摘要：波音B737MAX8飛機兩次事故引起全世界的關注，許多媒體報道中在分析事故原因時首先提到的是迎角傳感器和MCAS控制系統，出于儀表人的敏感，筆者收集網站上能找到的信息，然后對其進行梳理，希望還原事故過程，分析直接原因、深層隱患，最后試圖站在儀表人的角度反思這一事故。

關鍵詞：波音B737MAX8；獅航事故；埃塞俄比亞航空公司事故；迎角傳感器；MCAS控制系統

1　兩次事故概述

2018年10月28日，印度尼西亞獅航的一架波音B737MAX8的JT610航班從印尼首都雅加達起飛13min后，在附近海域墜毀，機上189人全部遇難。2019年3月10日，埃塞俄比亞航空公司一架波音B737MAX8從埃塞俄比亞首都亞的斯亞貝巴起飛僅6min后，飛機墜毀，8名機組人員和149名乘客無人生還。

這兩次事故有很多共同之處：同一型號的飛機；出廠不久的新飛機（飛行時間分別為1000h、800h）；起飛后不久墜毀（分別為起飛后13min、6min）；天氣狀況良好；空中失控；飛行員都曾報告問題試圖返航；飛機最后都是處于超過正常飛行速度的超速狀態；飛機曾經有過突然下降的跡象隨后又被拉升；墜毀前的狀態都是高速俯沖。

2　波音B737MAX8

波音B737 MAX是波音737裝配新發動機的衍生機型，是波音最新的單通道窄體客機，主打燃油經濟型，這一新的機型建立在737優勢基礎之上，它配備最新的LEAP-1B發動機，首架飛機于2015年12月8日下線亮相，2016年1月29日完成首飛，2017年5月開始交付投入商業運行。波音B737 MAX問世三年，總計獲得訂單5012架（全球接收波音B737MAX的客戶如圖1所示），交付387架，其中包括中國運營的有96架，未交付4625架，約占波音全機型訂單總額的80%。

圖1 全球接收波音B737MAX的客戶

據波音公司2018年度財報顯示，該公司營收總額達1010億美元，其中B737MAX型號飛機訂單256架，約320億美元，是波音公司最賣座的產品，也是與競爭對手空客公司爭奪訂單的主力。

2010年，空客正式啟動A320升級版A320neo的研制，采用的是法美合資CFM公司的LEAP-1A發動機，據稱比上一代機型節省15%燃油，且推力更大。在2011年巴黎航展上，A320neo拿下667架意向訂單。7月，一直是全波音機隊的美國航空公司向空客訂購了460架飛機，其中包括130架A320neo，主要是看中了省油。美國航空公司的這一舉動刺激了波音，在2011年8月波音宣布B737 MAX的研發啟動。這款飛機基于上一代B737改造，B737 MAX最大的改動是采用了更省油的LEAP-1B發動機，據稱比上一代機型節省16%燃油。

波音B737 MAX8換裝了更粗大更省油的發動機，但其直徑變大，也給飛機的設計帶來了不少問題，為了搶時間、搶訂單，波音公司選取了一個變動最小的折中方案：保持飛機的機身、機翼、起落架不變，同時又要保證發動機有足夠的離地高度，波音B737 MAX提高了發動機的安裝點，導致發動機上邊緣超越了機翼表面，飛行時極易擾亂機翼的上表面氣流。此外因為飛機原來的起落架太短，設計師被迫把發動機在機翼的位置往前上方移，這就使飛機重心靠前，造成更大的抬頭力矩，致使飛機的俯仰配平性能有所變化，飛機更加容易失速，為波音B737 MAX8飛行安全埋下了隱患。

3　迎角傳感器

飛機速度矢量與飛機機翼前后緣連線的夾角稱為迎角，又稱仰角、攻角，可顯示機頭是朝上幾度，還是往下幾度的讀數。迎角是飛行中的一個重要指標，如果迎角過大會引起飛機失速（Stall），使機翼喪失升力，具體如圖2所示。

圖2 飛機的正常飛行狀態（上）和迎角過大的失速狀態（下）

迎角傳感器（Angle OfAttack，簡稱AOA），一般對稱布置在機頭兩側外形相對平整、流場變化相對穩定的區域，如圖3所示，有點像風向標，隨風轉動，可測量機翼翼弦與相對氣流之間的夾角，迎角傳感器的作用是通過外置風標葉片感知機身表面流場的變化情況，實時計算飛機機身迎角。

