從波音737MAX缺陷分析來談特斯拉問題

最近《空中浩劫》最新一季推出了有關737MAX事件的記錄與分析（S21E04，獅航610空難事故），感興趣的知友可以看看。比之前的事故分析和事故調查報告要完整的多。

【ACICFG】空中浩劫S21E04：獅子航空610號班機（1080P 雙語字幕）_嗶哩嗶哩_bilibili

這段紀錄片比之前網上公佈的相關調查和分析內容要詳細的多，也讓我們對737MAX第一起事故的過程有了非常準確的瞭解。

從紀錄片上大體能看出來兩個問題：波音公司決策問題和設計缺陷，駕駛員操作不當。

首先說波音公司的問題

為了快速拿到FAA的適航證，波音向FAA承諾737MAX機型的操作跟之前的737機型是一樣的，所以不需要額外培訓。（實際上只能說大部分情況下一樣，極端情況下不一樣）

由於波音公司錯誤的認為當發生MCAS故障時，駕駛員可以根據經驗正確處理。（但實際上並不能，畢竟駕駛員水平也都參差不齊）

由於啟動MCAS的條件是非常少見的，所以正常情況下MCAS不會工作。加上波音公司認為駕駛員可以根據經驗做出正確的判斷和操作。所以極少會發生事故，也讓波音公司認為這套設計不存在問題。

實際上呢？

第一個出事的獅航610航班，在出事前一天同一架飛機在飛43號航班的時候就遇到了MCAS系統意外啟動的現象。當班的飛行員即時發現問題（實際上是第三名機械師發現的）出在自動配平系統一直在跟駕駛員操控打架。隨後關閉了電動配平系統的開關，才把MCAS的干擾排除掉。

但當天航班的兩名駕駛員，當出現MCAS意外啟動的時候，主駕駛還能正常的操控飛機（在拉桿的時候手不斷的往上撥配平開關，來抵消MCAS的自動配平操作），後來換副駕駛操控飛機的時候，他的控制能力和經驗不足，不知道要不斷撥配平開關，所以就被MCAS拼命往下壓機頭，最終導致事故。而裡面關鍵的環節就是，兩名駕駛員都沒有發現自動配平裝置在抵消駕駛員的配平操作（機器有嗡嗡聲），這是波音公司完全沒預料到的。畢竟人在處於壓力很大並且緊張的時候，很可能忽略重要的資訊。

這裡說明一下MCAS系統的工作原理和故障原因

獅航610事件的故障原因是，前一天左側（主駕駛位）迎角感測器故障，當班飛行員飛行結束後飛行日誌上上報了故障。當夜技師就更換了迎角感測器。但是技師更換的迎角感測器大概是沒有經過校準操作，所以讀數實際上跟右側（副駕駛位）的迎角感測器不一致。所以第二天仍然發生了同樣的MCAS誤啟動導致自動配平系統拼命壓機頭的事。

電動配平的機械開關，獅航610事件沒有關閉

再說一下衣索比亞航空ET302空難事故

埃航ET302的迎角感測器（好像也是左側）據說是被鳥撞損壞的。

從網上找到的比較詳細的資料記錄如下：

1、起飛過程中，飛機的各項資料均為正常，迎角感測器讀數不存在誤差，數值也在正常範圍。資料顯示機長為PF（操縱控制桿的飛行員）

2、起飛後不久，左側迎角感測器讀數先下降至11。1°再升至37。5°，這期間右側感測器讀數為14。94°。隨後，左側感測器讀數在3/4秒內升至74。5°，觸發機長操縱桿的失速警告（抖杆），這期間右側感測器最大讀數為15。3°。

3、飛機離地約1000英尺左右，自動駕駛接通，23秒後，飛行員收起襟翼，機長要求保持一邊航向。再10秒後，自動駕駛斷開。

4、自動駕駛斷開5秒後，飛機開始第一次自動低頭，安定面配平從4。6下調至2。1（注：數值大是抬頭方向，數值小是低頭方向，下同），飛機高度輕微下降。第一次自動低頭開始後6秒，飛機在飛行員拉桿的動作下重新開始爬升。飛行員透過操縱桿的電動配平按鈕將安定面配平提升至2。4。（人工飛行、襟翼收起、迎角數值過大，這三項均符合MCAS啟用條件）

5、飛行員進行電動配平後約5秒，FDR記錄到第二次自動配平，安定面配平由2。4下調至0。4。機長要求副駕駛和他一起打配平，在飛行員的電動配平輸入下，安定面配平回升至2。3。這一操作後7秒，副駕駛喊出「stab trim cut-out」兩次，機長同意。

6、FDR資料顯示，機組執行cut-out程式後，MCAS第三次壓機頭的命令並沒有被執行，證明切斷電動配平系統後成功阻止MCAS再次調整配平。

7、在執行應對程式後約1分11秒，機長問副駕駛配平是否工作，副駕駛回應稱配平不工作，並問機長要不要試一下手動配平。機長讓副駕駛嘗試。副駕駛隨後答覆說it‘s not working。期間，安定面配平在2。5分鐘內逐漸從2。3降至2。1，原因不明。

8、在記錄結束前約32秒，資料記錄到飛行員兩次短暫的使用操縱桿上的電動配平按鈕輸入，飛行員人工操作電動配平，將配平從2。1調整至2。3。在第二次電動配平輸入後約5秒，資料再次記錄到自動低頭的命令，儘管飛行員同時在拉桿試圖抬頭，但是飛機仍然持續俯衝，最終俯角達到40°，飛機墜毀前安定面配置在1。1至0。8之間波動。

