波音的罪與罰，737MAX究竟升級了什麼

2018年10月29日 試航610航班在起飛後不久墜毀 從打撈上來的數據記錄儀分析 飛機在墜毀前有多次不正常的向下俯衝 隨後飛機制造商波音承認 此現象是一套名爲機動特性增強的系統造成 這套系統能通過傳感器數據 自動判斷飛機是否面臨時速危險 並提前介入 僅安裝在波音最新推出的737 MAX機型上 令人詫異的是 沒有任何737飛行員在登上MAX前 被告知新機型有這樣的功能 航司運營了超過130架737 MAX 在外界的恐慌中 波音表示增強系統使飛機低頭的力度非常柔和 並且完全可以被人工切斷 墜機的主要原因是機組操作不當和試航的管理問題 此次空難未對737的交付和運營帶來任何影響 現有的波音飛行員在學習一個不到兩頁紙的通告後 便可以繼續駕駛該機型 然而僅僅在試航空難發生不到半年 A航320航班的墜毀徹底撕下了增強系統的遮羞布 同樣在起飛後不久 同樣多次在低頭和抬頭之間掙扎 同樣以近乎垂直的角度撞地 空難第二天 中國民航局率先向波音和FAA投出了不信任票 禁飛了中國境內所有的737 MAX 四天以後 全世界的遠空內已無該機型的身影 去年年底 中國民航局發佈了737 MAX機型恢復試航的指令 理論上 航空公司按照該指令完成必須的改裝和升級後 就可以重新恢復該機型的商業運營 隨着近期越來越多的國內航司 開始進行試飛和調機 如果順利的話 我們春節回家的航班也許就是有該機型值飛 儘管早在一年前 美國和歐洲的試航當局就已經恢復了MAX的商業運營 並保持了良好的安全記錄 但我還是不禁想問 在中國境內 經歷長達近三年封存的737 MAX 真的安全了嗎? 在回答這個問題前 我們要先弄明白 機動特性增強系統是怎麼來的 本期視頻內容較長 補全了737進化論中因調查報告和改裝方案缺失 而無法完成的第四部分 想看結論的觀衆可以直接跳到結尾 MAX是波音737系列機型的第四代 縱觀這四代機型 一成不變的是幾十年如一日的小短腿 淺重增長的是發動機直徑 對於渦輪噴氣式發動機而言 外含刀 就是風扇直接驅動產生推力部分的佔比越大 發動機的整體效率就越高 也就越省油 第一代737在製造時 由於技術限制 發動機風扇直徑較小 不存在發動機空間不足的問題 到了第二代737 起落架高度勉強能放得下發動機本體 但不得不將本應安裝在發動機下方的附加組件挪到兩側 發動機外部短艙也因此變爲橢圓形 第三代737通過減少風扇液片的數量和燃燒室的升級 在未增加風扇直徑的情況下 進一步減少了油耗 這也是最爲暢銷的一代737 800型號5145加的交付量 依然保持着幹線翟蒂克機單一子型號的銷售記錄 此時的737在各項性能指標上 較初代都有着幾乎翻倍的提升 可以說用盡了每一寸的機身空間 20世紀初 波音提出了著名的黃石計劃 提出的Y1項目 意在打造一款替代737和757 能與空客321抗衡 有着全新設計的電程飛機 其中較爲亮眼的是扁平化的機身帶來的雙通道設計 意在徹底解決現有翟蒂克機因爲單通道 導致儘管裝載的旅客較少 上課時間卻與寬體機基本一致的低效 不過 當時737的產品競爭力十足 波音把用於替代767的Y2項目放在了首要位置 這一計劃的最終成果就是2008年推出的787 2010年 空客的一紙PPT打亂了波音進化的步伐 得益於普惠和CFM在風扇葉片上的突破 新款發動機較上一代不僅節油20% 現有A320的起落架高度 完全賽了下風扇尺寸變大後的新款發動機 整個升級僅需花費空客11歐元左右的研發費用 利等可取 而此時的Y1項目依然是好幾頁PPT 