波音的教训

晨枫

波音737-Max的停飞事态还在扩大。FAA官员说，要等到波音的飞控补丁通过测试后，才能复飞。停飞将延续到至少5月，不过没说是5月初还是5月底。在波音方面，波音宣称737-Max的交付暂停，但生产继续。按照每月52架的产量，要不了多久，Renton工厂的停机坪就要爆满了。根据停飞令，到时候连转移到其他机场停放都需要FAA特许才可能，否则根本不许升空。
6 L7 u9 \3 |( N3 [! N4 i
; ~/ i* F; n$ i埃航302空难之后，波音的股票已经跌了10%以上。随着停飞的延长，波音股票可能还会继续跌。瑞银估计，2019年波音应该交付579架MAX，占737总交付量的88%（还有上一代的NG在继续交付），价值317亿美元，占波音民机营收的48%，占波音总营收的28%，但可能占波音利润的82%，因为继续热销的波音787在早期赔本赚吆喝，现在的利润还在填补当年的漏洞。2018年波音营收1011亿美元，2018年预期1095-1115亿美元。问题是737-Max出问题之后，波音的预期还有多少能实现。
, h8 s9 i. f3 G; {5 u% Y
据报道，波音手头有85亿美元的现金流，另有51亿美元的信用额度。应付短期没有问题，但家大业大花销大，如果737-Max的生产还在继续，但交付迟迟不能恢复，资金不能回收，那波音的现金流很快就要出问题。单暂停交付一项，每个月的停飞对波音就是至少18亿美元的额外损失。
0 ^9 v5 ?! j% K  H( ^  F/ f
更大的问题是各国航司退订、拒收、索赔。据报道，狮航已经有意退订222架737-Max（已交货11架，包括坠毁的那架，尚有211架还未交付），总价值220亿美元。狮航已冻结所有尚未交付的飞机，韩航也拒收。越南VietJet刚签订100架737-Max 8，但越南民航当局已经表示，在现在的情况下，不可能容许这些飞机在越南飞行。俄罗斯Aeroflot、泰航、肯尼亚航空、沙特Flyadeal都有退订或者换空客的意向。中国是现有737-Max最多的国家，如果中国旅客对737家族的安全性产生怀疑而拒乘，推迟接收甚至退订也是可能的。
5 ]: }8 K# T. y* Y, u- j4 Y
: t: t6 R( b8 B; ^7 V' y9 [( U  y退订和索赔对波音是非常艰难的问题。一方面，那些订购协议里可能有众多条款，使得“无理退订”要承受巨大的违约金；另一方面，在安全和适航性受到威胁时，已经不是“无理退订”了。航司因为波音的问题而被迫停飞造成的经济损失是索赔的正当理由，但怎么使得波音认账，也是要看律师的本事的。但最要命的是，即使波音有足够把握拒绝退订和索赔，这将极大地损害与用户的关系，损害其他系列飞机的销售和未来销售前景。波音787锂电池风波时，波音最后是与用户私了的，以后续销售的降价作为补偿。但737-Max的影响太大，已经交付了350架，确认已经投入日常航班运作的至少250架，而订单高达5000架以上，索赔面太大。不可能出现全面退订的事情，但只要有几百架，影响就够大。787那会儿刚交付40架，大部分航司还没有开始航班运作，索赔的面小多了。

& y  E0 i* v% A2 e: f4 G另一个问题就是狮航610和埃航302受难者家属的赔偿要求。先前波音把狮航610的责任推到维修和飞行员，就有逃避赔偿的考虑。但如果确认埃航302的空难原因与狮航610一样，属于波音的设计问题，那不管狮航的维修和飞行员有什么过错，波音都是主要责任。这就像当年通用汽车的皮卡油箱在撞车后容易起火，责任是通用汽车的，而驾车人小心点、不撞车就没事了这些构不成辩护的理由。但这就不容易私了了，惩罚性罚款的数额会十分巨大。对波音不仅是经济损失，更是公关损失，赔了钱还要背上恶名。但如果斤斤计较，对遇难者家属的要求置若罔闻，甚至恶言相向，则可能是公关灾难。
5 n. Q) \, U! X0 @8 o- a
美国媒体对737-Max风波的态度很有意思。在中国率先停飞的时候，一边倒地指责中国小题大做、政治化，并与贸易战扯上。现在倒是不再提这档子事了，但着力强调波音737-Max的订单依然强劲，飞机依然受欢迎，而旅客是健忘的，要不了多久就会忘记737-Max曾经有的安全问题了，而闭口不提各国航司的退订潮和可能出现的大面积拒收。难说这是否有借助舆论稳定波音股票的用意，毕竟道琼斯下跌违反所有美国人的利益，而波音是道琼斯里的重要部分。就是旅客的健忘，只要有心人时不时提醒，想健忘都难。这可是社交媒体的影响在某种程度上超过主流媒体的现在。
* h6 n( R5 f1 n0 I' B) e' \8 H
5 {* L/ I  M" g但“看波音好戏”不是正确心态。说到底，波音倒了，只有空客的话，一家独大的民航市场对消费者是不利的，两霸竞争比一强独大要好得多。三强竞争当然更好，但中国商飞要成长到波音、空客的程度还需要时间。
- e$ K. Z& W9 L. B
更加不应该有的是把技术问题庸俗化、简单化的倾向，更不宜用想象出来的理由把波音妖魔化。

