拿什么来加持你，MCAS?

holycow

( E9 i9 x! `% I$ i$ n
+ M! T' {! K4 b; ^) L这两天MCAS和MAX一起刷屏了，乃至于神牛在牙医诊所等着洗牙的时候都能听到诊所里的前台老太太们在讨论那个“会把飞机飞到地里，而且还关不掉的AI”。想想与其给老太太科普，不如码成字放到坛里来赚爱元？
2 j  A5 [$ e' b* L3 g
) r* }. x2 J! v3 ~3 I  Q) X1. 波音为什么要搞MCAS?
% z* z* h, H7 @. T: U
1.1 波音为什么要搞MAX？因为：
! S1 W7 C4 v' \a) 空客搞了neo, 必须要搞一个对应的产品
b) 全新设计太费钱，当时还没有从787那个大坑里爬出来，没钱
! C* ]6 Q' i; [0 ]/ e+ pc) 如果在737NG基础上改进，估计能套牢一大批737现有用户；如果全新设计，搞不好现有用户都叛逃到空客
d) 西南航要新机，越快越好

; U/ G1 T) E( m1.2 737的前世今生
4 W& J: w: r! o, w, P' A# s
1.2.1 起落架短，发动机离地近，汉莎赐名"大功率跑道吸尘器"


! f4 I" Q, M, B0 K1.2.2 发动机变成CFM56系列后，发动机直径变大，只能发动机向前吊挂，同时切整流罩下颚，保持离地高度


1.2.3 MAX要改成LEAP，发动机更大了，切整流罩已经没有用，只能把发动机的位置继续挪前，而且挂架更向上，已经从翼下到达了机翼前缘的位置
2 Z" p  p  X; q

于是，这个发动机的位置从飞机的重心下方附近挪到了重心之前，发动机短舱产生的升力成为作用在飞机上的抬头力矩, 并且在接近失速的大攻角情况下，发动机短舱产生的升力急剧增加，飞机有强烈抬头倾向
6 r0 g6 [4 J- }) g
7 |' V" C+ Q- T% p# ~5 {( T9 O1.3 燃鹅，根据适航条例
4 u1 T8 [& \+ r: k# Y7 \/ \
1.3.1 当攻角增加时，使飞机继续抬头所需要的拉杆的力量不得减小。其实理想的情况是攻角越大，抬头所需的杆力逐步增加，天然起了阻尼的作用。比如说汽车的方向盘在高速的时候比中速时候“更重”，就是出于安全的考虑。
* K& U$ b# m5 I! E8 {+ }4 [0 N
1.3.2 而这个MAX，一到大攻角的情况下由于发动机短舱产生的抬头力矩，会使得继续抬头拉杆所需的力量减少。如果飞行员手工操作以恒力拉杆，一不小心就过了头失速了

! Y9 [; z. D* Q  N, v+ `1.3.3 这样是根本拿不到适航证的
$ _6 \0 r! c- G
2. 于是，MCAS闪亮登场了

3 C5 O2 T) Q* R; E6 U2.1 MCAS的神逻辑

% c1 U* m5 N# n; c3 K2.1.1 MCAS只适用于手动飞行，不会在自动驾驶接通时启动。道理很简单，因为自动驾驶的逻辑早就把抬头力矩考虑进去了，不用MCAS来补偿
9 a, h( q# e0 ~" Y& J! B
% z8 d, F: O9 [6 c  G+ d2.1.2 MCAS补偿抬头力矩的办法，是调整水平尾翼，给一个向下的配平，抵消掉发动机短舱产生的抬头力矩

; D+ E7 J$ R' d7 L2.1.3 MCAS的输入是一个攻角传感器的读数。虽然飞机上有两个攻角传感器，但MCAS只看一个。这个真是神了，没有冗余，不互相校验检测，为什么设计成这样只有波音知道。如果攻角传感器的读数表明飞机攻角已经接近失速攻角，并且飞行员是人工飞行，襟翼在收起状态，MCAS立刻启动

2.1.4 如果飞行员拉杆抵消MCAS向下的配平，那么MCAS会加大向下配平的程度。我设计的用途就是要防止飞行员拉杆过度，那么如果你拼命拉杆抵消我，你一定是个愚蠢的飞行员，让我来拯救你吧
3 c) X  r# O( Q7 r0 U; p
. L: }9 }6 e6 h2.1.5 如果飞行员手动配平水平尾翼，MCAS会暂停10秒，然后根据攻角传感器的读数再次启动

