爱吱声

标题: 【波音版】飞官大战电脑: 电脑2, 飞官0 [打印本页]

作者: holycow 时间: 2019-4-9 14:37
标题: 【波音版】飞官大战电脑: 电脑2, 飞官0
本帖最后由 holycow 于 2019-4-9 13:47 编辑

标题是神牛六年前初入爱坛时写的某篇连载的结束语。

那篇写的是1994年的空客（飞官大战电脑上、下、番外）。二十五年后，波音掉进了同一个坑。

上个星期埃塞俄比亚调查当局发布了ET302的初步调查报告，神牛在西雅图把那玩意粗粗看了一遍，回来又看了一遍，写个感想。

这篇的结构是逐段摘抄报告中重要部分，下面加上评论。重要注解：AND, Nose Down向下配平; ANU, Nose Up向上配平

At 05:38:44, shortly after liftoff, the left and right recorded AOA values deviated. Left AOA decreased to 11.1° then increased to 35.7° while value of right AOA indicated 14.94°. Then after, the left AOA value reached 74.5° in ¾ seconds while the right AOA reached a maximum value of 15.3°. At this time, the left stick shaker activated and remained active until near the end of the recording. Also, the airspeed, altitude and flight director pitch bar values from the left side noted deviating from the corresponding right side values. The left side values were lower than the right side values until near the end of the recording.

上图一个格子是三秒钟。左AoA读数在两秒钟内从11.1度跳到74.5度，就算左右两个传感器不互相校验，左传感器自己的读数不需要过滤吗？什么样的民航机能够飞出74.5度的攻角？什么样的民航机能在两秒钟内攻角跳升60多度？这又不是普加乔夫眼镜蛇。74度AoA的输入能够不加过滤照单全收，这个飞控逻辑实在是雷得人外焦里嫩。只需要一个简单的过滤逻辑，就能发现这个AoA读数完全不可靠，不能采纳，那么下面所有的一切都不会发生。

这还不光是MCAS的问题，所有空速，高度等需要用AoA读数来修正的飞行数据从这一时间点开始全都左右不符。说明这个明显错误的AoA度数，一路长驱直入被飞控计算机所有的子系统采用了。

At 05:38:58 and about 400 ft radio altitude, the flight director pitch mode changed to VNAV SPEED and Captain called out “Command” (standard call out for autopilot engagement) and an autopilot warning is recorded.

"Command"是接通自动驾驶的口令，然后自动驾驶警告，说明第一次试图接通自动驾驶失败。

At 05:39:00, Captain called out “Command”.
At 05:39:01 and about 630 ft radio altitude, a second autopilot warning is recorded.

两秒钟后第二次试图接通自动驾驶，又失败。

机长这是想干啥呢？刚离地就失速震杆，空速左右不符合，这时候不去手动处理，反而想接通自动驾驶？

At 05:39:22 and about 1,000 feet the left autopilot (AP) was engaged (it disengaged about 33 seconds later), the flaps were retracted and the pitch trim position decreased to 4.6 units.

第三次，居然莫名奇妙地接通成功了，虽然只有短短的33秒，但也种下了下面的祸根

At 05:39:42, Level Change mode was engaged. The selected altitude was 32000 ft. Shortly after the mode change, the selected airspeed was set to 238 kt.

既然自动驾驶已经接通，试图依靠自动驾驶将空速保持在238节

At 05:39:45, Captain requested flaps up and First-Officer acknowledged. One second later, flap handle moved from 5 to 0 degrees and flaps retraction began.

At 05:39:55, Autopilot disengaged

襟翼收上，自动驾驶解除，麦帅出场的条件满足了。而且空速也不会保持在238节了，后面可以看出来，机组把这条完全忘了。

At 05:40:00 shortly after the autopilot disengaged, the FDR recorded an automatic aircraft nose down (AND) activated for 9.0 seconds and pitch trim moved from 4.60 to 2.1 units. The climb was arrested and the aircraft descended slightly.

麦帅第一次出场，9秒之内低头2.5度，完全符合麦帅的行事风格。

At 05:40:12, approximately three seconds after AND stabilizer motion ends, electric trim (from pilot activated switches on the yoke) in the Aircraft nose up (ANU) direction is recorded on the DFDR and the stabilizer moved in the ANU direction to 2.4 units. The Aircraft pitch attitude remained about the same as the back pressure on the column increased.

机长手动操控，但是只调回去0.3度

At 05:40:20, approximately five seconds after the end of the ANU stabilizer motion, a second instance of automatic AND stabilizer trim occurred and the stabilizer moved down and reached 0.4 units.

