3月10日衣索比亞航空波音 737MAX8 墜毀，事故和機型 737MAX 本身有關嗎？ 購買該雜誌查看完整 27 篇內容
57人客機墜毀無人生還，包括8名中國人，事故原因可能是什麼？有哪些教訓？?www.zhihu.com
2019年3月10日，衣索比亞航空一架737MAX8，執行ET302航班，於衣索比亞首都亞迪斯亞貝巴國際機場起飛後6分鐘於雷達上消失。
衣索比亞航空官方目前已確認飛機墜毀，機上149名乘客和8名機組人員全部遇難。
利益相關：目前朝九晚五服務的東家是波音供應商，波音為本司最大客戶。
簡單答案：根據目前公開的資料和報道，個人認為可能性七三開。波音 737 MAX 系列，特別是飛控系統軟體有設計漏洞的可能性為七成。所以，贊成暫時停飛 737 MAX 系列。
這個問題其實對軟體工程師也應該很有啟發，在很大程度上是一個 UI/UX 及用戶培訓的問題。
近期出行如果能避免乘坐 737 MAX 系列還是盡量避免。靜待4月波音的飛控系統軟體升級，然後再等三到六個月。
（3月13日更新：既然全世界都停飛了。下面這段也就只是給大家增加一個知識點了。）
另，鑒於印尼獅子航空事故與 737 MAX 系列新增的MCAS （Maneuvering Characteristics Augmentation System，機動性增強系統）有很大關係。下面給大家貼出關閉 MCAS 系統水平尾翼自動配平，及人工設定 737 MAX 系列平尾配平的操作流程。雖然到了今天，略靠譜的航空公司和飛行員應該都複習了好幾遍了。但是如果您出行的時候需要乘坐 737 MAX 系列，還是不妨讓空姐提醒機長一次：「親，您今天複習過關閉MCAS和自動駕駛儀的流程了嗎？」
關閉包括MCAS在內的自動平尾配平系統的流程如下：
- 當發現機長和副機長的空速以及迎角數據有差異，以及飛機有非正常自動低頭動作後，首先用操縱舵上的手動平尾配平桿修正。
- 如果飛機依然持續非正常自動低頭，用中央操縱臺偏下位置的兩個電門切斷平尾自動配平裝置電源。
- 繼續飛行時用中央操縱臺側面的滾輪進行手動配平。
圖一，737 MAX 座艙，MCAS 關閉流程。圖片來源：原圖 -- 科林斯航太（Collins Aerospace）網站，注釋 -- 筆者添加。
詳細答案：
這個問題前兩天我和我的小弟們在週一例行的部門會議上討論過。當時我的一位小弟很擔心的問：「該不會是我們公司的產品出了問題吧。」
我當時的答案是：「應該不會。我們提供的都是結構件，機身、縱梁、翼梁這類部件；最多加上（渦扇）引擎扇葉，液壓系統、控制面制動器這些機械繫統。去年（美國）西南航空的737爆引擎那件事還有可能擔心一下是我們的產品的問題，這次99.99%不關我們事。這次和前幾個月印尼的那件事有點像，最有可能的是飛控系統軟體的問題，那是波音自己寫的。其次有可能的是皮託管（pitot tube, 又稱空速管），迎角感測器（Angle of Attack Sensor）這類飛控系統裡面的硬體感測器，那是離咱們5分鐘的科林斯航太（Collins Aerospace）造的。再小可能一點的是中央飛控數據集成的硬體，咱們的街坊 Honeywell，還有BAE和GE都有可能。」
聊了一下造成衣索比亞這次事故的各種原因可能性，然後說了一下飛控軟體控制律的注意事項（雖然俺們不寫飛控）。順便進行一下機會教育，提醒小弟們要多測試，多考慮邊緣情況（edge cases），多進行失效模式分析（failure mode analysis），推出新軟體或者升級後要多進行用戶培訓，然後就散會了。
這次衣索比亞航空事故，有報道說飛行員向塔臺報告過空速讀數異常。假如屬實，空速管讀數異常導致MCAS介入是很有可能的情況。
