В России нашли разгадку катастроф «Боингов- 737-MAХ»

Причиной стала роковая ошибка специалистов «Боинга», выбравших совершенно неверную концепцию разработки, невозможность применения которой в критических системах была абсолютно точно доказана в СССР еще в 1973 году.

На фото: «Боинг- 737-MAХ», разбившийся в Эфиопии 10 марта этого года.

Рассказывает Александр Агеев, сотрудник ГПВЦ СО АН СССР с 1987 года:

-- С того самого момента, когда объявили о крушении самолета, я понял, что это событие мне что-то очень сильно напоминает. Однако мне потребовалось 2 дня, чтобы вспомнить. Ибо вспоминать пришлось события 1988 (примерно) года.

Сразу после полета «Бурана» встали некоторые теоретические проблемы дальнейшего совершенствования системы. Меня привлекли к решению одной небольшой задачи, связанной с проверкой реализуемости одного из направлений развития системы управления «Бураном». Поставленная передо мной задача позволяла (вкупе с другими задачами) определить возможности использования нейросетей на базе многопроцессорных комплексов для управления воздушными судами.

Почему меня привлекли? Я был одним из очень немногих профессиональных программистов ВЦ СОАН, кто хорошо знал нейрофизиологию, анатомию мозга и гносеологию в придачу. Считалось (и абсолютно правильно, между прочим), что человек с отличным знанием «смежной» области сразу увидит ошибки, которые чистый математик не найдет никогда.

К тому же в этот момент началось бурное внедрение персональных компьютеров, и профессиональных программистов катастрофически не хватало. Меня кидали с задачи на задачу.

Задачу, о которой мы говорим, я получил через ИТПМ СО АН, и там же состоялось совещание, на котором все подзадачи были объединены в один отчет.

Суть отчета сводилась к тому, что аппарат, управляемый нейросетью, гарантированно будет совершать ошибки. Поэтому нейросети применимы для дешевых и высокоманевренных аппаратов, и недопустимы для ценных ЛА и пассажирских лайнеров, а также для систем жизнеобеспечения и т.п.

Один из сценариев гарантированной ошибки был вычислен прямо на совещании. Именно технический рисунок катастрофы и стал маркером, благодаря которому я вспомнил об этом событии.

Входные условия:

• Тяжелый самолет с полной загрузкой.

• Взлет либо посадка, высота меньше половины потолка.

• Хорошие погодные условия.

Толчком в катастрофе является восходящий (для взлета) или нисходящий (для посадки) воздушный поток. Будем рассматривать условия как в Эфиопии – взлет.

Итак, тяжелый самолет попадает в восходящий воздушный поток, и приобретает дополнительную вертикальную скорость. В этот момент возникает расхождение между показаниями 2х приборов – гироскопа и инерциального датчика. Гироскоп показывает, что нос самолета поднят на 25 градусов, а инерциальный датчик рапортует, что угол подъема соответствует 32 гр.

Т.е. по показаниям инерциального датчика угол превышает критический. Из-за этого нейросеть начинает принимать абсолютно правильные, но катастрофические решения.

Принцип работы нейросети – принимать решения максимально быстро. Т.е. принимается первое найденное решение – самое простое и очевидное. В данном случае это дать полную тягу.

Но мы имеем дело с ТЯЖЕЛЫМ самолетом, и реакция на решение нейросети наступает с задержкой. Нейросеть обнаруживает, что принятое решение недостаточно, и запускает поиск сразу всех возможных решений. При этом решение о запуске двигателей на полную тягу не отменяется.

Тут придется принять аналогию с шахматной партией.

В самом начале у вас немного вариантов первого хода. Но каждый новый ход умножает число возможных вариантов. В итоге при попытке вычислить все варианты вы займете все ресурсы компьютера – какими бы большими они ни были.

Та же самая проблема встает перед нейросетью ЛА. Она полностью расходует ресурсы бортового компьютера, но при этом просчитывает ситуацию всего на несколько секунд вперед, и отдает приказы так, чтобы к окончанию расчетного срока положение было наилучшим.

Примем как факт (вычисленный мною в 1988 году), что горизонт расчета нейросети будет составлять 2 секунды. Это самое важное в данный момент число – оно означает, что нейросеть не может рассчитать своих действий вплоть до выхода на горизонтальный полет, т.е. до полного разрешения критической ситуации. Поэтому решения будут приниматься исходя из требования «максимальной приближенности» конечной ситуации и желательной в момент окончания расчетов.

