Buzz end
Buzzword 由北美顶尖商学院中国留学生创建，精选全球社交网站，新闻媒体和各大信息流热点，配上英语学习小Tips，让您刷刷刷的同时还能涨姿势；我们定期轮流播出4个栏目：Geek 研究向，Nerd 涨知识，News 新趣闻 和 Buzz 热点报
本文来自 Buzzword 公众号 'Geek 研究向'
本栏目是科学吃瓜博士后授予点
首先跟大家说一声对不起，最近因为账号身份认证问题，导致公众号更新暂停了一段时间，小编终于处理好了，可以重新开始更新啦
今天小编要跟大家说的 Buzzword是：Lionair JT-610 （ 狮航610航班 ）
2018年10月29日，一架属于印尼廉价航空公司 Lionair 狮航的 JT-610 航班，在从雅加达起飞后不久，坠入爪哇海，机上178名乘客全部不幸遇难
这桩空难已经过去几周，随着调查的进展，这场空难的背后原因也隐隐约约浮出水面，而其中一个重要原因也让众多专业人士大吃一惊：
被广泛认为是世界上最新最安全的波音737MAX系列客机，竟然有一个隐藏的很深自动驾驶的BUG，而正是这个BUG，把一个非致命的故障弄成了坠机？
如果你和小编一样，对此感到不可思议，那请跟着往下读...
首先说明，本文的技术分析和初步调查结果，均来自权威的航空事故信息发布网站 avherald.com 和波音公司的官方通告；本文的分析不是官方最终调查结果；另外，如果你因为以上文字对坐飞机的安全性感到担心，那大可不必，文章末尾有解释为什么
下面，小编就请大家跟着“Buzzword研究向”栏目，探求这起悲剧背后，这个关于飞机自动驾驶系统的，发人深思的故事...
很多人可能不知道，与近几年刚刚兴起的汽车自动驾驶不同，民航领域的自动驾驶，已经普及了几十年
根据维基百科记载，早在1954年，美国空军的C-54运输机就用自动驾驶系统 （Autopilot）完成了一次完整的起飞和降落
70多年过去了，现代民航飞机起飞以后，除非遇到不好的天气情况或者意外，飞行员大多数时候只是在和空管沟通，或者调整飞机自动驾驶模式的参数，然后盯着飞机上电脑屏幕
而飞机的自动驾驶系统，会根据预先设定好的航路，全程驾驶飞机，甚至完成降落....
面对如此先进的自动驾驶，连专业飞行员都经常开玩笑说，自己的工作其实已经不是“开飞机”，而只是“按按钮” Push Buttons...
客机太自动化，飞行员都忘记了怎么开飞机
总之，现在的飞行员，大多数时候已经不是传统意义的“控制飞机飞行的人”，而更像是一个“飞机自动驾驶系统操作员”了
自动化的好处显而易见，但一个新的问题也随之而来：
随着自动飞行系统越来越先进，越来越复杂，飞行员常常在培训后，依然不能充分理解自动飞行系统的所有行为模式和具体规则
这就导致了在某些异常情况发生的时候，飞行员坐在驾驶舱里，却不能理解自己的飞机到底在干什么，也不知道如何阻止...
这就为事故埋下了隐患...
事实上，历史上多次著名的空难，背后都有一段飞行员和自动驾驶系统之间相互误会，甚至互相争夺飞机控制权的故事...
而这，也是我们要说的 JT-610 空难初步调查原因的一个大背景
说回到 JT610 的空难
这起空难，有一点非常不同寻常，引人注目 - 那就是发生空难的飞机非常新
执飞 JT610 的是波音737MAX，是737最新一代，2016年才首航，2017才拿到美国 FAA 发布的适航许可证；
出事的这架飞机，更是才交付给狮航2个月，才飞了 800 小时，连很基本的B检维修时间都还没有飞到，简直可以说还在波音公司的“出厂状态“
这么新的飞机，猛然坠海，不能不让我们怀疑...
