近来屡屡卷入风波的波音737，又出事了！
美国佛罗里达州杰克逊维尔市长伦尼·柯里3日在社交媒体推特上说，一架大型飞机当日在该市一机场降落时冲出跑道滑入附近一条河中，机上乘客和机组人员均无生命危险。
据美国媒体报道，出事飞机是一架波音737客机，载有143名乘客和机组人员，当晚在降落时滑入机场附近的圣约翰河中，由于河水较浅，客机未被淹没。消防和急救人员已赶到现场援救。事故原因目前尚不清楚。
频繁的事故，让人们对波音737安全性的担忧日益加深。其事故频发的原因究竟何在？此前遭遇事故飞机的黑匣子又向我们揭开怎样的真相？
文 | 陆峰 中国航空工业发展研究中心
编辑 | 李雪 瞭望智库
本文为瞭望智库原创文章，如需转载请在文前注明来源瞭望智库（zhczyj）及作者信息，否则将严格追究法律责任。
3月10日，埃塞俄比亚航空公司一架波音737-8客机坠毁，这是继去年10月29日印度尼西亚狮子航空公司空难事故之后，737-8客机发生的第二起空难事故。
近日，美国波音公司总裁丹尼斯·米伦伯格在公司官网上发表声明，承认上述两起空难事故中，飞机自动防失速的机动特性增强系统(MCAS，系统的设计初衷是避免飞机进入失速)犯错，并表示将在未来几周内完成相关软件更新。
目前，埃塞方公布了空难的初步调查结果。
本文尝试从埃航失事客机飞行数据记录器（DFDR，诉称黑匣子）数据、波音针对狮航空难发出的操作通告（OMB）和波音申请的自动失速保护系统专利（CN106477055A号）等维度切入，对其中一些重要问题进行解读和分析。
通过分析可知，埃航空难可能与左侧AOA攻角数据错误、飞行员操作不当和MCAS持续错误配平安定面等因素有关。
1
刚起飞就出现不祥之兆
根据埃航失事客机黑匣子记录（部分）：
05:38:44，飞机离地后不久，左侧和右侧记录的AOA攻角数值出现偏差。
左侧AOA下降至11.1°，随后上升至35.7°，而右侧AOA值显示14.94°。
接着，左侧AOA值在3/4秒内达到74.5°，而右侧AOA达到最大值15.3°。
此时，左侧抖杆器启动并一直持续到接近记录结束。同时，左侧空速、高度和飞行指引仪俯仰指示与右侧对应指示出现偏差，左侧值低于右侧值，直到接近记录结束。
05:38:46，飞副驾驶喊话“主警告防冰”，4秒钟后，“左侧AOA加温”参数状态发生改变。
为了分析上述黑匣子数据表征的埃航客机实际状态，需要结合波音于去年11月6日发出的官方通告（OMB）内容，该通告是狮航空难一周后，波音紧急发出的737 MAX操作通告。
通告指出：
当737MAX飞机的AOA数据错误时，俯仰配平系统（pitch trim system,其实就是MCAS，但波音当时在通告中没有提出MCAS的概念）会持续长达10秒的使飞机低头的水平安定面配平，飞行员可以使用位于驾驶盘上的电动配平打回原来的位置，但是在飞行员松开电动配平电门5秒钟之后，这种情况可能会反复。
当俯仰配平系统（MCAS）控制机头向下时，飞行员的正确操作步骤是：紧握驾驶杆，脱开自动驾驶、自动油门，如果继续失控，关断两个安定面配平电门，如果还继续，用手抓紧配平轮，最后使用人工配平。
错误的AOA还有以下的指示和影响：
受影响一侧持续或间歇性的抖杆;
受影响一侧最低速度指示条（红色和黑色）;
增加飞机低头的杆力;
自动驾驶不能接通;
自动驾驶会自动脱开;
IAS（指示空速表）速度不一致警戒提示;
ALT（高度表）高度不一致警戒提示;
AOA 迎角不一致警戒提示（如果选装了AOA指示）;