波音在737-Max的设计中不管存在什么问题，贪婪和短视不是主要原因。就像很多成功的老字号一样，波音最大的利益还是在于长远的生存和发展，而不是在一时一事上的进账。损害安全声誉对波音的打击是毁灭性的，波音没有理由有意推出存在已知安全隐患的产品，在高度成熟、高度复杂的产品上犯简单、低级错误更是小概率事件。
; B8 G/ `$ E# z) @, l) L
" _$ Z2 m; U7 J3 U9 Q# |一般认为，波音737-Max 8上新增的机动特性增强系统（简称MCAS）是肇事的祸首，但对于737-Max为什么需要MCAS，坊间的很多解释应该说是误导。

很流行的说法是，由于波音737原始设计中起落架较短，机翼离地净空不足，所以一代一代的737把发动机短舱逐渐前移，以在发动机短舱下唇口不至于过低而吸入地面杂物的情况下，可以把上唇口提升到机翼前方，依然得益于大直径涡扇的省油、降噪优点。这样，翼下发动机实际上已经成为“翼前发动机”了，由此带来的一系列气动变化导致必须采用MCAS以克服上扬倾向，最终导致狮航610和埃航302的惨祸。这是似是而非的。
$ ?  X2 K" A8 J9 ]5 h
, E0 H- d& R6 p6 P0 N1 R这是从俯仰稳定性出发的说法。但俯仰稳定性最基本的道理是：在升力中心保持不变的情况下（机翼保持原位的话，大体可以认为升力中心保持不变），重心前移导致的是天然的低头倾向，而不是抬头倾向。所以发动机前置导致必须用MCAS抑制不由自主的抬头是说不通的。
" o, ?" Z: O) _2 l
另一个说法是737-Max的发动机不仅前置，推力线还有所提高，导致天然的抬头倾向，所以需要MCAS自动抑制，这也是说不通的。推力线提高同样强化的是天然的低头倾向，不是抬头倾向。
; @2 q4 m9 T. G; _: }
还有一个说法是发动机推力线提高，喷气气流造成局部机翼的“升力层”破坏，导致天然的抬头倾向。这就更奇怪了。航空上不存在升力层这样的说法。如果这是指机翼上表面的层流状态，737-Max本来就不是层流翼，世界上就没有多少主流商用飞机使用层流翼设计，流行的超临界翼更不是层流翼。最低限度，如果发动机喷流造成“升力层”破坏而导致升力损失的话，考虑到发动机推力线的位置是固定的，升力损失就不应该是偶尔出现的现象，而是每时每刻的。那737-Max也就别飞了。
2 M0 |2 D) @; l% w5 z
) {6 ^* F5 h! q1 S& N事实上，从波音737-Max、787、777X到空客320NEO、330NEO、350XWB，甚至到中国C919，纵观采用翼下发动机布局的现代民航客机，很难找到发动机不前置的，发动机外涵道喷口的位置差不多都与机翼前缘齐平，甚至领先于机翼前缘。现代客机的推力线也远远高于波音707的时代，发动机短舱的上唇口几乎与机翼前缘齐平。换句话说，如果737-Max的发动机位置错了，那全世界的客机设计都错了。