麦帅第二次出场，一把子又干下去2度

At 05:40:28 Manual electric trim in the ANU direction was recorded and the stabilizer reversed moving in the ANU direction and then the trim reached 2.3 units.

第二次手动超控，这次几乎抵消了麦帅的第二次发功

At 05:40:35, the First-Officer called out “stab trim cut-out” two times. Captain agreed and First-Officer confirmed stab trim cut-out.

这时候副驾驶已经意识到麦帅出马了，立马建议拔插头，机长批准

At 05:40:41, approximately five seconds after the end of the ANU stabilizer motion, a third instance of AND automatic trim command occurred without any corresponding motion of the stabilizer, which is consistent with the stabilizer trim cutout switches were in the ‘’cutout’’ position

就算拔了插头，麦帅还是可以在背后发功的。只不过通往伺服电机的电路已经被切断，所以再发命令都没用

From 05:40:42 to 05:43:11 (about two and a half minutes), the stabilizer position gradually moved in the AND direction from 2.3 units to 2.1 units. During this time, aft force was applied to the control columns which remained aft of neutral position. The left indicated airspeed increased from approximately 305 kt to approximately 340 kt (VMO). The right indicated airspeed was approximately 20-25 kt higher than the left.

就算切断了伺服电机，下面的两分半钟内配平仍然低头了0.2度。由于电动配平已经被拔了插头，这期间的配平变化只可能来自两个来源：1. 手动配平轮 -- 机组试图手动配平向上，但向上的方向卡住了转不动，于是试着把配平轮向反方向稍转一点，验证是不是两个方向都卡住了；2. 在空气动力的作用下水平尾翼自己在缓慢偏转

第二件事情就是速度已经完全失控，和麦帅搏斗期间机组已经忘了监控速度，也忘了自动驾驶已经解除，速度不会自动保持了。

At 05:41:20, the right overspeed clacker was recorded on CVR. It remained active until the end of the recording.

At 05:41:32, the left overspeed warning activated and was active intermittently until the end of the recording.

超速警告，机组居然毫无反应

At 05:41:46, the Captain asked the First-Officer if the trim is functional. The First-Officer has replied that the trim was not working and asked if he could try it manually. The Captain told him to try. At 05:41:54, the First-Officer replied that it is not working.

这是一段很说明问题的对话。737有三种配平方式：飞控计算机指令的配平，飞行员通过驾驶杆拨轮的手控电动配平，全手工转配平轮配平。在MAX上，拔了飞控计算机指令配平的插头也就拔了驾驶杆拨轮手控电动配平的插头，因此只剩下配平轮一条路了。而副驾驶的答案，明显是一个二选一的回答：第二条路不行，我试试第三个办法吧？为什么会有这种错误的认识？因为在737NG上，第一条路和第二条路是两个开关分别控制，可以分别拔插头的，机组把NG的老经验一直记着，感情前面一直在试着用驾驶杆拨轮手控电动配平。

既然是这样，我们可以推论机组前面根本没有去转配平轮，那么前面两分半钟里配平缓慢跑偏只可能是空气动力的作用。

那么现在终于想起来去转手动配平轮了，At 05:41:54, the First-Officer replied that it is not working. 为什么又没用呢？

现在的俯仰操控是水平尾翼上仰，向下配平，平尾后缘的升降舵上翻，压机尾向下，使机头向上。作用在升降舵上的下压力使得平尾后缘下压，前缘抬起，制止了手动配平轮让平尾前缘下压的企图。在340节以上的空速下，空气动力已经锁死了平尾的角度，凭人力不能克服

其实这种情况波音在设计737-100/200的时候就知道。这一代的737侏罗纪产品(300/400/500是古典型，下面才是NG和MAX)手册里，特别提到了“过山车式卸载平尾压力的技术”。要点就是平尾卡住时，暂时不要拉杆，放手让升降舵回中，这样就解除了锁定平尾的外力。此时趁着这几秒钟的窗口，快速转动配平轮。为什么说几秒钟窗口呢？因为几秒钟之后就大头向下了。抢在这个发生之前，重新拉杆使机头向上，稳住之后再放手，转轮，拉杆。道理和钓鱼是一样的，收线不提杆，提杆不收线。这几个循环下来，飞机就跟过山车一样，而且会损失一定高度，但最终能把配平调回来。

侏罗纪产品退役后，由于平尾可靠性大增，平尾失控的事件几乎为零，这个处理程序从波音手册中消失了，新一代飞行员里没人知道。如果不是这次麦帅出马，老司机从故纸堆里翻出来，估计以后都不会有人知道

At 05:43:11, about 32 seconds before the end of the recording, at approximately 13,4002 ft, two momentary manual electric trim inputs are recorded in the ANU direction. The stabilizer moved in the ANU direction from 2.1 units to 2.3 units.