從報告中記錄的資訊來看，飛行員能夠使用電動配平按鈕，意味著飛行員重新接通了電動配平系統，而MCAS再次成功執行低頭命令也意味著飛行員並沒有在人工控制配平後5秒內再次執行應對程式切斷系統電源。資料顯示，分別只有一次切斷和一次重新接通的操作，但是MCAS總共4次自動操作配平，其中3次在飛行員切斷系統電源之前，1次在飛行員重新接通系統電源後。

根據初步報告中的資料，MCAS前3次自動配平後，在飛行員人工控制配平和拉桿控制下，飛機的高度仍在增加，正是最後一次的自動配平導致飛機進入不可恢復的俯衝。然而，這只是根據初步報告中的資料的直接解讀。飛行員操作和MCAS系統的進一步分析仍有待最終調查報告揭曉。

首先說明，獅航610事件之後，波音公司吸取教訓，向各個航空公司下發了OMB

就是指導駕駛員在出現這種情況下的操作處理方法。

也就是埃航的駕駛員是經過訓練的，所以知道出現MCAS異常啟動時的處置方式。在FDR和CVR記錄中也能看到，副駕駛喊出「stab trim cut-out」兩次，就是關閉電動配平系統的意思。

詭異的是，後來兩名機師的談話中說到手動配平不起作用。有可能是語言表達錯誤，也有可能是駕駛員經驗不足。

手動配平不是操作杆上那兩個開關

下面這個才是手動配平調整

配平輪上帶個摺疊搖把，可以手搖配平。

不過手動配平需要很大力氣

副駕駛搖配平的場面

飛機如何手動配平 （空中健身房警告） Mentour Pilot 熟肉_嗶哩嗶哩_bilibili

所以這種機械結構基本不可能出現失效，所以估計埃航的機師以為搖桿上的控制按鈕就是手動配平吧（這麼說也沒啥問題，但估計是指這個）。但是一旦把電動配平系統關掉了，搖桿上那個配平控制也是用電機控制實現的，所以肯定是無效的啊。

這也就是為什麼埃航ET302最後又打開了電動配平系統開關的原因。當然這樣的話MCAS又會啟動自動配平系統跟駕駛員較勁（也有可能換了駕駛員，像獅航610航班一樣不熟悉，不知道要一直按配平控制按鈕來抵消自動配平）

以上就是兩起事故的主要原因分析。

那麼波音的設計缺陷在哪呢？能不能叫軟體缺陷呢？

首先波音肯定存在設計缺陷，主要缺陷在於：

MCAS參考的迎角感測器是單一的（交替讀取），那麼一旦出現迎角感測器故障，加上同時收回了襟翼和關閉自動駕駛條件下，就會觸發MCAS錯誤啟動。這是很容易預見到的，雖然發生機率較小，但並不能忽視。

為什麼不使用多感測器決策機制，這樣有一個出問題了可以使用正常的感測器讀數。估計原因就是這種決策機制需要駕駛員參與決策（計算機並不知道哪個感測器是好的，哪個是壞的），這樣就需要針對737MAX機型駕駛員單獨培訓，適航證獲取更加複雜，會影響波音飛機的交付（耽誤生意）。所以波音採取了這種不可靠方案，希望透過人為超控（Override）來解決MCAS可能引起的問題。

這裡面其實不存在軟體缺陷，MCAS在兩起事故中意外啟動都是因為錯誤感測器讀數造成的。軟體自身執行的結果與設計是一致的。這就好比計算機可以做加法運算，你輸入1+2，那麼結果就是3。但是輸入裝置把1誤讀為2，把2誤讀為3，結果就變成了5。結果是錯誤的，但是計算是準確的。

歸根究底，737MAX事故最大的問題就出在波音投機取巧上。

如果一開始就把MCAS系統操作說明，意外故障處理都發布在手冊上，新機型駕駛員增加額外培訓，估計FAA也可能會給適航證的。畢竟飛機上其他系統也有Failure的情況發生，都有應急處理機制。

這也就是一開始FAA並沒打算停飛737MAX的原因。這是一種可處理故障，非不可處理故障。

最後造成全球停飛，其實是對波音公司不負責任態度的反噬結果。

中國首先停飛，是因為中國沒有737MAX的模擬器，無法完整全面的進行培訓。畢竟出了兩次事故，對於飛行員能否處理好這類故障，IATA心裡是沒底的。

後來其他國家陸續停飛，也是出於同樣的擔心。

那麼後來FAA遲遲不給波音發適航證，其中重要的原因就是要為之前的不負責任而付出代價：

你不是不需要額外培訓嗎？你不是無需單獨處理嗎？你就給出做出來完全不需要駕駛員處理的系統來，就是故障能夠自行消化掉，而不是讓飛行員來處理。萬一飛行員處理不好呢？

綜合以上，就是對737MAX的MCAS系統缺陷的整個分析。下面說一下特斯拉問題。

很多人拿737MAX缺陷舉例子說特斯拉可能由於軟體缺陷導致剎車失靈。

根據上面的分析就可以知道，第一737MAX並沒有被發現是軟體缺陷，而是一種設計上的缺陷，無法有效保障人的操控可以正確處理好。那怎麼去對位元斯拉剎車失靈呢？難道是特斯拉剎車系統的設計上缺陷造成故障情況下駕駛員無法有效處理，還是不能處理？剎車系統就是一個剎車踏板來解決的，駕駛員不需要做其他動作。沒有像737MAX那樣的複雜處理情況。

另外一方面737MAX的核心問題是對於使用情況考慮不全面，錯誤的認為在發生故障時駕駛員可以憑藉經驗正確處理。同時系統的可靠性也不是很高（只取一個感測器的資料）。那麼怎麼同樣類比呢？你是發現剎車系統哪個感測器故障了嗎？還是發現特斯拉的剎車系統需要跟其他車輛操控方式不同呢？

其實737MAX缺陷核心並不是技術問題，而是商業策略問題。