, _6 C0 Y) |+ k, T; x再有一个说法是发动机短舱前移，造成大迎角状态下风压分布向前移动，形成抬头倾向，这个说法有点道理，但还是有问题。迎角是机体轴线指向与飞机运动轨迹之间的夹角，大迎角状态下迎风动压确实可以很显著，面积分布向前移动造成抬头倾向是可能的。但风压下的抬头倾向最终是由重心前后下视投影面积决定的，只要重心前的投影面积小于重心后的投影面积，就是稳定的，任何上扬倾向都会在风压作用下自然回中。737-Max的发动机前移了，但后机体也加长了，重心前后的投影面积分布光靠目测很难看出变化，除非有精确的设计数据证明，否则只能相信波音不至于犯这样的低级错误。

应该指出的是，如果设计的时候就有所考虑，发动机短舱的圆唇口是可以产生升力的，这好比把圆唇口当作环形翼，将导致在大迎角状态产生强烈上扬倾向。但一般圆唇口是按照不产生升力来设计的。升力说到底是用阻力换来的，环形翼的升阻比不如常规机翼，还增加种种飞控难题，所以发动机短舱一般是按照最低阻力、无升力设计的，737-Max也不例外。

有意思的是，波音在申请型号适航认证（由于是作为737NG的改进型申请的，所以是补充适航认证，不是全新申请）时，确实提到MCAS是为了抑制上扬倾向而新增的，但这是因为LEAP发动机比CFM56推力更大的原因。翼下发动机的推力线低，天然具有使得飞机抬头的倾向。在设计时适当考虑，这并不是问题。但基本设计没有大改而推力显著增加时，就可能有上扬倾向问题。这么说来，737-Max的推力线抬高，实际上还是缓解了上扬倾向的。当然，缓解不够，需要用MCAS来补偿。应该指出的是，这只有在高原、高温起飞、大迎角爬升而需要最大推力的时候容易出现，巡航的时候推力要求很低，没有这个问题。
( l# l  l: A7 j5 \0 P
& P2 G! s3 D* p, w* A8 L- V' `波音用MCAS来补偿这个问题。MCAS在以下情况会自动触发：

2 [9 U+ {& i  @+ ?( t4 ~1、迎角过高
$ F" S# _0 n) s2 w6 J1 Z2、自动驾驶脱开
7 K* x+ ^6 ?6 h* G0 k3、襟翼收上位
4、急转弯

但在以下情况会停止工作：

' [. s; `* i$ }3 ^4 X+ E' T1、迎角充分较低
2、飞行员手动超越控制（但MCAS会在10秒钟后会自动再次切入）
5 L; h* C6 g9 ]6 C; t
MCAS是用于大迎角时的失速保护的，所以第一个条件很显然。这也是在手动飞行阶段才需要的，换句话说，主要用于起飞和降落阶段万一飞行员操纵过度导致迎角过大，巡航阶段通常转入自动驾驶仪状态，没有这个问题。在起飞和降落状态中，起飞和爬升更容易出现迎角过大的情况。降落一般这个问题不大，没有民航飞行员试图像航母上挂拦阻索那样降落客机的，起落架都受不了。当然，紧急情况的迫降除外，但那时所有的自动东西都应该切除，免得碍事。襟翼是增升用的，起飞离地、转入爬升的时候收起襟翼，因为已经达到一定的空速，这时应该降低阻力、尽快爬升、转入巡航状态了。急转弯实际上也是大迎角飞行，只是迎角的平面“横躺下来”了。转弯过急也是会失速的。
* q/ v; g8 w: i. j% g& X$ S
: h' ^- ?8 e, G' y& L$ R- b7 @" l% ]这些切入条件没有大问题，问题出在退出条件。迎角充分降低可以是MCAS或者手动降低迎角的结果，既然降低了，就不再需要失速保护，这没有问题。问题在于仪表出错。狮航610和埃航302的迎角传感器的出错机制现在还不清楚，可能与结冰有关，也可能无关。问题在于出错后怎么办。

波音737的基本设计是50年前的，当年采用双重迎角传感器，由飞行员手动全程控制起飞和着陆，这是符合安全要求的。几十年下来，各种自动增稳（像MCAS）逐步加上，一方面改善了操纵性和安全性，另一方面也悄悄地改变了对仪表可靠性的要求。由于737-Max是“补充适航认证”，当年认为安全的，现在“没有改变”的话，还继续承认是安全的。问题在于如何判断“没有改变”。
* N7 m3 O, g# y5 G/ s% |& }
" H; ~2 h) Q& w9 N8 FMCAS 只使用两个迎角传感器中的一个，形成了单点故障源。在全人工年代，飞行员可以比较两个传感器，结合其他传感器和直接的座舱观察，可以有效地感知迎角，并加以适当的控制。但自控系统不能简单地把两个迎角传感器统统接上，因为单从这两者之间是无法判断哪一个故障的。进一步接入其他传感器大大增加系统复杂性（包括间接判读，因为其他传感器并不是直接用于迎角测量的，还有数据率和可靠性问题），实际上增加了故障源和故障模式，并不是越多越好的。