和上面寫滿的如何花掉120億 面對股價和利潤的雙重壓力 工程師出身的時任波音CEO決定用技術打敗技術 計劃用不超過12億美元的預算再次升級737 包括極其先進的分體小翼 賣相十足的巨石短艙 和暫時還不知道怎麼放下的力不發動機 爲了實現這一計劃 波音首先找CFM反向升級了一波 將風扇直徑從原先的200釐米左右縮減到176釐米 相應的將風扇轉速增加17%來補償推力 但這依然比上一代737NG採用的CFM56系列粗了20釐米 波音又不得不將發動機整體上移 並且爲了防止破壞機翼的結構 整個發動機吊架做了前移處理 最後又將前起落架增加了8英寸 才終於塞下了這臺碩大的渦扇發動機 說句題外話 這8英寸的提升讓Max成了機品上著名的身高檢測器 低於1米8的機務需要在送飛機時自備小梯子 不然會夠不到地面勤務院買的鎖釦 在初期的模擬試飛中 波音的試飛員發現了Max在高速狀態下機動能力較差 這是由於發動機的整體前移 推力對機身作用力的力臂變長 這在飛機平飛時對機身穩定性的影響較小 但隨着飛機在機動時抬頭角度逐漸增大 推力在垂直方向的分離在力臂的放大下 會對機身穩定性造成顯著影響 考慮到民航客機高速機動是極爲罕見的情況 首席試飛員最終統一了在飛機高速狀態下 仰角過大時 通過加速度傳感器和影響傳感器 判斷飛機是否會進入危險狀態 並自動使水平安定面在10秒內 向下運動0.6度來平衡機身 這是機動特性增強系統的初級版本 所寫爲Mcast 此時的Mcast機桶不僅激活條件嚴苛 運動也較爲柔和 每秒僅0.06度 作爲參考 飛員如果通過開關手動控制安定面 每秒的運動上限是0.2度 飛機前移帶來的氣動缺陷暴露的更加明顯 特別是在起飛階段 除了力臂增長帶來的不穩定影響 幾乎與機翼齊平的發動機 在大仰角時會大量遮擋 後部機翼上表面的氣流 進一步破壞升力 如果飛行員在起飛階段拉桿過猛 急劇變化的氣流 可能會使飛機突破穩定的邊界 進入失速狀態 爲了抵消大仰角下 飛行員快速拉桿帶來的風險 設計師再次搬出了那個MCAS系統 由於飛機在爬升階段的速度較低 水平安定面需要偏轉更大的角度 才能與空氣產生足夠的作用力使飛機低頭 MCAS系統作動的幅度 從10秒0.6度大幅上漲到2.5度 矛盾的是 MCAS激活的條件中 還有一條是緊翼完全收上 而在波音的設計邏輯中 高速與低速的判定標準 是緊翼是否在收上爲止 也就是說MCAS採用的低速狀態下 多面的運動速率 卻只有在高速狀態下才能激活 這大幅縮短了留給飛行員的反應時間 除此以外 波音還刪除了加速度傳感器的判斷條件 簡化了引咬傳感器的判定邏輯 在一系列的迷幻操作後 C3G MAX於2017年3月完成了試航審定 並於同年5月交付給了首批啓動客戶 而第一家商業運營該機型的客戶 正是印尼的試航 時間回到2018年10月26日 也就是空難的前兩天 此家MAX在直飛天津至曼谷航班時 出現了高度和速度的指示故障 該故障在28號被判斷爲左側 也就是機長側的引咬傳感器所致 這枚傳感器的主要功能 是通過異形泡麪的風標 感受氣流與機身之間的夾角 這是判斷飛機是否面臨失速的重要指標 和波音家族的其他機型類似 C3G共有兩個引咬傳感器 分別與機長和附加的飛空計算機相連 飛空計算機是C3G自動駕駛系統的核心 它能通過大氣數據 油門杆位置 進而控制各個東邊運動 引咬傳感器輸出的數據除了用於判斷失速外 還能修正因爲氣流夾角 導致的空速管和液壓盤 輸出的高度和速度的偏差 需要注意的是 機長和附加側儀表顯示的數據 雖然來自各自的飛空計算機 