陆峰张喆⼁波⾳737MAX客机MCAS系统背后的秘密与问题 （在此感谢张聚恩、殷云浩、王元元、陈建国等专家对本⽂的⽀持和帮助）
⼀、两起空难概况
2019年3⽉10⽇，⼀架埃塞俄⽐亚航空公司的波⾳737MAX型客机起飞后6分钟坠毁，机上的149名乘客和8名机组⼈员不幸全部遇难，其中包括8名中国乘客，但这并不是⾸起737MAX空难，2018年10⽉29⽇，印尼狮航⼀架由波⾳
737MAX执飞的飞机，在从雅加达起飞⼤约13分钟之后失联、坠毁，机上189⼈不幸全部罹难。这两架失事客机均为全新飞机，均在起飞后不久经历了不寻常的急速下降及爬升，空速仪表也出现异常读数，两架客机的飞⾏员均尝试折返，但最终都是坠毁。埃⽅表⽰，通过读取的失事埃航客机⿊匣⼦的数据，发现与狮航失事客机的⿊匣⼦数据“明显相似”。 狮航空难初步调查表明：失事飞机信号系统接收到⼀个假的迎⾓信号，该信号显⽰飞机处于⾼迎⾓状态，所以触发了飞机⾃动失速保护系统持续控制使飞机低头，机组⼈员与该⾃动失速保护系统进⾏了较长时间的飞机控制权争夺，但最终还是发⽣了坠机悲剧。 从⽬前情况看，波⾳在737 Max客机上安装的MCAS（机动特性增强）系统在两起空难中扮演了重要⾓
⾊，本⽂尝试对MCAS系统及其相关重要问题进⾏如下粗浅的分析。
⼆、MCAS系统的相关技术问题分析
所谓的MCAS系统是⼀种应⽤于737 MAX飞机的俯仰机动能⼒增强系统，该系统的设计初衷是避免飞机进⼊失速。当飞机的迎⾓过⼤时，MCAS系统就会启动。为了监测迎⾓⼤⼩，MCAS系统需要依赖飞机上安装的传感器，如果检测到迎⾓接近失速状态，该系统就会通过调节位于平尾的⽔平⾯，增加飞机的低头⼒矩，以改出失速。
通过研究波⾳申请的⾃动失速保护系统专利（CN106477055A号）以及最新资讯可以发现，现阶段暴露出的MCAS系统问题可能只是“冰⼭⼀⾓”，其背后可能埋藏着更多的秘密和问题。 1、从相关专利上看，MCAS系统可能只是⾃动失速保护系统的⼦系统之⼀
01
语音通讯
国外体育明星图1 CN106477055A号附图
CN106477055A号专利与737MAX飞机上防失速系统技术最为接近，该专利名称为飞⾏器失速保护系统，是波⾳公司于2016年申请的中国发明专利。从图1右下⾓可知，当⾃动失速保护系统⼯作时，可
以通过调节升降舵（受推杆器控制）、稳定翼（即⽔平⾯）、推⼒（估计为飞机的⾃动油门系统）、扰流板等多个部件来控制飞机的飞⾏姿态和速度；其中MCAS系统⽤于调节⽔平⾯，但其只属于⾃动失速保护系统的⼀个⼦程序，在737 MAX中可能还隐藏着推杆器、⾃动油门和⾃动控制扰流板等⼦系统。
⽐如，通过已公开的飞⾏数据显⽰，埃航飞机失事前，最⼤地速达到383海⾥/⼩时，超过了飞机正常的飞⾏速度，飞机的异常超速飞⾏，是否与⾃动失速保护系统的推⼒控制⼦系统有关？遗憾的是，据笔者了解，这种控制关系有可能难以从⿊匣⼦存储的数据记录中分析出来。原因如下：由于⿊匣⼦（FDR）的参数记录通道有限，通常，主要记录的参数包括：驾驶员操纵输⼊（驾驶杆位置），油门杆位移，襟翼开关等等，飞机的运动参数（姿态⾓，过载，⾓加速度，速度，⾼度，GPS信息等）。⽽飞控系统内部的信号传输，⼯作逻辑等信息，⿊匣⼦不做记录。所以在事故调查中，很难分析飞控系统内部的⼯作过程。