是不是这飞机出厂的时候，就带着“娘胎里的毛病”？
而从目前的调查结果和波音的公告看来，这个 “娘胎里的毛病” 可能已经找到了，而且就在飞机的自动驾驶系统里
这个隐藏很深的功能（bug），全名是“AOA传感器数据错误导致的自动驾驶断开后飞行员手动飞行情况下为了防止飞机失速自动触发的飞机水平尾翼配平子程序” -
我们简称其为 “A 程序”
那这个A程序到底是干嘛的呢？
首先，这是一个正常飞行的时候不会启动的程序，只有在飞机遇到某种特定故障时候，才会自动启动
启动以后，A程序也只专心干一件事儿：自动压低机头，让飞机俯冲
你也许会问，让飞机俯冲？？ 哇，听起来很危险啊，为什么A程序要这么干？
因为A程序触发的前提，是机上的控制电脑，根据收集到的数据，认为飞机进入了下面（图二）的危险姿态：失速姿态 （stall）
失速姿态非常危险，如果不马上把机头压低，开始俯冲，那飞机就会有坠毁的风险
顺便说一句，著名的法航AF447，就是因为副驾驶一直让飞机保持图二这个姿态，而坠毁在大西洋上的...
现在我们知道了，A程序设计的初衷，其实一个失速保护程序，是好人
但到了JT-610的实际飞行中，A程序这个好人，却化身成了恶魔，并可能直接导致了飞机的坠毁
这是怎么回事呢？
问题出在波音对A程序的奇葩设定上
波音设计的A程序这个好人的设定，有4个奇葩特点
1）容易听信谗言：飞机的攻角（也就是是机头是往上几度，还是往下几度的读数，简称AOA）数据非常重要，所以大多数民航飞机，包括737MAX上，装有3个传感器来检测这个数据，一个为主，两个备用，相互印证。
但波音对A程序的设定很奇怪：只要主传感器认为飞机攻角过高（头抬的太高），有失速危险，A程序就选择马上相信，不管另外两个备份的AOA传感器说什么。根据Avherald网站分析，空客在类似的设定中，规定只要三个AOA传感器读数不一样，不管主次，选择都不相信，直接报错给飞行员，从而避免主传感器出错，整个系统被误导的风险
2）自己操作飞机俯冲，不告诉飞行员：因为确信自己是拯救失速的“救世主”，A程序会直接操纵机翼，让飞机进入俯冲姿态，而且不对飞行员做明显提示
飞行员往往要自己发现飞机在俯冲，才发现机翼被A程序动过了；更加坑爹的是，根据设定，A程序只有在飞行员手动驾驶的时候才会启动。也就是说，在飞行员已经关闭自动驾驶仪，认为自己在完全控制飞机的时候，A程序还是会偷偷的操纵飞机，并让飞机俯冲....
3）只要自己觉得是对的，就一条路走到黑：同样因为确信自己是拯救失速的“救世主”，A程序认为做事一定要负责，不达目的誓不罢休
所以它不仅自说自话让飞机俯冲，还会在飞行员命令飞机停止俯冲后，每隔5秒钟，再次自动让飞机进入俯冲.... 如果飞行员再把机头抬起来，5秒钟后，A程序就把再机头按下去，让飞机俯冲，这样拉起来，按下去，拉起来，按下去......如此反复，开展一场“人机大战”
4）难以被关闭： 话说波音也不是没有考虑过上面“人机大战”的可能性，所以还是保留了彻底关闭A程序的方法，但这个方法藏的很深，加上A程序被触发的概率本来就低，所以很多飞行员根本不熟悉关闭的方法
说到这里，小编替大家总结一下：
- 为了不让飞机失速，波音设计了一个非常强势的，在手动模式下都会自动执行的失速保护程序，A程序
- A程序在正常飞行情况下，不会被触发，但一旦触发，会自动强行反复让飞机俯冲
这样的话，结局主要会有两种情况：
- 如果此时，A程序对飞机的即将失速的判断，是正确的，那这个俯冲可以起到防止失速的作用，纠正飞行员的错误操作，拯救全飞机的人
- 如果此时，A程序对飞机的即将失速的判断，是错误的，那么，这些让飞行员都意想不到的自动俯冲，则可能让飞机陷入危险
而且由于A程序难以关闭，可能让飞行员无所适从，不知道如何正确操作飞机，从而会造成严重后果
回到 JT-610，非常不幸的是，从目前来看，航空专家们（和波音自己）推测，是上面的第二种情况
这是因为JT-610 上，机长的 AOA 攻角传感器（主传感器）出现了故障，读数错误，而这个错误的数字被输入进了飞行电脑，并被A程序“听信谗言”，拿去作为了唯一的参考....