( m$ B6 z  K  A$ `但MCAS这样高权限的关键系统对于迎角传感器单点故障缺乏保护是不可思议的，最低限度，应该有两个迎角传感器之间的偏差报警，甚至在偏差超限时自动禁止MCAS介入，因为此时MCAS的迎角读书已经不可靠了。MCAS这样有单点故障风险的高权限关键系统显然超越了“没有改变”，FAA这次是失职的。

波音的补丁正是增加了这样的偏差报警，并容许飞行员决定哪一个传感器依然可靠，命令MCAS从那个迎角传感器读取迎角测量数据。这是比现状进了一步，但依然不理想。更可靠的办法是增加迎角传感器，实现真正的冗余。

$ c5 x4 s: K- J. }5 J8 d最初级的是双重冗余，A、B系统都是单重的，但有系统自检，发现故障时自动切换到备份系统，平时也在主要和备份系统之间定时切换，确保都在可靠工作状态。但这对MCAS现在的故障模式用处不大，迎角传感器故障难以自检，就像眼前一片漆黑，单靠眼睛是无法判别到底是天黑了，还是眼睛被蒙住了一样。
# g  m( o# ?; H' m& ]
" n% h1 I+ h- s( \% A' t进一步是三取二冗余，在A、B、C三个系统里随时自动比较，偏差小的两个被认为是可靠的，偏差大的那个自动被屏蔽出去。不过一旦三重降级为双重后，就回到上面双重的情况了。
2 ]. [. y  G1 d- O  n- u2 e
; I# l" t" q8 e0 L5 R更进一步是四重冗余，这有多种方法。一个方法是按照三重冗余运行，第四个系统作为备份，三重里的故障系统被屏蔽出去后，备份系统自动加入，维持三重冗余。备份系统随时与主要系统比较，并定时轮换，确保可靠工作。另一个办法是直接四取三，在把故障系统屏蔽出去后，降级为三重。

冗余系统在理论上可靠性更高，但复杂性大大增加。比较和切换机制本身的可靠性有可能成为单点故障源，所以对可靠性的贡献并不是那么简单。

+ R% |! L! P9 Q6 b! d有人把MCAS的问题归结于737-Max依然使用机液飞控而不是数字飞控，这是似是而非的。不解决单点故障问题的话，数字飞控是一样的问题，不因为数字了就自然安全了。数字飞控在飞行员的操纵杆输入和最终的气动控制面动作之间增加一层“过滤”，只容许“合法”输入通过，对于“非法”输入加以约束甚至屏蔽，这其实就是MCAS在做的事情。数字飞控从操纵杆到控制面“一条龙”，机液飞控加MCAS在操纵杆的“旁边”增加强制接管，两者在失速保护方面的实际效果是一样的。737-Max有很多可以得益于数字飞控的地方，但失速保护方面数字飞控不比MCAS有更多的“魔术”。而且737-Max改数字飞控就要魔改，超过补充适航认证的范围了，也就不符合737从NG大改到Max的初衷了。
& F- H+ o. u+ G1 `/ D0 V- Z
波音的第二个错误是对MCAS的权限不加限制，容许MCAS一路把气动控制面打到极限位置。有的时候确实需要最大限度的控制量，但如果过度控制是因为系统出错的原因，这是要出大事情的，而且到时候连人工干预都拉不回来了。这好比汽车的自动车道保持，“看到”接近车道线了，自动回中一点。但要是车道线因为划线不清楚或者老线新线重叠错乱，而自控不加限制，可能就不只是回中，而是一路把方向盘打到底，那时驾车人连手动拉回来都不一定有机会。一般对于这样的控制系统要加以限制，比如自动回中最多能打到多少度，超过这个极限了，发出警报，并要求人工接管。

