FAA раскатала ИИ на всё небо США. Через три дня — 15 000+ сорванных рейсов и ground stop

В пятницу, 13 ноября, в 15:54 по времени Восточного побережья США Федеральное авиационное управление остановило вылеты из всех аэропортов страны. Не часть рейсов. Не отдельные направления. Все. FAA объяснила это «чрезвычайными обстоятельствами и соображениями безопасности». Разрешение на взлёт не получал никто: ни пассажирские, ни грузовые рейсы. Ограничение сняли в 20:15, через четыре часа с лишним.

К вечеру CBS News со ссылкой на FlightAware сообщал о более чем 10 000 задержек и более 4 000 отмен. К утру субботы FlightAware насчитал больше 15 000 рейсов, задержанных или отменённых за пятницу (CNN). Это третий национальный ground stop в истории США после 11 сентября 2001 года и сбоя NOTAM в январе 2023-го.

За три дня до этого, 10 ноября, FAA включила ИИ-систему SMART во всех 22 центрах управления воздушным движением.

Официальная причина остановки — телекоммуникационный сбой. Но сбой сети стал только спусковым крючком. Настоящая причина в другом: в критический контур поставили систему, которую нельзя воспроизвести, нельзя сертифицировать и некому назвать ответственной. Это и есть следствие внедрения.

Что случилось

Министр транспорта Шон Даффи на брифинге сказал: «Наша система управления воздушным движением очень старая. Наши роутеры перегрузились данными и начали выдавать несогласованные данные. Из-за этого мы остановили систему» (The Guardian). Источники CBS уточнили: обновление частной сети связи, соединяющей систему УВД, привело к перезагрузке и падению. Сеть эксплуатирует L3Harris.

Кибератаку официальные лица отвергли. Связь с глобальным сбоем Microsoft тоже.

Что такое SMART и почему её считали безобидной

SMART (Strategic Management of Airspace, Routes and Trajectories) — облачная платформа, которая должна стать общим слоем планирования для FAA, авиакомпаний и операторов. Она собирает больше 200 потоков данных: расписания, погоду, пропускную способность аэропортов, состояние воздушного пространства и загрузку диспетчеров. Модель предсказывает заторы и предлагает маршруты и время вылета до того, как самолёт поднялся в воздух.

Контракт на 12 лет и 875 миллионов долларов FAA отдала бостонской Air Space Intelligence в июне 2026 года. В тендере участвовали Palantir и Thales (пресс-релиз ASI).

Пилот в воздушном пространстве Вашингтона начался в сентябре. К 10 ноября система работала уже во всех 22 центрах, и FAA отчиталась о первых результатах: 180 рейсов перенаправлены, в среднем по 10 минут и почти 80 галлонов топлива на рейс (FLYING). По цене топлива около 4,31 доллара за галлон это примерно 345 долларов на рейс и 62 тысячи долларов на все 180. Для контракта в 875 миллионов сумма символическая, но её предъявляют как доказательство пользы.

Формально SMART не управляет самолётами. Это слой планирования, который выдаёт рекомендации. По описанию FAA, диспетчеры остаются ответственными за безопасное эшелонирование, а система лишь помогает им. По данным Ars Technica, команда экспертов в Вашингтоне проверяет выводы перед передачей диспетчерам, и окончательное решение остаётся за человеком.

Именно поэтому систему и считали безобидной. Рекомендация, человек в контуре, финальное слово за диспетчером. Что могло пойти не так?

Следствие внедрения: скорость обогнала проверку

Пойти не так могло всё, что и пошло.

FAA сама говорила авиакомпаниям: полное развёртывание будет только после 90-дневного теста. Развернула раньше, не дождавшись собственного срока (Ars Technica). Профсоюз диспетчеров NATCA заявил, что не участвовал в «проектировании, тестировании и внедрении SMART» и не может сказать, как система повлияет на работу диспетчеров (FLYING). Запрос на аудит в GAO демократы Палаты представителей отправили ещё 13 октября: они просили оценить управление рисками безопасности, планы тестирования и сертификации, метрики эффективности и стратегию развёртывания (пресс-релиз комитета). Ответа на момент остановки не было.

Каждое из этих решений по отдельности объяснимо. Вместе они и есть причина: систему включили быстрее, чем успели понять. 180 рейсов — не выборка для сертификации критической функции. Это демонстрация пользы. Авиакомпании ещё в сентябре предупреждали, что система может «перекомпенсировать» прогноз задержек и отменять или перенаправлять рейсы превентивно, создавая самосбывающийся прогноз. Их услышали ровно настолько, чтобы успокоить.