與大眾想像的不一樣，民航機執行飛行任務時，很多時候飛機的狀況都並不是完美的。很多時候都是帶著一點小故障飛行。只要故障不妨礙當次航班飛行情況時的飛行安全，就會放飛。這一點，全世界各國都一樣。飛行中，一個空速管發生故障，飛機上兩側的幾個空速管讀數不一致，都是偶爾會發生的情況。因為飛機有冗餘設計，通常在非複雜天候時，即使發生了這些故障都會繼續完成預定航班飛行。
圖二，波音737 MAX 機首左側（機長側）感測器 -- 1. 主空速管、2. 備用空速管、3. 迎角感測器、4. 溫度感測器。副機長一側也有同樣的一套感測器。原圖來源：波音公司，注釋：筆者。
絕大多數飛行事故是多個因素的疊加，冗餘系統失效加上飛行員操作失誤。在去年的印尼獅子航空空難中，除了MCAS本身的因素，飛行員訓練不足也是一大問題。
在波音737上，MCAS並不是第一個有權對平尾進行自動配平的系統，也不是第一個在手動操縱（也就是沒有開啟自動駕駛）的情況下有權對平尾進行自動配平的系統。在 737 NG 系列，以及更早的 737-300 上，已經有STS（Speed Trim System）以及MTS（Mach Trim System）這兩套系統，分別在低速及高速的情況下，自動對平尾及升降舵進行配平。
也就是說，即使在舊型號的737上，也會出現飛行員沒有開啟自動駕駛儀的情況下，飛控系統自行配平的情況。換句話說，能飛舊型號737的飛行員，應該不會對飛機自行進行配平這種情況感到不知所措。
圖三，737 NG 系列飛行手冊截圖，STS及MTS系統描述。來源：美國洲際航空。
也就是說，增加的 MCAS 系統本身並不是一件非常特殊的事情。而且，有些媒體說的波音刻意隱瞞增加了這套系統的情況也並不準確。波音在改型的飛行手冊裏，是提到了這套系統的。但是，問題在於沒有給予足夠的重視，在上千頁的手冊裏只有四分之一頁的篇幅提到了這套新系統。
同時，在飛行員訓練上，一開始也沒有刻意強調這套系統的特性。包括美國本土的航空公司在內，很多飛過 NG 的飛行員在改型飛 MAX 的時候，都只是在網上上一個課程，然後加上一些模擬器小時，就通過了。
另外一點就是，雖然MAX的座艙顯示屏有顯示迎角讀數、迎角感測器是否正常工作、以及MCAS系統是否開始工作這些數據的功能，但是這項功能是可選的配置，而不是基本配置。很多航空公司在買飛機的時候都沒有選擇這項配置。在印尼獅子航空空難的初步報告中，飛行員判斷不明、應對失誤也被列為可能的原因之一。
基於至3月19日為止的公開信息，個人目前認為最有可能的事故原因是：多於一個飛控系統出錯導致的自動控制輸入錯誤，再導致飛行員的判斷錯誤及操縱過度補償（pilot-induced oscillation / overcompensation）。具體的事故原因推測會在最後列出。
圖四，MAX改型飛行手冊中對MCAS系統的描述。來源：http://b737.org.uk
視頻一，飛行員操縱過度補償（pilot-induced oscillation / overcompensation）。來源：NASA / 油管：
至於另外一些媒體所說的，更大、更重的 CFM LEAP-1B 引擎導致MAX系列的氣動不穩定。個人覺得尚有值得商討之處。
（未完待續）
個人猜測非常可能有關係
先看一個背景
關鍵詞：人機對抗
自動化系統下壓機頭飛行員上拉飛行員輸了
這個壓機頭的系統是什麼呢？
MCAS，自動糾正失速系統。飛機因為起飛仰角過大速度過低時，系統自動壓仰角，感測器發生故障的時候可能會誤判飛機姿態，超越駕駛員進行低頭增速，這是是737MAX上新增的系統，73m的飛行員多為73n轉來，對系統故障退出普遍不熟悉
上面是印尼獅子航空事故的一些原因
來看看這次fr24給的高度數據吧
高度不穩定！
巧了 還記得剛才人機對抗的折線圖麼？
這個已經被faa緊急警告過的新系統真的沒問題了嗎
在人類探索飛行的征程上，註定要付出代價；在改進技術以求臻善的道路上，有失敗有挫折，能夠被理解。但是，飛行安全至高無上，追求安全永無止境。在敬畏生命、確保安全的最高準則面前，資本的冷漠與業務的粗疏斷不可容忍。