机组当然是不会知道上面的技巧。配平轮无效，而平尾自己逐渐在跑偏向下配平。没办法了，死马当活马医，把拔掉的插头再插上，拨轮手控电动配平吧。既然这样了，你一路拨转轮不要停呢？一停，麦帅就要出手了

At 05:43:20, approximately five seconds after the last manual electric trim input, an AND automatic trim command occurred and the stabilizer moved in the AND direction from 2.3 to 1.0 unit in approximately 5 seconds. The aircraft began pitching nose down. Additional simultaneous aft column force was applied, but the nose down pitch continues, eventually reaching 40° nose down. The stabilizer position varied between 1.1 and 0.8 units for the remainder of the recording.

麦帅这一下，向下配平1.3度。注意此时空速已经360节以上，按照波音手册，高速时麦帅配平一次只应该是0.6度，低速时才是2.5度。这高速时一把就是1.3度，说明波音的手册是在胡说八道。除了上报适航的是0.6度，真不知道它程序里到底写了啥，速度和配平幅度的对应关系是啥样的。

还有一个不可思议之处，是斯图卡以后那个全程发疯的左AoA读数反而又一度正常了，连失速抖杆也停了，照理麦帅该退出了吧？按照波音的解释，在攻角回到阈值之下，麦帅退出时，会把配平调回到麦帅出手之前的状态，结果看FDR图，完全没有向上配平。所以麦帅这个退出逻辑也成疑。

The left Indicated Airspeed increased, eventually reaching approximately 458 kts and the right Indicated Airspeed reached 500 kts at the end of the recording. The last recorded pressure altitude was 5,419 ft on the left and 8,399 ft on the right.

由于速度已经非常高，这把配平幅度虽然只有低速时的一半，效果却是致命的，直接拉出一个负2g的机动，人都失重了。直接就斯图卡了。

这当中机组主要犯下的错误是两个：一是没有控制速度，二是拔插头之前没有调到完全配平的状态。以至于进到了高速，低头配平的包线死角里，空气动力锁死了唯一的手动配平途径，出不来了

那为什么拔插头之前没有调到完全配平状态呢？下面是波音的紧急检查单处理步骤：

你看了检查单第二步会怎么理解？大多数人会认为所有缩进的段落是第二步的组成部分，如果第二步可以跳过，那么所有缩进段落都可以跳过。

当麦帅发功时，自动驾驶已经解除了，因此机组执行到第二步时直接跳过，下面第五步拔插头。

作者: 大黑蚊子 时间: 2019-4-9 15:26
看完这段，坚定了我每次坐飞机都选择大型机的决心

反正北上深之间大把大飞机

作者: 常挨揍 时间: 2019-4-9 15:56
难怪，看标题以为是老文

作者: 四处张望 时间: 2019-4-9 16:12

大黑蚊子发表于 2019-4-9 15:26
1 \' J; W8 d0 P$ Z# N' G看完这段，坚定了我每次坐飞机都选择大型机的决心
7 @2 ?$ H6 b( I& ]4 j反正北上深之间大把大飞机. p9 y# R9 M* T$ \5 L9 e
...

不坐737就对了？

作者: victorlee1999 时间: 2019-4-9 17:20
由于机组不会在高速下手动配平尾翼的技术,最后两分钟如果意识到速度过高，那时候把发动机推力降下来来得及不---空气阻力是否能战胜nose down带来的加速？其实最后不接通mcas，他们还有不止两分钟时间。麦帅最终出手，狠推了一把，在那个速度下，-2g的加速度造成了飞机解体了吧？

是否是一直震杆，使机组误认为处于失速危险，所以不敢降低发动机转速？

这是我看到的第一个由于速度过高造成的空难，以前似乎都是各种原因失速造成的。

还能看出这飞控程序写的相当简陋。

作者: testjhy 时间: 2019-4-9 17:32

作者: 包子 时间: 2019-4-9 17:51

现在的俯仰操控是水平尾翼上仰，向下配平，平尾后缘的升降舵上翻，压机尾向下，使机头向上。作用在升降舵上的下压力使得平尾后缘下压，前缘抬起，制止了手动配平轮让平尾前缘下压的企图。在340节以上的空速下，空气动力已经锁死了平尾的角度，凭人力不能克服

