麦帅的一罐虫虫

holycow

标题英文翻译: MCAS -- A Can of Worms
* _: q" Z' j6 G
前面那个如何加持麦帅的贴，和晨大，包子的几个贴一起引起热烈讨论，所以有必要新开一贴，把讨论中几个要点说明一下。在此之前，首先要明确一下，波音搞这个MAX项目，标准的短平快，有两点是绝对不能动的:

+ x$ }: u" z, R0 C1. 要能以737衍生型号补充认证的程序通过适航审定，不然适航审查旷日持久，不如去搞新机
2. MAX要和NG通用同一个飞行员型号资质，不然航空公司要重新培训飞行员，不如去搞新机
% E! s! b# T# y/ l, S
7 n6 B9 b$ O$ Q5 W* T, k有了这两雷打不动的天条，现在回答:
2 L; A, [2 [3 r; o
* O) i7 ~" I4 s! J$ ra) 两个AoA传感器不顶用啊，为什么不搞3传感器或4传感器的投票制？
( C( W% N# i: t6 e3 c  g/ N因为为了实现第一条，系统结构不能和NG有显著区别。你加两个传感器，走线，控制，逻辑全要改，不能适用衍生型号补充认证了
4 d/ a+ @# w, [# J' H
b) 为什么要把安全系统当升级包卖？
6 e/ X! q  @; f( q因为NG的人机界面并没有这东西，如果这玩意包括在基本款里，参见上面第一条。如果它不是基本款的一部分，而是一个选装的升级包，那么基本款的认证，培训程序不受影响。客户愿意加钱买升级包，额外培训，那是客户的事情。要走这条路，升级包必须是真.升级包，免费的升级包是混不过去的，所以升级包必须收钱。
/ v) H: \4 {* n% }
9 c# C/ u# Q. O! c前年Tesla为了在德国混全电车补贴，特地搞了一款德国特制毛豆，把全球标准款上的设置阉了改成升级包，这样基本款的售价就不会超过德国政府的补贴上限。这操作可以说和波音异曲同工。后来被德国政府抓包，以Tesla在德国一辆基本款都没卖过为由，认定是伪基本款，伪升级包，拒绝补贴~~

c) 控制俯仰可以控制操纵杆，为什么一定要去调配平？
6 p2 n. l2 {; ?  V5 O# W因为737上并没有防失速的自动推杆装置，所以不能通过推杆的方式防止机头上仰过度。想加自动推杆？参见上面第一条。那么通过液压系统的反馈动态调整杆力行不行？答案是这个办法在现有液压系统没法做到连续调整，而且液压系统反馈力的范围也达不到要求。要改液压系统，请参见上面第一条。
2 n7 |" A9 O! [4 e( E& I: }

/ M  l6 c1 Y% w* U. ^1 [+ {: R所以，只能麦帅亲自出马
* U0 c2 ^& h0 j9 t* K  ?( P
+ [) g- B9 c& l1 S5 B3 v; m3 zMAX在2017年中投入商业运行，到停飞前大约是飞了一年半，交付了大约370架，假设是恒定的交付速度，并假设每架每天飞行10小时，则到停飞时止，机队大约飞行小时数：

: J0 Z$ l' t( L$ _; r370 * 18个月 / 2 * 30 * 10 = 999,000小时，毛估估算一百万小时(这个飞行小时数肯定是高估了，因为生产线启动到达到恒定产能是需要时间的)。已知AoA传感器错误或高度疑似AoA传感器错误至少5起：摔掉的两起，加上中美飞行员有据可查的报告3起，那么AoA传感器的故障率至少是每二十万小时一起，和西雅图时报的十万分之一在一个数量级上。下面用十万分之一这个数量级来估算。

3 q9 w9 w% C2 i" I那么波音和FAA即将推出的改进 -- 两个AoA传感器互相验证，如果读数差太多，MCAS不启动，将会把MCAS误启动(false positive)的概率降到百亿分之一，基本消灭了这种可能；但需要MCAS时它不启动的概率(false negative)增加到了约五万分之一，不光不能满足“hazardous failure”的风险级别认定，连“major failure”的风险级别认定都达不到。这要不用3个或4个传感器，完全不可能把false positive和false negative同时降到可以接受的风险之下。如果要加传感器，参见本文第一条。
/ @+ E* d* z5 J2 g- S" X
: A: i% h3 a) S2 X' C波音的第二条改进，MCAS启动一次只能给一次输入。这个我们先要看一下MCAS现在是怎么运作的：

