波音飛機又出事了？！這篇中國專家的燒腦文章值得一看

近來屢屢捲入風波的波音737，又出事了！

美國佛羅里達州傑克遜維爾市長倫尼·柯里3日在社交媒體推特上說，一架大型飛機當日在該市一機場降落時衝出跑道滑入附近一條河中，機上乘客和機組人員均無生命危險。

據美國媒體報道，出事飛機是一架波音737客機，載有143名乘客和機組人員，當晚在降落時滑入機場附近的聖約翰河中，由於河水較淺，客機未被淹沒。消防和急救人員已趕到現場援救。事故原因目前尚不清楚。

頻繁的事故，讓人們對波音737安全性的擔憂日益加深。其事故頻發的原因究竟何在？此前遭遇事故飛機的黑匣子又向我們揭開怎樣的真相？

文 | 陸峰 中國航空工業發展研究中心

本文為瞭望智庫原創文章，如需轉載請在文前註明來源瞭望智庫（zhczyj）及作者信息，否則將嚴格追究法律責任。

3月10日，埃塞俄比亞航空公司一架波音737-8客機墜毀，這是繼去年10月29日印度尼西亞獅子航空公司空難事故之後，737-8客機發生的第二起空難事故。

近日，美國波音公司總裁丹尼斯•米倫伯格在公司官網上發表聲明，承認上述兩起空難事故中，飛機自動防失速的機動特性增強系統(MCAS，系統的設計初衷是避免飛機進入失速)犯錯，並表示將在未來幾周內完成相關軟件更新。

目前，埃塞方公佈了空難的初步調查結果。

本文嘗試從埃航失事客機飛行數據記錄器（DFDR，訴稱黑匣子）數據、波音針對獅航空難發出的操作通告（OMB）和波音申請的自動失速保護系統專利（CN106477055A號）等維度切入，對其中一些重要問題進行解讀和分析。

通過分析可知，埃航空難可能與左側AOA攻角數據錯誤、飛行員操作不當和MCAS持續錯誤配平安定面等因素有關。

1

剛起飛就出現不祥之兆

根據埃航失事客機黑匣子記錄（部分）：

05:38:44，飛機離地後不久，左側和右側記錄的AOA攻角數值出現偏差。

左側AOA下降至11.1°，隨後上升至35.7°，而右側AOA值顯示14.94°。

接著，左側AOA值在3/4秒內達到74.5°，而右側AOA達到最大值15.3°。

此時，左側抖杆器啟動並一直持續到接近記錄結束。同時，左側空速、高度和飛行指引儀俯仰指示與右側對應指示出現偏差，左側值低於右側值，直到接近記錄結束。

05:38:46，飛副駕駛喊話“主警告防冰”，4秒鐘後，“左側AOA加溫”參數狀態發生改變。

為了分析上述黑匣子數據表徵的埃航客機實際狀態，需要結合波音於去年11月6日發出的官方通告（OMB）內容，該通告是獅航空難一週後，波音緊急發出的737 MAX操作通告。

通告指出：

當737MAX飛機的AOA數據錯誤時，俯仰配平系統（pitch trim system,其實就是MCAS，但波音當時在通告中沒有提出MCAS的概念）會持續長達10秒的使飛機低頭的水平安定面配平，飛行員可以使用位於駕駛盤上的電動配平打回原來的位置，但是在飛行員鬆開電動配平電門5秒鐘之後，這種情況可能會反覆。

當俯仰配平系統（MCAS）控制機頭向下時，飛行員的正確操作步驟是：緊握駕駛杆，脫開自動駕駛、自動油門，如果繼續失控，關斷兩個安定面配平電門，如果還繼續，用手抓緊配平輪，最後使用人工配平。

錯誤的AOA還有以下的指示和影響：

受影響一側持續或間歇性的抖杆;

受影響一側最低速度指示條（紅色和黑色）;

增加飛機低頭的杆力;

自動駕駛不能接通;

自動駕駛會自動脫開;

IAS（指示空速表）速度不一致警戒提示;