小飞机，配平是作用于机翼或尾翼的配平面，这样的话起到的作用很有限，只是减轻驾驶杆的阻尼。为何大飞机就直接把配平作用到尾翼？这样一来和驾驶杆不会有冲突吗，737是液压驾驶杆，如果当时俩人一起拉杆，然后收油门，开减速板，尾翼应该能回中吧？

作者: 清凉山 时间: 2019-4-9 18:13

四处张望发表于 2019-4-9 16:122 R1 Q' N' R4 V2 j
不坐737就对了？

737也只有MAX才有问题吧，NG飞了那么多年了应该没啥危险．

作者: 清凉山 时间: 2019-4-9 18:15

大黑蚊子发表于 2019-4-9 15:26
3 s+ d1 p# O6 Y0 I5 C$ v9 h看完这段，坚定了我每次坐飞机都选择大型机的决心
V. \% x& ?8 m4 G反正北上深之间大把大飞机
; z% }# ^/ n4 l5 A ...

如果抵制MAX的旅客多了，以后航空公司会不会不告诉你机型？或者告诉你是７３８，实际来个MAX，反正他们有权调配飞机

作者: pcb 时间: 2019-4-9 19:04

清凉山发表于 2019-4-9 18:15* S* s' I, ]5 Q* G% ?) G- A2 [' h
如果抵制MAX的旅客多了，以后航空公司会不会不告诉你机型？或者告诉你是７３８，实际来个MAX，反正他们有 ...

如果飞行员据飞呢？

作者: 鳕鱼邪恶 时间: 2019-4-9 20:06
果然开始检查主电脑了还真被俺说中了。。。

速度越来越快，到底是电脑的锅还是飞行员的锅，文中好像不是很清楚吖～

BTW，波音是不是该考虑贿赂一下神牛，让神牛闭嘴了哇？

作者: 马鹿 时间: 2019-4-9 20:18

清凉山发表于 2019-4-9 05:13
9 P& a* E) `- E5 _5 t& e0 F* n; R737也只有MAX才有问题吧，NG飞了那么多年了应该没啥危险．

可不敢说其他的飞行程序不粗糙

作者: yoshiro 时间: 2019-4-9 20:19
看多了神牛分析，感觉坐飞机还是挺危险，还有什么过山车式，钓鱼式的技术要靠飞行员操控，飞行员不会这个就完蛋了。

作者: 常挨揍 时间: 2019-4-9 21:15

什么样的民航机能够飞出74.5度的攻角？

神牛你自己不是说空客能飞这效果么，原来你是空客粉波音黑

机长的推杆输入一停止，飞机急剧上仰成88度仰角，窜升到4300英尺，空速掉到30节以下。由于空速太低，连失速警告都不工作了。A310以42度俯角失速下坠，机组在1500英尺，245节空速下奇迹般地拉了一个1.7G的机动改出俯冲。随后A310以70度仰角再次上升，并第二次失速后做出32度的俯冲，机组在1800英尺高度再度改出。空中客车然后以74度仰角第三次上升到7000英尺后失速，再做一次32度角俯冲，越战越勇的机组在3600英尺改出。这还没完，

作者: 雪山雄鹰 时间: 2019-4-9 21:28

清凉山发表于 2019-4-9 18:156 R; X: ?1 e0 M9 E
如果抵制MAX的旅客多了，以后航空公司会不会不告诉你机型？或者告诉你是７３８，实际来个MAX，反正他们有 ...

看了哈佛大学物理学博士王孟源在观察者网发表的：《波音737MAX的缺陷是低级的，是内部组织文化腐败的结果》！
我反正已经是铁了心抵制波音737MAX系列的飞机。只能指望庞巴迪的C系列、C919尽快顶上来。