说完这些，终于可以回到 JT-610，去推理飞机坠毁的真正原因
2018年10月29日，当JT-610的旅客们拿着行李，走向廊桥，开始登机的时候，并不知道在他们之前，这架飞机已经经历了几次不同寻常的飞行....
根据狮航的运营记录
10月28日，这架飞机执飞 JT-775 航班，从 Manado 到 Denpasar。
这个航班的乘客形容飞行体验 “犹如过山车一般”，“起飞后数次突然下降，耳部感到不适”，“一路紧紧系紧安全带”。
当天航班勉强平安落地后，狮航维修人员对飞机进行了检查维修，发现机长的攻角检测传感器 AOA Sensor 报错，于是进行了维修
10月28日稍后，这架修复后的飞机，执飞 JT-43 航班从 Denpasar 飞往 Jarkata 雅加达
这个航班再次被形容为“地狱航班”。经历多很多台风天的印尼乘客都纷纷表示 “坐了很多年飞机都没有遇到这么严重的颠簸”，“吐了好几次”，“起飞以后突然下坠，以为要坠机”。
该航班机组表示控制飞机遇到了严重的困难，机长的仪表显示失灵，无法正常控制飞机，最后是靠着副驾驶的仪表完成了航班。（前面说了，AOA这样的重要传感器，都有三套，机长的坏了，把输入给电脑的传感器切换成副驾驶的，飞机还能正常飞行）
航班结束后，机长在飞行日志里写道，更换后的机长位置的AOA传感器依然没有正常工作
10月29日一早，这架被折腾了好几次的新飞机，经过再次临时检修，继续被放行，从雅加达起飞，执飞 JT-610 航班
起飞后不久，JT-610 的机长便告诉空管，飞机遇到故障
现在专家普遍认为，机长这个时候遇到的问题，和前面几个航班一样，就是机长位置的AOA传感器和其他仪表系统又坏了（或者从来没有修好过）
坏掉的机长位置的AOA攻角传感器，给出了错误读数，导致自动驾驶断开，飞机进入手动飞行模式
至此，A程序被激活的条件，已经全部满足
现在唯一的机会，是像上个航班一样，机长把控制权交给副驾驶，并且将副驾驶那个好的AOA传感器，设置为主传感器，让正确的AOA数据，输入飞行管理电脑
这样的话，他们也许可以像上一班飞机一样，勉强飞往目的地
但此时，可能已经知道之前几个航班的问题，机长决定不再冒险 - 返航！
于是他就没有再像上一个航班一样，把飞机交给副驾驶，从而决定自己手动飞回机场
这其实是一个比较稳当的做法，然而天意弄人，因为A程序的存在，让机长最不冒险的做法，成了最冒险的做法
进入手动飞行返航后，机长不知道，因为这个决定，和他不熟悉的一个A程序，他们的命运将和前面的航班截然不同
在这个情况下，位于机长位置的坏掉的AOA，持续给出错误读数，终于让飞机电脑以为飞机机头已经过高，即将失速（其实飞机在平飞），从而完全激发了A程序
A程序被激发后，秉持其一贯作风，不检查另外两个AOA传感器的读数，直接开始蛮干，调整机翼，压低机头
此刻机长应该正在忙于返航，而飞机在A程序的控制下，机头开始缓慢下沉
随后，专家猜测，机长可能做了简单的修正，但他可能不熟悉，A程序会每隔5秒反复启动的特点
又或者他发现了A程序会反复启动，但是不知道如何关闭....
很不幸的是，留给他研究这个问题的时间，远远没有之前两个航班多....
因为他的飞机刚起飞不久，飞机离海面仅有5400ft，也就是1600多米...
而飞机在A程序导致的持续俯冲下，离海面越来越近....
几分钟后，两个在爪哇海捕鱼的渔民，在雅加达北部海域上空，看到一架大飞机，在很低的高度飞行，一边转弯，一边机头向下，一头扎进了海里...
接着就是一声沉闷的巨响和火光
看到这里，有人会问，小编，上面那些A 程序的具体技术细节，和事故的原因，你是怎么知道的，又有几成把握这会是真相呢？
一般的空难调查，的确要经过好几年，才能最后发现真相
但也有些空难，有充足的事故预兆，和相对完整数据分析，所以主要原因会比较快的浮出水面
小编对上面的分析，还是很有信心，原因很简单....
