Captain computer
De ramp met de Boeing van Turkish Airlines, ruim een jaar geleden, was te voorkomen geweest als de piloten minder op de techniek hadden vertrouwd. Wie is er eigenlijk de baas in de cockpit, de mens of de computer?
In februari vorig jaar strandde een Boeing van Turkish Airlines in een akker bij Amsterdam, anderhalve kilometer voor de landingsbaan op Schiphol. Door een verkeerde meting meldde een van de hoogtemeters tijdens de landing dat het toestel zich al twee meter ónder de grond bevond. Daardoor werd gas teruggenomen en viel het toestel uit de lucht. “De piloten hadden het kunnen oplossen,” aldus vorige week Pieter van Vollenhove, hoofd van de Onderzoeksraad voor de Veiligheid die de crash onderzocht. Een leerling-piloot probeerde het toestel nog te redden door gas te geven, maar de gezagvoerder greep in en gaf pas extra gas toen het al te laat was.
Negen mensen kwamen om het leven bij de crash van de 737, onder wie de drie piloten. “Het thema mens en het sterk geautomatiseerde vliegtuig zal een stuk hoger op de agenda komen,” voorspelde het Britse vakblad Flight International vorig jaar.
Dit ongeluk staat niet op zichzelf. In juni 2009 stortte een Franse Airbus A330 neer in de Atlantische Oceaan. Er vielen 228 doden. Ook bij deze crash wijzen de laatste signalen die het toestel via een satelliet aan de centrale in Parijs heeft uitgezonden, op digitale problemen aan boord. Het lijkt erop dat de snelheidssensoren verkeerde metingen hebben doorgegeven en dat de vluchtcomputers zichzelf vervolgens hebben uitgeschakeld omdat ze geen raad wisten met de tegenstrijdige informatie.
Dat de digitale techniek heeft bijgedragen aan de veiligheid in de luchtvaart, zullen weinig deskundigen tegenspreken. In verreweg de meeste gevallen worden problemen in de lucht er in een vroeg stadium door voorkomen.
Maar de genoemde ongelukken maken pijnlijk duidelijk dat de voortschrijdende digitalisering ook levensgevaarlijk kan zijn. Hoeveel hightech-apparatuur willen de ontwerpers nog in de cockpit stoppen? Zorgt meer digitale techniek echt automatisch voor meer veiligheid? En in hoeverre mag de boordcomputer de piloten de macht uit handen nemen? Wie is er uiteindelijk de baas? Deze vragen zijn aanleiding voor een nieuwe discussie over de veiligheid in de lucht.
Onderzoekers waarschuwen voor lastig voorspelbare storingen in boordcomputers. “Veel mensen zijn bang dat al die computers en software tot problemen kunnen leiden die tot nu toe onbekend zijn,” zegt Thomas Haueter, directeur voor luchtvaartveiligheid bij de National Transportation Safety Board (NTSB), de Amerikaanse waakhond voor de luchtvaartveiligheid. Hij vindt dat piloten altijd de controle over hun toestel moeten behouden.
De tijd dat een piloot zijn toestel nog helemaal begreep, is allang voorbij. “Wij moeten enorm veel moeite doen om de boel veilig te houden,” zegt Haueter. Volgens hem zijn de fabrikanten zich terdege bewust van de problematiek. “Ze weten dat verdere automatisering de toekomst heeft, maar ze weten ook dat computers nog beter moeten worden getest dan tot nu toe gebeurt.” Maar het probleem is dat het nog nauwelijks mogelijk is om de programma’s op alle mogelijke situaties te testen. Ze zijn te complex geworden.
De luchtvaartindustrie ging er lange tijd prat op dat het vliegen steeds veiliger is geworden, met minder dan één ongeluk met dodelijke afloop op een miljoen starts en landingen. Rond 1960, toen het tijdperk van het straalvliegtuig aanbrak, waren dat er nog elf. Als de luchtvaart nog steeds even onveilig zou zijn als in de jaren zeventig, zou er iedere week een vliegtuig neerstorten.
Maar uit nieuwe cijfers blijkt dat de dalende lijn in het percentage ongelukken die zich sinds de gebroeders Wright aftekende de afgelopen tien jaar tot stilstand is gekomen. Tegelijkertijd blijft het vliegverkeer toenemen, en daarmee dus het absolute aantal ongelukken. Een adviescollege van de Europese Unie heeft daarom in een studie aangedrongen op verder terugdringen van het crashpercentage met nog eens tachtig procent vóór 2020.
