航空管制員，被認為是現今世界上壓力最大的職業。
在背後支撐空中旅行的，包括各種硬體、電腦軟體等地面基礎設施及飛機備品，居中則有航空管制員、航空公司的機師和飛航管理人員等，共同維持空中交通安全，有效率地實行管理，這些都屬於飛航管制研究課題之一的「飛航管制系統」。我在研究所主修的航空工程學是以航空器本身為研究對象，飛航管制的研究範圍則涉及所有關於航機交通的部分，研究主題更廣泛。
作用於人類社會中的軟硬體等技術的集合體，或是在技術的集合體中包含人類社會的系統都稱為「社會技術系統」（sociotechnical system），而飛航管制系統正是其中的代表。為了讓飛航管制這樣集大成的技術，透過與人類社會的複雜相互作用來推動莫大的系統，背後需要的是結合資訊科學、機械工程、數學、物理學、航空工程學、心理學、社會學等各式專門領域而成的學門。
今後全球航空交通需求預估仍會持續增加，僅憑藉航空管制員或因循經驗法則處理，似乎已無法應對未來的航空交通量，在這種危機感之下，催生出嘗試以科學觀點切入飛航管理的研究――「飛航管制科學」。
◎前車之鑑
思及飛機失事的罹難者和相關人士的心情，每每讓人心痛不已。本節將介紹過往幾例涉及機師與自動駕駛的事故，讓我們藉此一同思考該相信誰的問題。
提及機師與自動駕駛之間的「衝突」所引發的航空事故，代表性案例是一九九四年發生在名古屋國際機場的華航A300空難。
這起空難發生當時，自動駕駛裝置設定在TOGA模式，這是在難以著陸時，為了重新降落而讓飛機再次爬升的重飛模式。最新型航空器配備電傳操作（fly-by-wire），機翼舵面（藉由操作其擺動來改變航空器姿態和飛行方向而裝置的舵）可藉由電子訊號驅動。「衝突」發生在機師未注意到自動駕駛已經啟動，仍手握操縱桿企圖以手動方式重新降落。結果造成自動駕駛與機師手握的操縱桿同時發出電子訊號，兩者相互干擾，最終引發了事故。這場空難可說是高度自動化系統誘發機師失誤的案例。從失事飛機的黑盒子留下的機師對話紀錄「怎麼會這樣子？！」，讓我們窺見自動化系統的不透明。自動化程度越高，人們越難理解它正在為了什麼目的而動作。這是設計自動化系統的難題之一。
A300空難後，改進了自動駕駛系統，變更為當自動駕駛運作時，只要機師啟動手動駕駛，自動駕駛系統即會中止。這樣的設計造成另一個問題，也就是自動駕駛自行中止時，可能會伴隨引發機體震動等危險狀況，因此操作守則規定原則上應由機師手動按下開關來中止自動駕駛。
另外，曾發生機師與自動駕駛系統無法良好「銜接」的案例。
一九九○年代，麥道公司（McDonnell Douglas）（現已併入波音）所製造的MD11型飛機陸續出現故障。一九九七年，一架以自動駕駛飛行中的MD11型飛機遭遇強烈亂流，亂流帶來的影響遠大於自動駕駛系統於設計階段所預想的程度，使得自動駕駛無法有效降低飛行速度，進而超過上限值。機師切換為手動駕駛而握住操縱桿後，隨即發生上下搖擺的振盪。飛行員的操作誘發機體振盪的情形，稱為PIO（pilot-induced oscillation，飛行員誘發振盪）。事故之後，雖然為降低PIO的程度而在MD11型加裝了阻尼器，但後續在二○○二年仍出現其他事例，如B747-400型飛機也在類似情況下發生PIO。
我想無論是機師或自動駕駛系統，其實都具備十分優異的能力。受過完整訓練的機師，理應擁有應付航程中各種狀況的技巧和臨機應變的能力，可隨著環境的變化，釐清狀況做出判斷。這是自動駕駛系統無法模仿的部分。縱然如此，身為人類的我們，身心層面都有極限，也會感到疲勞，無論機師多麼資深都可能失誤。相對而言，自動駕駛系統只要處於設計階段所設定的條件，就可發揮優越的操控能力。基於上述種種理由，如果機師與自動駕駛能相互截長補短、「和睦」共事，不正是極致的理想型態嗎？