2、飞⾏员在模拟737MAX失速时发现飞机有⾃动推杆现象
据悉，国内的专业飞⾏员技术圈的飞⾏员，在两台D级模拟机（经过民航局认证可以⽤来代替真飞机对737MAX飞⾏员训练的模拟机）上模拟了737MAX飞⾏时，出现了两种值得注意的情形：(这部分内容来⾃“资深机长陈建国”号⽂
章“飞⾏圈试飞发现可能存在另⼀个未被告知的保护”。就在我们准备发布本⽂前得到消息，美国飞⾏员联合会发⾔⼈表⽰⽬前仅波⾳有1台MAX机型的模拟机，中国民航局负责⼈也表⽰国内各⼤航司也⽆737MAX模拟机。我们推测，上述引⽤⽂章所述的模拟机可能是737-800，在其基础上进⾏了软件包的升级。另外，这⾥其实⼜反映出⼀个问题，那就是如果只有波⾳公司有1台737MAX模拟机，特别是狮航空难后好多航司都要买，但是波⾳以各种理由推脱，有可能是担⼼模拟机飞⾏发现更多的MCAS的问题吗？)
情形⼀：在737MAX模拟机试飞演⽰⼤迎⾓失速时，使⽤襟翼（5），在接近失速时，飞机没有发⽣MCAS配平现象，因为按照MCAS逻辑，其⼯作需要在襟翼收上时⼯作，所以这也符合MCAS⼯作条件。但是，接着模拟机模拟飞⾏显⽰，飞机起飞接近失速时，会出现飞机⾃动推杆现象（即推杆器⾃⾏⼯作，控制升降舵运动）；
情形⼆：当737MAX模拟机试飞演⽰⼤迎⾓失速时，使⽤襟翼0，也就是收起襟翼，在接近失速时，两台模拟机上的飞机均再次发⽣了⾃动推杆现象。
以上模拟仿真结果表明，在737MAX接近失速时，推杆器可能会⾃⾏⼯作，⽽且这个⾃动推杆的功能不属于MCAS系统所应该具有的功能（因为据波⾳介绍MCAS系统只控制⾯）！也没有写在波⾳737MAX的使⽤⼿册⾥，当飞机在真实飞⾏中接近失速状态下（或被⾃动失速保护系统⾃动判断其处
于失速状态），在没有告警的情况下，这个隐藏的⾃动推杆功能可能会对飞机的飞⾏姿态进⾏⾃动调整。
3、从基本的飞⾏动⼒学原理推断，失速保护功能也不仅能依靠MACS来实现
对于常规布局的民⽤喷⽓式飞机（后掠翼、翼吊式发动机），当飞机处于⼤迎⾓或失速状态时，应利⽤所有可能利⽤的操纵⾯，使得飞机改出复杂状态。这些操纵⾯包括：升降舵、⽔平⾯、扰流板、发动机推⼒（推⼒对于飞机重⼼也会产⽣⼒矩），并且如果飞机在⼤迎⾓时伴有⼤的滚转⾓，还要利⽤飞机的副翼和⽅向舵控制。
02
归化城
图2 失速改出操作⽰范图
春江花月夜教案图2来源于ICAO（国际民航组织）出版的教材，是关于失速改出⽅法的教学⽰范图⽚。在该教材中，强调由于在⼤迎⾓状态下飞机的舵⾯效率降低，因此从失速状态中改出时，要利⽤所有可以利⽤到的舵⾯。
因此，对于波⾳737MAX飞机，有理由相信该飞机在进⾏失速保护系统设计中，包含了对多种舵⾯控制的功能，这样才能保证飞机从急剧失速或深失速（最为危险的⼏种失速类型）中改出，所以MCAS
系统有可能只是737MAX飞机中具有代表性的⼀个⾃动失速保护⼦系统。
4、狮难空难后，波⾳对MCAS系统逻辑的错误描述有可能酿成⼤祸
