《纽约时报》北京时间今天凌晨刊登了一篇关于波音737MAX的致命问题的MCAS是如何设计出来的文章，这里选登一下，供大家参考和借鉴，该文观点仅代表原作者，不代表本公众号观点。

西雅图 - 波音公司737 Max的致命缺陷可以追溯到飞机开发后期的故障，当试飞员，工程师和监管机构对于自动化系统的基本改造处于被蒙蔽状态时，该系统最终在两次坠毁中起了主要作用。

MAX飞机完工前一年，波音公司使该系统更具主动和高风险。虽然最初版本依赖于来自至少两种类型传感器的数据，但最终只使用了一种，使系统没有关键的安全措施。在两次注定没有归途的飞行中，飞行员在搏命，因为一个损坏的传感器在几分钟内将飞机送入无法恢复的机头俯冲，造成346人死亡，并促使世界各地的监管机构将Max停飞。

但许多参与设计，测试和批准该MCAS系统的人，表示他们还没有完全理解这些更改。波音公司和联邦航空管理局的现任和前任员工与“纽约时报”进行了沟通，他们表示他们认为该系统应该依赖于更多的传感器，并且很少会被触发。基于这些误导的假设，许多人做出了关键的决策，影响了设计，认证和培训。

“这没有任何意义，”曾在Max工作的试飞员说。 “我希望我该有完整的了解。”

虽然检察官和立法者试图将出错的问题拼凑在一起，但现任和前任员工做出单一命运决定的系统改变，导致了一系列设计错误和监管疏忽。当波音公司急于完成飞机运行时，许多员工说，他们没有意识到这一决定的重要性。他们描述了一种划分方法，每种方法都集中在飞机的一小部分上。这个过程使他们无法完全了解一个关键且最终危险的系统。

该公司还向监管机构淡化了该系统的范围。据三位机构官员称，波音公司从未向参与确定飞行员培训需求的联邦航空管理局官员披露MCAS改变情况。

当波音公司要求从飞行员手册中删除MCAS系统描述时，F.A.A表示同意。结果，大多数Max飞行员在去年10月第一次坠机之前都不知道该软件。

公司发言人Gordon Johndroe在一份声明中说：“波音公司以公众的安全为优先考虑。”

他补充说，波音和监管机构已遵循标准程序。 “F.A.A.考虑到MCAS认证期间MCAS的最终配置和操作参数，并得出结论认为它符合所有认证和监管要求，“约翰德罗先生说。

起初，MCAS - 机动特性增强系统 - 不是一个非常危险的软件。该系统仅在极少数条件下触发，使飞机低头的俯仰操纵，以便Max在高速飞行中操纵更加平稳。它依靠来自多个传感器的数据来测量飞机的加速度以及迎角，从而有助于确保软件不会错误地触发。

然后波音工程师重新构思了该系统，扩展了它的作用，以避免各种情况下的失速。他们允许软件在更多的飞行中工作。他们使它能够主动地向下推飞机的机头。他们只使用飞机迎角的数据，删除了一些保护措施。

2003年波音（Boeing）杂志上的雷·克雷格（Ray Craig），他在2012年MAX模拟器进行机动演示，他是当时的首席试飞员。

如果员工和监管机构更好地了解MCAS，可能会避免灾难。

最初主张扩展系统的试飞员并不了解这些变化如何影响其安全性。安全分析师表示，如果他们知道它仅使用一个传感器，他们会采取不同的措施。监管机构没有对新版MCAS进行正式的安全评估。

现任和前任员工，其中许多人因不断调查而不愿透露姓名，他说，在第一次MAX失事后，他们惊呆了，因为发现MCAS仅依靠单一传感器。

“这很疯狂，”一位帮助设计MCAS的工程师说。

“我很震惊，”一位仔细审查它的安全分析师说。

“对我来说，似乎有人不明白他们在做什么，”一位评估系统传感器的工程师说道

MCAS诞生

2012年，Max的首席试飞员遇到了问题。

在737 Max的早期开发过程中，飞行员Ray Craig，一位银发退役的海军飞行员，在飞行模拟器上尝试高速飞行，例如避开障碍物或逃离另一架飞机强大涡流的机动。虽然对于客机的飞行员来说可能永远不需要这样的机动动作，但F.A.A.要求在这些情况下喷气飞机能够操纵正常。

