在最近发布的B737MAX机型适航审定的进程说明中，波音公司再次强调所谓“AOA指示”与“AOA DISAGREE指示”是非必要的显示。

对于B737MAX飞机后续加装“AOA指示”与“AOA DISAGREE指示”是否必要在业界也是存在很大争议的。

在本文中，笔者挑选了两个高度相似的空难案例。一件发生在空客320机型上，另一件则发生在波音737MAX机型。让我们尝试一个新的视角来检视这个“公说公有理，婆说婆有理”的争议。

（一）空客320机型XL888T空难

2008年11月27日新西兰航空一架空客A320-200型飞机，执行 GXL888T测试飞行。

（1）机组在3000英尺高度测试迎角保护（alpha floor）功能。飞机以全着陆构型减速至99节后，水平安定面达到飞机上仰的极限位置。

（2）机组推油门杆至起飞/复飞位置后，发动机继续减速（92.5 节），且出现剧烈的左右滚转（右50°左40°）。

（3）机组操纵飞机对抗滚转，并曾经短时稳定飞机状态（仰角7度，机翼几乎水平，空速为138节）。

（4）飞机仰角再次增加，在高度3800英尺仰角达到57度，空速低于40节。

（5）11 秒后飞机向右滚转97°，机头下俯角42 度。

（6）飞行数据记录器最后的数据是机头下俯14°、右坡度15°、表速263节、高度340英尺。不到一秒钟后，飞机坠海。

事后的调查表明，飞机在三天前进行了水冲洗清洁，且未对迎角传感器进行保护。内部积水导致1号和2号迎角传感器在空中结冰。

在机组测试“迎角保护功能”的过程中，自动配平系统逐渐将水平安定面偏转到使机头上仰的极限位置。这是飞机在平飞减速过程中的正常操作。

当飞机临近失速时，3号迎角传感器的工作是正常的，并且提供了正确的失速警告。但1号和2号迎角传感器失效在了相同的角度。按照当时A320的设计，如果某个迎角传感器读值与另外两个读值存在显著差异，则被视作错误数据屏蔽。正确的3号迎角数据就这样被“二比一投票”否决了。系统依据错误数据计算了Valpha prot和Valpha max speeds数据。

当机组执行失速改出操作时，全部迎角数据均被系统拒绝，飞行控制律由正常法则转变直接法则，自动配平系统失效，水平安定面保持在机头上仰的极限位置。

系统在PFD上显示了“USE MAN PITCH TRIM”（使用手动俯仰配平）信息，提示机组应当手动配平飞机。但机组没有察觉到这一提示。安定配平抬头极限位置，与大推力带来抬头力矩叠加，是升降舵绝对无法对抗的。飞机最终因此失控坠毁。 

（二）波音737MAX机型JT610空难

2018年10月29日狮航波音737-8MAX飞机执飞雅加达至槟港JT610航班。

（1）在飞机起飞过程中，左右迎角传感器的读值出现约20°的差异（B737只有两个迎角传感器），并触发左侧失速警告抖杆。

（2）起飞后机组向ATC求证雷达探测的速度，并报告“飞行操纵故障”。

（3）当襟翼收上后，MCAS指令安定面配平向低头方向转动长达10秒。机组随后向抬头方向打配平，并放襟翼至5，MCAS动作停止。

（4）机组再次将襟翼收上，MCAS的低头配平，以及机组的抬头配平再次出现，并一直持续到飞机坠毁。

狮航JT610空难的调查并未完全结束。但从已经发布的信息来看，已经基本可以确认应当是左迎角传感器故障诱发MCAS系统误动作，安定面配平持续向低头方向转动，最终导致飞机坠毁。

