高度复杂的“软件定义”产品，安全隐患不容忽视

2019年3月10日上午，一架载着149名乘客的波音737-MAX8坠毁在埃塞俄比亚首都亚的斯亚贝巴附近，包括8名中国公民在内的所有乘客全部罹难，令人扼腕痛心！这是继去年10月29日印尼狮航空难造成189人罹难的波音737-MAX8客机发生的第二起空难。时隔不到5个月，波音737-MAX8飞机发生两起空难，实属罕见。而3月4日，国航CA983航班（波音777-300ER执飞）因为火警信息故障备降俄罗斯，执行了紧急撤离程序，也让乘客虚惊一场。

以往的空难事件一般容易出现在服役多年的老飞机，而且往往是在维护水平比较差的穷国，飞机失事的概率比较高。而最近接连失事的两架波音7370MAX8型飞机却都是刚刚投入使用的新飞机。这两次空难，对于整个全球民航界，对于波音等全球航空巨头而言，都需要深刻反思。

高度复杂的“软件定义”产品，安全隐患不容忽视

在波音的产品家族中，波音737 MAX是波音737配备新型发动机的衍生机型。截止2019年1月，波音737MAX系列飞机已经交付350架，订单数达到5077架，堪称波音目前最受欢迎的机型之一。

如果说波音787集民用客机高科技之大成，那么波音737MAX也充分沿用了其数字化技术和理念，甚至被称为常青客机的终极进化。在飞机系统方面，737 MAX进行了一系列改进，包括：电传扰流板系统，以改进可靠性、减轻重量并缩短降落滑行距离；电动引气系统，可以进一步优化客舱压力和防冰系统。对燃油效率也有好处；机载网络系统，737 MAX将采用一种增强的机载网络系统，包括数字式飞行数据获取组件（eDFDAU）和网络文件服务器（NFS）。这些系统可以提供一整套新的能力，包括先进的数据收集能力、预载飞机软件的机上存储，以及实时数据处理。

另据公开的资料显示，波音737MAX有着由软件和网络构建的“大脑”和“神经”——传感器和许多硬件的功能都由开放式的软件实现和扩充。可以说，737MAX和787一样“智能”，其数据处理能力和网络能力有着大幅提升，可以为乘客提供更多的娱乐选择，还可以提升维护运营效率。

737 MAX采用更加中心化的“内置测试设备”系统，可以让维修技师更加方便地获得维修信息。而以往飞机的故障信息要从飞机的前电子舱中才能获得，这需要更多的时间。与此同时，波音737 MAX进一步增强了连接能力，可以在飞行中向地面提供关于飞机系统的实时数据。这些设计目的就是让航空公司更容易地做出关于维修维护的运营决策。

全面数字化的新一代客机，其优势显而易见：更佳的能源效率、更强大的航电和机载系统、更透明的飞机健康状况、更佳的乘客体验……。然而，再强大的功能，再高的燃油经济性，再舒适的机舱环境，如果存在飞行安全隐患，一切都是白搭！在实现产品的数字化和智能化的过程中，应当恪守一条重要底线，那就是可靠性和安全性。

民航领域的自动驾驶已经普及了几十年。飞机的自动驾驶系统会根据预先设定好的航路，全程驾驶飞机，甚至完成降落。从狮航波音737Max坠机的调查结果来看，问题可能就出自飞机的自动驾驶系统。

该型号飞机的自动驾驶系统设计了一个智能化功能，在传感器探测到客机失去升力或气动失速时，自动以俯冲方式获得加速。但在相关操作手册中，对该功能并未做准确描述。自动驾驶系统基于错误的信息自动触发了错误的决策，并且无法进行人工干预，可能是这两次灾难的原因之一。自动驾驶系统通过所谓的智能来自动防错，结果连摔两架！ 虽然本次调查结论还没出来，但是迎角传感器故障导致飞机向下俯冲仍有重大嫌疑。