因为在协助印尼的调查人员分析完初步数据后，波音自己出来认领这个锅了...
2018年11月7日，在事故发生一周后，波音就向全世界所有运营 737MAX 的航空公司，发布了一个官方的通告。这个公告编号是 Crew Operations Manual Bulletin TBC-19
在公告里，波音要求所有的737MAX机组注意，在调查JT-610事故的过程中，发现飞机AOA攻角传感器错误读数，会导致飞机的尾翼配平系统，为了避免手动飞行情况下的失速，在未经飞行员操纵的情况下，自动让机头向下.... （说穿了就是A程序）
波音还具体描述了A程序的4个特点，要求飞行员注意和了解A程序的这些特性
所以小编上文的写的A程序的4个特点，只是尽量把波音提供的技术细节，写成了大白话
为了保证真实性，在这里直接把波音的公告原文提出来，供大家参考。我也把A程序最坑爹的那些特点，用红色标出来了
The flight Crew Operations Manual Bulletin TBC-19 reads:
The Indonesian National Transportation Safety Committee has indicated that Lion Air flight 610 experienced erroneous AOA data. Boeing would like to call attention to an AOA failure condition that can occur during manual flight only.
This bulletin directs flight crews to existing procedures to address this condition. In the event of erroneous AOA data, the pitch trim system can trim the stabilizer nose down in increments lasting up to 10 seconds. The nose down stabilizer trim movement can be stopped and reversed with the use of the electric stabilizer trim switches but may restart 5 seconds after the electric stabilizer trim switches are released. Repetitive cycles of uncommanded nose down stabilizer continue to occur unless the stabilizer trim system is deactivated through use of both STAB TRIM CUTOUT switches in accordance with the existing procedures in the Runaway Stabilizer NNC. It is possible for the stabilizer to reach the nose down limit unless the system inputs are counteracted completely by pilot trim inputs and both STAB TRIM CUTOUT switches are moved to CUTOUT.
波音为什么急着要出来背这个锅呢？很简单，还有很多737MAX在天上飞呢，A程序这个设定带来的风险，必须让所有机组知道，才能充分避免类似情况再次发生
JT 610 的悲剧已经发生了，小编写这片文章，只是想探求一下背后的科学道理，分享给我们的读者
最后声明2点，首先，文中的分析依然只是结合目前最新调查结果的猜测，不是最终调查结果，最终结果还可以产生变化
第二，文中说到的这个 737MAX “娘胎里的毛病” A程序，因为波音发了通告，我们可以认为，这个问题已经被修复了
因为无论A程序这个设定如何不合理，如何可怕，如何难搞，只要波音专门提醒了所有飞行员，在特定条件下，A程序可能存在，会导致的结果，和关闭的方法，飞行员就可以及时而正确的处理
国内各大航空公司都有航班在飞 737MAX，我国的航空公司在飞行安全方面还是非常严格的，相信也第一时间让所有机组学习了波音的公告
所以，作为普通人，在乘坐波音737MAX的时候，应该感到更加安全了一些，
JT610的机组和100多名乘客，用自己的生命，换来了重要的飞行安全提示和迅速的改变
提示回顾人类民航的历史，每一次航空安全的进步，都是一次或者多次事故的血的教训的凝聚
让我们缅怀逝者，也感谢每一个为了航空安全付出过努力的人
正是因为他们和她们，我们依然热爱飞行.
跟着Buzzword学英语，今天文章里用到的单词和表达有：
AoA： Angle of Attack 飞机的攻角。这个参数的错误，很可能是导致JT610坠机的始作俑者
Stall: 飞机失速，通常是因为飞机姿态问题，比如机头过高，导致机翼升力不足，进而导致飞机下坠 。A程序就是设计来防止Stall的
autopilot: 自动驾驶。反义词是 manual flight 手动飞行
call attention to : 波音在公告中的写法，意思是把某个问题提出来，引起注意
nose down / nose up: 飞机的机头向下，机头向上
uncommanded： 形容词，表示没有经过飞行员命令的，擅自发生的。用来形容A程序
Buzz end
感谢关注和转发文章，给我们一些鼓励~
联系客服