3 月 10 日，衣索比亞航空公司一架波音 737MAX 飛機發生墜機空難，這是繼去年 10 月 29 日印度尼西亞獅子航空公司空難後，波音同款飛機的第二起事故。雖然最終調查結果還需要一段時間，但從 4 月 4 日衣索比亞交通部公佈的初步調查結果看，該型飛機上的機動特性增強系統（MCAS）是事故直接原因的結論可基本確定。5 日，波音公司 CEO 米倫伯格在其推特上公佈的視頻中向遇難者家屬道歉，並承認波音的責任，「很明顯，737MAX8 的自動防失速系統（MCAS）導致了兩起致命空難。在這兩起事故中，飛機的自動防失速系統（MCAS）為了回應錯誤的迎角信息而啟動。」
時隔不足 5 個月，一款波音經典機型竟因改型技術缺陷，導致 346 名乘客喪命，事故之密集、之慘烈，令人悲傷與震驚。事件對於波音公司，乃至全球航空界都將產生重大而深遠的影響。
初步調查報告
衣索比亞發布的調查報告包括 4 個初步結論：執飛 ET302 航班的飛機擁有飛行資質;飛行員符合資質要求並且參加了必要的培訓飛機的起飛正常;飛行員遵從了波音的所有程序後依然失去了對飛機的控制。報告給出兩條建議：一是波音應該重新審查 737MAX 飛機的 MCAS 系統;二是航空管理局應在確保飛行員對新系統有足夠瞭解與培訓的基礎上再批准這一機型復飛;並聲明，後續調查將繼續進行，最終結果可能需要六個月到—年的時間。
在初步調查報告發布後，波音公司首次承認自己的責任，並稱，針對 MCAS 的軟體升級工作已接近尾聲，預計將在未來幾周之內獲得認證，將在全球的 737MAX 飛機上安裝。同時，決定從 4 月中旬開始將 737 飛機的產能從每月 52 架減到 42 架;還將成立一個內部安全委員會，以審核在設計和研發飛機方面的政策和流程，保證 737MAX 飛機及其他項目遵從最高安全標準。美國國家運輸安全委員會（NTSB）主席羅伯特-薩姆沃特表示，初步調查報告「非常全面」，對衣索比亞政府在不足 30 天內提出的調查報告認可。但同時指出，這是一份初步報告，事情可能會有所改變。NTSB 派代表參加了埃塞航和印尼獅航 737MAX 飛機在類似情況下墜毀的調查。兩起事件的初步報告都強調了錯誤的迎角感測器讀數，以及飛機重複自動向下俯衝的情況;事故原因聚焦在飛機的 MCAS 系統以及它如何響應錯誤讀數而被激活。
最低 0.3 元/天開通會員，查看完整內容購買該雜誌查看完整 27 篇內容
雜誌
航空知識 2019年06期
介紹航空（及航天）知識的軍事科普月刊
￥15.00 會員免費
作為飛友談談我自己的看法。
僅就印尼航空2018年墜毀的737 MAX8 而言，MCAS的誤判在事故後的報告中被歸結為事故成因之一，但是波音極力否認有設計缺陷。
但是MCAS本身就是一個用來補救整體設計問題的系統。
現代飛機大多採用模塊化設計，737MAX系列的一大特點就是替換了動力模塊，採用CFM LEAP-1B 發動機替換了老一代的CFM56-7系列發動機。
新的發動機涵道比高達9：1，比老機型更加靜音省油。新的動力系統也帶來了新的問題，CFM LEAP系列發動機更加短粗，因此在機翼上的安裝位置也更加靠前。從下面的對比圖可以看出，737MAX8相比737-800發動機位置變化。
在原有氣動佈局變化不大的情況下，這種發動機安裝結構的改變在特定情況下就有可能會把機頭推得上仰，從而陷入失速的風險。
為瞭解決新發動機的帶來的這個問題，擺在波音面前的是兩條路，一條是改造飛機的整體氣動佈局，從根本上解決俯仰問題。另一條就是用飛控軟體控制舵面，對衝上仰傾向。
對於波音來說，重新設計機翼造型等氣動佈局是一個很不划算的選擇，這樣有可能帶來相當於設計一臺新飛機的工作量，也會浪費大量和老737機型的通用設計與零件。
於是波音採用了MCAS系統來解決機頭上仰的問題，如下面的視頻所示：