作者: victorlee1999 时间: 2019-4-9 21:30
这次是不是飞出了737的极限速度，500节。

作者: 走南闯北 时间: 2019-4-9 21:34
就像神牛写的当年俄航喝多了摔飞机那次。

奇葩的飞控程序（程序猿会被扔出去顶缸吗）
做了没做一样的QA （今天老子就要pass）
糊弄出来的手册（反正也没什么人看）
被加持了的传感器
糊涂的机组

狮航一别以后很快又在埃航聚首。

波音的责任洗不掉。

作者: holycow 时间: 2019-4-9 21:41

常挨揍发表于 2019-4-9 05:15; W2 \" s) J' e4 y' s: d1 d
神牛你自己不是说空客能飞这效果么，原来你是空客粉波音黑

挨揍是德棍

空客在这里肯定是把边际数据过滤掉了，失速警告都不工作了。法航447那次也是。真要飞到那种姿态，啥飞行保护程序，麦帅之流出手都没用，啥都别做让飞行员撞大运就是了

作者: holycow 时间: 2019-4-9 21:42

雪山雄鹰发表于 2019-4-9 05:28' n* V8 C8 i7 o
看了哈佛大学物理学博士王孟源在观察者网发表的：《波音737MAX的缺陷是低级的，是内部组织文化腐败的结果 ...

这位用错了概念，MAX是静稳定的，句号。

作者: 晨枫 时间: 2019-4-9 21:42

雪山雄鹰发表于 2019-4-9 07:28+ _1 T- n6 ~2 ~) K% P
看了哈佛大学物理学博士王孟源在观察者网发表的：《波音737MAX的缺陷是低级的，是内部组织文化腐败的结果 ...

你还真信了他的这篇文章？那我就不多说了。

作者: holycow 时间: 2019-4-9 21:43

走南闯北发表于 2019-4-9 05:34% }' k6 B! Z! p) _
就像神牛写的当年俄航喝多了摔飞机那次。
" T% G* K7 p* U0 z" ?+ P, j" f" ?/ j% G6 s
奇葩的飞控程序（程序猿会被扔出去顶缸吗）

写Spec的责任最大，程序猿只是个翻译

作者: 晨枫 时间: 2019-4-9 21:44
今天晚上从自控的角度来跟神牛顶一把牛

作者: holycow 时间: 2019-4-9 21:46

晨枫发表于 2019-4-9 05:44$ l8 G6 ~0 a! F1 N" R( `2 t& J
今天晚上从自控的角度来跟神牛顶一把牛

作者: 常挨揍 时间: 2019-4-9 21:46

holycow 发表于 2019-4-9 21:418 q* E- K# n( s( o
挨揍是德棍2 U* u! g5 O( x3 T; \) q) S7 P
# W, @% t4 `3 G
空客在这里肯定是把边际数据过滤掉了，失速警告都不工作了。法航447那次也是。真要飞 ...

空客总部在法国，俺算法棍

你波音黑可以简称波黑

作者: holycow 时间: 2019-4-9 21:50

victorlee1999 发表于 2019-4-9 01:20 p I+ F9 f6 Z) x9 p
由于机组不会在高速下手动配平尾翼的技术,最后两分钟如果意识到速度过高，那时候把发动机推力降下来来得及 ...

降推力会短时加剧机头向下，而速度降下来还要一段时间。不知道当时高度够不够

作者: 走南闯北 时间: 2019-4-9 22:16

holycow 发表于 2019-4-9 21:43
m4 [( r% ]( Y( H/ {" }写Spec的责任最大，程序猿只是个翻译

说不定软件这头指望着硬件固件传来的就是简单过滤后的数据。然后sourcing一比价，自带filter的传感器太贵了，这家除了不带filter其他spec都一样。然后找data scientist用客机飞过的大数据log测了一下，完全没有问题。就它了。

作者: 雨楼 时间: 2019-4-9 22:23

机长这是想干啥呢？刚离地就失速震杆，空速左右不符合，这时候不去手动处理，反而想接通自动驾驶？

手册怎么说的？

作者: 雪山雄鹰 时间: 2019-4-9 22:26

晨枫发表于 2019-4-9 21:42% k6 V8 f" z# u2 A
你还真信了他的这篇文章？那我就不多说了。

就像当初你不信刀口说的歼-20已经用上纯国产发动机一样！你不信不代表不是事实！

作者: 晨枫 时间: 2019-4-9 23:35

雪山雄鹰发表于 2019-4-9 08:26
! w2 F9 q0 U! b" l/ Z就像当初你不信刀口说的歼-20已经用上纯国产发动机一样！你不信不代表不是事实！
& a. q0 D4 ^! J4 M, ~ ...