波音的补丁正是包括了对最大控制量的限制，FAA要到狮航610之后才对波音提出有关要求也是很不应该的。
; R  I7 L  e* i* e: ^
波音的第三个错误是MCAS在飞行员手动超越后再次自动切入。计算机和飞行员谁更容易犯错误，这是哲学问题了。但现有适航和安全法规里都是以飞行员的判断为准，否则早就该把飞行员下岗、统统全自动飞行了。在技术上，自动起飞、自动巡航、自动降落早已能够做到，在基本体制上还是以飞行员为核心正是因为还存在太多的自控系统故障模式，自控系统无法完全、可靠地自主解决。另外，将一飞机人的生死完全交给自控系统负责，在伦理上也还过不了这个坎。

因此，在道理上，飞行员的手动超越应该具有最高权限，没有任何自控系统可以否决。但数字飞控和MCAS正是为了防止飞行员的大意和粗暴操作而存在的。这两者如何权衡是很微妙的问题，没有一言以蔽之的锦囊妙计。但这像美国国会与总统的互相否决权限一样，不能来回无休止地互相否决。在原则上，自控系统第一次否决飞行员的操纵杆输入后，飞行员如果对自控反否决，自控就不应该再次否决飞行员。这首先是因为飞行员有最高权限，其次是因为飞行员显然已经确认自控的否决不合理。在这里，波音让MCAS反复否决飞行员的手动超越控制，这是非常不合理的，FAA让这样的控制逻辑过关更是失职。
. Z- k2 V. C3 P5 j$ H& t. n
但坊间有很多说法，把波音飞控软件的问题归咎于外包给印度。首先，现在没有证据表明MCAS的软件外包到了印度。其次印度之所以成为软件大国，并不是因为无能。相反，印度软件人员的素质没有问题。个人在工作中接触过印度软件人员编制的工业控制软件源代码，对他们的结构化、规范化水平印象深刻。他们的软件或许缺乏想象力和效率，读起来甚至有拖沓、废话多的感觉，但易读，易查错，一致性好。这对大型软件是十分重要的，也是中国软件欠缺的。华为为了证实自己的安全性，把核心软件开放给英国的信息安全机构审查，结论是：软件本身并无安全漏洞或者任何隐患，但结构性、易读性、一致性不足，到了需要扩展或者查错的时候，一盘“乱面条”根本无从下手。华为在坚持“这不是问题”几年后，不再坚持，投资几十亿重写核心软件，正是这个原因。

, k9 ~9 x3 v0 j$ C) c再者，外包印度的只是软件实现，功能和架构定义都来自波音。这好比美国制定了芭比娃娃的款式、颜色，东莞只是按要求用塑料、布料和人工做成具体的芭比娃娃。如果芭比娃娃卖不动，或者有安全问题，责任在美国。所以把MCAS的问题堆到印度头上，这是不对的。

1 J; N, @- ]1 p1 U% ?9 T也有人指出，波音负责IT的副总裁是印度人，这也不说明任何问题。公司IT只管内网、外网和一般IT事务，不管自控这一摊。而且对波音来说，自控还分飞控的设计、制造和生产线的自控两摊，都是互不相干的事。
! \; F# Q4 `# V9 k
4 Z7 T2 g% k5 W0 o9 p: J印度有很多问题，但一与印度沾边，就自动认定这是印度的问题，这是不对的。中国崛起不需要依靠贬低别人。

' l# N$ ~/ w! i- Q波音的另一个错误是在737-Max推出时，没有在技术手册里明确说明MCAS的作用和解锁方法，在培训的时候，也是用737NG的模拟器，只有一些简单的iPad、PPT资料用于Max的换型训练。
9 Q( s! O+ D/ x3 @
+ X5 P  B" c7 q5 d# C737NG到737-Max在一般操作上没有多少区别，这正是737-Max的卖点之一。除了MCAS，可能还真没有什么理由推出专门的模拟器。在设计阶段，波音是把MCAS作为“对飞行员透明”的系统而定位的，所以也无需专门的MCAS训练。因此，就当时的认知而言，波音的做法并无问题。
$ M/ z+ N/ Y+ B" I" |, g1 g
7 S$ N# ?) G) ^8 m. {, B( T是否需要为了MCAS专门推出全新的模拟器，这是一个问题，但另一个问题是技术手册。波音在手册中确实没有给出充分的MCAS有关信息，但这还是回到最初“对飞行员透明”的想定上，只是现在证明，这个想定是错误的。
6 |3 x% Z, [/ K- P, @
技术手册的完整性和易读性是一个有意思的问题。从理论上来说，技术手册应该完整，把所有功能都说明清楚。在实际上，随着系统功能的不断增加，手册的更新成为“不可能的任务”，而手册本身已经成为动辄几千页的巨无霸了。这已经没有易读性了，读了也不可能记住、理清。

