波音737 Max Saga—自動(dòng)化缺陷

Chris Palmer

Senior Technology Writer

圖1. 在某些情況下，波音737 Max 8的MCAS系統(tǒng)旨在自動(dòng)移動(dòng)水平安定面，就像Embraer ERJ-170上的水平安定面一樣，將飛機(jī)機(jī)頭向下推以防止失速。圖片來源：YSSYguy，維基百科（CC BY-SA 3.0）。

波音公司在2011年宣布推出波音737 Max飛機(jī)，這架飛機(jī)在當(dāng)時(shí)被譽(yù)為是值得制造商信賴的新一代主力客機(jī)。Max于2017年被首次投入使用，它擁有更加省油的新型發(fā)動(dòng)機(jī)和更新的航空電子設(shè)備，它的續(xù)航里程更長(zhǎng)且運(yùn)營(yíng)成本更低[1]。

重要的是，波音公司設(shè)計(jì)的Max與之前的機(jī)型有許多共同之處，即飛行員僅需要很少的額外訓(xùn)練就可以駕駛兩種機(jī)型，而無需對(duì)新機(jī)型再進(jìn)行全面的學(xué)習(xí)[2]。此外，Max使用的是現(xiàn)有的、經(jīng)過認(rèn)證的機(jī)械結(jié)構(gòu)（只配備了新型發(fā)動(dòng)機(jī)和航空電子設(shè)備），這意味著波音公司可以省去重新設(shè)計(jì)飛機(jī)所需的耗時(shí)的認(rèn)證過程。

美國(guó)亞利桑那州立大學(xué)坦佩校區(qū)的物質(zhì)、運(yùn)輸和能源工程學(xué)院的航空工程實(shí)踐教授Timothy Takahashi說：“新的認(rèn)證過程可能會(huì)讓飛機(jī)的交付日期延長(zhǎng)數(shù)年?！贝送?，對(duì)于波音公司的客戶而言，對(duì)飛行員進(jìn)行再培訓(xùn)所需的成本也不小。

不過，相比其前身737 NG，Max的發(fā)動(dòng)機(jī)更大，其在機(jī)翼上的位置更高、更靠前。這些差異會(huì)使飛機(jī)有不同的飛行方式。例如，在某些情況下（如在低速飛行或具有大迎角的手動(dòng)飛行時(shí)），新型發(fā)動(dòng)機(jī)的放置可能會(huì)使飛機(jī)的機(jī)頭向上俯仰，從而可能導(dǎo)致飛機(jī)失速[1]。

為了使Max的操縱手柄更像以前737機(jī)型的操縱手柄，波音公司設(shè)計(jì)了一種自動(dòng)化軟件工具——機(jī)動(dòng)特性增強(qiáng)系統(tǒng)（Maneuvering Characteristics Augmentation System, MCAS）。在某些情況下，該系統(tǒng)通過向后推動(dòng)飛機(jī)的機(jī)頭（圖1）來自動(dòng)使飛機(jī)配平，以穩(wěn)定俯仰。但是，MCAS僅在單個(gè)傳感器顯示大迎角時(shí)才會(huì)被激活。這意味著，如果飛機(jī)的兩個(gè)迎角傳感器中的任意一個(gè)出現(xiàn)故障，則MCAS就會(huì)被激活[3]。而且，由于波音公司計(jì)劃在后臺(tái)謹(jǐn)慎地運(yùn)行該軟件，因此，其在Max的飛行員手冊(cè)中并未提及MCAS [3]。

不用多說，飛機(jī)是一個(gè)極其復(fù)雜的工程系統(tǒng)。目前，包括來自10個(gè)國(guó)家的民航局的技術(shù)代表在內(nèi)的調(diào)查人員得出結(jié)論，維持連續(xù)性以更快的速度、更低的總成本交付飛機(jī)的商業(yè)決策導(dǎo)致了該系統(tǒng)的失敗，并最終導(dǎo)致Max兩起致命的墜毀事故[4]。在這兩起墜機(jī)事件之后，調(diào)查人員迅速將關(guān)注重點(diǎn)集中在了飛機(jī)的電子控制軟件上，并將其作為事故發(fā)生的根本原因。后來，監(jiān)管監(jiān)督和飛行員培訓(xùn)顯然也發(fā)揮了作用。

