陆峰 张喆丨波音737MAX客机MCAS系统背后的秘密与问题

  2019年3月10日，一架埃塞俄比亚航空公司的波音737MAX型客机起飞后6分钟坠毁，机上的149名乘客和8名机组人员不幸全部遇难，这中间还包括8名中国乘客，但这并不是首起737MAX空难，2018年10月29日，印尼狮航一架由波音737MAX执飞的飞机，在从雅加达起飞大约13分钟之后失联、坠毁，机上189人不幸全部罹难。这两架失事客机均为全新飞机，均在起飞后不久经历了不寻常的急速下降及爬升，空速仪表也出现异常读数，两架客机的飞行员均尝试折返，但最终都是坠毁。埃方表示，通过读取的失事埃航客机黑匣子的数据，发现与狮航失事客机的黑匣子数据“明显相似”。

  狮航空难初步调查表明：失事飞机信号系统接收到一个假的迎角信号，该信号显示飞机处于高迎角状态，所以触发了飞机自动失速保护系统持续控制使飞机低头，机组人员与该自动失速保护系统来进行了较长时间的飞机控制权争夺，但终究是发生了坠机悲剧。

  从目前情况看，波音在737 Max客机上安装的MCAS（机动特性增强）系统在两起空难中扮演了重要角色，本文尝试对 MCAS系统及其相关重要问题进行如下粗浅的分析。

  所谓的MCAS系统是一种应用于737 MAX飞机的俯仰机动能力增强系统，该系统的设计初衷是避免飞机进入失速。当飞机的迎角过大时，MCAS系统就会启动。为了监测迎角大小，MCAS系统要依赖飞机上安装的传感器,如果检测到迎角接近失速状态，该系统就会通过调节位于平尾的水平安定面，增加飞机的低头力矩,以改出失速。

  通过研究波音申请的自动失速保护系统专利（CN106477055A号）以及最新资讯不难发现，现阶段暴露出的MCAS系统问题可能仅仅是“冰山一角”，其背后可能埋藏着更多的秘密和问题。

  CN106477055A号专利与737MAX飞机上防失速系统技术最为接近，该专利名称为飞行器失速保护系统，是波音公司于2016年申请的中国发明专利。从图1右下角可知，当自动失速保护系统工作时，能够最终靠调节升降舵（受推杆器控制）、稳定翼（即水平安定面）、推力（估计为飞机的自动油门系统）、扰流板等多个部件来控制飞机的飞行姿态和速度；其中MCAS系统用于调节水平安定面，但其只属于自动失速保护系统的一个子程序，在737 MAX中可能还隐藏着推杆器、自动油门和自动控制扰流板等子系统。

  比如，通过已公开的飞行多个方面数据显示，埃航飞机失事前，最大地速达到383海里/小时，超过了飞机正常的飞行速度，飞机的异常超速飞行，是否与自动失速保护系统的推力控制子系统有关？遗憾的是，据笔者了解，这种控制关系有可能难以从黑匣子存储的数据记录中分析出来。原因见下：由于黑匣子（FDR）的参数记录通道有限，通常，主要记录的参数包括：驾驶员操纵输入（驾驶杆位置），油门杆位移，襟翼开关等等，飞机的运动参数（姿态角，过载，角加速度，速度，高度，GPS信息等）。而飞控系统内部的信号传输，工作逻辑等信息，黑匣子不做记录。所以在事故调查中，很难分析飞控系统内部的工作过程。

  据悉，国内的专业飞行员技术圈的飞行员，在两台D级模拟机（经过民航局认证可拿来代替线MAX飞行员训练的模拟机）上模拟了737MAX飞行时，出现了两种有必要注意一下的情形：(这部分内容来自“资深机长”微信号文章“飞行圈试飞发现有几率存在另一个未被告知的保护”。就在我们准备发布本文前得到消息，美国飞行员联合会发言人表示目前仅波音有1台MAX机型的模拟机，中国民航局负责人也表示国内各大航司也无737MAX模拟机。我们推测，上述引用文章所述的模拟机可能是737-800，在其基础上进行了软件包的升级。另外，这里其实又反映出一个问题，那就是如果只有波音公司有1台737MAX模拟机，特别是狮航空难后好多航司都要买，但是波音以很多理由推脱，有很大的可能是担心模拟机飞行发现更多的MCAS的问题吗？)