「你想搭乘沒有機師坐鎮駕駛艙，完全自動駕駛的飛機嗎？」
我的答案是「NO」。
接下來的問題，則是該如何讓機師與自動駕駛系統不產生衝突，銜接上不出現失誤，能夠發揮各自的能力，和睦共事？
那嘗試運用腦科學如何？
機器人和人工智慧等領域，常可見將人腦或神經系統的資訊處理運作方式，應用於工程學的例子。這引發我思考或許這類方式也可應用在飛機的操作。具體來說，我注意到的是人類小腦的「模組結構」（module structure）。
小腦擔負控制人體運動機能的重責大任，舉凡想移動手、腳、手臂、腰、腹、頸等身體各部位時，小腦都會向這些部位的肌肉發出「給我動！」的訊號。小腦中負責發出訊號的部分，按照驅動手或腳等不同機能區別，稱為模組。「模組結構」是讓個別模組所擔負的機能彼此合作的結構。換句話說，模組間存在「協調」的機能，可因應狀況，迅速正確地切換模組。小腦中這種可一氣呵成切換的出色協調功能，難道無法應用來促成機師與自動駕駛系統的相輔相成嗎？
試著把「人體」替換為「飛機」，以及把「負責向身體發出『給我動！』訊號的小腦部位」替換為「機師」與「自動駕駛」，接著嘗試在「機師」與「自動駕駛」之間應用小腦的協調功能，結果會如何呢？
無論機師或自動駕駛系統都是操作飛機的模組之一，所以這種概念既不是現有的「以人為本的設計」，也並非顛覆這樣的設計，而是一種「不以誰為本的設計」。這促使我在博士論文中提出「機師與自動駕駛系統之協調控制」（Cooperative Control between Pilot and Auto-pilot System ）的想法，換言之，應用仿自小腦運動協調功能的協調機能，嘗試讓機師與自動駕駛個別的優秀操作能力能夠因應狀況完美配合。
新興科學技術的概念在正式運用於世之前，要經過研究、開發、實測三個階段。研究階段是在電腦中重現飛機事故，模擬導入新興設計概念的系統的狀況，並以數值模擬驗證新系統的效果，最後一步則是將研究成果寫成論文發表。接下來的開發階段是以研究論文為基礎進行系統開發，安裝於模擬真實航空器的飛行模擬器上，由機師操作驗證新系統的效果。最終的實測階段是將新系統安裝於實際用來飛行的航空器，反覆進行飛行測試。
我的研究是在電腦中重現過去的飛航事故，以數值模擬進行運算，檢驗我開發的新系統是否能有效防止事故發生。
當時採用的案例是二○○二年十月二十一日發生在日本濱松市東南方海面上的B747-400D型飛機PIO事故，類似前述一九九○年代的MD11型飛機事故。那架班機在自動駕駛下巡航飛行時，遭遇激烈的風切效應（在水平或垂直方向因風向或風速不同而產生的風之向量差），使飛行速度變得過快。此時，從自動駕駛切換為機師手動駕駛後，立即引發機體的俯仰振盪，機體震動時在垂直方向產生極大的加速度，最終造成四人重傷、二十九人輕傷，機體部分破損。
電腦數值模擬事故的結果，垂直加速度部分可能產生最大約3.4G（重力加速度）的變化。搭載小腦協調功能模式的自動化系統，可將垂直加速度的最大變化降低至1.2G。因為後者可藉由協調功能，暫時停止引發劇烈垂直加速度變化的手動駕駛，將操作的權限切換到自動駕駛系統，讓它在機師手動駕駛時發揮如緩衝器的作用。若機師與自動駕駛間能像這樣順利切換，就可防範事故發生。
稀少事件
「5.0乘以10的負9次方」
這個數代表什麼意義呢？
試著相乘，
「5.0乘以10的負9次方」=0.000000005
一個與無限大差距甚遠、相當小的數。
這個數是遵循國際民航組織規定所設定的國際基準，用以規範航機的容許衝突次數的數字。每一小時的飛行時間中，航機的衝突次數須小於「5.0乘以10的負9次方」次，這表示設計航空交通系統時，必須將發生衝突的機率，控制在每飛行兩億小時只能一次以下。發生機率如此微乎其微稀少（rare）的事件（event），便是「稀少事件」。〔譯注：在航空用語中，發生於兩架或兩架以上飛機之間、飛機與空域之間以及飛機與地形之間，無法達到最小適當的隔離時，稱為「衝突」（conflict）〕
