２－２

航空機の自動化の光と影：（Ⅱ）人と高度技術システムとのミスマッチ

航空機に関しては、自動化の進展によって安全性や快適性が向上しました。しかし、高度な知能、自律性、高信頼性といった自動化システムの「誇るべき特質」が、旧来の航空機では考えられなかったような事故をもたらしたことも、また厳然たる事実です。
「人と高度技術システムのミスマッチ」には、つぎに述べるようにさまざまな形態があります。
（1）多機能インタフェースによるヒューマンエラーの誘発「いろいろな使い方ができるように、限られた空間のなかに多くの機能を埋め込んでおこう」という「親切なデザイン」がもたらす落とし穴のひとつが「多機能インタフェースによるヒューマンエラーの誘発」です。その典型例がモードエラー（mode error）と呼ばれるものです。
【例1】

航空機は、降下角（水平軸から下方へ何度の角度で降りるか）を指定する、あるいは降下率（１分間に何フィート降下するか）を指定すれば、高度を下げることができます。それぞれの方式を、降下角モード、降下率モードと呼んでいます。
航空機の中には、そのどちらの方式にも対応できるような「親切なデザイン」が採用されているものがあります。しかし、モードが正しく選択されていないと、降下角を指定したつもりであっても、実は降下率を指定したことになっていたということが起こり得ます。1992 年１月、フランスのストラスブール空港へ向けて降下中のエアバス A320 が墜落したのは、まさに降下角と降下率の「モードの取り違え」によるものでした（図１）。
（注）この事例は、「レベル１の状況認識の失敗」の項で再び取り上げます。

Copyright © 2018 稲垣

敏之 All Rights Reserved.

図１ 入力モードの取り違えがもたらした墜落（2）人と機械の意図の対立
ふつう、機械が意図的に「人に逆らおう」とすることはありませんが、「人が行おうとしていることを機械が邪魔をしている」ように見えることはあります。人と機械で「ものの見方・考え方」が異なることに起因する場合が多いようです。人が機械に指示を与えた後で、自らその指示に矛盾する行動を起こしたときにも、「人から受けた指示には忠実に従おう」とする機械と人が相争う状況に発展することがあります。そのような事例のひとつが、つぎに掲げるものです。
【例2】

1994 年 4 月、エアバス A300-600R が名古屋空港へ向けて高度を下げているとき、パイロットは意図せず、コンピュータにゴーアラウンド（着陸をやり直すため、いったん上昇すること）を指示するためのレバーを指に引っ掛けてしまいました。それによって、コンピュータは、「ゴーアラウンドを指示されたのだから、高度を上げなければ・・・」と考え、その操作を開始しました。もし、パイロットが、「ゴーアラウンドの指示は誤りである」ことをコンピュータに伝えようとするなら、２段階のスイッチ操作が必要になるのですが、そのようなことはまったくしないまま、パイロットは操縦輪を前方へ押し出すことによって、降下を続けようとしました。機体を「上昇させよう」とするコンピュータの操作と、「降下させよう」とするパイロットの操作が真っ向から対立し、たがいに相手の操作に打ち勝とうとして、それぞれが操作力を次第に強めていきました。そのため、やがて機体は失速し、墜落しました（図２）。
（注）この事例は、「レベル３の状況認識の失敗」の項で再び取り上げます。

Copyright © 2018 稲垣

敏之 All Rights Reserved.

パイロットと自動化システムがたがいに異なる目標姿勢を実現しようとして機体を制御するとき，たがいに相手の制御を妨害することになるパイロットが想定している制御系

自動化システムが想定している制御系
目標姿勢２

自動化システム

目標姿勢１
パイロット

機体

図２ 相反する意図のもとで制御された機体（3）自動化システムへの不信と過信の交錯
人は、自分の都合がいいように自動化システムに対して振舞うことがあります。自分にとって不都合な情報を受け取ったときは「これは間違いではないか」と思い、自分にとって重要な情報は「どんな場合でも必ず教えてくれるはずだ」と考えるのです。このような「自動化システムへの不信と過信の交錯」の典型は、警報システムが利用されている場面で見ることができます。
【例3】

