觀點(diǎn)：埃航墜機(jī)可能會改變整個航空工業(yè)
2018年航展上的737max。圖片來源：https://www.flickr.com/photos/71965027@N02/43507196912
撰文 | 焦 健（北京航空航天大學(xué)可靠性與系統(tǒng)工程學(xué)院）
責(zé)編 | 張 晗
● ● ●
2019年3月10日的墜機(jī)事故可能會改變整個航空工業(yè)。
3月10日，埃塞俄比亞航空一架波音737 MAX 8飛機(jī)在起飛后不久墜毀，機(jī)上乘客及機(jī)組人員共157人全部罹難，這是繼去年10月29日印尼獅航空難事故造成189人罹難后，波音737 MAX 8飛機(jī)發(fā)生的第二起空難。相隔不久的兩起空難具有很多相似之處：都是全新的波音737 MAX 8飛機(jī)，都是在起飛后不久，墜毀前都疑似發(fā)生了控制異常。這不免讓人懷疑是飛機(jī)可能存在安全問題。
根據(jù)目前披露的信息，波音公司最新推出的737 MAX系列飛機(jī)很可能存在設(shè)計(jì)缺陷。
波音737 MAX的賣點(diǎn)之一是節(jié)能環(huán)保，為此它更換了最新的LEAP-1B型發(fā)動機(jī)，但由于737飛機(jī)前起落架高度不夠，無法容納更大型的LEAP-1B發(fā)動機(jī)?；蛟S是在市場競爭的壓力之下，波音公司采取了改動量最小的設(shè)計(jì)方案：737 MAX提高了發(fā)動機(jī)的安裝位置，這樣就可以在保持機(jī)身、機(jī)翼和起落架不變的情況下，確保發(fā)動機(jī)有足夠的離地高度，但是這種設(shè)計(jì)方案會影響飛機(jī)的俯仰配平從而使得飛機(jī)出現(xiàn)大迎角失速（飛機(jī)仰角大于臨界值時，升力急速消失）的可能性增大。為確保飛行安全，波音公司又進(jìn)一步改進(jìn)飛行控制系統(tǒng)，利用機(jī)動特性增強(qiáng)系統(tǒng)（MCAS）自動調(diào)節(jié)飛機(jī)姿態(tài)，在仰角過大的時候操控尾翼舵機(jī)，使得機(jī)頭適當(dāng)向下以避免出現(xiàn)大迎角失速。
大迎角失速圖解：上面是正常情況，中間是臨界情況，下面飛機(jī)已經(jīng)失速。圖片來源：https://en.wikipedia.org/wiki/Stall_(fluid_dynamics)#/media/File:StallFormation.svg
但從目前公開的資料來看，波音公司并未就這一新功能對飛行員進(jìn)行相應(yīng)的培訓(xùn)，很多飛行員很可能并不知道飛機(jī)增加了這一新功能。單獨(dú)看飛控系統(tǒng)這一新功能或許并沒有問題，但是從整個飛機(jī)的角度來說，這又造成了新的隱患：當(dāng)由于傳感器錯誤等原因造成輸入數(shù)據(jù)有誤時，飛控系統(tǒng)會做出錯誤的判斷，在原本正常的情況下壓低機(jī)頭，也就變成了向下俯沖；而飛行員又不了解這一新功能，無法做出正確判斷從而會進(jìn)一步惡化局面。一旦在起飛、著陸這種安全關(guān)鍵階段出現(xiàn)上述情況，其后果不堪設(shè)想。
基于上述分析，我們可以看到三個幾乎是老生常談的安全問題。
首先，安全不僅僅是一個技術(shù)問題，也是一個管理問題、社會問題，需要站在整個社會技術(shù)系統(tǒng)（socio-technical system）的層面上進(jìn)行考慮。
在市場競爭、財務(wù)成本、生產(chǎn)周期的壓力下，一個企業(yè)或組織很可能會以犧牲產(chǎn)品安全性為代價來爭取更大的市場份額或利潤。2000年的阿拉斯加航空261號航班空難即是如此，阿拉斯加航空公司在競爭壓力下，私自延長了規(guī)定的維修間隔期，導(dǎo)致261號航班客機(jī)的水平尾翼驅(qū)動機(jī)構(gòu)由于磨損過大而卡死，最終墜毀。面對空客公司同級別A320 neo 機(jī)型的競爭壓力，波音公司確實(shí)需要盡快推出新型飛機(jī)來確保市場份額，研制周期就成了決策者和設(shè)計(jì)師優(yōu)先考慮的問題。
從目前的結(jié)果來看，很多用戶對波音公司是否像宣傳的那樣真正做到“安全第一”存疑，波音是否為了縮短研制周期而采用了改動量最小但未必是最安全的設(shè)計(jì)方案也需要進(jìn)一步的調(diào)查。
