小弟贪婪机师一枚，前几天没事，在FB回留言时写了一篇文，希望能厘清一下版友对自动驾驾驶的想像，以及飞行员存在的意义。也希望能有相关领域者不吝批评指教。
先讲结论：
1. 小弟目前仍未听闻有载客民航机执行自动起飞，可能是起飞滚行时重量重、剩余跑道短、剩余推力小，在放弃起飞时或单发失效时的各项安全边际比起降落小很多。
2. 常看到笔仗时定义不清，张飞打岳飞，把仪器降落系统（ILS）跟自动落地系统（Autoland）混为一谈。ILS是各大机场标配，飞机追着地面电台信号“进场”。Autoland是飞机追着ILS讯号“直到落地”。线上大部分是在低能见度时执行Autoland。小弟2018年164个落地，几乎都是ILS进场，但只有1次是自动落地。
3. 敝公司规定飞行员起飞后，抵达一万呎高度以前一定要接上自动驾驶，巡航、下降，直到落地才解除。而大多数飞行员，会在飞机触地之前的两分钟左右把自动驾驶解掉，手飞落地。
4. 自动驾驶接上后，飞行员仍需要因应航管指示，天气避让，巡航高度变换操作，对自动驾驶进行很多的input。飞行员并不是接上自动驾驶后就开始发呆睡觉。手动驾驶保持十几个小时平飞，没有任何意义。
5. 人会出错，自动系统也会出错。飞行员所受的训练，就是不断地观察、怀疑、交互检查、执行、验证，然后优化。不能永远相信旁边的人，也不能永远相信自动系统
如同Vincent Kuo 网友所贴的影片一样，自动驾驶并不是科技的问题，我也相信在不久的将来，一定会有这样的科技，让飞机从空桥后推、滑行、起飞、巡航、直到降落靠桥，都能够借由全自动的机器人来完成。这即将是资方的救赎福音，因为他们再也不用请号称年薪五百万的猴子来开飞机了。这也是舆论强力攻击的其中一个点：99%的时间自动驾驶都ON，1%的时间手飞，找23K按按钮就好，你有比医护／客运／轮班星人／（.....下略365行状元）来得血汗吗？
但就如Ben大提到的，传感器是个关键。传感器的数量多寡、大小、造价都很重要，而且传感器本身就是个可能出错的症结。Garbage In，Garbage Out。系统跳出错误讯息时，还是会需要人的介入，来帮助判断到底是系统本身故障，还是传感器出错的机率比较大。以下提供一个2014年的案例，小弟觉得非常重要，给大家当作参考。
翻开A330的系统手册，可以发现飞机设计时设下相当多的保护机制，自动驾驶的逻辑设想得非常周到。当飞机速度过高，飞机会自动抬头避免超速。当飞机速度过低有失速之虞，飞机会自动低头，降低攻角（Angle of Attack）以增加空速。
但如果侦测攻角的传感器（AOA Sensor）失灵怎么办？友航的同仁就遇到AOA Sensor结冰，导致飞行电脑误判飞机攻角过高，可能会失速，飞机会自动推头，降低攻角避免失速。飞机低头加速时马赫数增加，又导致失速攻角临界值降低（就是更小的攻角就会失速），让飞机判断现在攻角大于失速攻角，于是又继续推头避免失速，进入一个不断推头的正回馈循环。飞机会向神风特攻队一样俯冲，直到超速解体或是坠地为止。
在Normal Law的情况下，这个推头的保护机制无法被override，也就是飞机一直强制推头，飞行员手动带杆无效，飞机权限大于飞行员。但友航飞行员思路清楚临危不乱，关掉三套中的两套飞行电脑（ADR），让飞机降级到Alternate Law（类似Windows的安全模式），把保护机制关掉，拿回飞机的主控权，跳出这个不断俯冲的循环，避免发生憾事。
也因此在此事件之后，空中巴士发了OEB（给客户的重要公告），在系统或AOA Sensor没有更新之前，若遇到飞机不受控的相同状况，飞行员必须关掉两套ADR电脑，手动介入操控。
设计飞机的空巴工程师团队，都是业界佼佼者。造价上亿美金的飞机出厂，交给客户时空巴应该是信心满满，安全系数极高，觉得会遇到的大小故障疑难杂症都写在手册的Abnormal Procedure章节里了。飞机重要系统都会有redundancy，主系统失效还有备用系统可用，复数传感器失效，导致系统之间彼此参数冲突，就再写逻辑判断，何者为真，何者要被reject，决定哪套系统要跳开断线。组员只需遵循原厂发布的程序做trouble-shooting。
但以上的AOA Sensor结冰案例，显然就是一个意料之外。
