埃航737MAX8，在波音与时间赛跑的落败中坠落

3月10日，埃塞俄比亚航空一架波音737 MAX 8飞机发生坠机空难。这是继去年10月29日印尼狮航空难事故之后，5个月内，波音737 MAX 8飞机发生的第2起空难。

3月11日在坠机空难事故发生的第二天，中国民航局在全球第一个下达了737 MAX 8禁飞令。中国民航局介绍，此次埃塞俄比亚航空ET302空难，是继去年10月29日印尼狮航JT610空难事故之后，波音737-8飞机发生的第2起空难。鉴于两起空难均为新交付不久的波音737-8飞机，并且都发生在起飞阶段，具有一定的相似性，因此作出停飞决定。

随后亚非各国纷纷加入、然后是欧洲，最后是美洲。3月14日加美也先后宣布停飞。最后宣布停飞的是日俄。如今全球385架737MAX静静地趴在各地机场，等待着重生的召唤。

• l 埃航黑匣子已寻获，3月13日送往欧洲进行分析；
• l 波音公司证实，它将在“几周”内对737 MAX 8进行软件升级，对737 MAX飞机的驾驶软件做出关键性变更

一、 相关消息汇总

波音737是大众熟知的机型，事件究竟如何？下面对相关的信息进行汇总和解读。

737机型介绍

波音737系列飞机自1968年投入商业运营以来，已经发展了四代，分别为Original、Classic、Next Generation以及MAX型号。

• 737初始型号（Original）包括737-100及737-200飞机。
• 737经典型号（Classic）包括了737-300、737-400、737-500型号。
• 737NG（Next Generation）包括了737-600、737-700、737-800和737-900型号。
• 737 MAX飞机包括了737 MAX 7、737 MAX 8、737 MAX 9以及737 MAX 10飞机，其FAA的机型代码分别为737-7、737-8、737-9以及737-10。737MAX飞机换装新的发动机，优化了气动性能，采用分叉式小翼。下图是波音网站上发布的737 MAX技术参数。

波音737MAX从2017年5月开始交付，至今已交付387架，分布在全球的59家航司。故事的主角737 MAX 8，美国本土有74架。目前国内的民航客机中主要是737NG和737 MAX型号。目前国内是737NG拥有1300多架，其中737-800为主力，有1200多架。

据民航资源网数据，从国航2017.11.3接受第一架737 MAX 8到山航2019.3.1接受的最新一架，目前国内共有96架737 MAX 8，为波音737 MAX 8第一大客户。其中南航24架、国航15架、海航11架、上航11架、厦航10架、山航7架、深航5架、东航/祥鹏各3架，奥凯/福州/昆明各2架，九元1架。

737MAX的几个时间点

• 2017.5.22， 737 MAX首次商业飞行；
• 2018.10.29，印尼狮航坠机，首次空难，亡189人，无人生还；
• 2019.3.10，埃航坠机，再次空难，亡157人，无人生还。

印尼狮航坠机事件细节

2018年11月28日，印尼初步调查报告，披露10月29日印尼狮航坠机事件细节。在11分钟的飞行中，飞机的机头自动下垂二十多次，飞行员一直在与出问题的飞机作斗争，将机头拉高，但这场“人机互斗”最终以坠海为结局。

二、 波音的解释

在狮航JT610航班失事事故后，在过去几个月内，波音公司一直在为737 MAX开发一款飞行控制软件加强版，旨在使本身安全的飞机更加安全。波音公司11日证实，它将在“几周”内对737 MAX 8进行软件升级。

我们先来看波音对MCAS的说明：

A pitch augmentation system function called Maneuvering Characteristics Augmentation System (MCAS) is implemented on the 737-8, -9 (MAX) to enhance pitch characteristics with flaps UP and at elevated angles of attack. The MCAS function commands nose down stabilizer to enhance pitch characteristics during steep turns with elevated load factors and during flaps up flight at airspeeds approaching stall. MCAS is activated without pilot input and only operates in manual, flaps up flight. The system is designed to allow the flight crew to use column trim switch or stabilizer aisle stand cutout switches to override MCAS input. The function is commanded by the Flight Control computer using input data from sensors and other airplane systems.

The MCAS function becomes active when the airplane Angle of Attack exceeds a threshold based on airspeed and altitude. Stabilizer incremental commands are limited to 2.5 degrees and are provided at a rate of 0.27degrees per second. The magnitude of the stabilizer input is lower at high Mach number and greater at low Mach numbers. The function is reset once angle of attack falls below the Angle of Attack threshold or if manual stabilizer commands are provided by the flight crew. If the original elevated AOA condition persists, the MCAS function commands another incremental stabilizer nose down command according to current aircraft Mach number at actuation.

The MCAS function is not incorporated on 737NG airplanes.

意译如下：

一个称为“机动特性增强系统”（ MCAS）的俯仰增强系统安装在737MAX-8/9 上，用以在襟翼收上和飞机大迎角（AOA）时增强俯仰特性。在大坡度转弯增加了载荷因子和襟翼收上后速度接近失速时，MCAS指令安定面往飞机低头方向配平，以增强飞机的俯仰特性。MCAS只在襟翼收上的手动飞行时生效，并且不需要飞行员指令。MCAS系统设计成允许飞行机组使用驾驶盘上的电动配平电门和操纵台上的安定面配平切断电门来超控MCAS指令。该功能由飞行控制计算机使用传感器和其他飞机系统的输入信号来控制。

MCAS功能在飞机AOA超过基于空速和高度设定的阈值时生效。安定面的增量控制限制在2.5度。速率为每秒0.27度。在高马赫数时，安定面的输入量较小，低马赫数时较大。在飞机迎角小于阈值或者飞行机组指令了安定面配平后此功能会退出。如果AOA超限状况还依旧存在，MCAS会依照当前启马赫数重新指令安定面低头配平。