ALT（高度表）高度不一致警戒提示;

AOA 迎角不一致警戒提示（如果選裝了AOA指示）;

FEEL DIFF PRESS（升降舵感壓燈）燈亮;

另外，埃航失事客機飛行員事先已經過了專門培訓，瞭解上述OMB的情況。

將錯誤的AOA的指示和影響情況與埃航失事客機黑匣子數據結合對比，可以看出埃航失事客機出現了多個類似問題，比如：

*埃航客機左側駕駛杆出現了持續抖杆（這是飛機進入或即將進入失速狀態的重要警告信息）；

*飛機的IAS速度不一致警戒提示和ALT高度不一致警戒提示開始告警；

*自動駕駛不能接通，自動駕駛自動脫開；

*飛機出現的左側防冰警告,應該也是AOA故障引起的。

以上事實表明，埃航失事飛機剛剛起飛離地，就出現了左側AOA攻角讀數錯誤的現象。

2

未能及時發現AOA攻角數值錯誤

筆者推測，在直到墜機前30秒，埃航失事航班機組還沒有發現飛機左側AOA攻角數值發生了誤報。

具體理由如下：

首先，埃航失事客機上沒有安裝AOA指示器和安全警報器。

根據操作通告（OMB）可知，如果飛機上安裝了上述儀表，當飛機AOA 攻角數據不一致時，這些儀表會發出警告來提示飛行員。

但是令人匪夷所思的是，波音竟將如此重要的安全報警裝置列為選裝部件（安裝需要額外大約支付大約8萬美元），結果是埃航沒有在失事客機上安裝這些儀表。於是，當AOA攻角傳感器讀數故障時，駕駛艙內同時冒出了各種不一致的信息（速度、高度等）以及一大堆告警指示和此起彼伏的警告聲音，飛行機組很難對眼前的一切做出快速準確的判斷，這可能是埃航失事客機機組未能及時發現AOA讀數故障的重要原因。

其次，根據黑匣子記錄,05:42:54 兩名飛行員同時喊話“左側攻角探測片”，表明他們可能才發覺左側攻角傳感器的讀數出現了誤報，

最後，失事飛機已經出現了因AOA攻角數值錯誤而引起的眾多異常現象，飛行員在排除故障之前，一般不宜在起飛階段選擇自動駕駛模式。

但是，埃航失事客機的機長（波音飛機的左側駕駛員位置一般是機長位，當左右兩側AOA攻角讀數不一致時，飛機會選擇相信機長一側的AOA攻角數值）仍然選擇接入自動駕駛模式，究其原因有兩種可能：

其一，當時機長沒有認識到相關儀表的異常表現是由於AOA攻角數值錯誤引起的，所以沒有重視相關問題；

其二，機長受到了波音的誤導。波音在操作通告指出：

“Boeing would like to call attention to an AOA failure condition that can occur during manual flight only”。

翻譯成中文意思就是：

波音提醒注意AOA失效的迎角問題僅僅出現在飛行員手動飛行時。埃航機長可能以為接入自動模式後就可以解決相關問題，但是埃航機長沒想到：在AOA攻角數值錯誤的情況下，飛機襟翼收上和手動脫開（或者系統自動脫開）自動駕駛儀後，MCAS就可能發作。

從737 MAX故障歷史來看，及時發現AOA攻角數值錯誤，並按照NNC（非正常檢查單）流程操作非常重要。

根據獅航失事客機墜機前一次執飛航班JT043的機長報告。在飛行之前，該機的攻角（AOA）傳感器曾被更換，並測試工作正常。飛行數據記錄器記錄到飛機滑跑抬輪時抖杆被激活的信號，該異常信號一直持續至飛機落地。

在到達400英尺飛行高度時，JT043的機長（有傳聞該機長當時得到了一個臨時搭乘該航班的飛行員的專業指點）機長注意到出現了“空速不一致（IAS DISAGREE）”告警。隨後機長將兩部PFD（主飛行顯示）數據與備份儀表數據進行了比對，認定左側PFD故障，於是切換至右側飛行指引（FD）。之後，機長將安定面配平電門開關（STAB TRIM）放到CUT OUT位後，又重新撥至NORMAL位，但是幾乎同時，剛才的問題又一次出現。