圖3 布置在機頭兩側的迎角傳感器

當實際迎角接近臨界迎角而使飛機有失速危險時，失速警告系統即發出各種形式的告警信號，如通過駕駛桿的抖動提示飛行員，飛機速度即將出現失速或超速，必須修正姿態，回到正常速度內。在飛行控制系統中，也常常引入迎角信號參與控制。

由于迎角傳感器的檢測數據非常重要，所以大多數民航飛機，包括B737 MAX，都裝有3個（也有稱裝有2個）傳感器來檢測此數據。

4　MCAS控制系統

飛機飛行時機頭越高，迎角越大，當迎角超出給定極限值后，飛機面臨失速風險。由于波音B737 MAX8飛機換裝新的發動機后，變得更加容易失速，設計師的補救辦法是開發一套MCAS自動控制系統，據悉，目前B737 MAX8和B737 MAX9都安裝了這套系統。

MCAS（Maneuvering Characteristics Augmentation System，機動特性增強系統）是一套自動化飛行安全的控制系統，其全名是“AOA傳感器數據錯誤導致的自動駕駛斷開后飛行員手動飛行情況下為了防止飛機失速自動觸發的飛機水平尾翼配平子程序”，該程序是一個正常飛行的時候不會啟動的程序，只有在飛機遇到某種特定故障時才會自動啟動。設計初衷是隨時監測飛機飛行迎角，一旦飛機飛行迎角超過給定極限值后，無需飛行員介入即接管飛機控制，自動操縱飛機低頭向下飛行，避免迎角過大導致飛機失速，并保持至少10s（也有說5s），一直等到波音B737 MAX飛機的飛行迎角恢復正常后，才會自動解除。

核心問題是波音B737 MAX飛機氣動設計有缺陷，用飛行控制系統來打補丁，彌補了一個錯誤，結果導致了更嚴重的十個錯誤。

波音在B737 MAX上犯下的另一個錯誤是，它試圖讓監管機構與飛行員相信這款機型相比以往沒有什么改變，所以在B737 MAX的飛行手冊中很少提及MCAS，“唯一提到MCAS的地方是英文縮寫匯總表”一位中國波音B737 MAX8飛行員說。 為了讓飛行員能更快執飛B737 MAX新機型，波音把B737 NG（包括B737-600/700/800/900等機型）和B737 MAX的操作差異做到最簡化，B737飛行員只需要接受一天的理論培訓即可執飛B737 MAX，受過一天這樣培訓的飛行員能深入了解MCAS嗎？據說在實際飛行過程中，有的飛行員甚至不知道MCAS新控制系統的存在。

5　反思

像飛機失事這樣的大事故很少聽說，而且幾乎是完全相同的兩架飛機發生幾乎同樣的事故，分析事故的眾多文章又將造成事故重點放在迎角傳感器和控制系統上，作為一個儀表人，自然而然地會關心事件的進展、報導、分析。

5.1　對事故的態度

這樣嚴重事故出現后，作為產品的制造商，不能一開始就推卸責任或拒不承認自己生產的產品存在缺陷。比如波音公司在印尼獅航事故后表態：“我們對波音B737 MAX的安全性充滿信心，安全仍然是我們的首要任務，也是波音公司每個員工堅持的核心價值。”并表態將著手對飛行自控軟件進行開發升級，目的是“使本就安全的737 MAX客機更加安全”。波音首席執行官CEO丹尼斯·米倫伯格也堅持表示：“波音737 MAX是非常安全的飛機”。在埃塞俄比亞航空公司事故后的第二天，米倫伯格對公司雇員表示，他仍然對這款飛機的安全性充滿信心。甚至連其主管上司——美國聯邦航空管理局（FAA）同日也發布公告稱，該型號飛機“適航”。在埃塞俄比亞航空公司波音737 MAX飛機墜機事故后的第四天，美國總統特朗普不得不宣布停飛波音B737 MAX8和737 MAX9兩款機型前，米倫伯格與特朗普通話時仍向特朗普保證該型號飛機是安全的。

推卸責任或拒不認錯的態度改變不了事實的真相，反而使人們看到波音公司在緊急關頭仍然只把本公司的利益放在首位，而置數以百計、千計乘客的安全于不顧？所以當中國民航在埃塞俄比亞航空公司事故后不到24小時率先發布停航決定時，全球都在點贊中國果斷停飛的決定。