На момент перегрузки нейросети самолет разгоняется благодаря ранее включенной полной тяге, и имеет угол подъёма больше критического. Поэтому нейросеть принимает следующее «очевидное» решение – переложить руль высоты на «опусти нос», причем сразу в максимальное положение. Учитывая высокую скорость самолета, давление набегающего потока будет большим, но самолет тяжелый. В результате процесс опускания носа (т.е. уменьшения угла подъема) будет медленным.

И самолет приобретает инерцию вращения. Если бы самолетом управлял живой человек, он бы заранее изменил положение руля высоты на положение «поднимай нос», чтобы своевременно загасить инерцию вращения. Но нейросеть начнет гасить инерцию вращения только тогда, когда нулевой угол окажется в пределах времени прогноза. И только в этот момент сеть понимает, нулевой угол будет преодолен по инерции, и самолет гарантированно опустит нос и пойдет в пике.

Нейросеть отдает команду переложить руль, но на выполнение команды нужно время, а самолет продолжает вращаться. Нос опускается ниже уровня горизонта, и какое-то время продолжает опускаться дальше.

Теперь уже в действие вступает аэродинамика, и самолет опускает нос на угол БОЛЬШЕ, чем был угол подъёма в начале в момент попадания в восходящий поток. Тут возможны любые сюрпризы, и велика вероятность штопора, срыва потока и неуправляемого падения.

Теперь нейросеть должна побороть симметричную ситуацию, но в условиях пикирования.

Если же самолету хватит высоты, и нейросеть справится с ситуацией спуска, то произойдет та же самая проблема с инерцией вращения, только уже при подъёме носа самолета. Самолет точно также проскочит ноль и уйдет в предкритический угол атаки, но уже на малой высоте. И когда нейросеть переложит руль высоты в положение «опускай нос», второго нырка/пике/штопора самолет уже не переживет.

А если и переживет второй, то не переживет третий.boing_efiop2.jpg

Короче, нейросеть будет мотать самолет из горки в пике до тех пор, пока нижняя точка пике не окажется ниже уровня грунта.

На том рисунке, который я запомнил, самолет совершал пике-горку-пике, и входил в грунт под углом -60гр на скорости 800 км/ч.

В другом варианте самолет на второй горке сваливался в вертикальный перевернутый штопор, т.е. «заваливался на спину».

Фотографии с места крушения в Эфиопии показывают, что самолет вошел в землю на максимальной скорости почти вертикально, т.е. очень близко к рисунку, который я запомнил.

Резюме: «Боинг» выбрала неверную концепцию разработки. Недопустимость этой концепции к разработке критических систем была строго доказана в 1973 г. Если совсем кратко – нейросеть учится на ошибках. Разбился самолет – нашли ошибку – исправили. Снова разбился – снова исправили. Гарантировать отсутствие ошибок невозможно, потому что можно гарантировать наличие ошибок.

Я рекомендую руководству корпорации «Боинг» связаться со мной для определения пути выхода из критической ситуации.

Об авторе:

С 1987г – сотрудник ГПВЦ СО АН СССР, молниеносная карьера: 1988г – инженер 3й категории, 1989 – инженер 2й категории, 1990 – инженер 1й категории

Во время работы в науке основная специализация – сверхмалые операционные системы (до 2КВ), микрокод, драйверы, а также теория надежности (построение надежных систем из ненадежных элементов)

1991 – 1998 г – Работа в бизнесе. Основная специализация – встраивание алгоритмов ИИ в традиционные программы типа бухгалтерии, CRM, ERP, CIS, распознавание по поведению, анализ на основе сверхредких событий.

В 1999-2001 году – участник разработки «Теории экономических процессов на основе модели динамического хаоса»

В 2002 – 2009 г – Применение ИИ к базам данных (ныне это называется bigdata), автоматическая разработка ПО на основе данных. В 2004 выдвинул гипотезу о теоретической возможности взаимно-однозначного преобразования (за конечное время) базы данных, объектной системы и системы ИИ. Гипотеза была доказана Гутманом А.Е. в 2008 году и доложена в 2011м.

http://math.nsc.ru/~gutman/paper/2011.07.01/Gutman_20110701.pdf (на последней стр)

С 2010 г – применение данной теории и теории динамического хаоса в реорганизации и автоматизации бизнес-процессов транснациональной корпорации (штабквартира и собственники – в Нидерландах).

Автор: Александр Агеев, сотрудник ГПВЦ СО АН СССР с 1987 г.