MCAS波音的做法是這樣的，在機頭側面設置攻角感測器，感測器上帶有一個微型翼面，會被氣流吹得上下俯仰。理想情況下，不管飛機是爬升、下降還是平飛，如果飛機的機頭與翼面指向平行於飛機的運動方向，飛機的攻角為原始位，那麼在氣流的作用下攻角感測器的翼面就會與機頭指向平行，顯示攻角正常；如果飛機機頭被發動機推著仰了起來，這時候機頭指向就會和飛機的實際運動方向呈一定夾角（攻角），感測器翼面還是會在實際運動方向吹來的氣流作用下指向氣流方向，這時候感測器會顯示出飛機的攻角讀數。
當感測器顯示的讀數超出一定範圍內，飛控電腦就會認為『飛機又要被發動機推翻了』，從而激活MCAS，控制機頭自動下壓 。在這樣的操作下，波音認為可以通過程序設計就可以解決新發動機帶來的問題。
但是作為事後諸葛亮來看，波音的做法很顯然隱藏了危機：
- 攻角感測器外部結構為機械傳動結構，會有一定的故障風險 ，在起飛降落階段，由於氣流較為複雜 ，感測器讀數也可能出現錯誤，並不一定能顯示實際攻角。印尼獅航的事故主要就是就是由此引起。
- 電腦完全依靠感測器讀數在飛行員手動駕駛的情況下不是發出警報提醒飛行員，而是直接強行壓低機頭，除非飛行員特殊訓練，非常瞭解這一問題成因，纔可能關閉MCAS解決這個故障。如果飛行員誤判飛機不受控制原因，則極大可能造成事故。印尼獅航在天上人機互搏十幾分鐘，固然有訓練不足人員誤判的原因，波音的設計邏輯也難逃其咎。
總而言之，波音737MAX的機頭上仰問題是由於換髮帶來的，在排除了大改氣動佈局的前提下，波音試圖用MCAS做出補救，但是不論攻角感測器的可靠性以及電腦自動操控的邏輯都值得商榷。在這些問題沒有得到徹底解決之前，個人會避開乘坐這一機型，也無比擁護民航局禁飛的決定。
補充幾點:
1. 波音737MAX目前只依靠兩個攻角感測器之中任意一個激活MCAS啟動，沒有冗餘設計。也就是說在手動飛行模式，襟翼升起後，只要一個AoA感測器故障，飛機就自動下壓。華盛頓郵報最新報道有中國飛行員也遭遇過類似情況，好在及時關閉系統接管飛機。
2. 不要以為自動飛行模式就沒關係，這時候電腦有更高許可權，想怎麼飛就怎麼飛，自然不用獨立系統控制俯仰。美國有至少兩起飛行員投訴737MAX自動飛行模式下機頭異常下壓。
3. 波音對這個問題的態度就是補丁加補丁，目前從FAA通知看要求波音四月份改進軟體以及告警系統，估計會在MCAS啟動時發出警報。但是新髮帶來的氣動問題無解，不知MCAS啟動頻率有多高，如果每次都啟動報警，飛行員有可能起降時一路聽的都是警報音。
4. 同為單通道客機，同用CFM LEAP發動機，空客320 neo用的A型單臺最大推力156千牛，C919用的C型133.4千牛，波音737MAS用的B型最大推力只有120千牛。不負責任的猜測，不是不想用大力噴子，是推力再大一點整個FAA領導層掛在駕駛室外面助力MCAS都不夠抵充抬頭力矩了（大誤，起落架高度也裝不上11:1的大涵道比LEAP）。
作為業內人士，在機場快軌上寫本篇。
每次遇到飛機安全不安全這個問題，我原來一直都會力挺製造商，解釋說飛機是最安全的交通工具，以往的致命事故很少有飛機設計製造原因導致，而大部分事故都與飛行操作相關。然而這次，我個人都會暫時避開737MAX，一種全新的機型半年內出現兩次重大致命事故，這在近幾十年民航歷史上也是罕見的。
原來波音的操作設計理念是飛行員可以做任何想做的事，空客的則是飛行員的操作不能超出一定限度。無論是波音空客或者其它飛機，出現問題的最後一招就是斷開自動駕駛，飛行員是飛機的最終控制者。而從我目前瞭解的情況，737MAX的自動低頭配平系統可以在手動操作的情況下自動啟動，其理念變成計算機可以做它認為正確的事。
由於最終結論沒有出來，任何人都只能是基於自身知識推測。737是波音的現金牛，命根子，他們不會坐視不理，問題最終會解決，不過這次的代價也太大了。至於這次和獅航那次有沒有關聯，個人認為不能說沒有。
另，剛聽說中國民航已經暫時停飛了所有737MAX
推薦閱讀：