5.2　迎角傳感器

在工業生產過程中，用于特別重要控制系統的檢測元件，按自控設計規范的許多規定是應該冗余配置并按規則作出決策。以火力發電廠鍋爐汽包水位測量為例，一個汽包的水位測量既要求有多臺水位測量儀表，又要求這些測量儀表的工作原理不同。像在高壓、超高壓及亞臨界壓力鍋爐的電廠，汽包水位測量裝置必須采用兩種或兩種以上工作原理共存的配置方式，至少應配置1套就地水位計、3套差壓式測量裝置和2套電接點水位測量裝置；鍋爐汽包水位控制應分別取自3個獨立的差壓變送器進行邏輯判斷后的信號。

這樣一些各行業通用的規則在飛機上也有應用，如我們了解到在波音B737MAX8上，裝有3個（也有說2個）迎角傳感器來檢測這個數據，但是3個迎角傳感器之間沒有邏輯判斷程序，僅僅只是以一個迎角傳感器為主，參與機動特性增強系統（MCAS）控制，另外兩個迎角傳感器備用，并起相互印證的作用。而空客設計的保護系統需要2~3個迎角傳感器同時報錯才會啟動自動程序；當3個迎角傳感器讀數不一樣時，不管迎角傳感器的主次，選擇是都不相信，直接報錯給飛行員，從而避免主迎角傳感器出錯，整個系統被誤導的風險。

迎角傳感器的可信度一直受到懷疑，CCTV4臺的航空專家說迎角傳感器會突然結冰，導致錯誤的迎角傳感器數據錯誤。歷史上空客A321在2014年11月一個航班也曾出現過一次未遂事故，當時飛機的兩個迎角傳感器都被凍住了，導致飛機在3.1萬英尺高空向下俯沖，幸虧飛行員發現，關閉自動駕駛程序，在2.7萬英尺處拉回。

汽包水位檢測保證絕對可靠的另一個措施是應該同時選用不同測量水位工作原理的儀表，比如差壓式水位計、電接點水位計、就地水位計或就地水位計的圖像遠程監視等，這樣做的好處是不會因同一原因造成所有儀表相同的故障。而飛機上的迎角傳感器常用的據說有風標式迎角傳感器、零壓式迎角傳感器等不同工作原理的迎角傳感器，但好像資料中介紹說采用的都是風標式迎角傳感器。明知道這種傳感器可靠性欠佳，為什么不同時配用其它原理的傳感器？

作為外行人也想拋出一個大膽方案，能否對飛機上的高度傳感器做實時減法運算，比如對以秒（或1/10秒）采樣的高度數據作減法運算，就可間接得到這段時間飛機是上升還是下降。比如，用前一秒高度減后一秒高度，若等于零，則飛機平飛；若等于正值，則飛機下降；若等于負值，則飛機上升。如果所得數值再與飛機速度值運算，就可得出一個迎角的參考數據。可能精度稍差一點，但絕對是可靠的。

清華大學航天航空學院飛機研究與設計實驗室教授陳海昕也質疑飛機控制程序不能只考慮迎角，還要考慮其他參數，比如飛行高度、姿態角和飛機速度方向。如果飛機高度不夠，為降低迎角而讓飛機俯沖，就很可能墜毀。陳教授還質疑，為什么沒能有效地進行交叉校驗、篩選排除或數據綜合，而偏偏相信了錯誤的信息？根據飛機其他參數，甚至飛行員的判斷，完全可能排除傳感器故障。

中國波音737MAX8一位資深飛行員表示，波音公司也一直在探討，由于一個迎角出現問題就引起保護生效，這個結論過于簡單，存在潛在危險。目前波音737裝有兩個迎角探測器，兩者沒有相互校驗和判定，容錯機制也存在問題。

5.3　MCAS控制系統

一篇文章分析MCAS控制程序有4個特點：

（1）容易聽信讒言：飛機的迎角數據非常重要，所以大多數民航飛機都裝有多個迎角傳感器來檢測。但MCAS控制程序是只要主迎角傳感器數據顯示飛機迎角過高，有失速危險，程序就選擇馬上相信，不管另外2個備份的迎角傳感器的數據。而我們現在了解到的情況是波音在B737MAX飛機上使用的迎角傳感器可靠性欠佳，一旦失誤，特別是作為主迎角傳感器出錯，整個系統就存在被誤導的風險。