機長再次將安定面配平電門開關（STAB TRIM）撥至CUT OUT位並繼續手動配平，直至飛機落地，再未接通使用自動駕駛（A/P）。在此過程中，機組一共執行了3個非正常檢查單（NNC）——“空速不可靠”、“高度不一致”和“安定面失控”，最終才使飛機轉危為安。

當獅航JT610航班執飛該飛機時，再次發生類似險情，但JT610航班機組沒有像JT043航班機組那樣,採取了正確的應對措施，最終釀成了獅航空難的發生。埃航失事客機機組的情況有可能與JT610機組高度相似。

3

自動駕駛階段暗藏危機

根據黑匣子記錄（部分）:

05:38:58機長第一次試圖接通自動駕駛儀失敗；

05:39:01機長第二次試圖接通自動駕駛儀失敗；

05:39:22 飛機離地大約1000英尺的時候，左側自動駕駛儀被接通（大概33秒之後斷開），襟翼被收上，俯仰配平從5.6單位減少到4.6單位；

自動駕駛儀接通6秒後，飛機出現小振幅的滾轉震盪，同時伴隨橫側加速，方向舵波動和輕微的航向改變。這些震盪和波動在自動駕駛儀斷開後仍然持續。

機長嘗試了三次，才接通自動駕駛儀，而且接通後才過了33秒，自動駕駛儀就斷開，（自動駕駛儀有可能是自動斷開，因為斷開後才兩秒，機長就報告飛機的飛行控制有問題），根據波音操作通告（OMB）可知，接不上自動駕駛儀或駕駛儀自動斷開均屬於AOA攻角數值故障時的典型表現。

值得注意的是：當時飛機的俯仰配平（即水平安定面配平）出現了從5.6減少到4.６單位的現象，該次配平是由飛機控制系統自行完成的，這是飛機水平安定面配平角度第一次出現大幅自動減少的情況。

並且，在自動駕駛期間，水平安定面配平角度隨後又出現兩次自動減少的現象，因為MCAS一般不會在襟翼放下和自動駕駛模式下啟動，所以這些情況應該不是MCAS造成的，也就是說，737 MAX上可能還隱藏著其他安定面配平系統。

令人遺憾的是，多次連接不上自動駕駛，自動駕駛自動脫開和系統自動配平水平安定面等現象，並沒有引起飛行員的注意，飛行員再次錯過了規避災難的時機。

4

MCAS被激活時飛機已凶多吉少

根據黑匣子記錄：

05:40:00，自動駕駛脫開後不久，埃航失事客機馬上出現一個自動的飛機機頭向下（AND）配平，持續時間為9秒，俯仰配平從4.60個單位移動到2.1個單位（MCAS開始發作）。飛機爬升中止，高度略微下降；在自動的飛機機頭向下（AND）過程中，駕駛杆向後移動（機組在拉駕駛杆），飛機重新建立了正向爬升。

05:40:12，安定面的飛機機頭向下（AND）配平結束約3秒後，飛機機頭向上（ANU）方向上的電動配平(來自機組駕駛杆上的控制開關)，安定面在ANU方向上移動到2.4個單位。隨著機組對駕駛杆向後杆力的增加，飛機的俯仰姿態保持不變。

05:40:20，飛機機頭向上（ANU）移動結束約５秒後，出現了第2次自動的飛機機頭向下（AND）配平，這次安定面向下移動至0.4個單位。（MCAS再次週期性發作，此時安定面已被調節到很小角度的位置）

05:40:28，飛機機頭向上（ANU）方向上的人工電動配平，安定面在ANU方向上反向移動，配平達到2.3個單位。

05:40:35，副駕駛兩次喊話“安定面配平切斷”。機長同意，副駕駛確認了安定面配平切斷。直到這時，飛行員才按照波音操作通告的建議，關斷了安定面配平開關電門，但是已經來不及了。