3 S* ?/ O! b% x为了增加易读性，手册通常分成概论和细则，从一般使用、异常情况处理到设计考虑、注意事项，既要事无巨细，又要简洁意明。随着复杂性的提高，再次分成概论的概论，细则的细则，最终成为一房间浩如烟海的手册。电子化后，不需要纸质手册了，但问题更大，手册的通读和查询已经到了需要搜索软件的地步了。

完整但不易读因此没人读的手册是没用的，而且设计者和使用者对同一问题的视点不同，不考虑这个差别，可能鸡同鸭讲。在这样的情况下，手册内容的选取和组织成为一门艺术，甚至有专业公司专门帮助各大公司编制各种产品手册、训练手册等。这些公司不是有关技术的专家，但在业主公司提供完整技术信息和手册要求后，能有效地编写出规范、易读、一致性高的手册。但这和软件外包一样，关键在于业主公司提供的信息和构架要求。
, H% @. E, B3 |6 Z2 @1 m+ n
* Z: ^8 d8 q! ?7 V但问题都不在于谁编写的手册，看看自己的周围，有多少人在买一辆汽车、一只手机、一台电脑、一只数码单反后，把手册看完，而且记住、理清的？尤其是那些手机的新应用，可能有很多意想不到的功能，但有多少人是从手册（或者说明书、readme文件）上学的？大多数人能做到“挑重要的”看上一眼就不错了，其他的就凭自己对相关产品的一般理解，“在用中学”了。

这在一般情况下是可以的，即使对737NG到737-Max的换型也无不可，问题在于MCAS违反了飞行员的一般理解。这牵涉到复杂系统人机设计中对人类行为和反应的推测，这是很大的话题。简单地说，自控系统人机界面的设计要“合人性”，绝不能“反人性”。反人性的自控设计必定是双输。这可能是737-Max的最大教训。

- P  H" X% m; P  V5 u% H说到最大教训，坊间不少言论把事故归咎于过度自动化，这是不对的。自动化不是万能的，但反自动化已经万万不能了。整个航空史就是自动化的历史。莱特兄弟没有发明飞行，甚至没有发明动力飞行，他们的贡献是发明了有效的横滚控制，使得飞行安全可控。此后不久的1912年，斯派里就发明了使用陀螺的自动驾驶仪，帮助飞行员在巡航中维持航向和姿态。100年后，波音MCAS的意图也是帮助飞行员实现无忧虑操作，人为错误导致失速的先例可是很多。矫枉不宜过正。MCAS的设计错误必须纠正，但自动化的大方向并没有错。
: a; K4 x' H" g1 h6 ~0 W9 N
+ s% M8 q% ~1 L4 p; e( E) U5 F: ]在更加广义的层面上，自动化不仅提高便利，也是安全的好帮手。汽车的自动挡使得无数人得以享受驾驶的乐趣和实用，ABS刹车和防滑控制则避免了很多事故，挽救了生命。事实上，离开自动化，工业革命根本就不会发生。瓦特没有发明蒸汽机，他发明的是离心调速器。就因为这个差别，人们记住了瓦特的名字，而纽考门就只有扒故纸堆的人才知道了。
. |% W0 ]0 e4 W2 B( \, c* K
8 T4 p; [9 ?9 T8 ?1 R# E( d狮航610和埃航302的教训是惨痛的，但要读取正确的教训，这很重要。

dopplermaxgamil

晨大这中间有一个关键问题：MCAS超越飞行员强行控制飞机是谁拍的版。波音的老工程师但凡有一点常识，都知道这是混蛋透顶甚至是丧心病狂的设计。但如果是三哥主管拍板，我一点都不奇怪。

鳕鱼邪恶

全部退订不可能吧？全世界如果真有几千架飞机的缺口，咋补？如果波音及时修复，估计大家最后还不是捏着鼻子接受了？。。。赔点儿空难补偿恐怕是免不了的，。。兔子要抓紧时机，争取二十年内成为三大之一。

鳕鱼邪恶

dopplermaxgamil 发表于 2019-3-17 02:50
) P; N& s& ~1 }$ j- h晨大这中间有一个关键问题：MCAS超越飞行员强行控制飞机是谁拍的版。波音的老工程师但凡有一点常识，都知道 ...