兩部計算機在物理上也是完全獨立工作 但發出的自動駕駛指令 只有一部會被系統接收 另一臺的計算結果 用於驗證主控飛空計算機是否可靠 機械員於確定故障的當日 完成了該故障件的更換 整個拆裝過程非常簡單 只有8顆螺釘和兩個插頭 但是 機械員在拆裝工作完成後 未執行該部件的校準工作 這導致引咬傳感器的鐵片 水平時輸出的不是0度 而是正21度 這相當於哪怕沒有風 計算機也認爲有一股氣流 以21度向上吹飛機 空難當天 隨着飛機在跑道上滑跑速度越來越快 左側經錯誤的引咬數據修正後的計算空速 與右側的偏差越來越大 起飛離地後僅2秒 兩側的速度不一致超過了系統限定值 觸發了抖感警告 機長髮現了速度不一致 命令副駕駛完成相應的檢查項目 副駕駛反饋所有的檢查項目均正常 隨着高度的上升 經過修正的高度也出現偏差 又出現了左右高度不一致警告 此刻仍保持淡定 命令副駕收輪的機長 在諮詢完空管後逐漸暴躁 因爲地面雷達顯示的高度 與兩臺飛控計算機給出的都不一致 隨着速度的持續增加 副駕駛將緊衣手柄搬至收上爲止 這一操作完成後 MCAS系統激活了三個條件 飛機眼角過大 人工駕駛狀態 緊衣在收上位置均得到滿足 開神兵的水平安定面快速運動使飛機低頭 機長覺察到了飛機不正常的俯仰 在拉桿的同時 不停地撥動位於駕駛盤上的人工電門 這門電門的優先級別要高於MCAS系統 但也只能暫時屏蔽MCAS發出的信號 更具有迷惑性的是 MCAS系統在控制平尾時飛機低頭10秒後 會用5秒的時間重新判斷飛機是否滿足上述三個條件 並開始下一輪的循環 這種時好時壞的表現擠具迷惑性 更加讓機長篤定一定是空速或者高度出現了問題 更加專注地去解決駕駛杆抖動 各類警告讓其陷入了管道效應 喪失了對新出現不正常情況的分析和判斷能力 機長繼續命令副駕駛完成高度不一致的檢查項目 但是已經被駕駛杆強力震動了4分鐘的副駕 翻了足足2分鐘手冊 依然未找到檢查項目的具體內容 接近崩潰的機長首先將檢查手冊拿了過來 並將飛機的操控權轉交給了副駕駛 手中駕駛能力遠不如機長的副駕 在與MCAS系統搏鬥時 發現自己的操縱越來越困難 要施加超過40千克的力才能拉動駕駛杆 精疲力竭的副駕在絕望與無助的恍惚間 真的是飛機進入了失速狀態 最終以超過每秒50米的速度撞向了海面 縱觀整個事故發生的過程 未校準營養傳感器擊穿了維修屏障 機組忽略評偉的不正常運動擊穿了飛行屏障 實際上 在維修工作完成到墜機之間 此架飛機還完成了一趟 鄧巴薩至雅加達的航班 這趟航班的機組遭遇了與試航610類似的經歷 但他們準確地處置了評偉的不正常運動 並通過位於油門杆下方的電門 從屋裏上切斷了MCAS的信號輸入 硬頂着駕駛杆的震動完成了90分鐘的飛行 但離譜的是 他們並未將這一情況反饋給維修人員 只彙報了空速不一致的故障 暴露了該公司在安全管理上的缺失 在以上種種問題的遮掩下 波音爲對飛行員進行MCAS系統的培訓 也就顯得不那麼嚴重了 那爲何切斷MCAS系統的開關就在眼前 飛行員卻沒有撥動它呢 與大部分噴氣式客機類似 當然考慮到737的高齡 也可以說大部分噴氣式客機與737類似 在俯仰的控制上存在兩套系統 駕駛杆連接的升降舵和手輪連接的全動平尾 這是由於飛機速度變化帶來的升力重心變化 和油量的消耗帶來的重心變化 導致這兩者的距離時近時遠 這種不平衡需要尾部提供一個能變化的力去抵消 但升降舵的系統面積和結構強度 完全不足以配平變化產生的力矩 全動平尾的設計不僅可以完全利用水平線內面的大面積 更可以採用螺桿千斤頂 