波音737 Max Saga—自动化缺陷

Chris Palmer

Senior Technology Writer

图1. 在某些情况下，波音737 Max 8的MCAS系统旨在自动移动水平安定面，就像Embraer ERJ-170上的水平安定面一样，将飞机机头向下推以防止失速。图片来源：YSSYguy，维基百科（CC BY-SA 3.0）。

波音公司在2011年宣布推出波音737 Max飞机，这架飞机在当时被誉为是值得制造商信赖的新一代主力客机。Max于2017年被首次投入使用，它拥有更加省油的新型发动机和更新的航空电子设备，它的续航里程更长且运营成本更低[1]。

重要的是，波音公司设计的Max与之前的机型有许多共同之处，即飞行员仅需要很少的额外训练就可以驾驶两种机型，而无需对新机型再进行全面的学习[2]。此外，Max使用的是现有的、经过认证的机械结构（只配备了新型发动机和航空电子设备），这意味着波音公司可以省去重新设计飞机所需的耗时的认证过程。

美国亚利桑那州立大学坦佩校区的物质、运输和能源工程学院的航空工程实践教授Timothy Takahashi说：“新的认证过程可能会让飞机的交付日期延长数年。”此外，对于波音公司的客户而言，对飞行员进行再培训所需的成本也不小。

不过，相比其前身737 NG，Max的发动机更大，其在机翼上的位置更高、更靠前。这些差异会使飞机有不同的飞行方式。例如，在某些情况下（如在低速飞行或具有大迎角的手动飞行时），新型发动机的放置可能会使飞机的机头向上俯仰，从而可能导致飞机失速[1]。

为了使Max的操纵手柄更像以前737机型的操纵手柄，波音公司设计了一种自动化软件工具——机动特性增强系统（Maneuvering Characteristics Augmentation System, MCAS）。在某些情况下，该系统通过向后推动飞机的机头（图1）来自动使飞机配平，以稳定俯仰。但是，MCAS仅在单个传感器显示大迎角时才会被激活。这意味着，如果飞机的两个迎角传感器中的任意一个出现故障，则MCAS就会被激活[3]。而且，由于波音公司计划在后台谨慎地运行该软件，因此，其在Max的飞行员手册中并未提及MCAS [3]。

不用多说，飞机是一个极其复杂的工程系统。目前，包括来自10个国家的民航局的技术代表在内的调查人员得出结论，维持连续性以更快的速度、更低的总成本交付飞机的商业决策导致了该系统的失败，并最终导致Max两起致命的坠毁事故[4]。在这两起坠机事件之后，调查人员迅速将关注重点集中在了飞机的电子控制软件上，并将其作为事故发生的根本原因。后来，监管监督和飞行员培训显然也发挥了作用。

2018年10月29日，印度尼西亚狮子航空公司610次航班于当地时间上午6:20从印度尼西亚雅加达起飞。在飞机的前一次飞行中，MCAS因错误的速度和高度读数而被触发。一名不当班的飞行员搭上了这次航班，他正确地诊断出了这个问题，并禁用了MCAS [5]。但是在610次航班起飞后，驾驶舱里的警告信号立即提醒飞行员飞机可能会失速。飞行员因无法确定飞机的速度和高度，所以他们将此情况告诉了空中交通管制员，并称他们感觉到飞机的机头正在被向下拉。飞机起飞12 min后坠毁，机上189人全部遇难。

在坠机时，230架737 Max 8已交付给包括中国和美国在内的15个国家的航空公司。几天之内，调查人员就开始关注MCAS以及在其被激活后飞行员们的行为。在一周内，波音公司发布了一个关于迎角传感器故障错误地触发MCAS时飞行员应该怎么做的指示，这是大多数飞行员和航空公司第一次听说这个自动化软件[1]。在调查期间，世界各地的航空公司都在继续使用Max飞机，而波音公司也继续每月制造和交付约50架飞机。

然而，5个月后，在2019年3月10日上午8:38，埃塞俄比亚航空公司302次航班从埃塞俄比亚亚的斯亚贝巴起飞。飞机飞行2 min后，MCAS被激活，机头开始朝下。飞行员很快重新控制住了飞机，但随后MCAS被再次激活。飞机在飞行6 min后坠毁，机上157人全部遇难。

