Machine neemt ’t over van piloot

Crashes Boeing 737 MAX 8 Hoe meer de automatische besturing overneemt, hoe slapper de aandacht van de mens. Piloten kunnen daar tegen. Maar in de zelfsturende auto is dit lastiger.

Cockpit van een Boeing 737-versie die voorafging aan de verongelukte MAX 8-toestellen.
Cockpit van een Boeing 737-versie die voorafging aan de verongelukte MAX 8-toestellen. Foto Aapsky

Piloten hebben steeds minder te doen. De automatische piloot kan zelfstandig naar bestemmingen vliegen. De recente ongelukken met de Boeing 737 MAX 8-toestellen doen misschien anders vermoeden, maar dankzij de automatische besturing is vliegen veel veiliger geworden. Het aantal ongelukken met commerciële vluchten is gedaald van 5 per miljoen vluchten begin jaren 70 tot minder dan 0,5 per miljoen vluchten in 2018.

Ook autofabrikanten werken aan zelfrijdende systemen. Sommige auto’s kunnen al met een constante snelheid rijden, zeg 80 km/u, en passen hun snelheid aan als de voorganger vertraagt. De bestuurder moet wel blijven sturen. Bij andere modellen hoeft dat niet, die blijven netjes in hun eigen rijstrook. Een auto die zelfstandig over de snelweg rijdt terwijl je een mailtje typt, lijkt niet ver weg.

Stressvolle situatie

Het automatiseren van voertuigen vermindert het brandstofgebruik en verhoogt veiligheid en gemak. Maar er zijn ook risico’s aan verbonden. Computers kunnen fouten maken als ze verkeerde informatie krijgen van sensoren of als de software iets verkeerd interpreteert. In vliegtuigen moeten piloten op zo’n moment, in een stressvolle situatie, snel handelen en achterhalen wat er mis ging. Meestal gaat het goed. De besturingssystemen geven het aan als ze denken dat het misgaat zodat piloten op tijd kunnen ingrijpen. Voor gebruik worden de systemen uitgebreid gekeurd en getest, net als de piloten. Toch ontstaat een deel van de vliegtuigongelukken door fouten met de automatische besturing. En de filmpjes van zelfrijdende Tesla-auto’s die opeens zijwaarts slingeren, stellen ook niet gerust. Kunnen die fouten voorkomen worden door mens en machine beter te laten samenwerken? En wat kunnen autofabrikanten leren van de luchtvaart?

Lees ook: Boeing beperkt productie van 737 MAX

De rolverdeling tussen automatische systemen en piloot is de afgelopen decennia veranderd. Eerst was de piloot een actieve bestuurder die aan de hand van metingen van de computer keuzes maakte over de vlieghoogte en snelheid. Nu neemt een computer de meeste beslissingen zelf. De piloten zijn veranderd in toezichthouders, ze houden de systemen in de gaten. Slechts in enkele situaties, zoals bij slecht weer, nemen ze het stuur over. Er zijn nog geen systemen die automatisch om een onweersbui heen vliegen of die met flinke zijwind kunnen landen.

De ongelukken van de Boeing 737 MAX 8-toestellen van Lion Air en Ethiopian Airlines werden veroorzaakt door het nieuwe, automatische Maneuvering Characteristics Augmentation System (MCAS). Dat systeem was nodig omdat dit model grotere motoren heeft, waardoor de balans anders is. Hierdoor kan de neus gemakkelijk te ver omhoog gaan. Het systeem controleert met sensoren of dit het geval is en trekt zo nodig de neus naar beneden. Mogelijk gaf een sensor verkeerde informatie waardoor het MCAS de neus onnodig naar beneden stuurde. Om te voorkomen dat het systeem de neus naar beneden bleef duwen, moest het MCAS helemaal uitgezet worden. De Lion Air-piloten wisten waarschijnlijk niet hoe of dát ze het systeem konden uitzetten. De Ethiopian Airlines-piloten schakelden het MCAS wel uit volgens de instructie van Boeing, maar kregen het toestel daarna niet handmatig onder controle, beschrijft het voorlopige rapport van het Ethiopische ministerie van Transport.

Stabiliteit van het toestel

Kan de automatische piloot niet met een druk op de knop uitgezet worden? „Nee, zo simpel is het niet”, zegt Max Mulder, hoogleraar aan de TU Delft. „De automatische besturing bestaat uit meer dan één systeem met verschillende lagen.” Het nieuwe MCAS zit een van de diepste lagen. Het controleert de stabiliteit van het toestel. In de hogere lagen zit bijvoorbeeld de besturing die de koers en snelheid regelt. „Alleen als je weet waar je moet zijn is het niet ingewikkeld om zo’n systeem uit te zetten.”

‘Bij de Boeing 737 MAX 8-toestellen is het fout gegaan bij de invoering van het MCAS”, zegt Mulder. „Juist omdat het systeem zo diep in het besturingssysteem zit, is het belangrijk dat de piloten weten dat het er zit en wat het doet.” Normaal gesproken zijn er uitgebreide procedures en certificering om zulke wijzigingen door te voeren en om de piloten instructies en training te geven over hoe ze erop moeten reageren. „Daarom is vliegen zo veilig. Over alles is nagedacht”, zegt Mulder. „Maar in dit geval is het invoeringstraject, naar mijn idee, niet goed gegaan. Ik vind het vreemd dat bij het eerste ongeluk duidelijk werd dat de betrokken piloten waarschijnlijk niet wisten hoe MCAS werkt, of überhaupt dat het in hun vliegtuig zat.”