這種速度不快但十分大力的傳動方式 具體到737上 駕駛杆通過鋼索與升降舵連接 它們之間液壓助力的傳動軸上 有感覺力叮咚裝置 讓杆力隨着速度的增加而增大 平尾的螺桿千斤頂配有一個電動馬達 可以接受飛空計算機給出的自動配平指令 同時飛行員可以用駕駛盤上的配平電門人工控制 如果電動馬達失效 螺桿還可以通過腳盤驅動 腳盤上的鋼索一直聯繫到油門杆下方的手輪 這個手輪既可以正向驅動腳盤 也會隨着平尾的運動而隨動 平尾實際位置的指示也在這裏 737的水平安定面可以實現0到17度的變化 高速狀態低於5度就有低頭的趨勢 610航班平尾大部分時間都在5度上下波動 最終墜機時安定面的位置爲3.4度 如此多的控制輸入和輸出自然有着不同的優先級 在Max之前的737設計中 處在最高位置的是駕駛杆的輸入 駕駛艙底部的控制模組能感受升降座鋼索的運動情況 如果出現平尾的運動指令與駕駛員操控相反的情況 則會暫停平尾的配平運動 優先讓飛行員控制飛機 其次是駕駛盤上的配平電門 擁有安定面運動的次級控制權 再往下就是飛空計算機給出的配平指令 當然這一切都是建立在有電的基礎上 在油門杆的右下方 有兩個可以從物理上徹底切斷所有控制信號的開關 將平尾的控制反譜歸真到用人力轉動手輪 而MCAS系統的核心目標 就是對抗處在最高控制權的駕駛杆 防止飛行員拉桿過猛帶來的失速風險 雖然波音在對飛行員的培訓上對MCAS系統隻字不提 但新增的系統總會壞 壞了就會有人修 所以在Max的維修手冊裏 我們找到了關於機動特性增強系統的詳細信息 在27章41節裏 波音對該系統進行了簡單的介紹 說明了MCAS是爲了防止飛行員在大洋腳下拉桿過快 導致飛機失速 並允許平尾在高速大洋腳時與攝像頭反向運動 繼續向後翻出平尾控制邏輯的電路圖 能看出MCAS系統是集成在飛行計算機內部 進一步將737NG的電路圖與Max對比 才發現波音幾乎重複了整個平尾的控制電路 最明顯的是位於駕駛艙底部感受鋼索運動的控制模組 較之前複雜了許多 當MCAS系統激活時 會直接切斷副駕側組件對飛控系統反饋的鋼索運動信號 駕駛杆對俯仰的控制降級到和飛控計算機同級 這破壞了737上一直存在的駕駛杆優先的邏輯 所以當4號610存在不正常的低頭時 機組會下意識地去拉桿來停止平尾的運動 同時副駕側鋼索運動情況的缺失 漸漸導致了感覺電動裝置無法提供正確的感力 飛行員需要施加超過近100斤的力才能控制升降舵 這解釋了爲何副駕接管控制後 整個飛機的失控情況加劇 顯然,波音工程師十分清楚MCAS系統的威力 不僅將物理切斷配頻信號的開關 從原先的中游移到了整個系統的最頂端 還通過串聯的設計起到了雙保險 這是看得見的邏輯電路部分 在看不見的軟件設計上 飛鴻計算機會通過與自己相連的引腳傳感器數值 判斷是否啓動MCAS 這也是這套系統被指責最多的地方 但恰恰相反,我並不認爲這有何不妥 因爲對於只有兩枚引腳傳感器的737來說 在沒有第三個數值作爲參考的前提下 你能說哪一枚是高尚的,哪一枚是卑鄙的嗎 機上的陀螺儀能感受到的只是飛機的姿態 氣流與機身的夾角纔是判斷失速的決定性因素 畢竟只要風颳得足夠斜 垂直起飛的MAX也微長不可 既然無法判斷誰對誰錯 而失速的發生只在虛擬之間 猶豫就會敗北 波音選擇了一條最爲粗暴的解決辦法 是不是真的面臨失速 先讓飛機低頭再說 即便錯了 平尾運動時反向帶動手輪的噪音也能提示飛行員 而水平安定面不正常運動處置流程的第一條 就是切斷物理電門 問題是,你一邊寄希望于飛行員能快速做出反應 一邊又對該系統隻字不提 機物學的再好有什麼用呢 