狮航空难后，波⾳给所有使⽤737 MAX的航空公司发布了OMB（使⽤⼿册通告），对MCAS系统进⾏了专门解释说明，FAA也根据该OMB作出了相应的适航指令，当737MAX飞机襟翼收起、⾃动驾驶仪脱开（也就是飞机处于⼈⼯驾驶状态）、迎⾓过⼤或⼤坡度转弯时，MCAS系统启动，飞机的⽔平⾯开始受到MCAS系统的控制（如图3所⽰）。另外，埃航失事飞机的飞⾏员接受了埃航的专门培训，应该知道如何通过MAX飞机⾯配平切断电门来关闭MCAS系统（如图4所⽰）。
通风盘式
03
图3波⾳737MAX的MCAS系统⽰意图
04
图4 MAX飞机⾯配平切断电门⽰意图
狮⼦客机失事后，埃航飞机为何还会以相似的⽅式再次失事？笔者推测：埃航失事过程中，飞⾏员可能未能及时切断⾯配平电门，其原因可能与波⾳未能准确描述MCAS系统的正常启动逻辑有关。
1）按照波⾳的官⽅介绍，飞机襟翼放下时，MCAS系统不会启动。⽽失事的埃航飞机出事时⼀直在500-1000英尺的离地⾼度，这个⾼度通常在收起飞机襟翼的⾼度之下，所以正常情况下，MCAS系统应该不会启动，然⽽此时却出现了机头突然下压的险情（事后分析，该状况很有可能正是MCAS系统造成的），但是刚受过专门培训的埃航飞⾏员有理由相信该险情不是MCAS系统引起的（因为此时襟翼还没有收起），再加上副驾驶员的飞⾏时间只有200⼩时，其在慌乱中很难具有挑战FAA适航指令和波⾳OMB权威的勇⽓，所以埃航失事客机的飞⾏员没能及时关闭控制MCAS系统的开关，最终导致坠机悲剧的发⽣。这就能解释埃航失事飞机残骸中发现的⾯配平装置（jackscrew，即平尾丝杠）为何会和狮航失事客机极为相似——两者均处于不正常的位置，这表明两架失事飞机坠机之前均处于⾼速俯冲状态，表明飞机⽔平⾯应该是被系统所控制。
2）类似例⼦并不罕见。这⼏个⽉来，美国国内航班的飞⾏员曾多次向联邦当局表达了对波⾳737Max 8安全的担忧。⽐如去年11⽉⼀名商业航空公司的飞⾏员报告说，在起飞过程中，⾃动驾驶仪已投⼊
使⽤（按照波⾳的说法，在此⼯况下，MCAS系统不应启动），然⽽飞机“在两到三秒内，飞机机头向下倾斜”，其速度⾜以触发飞机的警告系统。后来，经验丰富的飞⾏员将⾃动驾驶仪关闭后，飞机可以正常情况爬升，并排除了险情。令⼈遗憾的是这样的报告没有引起FAA或波⾳的重视，否则有可能可以避免埃航空难的发⽣。
以上事实表明：MCAS系统的实际表现与波⾳做出的OMB说明存在诸多严重不相符的地⽅，并可能因此产⽣了灾难性后果。波⾳此举的可能原因如下：
第⼀种可能，波⾳故意隐瞒737 Max上还隐藏着其他⾃动失速保护⼦系统，或者波⾳故意隐瞒MCAS的全部信息；波⾳此举可能是为了掩盖MCAS的实际情况与适航认证时提交数据不⼀致的真相，因为根据掌握的情况看，MCAS在FAA适航认证时，很有可能波⾳只提交了⼀份错漏百出的安全评估报告，就通过了FAA的审查（由于FAA放⽔，实际上是波⾳⾃⼰审查，详情见下⽂）。
