我住在亚利桑那州利奇菲尔德的卢克空军基地附近。F-35每天飞过我家，我在当地超市也遇到了一些飞行这种飞机的年轻飞行员。这是一些非常有才华且训练有素的“孩子”，他们不久前还在用高级操纵杆玩动作视频游戏。通过这种“训练”，新一代飞行员具备前所未有的新技巧，可以飞行F-35这样的电子增强型飞机。波音公司新推出的737 Max 8是一款电子增强型飞机，虽然采用的高科技远不及F-35，但其电子控制系统还是比“自动驾驶仪”要复杂得多。
对于最近两次空难，我们都想弄清楚发生了什么。实际上我乘坐过几次737 Max 8，但是从没考虑过安全问题。现在要说清事故原因还为时过早，但作为一名电子工程师，“直觉”告诉我，一个很可能的原因是飞行员需要更充分的培训。我不敢断言这是事故的真正原因，但根据我的经验，新电子系统的使用需要强化培训。
以下大部分内容都来自纽约时报，作为我们思考的素材，以加深我们的讨论：
737 Max 8采用了新的机动特性增强系统（MCAS），这是一种自动安全功能，可以在飞机失速之前，强行降低机头，从而摆脱失速。
波音公司在737 Max 8上引入MCAS，是因为更重、更省油的发动机改变了737飞机的空气动力学特性，在手动飞行的某些特定情况下可能导致飞机机头拉高。如果飞机出现失速的情况，迎角传感器会提前通知MCAS自动压低机头。这是通过飞机尾部的水平稳定器实现的，这些稳定器由飞机的飞行控制计算机激活。
根据波音公司的说法，MCAS在正常飞行期间不控制飞机，但会在“非正常”情况下“改善飞机行为”。 “非正常”情况可能是大坡度转弯，或飞机刚起飞骤然向上攀爬、速度接近失速时。
狮航Flight 610飞行数据记录仪的数据表明，飞行员曾尝试控制飞机，因为自动MCAS系统在起飞后反复推动飞机的机头向下。埃塞俄比亚航空公司的飞机在起飞后不久坠毁之前，飞行员也报告出现了类似情况。
据说在狮航飞机坠毁后，波音公司向运营737 Max 8的航空公司发布了一份公告，指导飞行员如何操控MCAS系统。波音公司还表示正在对737 Max飞机的MCAS系统进行软件更新，并且已经有程序来“安全处理由迎角（AOA）传感器错误数据引起的不太可能发生的事件”。 “飞行员始终能通过电子或手动调节来干预MCAS的飞行控制，”波音说。
另外一个问题是，由于电气短路、传感器数据不良或计算机问题等原因，旧型号飞机的稳定器可能以不可预测的危险方式移动。据说，波音公司在坠机发生后曾向航空公司发送公告，较早型号的737在出现故障速度调整和其它稳定器问题时采取的应急程序也适用于MCAS的相关问题。
该应急程序的主要部分是关闭驾驶舱中央控制台上的两个“稳定器切断开关”开关，然后翻开靠近机长和副驾驶膝盖的轮子上的把手。摇动轮子，飞行员可以手动调节稳定器，防止飞机抬头或俯冲。
狮航飞机坠毁的一个主要原因是系统从迎角传感器接收到有关飞机角度的数据是错误的。机身两侧类似叶片的装置用于测量飞机机头向上或向下的程度。初步调查结果表明，飞机驾驶员侧的传感器产生了错误的数据。
据说在设计737 Max时，波音公司决定每次向MCAS提供两个迎角传感器中一个迎角传感器的数据，至于是哪一个，取决于两个飞行控制计算机中碰巧哪一个（一个在机长侧，一个副驾驶侧）在工作。这一决定使系统更简单，但可能使其易受到单个故障传感器或者不正确数据的影响。
波音更新了飞行控制系统的软件。在狮航飞机坠毁后，美国航空当局称，波音并未向飞行员充分解释软件系统的更新。
但在印尼灾难之后，波音公司和监管机构已让飞行员知道了Max新系统，航空公司也提供了培训课程。
