摘要：波音B737MAX8飞机两次事故引起全世界的关注，许多媒体报道中在分析事故原因时首先提到的是迎角传感器和MCAS控制系统，出于仪表人的敏感，笔者收集网站上能找到的信息，然后对其进行梳理，希望还原事故过程，分析直接原因、深层隐患，最后试图站在仪表人的角度反思这一事故。

关键词：波音B737MAX8；狮航事故；埃塞俄比亚航空公司事故；迎角传感器；MCAS控制系统

1　两次事故概述

2018年10月28日，印度尼西亚狮航的一架波音B737MAX8的JT610航班从印尼首都雅加达起飞13min后，在附近海域坠毁，机上189人全部遇难。2019年3月10日，埃塞俄比亚航空公司一架波音B737MAX8从埃塞俄比亚首都亚的斯亚贝巴起飞仅6min后，飞机坠毁，8名机组人员和149名乘客无人生还。

这两次事故有很多共同之处：同一型号的飞机；出厂不久的新飞机（飞行时间分别为1000h、800h）；起飞后不久坠毁（分别为起飞后13min、6min）；天气状况良好；空中失控；飞行员都曾报告问题试图返航；飞机最后都是处于超过正常飞行速度的超速状态；飞机曾经有过突然下降的迹象随后又被拉升；坠毁前的状态都是高速俯冲。

2　波音B737MAX8

波音B737 MAX是波音737装配新发动机的衍生机型，是波音最新的单通道窄体客机，主打燃油经济型，这一新的机型建立在737优势基础之上，它配备最新的LEAP-1B发动机，首架飞机于2015年12月8日下线亮相，2016年1月29日完成首飞，2017年5月开始交付投入商业运行。波音B737 MAX问世三年，总计获得订单5012架（全球接收波音B737MAX的客户如图1所示），交付387架，其中包括中国运营的有96架，未交付4625架，约占波音全机型订单总额的80%。

图1 全球接收波音B737MAX的客户

据波音公司2018年度财报显示，该公司营收总额达1010亿美元，其中B737MAX型号飞机订单256架，约320亿美元，是波音公司最卖座的产品，也是与竞争对手空客公司争夺订单的主力。

2010年，空客正式启动A320升级版A320neo的研制，采用的是法美合资CFM公司的LEAP-1A发动机，据称比上一代机型节省15%燃油，且推力更大。在2011年巴黎航展上，A320neo拿下667架意向订单。7月，一直是全波音机队的美国航空公司向空客订购了460架飞机，其中包括130架A320neo，主要是看中了省油。美国航空公司的这一举动刺激了波音，在2011年8月波音宣布B737 MAX的研发启动。这款飞机基于上一代B737改造，B737 MAX最大的改动是采用了更省油的LEAP-1B发动机，据称比上一代机型节省16%燃油。

波音B737 MAX8换装了更粗大更省油的发动机，但其直径变大，也给飞机的设计带来了不少问题，为了抢时间、抢订单，波音公司选取了一个变动最小的折中方案：保持飞机的机身、机翼、起落架不变，同时又要保证发动机有足够的离地高度，波音B737 MAX提高了发动机的安装点，导致发动机上边缘超越了机翼表面，飞行时极易扰乱机翼的上表面气流。此外因为飞机原来的起落架太短，设计师被迫把发动机在机翼的位置往前上方移，这就使飞机重心靠前，造成更大的抬头力矩，致使飞机的俯仰配平性能有所变化，飞机更加容易失速，为波音B737 MAX8飞行安全埋下了隐患。

3　迎角传感器

飞机速度矢量与飞机机翼前后缘连线的夹角称为迎角，又称仰角、攻角，可显示机头是朝上几度，还是往下几度的读数。迎角是飞行中的一个重要指标，如果迎角过大会引起飞机失速（Stall），使机翼丧失升力，具体如图2所示。

图2 飞机的正常飞行状态（上）和迎角过大的失速状态（下）

迎角传感器（Angle OfAttack，简称AOA），一般对称布置在机头两侧外形相对平整、流场变化相对稳定的区域，如图3所示，有点像风向标，随风转动，可测量机翼翼弦与相对气流之间的夹角，迎角传感器的作用是通过外置风标叶片感知机身表面流场的变化情况，实时计算飞机机身迎角。