按文中说的印度主管不管这一块。。。大家对欧裔的印象还停留在以前，俺总觉得这些白人的工作技能和态度退化的厉害；给美国空军造的加油机里面居然遗留大量工具和杂物，这也是波音干的事儿。。。印度人在西方人公司里大规模的上升其实与白人的工作能力大规模下降是正相关的。。。总而言之白人衰退的厉害。

看兔子能否抓住机会。

清凉山

鳕鱼邪恶 发表于 2019-3-17 02:51
  t+ Q& X) }3 K5 `" q$ U9 |3 `全部退订不可能吧？全世界如果真有几千架飞机的缺口，咋补？如果波音及时修复，估计大家最后还不是捏着鼻子 ...

' I9 c9 ?+ a) `空客哪有那么大的产能啊，退了波音都排队干等空客？所以退订说说容易，实际上没那么简单的。除非，除非请波音代工空客

老兵帅客

波音事件对我来说就是一条，机器、包括软件在内，在任何时候都只能是人类的助手而非替代者。因此这个MCAS的设计定位就是错误的，它应该做的是发出警告，而非接管。任何接管应该是在人类授权前提下的行为，而且是随时可以被人类所取消才行，而不能是机器自己决定。
8 ?' U8 \4 X+ {0 M3 }3 z4 }


# m' e7 z9 x5 j. W1 R0 b2 t1 k

晨枫

dopplermaxgamil 发表于 2019-3-16 12:50
晨大这中间有一个关键问题：MCAS超越飞行员强行控制飞机是谁拍的版。波音的老工程师但凡有一点常识，都知道 ...

这个一点也不神秘：这样的决定不会是一个人的主意，也不会是一个人拍板，肯定是委员会上还有委员会的决定，最后可能是波音民机技术副总裁一级的签字。如果不出意料的话，没有印度人任何事情。印度人在北美公司的高管中，基本上是管理路线的，很少有在技术路线上做到很高的。

晨枫

鳕鱼邪恶 发表于 2019-3-16 12:51
; ]5 ?. d+ l' R/ O全部退订不可能吧？全世界如果真有几千架飞机的缺口，咋补？如果波音及时修复，估计大家最后还不是捏着鼻子 ...

/ @/ W* ~3 ~; H  ~) B我从来也没有说过可能出现全面退订，或许应该说清楚一点。但只要有几百架退订，影响就够大了。商飞要能与波音、空客平起平坐，20年内难以做到。

晨枫

老兵帅客 发表于 2019-3-16 14:06
4 a6 O" k3 y% Z波音事件对我来说就是一条，机器、包括软件在内，在任何时候都只能是人类的助手而非替代者。因此这个MCAS的 ...

' `; d, t" O/ n: s但这个“人类助手”是什么呢？比如说，汽车防滑控制在路面打滑的时候自动切入，实际上接管了驾车人的控制，这算助手还是替代？什么才是人类授权行为呢？

dopplermaxgamil

晨枫 发表于 2019-3-17 04:30
/ f7 {( M! r" t  V- P这个一点也不神秘：这样的决定不会是一个人的主意，也不会是一个人拍板，肯定是委员会上还有委员会的决定 ...

难以想象一群工程师会集体脑残到如此。

晨枫

dopplermaxgamil 发表于 2019-3-16 14:39
难以想象一群工程师会集体脑残到如此。

工程问题都是复杂的，很多貌似简单的问题，深究下去都有原因。不参与决策的思维过程、理解为什么最后排除了其他选择而选择现在的方案，不能简单地断论为脑残。

holycow

' `# z& m$ T  b. o2 D) H+ b
3 ^( B0 Y% A' R" W3 }, A# z我觉得波音在MCAS上犯糊涂的一点是对这玩意的定位模糊了，或者说evolve了。本来就是要做一个在飞行包线的特定范围内改善操纵性能的系统，Maneuvering Characteristics Augmentation System, 说明开始的时候波音完全清楚这玩意要达到什么目的：在飞行包线的大攻角范围内抵消MAX额外的抬头倾向。
2 m! S2 e3 q6 n* M5 E, c
  y# `7 X  i, I如果就按这个做下去，input只要给一次，退出条件也清晰，根本不需要考虑飞行员超控以后怎么办，我就是给你把飞行特性调到跟NG一样，你正常拉杆在NG上不失速在MAX上也不会失速；乱拉杆在NG上会失速到MAX照样失速。
  j# }0 `' u& A, Y5 {( Y" s1 [* G
0 S7 L- G$ M3 n: t7 o6 d6 y不知道什么时候开始把它做成了一个stall prevention system, 这才扯出来飞行员超控以后怎么办，系统无限多次给输入，导致权限无穷高这种事。而且照着Maneuvering Characteristics Augmentation的原始设计去做，肯定不能满足stall prevention的安全要求。

