飞机设计与制造 不应对自动化系统过于自信

（原标题：飞机设计与制造，不应对自动化系统过于自信）

尽管波音公司与美国联邦航空管理局（FAA）坚称波音737 MAX8飞机“适航”，没有停飞的证据，但全球已经有近50个国家宣布全面停飞这一机型的飞机。美国航空和西南航空员工也致信他们的CEO，敦促停飞该型号飞机。

5个月内接连发生两起造成百余人死亡的空难事故，波音737 MAX8型号新机的安全性受到全球关注。

这两起空难目前看都发生于飞机起飞阶段，飞机分别坠毁于起飞后的13分钟和6分钟内。从事后获得的数据看，两架飞机都有机头朝下的状况发生，飞行员失去对飞机的控制而飞机俯冲坠地。

尽管目前为止还不清楚埃航空难的原因，但在飞机起飞阶段出现压低机头现象的原因早已弄清楚，即波音在737 MAX8机型上加入了一套辅助飞行员控制飞机仰角的系统，也就是“机动特性增强系统 (Maneuvering Charateristic Augmentation System, MCAS)”，这种自动系统误判就会接管飞机才产生压低机头的动作。

去年印尼狮航JT610发生空难，就是因为空速数据发生错误导致启动MCAS，飞行员在此之前并不知道MCAS的存在，失去了对飞机的控制。在这一事件后，波音紧急向各家运营商发布相关指引，并根据FAA的适航指令开始改进737 MAX8的MCAS系统。

737 MAX8是在不改变737传统机体结构与气动布局前提下推出的一款新机型，刚刚面世不久，其特点在于飞行速度更快、更省油，但是，将体积更大的发动机装在更靠前的位置，可能影响了飞机气动布局，容易导致迎角过大让飞机失速。MCAS系统就是为了应对737 MAX8新发动机吊装方式所带来的额外抬头力矩，在由此造成飞机迎角过大时，MCAS自动改变飞机的配平以防止飞机失速。

问题是，飞机起飞与降落是航空飞行最紧张与最危险的阶段。在这一高速爬升阶段，天气因素也很容易造成空速波动，从而向MCAS发出错误指令，而此时飞机刚刚离开地面不久，一旦机头错误压低，飞行员在紧张时刻切换系统并操纵飞机，风险巨大。美国媒体通过研究美国国家航空航天局（NASA）编制的数据库发现，在过去数月内，已有多名飞行员匿名上传了关于驾驶波音737 MAX 8飞机时出现的异常情况，这些担忧主要集中在飞机起飞时以及飞行时机头朝下而飞行员努力拉升其高度的时候。

之所以出现这种风险，一个根本原因在于波音的相关决策。在2011年初，空客推出改良机型A320neo，强化了与波音737机型的竞争，与此同时，中国航空工业集团的C919、巴西航空工业公司的E190也具有一定竞争性。对于波音而言，要么推出一种新机型，要么进行机型改进。由于市场需求过大，波音担心研发新机型存在一定的延迟风险，同时新的生产线投资巨大且产能可能无法满足需求，因此，最终决定在737的基础上换装新发动机，实现更快更省油的效果。

但是，在不改变机体结构与气动布局前提下，将体积更大的新发动机以新的吊装方式安装，影响了气动布局，容易引起迎角过大造成失速。也就是说，其发动机与机体的不匹配制造了系统风险。为了解决这个问题设计了MCAS系统。现在暴露的缺陷在于，就像许多飞行员所反映的，MCAS系统经常因为错误的空速数据而做出错误的决定，干扰了飞行安全。

显然，波音为了抢占市场而改变发动机设计，虽然满足了客户的效率要求，但制造出了有缺陷的机型，为弥补这种缺陷不得不制作了自动化的“程序补丁”，更不利的是，为降低风险的“程序补丁”恰恰制造了新的风险。

可以看出，由于对市场需求（数量和效率）过度看重，以及对资本回报率、市场竞争的回应，波音在技术上采取了投机主义，将新型飞机置于一个系统性的可能风险之中。当然，由于飞行器很早就采取了成熟的自动驾驶辅助系统，制造商对自动化系统过于自信，这也是推出MCAS系统的逻辑。可惜的是，在起飞阶段面临的情况更加复杂，操纵也更加紧张，在这个过程中飞行员与自动化系统一旦出现分歧，就会影响判断和操作，而让飞行员做出正确反应并掌握局势的时间是有限的。

目前，波音表示正在升级其MCAS系统软件，尽管在去年印尼狮航JT610发生空难后就应该立即升级。这种升级延迟的现象或许表明情况更加复杂，人们正在等待埃航空难的调查结果。在调查结果出来之前，停飞这种具有风险的飞机是正确的决定，不管是飞机制造商还是航空公司，都不应该拿乘客生命安全做赌注。在解除设计上的系统性风险之前，我们只有静待答案。