最後的考試也沒考 更致命的是 MCAS系統不僅剝奪了駕駛杆在俯仰控制的最高優先級 激活時還可能會產生抖感 出現最小速度限制 高度不一致 空速不一致 營鳥不一致 自動駕駛斷開等一系列警告 拆炸彈的電影演到今天 大多數導演也只是敢放二選一的橋段 數量再多 恐怕編劇連自己都騙不過去 在2018年整個民航業快速增長 威力不足的大背景下 航司評估着這個並不複雜的系統 不約而同的選擇了原諒波音 畢竟確實只需要切斷開關就能解決一些問題 而新的MAX確實省了比波音吹的還多 竟然忽略了導致MCAS系統沒有被正確設計和培訓的系統性因素 那就是FAA放任波音自我審查帶來了監管缺失 就像開關再明顯 沒有被正確培訓就約等於沒有 邏輯電路設計得再完美 質量沒問題纔算真的可靠 2019年3月10日 埃塞俄比亞航空的C37 MAX在起飛後50秒左右 左側引咬傳感器的輸出數值突然從11度增加到74度 懷疑是遭到了鳥擊所致 此時作爲主控的左側飛空計算機 在接收到如此誇張的引咬信號後 立即激活了MCAS系統 隨着緊密鎖定在收上位置 飛機開始不正常地低頭 機組識別了評委的不正常運動 並人工切斷了無力開關 不過此時的評委已經被MCAS帶到了2.3度 但急需使評委恢復到正常位置的機組 發現即便左右兩人合力 也無法通過手輪人工咬動評委運動 百般無奈的機長不得不重新連接了物理電門 令人絕望的是 比MCAS輸出信號享有更高優先權的人工電門也失效了 在機組又一次眼睜睜地看着手輪停止轉動了5秒以後 下一個MCAS循環帶着158名乘客 以每分鐘1萬米的噴氣式速度撞向了地面 此起空難至今未能形成最終結論 但無論最終的分析結果如何 質量問題是唯一可能的解釋 在波音提供的改裝方案中 整個評委控制系統得到了全面加強 其中工作量最大的一份功卡寫了156頁 洋洋灑灑1萬1000字 用更疏的導線將駕駛艙到評委的控制電路全部替換了一遍 並檢查了相關線路的安裝和磨損情況 軟件上MCAS將只會輸出一次10秒運動的指令 運動幅度也降低到了能通過升降舵抵銷的水平 再次將撫養姿態的最高控制權還給了飛行員 所以我們來回答視頻一開始的那個問題 737 MAX真的安全了嗎 其實對於大部分電傳飛機來說 像MCAS這樣的自動系統幾乎存在於飛機控制的每一個維度 但以機械爲基礎的737完全無法提供足量的數據供計算機分析 產生悲劇自然也就是不可避免的 波音對MCAS系統的優化依然停留在了加強層面 而未進行數據或者算力方面的升級 以MCAS系統核心輸入的引腳數據爲例 同級別的320有三套 787雖然是兩枚傳感器 但通過硬件手段實現了四通道的傳輸 MAX則依然只有兩個信號 最後把握乘客生命的還是飛行員 在飛行訓練和安全管理更嚴格的中國和歐美 我完全相信機組有能力處置 但對於其他地區依然需要時間的考驗 在更長的737 MAX時尚 波音已經在驗證加強版的引腳傳感器 希望能通過增加引腳數據的可靠性 徹底解決數據不足的安全隱患 不可否認的是 不論MCAS系統如何升級 發動機潛移帶來的氣動缺陷都是真實存在的 從Y1項目最初先進的窄體雙通道 到737 MAX這個超大號補丁 背後更多的是波音工程師在商業競爭下的無奈之舉 爲了追求利潤而盲目蠻幹的波音最終被利益反噬 如果不出意外的話 MAX會是該系列的最後一次升級 就是不知道已經年近六十的737 什麼時候能找到那個屬於自己的帶頂棚的博物館 以上就是本期視頻的全部內容 歡迎點贊投幣關注轉發 你的支持是我們更新最大的動力 我是張馳 這裏是極品煙花 我們下期節目見