Boeing 737 MAX 修订版 MCAS:两个迎角传感器读数相差超过 5.5 度即自动停用

在 2018 年狮航 610 航班和 2019 年埃塞俄比亚航空 302 航班两起空难之后，波音重新设计了 737 MAX 上的机动特性增强系统（MCAS）。原系统只依赖单个迎角（AOA）传感器的输入。在这两起空难中，传感器数据有误，导致 MCAS 反复指令机头向下，而飞机当时并未接近失速。

MCAS 的出现，是因为 737 MAX 的发动机更大，安装位置在机翼上更高、更靠前，使飞机比早期 737 机型更容易上仰。选择软件修正，是为了与 737NG 保持操纵特性的通用性，避免增加模拟机培训或另设飞行员型别等级。

新设计会比较两个 AOA 传感器的读数。若二者相差超过 5.5 度，MCAS 即被停用，飞行员会收到「AOA Disagree」警示。该警示现已成为常设功能，此前则是可选项，取决于航空公司是否配备 AOA 指示表。重新设计后的 MCAS 在一次高迎角事件中只能启动一次，所指令的机头向下操纵量，也不会超过飞行员单靠驾驶杆就能抵消的范围。

调查发现，MCAS 当初没有写入飞行员手册和培训材料；CBS 新闻还披露，美国飞行员起初只接受了 56 分钟的 iPad 培训，内容是 737 MAX 与早期 737 机型的差异。全球停飞之后，新增了计算机培训模块，更新了文件，并加入了模拟机培训，相关要求经监管机构评估和验证。

美国交通部监察长办公室 2020 年 7 月的一份报告认定，波音在认证过程中淡化了 MCAS 的功能强度和作用范围。报告还认定，美国联邦航空局(FAA)的授权制度让最初的单传感器设计没有得到有实质意义的独立监督。MCAS 起初被说成是对 737 速度配平系统的小幅改动，其权限后来扩大时，也没有再经过第二次审查。

欧盟航空安全局(EASA)起初主张加装第三个 AOA 传感器。2021 年 1 月，在波音承诺开发一套根据其他数据源计算 AOA 的「合成」传感器之后，EASA 同意 737 MAX 复飞。

波音已在 737 MAX 10 上对合成 AOA 系统进行飞行测试。2021 年，一位波音官员对 Aviation Week 说，该系统将监测五项参数，据以判断 AOA 信号是否有误，并可抑制错误信号。波音还在研发更多监测系统，以及一个允许飞行员关闭该功能的开关。

自 2004 年以来，FAA 至少收到 216 份报告，涉及 AOA 传感器失效，或需要维修、更换、调整。其中约五分之一涉及波音飞机，个别情况下，故障传感器触发了失速警告，迫使飞行员中断起飞或紧急着陆。

737 MAX 的经过说明，一个出于操纵通用性的决定，会如何塑造整套安全架构。用软件让新机型飞起来像前一代，为航空公司压低了模拟机培训和型别等级的成本，却也让一个传感器，以及该系统向监管方的描述方式，承担了过重的分量。系统权限在没有二次审查的情况下被扩大，授权结构里就没有任何独立的把关环节。

修订后的设计显示了监管最终落在哪里：交叉核对冗余输入，限制自动指令的权限和重复次数，让不一致警示成为标配而不是选配。此前对 MCAS 只字未提的培训和文件，也成了认证包的一部分，不再是事后补充。

尚未了结的是合成 AOA 系统。EASA 正是以它为条件才接受复飞，目前它只在 737 MAX 10 上完成了飞行测试。它的认证进展，以及它如何与波音正在研发的其他监测系统和飞行员关闭开关配合，将显示传感器冗余问题有多大程度是靠软件而不是硬件来解决的。