2018年10月29日，印度尼西亞獅子航空公司610次航班于當(dāng)?shù)貢r(shí)間上午6:20從印度尼西亞雅加達(dá)起飛。在飛機(jī)的前一次飛行中，MCAS因錯(cuò)誤的速度和高度讀數(shù)而被觸發(fā)。一名不當(dāng)班的飛行員搭上了這次航班，他正確地診斷出了這個(gè)問題，并禁用了MCAS [5]。但是在610次航班起飛后，駕駛艙里的警告信號(hào)立即提醒飛行員飛機(jī)可能會(huì)失速。飛行員因無法確定飛機(jī)的速度和高度，所以他們將此情況告訴了空中交通管制員，并稱他們感覺到飛機(jī)的機(jī)頭正在被向下拉。飛機(jī)起飛12 min后墜毀，機(jī)上189人全部遇難。

在墜機(jī)時(shí)，230架737 Max 8已交付給包括中國(guó)和美國(guó)在內(nèi)的15個(gè)國(guó)家的航空公司。幾天之內(nèi)，調(diào)查人員就開始關(guān)注MCAS以及在其被激活后飛行員們的行為。在一周內(nèi)，波音公司發(fā)布了一個(gè)關(guān)于迎角傳感器故障錯(cuò)誤地觸發(fā)MCAS時(shí)飛行員應(yīng)該怎么做的指示，這是大多數(shù)飛行員和航空公司第一次聽說這個(gè)自動(dòng)化軟件[1]。在調(diào)查期間，世界各地的航空公司都在繼續(xù)使用Max飛機(jī)，而波音公司也繼續(xù)每月制造和交付約50架飛機(jī)。

然而，5個(gè)月后，在2019年3月10日上午8:38，埃塞俄比亞航空公司302次航班從埃塞俄比亞亞的斯亞貝巴起飛。飛機(jī)飛行2 min后，MCAS被激活，機(jī)頭開始朝下。飛行員很快重新控制住了飛機(jī)，但隨后MCAS被再次激活。飛機(jī)在飛行6 min后墜毀，機(jī)上157人全部遇難。

在埃塞俄比亞航空公司墜機(jī)事件后，MCAS再次被認(rèn)為是造成此次事故的原因之一，此外，另一部分原因是由于飛行員無法手動(dòng)為飛機(jī)配平，以及飛機(jī)起飛后發(fā)動(dòng)機(jī)仍處于全推力狀態(tài)。飛機(jī)本身有一個(gè)可以幫助轉(zhuǎn)動(dòng)配平操縱舵（類似于汽車的動(dòng)力轉(zhuǎn)向系統(tǒng)）的電子系統(tǒng)，但是該系統(tǒng)以及其他幾個(gè)電子系統(tǒng)連同MCAS一起被禁用了[1]。

Takahashi說：“在正常的飛行中，MCAS應(yīng)該像一個(gè)沉默的獅身人面像一樣坐著，只有在飛行員出了問題的時(shí)候它才會(huì)采取行動(dòng)。但是，只要有一個(gè)迎角傳感器給出錯(cuò)誤的讀數(shù)，MCAS就會(huì)被啟動(dòng)，從而毫無限制地往下推飛機(jī)機(jī)頭。這種設(shè)計(jì)是有問題的?！?/p>

紐約特洛伊市倫斯勒理工學(xué)院的計(jì)算機(jī)科學(xué)副教授Carlos Varela表示同意這種觀點(diǎn)。他還建議，航空電子系統(tǒng)最好不要依賴于同類傳感器。他說：“真正需要的是不同類型的傳感器，并且每個(gè)傳感器具有獨(dú)立的故障特征?！?/p>