対地接近警報装置 GPWS（ground proximity warning system）は、着陸しようとしているわけでもないのに航空機が地表に接近していたりすると「テレイン（地表面）、テレイン」という音声で知らせ、さらに地表面への衝突の危険性が高くなると「フープ、フープ」というサイレン状の警報音とともに「プルアップ（操縦輪を引け）」という人工音声を発するシステムです（図３）。しかし、パイロットが「このようなところで警報が鳴るのはおかしい」と考え（不信）、何の回避操作もしないまま山に激突するといった墜落事例は過去にいくつも知られています。その一方、パイロットは、「もし万一、山に異常接近するようなことがあれば、警報が鳴るはずだ」と考え、GPWS を頼りにしていますが、「警報システムでも検知できない現象があり得る」ことに思いを至らせることがない（過信）まま、状況の監視を警報システムに任せきりにしていると、手遅れになることもあります。

Copyright © 2018 稲垣

敏之 All Rights Reserved.

Whoop, Whoop,
Pull up!

Terrain,Terrain

電波高度の変化から危険性を推測

図３ 対地接近警報装置（4）自動化システムによる異常の隠蔽
自動化システムは、制御対象に生じた異常を覆い隠すほど強い制御をかけることができますが、その制御がどれほど骨の折れるものか、積極的に人に伝えようとはしません。そのため、よほど注意していない限り、背後に隠された制御対象の異常に人が気づくことは難しいといえます（図３）。

制御対象に異常があっても強い力での制御がそれを隠す

大きな労力を必要とすることも黙々とがんばる

自動化システム

万事順調

事態の深刻さが伝わらない

制御対象
（異常）
コマンド

図３ ポーカーフェイスの自動化システム
人から指示されたことは、たとえそれが長時間にわたって大きな労力を必要とするものであっても、黙々とポーカーフェイスで頑張る「寡黙で力持ち」な自動化システムが関与した事例にはつぎのようなものがあります。
【例4】

1985 年 2 月、自動操縦によって高度 41,000 フィートでサンフランシスコ沖を巡航中のボーイング 747 において、右主翼外側のエンジンが不調になりました。右主翼のエンジン停止は「右方向への機首の偏位」をもたらすのですが、オートパイロットが「左主翼を下げる」力を加え続ける（すなわち、機首を左へ向けようとする力を生じさせる）ことによってかろうじて水平飛行が保たれて

Copyright © 2018 稲垣

敏之 All Rights Reserved.

いました。そのような中で、エンジンの再始動が成功しないまま機体の速度低下が止まらなかったため、パイロットは「手動操縦に切り替えよう」とオートパイロットを解除したのです。それによって機体の姿勢を保っていた力は瞬時に失われ、機体は大きく傾き、ついには裏返った状態でおよそ 31,000 フィート落下しました。
（5）オートメーションサプライズ（automation surprise）
賢い機械は、人から指示を受けたとき、高い知能を活かしてさまざまに「気を利かせる」ことがあります。ただし、複雑な制御論理は「わかりにくさ」につながります。人から了承も取らず、報告もしないまま自律的にことを進めたとすると、人は状況が把握することができなくなります。そして、人は、眼の前に繰り広げられる予期せぬ現象（システムの挙動）に、「いったい何が起こっているのだ？」とただ驚く（オートメーションサプライズ）ことになるのです。そのような例は、つぎのようなものです。
【例5】

1994 年 6 月、エアバスＡ330 がフランスのトゥールーズにおいて離陸直後のエンジン故障を模擬したテスト飛行を行っているなか、離陸 6 秒後に機長がオートパイロットを作動させましたが、あらかじめオートパイロットにはレベルオフ（水平飛行への移行）がセットされていたため、オートパイロットは、「滑らかにレベルオフできるようにしよう」と考え、離陸 8 秒後にレベルオフを開始するモードに入りました。しかし、パイロットたちはこのことに気づかないま
ま、エンジン故障を模擬しようとして一つのエンジンを停止させたのです。これによって推力は減少し、上昇率が低下しましたが、オートパイロットは当初の予定を達成しようとして機首をあげました。この予期せぬ現象に直面したパイロットたちには、いったい何が起こっているのかがわかりませんでした。しばらくして手動操縦に切り替えたものの、もはや姿勢を回復させることはできず、やがて失速し、墜落しました。
（注）この事例は、「原因特定（レベル２の状況認識）の失敗」の項で再び取り上げます。

Copyright © 2018 稲垣

敏之 All Rights Reserved.