飞机的Digital Twin示意图

对数字化技术应用的几点反思

众所周知，民航飞机是十分复杂的“系统之系统”，有众多的子系统，涉及到机电液软等多个学科，现代飞机大量使用了复合材料。类似波音737MAX这样的飞机，可以说完全是“软件定义的智能产品”，有海量的软件代码，也有大量的传感器。作为新一代的民航客机，自动驾驶系统也已经成为标配。因此，要确保飞机性能的安全性、可靠性，需要对各种工况，各种气候条件，各种负载情况下的飞机运行状态进行大量的实验；同时，也会广泛应用各种仿真软件，来模拟可能出现故障隐患的各种情形，对产品的可靠性进行验证。

这两次波音737MAX飞机坠机事件，从数字化技术应用的角度，应当引起以下反思：

1.人机协作而非机器换人。

对于汽车的自动巡航，驾驶员一踩刹车就可以解除。而对于更加复杂的民航客机而言，如果解除了自动驾驶状态，则自动驾驶系统应当彻底停止工作，完全由驾驶员指挥飞机。只保留传感的功能，而不能再自动执行。也就是说，可以把故障信息传输到仪表盘，由驾驶员做出判断，而不是自动调整尾翼的姿态。日本企业非常强调“自働化”，就是指人机协作，不要盲目推进机器换人。因此，日本企业积极推进Andon系统的应用，把产线的故障实时显示出来，由人来进行协作和处理。

2.数字化与智能化技术发展的方向是增强人的技能，帮助人类提高效率，而非替代人。

IBM提出，AI的发展方向是Augmented Intelligence，或者Assistant Intelligence。人工智能技术的发展应该是为人类提供更好的服务，辅助人类做出正确的决策。人工智能的程序可以在某些专业领域超过人类，比如下棋、图像识别、故障预测等。但这并不意味着在实际的生产和生活中，人工智能技术做出的判断，能够替代人类在复杂状况下，凭借自身的经验，甚至直觉快速做出正确判断的能力。

3.推进Digital Twin应用，不能轻易通过数字化模型控制实物产品。

当前，Digital Twin（数字孪生）是企业关注的热点。在整个产品生命周期之中，Digital Twin可以充分利用物理模型、传感器、运行历史等数据，集成多学科、多尺度的仿真过程，作为虚拟空间中对实体产品的镜像，映射相应的物理实体产品的全生命周期过程。

在航空领域，飞机的数字孪生模型与飞机物理产品建立了一对一的映射，不仅包括传统的几何模型，还包括材料属性、生产、检验、力学分析、空气动力、健康维护以及试飞等物理实现环节所反馈的一系列数据。

在Digital Twin可以实现的功能层级中，首先是状态显示；第二是监测、诊断、预测；第三是加入环境、人力、过程等因素后，更有利于分析、预测和控制。从这两次飞机失事事件来看，在将实物飞机的数字孪生叠加到无比复杂的航空飞行环境中，如果仅仅根据数字化模型来控制实物产品，存在很大的风险。一旦出现故障时数字化模型无法纠正外界环境带来的影响，或没有完备的人为干预机制，自动驾驶系统作出错误的判断并执行控制，会造成不可弥补的灾难。

随着数字化技术的深入应用，企业在产品生命周期中产生了大量的基于物理的、数学的模型，如何将它们有效、安全并且可靠的映射，如何使得Digital Twin真正包括产品实时的完整信息，比建立Digital Twin本身更为重要。在这个过程中，企业必须注重构建Digital Twin的安全防范手段，建立基于风险分析的与国内外标准相协调的分级管理制度，同时，不可忽视人为干预机制，在发挥“Digital Twin”作用的同时，不能轻易通过数字化模型来控制实物产品。

航空发动机的Digital Twin

回顾人类民航的历史，每一次航空安全的进步，背后都有多次事故血的教训。让我们在缅怀逝者的同时，也感谢每一个为了航空安全付出过努力的人，正是因为他们，让我们依然热爱飞行！同时，也希望这两次航空事故让我们能够警醒，能够正确理解数字化、自动化与智能化技术的局限性，在用其长处的同时，也要由人类牢牢把握自己发展的未来！