  情形一：在737MAX模拟机试飞演示大迎角失速时，使用襟翼（5），在接近失速时，飞机没发生MCAS配平现象，因为按照MCAS逻辑，其工作需要在襟翼收上时工作，所以这也符合MCAS工作条件。但是，接着模拟机模拟飞行显示，飞机起飞接近失速时，会出现飞机自动推杆现象（即推杆器自行工作，控制升降舵运动）；

  情形二：当737MAX模拟机试飞演示大迎角失速时，使用襟翼0，也就是收起襟翼，在接近失速时，两台模拟机上的飞机均再次发生了自动推杆现象。

  以上模拟仿线MAX接近失速时，推杆器可能会自行工作，而且这个自动推杆的功能不属于MCAS系统所应该具有的功能（因为据波音介绍MCAS系统只控制安定面）！也没有写在波音737MAX的使用手册里，当飞机在真实飞行中接近失速状态下（或被自动失速保护系统自动判断其处于失速状态），在没有告警的情况下，这个隐藏的自动推杆功能可能会对飞机的飞行姿态进行自动调整。

  对于常规布局的民用喷气式飞机（后掠翼、翼吊式发动机），当飞机处于大迎角或失速状态时，应利用所有可能利用的操纵面，使得飞机改出复杂状态。这些操纵面包括：升降舵、水平安定面、扰流板、发动机推力（推力对于飞机重心也会产生力矩），并且如果飞机在大迎角时伴有大的滚转角，还要利用飞机的副翼和方向舵控制。

  图2来源于ICAO（国际民航组织）出版的教材，是关于失速改出方法的教学示范图片。在该教材中，强调由于在大迎角状态下飞机的舵面效率降低，因此从失速状态中改出时，要利用所有可通过到的舵面。

  因此，对于波音737MAX飞机，有理由相信该飞机在进行失速保护系统模块设计中，包含了对多种舵面控制的功能，这样才可以保证飞机从急剧失速或深失速（最为危险的几种失速类型）中改出，所以MCAS系统有可能只是737MAX飞机中有代表性的一个自动失速保护子系统。

  狮航空难后，波音给所有使用737 MAX的航空公司发布了OMB（使用手册通告），对MCAS系统来进行了专门解释说明，FAA也根据该OMB作出了相应的适航指令，当737MAX飞机襟翼收起、无人驾驶仪脱开（也就是飞机处于人工驾驶状态）、迎角过大或大坡度转弯时，MCAS系统启动，飞机的水平安定面开始受到MCAS系统的控制（如图3所示）。另外，埃航失事飞机的飞行员接受了埃航的专门培训，必须要知道如何通过MAX飞机安定面配平切断电门来关闭MCAS系统（如图4所示）。

  狮子客机失事后，埃航飞机为何还会以相似的方式再次失事？笔者推测：埃航失事过程中，飞行员可能未能及时切断安定面配平电门，其原因可能与波音未能准确描述MCAS系统的正常启动逻辑有关。

  1）按照波音的官方介绍，飞机襟翼放下时，MCAS系统不会启动。而失事的埃航飞机出事时一直在500-1000英尺的离地高度，这个高度通常在收起飞机襟翼的高度之下，所以一般的情况下，MCAS系统应该不会启动，然而此时却出现了机头突然下压的险情（事后分析，该状况很有可能正是MCAS系统造成的），但是刚受过专门培训的埃航飞行员有理由相信该险情不是MCAS系统引起的（因为此时襟翼还没有收起），再加上副驾驶员的飞行时间只有200小时，其在慌乱中很难具有挑战FAA适航指令和波音OMB权威的勇气，所以埃航失事客机的飞行员没能及时关闭控制MCAS系统的开关，最后导致坠机悲剧的发生。这就能解释埃航失事飞机残骸中发现的安定面配平装置（jackscrew,即平尾丝杠）为何会和狮航失事客机极为相似——两者均处于不正常的位置，这表明两架失事飞机坠机之前均处于高速俯冲状态，表明飞机水平安定面应该是被系统所控制。