第⼆种可能，虽然MCAS相关技术尚为成熟，但是为了应对与A320新机型的竞争压⼒，波⾳在没有充分论证、验证MCAS全部⼯作原理、全⼯况状态和安全可靠性等情况下，就匆匆在737MAX飞机上安装了MCAS（或者其他⾃动失速保护⼦系统），波⾳可能严重低估或忽视了MCAS的危险性，所以狮航空难后，波⾳⽆法说出MCAS的全部准确信息，也就不能有效地协助埃航飞⾏员规避仍然存在的安全隐患。
实际上，不管是上述何种可能性，均表明737Max客机存在重⼤安全隐患，世⼈根本⽆法知晓备受争议的MCAS系统究竟还隐藏着什么样的致命秘密？更⽆法知晓737 Max客机上还隐藏着多少类似的系统？
5、MCAS系统可能存在严重设计缺陷
《西雅图时报》3⽉17⽇援引美国联邦航空管理局的现任和前任⼯程师的话说，波⾳公司2015年推出737 MAX新型客机之后，为了获得联邦政府的认证，向联邦航空管理局提交了客机新型飞⾏控制系统的安全评估，系统全称是“操纵特性增强”系统(即本⽂所述的MCAS系统)，美国联邦航空管理局的⼯程师发现，波⾳提交的安全评估报告存在以下问题：
1）安全报告没有充分标出新型飞⾏控制系统的全部动⼒。为了防⽌飞机空中失速，飞⾏控制系统可以转动飞机的⽔平翼，让机头朝下。但客机服役之后，控制系统转动尾翼的速度要⽐安全评估标出的速度⾼出三倍多；笔者认为：这问题表明波⾳忽视航空安全，并对MCAS系统研究不⾜，缺少⾜够的试验数据来评估MCAS系统对飞机造成的影响。
2）驾驶员做出回应后，报告未能充分考虑到系统能否及时复原，也未能考虑到系统还可能继续把机头往下推；笔者认为：该问题尤为重要，其指出了MCAS系统可能存在⼀意孤⾏，最终造成飞机坠机的严重风险，但是很遗憾该问题没有引起FAA和波⾳重视。
3）系统的危险评估定在有害等级，⽐“灾难性”低了⼀级。即便有害等级，也不能只靠⼀个单⼀的传感器的信号去阻⽌飞⾏控制系统的启动，⽽这套系统正是这样设计的; 笔者认为：该问题⾮常关键，其指出的单⼀的传感器的信号去阻⽌飞⾏控制系统的启动的问题，正是造成狮航空难的直接原因，如果波⾳在适航认证阶段把该问题解决，狮航空难就不会发⽣。
4）报告称，客机⽔平翼的转动⾓度⼩于0.6度，但去年狮航公司610航班坠毁之后，波⾳公司⾸次向各个航空公司提供的“操纵特性增加系统”说明则把⾓度标成2.5度；笔者认为：该问题表明波⾳对MCAS的披露与实际情况不相符，⽽且737MAX的适航认证存在漏洞。
6、FAA在737MAX的适航认证⽅⾯早已乐崩礼坏
据外媒报道，美国交通部正在对联邦航空管理局(FAA)批准波⾳737MAX喷⽓式客机的情况进⾏调查。这是⼀项针对新飞机的安全批准存在潜在失误的“不寻常调查”。vioxx
外媒援引FAA的⼯程师的话说，波⾳737 MAX客机的竞争对⼿是欧洲空客的A320neo客机，但波⾳研发已经晚了九个⽉，FAA就把波⾳737 MAX飞⾏控制系统的安全评估任务交给了波⾳，并要求⾃⾝的⼯程师们加快检查进度。美国联邦政府的安全调查员认为，波⾳737 MAX客机新安装的控制系统的安全评估存在疏漏，政府的航空认证也没有尽责。在此
豫公网安备41160202000603
站长QQ:729038198
关于我们
投诉建议