图3 布置在机头两侧的迎角传感器

当实际迎角接近临界迎角而使飞机有失速危险时，失速警告系统即发出各种形式的告警信号，如通过驾驶杆的抖动提示飞行员，飞机速度即将出现失速或超速，必须修正姿态，回到正常速度内。在飞行控制系统中，也常常引入迎角信号参与控制。

由于迎角传感器的检测数据非常重要，所以大多数民航飞机，包括B737 MAX，都装有3个（也有称装有2个）传感器来检测此数据。

4　MCAS控制系统

飞机飞行时机头越高，迎角越大，当迎角超出给定极限值后，飞机面临失速风险。由于波音B737 MAX8飞机换装新的发动机后，变得更加容易失速，设计师的补救办法是开发一套MCAS自动控制系统，据悉，目前B737 MAX8和B737 MAX9都安装了这套系统。

MCAS（Maneuvering Characteristics Augmentation System，机动特性增强系统）是一套自动化飞行安全的控制系统，其全名是“AOA传感器数据错误导致的自动驾驶断开后飞行员手动飞行情况下为了防止飞机失速自动触发的飞机水平尾翼配平子程序”，该程序是一个正常飞行的时候不会启动的程序，只有在飞机遇到某种特定故障时才会自动启动。设计初衷是随时监测飞机飞行迎角，一旦飞机飞行迎角超过给定极限值后，无需飞行员介入即接管飞机控制，自动操纵飞机低头向下飞行，避免迎角过大导致飞机失速，并保持至少10s（也有说5s），一直等到波音B737 MAX飞机的飞行迎角恢复正常后，才会自动解除。

核心问题是波音B737 MAX飞机气动设计有缺陷，用飞行控制系统来打补丁，弥补了一个错误，结果导致了更严重的十个错误。

波音在B737 MAX上犯下的另一个错误是，它试图让监管机构与飞行员相信这款机型相比以往没有什么改变，所以在B737 MAX的飞行手册中很少提及MCAS，“唯一提到MCAS的地方是英文缩写汇总表”一位中国波音B737 MAX8飞行员说。 为了让飞行员能更快执飞B737 MAX新机型，波音把B737 NG（包括B737-600/700/800/900等机型）和B737 MAX的操作差异做到最简化，B737飞行员只需要接受一天的理论培训即可执飞B737 MAX，受过一天这样培训的飞行员能深入了解MCAS吗？据说在实际飞行过程中，有的飞行员甚至不知道MCAS新控制系统的存在。

5　反思

像飞机失事这样的大事故很少听说，而且几乎是完全相同的两架飞机发生几乎同样的事故，分析事故的众多文章又将造成事故重点放在迎角传感器和控制系统上，作为一个仪表人，自然而然地会关心事件的进展、报导、分析。

5.1　对事故的态度

这样严重事故出现后，作为产品的制造商，不能一开始就推卸责任或拒不承认自己生产的产品存在缺陷。比如波音公司在印尼狮航事故后表态：“我们对波音B737 MAX的安全性充满信心，安全仍然是我们的首要任务，也是波音公司每个员工坚持的核心价值。”并表态将着手对飞行自控软件进行开发升级，目的是“使本就安全的737 MAX客机更加安全”。波音首席执行官CEO丹尼斯·米伦伯格也坚持表示：“波音737 MAX是非常安全的飞机”。在埃塞俄比亚航空公司事故后的第二天，米伦伯格对公司雇员表示，他仍然对这款飞机的安全性充满信心。甚至连其主管上司——美国联邦航空管理局（FAA）同日也发布公告称，该型号飞机“适航”。在埃塞俄比亚航空公司波音737 MAX飞机坠机事故后的第四天，美国总统特朗普不得不宣布停飞波音B737 MAX8和737 MAX9两款机型前，米伦伯格与特朗普通话时仍向特朗普保证该型号飞机是安全的。

推卸责任或拒不认错的态度改变不了事实的真相，反而使人们看到波音公司在紧急关头仍然只把本公司的利益放在首位，而置数以百计、千计乘客的安全于不顾？所以当中国民航在埃塞俄比亚航空公司事故后不到24小时率先发布停航决定时，全球都在点赞中国果断停飞的决定。

