2018年10月29日，狮航JT610航班坠毁，飞机上共载有189人，无一生还。
2019年3月10日，埃航ET302航班在起飞后不久坠毁，机上149名乘客和8名机组人员无人生还，其中包括8名中国公民。
据《华尔街日报》报道，负责调查埃航空难的官方公布了黑匣子数据，初步结果显示：失事的波音737 MAX客机俯冲坠地前，机动特性增强系统MCAS已自动启动。
波音737 MAX 8在半年内发生了两次致命的空难事故，为了预防惨剧的再次发生，世界各地的航空公司和当局决定将飞机停飞。一开始美国没有做出这个决定，但是持续的压力最终也使联邦航空管理局将737 MAX飞机停飞，以等待事故原因的确定。
About MCAS
深入介绍MCAS之前，我们先普及一下航空基础理论——什么是水平安定面、以及什么是升降舵。
以飞机重心为受力点，飞机通过调节水平尾翼（包括水平安定面和升降舵）的升力大小来控制飞机俯仰（抬头/低头）。
水平尾翼中，前面面积较大的叫做水平安定面（Horizontal Stabilizer），
后面面积稍小的叫做升降舵（Elevator）
水平安定面面积比升降舵更大，因此对俯仰改变效果也更加明显。同时水平安定面因为使用配平驱动的控制方式，因此控制上能更加精准。通过调整安定面（Trim）使飞机在纵向合力矩为零，即纵向配平可以电动控制（自动驾驶和人工电动配平），也可以人工控制（手摇配平轮）。
Boeing 737 MAX 电动配平控件
（图自 THE AIR CURRENT）
Boeing 737 MAX 手动配平控件
（图自 THE AIR CURRENT）
让我们再把目光转回MCAS，当满足以下几个条件时，MCAS会自动触发：
-
AOA过高（基于当时高度和空速由FCC计算得出，迎角过大有失速风险）
-
自动驾驶解除（认为大迎角仅存在于人工操纵）
-
襟翼收起
-
急转弯（Steep turning）
波音公司对MCAS的说明
满足条件的MCAS系统，会调整前文提到的水平安定面，以0.27度/秒向上配平水平安定面，水平安定面产生使机头下俯的力矩降低失速风险，直到飞机恢复正常迎角。问题就出在这里。
A/P（autopilot）断开时，FCC（Flight Control Computer, 飞行控制计算机）会介入飞机操纵。此时由于迎角传感器的错误信息，致使触发MCAS改变水平安定面角度，导致原本迎角正常的飞机受到MCAS干预从而机头下俯，一场MCAS和飞行员的“人机大战”就此展开。
狮航空难
飞行员曾用左手拇指按动配平开关超过二十次
美国当地时间3月23日，波音公司集结美国三大737 MAX客户、航空公司代表，邀请其飞行员进行模拟飞行演练。模拟分为两个情况，先是未升级系统下的试飞，然后试飞新系统。
在目前的设计中，系统每次发挥作用会启动10秒钟（推杆向下调整姿态），暂停5秒（停止推杆，然后再次启动），依次循环。在与狮航航班类似的情况下， 参与测试的两名人员表示，在40秒内系统三度接管控制权，这使飞机陷入不可挽回的坠落状态。
波音737 MAX 8 模拟器
测试发现，单个传感器故障即可触发这套本来用于阻止飞机失速的软件。与此同时，飞行员发现必须在40秒内进行超控（override，使自动控制暂时失效，改用人工控制），才能避免坠机。
如果要完全解除系统控制权，飞行员们需要拨动安定面配平切断电门，给这套促使飞机俯冲的系统断电。在模拟中，飞行员们按照上述程序也成功地关闭了系统并实现安全降落。
Boeing 737 MAX 安定面配平切断电门
但是，他们之所以能这样操作，前提是了解了自动系统如何运作，以及坠机是被如何触发的。而经历波音737 MAX坠机事故的飞行员们并不了解。
拉杆有用吗？
没用。
通过作动驾驶杆能否超控MCAS功能呢？答案是：不能。
自动配平控制线路图（摘自SSM22-13）
从图中红线可以看到，当MCAS启动后，配平指令就旁通掉驾驶杆切断电门，直接送到配平限制电门，如此一来机组即使往后猛拉驾驶杆也没法切断MCAS所发出的机头向下配平的信号。
一退休埃航机长模拟埃航空难过程
为何飞行员不知道MCAS的存在？
在狮航空难发生前，飞行员们接受的系统培训并不充分。在空难发生前的最后几分钟，其机长还在翻阅技术手册，试图搞清楚飞机出了什么问题。
为什么波音在飞机上新加入了MCAS这个系统、却没有提前告知机组，至少在一定程度上导致了事故发生？这是否属于知道漏洞存在却没有告知？
一位资深737机长在接受某官方媒体采访时给出这样的解答：
飞控系统本身在各制造商都属于高度商业机密。一般来说，制造商的理念都是让飞行员尽量简单地去驾驶，所以不可能把上千套系统事无巨细地交代给飞行员。但是那一次事故当中，应该说波音在其手册中提到有该系统，只不过没提到影响会那么大，更没想到在空速或者仰角探测器失效的情况下，这个系统会立马站出来帮倒忙，没有专门强调过。