  2）类似例子并不罕见。这几个月来，美国国内航班的飞行员曾多次向联邦当局表达了对波音737Max 8安全的担忧。比如去年11月一名商业航空公司的飞行员报告说，在起飞过程中，无人驾驶仪已投入到正常的使用中（按照波音的说法，在此工况下，MCAS系统不应启动），然而飞机“在两到三秒内，飞机机头向下倾斜”，其速度足以触发飞机的警告系统。后来，经验比较丰富的飞行员将无人驾驶仪关闭后，飞机能够顺利情况爬升，并排除了险情。令人遗憾的是这样的报告没有引起FAA或波音的重视，否则有可能能够尽可能的防止埃航空难的发生。

  以上事实表明：MCAS系统的实际表现与波音做出的OMB说明存在诸多严重不相符的地方，并可能因此产生了灾难性后果。波音此举的可能原因如下：

  第一种可能，波音故意隐瞒737 Max上还隐藏着其他自动失速保护子系统，或者波音故意隐瞒MCAS的全部信息；波音此举可能是为了掩盖MCAS的真实的情况与适航认证时提交数据不一致的真相，因为根据掌握的情况看，MCAS在FAA适航认证时，有很大的可能性波音只提交了一份错漏百出的安全评估报告，就通过了FAA的审查（由于FAA放水，其实就是波音自己审查，详情见下文）。

  第二种可能，虽然MCAS有关技术尚为成熟，但是为了应对与A320新机型的竞争压力，波音在没有充分论证、验证MCAS全部工作原理、全工况状态和安全可靠性等情况下，就匆匆在737MAX飞机上安装了MCAS（或者其他自动失速保护子系统），波音可能严重低估或忽视了MCAS的危险性，所以狮航空难后，波音无法说出MCAS的全部准确信息，也就不能有效地协助埃航飞行员规避任旧存在的安全风险隐患。

  实际上，不管是上述何种可能性，均表明737Max客机存在重大安全隐患，世人根本没办法知晓备受争议的MCAS系统究竟还隐藏着什么样的致命秘密？更无法知晓737 Max客机上还隐藏着多少类似的系统？

  《西雅图时报》3月17日援引美国联邦航空管理局的现任和前任工程师的线 MAX新型客机之后，为了获得联邦政府的认证，向联邦航空管理局提交了客机新型飞行控制管理系统的安全评估，系统全称是“操纵特性增强”系统(即本文所述的MCAS系统)，美国联邦航空管理局的工程师发现，波音提交的安全评估报告存在以下问题：

  1）安全报告没有充分标出新型飞行控制管理系统的全部动力。为避免飞机空中失速，飞行控制管理系统可以转动飞机的水平翼，让机头朝下。但客机服役之后，控制管理系统转动尾翼的速度要比安全评估标出的速度高出三倍多；作者觉得：这问题表明波音忽视航空安全，并对MCAS系统研究不足，缺少足够的试验数据来评估MCAS系统对飞机造成的影响。

  2）驾驶员做出回应后，报告未能充分考虑到系统能否及时复原，也未能考虑到系统还可能继续把机头往下推;作者觉得：该问题特别的重要，其指出了MCAS系统有几率存在一意孤行，最终造成飞机坠机的严重风险，但是很遗憾该问题没有引起FAA和波音重视。

  3）系统的危险评估定在有害等级，比“灾难性”低了一级。即便有害等级，也不能只靠一个单一的传感器的信号去阻止飞行控制管理系统的启动，而这套系统正是这样设计的;作者觉得：该问题最重要，其指出的单一的传感器的信号去阻止飞行控制管理系统的启动的问题，正是造成狮航空难的直接原因，如果波音在适航认证阶段把该问题解决，狮航空难就不会发生。

  4）报告称，客机水平翼的转动角度小于0.6度，但去年狮航公司610航班坠毁之后，波音公司首次向各个航空企业来提供的“操纵特性增加系统”说明则把角度标成2.5度；作者觉得：该问题表明波音对MCAS的披露与真实的情况不相符，而且737MAX的适航认证存在漏洞。

  据外媒报道，美国交通部正在对联邦航空管理局(FAA)批准波音737MAX喷气式客机的情况做调查。这是一项针对新飞机的安全批准存在潜在失误的“不寻常调查”。

  外媒援引FAA的工程师的线 MAX客机的竞争对手是欧洲空客的A320neo客机，但波音研发已经晚了九个月，FAA就把波音737 MAX飞行控制管理系统的安全评估任务交给了波音，并要求自身的工程师们加快检查进度。美国联邦政府的安全调查员认为，波音737 MAX客机新安装的控制管理系统的安全评估存在疏漏，政府的航空认证也没有尽责。在此背景下，匆匆上马的MCAS可能没有经过充分的试验验证，就通过了FAA的适航认证，对于狮航、埃航这两起重大空难事故，当初“放水”的FAA与既当运动员又当裁判员的波音可能都难脱其咎。