这与信不信毫无关系。

看来你对工程问题是从信仰出发的。希望你不是干工程的。

作者: 清凉山 时间: 2019-4-10 00:49
这次的事无论你们专家怎么说，反正我是不会相信波音了。先是隐瞒MCAS，第一次事故后都开始打补丁了，第二次事故后还反复咬定机型安全，打补丁是让已经安全的飞机更安全

这种满嘴谎话的公司谁信谁傻

作者: MacArthur 时间: 2019-4-10 00:55

其实这种情况波音在设计737-100/200的时候就知道。这一代的737侏罗纪产品(300/400/500是古典型，下面才是NG和MAX)手册里，特别提到了“过山车式卸载平尾压力的技术”。要点就是平尾卡住时，暂时不要拉杆，放手让升降舵回中，这样就解除了锁定平尾的外力。此时趁着这几秒钟的窗口，快速转动配平轮。为什么说几秒钟窗口呢？因为几秒钟之后就大头向下了。抢在这个发生之前，重新拉杆使机头向上，稳住之后再放手，转轮，拉杆。道理和钓鱼是一样的，收线不提杆，提杆不收线。这几个循环下来，飞机就跟过山车一样，而且会损失一定高度，但最终能把配平调回来。

这种trick一看就是脚踹过机箱的人才敢想出来的主意。。。再往后的人都战战兢兢把波音的飞控当神一样膜拜起来，哪里敢随便违拗神的旨意呢。。。

帮神牛把老三篇的链接加到文章开头，方便大家对照阅读。。。

作者: holycow 时间: 2019-4-10 01:07

MacArthur 发表于 2019-4-9 08:55
+ g. I8 t4 h5 s+ C! i9 `# F* T这种trick一看就是脚踹过机箱的人才敢想出来的主意。。。再往后的人都战战兢兢把波音的飞控当神一样膜拜 ...

谢麦帅加持

我估计这种都是当年飞战斗机出身的试飞员想出来的技巧，超过了现在游戏一族的理解能力

作者: dopplermaxgamil 时间: 2019-4-10 01:13
本帖最后由 dopplermaxgamil 于 2019-4-10 03:48 编辑

雪山雄鹰发表于 2019-4-9 22:26
6 y# c }1 @" \0 r+ T- t就像当初你不信刀口说的歼-20已经用上纯国产发动机一样！你不信不代表不是事实！
/ j' G( E' g. O" ? ...

J20正在试飞国产发动机。而且试飞的是WS-10的改进版。WS-15还在高空台呢。

现在服役的J-20用的都是AL-31的改进版，可能是国内自行深度改进的版本。
如果你信刀口，怎么说呢，生活中注意别陷到传销里面。自求多福吧。刀口发表过很多很多，涉及面很广，绝大部分言论唯独和事实不沾边。

作者: 晨枫 时间: 2019-4-10 08:20

清凉山发表于 2019-4-9 10:49/ V4 ]3 w7 I7 }0 f8 C
这次的事无论你们专家怎么说，反正我是不会相信波音了。先是隐瞒MCAS，第一次事故后都开始打补丁了，第二次 ...

737MAX的问题要分开来看。MCAS的问题没什么可多说的，波音全责。但机型或者机体的问题，一般都咬定基本设计老旧是问题的根源，这是似是而非的。

机体基本设计老旧是事实，但这不是安全问题的原因。事实上，由于基本设计经历了10000架飞机和亿万小时的考验，世界历史上还没有任何一架民航客机可说经受了这样的时间考验。737基本设计的问题是商业上的，不是技术上的。商业上包括机舱尺寸、货舱、难以使用大直径发动机、难以加长机体等等，但安全恰好不是问题。甚至可以这么说，还没有比737机体更安全的飞机。

当然，波音丧失了信用，如何重新赢得公众的信任，这要看波音的道行了。

作者: 晨枫 时间: 2019-4-10 09:06
下班回家，该大战神牛了！

神牛质问到，为什么不用滤波把明显错误的AOA信号过滤掉，这是自控行当里经常被人问到的问题。

在自控和信号处理里，有三样东西常被混为一谈：平滑、滤波和预估。这三样的区别在于时间点。对已经成为历史（already historized）的数据来说，滤除杂乱数据是平滑；对于当前数据来说，这就是滤波；对于未来数据来说，这才是预估。

回过头来看一段数据，要平滑不是很难，至少眼睛看看，“一眼”就能看出明显错误的数据，至少手工剔除是做得到的，如果自动的算法剔除还不能很可靠的话。真正的预估实际上是不可能的，事情还没有发生，怎么可能知道会如何发生呢？数学意义上的预估都是做了假定的，不光要假定系统的动态，还要假定白噪声或者某冲一直的结构化噪声，说白了，是用动态模型的外推，“前一段一直是如此这般，所以一切如旧的话，接下来就应该这般如此。”