5.2　迎角传感器

在工业生产过程中，用于特别重要控制系统的检测元件，按自控设计规范的许多规定是应该冗余配置并按规则作出决策。以火力发电厂锅炉汽包水位测量为例，一个汽包的水位测量既要求有多台水位测量仪表，又要求这些测量仪表的工作原理不同。像在高压、超高压及亚临界压力锅炉的电厂，汽包水位测量装置必须采用两种或两种以上工作原理共存的配置方式，至少应配置1套就地水位计、3套差压式测量装置和2套电接点水位测量装置；锅炉汽包水位控制应分别取自3个独立的差压变送器进行逻辑判断后的信号。

这样一些各行业通用的规则在飞机上也有应用，如我们了解到在波音B737MAX8上，装有3个（也有说2个）迎角传感器来检测这个数据，但是3个迎角传感器之间没有逻辑判断程序，仅仅只是以一个迎角传感器为主，参与机动特性增强系统（MCAS）控制，另外两个迎角传感器备用，并起相互印证的作用。而空客设计的保护系统需要2~3个迎角传感器同时报错才会启动自动程序；当3个迎角传感器读数不一样时，不管迎角传感器的主次，选择是都不相信，直接报错给飞行员，从而避免主迎角传感器出错，整个系统被误导的风险。

迎角传感器的可信度一直受到怀疑，CCTV4台的航空专家说迎角传感器会突然结冰，导致错误的迎角传感器数据错误。历史上空客A321在2014年11月一个航班也曾出现过一次未遂事故，当时飞机的两个迎角传感器都被冻住了，导致飞机在3.1万英尺高空向下俯冲，幸亏飞行员发现，关闭自动驾驶程序，在2.7万英尺处拉回。

汽包水位检测保证绝对可靠的另一个措施是应该同时选用不同测量水位工作原理的仪表，比如差压式水位计、电接点水位计、就地水位计或就地水位计的图像远程监视等，这样做的好处是不会因同一原因造成所有仪表相同的故障。而飞机上的迎角传感器常用的据说有风标式迎角传感器、零压式迎角传感器等不同工作原理的迎角传感器，但好像资料中介绍说采用的都是风标式迎角传感器。明知道这种传感器可靠性欠佳，为什么不同时配用其它原理的传感器？

作为外行人也想抛出一个大胆方案，能否对飞机上的高度传感器做实时减法运算，比如对以秒（或1/10秒）采样的高度数据作减法运算，就可间接得到这段时间飞机是上升还是下降。比如，用前一秒高度减后一秒高度，若等于零，则飞机平飞；若等于正值，则飞机下降；若等于负值，则飞机上升。如果所得数值再与飞机速度值运算，就可得出一个迎角的参考数据。可能精度稍差一点，但绝对是可靠的。

清华大学航天航空学院飞机研究与设计实验室教授陈海昕也质疑飞机控制程序不能只考虑迎角，还要考虑其他参数，比如飞行高度、姿态角和飞机速度方向。如果飞机高度不够，为降低迎角而让飞机俯冲，就很可能坠毁。陈教授还质疑，为什么没能有效地进行交叉校验、筛选排除或数据综合，而偏偏相信了错误的信息？根据飞机其他参数，甚至飞行员的判断，完全可能排除传感器故障。

中国波音737MAX8一位资深飞行员表示，波音公司也一直在探讨，由于一个迎角出现问题就引起保护生效，这个结论过于简单，存在潜在危险。目前波音737装有两个迎角探测器，两者没有相互校验和判定，容错机制也存在问题。

5.3　MCAS控制系统

一篇文章分析MCAS控制程序有4个特点：

（1）容易听信谗言：飞机的迎角数据非常重要，所以大多数民航飞机都装有多个迎角传感器来检测。但MCAS控制程序是只要主迎角传感器数据显示飞机迎角过高，有失速危险，程序就选择马上相信，不管另外2个备份的迎角传感器的数据。而我们现在了解到的情况是波音在B737MAX飞机上使用的迎角传感器可靠性欠佳，一旦失误，特别是作为主迎角传感器出错，整个系统就存在被误导的风险。