Hoe dat moet worden gerealiseerd, is de vraag. Experts geloven niet dat de veiligheid nog verder kan worden vergroot door verbetering van het onderhoud of van de waarschuwingssystemen. Terwijl er nieuwe gevaren op de loer liggen. Door het toenemende vliegverkeer wordt het steeds drukker in het beperkte luchtruim, waardoor niet alleen het absolute aantal ongelukken stijgt, maar ook de kans op crashes groter wordt. Verder kan de groeiende concurrentie tussen de luchtvaartmaatschappijen leiden tot slordig onderhoud of het aannemen van minder gekwalificeerd personeel. En ten slotte zijn er dus de nieuwe risico’s die voortkomen uit het gebruik van steeds complexere techniek.
Dat laatste werpt de vraag op welke rol de mens in de toekomst zal spelen in het geheel. De Britse veiligheidsspecialist David Learmount: “Hoeveel controle moet de piloot houden, wanneer moet een computer ingrijpen, en hoe moet de samenwerking tussen mens en computer eruitzien?”
Vooral piloten roepen nu op tot een discussie over hun rol. “Wij moeten ervoor zorgen dat mens en computer als eenheid handelen,” zegt Nikolaus Braun van de Duitse pilotenvakbond Cockpit. Hij vindt dat meer techniek aan boord niet mag betekenen dat de rol van de mens kleiner wordt. Integendeel: hoe complexer de systemen zijn, hoe groter het beroep dat op de piloot wordt gedaan, stelt hij.
De luchtvaartpsycholoog Reiner Kemmler, werkzaam voor de Duitse luchtvaartmaatschappij Lufthansa, is ervan overtuigd dat de techniek de piloten voor nieuwe uitdagingen plaatst. “Vooral visueel hebben ze de grens bereikt van wat het menselijke waarnemingssysteem nog kan behappen,” waarschuwt hij.
Stapje voor stapje heeft de mens macht moeten afstaan aan de machine. De eerste boordcomputers werden ingevoerd door de luchtmacht; de huidige gevechtsvliegtuigen met hun onstabiele vlieggedrag zouden onmogelijk te gebruiken zijn zonder de zogeheten fly-by-wire-techniek. Vervolgens werden computers toegepast in de legendarische supersonische Concorde.
Ten slotte zorgde de toen nog jonge Europese vliegtuigbouwer Airbus in de jaren tachtig voor een revolutie door zijn toestellen uit te rusten met een nieuw digitaal vliegtuigsysteem, dat een ongekende veiligheid zou bieden. Een van de fundamentele verschillen met de conventionele manier van vliegen is dat het computersys-teem alle stuurimpulsen van de piloot controleert en desnoods corrigeert.
“Leken maken de fout daarbij te denken aan een automatische piloot die in- en uitgeschakeld kan worden,” zegt Gerhard Hüttig van het Zentrum für Flugsimulation in Berlijn. Dat bestaat inderdaad ook, maar het is maar een van de vele systemen, dat het vliegtuig bestuurt op een koers die de piloot van tevoren heeft geprogrammeerd. De boordcomputers in de Airbus doen echter veel meer. Ze voorkomen dat het vliegtuig te veel snelheid verliest of dat een bocht wordt ingezet met een te grote rolhoek. “De computers grijpen in,” legt Hüttig uit, “al trekt de piloot nog zo hard aan de stuurknuppel.”
Sinds midden jaren negentig is ook de Boeing 777, een vliegtuig voor de lange afstand, van een dergelijk systeem voorzien. Maar er bestaat een verschil tussen het Amerikaanse en Europese concept. Bij de Airbus kan de piloot de boordcomputer niet zomaar uitzetten, zoals wel het geval is met de automatische piloot. De boordcomputer blijft altijd aanstaan en slaat pas af als zijn systemen totaal in de war raken.
In een Airbus wordt de piloot dus constant door de boordcomputer gecontroleerd. Die beperkte mogelijkheid voor piloten om in te grijpen bracht een discussie op gang onder experts na een reeks ongelukken met Airbus-toestellen.