第二，即使在技術(shù)層面，安全也仍是一個系統(tǒng)性問題。根據(jù)已有的報道，波音公司引入MCAS 新功能就是為了降低新方案的安全風(fēng)險。但安全是一個系統(tǒng)性問題，需要站在整個飛機(jī)的角度來優(yōu)化安全問題，局部的改進(jìn)未必能夠真正解決安全問題，甚至?xí)胄碌碾[患。
MCAS 新功能在試圖解決俯仰配平問題的同時，很可能忽略了與傳感器的接口問題（新功能帶來的另一個新問題），當(dāng)傳感器發(fā)生異常時也就無法正確處理?；蛟S有人會覺得這是傳感器的問題，并不是飛控系統(tǒng)的錯，但適航原則之一就是“故障安全”——飛機(jī)不能因?yàn)閱吸c(diǎn)故障而影響安全，即使發(fā)生了故障，飛機(jī)仍然是安全的。
最后，自動化甚至智能化裝置對安全的影響也需要我們認(rèn)真思考。
為了避免人為失誤，民航飛機(jī)不斷引入自動化裝備，目前在氣象條件允許的情況下，巡航和著陸階段基本都已可以自動駕駛。但是，在自動化程度不斷提高甚至開始引入人工智能的當(dāng)下，安全問題有必要重新審視。波音公司引入MCAS新功能所造成的隱患，似乎說明我們目前陷入一個怪圈：為了提高安全水平的自動化/智能化裝置在某些時候卻成了致命的缺陷。
自動化/智能化裝置究竟能否真正提高飛機(jī)的安全水平，目前在學(xué)術(shù)界也還沒有完全達(dá)成共識。從長遠(yuǎn)來看，發(fā)展人工智能是大勢所趨，逐漸應(yīng)用人工智能不是問題，問題在于如何應(yīng)用。人的行為大致可以分為三類，對于技能型（skill-based）和規(guī)則型（rule-based）行為，人工智能的優(yōu)勢不言而喻，但是人工智能能否替代知識型行為（knowledge-based，指利用自己的經(jīng)驗(yàn)和知識來從無到有，隨機(jī)應(yīng)變）目前仍存在很大爭議，而后者又恰恰是最關(guān)鍵的和最危險的行為。在自動化裝置面前，飛行員的角色從操縱者轉(zhuǎn)變?yōu)橛^察/決策者，飛行控制過程在很大程度上對于飛行員是不透明的，一旦出現(xiàn)問題，飛行員無法了解問題所在，也就是無法憑自己的經(jīng)驗(yàn)和能力來解決問題。此外，自動化、智能化裝置往往與強(qiáng)調(diào)簡化的可靠性原則相背離，這個矛盾也不容忽視。
在市場、經(jīng)費(fèi)、進(jìn)度壓力下犧牲安全，產(chǎn)品的設(shè)計(jì)未能遵循基本安全原則，如何真正避免或消除人為失誤，這是安全性工作經(jīng)常面臨的問題，它們會直接影響產(chǎn)品自身的安全性，從根本上決定產(chǎn)品的安全水平。
在相當(dāng)長的時期內(nèi)，人們普遍認(rèn)為飛機(jī)本身已相當(dāng)安全，主要是環(huán)境和人為因素在影響民航安全水平，但連續(xù)兩次波音737 MAX 空難事故為航空工業(yè)敲響了警鐘。航空及民航業(yè)的高速發(fā)展掩蓋了存在的問題，人們突然發(fā)現(xiàn)，即使如波音這樣經(jīng)驗(yàn)豐富的航空巨頭也可能存在低級問題。面對災(zāi)難，社會需要反思現(xiàn)有的企業(yè)文化和工作模式。
或許，這會改變整個航空工業(yè)。
參考資料：
1. Rasmussen J. Risk management in a dynamic society: A modelling problem [J]. Safety Science, 1997, 27(2–3):183-213.
2. Leveson N. Engineering a Safer World: Systems Thinking Applied to Safety [M]. The MIT Press, 2011.
3. 阿拉斯加航空261號班機(jī)空難報告https://www.ntsb.gov/investigations/AccidentReports/Reports/AAR0201.pdf
4. 何旭洪，黃祥瑞. 工業(yè)系統(tǒng)中人的可靠性分析：原理方法與應(yīng)用 [M]. 北京：清華大學(xué)出版社， 2007.
制版編輯 | 皮皮魚