（三）两起空难的异同点

这两起空难有着很多惊人相似之处。

（1）两起空难的诱因均为迎角传感器故障。XL888T空难JT610空难

（2）两起空难最终坠毁，都是由于安定面配平处于极限角度超过了升降舵权限所导致。

但这两起空难也有着显著的不同之处。

（1）在XL888T空难中，空客320飞机的安定面配平位于极限抬头位置，是机组在迎角保护测试中刻意进入的。

错误的迎角数据仅仅让自动配平无法工作。如果机组注意到了PFD上的“使用人工配平信息”，原本是很有希望改出失控的。

（2）在JT610空难中，波音737MAX的安定面配平位于极限低头位置，是错误的迎角数据触发MCAS误动作导致的。

在MCAS误动作的过程中，系统没有提供任何提示信息。而且机组多次尝试指令配平抬头，但最终均被错误配平所抵消。

（3）A320机载系统具备发现迎角数据不一致的能力，也具备屏蔽错误数据防止其他系统误动作的能力。

尽管前期的“二比一投票”否决了正确的迎角数据，但系统随后屏蔽了全部迎角数据，以防止故障影响扩大。在整个空难过程中，安定面配平仅仅是无法自动向前旋转，但没有误动作。

（4）B737MAX机载系统既不具备识别迎角不一致错误的能力，也不具备隔离错误数据的能力。

在上一代的B737NG机型上，PFD速度带上会显示“AOA DISAGREE”提示信息。尽管系统无法自动屏蔽错误数据，但受过训练的机组获得“AOA DISAGREE”提示有可能人工评估哪些系统存在误动作（譬如失速警告），并且有机会予以阻断。

但在B737MAX机型上“AOA DISAGREE”信息被波音改作收费选装配置，只有付费够买“AOA指示”功能的用户，才能获得附赠的“AOA DISAGREE”提示功能。

B737MAX飞机既不具备系统自动隔离错误数据的功能；也关闭了人工隔离错误数据的机会。MCAS依据单个迎角传感器的错误数据，驱动安定面配平高速向前旋转，直至坠毁。

说得通俗一点：

如果B737MAX飞机遭遇XL888T空难的情况必死无疑。

而如果A320飞机遭遇JT610空难的情况则有大概率生还。

（四）不同的解决方案

笔者没有飞过A320飞机，所以这里借用一位大拿在《解决方案陷阱》一文的留言作为介绍。（顺便吐槽一下他的标点符号）

“空客因此而发现问题，改进了针对三套AOA系统的电脑运算逻辑，由原来的:如果其中之一与另外俩不一致则优先选择俩一致的AOA认为其是可靠的（考虑同时出现俩故障的概率问极小，但是却因为俩同侧AOA同时结冰原因而导致计算机取用了此错误AOA数据而误触发ALPHA FLOOR的保护动作自动加大油门俯冲），改为计算机软件加入时间轴比对，如果一段时间AOA没有变化而飞机姿态在变化，则怀疑其故障（结冰），即使是俩都一致如此。

这样，再加上AOA自身改良加热功率，边缘气动外型（突圆/平齐）改良，防止或减小结冰概率。”

而B737MAX飞机不具备这样先进的仪表架构基础。所以波音一方面抓紧改进MCAS软件增加左右两侧迎角比对，以及人工配平阻断功能；另一方面将“AOA指示”与“AOA DISAGREE指示”开放为免费功能。

那么，回到开篇的那个问题。

“AOA指示”与“AOA DISAGREE指示”是不是民用航空器的必备功能？

开放上述两个显示功能是不是“技术屈从于民意”的结果呢？

笔者这个问题不能一概而论。以前曾经在中央台看过这样一个纪录片，介绍某条公路有长达几十公里的陡下坡，大货车即便空车行驶也经常出车祸。在节目中有位司机现身说法，讲述自己死里逃生的经过。不想拍摄后几个月后，这位司机又死在了这条路上。

记者采访这条路的设计师。他洋洋得意的说:“我们的设计绝对符合国家的规范标准......”

适航标准是“底线”和“红线”在其背后的终极目标是可靠的解决问题。

在空客的仪表架构下，没有“AOA指示”与“AOA DISAGREE指示”是完全没有问题的。

而反观波音737MAX，你寄几家飞机什么X样，心里没点儿X数咩？

波音、空客、庞巴迪

巴西、商飞、苏霍伊

哪家航空制造商敢踩着FAA适航审定标准的下限设计飞机？

（五）不同的仪表架构基础，不同的前景

尽管业界对于“AOA指示”与“AOA DISAGREE指示”是否应被视作必要数据存在争议，但笔者自信下面两点应当能够得到所有业内人士的认同。