小弟飞了11年，看过几次空巴发布过的OEB（给客户的重要公告），都是来自于客户端，在航路操作上遇到的真实案例。在空巴把系统补完漏洞或更新传感器之前，客户要先做一些临时补救措施。
法航AF447坠海之后发了皮托管结冰的OEB，并新增了训练组员失速改正的程序（以往号称不会失速）。某航下降前双发动机熄火，发了OEB要求组员下降前打开防冰系统降低双发失效的机率。方才提到的友航AOA Sensor结冰导致不断俯冲，发了OEB要组员关飞行电脑手动介入操作，override本应全程保持上线的保护系统。
简而言之，没有遇到漏洞之前，你眼前看到的自动系统，看起来很完备，装了一堆传感器，很多备援系统，让你觉得很放心。但下一个漏洞是什么，会遇到什么现象，会有什么相关系统失效，只有遇到的第一组人才知道，当下也只能靠着组员的通力合作，找出让飞机平安落地的方法。
在此容我做个热力学上的类比，飞行本身是个乱度很高的行为。必须不断地完成很多正确的工作（task），才能让几十万磅重的飞机，从一条不到2海浬长的跑道起飞到三万多英呎，在零下五十度的环境底下持续飞行十数小时，最后到六千海浬以外的太平洋彼岸落地，宽度60公尺的跑道上降落。有任何偏离，都会需要在有限的时间内得到适当的处置与修正。但一趟飞行的环境复杂，变量很多，决策的过程需要弹性，决心的下达则有时间压力。
飞行员很傲娇，会吵会闹会罢工，要吃要睡又要钱。但在现今的科技进程来说，相对于开发各项除错系统，人工trouble shooting仍是便宜合理的选项。更别说飞行员在系统失效时，往往还可以针对航空公司营运的考量，适度地在SOP内找出优化的流程，节省油料与时间成本，或是避掉转降、空中地面返航造成的钜额营业损失。
现代驾驶舱内的飞行员，工作内容比较像风险管理者。识别出滑行／起飞／爬升／巡航／下降／落地／滑行，各阶段的潜在威胁，然后运用各种内部外部资源去降低该威胁带来的风险，避免造成营损，甚至提升营运的效率。自动驾驶只是其中一项很重要的工具，可以显著地减低工作负荷，让飞行员把时间跟精力投注在真正重要的事情。
3万英呎空中巡航，手动驾驶保持十几个小时的平飞根本没有任何意义。系统故障时，保持自动驾驶ON的情况下，更能帮助飞行员专心执行不正常程序。在航路上避让雷雨云，一样是接着自动驾驶，，选择的躲避路线与距离可能是大相径庭。就算是低能见度时执行自动落地（Autoland），飞行员也不是喝着咖啡看戏，反倒更要全神贯注，盯着仪表上的各项参数，在飞机姿态路线有所偏差，或是自动落地系统有任何变化时，要第一时间判断，要不要介入接手重飞。
再怎么强大的摄影器材，都需要背后的那颗脑袋。一亿美金的飞机，交给不同的人按SOP操作，都会有很大的差别。30年经验的机长，1年经验的副机长，航空爱好者，厂工五毛觉青键盘机师，好莱坞电影内的空服员，都可以在自动驾驶的辅助之下让飞机顺利落地。但要执业数十年，历经上千次安全落地，那不是一句“有自动驾驶”就能达成的。
另外自动落地有其风速限制，只追讯号的特性也让自动驾驶操作不如飞行员手飞来得平稳。桃园机场冬天以强劲的东北季风闻名，往往伴随着间歇性的风向风速变化。如果你有机会坐在驾驶舱内，如果有哪个飞行员神经够大颗，在三十节的强阵风之下让飞机自动落地，你可能会吓到心脏跟胃酸一起倒流出来。
可能哪天人工智能达到极致，飞机上可以安装发动机失效处理系统，舱压失效处理系统，雷雨云避让系统，乱流穿越系统。整个世界的民航运行网络也都互相连线沟通无虞，起飞降落操作都跟人类难以区别。航班的营运调派也有大数据当奥援，飞机自动加减速与其他航机协调隔离，走的都是省油省时间的最佳路线。那将会是自动化信徒的乌托邦，像是科幻电影勾勒的未来世界一样，井然有序。
但在那一天到来之时，我还是会希望能在驾驶舱，至少放一个名叫“飞行员”的灵长类。至少“天网”失控时，有人可以帮忙关掉天网，知道怎么用一杆两舵加上油门，把飞机稳当地落在跑道上。
※ 引述《tagso (白菜一斤多少钱?)》之铭言：
: 看了很多集的空中浩劫
: 每一集几乎都看过
: 似乎在飞到飞行高度后
: 飞行员就可以改自动驾驶 然后就轻松了
: 现在长途线 除了降落时 起飞时的检查程序
: 到底自动驾驶扮演什么角色
: 会让驾驶要很专心耗费心神的飞行吗?