Boeing maakt intussen nauw verholen reclame voor zijn eigen aanpak, waarbij de mens meer vrijheid had om in te grijpen. Zo werd onder meer verwezen naar een Boeing 747 die door twee Chinese piloten uit een vrijwel hopeloze situatie was gered, waarbij het toestel aan het viervoudige van de zwaartekracht was blootgesteld. Dat zou ze in een Airbus nooit zijn gelukt.
Maar Airbus stelde daar voorbeelden tegenover van situaties waarin de eigen toestellen veiliger bleken dan die van de concurrent. Volgens de vliegtuigfabrikant uit Toulouse is de cultuurstrijd inmiddels in zijn voordeel beslecht. Een hoge veiligheidsfunctionaris verwijst naar de statistieken. “De cijfers van de ongelukken bewijzen dat wij gelijk hadden.”
Die uitspraak valt echter moeilijk te toetsen, omdat de crashcijfers zich lastig laten vergelijken. Er storten toestellen van beide fabrikanten neer, en als het om een Airbus gaat, is men er in Toulouse altijd als de kippen bij om erop te wijzen dat het eigen fly-by-wire-systeem geen blaam treft.
Boeing of Airbus – dat is onder piloten haast een geloofskwestie geworden. “Het is net zoiets de vraag of een Mercedes of BMW beter is,” zegt Nikolaus Braun van de Duitse pilotenvakbond. “Daar kun je ook niet zomaar antwoord op geven.”
De techneuten laten zich intussen niet merkbaar uit het veld slaan door het gesputter van piloten. ‘Redundantie’ is het toverwoord waarmee ze hen proberen gerust te stellen. Er werken zo veel computers naast elkaar dat het niet tot een ongeluk hoeft te leiden als er eentje in de problemen raakt. De Airbus A330 bijvoorbeeld heeft vijf computers: drie primaire en twee secundaire. Om zo veel mogelijk zekerheid te bieden tegen een totale sys-teemcrash is de software in meerdere landen door verschillende firma’s in diverse programmeertalen geschreven.
Maar ook dat biedt nog geen honderd procent bescherming. De piloten van een Airbus-toestel op weg van Londen naar Boedapest overkwam in 2005 wat volgens de logica van de techneuten onmogelijk zou moeten zijn: alle beeldschermen vielen uit, behalve het scherm waarop de waarschuwingen voor deze storing verschenen. Er was niet eens meer genoeg stroom om een Mayday-signaal uit te zenden.
Totdat het de piloten lukte het gecrashte systeem weer op te starten, waren ze aangewezen op ouderwetse noodinstrumenten, zoals de kunstmatige horizon en de luchtdrukhoogtemeter.
In de nieuwste generatie vliegtuigen verschijnt ook de melding van een noodsituatie op een beeldscherm. De piloten noemen een moderne cockpit vol beeldschermen daarom een ‘glazen cockpit’, in tegenstelling de ‘klokkenwinkel’ waarvan de vliegeniers vroeger liefdevol spraken.
Stel dat dat ene beeldscherm met de noodmeldingen op die vlucht naar Boedapest ook nog was uitgevallen? Het is de vraag of ooit het uit te sluiten valt dat er ergens in het netwerk van al die computers, in de kakofonie van de programmeertalen , in die brij van nullen en enen, toch nog een fout zit die niet wordt ontdekt. Toen vier jaar geleden een Boeing 777 van Malaysia Airlines onbestuurbaar raakte, bleek later dat een software-update niet compatible was geweest met de eerder geïnstalleerde programma’s. “Ik zie de toekomst somber in als we geen greep krijgen op dit soort problemen,” waarschuwt Thomas Haueter van de NTSB. Hij eist dan ook nieuwe normen voor de certificering van de automatische vluchtsystemen.
Aan zo’n systeem werkt Peter Ladkin, expert op het gebied van softwareveiligheid aan de universiteit van Bielefeld. Hij vindt dat nieuwe technieken die als ‘intelligent’ worden aangeprezen te makkelijk worden toegelaten. “Er wordt dan gezegd dat zich maximaal één storing op een miljard vlieguren kan voordoen, maar het is al voorgekomen dat zo’n systeem op één vlucht meteen twee keer van slag raakte, en een paar maanden later wéér.