FEEL DIFF PRESS（升降舵感压灯）灯亮;
另外，埃航失事客机飞行员事先已经过了专门培训，了解上述OMB的情况。
将错误的AOA的指示和影响情况与埃航失事客机黑匣子数据结合对比，可以看出埃航失事客机出现了多个类似问题，比如：
*埃航客机左侧驾驶杆出现了持续抖杆（这是飞机进入或即将进入失速状态的重要警告信息）；
*飞机的IAS速度不一致警戒提示和ALT高度不一致警戒提示开始告警；
*自动驾驶不能接通，自动驾驶自动脱开；
*飞机出现的左侧防冰警告,应该也是AOA故障引起的。
以上事实表明，埃航失事飞机刚刚起飞离地，就出现了左侧AOA攻角读数错误的现象。
2
未能及时发现AOA攻角数值错误
笔者推测，在直到坠机前30秒，埃航失事航班机组还没有发现飞机左侧AOA攻角数值发生了误报。
具体理由如下：
首先，埃航失事客机上没有安装AOA指示器和安全警报器。
根据操作通告（OMB）可知，如果飞机上安装了上述仪表，当飞机AOA 攻角数据不一致时，这些仪表会发出警告来提示飞行员。
但是令人匪夷所思的是，波音竟将如此重要的安全报警装置列为选装部件（安装需要额外大约支付大约8万美元），结果是埃航没有在失事客机上安装这些仪表。于是，当AOA攻角传感器读数故障时，驾驶舱内同时冒出了各种不一致的信息（速度、高度等）以及一大堆告警指示和此起彼伏的警告声音，飞行机组很难对眼前的一切做出快速准确的判断，这可能是埃航失事客机机组未能及时发现AOA读数故障的重要原因。
其次，根据黑匣子记录,05:42:54 两名飞行员同时喊话“左侧攻角探测片”，表明他们可能才发觉左侧攻角传感器的读数出现了误报，但那时距离飞机坠毁的时间（黑匣子最后记录时间为05:43:20）已经不足30秒，飞机已进入难以挽回的高速俯冲状态。
最后，失事飞机已经出现了因AOA攻角数值错误而引起的众多异常现象，飞行员在排除故障之前，一般不宜在起飞阶段选择自动驾驶模式。
但是，埃航失事客机的机长（波音飞机的左侧驾驶员位置一般是机长位，当左右两侧AOA攻角读数不一致时，飞机会选择相信机长一侧的AOA攻角数值）仍然选择接入自动驾驶模式，究其原因有两种可能：
其一，当时机长没有认识到相关仪表的异常表现是由于AOA攻角数值错误引起的，所以没有重视相关问题；
其二，机长受到了波音的误导。波音在操作通告指出：
“Boeing would like to call attention to an AOA failure condition that can occur during manual flight only”。
翻译成中文意思就是：
波音提醒注意AOA失效的迎角问题仅仅出现在飞行员手动飞行时。埃航机长可能以为接入自动模式后就可以解决相关问题，但是埃航机长没想到：在AOA攻角数值错误的情况下，飞机襟翼收上和手动脱开（或者系统自动脱开）自动驾驶仪后，MCAS就可能发作。
从737 MAX故障历史来看，及时发现AOA攻角数值错误，并按照NNC（非正常检查单）流程操作非常重要。
根据狮航失事客机坠机前一次执飞航班JT043的机长报告。在飞行之前，该机的攻角（AOA）传感器曾被更换，并测试工作正常。飞行数据记录器记录到飞机滑跑抬轮时抖杆被激活的信号，该异常信号一直持续至飞机落地。
在到达400英尺飞行高度时，JT043的机长（有传闻该机长当时得到了一个临时搭乘该航班的飞行员的专业指点）机长注意到出现了“空速不一致（IAS DISAGREE）”告警。随后机长将两部PFD（主飞行显示）数据与备份仪表数据进行了比对，认定左侧PFD故障，于是切换至右侧飞行指引（FD）。之后，机长将安定面配平电门开关（STAB TRIM）放到CUT OUT位后，又重新拨至NORMAL位，但是几乎同时，刚才的问题又一次出现。
