1. 课程导论与安全文化：为什么需要人工接管？

各位学员，欢迎来到《非正常程序下飞控系统人工接管》的第一课。

我是你们这门课的讲师。在飞控系统这个行当里摸爬滚打了十几年，我见过太多「理论上不可能发生」的事故。今天这堂课，咱们不聊虚的，就聊一个核心问题：为什么我们花了那么多钱、那么多精力去搞自动化，最后还得让飞行员手动接管？

1.1 非正常程序：到底什么是「非正常」？

先说说定义。非正常程序，说白了就是飞机出了「设计预期之外」的状况。

我举个例子。你想想看，飞机正常起飞，自动驾驶接通，一切平稳。这叫「正常程序」。但如果突然遇到风切变，或者某个舵面卡阻了，这时候飞机还在飞，但飞得「不对劲」了。这就进入了非正常程序的范围。

我个人习惯把非正常程序分成三类：

• 系统故障：比如双液压失效、飞控计算机重启。硬件或软件出了毛病。
• 环境突变：比如火山灰、严重结冰、高空紊流。老天爷不配合。
• 操作偏差：比如误触开关、错误的输入指令。人自己挖的坑。

嗯，这里要注意。非正常程序不等于「失控」。飞机还在飞，只是它的「自动保护逻辑」可能已经不再适用了。这时候，机器需要人。

1.2 为什么需要人工接管？

这个问题，我当年带新工程师时，经常被问到。

「老师，现在的飞控计算机算力那么强，冗余度那么高，为什么还要人介入？」

我的回答很简单：因为机器没有「常识」。

我在项目中遇到过一件事。某次试飞，飞机遇到一个极罕见的传感器故障。飞控计算机按照预设逻辑，开始自动配平。但那个配平方向，其实是错的。计算机的逻辑是「传感器A坏了，我用传感器B的数据」，但传感器B的数据本身就有偏差。结果飞机越飞越偏。

最后是试飞员果断断开自动驾驶，手动修正，才把飞机拉回来。

你看，这就是人工接管的意义。机器遵循的是「逻辑」，人遵循的是「理解」。当逻辑失效时，理解就是最后的防线。

1.3 航空安全文化：我们怎么看待「犯错」？

说到安全文化，我想先问大家一个问题：在你的认知里，飞行员「手动接管」这个动作，是「补救措施」还是「失败表现」？

很多公司的文化里，飞行员一旦手动接管，就会被认为「操作不规范」或者「对系统不信任」。这种文化，其实很危险。

真正的航空安全文化，应该是「无惩罚报告」和「主动接管」。

我记得有一次，一位机长在进近时，因为觉得自动油门响应太慢，果断断开，手动推油。落地后，他主动写了报告。公司不仅没有批评他，反而把他的案例写进了训练手册。

为什么？因为安全文化的核心，不是「不犯错」，而是「敢于在必要时打破常规」。

这里我给大家列几个安全文化的关键要素：

要素	说明
透明性	任何异常事件都可以公开讨论，不追责
学习型	每次接管都是一次学习机会，不是一次污点
授权性	机长有权在必要时接管，无需层层请示
冗余思维	永远假设自动系统可能失效，人就是那个冗余

1.4 人为因素基础：接管时，你的大脑在干什么？

好，现在我们知道了要接管。但问题来了：人真的能「完美接管」吗？

答案是不能。因为人有天然的生理和心理局限。

我给大家讲三个最常见的「人为陷阱」：

1. 注意力隧道：当压力来临时，人的注意力会不自觉地聚焦在一个点上。比如你只盯着高度表，忘了看空速。我见过太多案例，飞行员在手动接管后，因为过度关注某个参数，导致飞机失速。
2. 自动化偏见：长期依赖自动系统，人的手动操纵能力会退化。说白了，就是「手生了」。我建议所有飞行员，每个月至少做一次全手动模拟机训练，保持手感。
3. 决策疲劳：非正常程序往往发生在飞行最繁忙的阶段，比如起飞或进近。这时候人的精力已经消耗了很多。再做复杂决策，很容易出错。

为什么会这样？因为人的大脑，本质上是一个「单核处理器」。它不擅长多任务并行。而飞控系统，是「多核处理器」。所以，人工接管的关键，不是「人机对抗」，而是「人机互补」。

下面这张图，是我自己总结的「人工接管决策模型」，大家可以看看：

这个模型告诉我们一件事：接管不是本能，而是决策。你需要先判断系统是否还能信任。如果系统还在合理范围内，那就监控它。如果系统已经偏离了你的「心理模型」，那就果断接管。

1.5 小结：安全，从「敢接管」开始

好了，第一课的内容就到这里。

总结一下今天讲的三个核心点：

• 非正常程序是系统偏离设计预期的状态，需要人介入。
• 人工接管是安全冗余的最后一道防线，不是失败。
• 安全文化和人为因素决定了你能否在关键时刻做出正确决策。

我个人一直认为，飞控系统工程师和飞行员之间，应该是一种「战友」关系。我们设计系统，他们使用系统。当系统出问题时，他们就是那个「拔掉电源、手动操作」的人。

所以，请记住：敢于接管，比善于接管更重要。因为不敢接管，你连「善于」的机会都没有。

---