攻角传感器两个信号互相校验Vs一路信号输入这个我是这样看的：

& F, w' R3 W9 F两个信号校验，MCAS不启动的概率是两个传感器任意一个失效的概率，这种情况下会失速
) N. H  s- O$ Q3 h# Y8 s一路信号独裁，MCAS误启动的概率是这个传感器失效的概率，这种情况下会俯冲

$ v, ]6 n# |4 R9 t8 L+ X波音算了一下，选了第二方案
( i7 Z4 s7 ]6 u% ]( q9 J
再一点，"对飞行员透明"的这个想定，不光现在事后诸葛亮来看是错的，当初就应该知道是错的。整个的逻辑就是“有了MCAS，MAX和NG的飞行特性就一样了”，然后推出"MCAS是对飞行员透明的"。问题是没有考虑failure mode，MCAS失效的情况下，MAX和NG的飞行特性是不一样的，想到这一点完全不需要预见到类似狮航和埃塞航空难的先见之明。

qyangroo

波音和空客都把飞机上部分零部件制造以及软件的编制工作外包到了印度，当然质量控制没管好确实是波音的问题。

When parts are as great as the whole
) {" C3 E3 z5 |6 q( d
( {0 C# i- Y* v6 w. n9 X) t5 A里面提到飞控部分软件也有在印度完成的：
- ^7 y& k0 ~$ U% ^

Software coding too
: e1 a+ a3 |- W: |7 a“In some areas they (Indian companies) have done pretty well. For example, like software in avionics (a lot of the) embedded stuff is coming from India. Three million lines of code for the Boeing 787 were written in India. So the software for the flight control system was written in India. This is basically the system that controls the flight of an aircraft or the avionics,” he explained.

鳕鱼邪恶

攻角传感器啥原理？为啥这么容易失灵？。。。用陀螺仪咋样？没听说陀螺仪失灵的～

清凉山

dopplermaxgamil 发表于 2019-3-17 04:39
难以想象一群工程师会集体脑残到如此。

4 F' Q% v; H5 y, q3 m. s" q某些工程师的确会集体脑残到如此。比如，现在的windows开机可能不让你工作，而是先得升级

dopplermaxgamil

清凉山 发表于 2019-3-17 05:35
某些工程师的确会集体脑残到如此。比如，现在的windows开机可能不让你工作，而是先得升级 ...

WIN10不奇怪，那是一群三哥的软件”工程师“。任何邪门的事情都不奇怪。

dopplermaxgamil

qyangroo 发表于 2019-3-17 05:12
波音和空客都把飞机上部分零部件制造以及软件的编制工作外包到了印度，当然质量控制没管好确实是波音的问题 ...

; g7 t: q3 C0 X) U6 K( L0 m把重要的飞机软硬件外包到印度，基本可以归类为被忽悠残废了。做好思想准备，恐怕以后会有各种奇奇怪怪的飞机坠毁事件。

老兵帅客

晨枫 发表于 2019-3-16 15:35
( T3 @% Y. H& F但这个“人类助手”是什么呢？比如说，汽车防滑控制在路面打滑的时候自动切入，实际上接管了驾车人的控制 ...

% e9 }: k; c7 ~  X3 q% T7 |  s 你说的有道理，问题是自动接管的边界没法控制。也许这个MCAS应该存在，只是自身存在不足，而且波音公司对飞行员的相关信息传送不足导致了灾难。

冰蚁

dopplermaxgamil 发表于 2019-3-16 16:43
WIN10不奇怪，那是一群三哥的软件”工程师“。任何邪门的事情都不奇怪。

' U: i# @6 B* ^  H3 u* V3 l* O和三哥与否没有关系。国内对三哥偏见太深

冰蚁

holycow 发表于 2019-3-16 16:10
我觉得波音在MCAS上犯糊涂的一点是对这玩意的定位模糊了，或者说evolve了。本来就是要做一个在飞行包线的特 ...

7 R  F' x* h' p& c2 @第二个方案默认飞行员能拉起来，比失速容易控制。但结果搞成反复和飞行员争夺控制权。于是悲剧了。