机长再次将安定面配平电门开关（STAB TRIM）拨至CUT OUT位并继续手动配平，直至飞机落地，再未接通使用自动驾驶（A/P）。在此过程中，机组一共执行了3个非正常检查单（NNC）——“空速不可靠”、“高度不一致”和“安定面失控”，最终才使飞机转危为安。
当狮航JT610航班执飞该飞机时，再次发生类似险情，但JT610航班机组没有像JT043航班机组那样,采取了正确的应对措施，最终酿成了狮航空难的发生。埃航失事客机机组的情况有可能与JT610机组高度相似。
3
自动驾驶阶段暗藏危机
根据黑匣子记录（部分）:
05:38:58机长第一次试图接通自动驾驶仪失败；
05:39:01机长第二次试图接通自动驾驶仪失败；
05:39:22 飞机离地大约1000英尺的时候，左侧自动驾驶仪被接通（大概33秒之后断开），襟翼被收上，俯仰配平从5.6单位减少到4.6单位；
自动驾驶仪接通6秒后，飞机出现小振幅的滚转震荡，同时伴随横侧加速，方向舵波动和轻微的航向改变。这些震荡和波动在自动驾驶仪断开后仍然持续。
机长尝试了三次，才接通自动驾驶仪，而且接通后才过了33秒，自动驾驶仪就断开，（自动驾驶仪有可能是自动断开，因为断开后才两秒，机长就报告飞机的飞行控制有问题），根据波音操作通告（OMB）可知，接不上自动驾驶仪或驾驶仪自动断开均属于AOA攻角数值故障时的典型表现。
值得注意的是：当时飞机的俯仰配平（即水平安定面配平）出现了从5.6减少到4.６单位的现象，该次配平是由飞机控制系统自行完成的，这是飞机水平安定面配平角度第一次出现大幅自动减少的情况。
并且，在自动驾驶期间，水平安定面配平角度随后又出现两次自动减少的现象，因为MCAS一般不会在襟翼放下和自动驾驶模式下启动，所以这些情况应该不是MCAS造成的，也就是说，737 MAX上可能还隐藏着其他安定面配平系统。
令人遗憾的是，多次连接不上自动驾驶，自动驾驶自动脱开和系统自动配平水平安定面等现象，并没有引起飞行员的注意，飞行员再次错过了规避灾难的时机。
4
MCAS被激活时飞机已凶多吉少
根据黑匣子记录：
05:40:00，自动驾驶脱开后不久，埃航失事客机马上出现一个自动的飞机机头向下（AND）配平，持续时间为9秒，俯仰配平从4.60个单位移动到2.1个单位（MCAS开始发作）。飞机爬升中止，高度略微下降；在自动的飞机机头向下（AND）过程中，驾驶杆向后移动（机组在拉驾驶杆），飞机重新建立了正向爬升。
05:40:12，安定面的飞机机头向下（AND）配平结束约3秒后，飞机机头向上（ANU）方向上的电动配平(来自机组驾驶杆上的控制开关)，安定面在ANU方向上移动到2.4个单位。随着机组对驾驶杆向后杆力的增加，飞机的俯仰姿态保持不变。
05:40:20，飞机机头向上（ANU）移动结束约５秒后，出现了第2次自动的飞机机头向下（AND）配平，这次安定面向下移动至0.4个单位。（MCAS再次周期性发作，此时安定面已被调节到很小角度的位置）
05:40:28，飞机机头向上（ANU）方向上的人工电动配平，安定面在ANU方向上反向移动，配平达到2.3个单位。
05:40:35，副驾驶两次喊话“安定面配平切断”。机长同意，副驾驶确认了安定面配平切断。直到这时，飞行员才按照波音操作通告的建议，关断了安定面配平开关电门，但是已经来不及了。