2.1.6 MCAS向下的配平没有限制，可以配到水平尾翼的低头极限，也就是斯图卡轰炸机的姿势
/ F& V) n4 d$ o4 q  w5 N
- T2 Y  k9 L1 [# _
6 w) u) d4 o; a2.2 Garbage In, Garbage Out

2.2.1 如果给MCAS数据输入的那个攻角传感器异常，产生了错误的大攻角输入，并且飞机处在刚起飞之后，襟翼收起，但自动驾驶尚未接通的状态下
, U9 ]4 E% I/ V! I
: h7 Q# j9 a  p: G- y1 q2.2.2 参见以上2.1.4, 2.1.5, 2.1.6
. c' M! g: Q2 G6 |
2.2.3 刚起飞，一旦斯图卡连改出的机会都没有
, B9 H. b: Y1 V( G9 {

4 ~5 ~8 S, ]$ n/ A- q2 H2.3 我怕了你了，拔插头不行吗？
9 ]: ]" z/ P* z# p
8 u' i' U, y* G2.3.1 如果从MAX撤除MCAS, 肯定是不行的。参见1.3, 阉掉MCAS的MAX是不适航的，根本连证书都不会有

2.3.2 如果我设个逻辑，飞机起飞阶段，不到某个高度MCAS不启动，可以吗？MCAS本来就是为手动飞行设置的，大部分的应用场景是起飞后接通自动驾驶之前和降落时解除自动驾驶之后。这两个阶段的高度都不会高，如果你设个阈值，要MCAS何用？巡航阶段手动拉杆的，那是博南再世...
" X, Q, w0 w1 f5 h& O$ m2 i
1 {( x4 [0 U$ r, {& Z1 F# v2.3.3 正确的拔插头方式是关掉自动配平的两个开关，然后手动配平到中立位置(因为拔插头之前配平肯定是机头向下)，然后小心拉杆(参见1.3.2, 现在没有MCAS了，一不小心就拉过头失速了)

' h- n+ U# x! o; U1 |8 c" U2.3.4 如果你还是害怕，波音有一个升级包卖给你。升级包可以在多功能显示屏上显示当前攻角读数，左右读数可以互相验证，如果读数差太多会亮警告灯。这个升级包，能够 make an already safe plane even safer (我老是觉得，这句话和国安永远争第一有异曲同工之妙) 印尼空难后，AA和Southwest都加钱买了升级包

4 |) M1 c/ q% T. E( ]写完这段，我觉得波音如果去卖车肯定也能大赚~
7 {" h1 {. _- O
1 g$ S1 d& R* @4 x) }: F+ @5 D
- {3 `# k, a; n/ n+ S2.4 拿什么来拯救你，MCAS?

& o! m; P( G- u! L8 z8 N2.4.1 印尼空难之后，FAA要求波音做的改进是：
+ x' `' i7 ?# l' q0 ha) 要冗余，要校验，不能有单点失效这种事情。第二个攻角传感器要用起来
* ~' ~( W$ ]) ]; ^b) MCAS不能机头向下无限制，到一定程度就停，不能搞成斯图卡

这个就是波音所谓的四月要发布的飞控系统更新。其实从11月开始做，原先是要一月发布的。测试过不了关，拖到四月。如果这次埃塞航空难再有什么新发现，肯定还需要补丁马克兔。再说了，虫虫是杀不完的，杀了一个虫，新造两个虫是软件开发常态...
( L  p, Q  ]- e/ P/ `
, u$ M$ T6 n& @) o) x  a2.5 改了就能过关了？你问过髪国人吗？
1 @0 ^# a% g" O5 ~8 ^% O& E
EASA对于波音这种硬件不足软件补的方式原先就不感冒，差点不同意FAA给出的适航结论。这次反正停了，要重飞的话EASA怕是没有那么好说话了。神牛脑补一下：

机头向下现在有限制了，到一定程度就停了。那要是真碰上有人死命拉杆怎么办？你要举个栗子？我法兰西就有活生生的栗子...
1 O3 _' K0 N: m  A
8 V* {( R* Z1 `4 @
, A& ~* P; U8 l# X' J9 W  YP.S. MCAS显然是麦克阿瑟的缩写，这玩意神牛加持不了，必须找麦帅加持~~
' y4 `) J% h  z  D1 M