MCAS功能未在737NG飞机上配置。

三、 技术解读

737 MAX换装了新的发动机，却没有重新进行机身配平设计；发动机的大推力容易诱发机头上仰导致失速；波音通过加装AOA保护程序MCAS抑制这种上仰。出现故障时由于不能简易地转为人工控制，最终导致悲剧发生。

举一个类似的例子，普通的车装了一个赛车引擎，为了防止加速时撞到护栏，车辆计算机增加了一个监测运行方向的系统。当监测到偏离运行方向轴线时，采取系统自主方向控制。如监测运行方向系统故障，导致车辆计算机反向纠偏，若不能及时关闭该系统将发生车辆高速运行时撞向另一侧护栏，最终车毁人亡。

下面从系统设计的角度试着分析一下，系统设计有三个迎角探测器，在两个或三个探测器堵塞时，随着马赫数增加将触发迎角保护（参见下图），飞控系统则安排连续的压头下俯。而飞机因为迎角探测器故障，不能给飞机一个迎角减小的信号造成飞控系统认为没有达到指令的效果，从而进一步指令飞机下俯。最终导致飞机进入一个持续下俯状态直至不归路。

此时即使飞行员后拉侧杆到底也无济于事，因为此时飞控系统处于优先模式。虽然可以通过驾驶盘上的电动配平电门超控和操纵台上的安定面配平电门来关闭MCAS，但是在某种情况下未及时（或无法）超控MCAS将可能导致无法预测的后果。

其实这里涉及到两个问题，一是多个迎角传感器问什么同时堵塞。二是异常的AOA数据为什么没有被识别出来。第一个问题其实很好理解，迎角传感器如果出现某种外部条件（例如上升气流）将导致错误堵塞，多个迎角传感器也会出现同样的判断，这就是所谓的共模效应（除非采用不同机理的传感器）。

第二个问题才是最要命的，飞机上有各类传感器，如陀螺仪、加速度计、空速管、高度测量器等。在737 MAX如此“注重”AOA的情况下，尤其在迎角传感器可能被干扰，通过其他类型的传感器辅助判断迎角传感器的堵塞应该是必须的。这其实是一个多传感器融合的需求。可能美国人觉得在系统设计上有人为超控MCAS的措施，就不用增加设计的复杂性了。综上所述，由于设计的缺陷加上其他巧合，酿成了两起悲剧。

四、 延伸解读

波音不知道两起事故有相似性吗？当然不可能，首先波音有全球监测网络，在飞机飞行时可获得关键数据。在美国联邦航空管理局(FAA)的停飞令中指出：综合飞机配置相关的新信息以及飞行轨迹的星基跟踪数据，表明ET302与JT610两次坠毁事件之间存在一些相似性。

• 波音为什么不发停航指令

原因之一是侥幸心理，通过发布2018年11月6日发布的飞行操作手册公告(OMB)来淡化此事的影响（商业方面）。期望在下次事件发生前完成软件修复。在波音更新软件修复BUG及下一场悲剧之间的时间赛跑中，以为能赢的波音/FAA最终却输了。

是政府停摆导致波音未及时修复软件，间接导致埃航悲剧吗？我们可以做出合理推断，某种程度上是美政府的停摆导致了737 MAX的停摆。

商业因素是主因，据波音公司2018年年报中提到，去年波音总计交付256架737MAX机型。截至2019年1月31日，波音共获得737MAX订单5012架，交付376架，未交付4636架，这也约占波音订单总额的80%，总价值约5795亿美元。

FAA代理局长Daniel K. Elwell称完成全球近400架MAX 8和MAX 9飞机的更新任务，将需要“数月时间”。

如此长的更新时间、可能的推迟交付以及巨额赔偿“阻碍”了波音的反应时间。

• 各方反应

这几天各国的反应就体现了地球村的生态环境。下面表述一下各方的反应：

中国：“体现中国政府的负责态度和决断力”（天下苦美久矣）；

印尼：“有带头的了，我是受害者；

美国：“能拖就拖，我是村霸我怕谁”

新加坡：“人命关天”；

欧洲各国：“再不发话选民就要闹了，整一整对空客没有坏处”；

加拿大：“就剩北美的几家了，我难道要跟在美国后面，面子过不去啊”；

美国：“老大都发话了，空乘协会也闹开了，没有空乘没有乘客还不如停飞”；

日本：“虽然没我啥事，大哥都宣布了，我得跟紧了”；

俄罗斯：“管我啥事，那我家的两架早自己停了”。

这几天的反应，中国政府获得了最多的点赞，被吐槽最多的是美国政府和波音公司。不过老美也不在乎，这两年的想法是当老大不耍横就白当了。

• 解决方案

这里建议两种方案：

比较简单的方案是降低MCAS的持续工作时间，按照每次生效不超过9秒（2.5/0.27）设计，增加MCAS再次起效的间隔时间（如1分钟）。通过平缓系统的自主干预和增加机组人员的操控反应时间“捱过”迎角传感器的堵塞阶段（因为气流的扰动通常持续时间较短）来降低意外的发生。

第二种方案是使用多传感器融合的技术，识别迎角传感器的错误。降低MCAS的干预概率和程度。这是一个相对治本的办法。当然将“大马拉小车”的737MAX改进出一个完善的飞控系统还需要做更多的事情，最终波音的做法还需后续观察。

五、 结束语

在两起悲剧逐渐淡出人们视野之际，一场索赔与反索赔的斗争即将展开。但愿各公司和政府在决策之时以生命为重，敬畏生命。

愿逝者安息，悲剧不再！