一个嵌入式软件工程师的角度如何看波音737MAX8坠机事件

最近波音737MAX8飞机5个月内两次坠机空难事件成为国际网络热点，各种消息传得沸沸扬扬。小编也来凑个热闹，从一个嵌入式软件工程师的角度来谈谈看法。

1、MCAS（机动特性增强）系统

波音737MAX是737改进机型，目前订单排队已达4600架。由于发动机增大，整个飞机的平衡性变差，因此增加一个名为MCAS的软件系统来弥补，防止飞机失速。

以下是小编根据有关资料画出的MCAS软件系统工作流程图：

从中可以看出，若攻角度数过大，就激活MCAS系统，把机头往下压，防止飞机失速。

当然，飞行员随时可以关闭MCAS系统。

MCAS系统运行机制（来源：《西雅图时报》）

2、攻角传感器数据错误是造成空难事件的起因

根据上述程序流程图很容易得出结论：如果攻角传感器数据出错，而且不进行人为干预的话，会使正常飞行的飞机发生自杀式俯冲！

从目前披露的情况看，两起坠机事故类似，确实与传感器数据错误有直接关系。

此前有媒体批评波音MCAS软件设计过于简单，存在单传感器缺陷，并把锅甩给印度软件外包公司。小编当时对此看法嗤之以鼻，认为以波音这样伟大的工业制造公司，是不可能犯如此低级技术错误的，况且还有层层的检查和认证。

事实上，上述程序流程图只是简单的功能流程图。记得光轮电子CEO林添孝先生曾说过，一个有经验的软件工程师，还会加入错误处理、边界处理、可靠性设计、状态输出等等代码。这些代码工作量往往是很大的，隐藏在功能表象后面，确保程序的可靠运行。因此，如果您有产品或软件需要外包设计，考察团队的设计经验非常重要，这关乎产品质量。

以上述程序流程图为例，软件必须考虑攻角传感器数据来源错误的情况，这包括传感器损坏或者读取错误。通常采用2个以上传感器以满足高可靠设计要求。而事实上，波音737MAX8确实装有两个攻角传感器。根据《西雅图时报》的报道，“根据初步调查报告中提供的黑匣子数据显示，两个传感器的读数相差约 20 度，而且在起飞前、飞机在地面上滑行时也是如此，未曾改变。”

那么，主要问题出在哪里？

737的攻角传感器

3、对利润的过分追求降低了安全性

现在，迫于压力，波音公司不得不承认错误的攻角传感器数据使MCAS系统出故障，导致自杀性俯冲。但是，出事的埃航和狮航飞行员却在座舱仪表中看不到至关重要的攻角数据！飞行员在仓促的情况下很难想到去关闭MCAS。

最新的消息是，737MAX8 配有“攻角警示灯”（两个传感器不一致时警示）和“攻角指示器”，但这都不是标配，需要花6000多美元和11000多美元选购。4600架如果都安装，就需要小1亿美元，而这些基本都是纯利啊。用牺牲乘客的安全赚取利润，太黑心了！埃航和狮航为了节约成本而没有选配，346条生命为此付出代价。当然波音公司必将为此付出沉重的代价。

波音737MAX8飞机的驾驶舱（路透社）

4、工业数据可靠性要求高，需警钟长鸣

错误的攻角传感器数据是导致两次波音737MAX8坠机事故的起因。波音坠机事件向我们敲响了警钟：重视工业数据可靠性，它牵涉安全问题。一次安全事故有可能就让一个企业把多年利润都吐出来，甚至玩完。