（圖為737 MAX安定面配平開關電門示意圖）

05:40:42 到 05:43:11 （大概兩分半鐘之內），安定面位置逐漸向機頭向下方向從2.3移動到2.1單位（這是非常詭異的現象！因為此時安定面配平開關電門應該已被副駕駛員關閉，正常情況下MCAS不能再配平安定面）。左側指示空速從大概305節增加到大概340節。右側指示空速比左側的大概大20-25節。在記錄的餘下部分，出現過幾次左右操縱桿同時向後帶杆的杆力（機組在拯救飛機）。

05:41:46，副駕駛報告人工配平（應該是轉動配平輪）不工作；

05:43:11安定面配平電門又被打開（目前還不清楚究竟是誰打開的電門，系統自動控制或機組人工操作都有可能，筆者傾向於後者，因為在人工手動配平不成功的情況下，機組此時可能想通過人工電動配平來配平安定面）；

05:43:20，最後一次人工電動配平輸入5秒後，又出現自動的飛機機頭向下（AND）配平指令（即MCAS再次發作），約5秒內，安定面在飛機機頭向下（AND）的方向，從2.3個單位移動到1.0個單位，飛機開始低頭。機組同時向後施加駕駛杆力，但飛機機頭繼續向下，最終達到俯仰向下40°。

安定面位置在餘下的記錄時間裡，始終在1.1個單位到0.8個單位之間變化，最終失控飛機以40度俯角和接近1000公里每小時的速度從離地7000多英尺直插地面墜毀。

埃航失事客機的“人機大戰”不幸以機毀人亡的慘劇告終，其實在離地高度不足和飛機高速飛行等情況下，AOA攻角數值一直故障的飛機如果收上襟翼和脫開自動駕駛儀，就如同打開了潘多拉魔盒。

當MCAS被激活時，飛機就已經凶多吉少了，特別當飛機在超速飛行時，向後的帶杆力和向前的安定面配平會對安定面平尾絲槓（jackscrew）有很大的應力，回天乏術的飛行員很難再將飛機改出高速向下俯衝的姿態。

5

MCAS的問題可能還只是冰山一角

CN106477055A號是與MCAS技術最為接近的波音專利，研究該專利，可以解釋一些埃航空難過程中發生的問題，對分析埃航空難原因和波音自動保護系統及MCAS可能會有所幫助。

【注：該專利申請公開了一種飛行器失速保護系統和方法，針對預定時間段將實際飛行器攻角限制成第一攻角，並且其後，所述系統和方法將實際飛行器攻角限制成第二攻角，允許飛行器操作者或飛行員對於任何給定的一組飛行狀況均從飛行器獲取最大性能，而不存在使飛行器失速或者在高阻力狀態下操作較長時間段的風險。】

（ CN106477055A號附圖）

其一，AOA讀數故障時為何會出現一側抖杆和多儀表讀數出錯的

通過圖左上角、專利說明書第40段和44段可知，飛行狀態的很多重要參數是由失速保護系統確定和更新的，除了可以控制穩定翼（即水平安定面，目前已知的MCAS主要功能就是配平水平安定面），失速保護系統還可以控制升降舵、推力、擾亂杆等活動舵面，當一側AOA數據出錯並誤認為飛機處於失速（或即將失速）時，就可能產生飛控系統的連鎖反應，導致產生眾多錯誤參數和指示。

埃航失事飛機在起飛後不久出現抖杆（警告飛行員飛機進入失速狀態）和各種儀表指示錯誤等現象，其作用可能在於向飛行員發出警告，表明飛機即將或已進入失速狀態，實際上，此時飛機上自動失速保護系統（此時襟翼還沒收起，所以應該不是已知的MCAS）已經啟動。