Daarom is vliegen zo veilig. Over alles is nagedacht

Max Mulder Hoogleraar TU Delft

Volgens The New York Times (14 maart) overtuigde Boeing de Amerikaanse luchtvaartautoriteiten (FAA) ervan dat het besturingssysteem bijna volledig overeenkomt met dat van andere Boeing 737’s en dat extra training daarom niet nodig is. Zo konden kosten worden bespaard.

Op tijd ingrijpen

Normaal gesproken worden de piloten dus wel uitgebreid getraind om goed te functioneren in samenwerking met automatische systemen. Daarnaast is er een strenge selectie om toegelaten te worden tot de opleiding. „Piloten zijn nog steeds ontzettend belangrijk in de cockpit”, zegt Mulder. Als er iets verkeerd gaat moeten ze op tijd kunnen ingrijpen. Om te voorkomen dat een piloot zelf de zwakke schakel is, bijvoorbeeld als hij of zij ziek wordt, zijn ze altijd met twee.

De automatische besturingssystemen van vliegtuigen werken meestal goed, maar er zijn nog steeds getrainde mensen nodig om ze in de gaten te houden.

Maar hoe werkt dat als auto’s in steeds grotere getale zelfrijdend worden? Voor autobestuurders is de selectie en training minder streng. En je hoeft ook niet een getrainde bijrijder te hebben als je ’s ochtends naar je werk rijdt.

Met die verschillen tussen piloten en automobilisten moet je rekening houden bij het ontwerpen van zelfrijdende auto’s, zegt Marieke Martens, hoogleraar gedragswetenschappen aan de Universiteit Twente en TNO. „Mensen zijn er erg slecht in hun aandacht erbij te houden als een taak saai is”, vertelt ze. „Dat weten we al sinds de jaren 40 uit experimenten.” Aandacht gaat slecht samen met de huidige zelfrijdende functies in auto’s. Die kunnen met name eenvoudige taken overnemen. En lange tijd opletten hoe een computer een eenvoudige taak uitvoert is oersaai. „Hoe beter het systeem, hoe saaier het wordt om het in de gaten te houden, hoe minder goed we onze aandacht erbij kunnen houden”, zegt Martens. Het is onduidelijk of de huidige zelfrijdende functies het rijden op dit moment veiliger maken, omdat de bestuurder denkt dat de auto het zelf kan en zich laat verleiden om even iets anders te doen. „Om het rijden echt veiliger te maken zou je juist in lastige situaties ondersteuning moeten krijgen van een automatisch systeem, en niet zoals nu dat de bestuurder juist moet ingrijpen als het moeilijk wordt.”

Berm en stoepranden

Martens rijdt zelf ook in een auto met zelfrijdende functies. Het systeem kan zich aan een gekozen snelheid houden, maar past zich daarbij wel aan aan de snelheid van de voorganger. En de auto kan belijning, berm en stoepranden onderscheiden en zo binnen de lijnen blijven. „Ik houd nog steeds alles in de gaten als ik rij”, vertelt Martens. „Maar omdat je minder hoeft te sturen en minder gas hoeft te geven, rijdt het comfortabeler.” De functies staan in de kinderschoenen. Het systeem ziet bochten niet aankomen en herkent stilstaande auto’s in een file niet als je met hoge snelheid aan komt rijden. Dan mindert hij te laat snelheid. „Maar die zelfrijdende functies schakelen meteen uit als je zelf tegenstuurt of remt”, vertelt Martens. Het is dus niet ingewikkeld om de controle weer over te nemen.

Echt ontspannend wordt de samenwerking tussen systeem en bestuurder als een auto ruim van tevoren aangeeft dat je het moet overnemen en je tot die tijd iets anders kan gaan doen. Het systeem weet dan bijvoorbeeld dat er wegwerkzaamheden aankomen waardoor de situatie onoverzichtelijk wordt. Als bestuurder heb je dan de tijd om je boek of iPad weg te leggen en het stuur over te nemen. „Dat is nu nog ingewikkeld, maar dat is wel waar fabrikanten naar toe werken”, zegt Martens. „Zo wordt er veel onderzoek gedaan naar de tijd die een bestuurder moet krijgen om het over te nemen. Te weinig tijd kan gevaarlijk zijn. Maar als je mensen de tijd geeft dan duurt het soms te lang omdat ze denken dat ze veel tijd hebben.”

Lees over de ethiek van zelfrijdende auto’s: Wie wordt de baas in de robotauto?

Zelfrijdende systemen zullen eerst vooral geschikt zijn voor snelwegen. De situatie is er redelijk overzichtelijk. Iedereen rijdt dezelfde kant op en er zijn geen kruispunten, verkeerslichten of kronkelstraatjes. Het zal langer duren voordat zelfrijdende auto’s rondrijden in steden. Daar is het complexer, met fietsers, voetgangers, ander vervoer. „Daarom verschillen automatische systemen voor vliegtuigen erg van die voor auto’s”, zegt Martens. „Het luchtverkeer is veel meer gereguleerd dan het verkeer op de grond.” De automatische systemen hebben andere prioriteiten. „Een vliegtuig zet je niet zomaar even langs de kant als er iets misgaat, er moet tijdens de vlucht een oplossing worden gevonden”, zegt Mulder.