在埃塞俄比亚航空公司坠机事件后，MCAS再次被认为是造成此次事故的原因之一，此外，另一部分原因是由于飞行员无法手动为飞机配平，以及飞机起飞后发动机仍处于全推力状态。飞机本身有一个可以帮助转动配平操纵舵（类似于汽车的动力转向系统）的电子系统，但是该系统以及其他几个电子系统连同MCAS一起被禁用了[1]。

Takahashi说：“在正常的飞行中，MCAS应该像一个沉默的狮身人面像一样坐着，只有在飞行员出了问题的时候它才会采取行动。但是，只要有一个迎角传感器给出错误的读数，MCAS就会被启动，从而毫无限制地往下推飞机机头。这种设计是有问题的。”

纽约特洛伊市伦斯勒理工学院的计算机科学副教授Carlos Varela表示同意这种观点。他还建议，航空电子系统最好不要依赖于同类传感器。他说：“真正需要的是不同类型的传感器，并且每个传感器具有独立的故障特征。”

实际上，Max的原始设计要求将多种传感器类型输入MCAS [3]。后来，在公司决定缩减为单个传感器后，波音公司工程师曾考虑在Max上设计一个合成空速系统，该系统将利用多个数据源来测量飞机的移动速度。当迎角传感器发生故障时，该系统可被作为备用系统，但波音公司高管在三个不同的场合都决定不采用该备用系统，理由是开发该系统的成本很高，而且飞行员必须接受更多的培训[6]。

对于两起坠机事件中的飞行员的表现，波音公司的高管们表示，飞行员们曾参与过标准的应急程序，这些事故本来是可以避免的。但是美国国家运输安全委员会（US National Transportation Safety Board）的官员驳斥了这一说法，他们说，在MCAS启动后，一般的飞行员都很难将飞机恢复到原来的状态[7]。

“自动化程度越高，飞行员手动飞行的次数就越少，这使得他们处理紧急情况的能力也就越低” ，Varela说。Varela是一名仪表等级的私人飞行员，他拥有900 h以上的飞行经验。“随着航空旅行变得越来越普遍，航空公司对飞行员的需求也在增加，但几乎可以肯定的是，飞行员的平均技能水平没有提高。为了解决这个问题，自动化水平的提高速度必须要超过一般飞行员质量的下降速度。一些用于解释飞行员决策的系统可以为此提供帮助。”

图2. 在波音737 Max于2019年3月第二次坠毁后，当时在全球服役的387架Max飞机机队被停飞。同时，波音公司每月继续建造数十架飞机，这些飞机停靠在像美国西雅图这样的停车场中等待被交付。图片来源：SounderBruce，维基共享资源（CC BY-SA 4.0）。

自2019年3月第二次坠机事件以来，在役的300多架Max飞机已在全球范围内停飞，而波音公司也未交付其他飞机[1]（图2）；迄今为止，已经订购的5043架飞机中只有387架已经交付。一些分析师称，对于坠机事故中丧生的乘客的家属所提起的诉讼，波音公司将为此支付10亿美元，除此之外，因延迟交付货物，波音公司还于2019年7月拨出56亿美元，以折扣和额外服务的形式向客户返还部分退款[8]。如果Max不能在2020年第一季度被重新投入使用，这一延误可能会给公司带来更大的损失。截至2019年12月，拥有Max飞机最多的西南航空公司和所有其他美国航空公司都将在2020年2月之前停飞Max飞机。但这一切都发生在2019年10月之前，当时美国联邦航空管理局（US Federal Aviation Administration）发现了波音公司飞行员之间的短信，这些短信表明，在飞机坠毁数年前MCAS 的缺陷就已经暴露[9]。同时，波音公司正在努力通过降低MCAS的功率来重新设计MCAS，以降低MCAS对机头的推力并将MCAS连接到每架飞机的两个传感器上，而不像原来的设计那样仅依靠一个传感器。该公司还计划在主系统出现故障的情况下安装备用系统 [10]。