目前已經知道，在獅航空難前，波音向航空公司和飛行員隱瞞了MCAS的存在。

通過上文分析可知，直到現在，波音有可能還在隱瞞MCAS的全部功能（或者隱瞞了737 MAX客機上還存在其他未知自動失速保護系統的情況）

其二，飛機接入自動駕駛時為何會出現橫滾方面的震盪？

在專利說明書列舉的一些實施例中，使用飛行器縱向控制和橫向控制的結合限制實際攻角(α)，因此橫滾現象可能與自動失速保護系統控制橫向控制舵面功能有關，其目的在於通過縱向控制面運動和橫向控制面運動的結合來限制飛行器的最大攻角，這樣可以防止飛機進入失速狀態或者有利於改出失速。

其三，安定面配平開關電門被關閉後，安定面位置為何還會逐漸向機頭向下方向從2.3移動到2.1單位？

通過專利說明書第47段可知，FCC 112可向飛行控制面(主飛行控制和副飛行控制兩者)的一個或多個致動器發送激活命令，以命令飛行控制面以期望的方式移動，從而防止飛行器超過第二最大攻角(α2)。飛行控制面的致動器可包括機械致動器、液壓致動器、電動致動器、氣動致動器或其任何組合。

也就是說，安定面配平開關電門只能關斷電氣連接，但是關斷不了機械致動器等部件之間的機械連接關係。安定面配平開關電門被切斷後，MCAS是否可以利用機械連接關係或其他方式繼續配平安定面？如果該情況真的存在於737MAX之上，就表明MCAS或其他自動失速保護系統不僅隱秘、詭異，而且非常可怕和邪惡。

其四，MCAS在配平飛機低頭時，是否不能通過駕駛杆上的電動配平進行制止？如果飛行員不能通過電動配平制止，飛行員是否只能等飛機加劇低頭而無能為力？

通過專利說明書第42段可知：處理器154可在232處繼續測量飛行器的攻角和飛行員駕駛杆輸入，直到飛行器攻角小於激活攻角(α3)，或者直到檢測到駕駛員干預(其由命令攻角減小的駕駛杆輸入指示)，此時激活邏輯200終止。

也就是說，自動失速保護系統激活後，只有收到駕駛員通過駕駛杆輸入減小攻角的命令指示才會終止，但是飛機處於高速低頭下降俯衝的狀態時，飛行員只可能輸入增大攻角的命令指示，所以實際上飛行員不能通過電動配平來制止MCAS配平飛機低頭。

在還來得及搶救飛機的前提之下，飛行員只是按照波音操作通告（OMB）可能是不夠的，現結合波音的OMB和JT610航班機組的執飛經驗，正確的在沒有經過試飛驗證的情況下，提出如下處理流程建議，僅供參考。

先確定飛機存在AOA攻角讀數錯誤故障（這裡可以體現AOA數值不一致告警儀表的重要性）；再判斷是哪一側的AOA讀數存在故障（埃航和是獅航都是左側AOA數值出錯）；

然後切換至讀數正常一側飛行指引（這樣就能避免AOA數值錯誤一側的多個儀表的錯誤干擾）；再脫開自動油門、自動駕駛儀（如果當時已脫開，可以省略該步驟）；再斷開安定面配平開關電門；

再使用配平輪手動配平安定面；然後至少執行3個非正常檢查單（NNC）——“空速不可靠”、“高度不一致”和“安定面失控”；AOA攻角讀數正常右一側的駕駛員需保持手動駕駛飛機，直至飛機安全降落。

以上操作越早進行越有機會轉危為安。

其五，波音737 MAX新發現的安全問題是什麼？

波音公司近期承認737 MAX的軟件系統還存在一個“相對較小”、但對飛行安全存在重要影響的問題。

《華盛頓郵報》報道，這個問題會影響到飛機襟翼和其他保持飛行穩定的硬件，FAA已經將該問題對於飛行安全的影響列為“緊急”，並下令修復。

從上文可知，CN106477055A號專利會對襟翼和其他保持飛行穩定的硬件產生影響，MCAS只是CN106477055A號專利涉及失速保護系統的一個子系統，所以新發現的問題有可能與失速保護系統有關，其可能來源於埃航空難飛機襟翼在沒完全收上位的狀態下（左右襟翼位置到達0.019），就觸發了MCAS的啟動。