i) 假设飞行员没有干预: AoA超限，MCAS启动。大约10秒钟内最多调配平2.5度压机头，然后停5秒，AoA重新采样。如果仍然超限，再来一次10秒2.5度... 如此无限循环直到斯图卡。如果此间任何一次采样AoA返回正常范围，MCAS退出，退出前把配平调回启动前的位置

ii) 假设飞行员中间干预: AoA超限，MCAS启动。大约10秒钟内最多调配平2.5度压机头，此间飞行员超控手动调配平，本着人工操纵最高优先的原则，MCAS退出，配平完全交给飞行员控制(这也意味着MCAS不会把此前系统调的配平再调回去)。飞行员停止手动配平后，MCAS重新就预备位，下次AoA采样，如果还超限，MCAS再次启动，以当前的配平位置为基准，大约10秒钟内最多调配平2.5度压机头，此间飞行员超控手动调配平... 由此可见，如果每次飞行员超控后不能完全取消MCAS改变的配平，配平的幅度会一路积累到斯图卡。这个例子也说明了，人机交互时，人工操纵最高优先的原则并不是那么简单的

: @! ?+ M0 b7 H, T* K$ t" G3 ~可见波音的这项改进，可以使得全自动无干预的情况 i)下不至于出现斯图卡，但是对于人工干预系统，多次启动的累积配平效果并没有什么作用。而MCAS每次退出之后，是必须重就预备位的，否则一次飞行里如果出现两次真.AoA超限的情况，就会救了第一次救不了第二次。

+ b+ e" z5 L2 p- Y麦帅这罐子里，虫虫无尽


) g7 v# w% f4 U5 k8 d

马鹿

就4分了, 先加上. 又分了再加

马鹿

我算看出来了, 整个就是参见第一条.


人一干预, MCAS不会把此前系统调的配平再调回去, 每10秒调一次, 这是妥妥地积分! 最后可不就是大头朝下.

MacArthur

Eat the worm!
5 {+ o* q5 z  E* x/ B+ d

8 w0 ~( M4 B9 F. M- N看来往后南京老哥的建议没准儿还真的采用，往后飞行员上天人手一条水平尺。。。 飞机AoA不平自己找找平吧

+ Z0 w  r* {. S9 {
7 O7 J7 g) ]5 V
- `% b  s9 m2 \$ u

& Z- O  i+ _6 q. b& `  u6 E. h% U

indy

特别花这一句
7 P) E5 U. x5 o- B7 k$ W" N( H2 [

' M' u( Y. u& x/ x! ^, E“麦帅这罐子里，虫虫无尽2 X9 ]6 @% z( z
3 X; o* G) z! U8 {0 P& Y”

% l& `0 s6 J$ k9 @

holycow

马鹿 发表于 2019-3-21 13:41
0 Z# x# ~" C. R- E  E! X1 P) ]0 s* J我算看出来了, 整个就是参见第一条.

人一干预, MCAS不会把此前系统调的配平再调回去, 每10秒调一次, 这是妥妥地积分! 最后可不就是大头朝下

' G# W9 J* @( Q
人有最高权限，人调的就是人要的，系统别瞎掺和。难道不是这样？

料理鼠王

holycow 发表于 2019-3-22 06:03
. A6 e4 H& l% w1 S人有最高权限，人调的就是人要的，系统别瞎掺和。难道不是这样？ ...

+ r, X$ b8 A( ]+ n# |% \2 t这就失去了执行麦帅的意义。

马鹿

holycow 发表于 2019-3-21 17:03
# N6 l( \% q: i5 }  n5 h人有最高权限，人调的就是人要的，系统别瞎掺和。难道不是这样？ ...

估计波音肯定这样想的...
' z8 o# p& [. V& R2 y/ G**************************

问题是采样周期是5秒, 人抢过来了, 但是MCAS 5秒后又抢回去了, 这时候人还没把飞机调正呢, (人调节的时候, 反馈信号来自哪里? 不会就是那个MCAS那个探头吧?), 于是在此基础上再来2.5度...重重无尽, 直到...