（图为737 MAX安定面配平开关电门示意图）
05:40:42 到 05:43:11 （大概两分半钟之内），安定面位置逐渐向机头向下方向从2.3移动到2.1单位（这是非常诡异的现象！因为此时安定面配平开关电门应该已被副驾驶员关闭，正常情况下MCAS不能再配平安定面）。左侧指示空速从大概305节增加到大概340节。右侧指示空速比左侧的大概大20-25节。在记录的余下部分，出现过几次左右操纵杆同时向后带杆的杆力（机组在拯救飞机）。
05:41:46，副驾驶报告人工配平（应该是转动配平轮）不工作；
05:43:11安定面配平电门又被打开（目前还不清楚究竟是谁打开的电门，系统自动控制或机组人工操作都有可能，笔者倾向于后者，因为在人工手动配平不成功的情况下，机组此时可能想通过人工电动配平来配平安定面）；
05:43:20，最后一次人工电动配平输入5秒后，又出现自动的飞机机头向下（AND）配平指令（即MCAS再次发作），约5秒内，安定面在飞机机头向下（AND）的方向，从2.3个单位移动到1.0个单位，飞机开始低头。机组同时向后施加驾驶杆力，但飞机机头继续向下，最终达到俯仰向下40°。
安定面位置在余下的记录时间里，始终在1.1个单位到0.8个单位之间变化，最终失控飞机以40度俯角和接近1000公里每小时的速度从离地7000多英尺直插地面坠毁。
埃航失事客机的“人机大战”不幸以机毁人亡的惨剧告终，其实在离地高度不足和飞机高速飞行等情况下，AOA攻角数值一直故障的飞机如果收上襟翼和脱开自动驾驶仪，就如同打开了潘多拉魔盒。
当MCAS被激活时，飞机就已经凶多吉少了，特别当飞机在超速飞行时，向后的带杆力和向前的安定面配平会对安定面平尾丝杠（jackscrew）有很大的应力，回天乏术的飞行员很难再将飞机改出高速向下俯冲的姿态。
5
MCAS的问题可能还只是冰山一角
CN106477055A号是与MCAS技术最为接近的波音专利，研究该专利，可以解释一些埃航空难过程中发生的问题，对分析埃航空难原因和波音自动保护系统及MCAS可能会有所帮助。
【注：该专利申请公开了一种飞行器失速保护系统和方法，针对预定时间段将实际飞行器攻角限制成第一攻角，并且其后，所述系统和方法将实际飞行器攻角限制成第二攻角，允许飞行器操作者或飞行员对于任何给定的一组飞行状况均从飞行器获取最大性能，而不存在使飞行器失速或者在高阻力状态下操作较长时间段的风险。】
（ CN106477055A号附图）
其一，AOA读数故障时为何会出现一侧抖杆和多仪表读数出错的情况？
通过图左上角、专利说明书第40段和44段可知，飞行状态的很多重要参数是由失速保护系统确定和更新的，除了可以控制稳定翼（即水平安定面，目前已知的MCAS主要功能就是配平水平安定面），失速保护系统还可以控制升降舵、推力、扰乱杆等活动舵面，当一侧AOA数据出错并误认为飞机处于失速（或即将失速）时，就可能产生飞控系统的连锁反应，导致产生众多错误参数和指示。
埃航失事飞机在起飞后不久出现抖杆（警告飞行员飞机进入失速状态）和各种仪表指示错误等现象，其作用可能在于向飞行员发出警告，表明飞机即将或已进入失速状态，实际上，此时飞机上自动失速保护系统（此时襟翼还没收起，所以应该不是已知的MCAS）已经启动。
目前已经知道，在狮航空难前，波音向航空公司和飞行员隐瞒了MCAS的存在。
通过上文分析可知，直到现在，波音有可能还在隐瞒MCAS的全部功能（或者隐瞒了737 MAX客机上还存在其他未知自动失速保护系统的情况）。
其二，飞机接入自动驾驶时为何会出现横滚方面的震荡？
