喷气发动机让飞机翱翔天空，软件则保障飞机安全

在两起涉及同一类型飞机的灾难性航空事故之后，美国联邦航空管理局于周三发布了紧急禁令，停飞波音 737 MAX 飞机。

狮航 610 号航班和埃塞俄比亚航空 302 号航班坠机事件中，航空公司使用的设备均为 737 MAX 8。虽然调查仍在进行中，目前还无法确定两起事故的原因是否相同，但有些人认为两起事故有相似之处，正如《纽约时报》和其他媒体报道的那样。美国联邦航空管理局本身也表示，它看到了“相似之处”。

早在埃塞俄比亚坠机事件发生之前，波音公司就一直在为这些飞机开发软件更新。该补丁将影响飞机上的一个系统，即机动特性增强系统 (MCAS)。（有关该系统的更多信息，请参见下文。）

尽管波音公司没有对软件更新进行公开评论，但公司代表已确认每架飞机的更新安装大约需要 60 分钟。

虽然公众习惯通过无线更新来升级手机和电脑上的软件，但飞机的软件却有不同的协议。麻省理工学院航空航天学教授兼国际航空运输中心主任约翰·汉斯曼 (John Hansman) 表示，飞机代码的更新通常由机械师完成。

当然，任何与飞机驾驶相关的代码都风险很高。“这是非常关键的软件，你肯定不希望有人破解它，所以这是一个非常受保护的过程，”他说。

软件和硬件出现故障的方式不同

飞机的硬件——机身、机翼、发动机以及供飞行员操控的外部可移动表面——是乘客自然会注意到的。但这些事故以及波音即将推出的软件更新，让飞机上运行的代码的重要性备受关注。

普渡大学航空航天学院教授威廉·克罗斯利说：“我们总是认为飞机的形状决定了它的飞行性能。事实上，软件的重要性已经与飞机的形状不相上下。”

软件让飞机制造商能够完成很多事情。例如，克罗斯利指出，“军用飞机实际上可以在静态不稳定的情况下飞行，但仍然能飞行，这要归功于计算机和软件。”

简而言之：不要低估飞行器运行代码的重要性。麻省理工学院的汉斯曼说：“现代飞机的软件成本，尤其是军用飞机，通常占总成本的 50% 以上。这是飞机开发的重要组成部分。”

谈到安全问题，航空工程师还必须以不同的方式考虑硬件和软件。“软件故障与硬件故障不同，”汉斯曼说。

例如，在硬件方面，确保传感器系统安全的最佳方法是通过冗余，即使用多个传感器来监测相同或相似的变量。简而言之，他说，使用三个传感器来测量某个变量是理想的，因为这样，如果一个传感器出现故障，飞机就可以使用一种投票系统。如果三个传感器中的一个读数异常，那么两个读数一致的传感器就是值得信赖的。（实际上，除了重复使用三个传感器之外，还有更复杂的方法——飞机可以使用机上其他地方的数据，这一过程称为“分析冗余”。）

当然，冗余在飞机硬件中也以其他方式发挥作用：即使是一些最大的商用飞机，如波音 777，也是由两个发动机推动的，即使其中一个发动机发生故障，飞机仍可以着陆。

但汉斯曼表示，现代商用飞机没有完全复制的两套软件系统，也就是两个引擎的编码。但他指出，一艘著名的航天器却有。“航天飞机有一个完全独立的软件包，由一个完全独立的团队编写，”他说，并指出宇航员只需按一下按钮就可以切换到备用系统。但这种方法“非常昂贵”，他说。这种策略的问题在于，即使是两个独立的软件系统也可能在同一个地方犯同样的错误。

但商用飞机并不像航天飞机那样采用双独立系统的方法。相反，关键软件要经过仔细审查并通过一份名为 DO-178C 的文件进行认证。

“这是一个非常艰巨的过程，”汉斯曼说。

波音补丁

随着波音的更新，补丁将影响 MCAS 的工作方式，MCAS 是飞机制造商为防止失速而安装的子系统——当机翼攻角过高且机头向上时，就会发生失速。如果系统发生故障并认为飞机正在失速，它可能会导致飞机机头下沉，这样机翼就会降低攻角，即使飞行员不希望这样——这里有一张与狮航坠机事件有关的该系统的精彩信息图。

汉斯曼表示，代码已经完成一段时间了，其设计旨在解决 MCAS“主要依赖于主动迎角传感器”这一事实所带来的漏洞。“从报告来看，我的理解是，他们正在整合其他数据源。”