實(shí)際上，Max的原始設(shè)計(jì)要求將多種傳感器類型輸入MCAS [3]。后來，在公司決定縮減為單個(gè)傳感器后，波音公司工程師曾考慮在Max上設(shè)計(jì)一個(gè)合成空速系統(tǒng)，該系統(tǒng)將利用多個(gè)數(shù)據(jù)源來測(cè)量飛機(jī)的移動(dòng)速度。當(dāng)迎角傳感器發(fā)生故障時(shí)，該系統(tǒng)可被作為備用系統(tǒng)，但波音公司高管在三個(gè)不同的場(chǎng)合都決定不采用該備用系統(tǒng)，理由是開發(fā)該系統(tǒng)的成本很高，而且飛行員必須接受更多的培訓(xùn)[6]。

對(duì)于兩起墜機(jī)事件中的飛行員的表現(xiàn)，波音公司的高管們表示，飛行員們?cè)鴧⑴c過標(biāo)準(zhǔn)的應(yīng)急程序，這些事故本來是可以避免的。但是美國(guó)國(guó)家運(yùn)輸安全委員會(huì)（US National Transportation Safety Board）的官員駁斥了這一說法，他們說，在MCAS啟動(dòng)后，一般的飛行員都很難將飛機(jī)恢復(fù)到原來的狀態(tài)[7]。

“自動(dòng)化程度越高，飛行員手動(dòng)飛行的次數(shù)就越少，這使得他們處理緊急情況的能力也就越低” ，Varela說。Varela是一名儀表等級(jí)的私人飛行員，他擁有900 h以上的飛行經(jīng)驗(yàn)?！半S著航空旅行變得越來越普遍，航空公司對(duì)飛行員的需求也在增加，但幾乎可以肯定的是，飛行員的平均技能水平?jīng)]有提高。為了解決這個(gè)問題，自動(dòng)化水平的提高速度必須要超過一般飛行員質(zhì)量的下降速度。一些用于解釋飛行員決策的系統(tǒng)可以為此提供幫助。”

圖2. 在波音737 Max于2019年3月第二次墜毀后，當(dāng)時(shí)在全球服役的387架Max飛機(jī)機(jī)隊(duì)被停飛。同時(shí)，波音公司每月繼續(xù)建造數(shù)十架飛機(jī)，這些飛機(jī)?？吭谙衩绹?guó)西雅圖這樣的停車場(chǎng)中等待被交付。圖片來源：SounderBruce，維基共享資源（CC BY-SA 4.0）。

自2019年3月第二次墜機(jī)事件以來，在役的300多架Max飛機(jī)已在全球范圍內(nèi)停飛，而波音公司也未交付其他飛機(jī)[1]（圖2）；迄今為止，已經(jīng)訂購(gòu)的5043架飛機(jī)中只有387架已經(jīng)交付。一些分析師稱，對(duì)于墜機(jī)事故中喪生的乘客的家屬所提起的訴訟，波音公司將為此支付10億美元，除此之外，因延遲交付貨物，波音公司還于2019年7月?lián)艹?6億美元，以折扣和額外服務(wù)的形式向客戶返還部分退款[8]。如果Max不能在2020年第一季度被重新投入使用，這一延誤可能會(huì)給公司帶來更大的損失。截至2019年12月，擁有Max飛機(jī)最多的西南航空公司和所有其他美國(guó)航空公司都將在2020年2月之前停飛Max飛機(jī)。但這一切都發(fā)生在2019年10月之前，當(dāng)時(shí)美國(guó)聯(lián)邦航空管理局（US Federal Aviation Administration）發(fā)現(xiàn)了波音公司飛行員之間的短信，這些短信表明，在飛機(jī)墜毀數(shù)年前MCAS 的缺陷就已經(jīng)暴露[9]。同時(shí)，波音公司正在努力通過降低MCAS的功率來重新設(shè)計(jì)MCAS，以降低MCAS對(duì)機(jī)頭的推力并將MCAS連接到每架飛機(jī)的兩個(gè)傳感器上，而不像原來的設(shè)計(jì)那樣僅依靠一個(gè)傳感器。該公司還計(jì)劃在主系統(tǒng)出現(xiàn)故障的情況下安裝備用系統(tǒng) [10]。