“De complexiteit van de computernetwerken groeit zelfs de experts steeds meer boven het hoofd. Na een ongeluk kunnen alleen de deskundigen van de fabrikanten nog reconstrueren welke fout de computer heeft gemaakt, en daar zijn ze dan vaak wekenlang zoet mee. “Terwijl de piloot maar een paar seconden heeft om zijn leven en dat van zijn passagiers te redden,” zegt Ladkin, die zelf piloot is.
Hij vindt het bovendien een groot probleem dat de fabrikant van een vliegtuig of een computeronderdeel na een ongeluk het onderzoek moet uitvoeren omdat niemand anders de software begrijpt. “Dat vernauwt de blik nogal bij het zoeken van oorzaken,” zegt Ladkin. Niemand legt natuurlijk graag de schuld bij zichzelf.
Ladkin krijgt bijval van de Britse softwareveiligheidsadviseur Martyn Thomas. “De computers staan te ver af van de mensen die ze moeten bedienen.” Het zou goed zijn als de cockpit in elk geval zo is ingericht dat de mens in geval van nood intuïtief juist handelt.
De computer mag het werk van piloten een stuk gemakkelijker hebben gemaakt, als zich een storing voordoet moeten ze des te stressbestendiger zijn. Dan worden de twee mensen in de cockpit ineens overvoerd met controle- en waarschuwingssignalen die ze amper kunnen verwerken, al worden de storingen wel gesorteerd op urgentie en verschijnt een melding over een wc die niet doorspoelt pas helemaal achteraan in het menu. “In extreme gevallen doet het systeem een veel te zwaar beroep op het technische inzicht van de piloten,” zegt Fran Hoyas van de Europese pilotenvereniging ECA, die zelf voor Iberia vliegt. Als voorbeeld noemt hij het neerstorten van de Airbus van Air France. “Uit de foutmeldingen is af te leiden dat de werkdruk gigantisch moet zijn geweest.”
Des te gevaarlijker is het dat de training van de piloten steeds meer te wensen overlaat. “Veel gezagvoerders die lange afstanden vliegen, maken nog maar een paar starts en landingen per maand,” zegt Hoyas. Maar tijdens de vlucht, als de computer het werk doet, hebben ze niet veel meer te doen. Het klassieke vliegen met hendels en stuurknuppels is vrijwel verleden tijd.
Tegelijkertijd wordt er van jonge piloten steeds minder praktische vliegervaring verlangd. Mede als gevolg van de opkomst van de prijsvechters onder de luchtvaartmaatschappijen en de enorme toename van het luchtverkeer in Azië is het aantal vlieguren tijdens de opleiding gehalveerd van 300 tot 150 uur. En er gaan stemmen op om dat nog verder terug te brengen tot zeventig uur.
Het komt de luchtvaartmaatschappijen dus goed van pas dat steeds meer mensenwerk in de cockpit door de computer wordt overgenomen. Dat ontkennen ook de mensen van Airbus niet. “Sommige maatschappijen beknibbelen op de training met het argument dat ze een modern vliegtuig met alle denkbare veiligheidstechniek hebben gekocht,” zegt een manager. Maar hij ontkent dat Airbus dat als verkoopargument gebruikt.
Hoe lang duurt het dan nog voordat de mens in de cockpit helemaal overbodig wordt? Het vertrouwen van de luchtvaarttechneuten in eigen kunnen mag blijken uit de ontwikkeling van onbemande militaire vliegtuigen. Die zogeheten drones worden al ingezet voor het observeren van vijandelijk gebied en het afvuren van raketten, maar zullen binnen afzienbare tijd ook worden gebruikt voor het transport van goederen. “Over tien jaar hebben wij ook onbemande vrachtvliegtuigen,” voorspelt Richard Deakin, directeur van de Britse vliegtuigonderdelenfabrikant Thales.
De ingenieurs verwachten niet dat er onbemande passagiersvliegtuigen zullen komen. Ter geruststelling van de passagiers zal er altijd een mens in de cockpit blijven zitten. Maar dat zullen er niet per se meer minstens twee zijn. “Er zijn al luchtvaartmaatschappijen die bij de fabrikanten informeren naar de mogelijkheid van een eenpersoonscockpit,” zegt Braun, de Duitse vakbondsman.
Volgens de logica van de redundantie zou één piloot of twee geen verschil maken, want als hij uitvalt, moet het vliegtuig ook zelfstandig kunnen landen. Maar hoe zit het als de afstandsbediening via een satelliet zo betrouwbaar wordt dat in noodgevallen het toestel ook op die manier aan de grond kan worden gezet? Zouden de ingenieurs de passagiers dan wel louter aan machines willen toevertrouwen?