在专利说明书列举的一些实施例中，使用飞行器纵向控制和横向控制的结合限制实际攻角(α)，因此横滚现象可能与自动失速保护系统控制横向控制舵面功能有关，其目的在于通过纵向控制面运动和横向控制面运动的结合来限制飞行器的最大攻角，这样可以防止飞机进入失速状态或者有利于改出失速。
其三，安定面配平开关电门被关闭后，安定面位置为何还会逐渐向机头向下方向从2.3移动到2.1单位？
通过专利说明书第47段可知，FCC 112可向飞行控制面(主飞行控制和副飞行控制两者)的一个或多个致动器发送激活命令，以命令飞行控制面以期望的方式移动，从而防止飞行器超过第二最大攻角(α2)。飞行控制面的致动器可包括机械致动器、液压致动器、电动致动器、气动致动器或其任何组合。
也就是说，安定面配平开关电门只能关断电气连接，但是关断不了机械致动器等部件之间的机械连接关系。安定面配平开关电门被切断后，MCAS是否可以利用机械连接关系或其他方式继续配平安定面？如果该情况真的存在于737MAX之上，就表明MCAS或其他自动失速保护系统不仅隐秘、诡异，而且非常可怕和邪恶。
其四，MCAS在配平飞机低头时，是否不能通过驾驶杆上的电动配平进行制止？如果飞行员不能通过电动配平制止，飞行员是否只能等飞机加剧低头而无能为力？
通过专利说明书第42段可知：处理器154可在232处继续测量飞行器的攻角和飞行员驾驶杆输入，直到飞行器攻角小于激活攻角(α3)，或者直到检测到驾驶员干预(其由命令攻角减小的驾驶杆输入指示)，此时激活逻辑200终止。
也就是说，自动失速保护系统激活后，只有收到驾驶员通过驾驶杆输入减小攻角的命令指示才会终止，但是飞机处于高速低头下降俯冲的状态时，飞行员只可能输入增大攻角的命令指示，所以实际上飞行员不能通过电动配平来制止MCAS配平飞机低头。
在还来得及抢救飞机的前提之下，飞行员只是按照波音操作通告（OMB）可能是不够的，现结合波音的OMB和JT610航班机组的执飞经验，正确的在没有经过试飞验证的情况下，提出如下处理流程建议，仅供参考。
先确定飞机存在AOA攻角读数错误故障（这里可以体现AOA数值不一致告警仪表的重要性）；再判断是哪一侧的AOA读数存在故障（埃航和是狮航都是左侧AOA数值出错）；
然后切换至读数正常一侧飞行指引（这样就能避免AOA数值错误一侧的多个仪表的错误干扰）；再脱开自动油门、自动驾驶仪（如果当时已脱开，可以省略该步骤）；再断开安定面配平开关电门；
再使用配平轮手动配平安定面；然后至少执行3个非正常检查单（NNC）——“空速不可靠”、“高度不一致”和“安定面失控”；AOA攻角读数正常右一侧的驾驶员需保持手动驾驶飞机，直至飞机安全降落。
以上操作越早进行越有机会转危为安。
其五，波音737 MAX新发现的安全问题是什么？
波音公司近期承认737 MAX的软件系统还存在一个“相对较小”、但对飞行安全存在重要影响的问题。
《华盛顿邮报》报道，这个问题会影响到飞机襟翼和其他保持飞行稳定的硬件，FAA已经将该问题对于飞行安全的影响列为“紧急”，并下令修复。
从上文可知，CN106477055A号专利会对襟翼和其他保持飞行稳定的硬件产生影响，MCAS只是CN106477055A号专利涉及失速保护系统的一个子系统，所以新发现的问题有可能与失速保护系统有关，其可能来源于埃航空难飞机襟翼在没完全收上位的状态下（左右襟翼位置到达0.019），就触发了MCAS的启动。