К этому добавляется вторая половина картины. Старая инфраструктура, о которой говорит Даффи. Сокращения в FAA, о которых пишет Scientific American. Деньги, которые FAA и Белый дом просят у Конгресса на модернизацию: 12,5 миллиарда уже выделяли, теперь просят ещё 30,1 миллиарда (The Guardian). И новая ИИ-система, которую поставили поверх этого.

Ground stop — счёт за то, что модернизацию откладывали, а ИИ внедряли быстрее, чем проверяли. Сбой сети был спусковым крючком. Система была готова упасть от любого обновления.

Недетерминированность: модель, которую нельзя повторить

Вот главная техническая причина, по которой ИИ нельзя ставить в критический контур.

Модель недетерминирована. Один и тот же вход не гарантирует один и тот же выход. У языковых моделей это очевидно: сэмплирование, температура, батчи, версия весов, железо. У предиктивных моделей на табличных данных то же самое, только спрятанное глубже: переобучение, дрейф данных, обновление версии, различия в окружении. Даже при temperature 0 производители не гарантируют побитовую воспроизводимость.

В авиации это не академический вопрос. Сертификация по DO-178C построена на воспроизводимости: есть требование, есть проект, есть код, есть тест. Сертификатор проходит по дереву от требования до строки кода и проверяет каждую ветку поведения. У обученной модели другой вход: не требования и код, а данные и веса. Полной трассировки «требование → проект → реализация» не существует.

FAA в Roadmap for AI Safety Assurance прямо пишет, что ИИ создаёт новую проблему для традиционного процесса: отсутствуют инженерные принципы, которые ведут обычное проектирование, а объяснить каждый аспект системы, как это делается для обычного софта, не получается. Для «обучающегося» ИИ, который меняется в эксплуатации, FAA добавляет: сертифицировать каждую версию невозможно.

EASA идёт тем же путём, но с явным потолком. В проекте Concept Paper Issue 03 (июнь 2026) сказано: при текущем уровне знаний EASA не имеет средств доказательства соответствия для ИИ-компонентов, затрагивающих отказы уровня DAL A или B (IDAL A/B, SWAL 1/2, AL 1–3). Потолок — DAL C (EASA). В управлении воздушным движением разделение самолётов — это как раз катастрофический уровень. То есть сертифицировать ИИ, который напрямую отвечает за эшелонирование, сегодня нечем.

Дальше простая логика. Если поведение модели нельзя повторить, его нельзя предсказать. Если его нельзя предсказать, его нельзя сертифицировать. Если его нельзя сертифицировать, его нельзя ставить туда, где ошибка стоит жизни.

И ещё одно следствие, о котором забывают. Недетерминированную модель нельзя расследовать. После инцидента нужно восстановить, какие были входы, какая версия модели работала, какие альтернативы она рассматривала и почему выбрала эту. Если того же ответа больше не существует, расследование превращается в гадание. В авиации это недопустимо: безопасность учится именно на разборе причин.

Галлюцинации: ИИ будет ошибаться уверенно

Вторая причина — галлюцинации. И это не баг, который закроют следующей версией. Это свойство класса систем.

Для языковых моделей есть формальный результат: галлюцинации невозможно устранить полностью (Xu, Jain, Kankanhalli, arXiv:2401.11817). Модель не выучивает все вычислимые функции, поэтому на части входов будет уверенно выдавать неверный ответ. Сколько бы данных ни добавили и сколько бы ни чистили датасет, останутся входы, где модель соврёт.

У предиктивной модели на табличных данных механика другая, и формального доказательства, как для языковых моделей, здесь нет. Но практический результат тот же: за пределами обучающего распределения она выдаёт правдоподобный ответ без признака неуверенности. Это уверенно неправильный ответ. Для рекомендации маршрута он дорог. Для разрешения на эшелонирование смертелен.

Именно поэтому «ИИ ошибается» — не аргумент, который можно закрыть фразой «зато в среднем лучше человека». В критическом контуре важна не средняя точность, а хвост распределения. Одна уверенно неправильная рекомендация в неудачный момент стоит больше, чем тысяча правильных.

ИИ галлюцинирует и будет галлюцинировать. Его нельзя ставить в контур, где ошибка не отменяется.

Ответственность: у модели нет имени

Третья причина, и, возможно, самая важная.

FAA в своём roadmap требует относиться к ИИ как к инструменту, а не как к человеку, и явно назначать ответственность. Звучит правильно. На практике «модель предложила» не является субъектом ответственности.

Диспетчер подписывается за маршрут, который предложила модель, но не может восстановить, почему она его предложила. Вендор поставляет модель, но не отвечает за каждое конкретное решение. Регулятор разрешил внедрение, но не сертифицировал поведение модели на всех входных данных. Ответственность размазана между человеком, подрядчиком и регулятором.

В авиации это хуже, чем ошибка. Ошибку можно исправить. Размазанную ответственность — нет.