（2）自己操作飛機俯沖，不告訴飛行員：因為確信自己是拯救失速的“救世主”，MCAS程序會直接操縱機翼，讓飛機進入俯沖姿態，而且不對飛行員作出明顯提示。

（3）只要自己覺得是對的，就一條路走到黑：該程序認為做事一定要負責，不達目的誓不罷休，所以它不僅自說自話讓飛機俯沖，還會在飛行員命令飛機停止俯沖后，每隔10s，再次自動讓飛機進入俯沖....如果飛行員再把機頭抬起來，10s后，該程序就再把機頭按下去，讓飛機俯沖，這樣拉起來，按下去，拉起來，按下去......如此反復，開展一場“人機大戰”。資料介紹，獅航JT610事故飛機前兩個航班JT-775、JT-43，由于主迎角傳感器檢修后仍存在故障，飛機起飛后數次突然下降，飛行員在“人機大戰”中歷經千辛萬苦，在飛機像過山車一樣上下翻騰多個回合后，還算安全地讓飛機平安著陸，但JT610事故航班的飛行員就沒有那么幸運，在與MCAS控制程序的“人機大戰”中較量了24個回合后敗下陣來，飛機最終墜入大海中。

（4）難以被關閉：波音考慮過上述“人機大戰”的可能性，所以還是保留了徹底關閉該程序的方法，但這個方法未在說明書中重點介紹和在培訓時讓飛行員演練，所以很多飛行員根本不掌握關閉該程序的方法，甚至還有根本不知道有這個程序。

所以有人質疑波音公司為了盡快投入商業運行，盡量避開過多談及MCAS控制程序，甚至還有一個說法是波音公司和美國聯邦航空管理局（FAA）決定不需要告知飛行員有關MAX 8飛行控制系統的這一變化，并以B737MAX8是一種衍生機型，不需要額外的模擬機培訓，FAA還將MCAS控制程序的安全評估任務交給了波音的工程師，在未對MCAS控制程序進行充分試飛驗證的情況下，使波音B737MAX8可以“趕進度”通過了的適航認證。

綜上分析，MCAS控制程序存在幾個致命的先天缺陷：一是對啟動控制程序的條件不應該只是主迎角傳感器的監測數據，而應該是多個迎角傳感器的數據進行邏輯判斷后才能啟動；二是MCAS控制程序啟動后要迅速通知飛行員，使之知曉；三是應賦予飛行員更多的操控權，應由他來綜合決策如何操作。

6　中國的C919飛機

說來也巧，中國開發的C919飛機的競爭對手就是波音B737MAX和空客A320neo，雖說表1中所列最大航程、載客量稍遜于對手（以后改進機型可以提高指標），但客艙寬，乘坐舒適、設計后發優勢以及價格僅相當于對手一半的優點令國內外眾多專業人士看好。如圖4所示，C919的起落架高度較高，為更大直徑（78寸）、更高的涵道比的新型發動機提供了足夠的安裝高度，所以不會存在像波音B737MAX8呈現的發動機布置缺陷。圖4中照片對比可清晰地看出這一點。

表1 C919飛機與競爭對手波音B737MAX、空客A320neo性能比較

圖4 C919飛機（上）和波音B737MAX8（下）

7　結束語

波音B737MAX8兩次致命的事故震驚了我們，也應該讓我們驚醒，小處不可隨意，小事也該認真，何況這些事原來就不是一件小事。

中國商飛公司承認中國大飛機的進步和發展速度沒有波音、空客那樣快，在推出新機型、包括改進型的速度比較緩慢。這樣做的原因之一就是要對多種設計方案進行深入細致的分析，不急功冒進，第一步先保證C919是一架“合格”的飛機，保證它飛起來后不會出現安全問題，第二步再通過設計上的改進、變更以及工藝上的不斷完善，讓它變成一架“成功”的商用飛機。

對國產C919大飛機的未來，我們拭目以待！

作者簡介：

方原柏（1942-），男，湖北黃岡人，昆明有色冶金設計研究院電氣自動化分院教授級高級工程師，昆明儀器儀表學會理事長，中國衡器協會技術專家委員會顧問，主要從事儀器儀表、控制系統的應用研究，曾出版《電子皮帶秤的原理及應用》（1994年，冶金工業出版社）、《電子皮帶秤》（2007年，冶金工業出版社）《流程行業無線通信技術及應用》（2015年化學工業出版社）、《有色金屬生產過程自動化》（2015年，人民郵電出版社）四本專著，發表論文300篇。

摘自《自動化博覽》2019年5月刊