綜上所述，除了MCAS，CN106477055A號專利所述失速保護系統還涉及眾多控制面、傳感器、系統和儀器等方面，MCAS可能只是CN106477055A號專利所述失速保護系統的一個子系統，目前MCAS暴露出的問題可能只是冰山一角，737 MAX的飛控系統可能存在系統性、結構性的漏洞和錯誤。

當然，相關問題的真正情況和兩起空難原因的真相需要最終的調查報告來揭曉答案。

6

關於737 MAX安全評估的建議

近日，中國民航局應美國聯邦航空局（FAA）的邀請，已決定派專家赴美參加波音737MAX的安全性評估工作，本文對737 MAX的安全評估提出以下幾點看法：

首先，等別國復飛737 MAX後再做決定。

美國、歐盟和加拿大等發達國家應該率先垂範、以身作則，先充分試飛驗證737 MAX的安全性。

737 MAX需要先在這些國家復飛一段時間，通過飛機的實際飛行獲得更多的737 MAX飛行數據和認證經驗，這樣更有利於廣大發展中國家開展737 MAX的適航認證工作。

其次，應該評估飛控系統和737 MAX整機氣動佈局結構的安全性問題。

據悉，波音公司之所以在737 MAX 8型飛機上安裝MCAS系統，是因為其發動機出於更省油的設計，比以前更加粗大、推力更大。發動機的更改導致飛機機頭容易抬高，因而美國聯邦航空局在認證過程中，要求採用一個安全系統（MCAS）來讓機頭慢慢放低，因此需要對737MAX 整機氣動佈局結構的安全性進行重新評估。

另外，還有737 MAX及MCAS的一些重要問題應該關注。

*飛機的AOA攻角傳感器為什麼那麼容易發生故障？波音的解釋和解決方案是什麼？AOA數值錯誤後，出現各種嚴重干擾飛行員注意力的異常現象，波音的解決方案是什麼？AOA數值對自動失速保護系統至關重要，737MAX只採用雙AOA傳感器（A320和C919都是採取3套以上AOA傳感器）的數據處理和工作模式是否滿足飛機安全性和可靠性要求？

*波音將應該是標配的AOA指示器和安全警報器列為選裝設備，並釀成大禍，737MAX上是否還有類似情況？

*波音需要詳細說明MCAS的設計目的、原理、工作過程和控制邏輯等問題，波音需要提供單獨關閉MCAS的開關，避免MCAS與安定面電動配平共用一個關斷開關的窘境,波音需要提供MCAS系統或類似自動保護系統的警告裝置。

*波音對MCAS進行了更新和修改，但是MCAS功能被限制後，737 MAX真的面臨失速問題時，應該如何解決？MCAS功能被限制後，飛機是否滿足航空規範 14CFR §25.203(a)“失速特性”的相關要求？

*波音需要解釋MCAS系統除了自動調整和控制水平安定面，是否還可以控制升降舵、穩定翼、推力、擾流板等氣動舵面？737MAX上是否還隱藏有如CN106477055A號所述的自動失速保護系統及其他類似系統？這些系統之間的關係是什麼？

*在利用系統克服人自身侷限性帶來的問題和不足的同時，波音如何保證飛機失速狀態下飛行員的輸入指令優先？如何保證飛控系統邏輯不會再出現凌駕於人輸入指令的情況？

*737MAX在FAA適航認證時提交的文件、報告和FAA的檢測報告等文件存在哪些問題？通過分析這些問題，可以瞭解飛機在適航認證時存在哪些漏洞和問題。

埃航空難是由於飛機飛控系統整體故障造成的，所以對737 MAX安全性的評估和驗證不能只限於所謂的MCAS及相關係統，應該延及整個飛控系統乃至整機，波音需要提供足夠的實際飛行數據來證明737 MAX的安全性。

實際上，上述要求不僅是對廣大乘客的生命財產安全負責，也是為波音切身利益著想。

總監製：蘇會志

監製：夏宇

編務：黃俊峰

閱讀更多 瞭望智庫 的文章

關鍵字: 陸峰 消防 波音公司