「咦，不追求零衝突嗎？」雖然經常被問到這樣的問題，但事與願違，就算實際上發生的機率趨近於零，仍無法斷言絕對不會出現人為失誤、機械故障等造成事故的因素。這也是導入機率論的原因，以開發出讓衝突發生機率降到最低、安全的飛航管制系統為目標。
接下來的問題是，如何建構出「安全的」飛航管制系統？
說到提升系統安全的設計構想，可概分為兩類。
第一類設計構想是嘗試減少系統本身產生的錯誤，例如提升軟硬體的可靠度，也可說是訓練機師和管制員不出錯。這類想法稱為「抗誤」（error-resistant）。
第二類設計構想是企圖將系統設計成就算發生錯誤也不會馬上引發事故，稱為「容錯」（error-tolerant）。特別是重大事故多由稀少事件的連鎖效應所引發。但接下來又會產生該如何截斷連鎖效應的問題。讓我們以二○○九年發生的兩起飛機事故為例，試著用容錯的概念來分析。
以「哈德遜奇蹟」聞名的全美航空（US Airways）1549號班機迫降事件，大家應該記憶猶新吧。搭載一百五十名乘客和五名機組員的空中巴士A320從紐約拉瓜地亞機場（LaGuardia Airport）起飛後，隨即遭到加拿大黑雁群撞擊，鳥擊的破壞導致雙引擎熄火，在兩起稀少事件接連發生後，航機無法維持飛行高度。駕駛該班機的機長薩利（Chesley Burnett "Sully" Sullenberger III）非常資深，曾擔任美國空軍飛行員，在他巧妙的手動駕駛下，飛機成功迫降哈德遜河。有賴於機師的優異判斷與技巧，才倖免於稀少事件的連鎖效應，未導致飛機墜落在紐約市區的大慘事。
另一件事故則是因稀少事件的連鎖效應，最終走向不幸。二○○九年五月三十一日，法航447號班機從里約熱內盧加利昂國際機場（Rio de Janeiro–Galeão International Airport）飛往巴黎戴高樂機場，這架搭載兩百一十六名乘客和十二名機組員的空中巴士A330當時正飛行在巴西大西洋海域上空。飛行在越洋管制區域範圍內的航機，原本應可藉由數據鏈路（data link）通訊，依規定的時間間隔向管制中心傳送飛行資訊，但當天因管制中心無法確認該班機的飛行計畫資訊，造成無法連接數據鏈路通訊，實際上是透過與管制員的聲音通訊來飛行。後來，航機進入伴隨在赤道附近形成的低氣壓帶所產生的不穩定氣流區域，機長拉升了飛行高度以躲避亂流。將操作交接給兩名副機長後，機長輪替休息，離開駕駛艙。約十分鐘後，機體再度遭遇亂流，副機長操作躲避雲層區域後，空速表數值開始出現異常。飛機使用稱為皮托管（pitot）的裝置測量速度，皮托管一旦凍結就無法偵測飛行速度。結果，自動駕駛無法正常運作進而自行解除，雖然副機長手握操縱桿以手動駕駛，航機還是陷入失速狀態，終至墜落大西洋。
法航447號班機的事故報告書中指出，空中巴士A330的操作訓練並未預想到高空飛行時自動駕駛解除的狀況，副機長因而未受高空飛行的手動駕駛訓練。空巴飛機是以自動化系統為本的概念設計，未預期讓機師補足自動化系統的缺點，再加上法航447號班機與地面管制中心間的數據鏈路通訊失敗，情況才一發不可收拾。我不禁心想，如果通訊暢通，管制員或許就能即時注意到飛行狀況異常，說不定能從地面協助副機長。
案例告訴我們，在系統設計上必須能容錯，得以在亂流等環境因素、人為失誤、機械故障等稀少事件接連發生而導致事故之前，截斷這樣的連鎖效應。不恐懼事故發生，亦不過分相信一切都是安全的，致力於持續不斷分析系統安全性，至關重要。
本文節錄自臉譜出版《飛航管制的祕密生活：從地面到天空，從管制台到駕駛艙，飛航第一線直擊全紀錄》
【更多內容請上臉譜出版粉絲專頁；本文內容未經授權，請勿轉載】