综上所述，除了MCAS，CN106477055A号专利所述失速保护系统还涉及众多控制面、传感器、系统和仪器等方面，MCAS可能只是CN106477055A号专利所述失速保护系统的一个子系统，目前MCAS暴露出的问题可能只是冰山一角，737 MAX的飞控系统可能存在系统性、结构性的漏洞和错误。
当然，相关问题的真正情况和两起空难原因的真相需要最终的调查报告来揭晓答案。
6
关于737 MAX安全评估的建议
近日，中国民航局应美国联邦航空局（FAA）的邀请，已决定派专家赴美参加波音737MAX的安全性评估工作，本文对737 MAX的安全评估提出以下几点看法：
首先，等别国复飞737 MAX后再做决定。
美国、欧盟和加拿大等发达国家应该率先垂范、以身作则，先充分试飞验证737 MAX的安全性。
737 MAX需要先在这些国家复飞一段时间，通过飞机的实际飞行获得更多的737 MAX飞行数据和认证经验，这样更有利于广大发展中国家开展737 MAX的适航认证工作。
其次，应该评估飞控系统和737 MAX整机气动布局结构的安全性问题。
据悉，波音公司之所以在737 MAX 8型飞机上安装MCAS系统，是因为其发动机出于更省油的设计，比以前更加粗大、推力更大。发动机的更改导致飞机机头容易抬高，因而美国联邦航空局在认证过程中，要求采用一个安全系统（MCAS）来让机头慢慢放低，因此需要对737MAX 整机气动布局结构的安全性进行重新评估。
另外，还有737 MAX及MCAS的一些重要问题应该关注。
*飞机的AOA攻角传感器为什么那么容易发生故障？波音的解释和解决方案是什么？AOA数值错误后，出现各种严重干扰飞行员注意力的异常现象，波音的解决方案是什么？AOA数值对自动失速保护系统至关重要，737MAX只采用双AOA传感器（A320和C919都是采取3套以上AOA传感器）的数据处理和工作模式是否满足飞机安全性和可靠性要求？
*波音将应该是标配的AOA指示器和安全警报器列为选装设备，并酿成大祸，737MAX上是否还有类似情况？
*波音需要详细说明MCAS的设计目的、原理、工作过程和控制逻辑等问题，波音需要提供单独关闭MCAS的开关，避免MCAS与安定面电动配平共用一个关断开关的窘境,波音需要提供MCAS系统或类似自动保护系统的警告装置。
*波音对MCAS进行了更新和修改，但是MCAS功能被限制后，737 MAX真的面临失速问题时，应该如何解决？MCAS功能被限制后，飞机是否满足航空规范 14CFR §25.203(a)“失速特性”的相关要求？
*波音需要解释MCAS系统除了自动调整和控制水平安定面，是否还可以控制升降舵、稳定翼、推力、扰流板等气动舵面？737MAX上是否还隐藏有如CN106477055A号所述的自动失速保护系统及其他类似系统？这些系统之间的关系是什么？
*在利用系统克服人自身局限性带来的问题和不足的同时，波音如何保证飞机失速状态下飞行员的输入指令优先？如何保证飞控系统逻辑不会再出现凌驾于人输入指令的情况？
*737MAX在FAA适航认证时提交的文件、报告和FAA的检测报告等文件存在哪些问题？通过分析这些问题，可以了解飞机在适航认证时存在哪些漏洞和问题。
埃航空难是由于飞机飞控系统整体故障造成的，所以对737 MAX安全性的评估和验证不能只限于所谓的MCAS及相关系统，应该延及整个飞控系统乃至整机，波音需要提供足够的实际飞行数据来证明737 MAX的安全性。
实际上，上述要求不仅是对广大乘客的生命财产安全负责，也是为波音切身利益着想。
总监制：苏会志
监制：夏宇
责编：戴丽丽 李逸博
编务：黄俊峰
联系客服