Сертификация требует, чтобы у системы был ответственный: организация, которая отвечает за проект и может понести ответственность за его поведение. У модели такого субъекта нет. Есть разработчик, есть оператор, есть диспетчер. Но никто из них не может объяснить и воспроизвести конкретное решение модели.

Пока у модели нет имени и подписи, её нельзя ставить в критический контур. Это не бюрократия. Это единственный способ сделать так, чтобы за ошибку кто-то отвечал, а не «система».

Цена ошибки

29 января 2025 года над Потомаком столкнулись армейский вертолёт UH-60 и пассажирский CRJ700. Погибли 67 человек: 64 на самолёте и три члена экипажа вертолёта. NTSB назвал это крупнейшей авиакатастрофой в США с ноября 2001 года и нашёл не одного виновника, а системный сбой: проектирование вертолётных маршрутов, надзор, управление рисками, высокая нагрузка диспетчеров, занятые частоты, отсутствие эффективного предупреждения о сближении на малой высоте (пресс-релиз NTSB).

Это и есть анатомия катастрофы: несколько небольших отказов выстраиваются в цепочку. Каждый по отдельности выглядит терпимо. Вместе они убивают.

ИИ в такой цепочке добавляет звено, которое нельзя осмотреть. Хуже того, отказы одной модели, развёрнутой на всю страну, коррелированы: если она ошибается на редком сочетании погоды и трафика, она ошибается сразу во всех секторах, где это сочетание возникло. Человек ошибается локально. Модель — системно.

Теперь про единицы измерения. Экономия измеряется минутами и галлонами: 10 минут, 80 галлонов, 345 долларов на рейс. Риск измеряется жизнями: 67 человек в одном событии. Эти величины нельзя складывать и нельзя усреднять. Средняя экономия в 345 долларов ничего не говорит о хвосте распределения, где одна ошибка стоит 67 жизней. В авиации решение принимают по хвосту, а не по среднему.

180 рейсов, на которых обкатали SMART, — это 180 успешных примеров. Для демонстрации пользы этого достаточно. Для сертификации критической функции — нет. Сертификация спрашивает не «сколько раз сработало», а «что произойдёт, когда не сработает». На этот вопрос у SMART пока нет публичного ответа.

Где ИИ можно

Ничего из этого не означает, что ИИ нельзя использовать в авиации. Можно, и уже используют: прогноз спроса, планирование расписания, предиктивное обслуживание, разбор логов, поиск аномалий, подготовка документации. Разница в цене ошибки и в том, успевает ли человек её заметить.

Практическое правило простое. ИИ уместен там, где ошибка обратима, где у человека есть время на проверку и где неправильный ответ стоит денег, а не жизни. ИИ неуместен там, где ответ уходит пилоту за секунды, где отмена решения невозможна и где ошибка не локализуется одним сектором.

По этой границе мы работаем и в своих проектах. Локальные модели внутри периметра для документов и рутины, извлечение данных, черновики, которые проверяет человек, — да. Автоматическое решение, которое нельзя отменить и нельзя объяснить, — нет. Про локальный контур без утечки данных у нас есть отдельный разбор, про требования 152-ФЗ — здесь.

Шесть вопросов, если вам продают ИИ в критический контур

1. Можно ли воспроизвести решение? Один и тот же вход, та же версия модели, тот же ответ. Если нет, это не система, а генератор.
2. Кто отвечает за ошибку? Не «команда» и не «модель», а конкретная организация с именем и подписью.
3. Что происходит при отказе модели и при отказе данных? Нужен детерминированный fallback, который не зависит от той же модели и тех же данных.
4. Сколько секунд у человека на проверку? Если меньше, чем нужно, чтобы прочитать объяснение, человек в контуре — декорация.
5. Как считаются пропущенные опасные события? Средняя точность не считается. Нужны false negatives на редких, но катастрофических сценариях.
6. Можно ли отменить решение? Если отмена невозможна, цена ошибки равна цене катастрофы.

Итог

SMART может быть полезной системой. Перенаправление 180 рейсов с экономией топлива — реальный результат, и отрицать его глупо. Но полезность не равна допустимости.

ИИ, который галлюцинирует, нельзя воспроизвести и некому назвать ответственным, не должен стоять в контуре, где ошибка стоит жизни. Его место — в планировании, анализе и рутине, где человек успевает проверить. Всё остальное — эксперимент на пассажирах.

13 ноября Америка перестала летать на четыре часа. Официально — из-за сбоя сети. По сути — из-за решения поставить недетерминированную модель туда, где ошибка не отменяется. Пока у ИИ нет воспроизводимости и имени, его нельзя подпускать к штурвалу. Даже в качестве советчика.