Er zijn echter ook vliegtuigontwikkelaars die de voorkeur geven aan technieken waardoor de mens bij het vliegen gebruik kan maken van zijn sterke punten. “Mens en machine zullen zich met elkaar moeten verzoenen,” zegt Holger Duda van het Deutsches Zentrum für Luft- und Raumfahrt in Braunschweig.
Op Duda’s instituut wordt gewerkt aan de ontwikkeling van een actieve side-stick, een soort joystick die wordt gebruikt voor de besturing van een vliegtuig dat is uitgerust met fly-by-wire. Met zo’n actieve side-stick kan een piloot meevoelen hoe zijn collega of de computer precies stuurt. ‘Nauralistic flight deck’ wordt dat systeem genoemd.
Bij het Institut für Luft- und Raumfahrt van de Technische Universiteit in Berlijn wordt vergelijkbaar werk gedaan. Daar experimenteert ingenieur Christian Berth met een systeem dat de kunstmatige horizon, vlieghoogte, positie van de landingsbaan en de belangrijkste vluchtgegevens op het raam van de cockpit projecteert. Het raam zou zelfs helemaal kunnen worden vervangen door schermen met een ‘rondomprojectie’ waarop infraroodopnamen van de landingsbaan te zien zullen zijn. “Bij mist zouden de piloten daarmee het overzicht houden en het vliegtuig met behulp van hun eigen zintuiglijke waarneming op de baan kunnen zetten,” zegt Berth. Ze hoeven dan niet meer, zoals nu, omlaag te kijken naar de bedieningsschermen, waar het landingssysteem alleen een abstracte weergave van de optimale aanvliegkoers toont.
Een vergelijkbare projectietechniek wordt al gebruikt in de militaire gevechtsvliegtuigen en transporttoestellen. Ook voor passagierstoestellen in de burgerluchtvaart kunnen al zulke head-up displays worden besteld. “Maar veel vliegmaatschappijen schrikken terug voor de hoge kosten,” zegt een Duitse piloot. “Terwijl zulke displays veel makkelijker zijn in het gebruik.”
Bij het huidige automatische naderingsnavigatiesysteem moet de piloot zich veel meer concentreren dan wanneer hij handmatig zou landen. Zoals het nu gaat – ernaast zitten en de computer in de gaten houden – is gek genoeg zwaarder dan zelf vliegen.
Zo verliest wat ooit een droombaan was alle glamour. De piloot is geen geweldenaar meer die een kist in de lucht houdt, maar iemand die de computer controleert. De ingenieurs zijn vergeten dat juist de piloot in staat is om te voorkomen dat er iets misgaat.
Nog maar zelden krijgt de mens de kans om zijn superioriteit te bewijzen, zoals Chesley Sullenberger vergund was, de gezagvoerder die vorig jaar met zijn Airbus A320 een meesterlijke landing uitvoerde op de Hudson River in New York.
Maar als de piloot alle macht heeft afgestaan aan de computer, lijkt hij net zo hulpeloos als ieder ander wiens pc zojuist is gecrasht. Zoals de piloten van de Airbus van de Australische maatschappij Qantas in oktober 2008 overkwam, toen hun toestel in de buurt van Perth op eigen houtje een duikvlucht inzette, waardoor 115 van de 303 passagiers gewond raakten. Ze belden via de satelliettelefoon met de technische dienst om te vragen wat er aan de hand was met hun vliegtuig, en het gesprek verliep net zo frustrerend als bij een doorsnee-computerhelpdesk. De technici wisten ook geen raad met alle foutmeldingen die de boordcomputer intussen naar de centrale had verzonden. Op een gegeven moment kregen de piloten het advies om dan maar de derde boordcomputer uit te schakelen, maar de foutmeldingen bleven maar over de beeldschermen rollen. Intussen waren de piloten op zichzelf aangewezen, in een heksenketel van piepsignalen en noodmeldingen die in zulke aantallen door de cockpit galmden dat de zwarte doos ze waarschijnlijk niet eens allemaal heeft kunnen registreren. Daar kwam pas een einde aan toen het toestel toch nog veilig was geland en de stroom was uitgeschakeld.