波音公司在新的737上安装了该系统作为“控制策略”的一部分，即由飞机的飞行控制计算机避开飞行员直接发出的命令。在狮航飞行中，飞机上下摇摆可能是因为飞行员反复试图阻止系统推动飞机机头朝下使其发生致命俯冲。不管发生了什么，飞行员在飞行大约12分钟后对飞机失去了控制。
普林斯顿大学飞行控制系统专家及工程与应用科学教授Robert Stengel说，目前尚不清楚埃塞俄比亚坠毁飞机的摇摆轨迹是由控制系统的故障造成的，还是飞行员被其它一些未知的紧急情况分散注意力后试图手动飞行造成的。
据说是波音和F.A.A认为不需要让飞行员知道737 Max机型的飞行控制系统发生了变化，新发动机的尺寸和位置可能导致飞机在某些条件下失速，但一些软件编码可以自动消除这一风险。
波音及其监管机构之所以这么做，至少有一部分原因是为了降低再培训飞行员的成本。这可能使狮航机组人员没有充分了解如何应对似乎导致坠机的故障：错误的数据错误地表明飞机以危险角度飞行，导致飞行控制系统反复推动飞机俯冲。
根据波音公司的声明以及对工程师、前波音员工、飞行员、监管机构和国会助手的采访，想知道为什么不让飞行员了解真实情况，可以追溯到波音公司在七年多前开发737 Max时做出的选择。
如果飞行员知道这架飞机的机头将被MCAS强行拉下，飞行员会有不同的反应吗？
来自飞行数据记录仪的信息显示，在短暂的飞行过程中，狮航飞机机头俯冲超过二十次，飞行员竭尽全力也难保持飞机水平飞行。如果MCAS收到错误数据，提示飞机正以可能失速的角度拉升（调查的初步结果表明正是这个原因），系统会自动将机头下推以避免失速。
据称波音公司已公开表示，狮航飞机在坠毁之前的最后一次成功飞行中，飞行员也遇到了类似的机头俯冲故障，只是情况没有那么严重。他们按照紧急检查表，关闭稳定器切断开关解决了这个问题。印度尼西亚调查人员发现，飞行员没有按照检查表进行操作，他们重新打开稳定器的开关，然后在飞行的剩余时间将其关闭。那次飞行的飞行员与坠机的飞行员不同，最后安全降落了。
较旧的737用另一种方法来解决稳定器的某些问题：拉回操纵杆，其中一个操纵杆位于机长和副驾驶前面，切断对稳定器的电子控制，允许飞行员手动控制它们。
采用MCAS 后，该功能在Max上被禁用 —— 这是飞行员不太可能知道的另一个变化。事故发生后，波音公司告诉航空公司，当MCAS被激活时，拉回控制杆不会阻止所说的稳定器失控，狮航的飞行看起来就出现了这种情况。
在调查的初步结果中，由飞行数据记录仪的信息可知，飞行员试图通过多种方式将机头抬起，因为它俯冲了二十多次。其中包括激活用来控制飞机尾部稳定器角度的控制杆上的开关，当这种尝试不能解决问题时，下一步就是拉回控制杆。据说没有迹象表明飞行员试图关闭稳定器切断开关，而紧急检查表指示他们应该这样做。驾驶舱录音机的调查结果可以更详细地揭示狮航飞行员在操作中可能出现的错误（如果有的话）。
飞行员表示，波音公司认为按照现有的紧急情况检查单操作便已足够，这显然低估了实时应对危机的复杂性。
对于波音公司强调需要飞行员关闭稳定器切断开关，美国航空公司飞行员联盟和737飞行员的发言人丹尼斯·塔吉尔说，“他们是完全正确的：关闭这两个开关将阻止这种异常行为。”
Tajer先生补充说，飞行员需要知道飞机上有哪些系统，才能在飞行时轻松应对紧急状况。
你的想法是什么？请与我们分享。
（原文发表于ASPENCORE旗下EDN姐妹媒体Planet Analog，参考链接：Boeing MAX 8: Technological advances and pilot training；Jenny Liao编译）
最前沿的电子设计资讯
