埃塞俄比亚空难,人机控制权争夺后的悲剧

埃塞俄比亚航空客机起飞后6分钟突然坠毁，机上157人死难、无人生还，包括8名来自中国大陆的旅客。这次失事的飞机是刚投入使用不久的波音737-MAX8，与去年十月份印度尼西亚航空失事的飞机（机上189人全部遇难）是同一种机型，而且都是投入使用不久的新飞机（都不到半年），引起了人们的巨大关注，特别是关于737-MAX8这种新机型的安全问题。3月11日，中国民航局宣布暂停相应机型的商业运行，包括全部96架737-MAX8（占世界总数的大约20%）。埃航随后也停飞了旗下的737-MAX8。

遇难飞机的黑匣子已经找到，但是正式的调查报告应该还要等一段时间才能出来。网上关于这件事的讨论很多，我也来说两句。

737 MAX是波音公司基于737设计的新机型，2016年1月29日完成首飞，2017年5月16日首次交付运营。目前，投入使用的波音737 MAX飞机约500架，而订单数更是高达3700多架，是波音最畅销的机型。

这两天网上说的最多的一种可能性是，这次飞机失事是人机对抗的结果，飞机驾驶员和机动特性增强系统（MCAS）争夺飞机的操控权，飞行员输了。

简单地说，似乎是这样：现在的飞机很大很复杂，所以都有自动驾驶系统。飞机可以由飞行员操作（“手动模式”），在适当的条件下也可以由自动操纵系统掌控（“自动模式”），飞行员具有决定权，可以退出自动模式，进入手动模式。737 MAX是一种新机型，有一个机动特性增强系统（MCAS），用于改进飞机的平衡特性，但是它的优先级特别高，甚至在一定程度上超出了飞行员的决定权。在手动模式下，当攻角传感器（AOA，一种重要的传感器）发现异常的时候，MCAS迅速取得飞机的控制权，下压机头、让飞机迅速下降从而提高飞机的速度（因为MCAS认为飞机有失速的危险）。即使飞行员进行手动操作、抢回飞机的控制权，MCAS仍然会每五秒就自动执行，重新夺回控制权，这样一来，飞行员就不得不与MCAS较劲，人机对抗就开始了。上次对抗，人输了；这次对抗，又输了。

这个MCAS程序开关好像很隐蔽。网上的说法是可以关闭，当然也可以拔电源（关掉自动配平系统的电开关）。但是，这两次空难的结果似乎表明，飞行员似乎并不知道如何处理。上次印尼航空的飞机在11分钟里发生了20几次的机头下沉和上扬，最后还是坠毁了；这次埃航的飞机机头朝下撞击地面，砸出了一个10多米深、50多米大小的深坑。

关于这一点，知乎上有很多帖子，我随便找一个吧：

白话翻译一下高赞大佬们的解释。

飞机抬头起飞的时候，如果头抬的太高，那就很容易造成速度就没法保证，没有足够的速度会导致升力不够，所以可能导致坠机。

而波音737max系列装了新系统，当飞机头抬的太高，可能造成危险时，飞机会自动低头，以获得更高的速度。

但是，飞机读取头抬多高的传感器可能故障。在原来机头抬的不高，速度也足够的情况下，飞机自己会误以为机头太高，速度不够，因此自行修正，低头。于是飞机可能一头栽向地面，peng。

新机型，新飞机，半年内出现两次机毁人亡的空难，很可怕。正式的调查报告还要等一段时间，但是架不住大家瞎猜啊。越是没有正式结果，越是会瞎猜，而且这是新机型，半年掉两架，搁谁身上也害怕呀。