但这架飞机并没有顺利飞行，部分原因在于Max的发动机更大。为解决这个问题，波音公司决定使用一款软件。该系统旨在在后台工作，因此飞行员实际上不会知道它的存在。

据参与测试的一位人士称，自1988年以来一直在波音公司工作的Craig先生并不喜欢这个系统。作为一名传统飞行员，他回避从飞行员那里获得操纵权的系统，并且更喜欢修改空气动力学装置，比如涡流发生器，机翼上的鳍片。但该人士表示，在风洞中测试Max设计的工程师并不相信这些空气动力学装置会起作用。

Craig先生屈服了。这种高速情况非常罕见，以至于他认为软件永远不会真正开始。

据三位737 Max工作的人说，为了确保它不会被错误触发，工程师最初设计的MCAS在飞机超过至少两个不同的阈值时触发。 一个涉及飞机与风的角度（迎角），另一个涉及所谓的G值，或飞机加速的力。

MAX需要达到乘客飞机可能永远不会遇到的极高的G力。 对于飞机的角度，系统从迎角探测器获取数据。 几英寸长的传感器就是一个固定在飞机身上的小风向标。

增加更多功率

在2016年1月下旬的一个下雨天，成千上万的波音员工聚集在华盛顿州伦顿市737工厂旁边的一条跑道上。他们欢呼，因为第一个被称为Renton精神的MAX因为其首次试飞而升空。

“这次飞行取得了成功，”MAX的新首席试飞员艾德威尔逊在当时的新闻发布会上表示。 曾测试过波音战斗机的威尔逊先生在前一年取代了Craig先生。“737 Max的感觉非常良好，让我们完全相信这架飞机将满足客户的期望，”他说。

但据几位知情人士透露，几周后，威尔逊先生和他的副驾驶开始注意到事情开始不妙。 当低速接近失速时，MAX的操纵性并不好。

在西雅图波音公司的一次会议上，威尔逊先生告诉工程师，这个问题需要解决。 该人士表示，他和他的副驾驶员提出了MCAS。

这一变化并未在该集团中引起太多争论，其中仅包括少数人。 据该人士称，这被认为是“一次普通的调整”。 相反，该小组主要讨论了如何在新方案中使用MCAS的后续工作。

“我不记得曾经有过关于这是否是个好主意的真正辩论，”该人士说。

这一变化证明是关键的。 将MCAS的使用扩展到低速情况需要取消G值的阈值（限制）。 MCAS现在需要在低速时工作，因此不能再使用G值。

这一变化意味着只有迎角传感器是防止错误触发的唯一防护装置。 虽然现代737喷气式飞机有两个迎角传感器，但MCAS的最终版本只采用了一个传感器。

在较低速度下使用MCAS还需要增加该系统的功率。 当飞机缓慢飞行时，飞行操纵会不太敏感，需要更多的行程才能操纵。 类似对比将车的方向盘以每小时20英里的速度转向及每小时70英里转向。

MCAS的原始版本可以移动水平安定面 - 飞机尾部控制飞机垂直方向的部件 - 在大约10秒内最大移动约0.6度。 但新改装的可以在10秒内将安定面移动到2.5度。

试飞员不负责处理此类改变的后果。 他们的工作是确保飞机操纵平稳。 其他同事负责进行更改，还有其他同事负责评估新系统对安全的影响。

波音拒绝透露这些改变是否需要进行新的内部安全分析。

而F.A.A. 负责培训的官员不知道这些改变，该机构的另一个部门参与了认证工作。 但它没有对改变进行安全分析。