平滑一般用于建模时的数据处理，预估则像算命，your mileage may vary。真正有用的是滤波，最难的也是滤波。预估反正不可靠，事实上预估可堪称滤波的动态外推，最后还是回到滤波这里来。

滤波最大的难题是难以辨别当前的变化是噪声还是真实的变化。最常见的滤波是低通滤波，这好比以不变应万变。当然不是真的不便，而是大象屁股，要可劲推、一直推才转过去，这里桶一下、那里点一下，大像是不理你的。低通滤波的理论基础是真实信号都是缓慢变化的，急剧变化的一定是噪声。

在实现中，这个缓慢和急剧都是相对的，具体设计的时候就要找出缓慢和急剧之间的分界点，这差不多就是临界频率、截止频率那些东西了。比较糟糕的情况是缓慢和急剧的分界线不明显，那是简单的低通滤波就不好用了，要么放过很多坏人，要么错杀很多好人，谁叫他们穿的都是一样的衣服呢？另一个比方是穿上厚衣服，外面温度的快速变化就感觉不到，尽管冻一天或者热一天最后那温度还是会传到身体，只是延缓很多。

MCAS不能用低通滤波。MCAS本来就是应急用的，被低通滤波缓冲一下，信号会严重滞后，完全违背初衷了。

另一把办法是用gross error check，把变化太急剧或者幅值太大太小的信号看作不可能的情况，加以剔除。神牛说的就是这一类的。但这有一个问题：要确保阈值与可能的信号极值之间有安全距离。

11到74.5读迎角都是合理范围，尽管民航客机极少有达到74.5度AOA的情况。如果正常范围只有30度而把30度以上统统“砍头”的话，真的进入超大AOA时，飞行员都不知道到底超出30度多少，难以正常应对，这是不可以的。

用速率滤波是另一个办法，即使在异常情况下，两秒钟里跳升60多度也是不可能的，但或许30度是可能的？假定30度是合理极限，速率滤波也只对毛刺型噪声有效，最好还要再短周期内回到正常位置，这样速率滤波做“砍头”处理，可以限制毛刺的影响。但要是像埃航302这样，跳升以后就定死在那里了，速率滤波只能延迟达到74.5度的时间。还是以30度为阈值的话，MCAS在4秒钟后还是要读到74.5度，还是要斯图卡。

更加复杂的滤波是卡尔曼滤波，以动态模型和噪声模型为基础，加上实测矫正，可能“智能”地滤波，但这对动态模型和噪声模型的精确性又敏感起来，可能聪明反被聪明误。

所有的滤波都不可回避一个本质问题：从过去和当前的数据，没法可靠地确定当前读数中哪些是真实信号的贡献，哪些是不可测量的噪声的贡献，因为信号有两个来源，但只有一个读数，自由度不够。

MCAS为什么只用一侧AOA读数现在还没有最后定论，但两侧读数不一致的话，应该不许MCAS工作。问题是MCAS又不能不工作，因为两侧读数不一致的时候，读到的对错可能性各半，MCAS斯图卡和见死不救的可能性也各半。怎么办？

飞行员重又接通电动配平一事，可能涉及操作员心理，在束手无策的时候，尤其是手动控制还是不管用的时候，有人会彻底不信任自控，有人会彻底不信任自己，我两种情况都见过。这已经是心理问题，而不是技术问题了。

也有说法手轮即使及早开始使用，依然转不过来。本来是用为微调的，现在用来纠正大幅度错误，动作太慢。所以重新接通电动配平，死马当活马医。到底是不是这么回事，要看CVR里对话了，估计飞行员已经手忙脚乱，来不及汇报思想了，所以我们只能猜。

作者: holycow 时间: 2019-4-10 10:06

晨枫发表于 2019-4-9 17:06
7 c1 {- B& j3 w5 G% Q下班回家，该大战神牛了！
5 s6 k {) C% _- Z9 `* s8 `. G- T; Y: j: E
神牛质问到，为什么不用滤波把明显错误的AOA信号过滤掉，这是自控行当里 ...

