安全链未通过狮航飞行，但波音MCAS链接最薄弱

 
大多数飞机事故都可以归结为一系列大小的故障，它们本身可能并没有造成任何后果，但总的来说会导致灾难。报告提供了导致狮航JT610悲剧的一系列事件的详细信息，但报告指出，最薄弱的一环是波音737 MAX MCAS。
印度尼西亚国家运输安全委员会(KNKT)今天发布的详细最终报告读起来就像心痛。
调查人员详细说明了机长最后一次交流，以确保副驾驶“没关系”，副驾驶再次警告说飞机正在降落，“飞起来”，而他们继续与MCAS系统作斗争，但屡次失败在不知道其真实位置的情况下重新控制飞机。
然后，在最终地形和下沉速率警告之前，乘务员用来与驾驶舱进行相互通信的是互感器的单一提示音。然后沉默。
所有这些都在最后一刻。
尽管KNKT警告该报告仅是一项安全评估，而不是应归咎于调查，但调查人员提供的详细信息将狮航610航班的悲剧描绘成一连串的“仅是”事件。
如果只有迎角(AOA)传感器没有发生故障。如果只是错误地对替换传感器进行了最大25º的校准。如果只有狮航的维修人员能够正确记录以前的机组人员报告的反复故障，这是飞机的重大故障，值得调查，而不是让飞机重新投入使用。如果只有前一天在同一架飞机上成功处理过类似问题的机组人员提供了更详细的事件报告。如果只有机组人员知道MCAS。
如果这一切都不重要，是因为MCAS就像波音所认为的那样起作用。
MCAS和变更产品规则
波音公司希望737 MAX能够像上一代737那样处理和操作，以加快认证速度，避免航空公司不得不让飞行员接受昂贵的模拟器培训，从而导致其创建MCAS。
作为事故报告的详细信息，波音737-8(MAX)已根据美国联邦航空局(FAA)的变更产品规则获得认证，是737-800的衍生产品，同时推出了具有更大风扇直径的CFM LEAP-1B发动机和经过重新设计的发动机机舱到安装在737 Next Generation(NG)家族中的发动机上。
但是更大的引擎改变了飞机在高攻角下的操控方式。波音公司实施了空气动力学改变以及称为机动特性增强系统(MCAS)的稳定性增强功能，作为现有Speed Trim System(STS)的扩展。
联合航空(JATR)的调查结果先前表明，这架飞机可能需要进行独立的型式认证过程。 Lion空难报告也指出了这一方向。
MCAS的设计基于一系列假设，这些假设没有被证明是完整或准确的。
最初，机组人员并未意识到其功能，而反复激活MCAS使得飞机的控制柱过重，飞行员无法操作。波音公司没有测试对反复激活MCAS的飞行员的影响。
“在[功能危险性评估]期间，模拟器测试从未考虑过以下情况：MCAS激活使稳定器运动达到稳定器运动2.5°的最大MCAS命令极限。因此，他们的综合驾驶舱效果未得到评估。”报告指出。
波音公司的假设低估了飞行员响应系统消息所花费的时间，而参与MCAS行动的结果直接影响了飞行员的响应时间，使飞机变得越来越难以操纵。
在3秒钟后，MCAS以其正常速度将稳定器沿飞机机头朝下的方向移动0.81度，这是很大程度的移动。为了应对这种情况，机组人员有两种选择：不断用力向后拉动控制柱，或者使用控制柱上的开关来使稳定器电动移动。但是，后者也会重置MCAS功能，该功能可以在5秒钟内再次激活。
如果MCAS反复激活而机组人员没有足够的响应使飞机返回到修剪状态，则可能会达到这样的程度，即控制柱上的作用力会达到飞行员无法再施加足够的反作用力来维持的水平控制。 “在事故飞行过程中，DFDR记录了103磅的控制力。在FO响应MCAS反复重复激活而对MCAS的装饰不充分做出响应之后。此时，机组人员无法保持高度。”报告说。
而且要记住，这些狮航飞行员看不见MCAS。他们根本不知道它正在对他们不利。
“在没有MCAS功能先验知识的情况下，飞行机组人员将取决于视觉和动作提示，对失控稳定器的事先培训以及对俯仰控制的常规培训，以便能够分析情况并识别非正常状况。 DFDR数据的回顾表明，在事故和之前的LNI043飞行中，机组人员在2-3秒内使用控制柱控制了飞行路径，并随后通过电动调整来调整柱力。在之前的LNI043飞行中，机组人员需要3分钟40秒而不是几秒钟的时间来识别和理解问题，在此期间，反复发生了未经命令的MCAS激活。在事故飞行过程中，没有发生将稳定器的无指令运动识别为稳定器失控的情况，因此没有执行非正常程序。”
为了避免导致故障的单点故障，许多航空安全标准都依赖于冗余系统。但是，波音公司没有内置冗余功能。 MCAS功能使用了单个AOA传感器的输入。
尽管像空客这样的竞争对手的系统都基于协调来自多个传感器的输入，但波音公司认为单个输入就足够了，因为AOA传感器故障很少见。据波音公司称，在过去的17年中，在超过2.4亿小时的飞行中，只有25次激活摇杆警报是由于737飞机的AOA故障所致。
但是，研究人员指出，这种稀有风险仍然过高，特别是由于缺乏对飞行员的培训来解释错误的传感器数据对MCAS的影响。
“为了符合“危险故障条件”的安全要求，飞机应该使用传感器，而传感器发生故障的可能性小于一千万分之一(1E-7)。通常，这意味着从两个传感器进行测量。在认证过程中应避免依赖单个传感器的危险故障情况。”
最后，研究人员发现，“ MCAS功能不是故障安全设计，并且不包括冗余。对应于FCC命令STS的AOA传感器发生单个故障，导致MCAS错误激活。在事故期间，机组人员的反应与在功能危害评估中对这种失效模式的危害严重程度进行分类时所使用的机组行为的假设有所不同，并且与指南不符。”