8 p1 s5 [( u; u- o& e! s' C     

燕庐敕

人机大战！

逍遥探花

虫虫无尽

伯威

神牛这个说法和前几天网传的737Max内幕很像，当时还不太相信，能有这么坑爹？
% c, b( }, O: L1 c4 t% A; E) o那么解决之道也就是软件升级，提高安全系数喽？
5 j+ i. ?5 r$ ~$ l看来波音的飞控工程师不敢乘自家飞机还真不是段子。
0 m5 G. Q0 m" {4 Y* F7 |这种危险性相当大的硬件不行软件补在客机行业里是不是相当普遍，还是个别现象？

togo

我怎么觉得应该改那个攻角传感器，如果攻角传感器可靠性没有问题，不提供Garbage Input，飞控软件能够正常控制呀

alaok

那要是真碰上有人死命拉杆怎么办？你要举个栗子？我法兰西就有活生生的栗子...

想不起来了，这是哪个梗？ 华航名古屋的空客事故是在拼命推杆呵。
而且，经你这么一分析，波音这事的性质比空客严重许多啊。

victorlee1999

怪不得他们迟迟不停飞，要不升级包不是白买了？

小老虎爹

alaok 发表于 2019-3-14 15:26
+ ~& b; ^, @3 n  t+ V8 k3 V6 k7 `想不起来了，这是哪个梗？ 华航名古屋的空客事故是在拼命推杆呵。
2 y3 A- i1 Q! I0 p而且，经你这么一分析，波音这事的性质 ...

6 ]8 R' S; |' B+ IAF447啊，博南拉杆

victorlee1999

搜了一下出处： Boeing plans to deploy a software update for its 737 Max plane “designed to make an already safe aircraft even safer,” the company said in a statement two days after an Ethiopian Airlines 737 Max crashed and killed all 157 passengers.

中华如龙

资本为了赚利润
无视一切的典范案例

code_abc

为什么只用一个传感器的数据，也不考虑传感器失效的情况呢？飞控软件的设计和审核难道就这么...儿戏?

五月

感觉换了发动机其实飞机气动布局已经大改了，而且改糟糕了。然后波音机智地借用了战斗机电传飞控的概念。这届波音真的不行。
! ?3 s+ _& ]  q7 C0 b0 Z3 l6 P5 I
3 N+ _6 v4 M: ?难道解决方案是上鸭翼？
7 g7 q& {) L3 E
9 T0 q! P7 Z* h; q; B

雨楼

神牛至大。。。

料理鼠王

如果是实锤，Boeing破产都不够赔。
所以只能死扛。

齐若散

感觉既然发动机这么设置了，再怎么用软件补偿都有很多例外等着出事故啊。

% h9 \+ w: E+ z. ^“比如说汽车的方向盘在高速的时候比中速时候“更重”，就是出于安全的考虑。”，还不清楚是否有这样的体验，以后注意一下。

清凉山

2 M$ j1 T" c0 F# v0 w# G( v
事后发现的设计缺陷用软件弥补还可以理解，这种事先就知道的错误竟然也不用打回去改正，就这么轻易地糊弄过去了，FAA的公信何在？

然后203

资本为了赚利润，不找神牛帮忙做软件而是去找了个三哥……

kar98k

一步错步步错

njyd

根据我有限的知识，发动机前移应该是重心前移造成低头力矩，发动机短舱的升力不足以补偿这个低头力矩，否则机身截面做成发动机短舱的模样不是就可以不要机翼了？不懂中。
( a* f# S! ?7 t& f& f0 ~6 Q1 i" W即使动机短舱造成过大的抬头力矩，只要攻角传感器正常也不应该出问题。我看主要还是传感器或信号传输的问题，还有可能是软件有big,只有在某组特殊条件下才会跑到这里。
- p- \0 G0 a4 ?2 F% U两个传感器冗余肯定是不够的，至少要三个，否则两个信号不一致时选哪个？

五月

njyd 发表于 2019-3-14 19:46
) A7 G- v8 n( m. m% j$ K根据我有限的知识，发动机前移应该是重心前移造成低头力矩，发动机短舱的升力不足以补偿这个低头力矩，否则 ...

应该不是重心问题。飞机改重心不难，而且装货的时候，油烧了多少，重心随时在变。

/ E( L: I) X1 z3 m可能是新发动机改变了飞机的气动布局，这个就很难调整了。如果调整的话差不多等于重新设计一架飞机。
: E7 O7 C! u$ I7 V
4 s2 C: V3 |5 i% i" x本来应该是三个以上的传感器，如果传感器数据不一致，系统把不一致的地方显示给飞行员，由飞行员决断。

波音的做法是只用一个传感器数据，而显示给飞行员的功能要加钱