（2）自己操作飞机俯冲，不告诉飞行员：因为确信自己是拯救失速的“救世主”，MCAS程序会直接操纵机翼，让飞机进入俯冲姿态，而且不对飞行员作出明显提示。

（3）只要自己觉得是对的，就一条路走到黑：该程序认为做事一定要负责，不达目的誓不罢休，所以它不仅自说自话让飞机俯冲，还会在飞行员命令飞机停止俯冲后，每隔10s，再次自动让飞机进入俯冲....如果飞行员再把机头抬起来，10s后，该程序就再把机头按下去，让飞机俯冲，这样拉起来，按下去，拉起来，按下去......如此反复，开展一场“人机大战”。资料介绍，狮航JT610事故飞机前两个航班JT-775、JT-43，由于主迎角传感器检修后仍存在故障，飞机起飞后数次突然下降，飞行员在“人机大战”中历经千辛万苦，在飞机像过山车一样上下翻腾多个回合后，还算安全地让飞机平安着陆，但JT610事故航班的飞行员就没有那么幸运，在与MCAS控制程序的“人机大战”中较量了24个回合后败下阵来，飞机最终坠入大海中。

（4）难以被关闭：波音考虑过上述“人机大战”的可能性，所以还是保留了彻底关闭该程序的方法，但这个方法未在说明书中重点介绍和在培训时让飞行员演练，所以很多飞行员根本不掌握关闭该程序的方法，甚至还有根本不知道有这个程序。

所以有人质疑波音公司为了尽快投入商业运行，尽量避开过多谈及MCAS控制程序，甚至还有一个说法是波音公司和美国联邦航空管理局（FAA）决定不需要告知飞行员有关MAX 8飞行控制系统的这一变化，并以B737MAX8是一种衍生机型，不需要额外的模拟机培训，FAA还将MCAS控制程序的安全评估任务交给了波音的工程师，在未对MCAS控制程序进行充分试飞验证的情况下，使波音B737MAX8可以“赶进度”通过了的适航认证。

综上分析，MCAS控制程序存在几个致命的先天缺陷：一是对启动控制程序的条件不应该只是主迎角传感器的监测数据，而应该是多个迎角传感器的数据进行逻辑判断后才能启动；二是MCAS控制程序启动后要迅速通知飞行员，使之知晓；三是应赋予飞行员更多的操控权，应由他来综合决策如何操作。

6　中国的C919飞机

说来也巧，中国开发的C919飞机的竞争对手就是波音B737MAX和空客A320neo，虽说表1中所列最大航程、载客量稍逊于对手（以后改进机型可以提高指标），但客舱宽，乘坐舒适、设计后发优势以及价格仅相当于对手一半的优点令国内外众多专业人士看好。如图4所示，C919的起落架高度较高，为更大直径（78寸）、更高的涵道比的新型发动机提供了足够的安装高度，所以不会存在像波音B737MAX8呈现的发动机布置缺陷。图4中照片对比可清晰地看出这一点。

表1 C919飞机与竞争对手波音B737MAX、空客A320neo性能比较

图4 C919飞机（上）和波音B737MAX8（下）

7　结束语

波音B737MAX8两次致命的事故震惊了我们，也应该让我们惊醒，小处不可随意，小事也该认真，何况这些事原来就不是一件小事。

中国商飞公司承认中国大飞机的进步和发展速度没有波音、空客那样快，在推出新机型、包括改进型的速度比较缓慢。这样做的原因之一就是要对多种设计方案进行深入细致的分析，不急功冒进，第一步先保证C919是一架“合格”的飞机，保证它飞起来后不会出现安全问题，第二步再通过设计上的改进、变更以及工艺上的不断完善，让它变成一架“成功”的商用飞机。

对国产C919大飞机的未来，我们拭目以待！

作者简介：

方原柏（1942-），男，湖北黄冈人，昆明有色冶金设计研究院电气自动化分院教授级高级工程师，昆明仪器仪表学会理事长，中国衡器协会技术专家委员会顾问，主要从事仪器仪表、控制系统的应用研究，曾出版《电子皮带秤的原理及应用》（1994年，冶金工业出版社）、《电子皮带秤》（2007年，冶金工业出版社）《流程行业无线通信技术及应用》（2015年化学工业出版社）、《有色金属生产过程自动化》（2015年，人民邮电出版社）四本专著，发表论文300篇。

摘自《自动化博览》2019年5月刊