737 MAX 8， 非 737-800 也
埃航失事不久，我国民航局迅速下令要求暂停波音737-8飞机商业运行。
截自中国民航局官方网站
（http://www.caac.gov.cn/）
被停飞的737-8，和737-800虽然仅差两个“洞”，却有天壤之别。为便于读者阅读理解，下文波音737-8均称“MAX8”。
在波音飞机产品划分中，MAX8属于波音737系列第四代（MAX），而737-800属于737系列第三代（NG，Next Generation）。MAX系列使用更大和更有效的LEAP发动机，燃油效率提高了20%，相对于现有737NG，提升了14%。
左侧为737-800选用的CFM56-7B型发动机,这种发动机外观上最显著的特点在于进气道的下唇口的扁圆型设计，这种设计是为了提高发动机距地高度，减少沙石等的吸入。外观尺寸来讲，LEAP-1B发动机更大更长。
MAX8使用的LEAP-1B发动机
短舱后部构型为锯齿状
外形上看，两款飞机较明显的不同之处在于翼梢小翼、起落架和飞机尾椎处。
737 MAX 采用了目前最先进的翼梢小翼技术，
改善机翼的整体效率，降低阻力。
MAX 8 翼梢小翼
MAX8发动机CFM LEAP-1B 为69 inches，风扇比CFM56-7（737-800）的61英寸大8 inches。
MAX8前起落架比737-800高8 inches.
MAX8与737-800尾椎对比
飞机内部操纵系统（比如737-800没有的MCAS）、飞机性能数据、APU进气口形状等方面两机型也不同，可查找相关网页进一步深入了解。
MCAS 不是 AI
喜欢蹭热点的网络媒体和写手们，大肆宣传了最有争议的737MAX机型的各种设计缺陷，是导致飞机坠机的罪非祸首。MCAS 一经媒体曝光也难逃其灾。更为甚者，有的人将其诩称为“AI”。从前文对MCAS的解释，可以狭义地将MCAS认为是一个满足条件即触发的“条件语句”，而非AI。
一些“大V”在公众平台上发布的文章，经了解此人并非航空或人工智能领域相关研究人员。
类似的例子还有对新闻里业内人士把“波音737-800”读成“波音七三七减八百”的嘲讽，似乎缺乏常识但是民航业内一直是把“-”读成“减”的。
埃航波音 737 事故坠毁的事故原因，以及是否与第一次坠机事故发生原因都还在调查中，客机黑匣子已经找到，但披露事故调查报告估计还需要一段时间。我们可以很有信心地评判一个手机操作系统的好坏，但对于飞机的设计和控制，我们似乎还不具备判断的把握。
做一件正确的事比做错事然后弥补更好，也更便宜。
--- Captain Chesley Sullenberger
波音的行动
我们与全世界的客户和航空管理机构通力合作以重新建立对航空业的信心，重申我们对安全和赢得飞行公众信任的承诺。
——波音民用飞机集团产品战略和研发副总裁
麦克·辛内特
3月27日，波音对737 MAX的软件升级作出了详细解释。波音已经开发了MCAS的软件升级，以提供额外的多重保护，来应对迎角传感器提供错误数据的状况。
新增加的多重保护包括：
-
飞行控制系统（FCC）将比较两个迎角（AOA）传感器的输入。在襟翼收上的情况下，如果迎角传感器的差值在5.5度或5.5度以上，MCAS将不会激活。驾驶舱显示器上的指示将会提醒飞行员。
-
如果在非正常情况下MCAS被激活， 每次大迎角事件MCAS将仅提供一次输入。不会出现在已知或可预见的故障情况下MCAS提供多次输入的情形。
-
MCAS永远不会对水平安定面给出让飞行机组人员无法通过向后带杆（操纵杆）进行抵消的指令。飞行员总能超控MCAS并手动控制飞机。
波音公司此前（非最近）就狮航空难发布的文档
为了获取波音737的机型执照（型别等级），飞行员必须要完成21天及以上的由飞行教员带领的理论与模拟机培训。NG和MAX之间的差异训练包括基于计算机的培训（CBT）和手册回顾。
--以上摘自波音官方网站，“e起飞”译
Statement on Ethiopian Airlines Flight 302
Accident Investigation
希望波音能与FAA和其他航空管理机构合作进行这些软件升级的取证，让安全的737 MAX 8重归蓝天。
没有哪一架飞机是100%安全的，保障飞行安全的，是飞机本身和人本身两者的结合。但是，人在这个环节中起到了相当大的作用。当今客机本身就已经具备相当高程度的可靠性，不排除会有部分设备工作故障，但是它们都有处置方法和程序。加强专业知识学习，提升自我飞行能力，才是在特情发生时活下来的方法。
最后，再次向每起空难中遇难的生命致哀。
R.I.P.
文章观点仅代表个人立场
排版&编辑 | Eric（曾健鹏）