晨大啊，你说的问题都有道理，但是波音以前也都知道，并且处理过。

737有个Optional AoA gauge, 这玩意总有个display range吧？那么超过display range的，就是波音认为放宽了余量都不可能有的数字。真有人突破包线飞到那个姿态，那也不是自控系统能管得过来的，还是让操作员自己去撞大运。

再举个例子，空客在空速60节以下失速警告不工作，60节以下速度的喷气机根本不可能还在天上飞嘛。结果法航447就生生飞出来60节以下空速，造成低头反而出失速警告，抬头失速警告消失的怪现象。但好像事后调查也没有人说空客这个gross error check错了

作者: holycow 时间: 2019-4-10 10:20

晨枫发表于 2019-4-9 16:20
! l7 z8 J) W# A9 L3 }; A737MAX的问题要分开来看。MCAS的问题没什么可多说的，波音全责。但机型或者机体的问题，一般都咬定基本设 ...

737的结构肯定过硬啊，-2g过载，500节俯冲，也没见哪个控制面空中掉下来了，Dash80当年横滚的传承还在。

但是同样Rosemount的AoA sensor, 同一个型号，装在NG上面啥事没有，装在MAX上面失效率惊人，真是奇了怪了。

作者: 燕庐敕 时间: 2019-4-10 11:26

常挨揍发表于 2019-4-9 21:46* N! v3 r' Z4 j' k9 k; N0 X
空客总部在法国，俺算法棍7 @" ]" j" W5 J$ m: N
你波音黑可以简称波黑

波黑？来个瓦尔特保卫萨拉热窝？

作者: victorlee1999 时间: 2019-4-10 12:32
在AOA故障，一团糟的情况下，需要手动操作，又需要电动助力，还想要麦帅不出手，是不是只有把襟翼放下来？这时把襟翼放下来有啥后果吗？

作者: holycow 时间: 2019-4-10 12:44

victorlee1999 发表于 2019-4-9 20:32
. ^, l, x7 t* l' @在AOA故障，一团糟的情况下，需要手动操作，又需要电动助力，还想要麦帅不出手，是不是只有把襟翼放下来？ ...

这种速度，襟翼立刻撕裂。其实重新插电的思路并非不可，但是插电以后要一刻不停地调电动配平，只要人手在调，麦帅就不会出手。调整完毕五秒钟内快手关断开关，两人合作应该可行

作者: 晨枫 时间: 2019-4-10 12:54

holycow 发表于 2019-4-9 22:44
6 k2 q( W6 r, u u% H) D这种速度，襟翼立刻撕裂。其实重新插电的思路并非不可，但是插电以后要一刻不停地调电动配平，只要人手在 ...

这可能只有事后复现中才做得到，就像萨利机长的NTSB审查中，反复验证飞回拉瓜迪亚和提特波罗都是可行的一样

作者: victorlee1999 时间: 2019-4-11 10:35
本帖最后由 victorlee1999 于 2019-4-11 11:36 编辑

给神牛补一个报告的链接
https://games-cdn.washingtonpost ... ba3cfebe.pdf#page=1

另外补一句，看到飞机最后的信号是海拔8000多英尺，以为是空中解体了。但是又和猛烈的地面相撞不符，于是翻原文：这个机场是个高原机场，海拔2333米，失事地点相距大约50公里，所以，海拔8000英尺就是扎进去了。
只有这种报告里，精确的描述显得异常冰冷无情：
...............until the end of recording.
About 32 seconds before the end of the recording......................
This accident was not survivable
...........created a crater approximately 10 meters deep (last aircraft part found) .........

仔细看了后面的图，在大约最后30秒以前，还不是无力回天。那时他们有离地面7000英尺（2100米）的高度。速度虽然早就达到了VMO (maximum operational velocity)，或者还略有超过，但是一直维持着这个速度，似乎并没有发生什么破损。飞行姿态也还可以，有过转动，推测是不是为了转向飞回机场。
但是最后时刻25秒的时候，电门被接通，MCAS用了5秒把安定面（stabilizer）打了1.3个单位。剩下的20秒就是乘客和机组生命中最后的惊恐了：垂直加速度，在最后15秒从+1变到了-2，如果有人没系安全带，一定会被牢牢地压到顶上；飞机俯仰姿态从基本平飞，变成俯冲40多度，最后时刻接近45度，（作为对比，飞机起飞时拉起的最高角度是20度）；速度从340节由于俯冲加速到了500节（这期间不知道是否是系统判断了太超速，发动机从90%降到了70%）。从图上看，最后阶段飞行员没有能做出拉起的尝试，可能是因为要克服2-3倍的力量才可以把手放在操纵杆上吧，甚至如果安全带系得松，他身体飞起来一小截，可能什么都够不到了。没有希望了。20秒钟就从2000米的高空斜扎到了地里。真空中自由落体，2000米也需要20秒呢。

欢迎光临爱吱声 (http://129.226.69.186/bbs/)