老兵帅客

斯图卡万岁！

) b7 {  h+ @: N0 N: A" S建议给MAX再加上斯图卡的那个发声器，就彻底perfect了。

holycow

马鹿 发表于 2019-3-21 14:19
估计波音肯定这样想的...
**************************

人手只要在调，MCAS不会抢。但人停止调节以后，等5秒，MCAS重新arm，此后的那次采样会再次激发MCAS。
& v$ B& m* g" z: }0 v
+ {5 ]% E$ E+ {; f: ^/ z# F解决办法可能是要比较前一次采样值和当前采样值，只有前一次低于阈值，当前采样高于阈值才能激发？

马鹿

holycow 发表于 2019-3-21 17:28
人手只要在调，MCAS不会抢。但人停止调节以后，等5秒，MCAS重新arm，此后的那次采样会再次激发MCAS。

, h6 e7 S6 [( G$ w% W4 h解 ...

  |: K; O. B% V# J
你说的办法应该可行.
8 N- \5 B* E0 A- e. u
* u% f. s5 D: K' S% ?" e* _我们行业每个可以自动控制的设备在屏幕的控制都有个自动手动开关用于在自动手动之间切换. 一般是人认为调节好了, 把这个屏幕上的开关打到自动, 相应的自动程序开始工作.  MCAS这个程序不能自己一直在后台运行, 要人允许它运行, 它才能运行.

$ A) ]% L# ~" p; }- a( J* o
如果晨枫反驳我说的, 以晨司机说的为准.

鳕鱼邪恶

波音越来越有三哥的风格了～

大黑蚊子

holycow 发表于 2019-3-22 06:28
9 X+ D+ E" z4 b. B9 a  V人手只要在调，MCAS不会抢。但人停止调节以后，等5秒，MCAS重新arm，此后的那次采样会再次激发MCAS。
- K2 [- n' J" b% F% E, D
$ h; d9 T/ h$ Z* Q$ Y: t. ]2 n解 ...

- }( y+ [% X- b: JCAAC李健的说法印证了你的解释

晨枫

马鹿 发表于 2019-3-21 16:46
你说的办法应该可行.

* v7 V6 r* j9 m1 u; g/ ~# f; q% w我们行业每个可以自动控制的设备在屏幕的控制都有个自动手动开关用于在自动手动之 ...

晨枫哪敢反驳啊！化工上也是这样，不管是连续的控制回路，还是断续的马达控制，只要在MAN位置，自动逻辑退出。

code_abc

其实是那两条约束害的，整个系统在这两个约束下无法保证实现所需的功能。波音的工程师过于自信了。

捣江湖

那个所有机队 的时间加和 算法 太给max 面子了，实际上应该分开一架一架的算

包子

737有失速震杆，配合语音提示我觉得足以起到预防失速的作用，而且大型飞机失速特性比较柔和，不至于一下就失控。

* N6 }" {- X  U4 |/ H
就俯仰操作而言，738驾驶杆负责操作的是升降舵，而配平轮操作的水平安定面，配平的目的是消除杆力，操作杆不动的情况下，配平轮可以稍微的控制俯仰。

# y6 q1 M' p: U0 T# l+ k0 EMAX8的麦帅是直接应用于升降舵的（所以一下能调整2.5度），但用于人工超越麦帅的调整要求去操作配平轮而不是驾驶杆，但配平轮的调整量是很低的，我没开过波音不知道具体情况，但印象中空客A320的配平轮的调整量大约是每30度调整0.1度配平，也就是说转1圈能调整1.2度。也就是说如果麦帅如果一次最大的压机头2.5度，飞行员如果想修正回来要转2圈多，这还只是回到初始。而现实中为了保证客机的舒适性，通常每次操作配平轮转个半圈就算多了，所以如果需要突然的大幅度调整俯仰，飞行员的第一反映应该是驾驶杆，，你一下让我转3圈配平，咱确实没经验啊。

通过这件事我们应该认识到，涉及安全的事情，千万不能让三哥插手。安全千万条，牢记第一条，三哥一插手，亲人两行泪。
* I  p" S" E8 ]

pcb

真要三锅背锅？

李根

只能坐等737Max复飞之后再摔一次了

马鹿

晨枫 发表于 2019-3-21 19:19
晨枫哪敢反驳啊！化工上也是这样，不管是连续的控制回路，还是断续的马达控制，只要在MAN位置，自动逻辑 ...

/ R6 A  J) Y1 k0 Y+ u2 P8 g谁知道万一化工出个出格的呢, 你看神牛的飞机行业不就是后台运行个大家不知道的程序