MCAS本来是为了提高飞机的稳定性，结果变成了跟飞行员争夺飞机的掌控权，而且还停不下来。人工智能变成人工智障，到底是怎么回事？据说是攻角传感器容易出问题、给出假数据，MCAS觉得飞机失速的危险迫在眉睫、必须立即调整飞机姿态，而正在手动驾驶的飞行员一头雾水、不知道为什么突然被抢走了控制权。这种情况又是发生在最关键的飞机起飞阶段，所以就悲剧了。具体情况只能等最终的调查报告了。

换种说法再来一遍。

737max因为更换了新的发动机，所以动不动就要抬头（攻角不对了），又不想重新做风洞实验，只能凑合着用MCAS了。MCAS系统只听一个传感器AOA的话，而且它的决定优先级高于飞行员，所以怎么都没得救了。一般的逻辑是，如果传感器出错了，直接切换成飞行员手工操作模式就行了吧。但是切换不回去，因为波音把MCAS的优先级设得比手动还要高，而且没告诉飞行员（或者说告了，但是没强调，大家都不知道这码子事情）。也就是说，只要传感器出问题，就没得救了——除非你及时拔电源，似乎国内航班出现过这种情况。如果你不能在第一时间把电源拔了，那么这个神经病系统每五秒钟就来跟你抢一次控制权，而且抢了以后还不告诉你。

这个方法是空客发明的，但空客比较客气，优先级没有人工那么高，波音比较猛，优先级设计得比人工高，所以人机对抗的结果总是机器赢了。有人猜是因为新的发动机太大了，导致攻角的冗余度有限，而且这件事可能很严重，波音觉得通知飞行员就来不及了，所以直接自己动手。结果就打架了。关键在于，这个操作是在手动模式下实现的，也就是说MCAS一旦发现AOA的数据不对了，直接抢夺操作权，飞行员还在那里发蒙呢。闹心的是，这个AOA探测器好像很容易出故障。

人机对抗，人输了。

再随便截一段说明吧，类似这样的话出现在很多回答里：

原因很简单，就是是MAX为了省油，升级了更大的新发动机，但737的起落架太短，只能把发动机在机翼的位置往前往上移，但这就造成更大抬头力矩而容易失速，波音就给MAX设计了一个会让飞机自动低头的配平系统MCAS，此系统接收到错误的信号后会自动让飞机低头，问题是没写进手册里，当时飞行员并不知道有这个设计，知道了此设计后还是有方法控制住飞机的。

事已至此，应该尽快发现事故原因并做出修复，当然还有相应的责任认定和赔偿问题。这次的要点不在于波音的动作，而在于中国民航总局，迅速坚决地停飞所有相关机型。中国民航局已经停飞了所有的737max，也有一些航空公司跟上，但是接下来形势如何发展，还不确定。

波音现在是进退维谷。我有上中下三策送给波音：

上策是壮士断腕，立即停飞所有737max，暂时中止所有相关合同，做出相应赔偿，同时努力寻找事故原因，修复故障系统；

中策是联合作战，成立美欧中三方联合的独立调查小组，与埃航一起，寻找事故原因，修复故障系统；

下策是因循故事，波音独立寻找事故原因，修复故障系统。

但是，利益原因不能用上策，政治原因不能用中策，波音大概率只能采取下策，如果能熬过今年，也许还能挺住。

对于上策来说，经济代价太大，毕竟是几万亿美元的市场，做决定谈何容易。

对于中策来说，政治代价太高，美政府也不一定拿得出对价，或者说舍不得对价。

所以，很可能只能是采用下策了。

然而，波音的麻烦没那么简单。如果不是大面积停飞的话，737max大概率还会出事，目测就在今年。因为不改自动驾驶系统，就可能人机对抗，机器大概率要赢，人恐输；停用MCAS，就可能突然失速，飞行员反应不过来，人亦输。波音之所以采用优先级非常高的MCAS，大概率是因为波音有内部评估，硬件冗余度有些小，非MCAS不能救急。

现在要做决断了，也许本周就要决断，虽然很难，但是没有其他办法。

时者难得而易失，功者难成而易败，时乎时乎不再来。