  上述外国媒体报道与波音在CN106477055A号专利说明书里面自认享受了FAA授予的性能免除许可优惠政策(performance relief credits)等内容吻合，并且波音向FAA提交的关于MCAS系统的安全评估报告，在CN106477055A号专利说明书里面也有记载，这一些状况表明MCAS系统与该专利涉及的自动失速保护系统有关，那么除了MCAS系统，波音是否在737MAX上安装了其他自动失速保护子系统？波音是否向FAA隐瞒了这些子系统的存在？这些子系统是否通过了适航认证程序？是否还有更多的系统也这样“混”过了FAA的适航认证？这样一些问题都与737MAX的飞行安全密切相关。

  综上所述，首先，除非埃航空难事故调查的最终结果能够证明该起空难与MCAS及其他失速自动保护子系统无关，否则波音对MCAS进行的任何陈述和补丁升级等都不足以保证737MAX客机的安全和可靠。其次，如果埃航事故调查的最终结果表明空难原因与MCAS（或者其他失速自动保护子系统）有关，并且FAA在737MAX客机适航取证等问题上存在徇私、舞弊等失职情形，那么中国民航局就有理由和依据取消737MAX在中国取得的适航认证，并且中国也有理由不再信任和实施FAA对737MAX做出的各项适航决定、指令。

  根据上文可知，波音和FAA在两起空难前后的种种表现，严重动摇了它们多年以来在全球树立的权威和声誉，为了中国乘客的安全，在必要时，中国有权对波音737MAX客机重新进行适航认证，这是对中国全体人民的生命财产安全负责！也是为被空难夺去的3百多条鲜活生命和8名遇难同胞讨还公道！

  由于MCAS及其有关技术可能尚不成熟，并且涉嫌造成了两起严重的空难，所以对其进行适航认证时，应加强737MAX的实际飞行验证科目，以验证737MAX客机在全工况和极限条件下的安全可靠性，特别是应加强考察737MAX客机在各种失速情况下的实际飞行状况。

  波音涉嫌为了应对空客A320NEO型客机的竞争压力，罔顾型号科研生产客观规律，一味的赶任务时间节点，不听劝告和漠视乘客生命安全地贸然使用不成熟MCAS等技术，最终酿成大锅。中国航空制造业应该引以为戒，应该始终把安全放在首要位置，中国航空制造业应该夯实基础和按客观规律办事，应该多做试验和基础研究，不能盲目求快。

  波音737是多年使用的老旧低矮的机型，737的改进和换发等工作使波音捉襟见肘，中国民机制造商可以博采众家之长，充分的发挥后发优势，设计出比较完善、而且具有较大改进升级空间的飞机构型；飞控软件是飞机的灵魂，中国民机制造商应该尽快掌握该领域的核心技术，否则中国的民机可能将长期受制于人，客机的安全也很难得到全面保证。

  专利情报分析对科研生产和型号研制很有用，建议中国航空制造企业应该重视型号研制、重要技术攻关等方面的专利情报工作，另外为促进创新和鼓励先进专利技术信息的扩散，建议国家借鉴《美国专利法》102(a)(1)规定的出售阻却(on-sale bar)条款，在《中国专利法》中也做出相关这类的产品只要一经销售，就丧失专利新颖性的规定。

  波音737MAX客机空难和全球停飞事件，将会对世界民机市场格局产生重大影响，事件在给中国国产大飞机带来发展机遇的同时，也会对很多人选择飞机出行产生较大消极影响。在一段时期内，可能会出现较多人对飞机飞行安全心有余悸，他们会优先选择火车出行，所以事件可能会给中国的高铁、动车也带来不少商机，建议中国选择关系友好、地广人稀的国家或地区（比如俄罗斯、独联体和非洲）拓展高铁、动车业务。

  我中心陆峰先生此前已发表两篇737MAX空难分析文章，获得了广泛好评，感兴趣的读者点击以下链接查看。