本帖首发于空中浩劫吧。
最近737-MAX连续发生了两起起飞后失控事故，JT610，ET302，JT610已经被查明与波音的MCAS“激动特性增强功能”有关。作为一个航空爱好者，我对这些事故背后隐含的设计问题很感兴趣，刚好手上也有737-MAX的部分手册文件，所以对这套系统进行了分析。
注意，我并不是专业人士，所以分析中可能存在各种问题，还请各位予以指正谅解。
这是网上广为流传的MCAS描述图，可以看到图中明确说明的是，MCAS在触发之后，是通过“Speed Trim”系统对水平尾翼的配平进行调整。许多媒体笼统的将这套系统描述为“在濒临失速时推杆”的系统，这并不准确。事实上，737-MAX并没有使用电传控制系统，仍然采用传统的钢缆+PCU液压助力的方式，也就是说飞行员的操作杆可以几乎直接反馈平尾舵面的动作。根据平尾整套系统的图纸，唯一电子设备可以介入的部分是平尾后沿的“Elevator Tab”。
飞机通过“Mach Trim”机制，调整Tab和平尾舵面的运动关系，来调整飞行员的操作感知。因为二者的关系，个人认为即使“Mach
Trim”完全失效，对整体控制状态的影响也极为有限，不至于导致失控坠机。
那么接下来让我们看一下所谓的"Speed Trim"组件。这套组件基于水平安定面，那么让我们来看看水平安定面控制的图纸。
可以看到水平安定面共有两种控制方式，电动控制和手动控制。其中手动控制使用中控台侧面的配平轮拉动钢索与安定面下的致动组件移动安定面，而电动控制则使用“直流无刷电动机”驱动“Jackscrew”来移动安定面。同时由于安定面与配平轮是钢缆机械连接，配平轮上显示的角度与安定面实际状态应该是完全对应的。
而其中电动控制部分则有两套组件可以干预，分别是机长与副驾驾驶盘上的配平开关，和由DFCS系统管理的“Speed Trim”系统。
让我们来看一下MCAS所在的”Speed Trim“系统的构成。
可以看到这套系统由FCC电脑发出信号，直接通过电机运动水平安定面。但是FCC电脑有两套，他是怎么选择听从哪台的电脑的指令的呢？让我们来看看AMM上的文字描述：
可以看到，这里并没有采取传统的比对器措施，而是直接采用一套电脑的结果，一旦一套电脑自检遇到问题，再切换到另一套。猜测这里没有用比对器的原因是出于可以影响”Speed Trim“结果的因素实在是太多了，两套系统的结果很难做到完全一致。
那么再让我们看看对应的数据源，因为这张图里的”ADIRU“实在过于笼统，所以我还是追了一下线路，可以看到具体的AOA数据应该是来自对应侧的”M1747 STALL MANAGEMENT YAW DAMPER“ （失速管理偏向阻尼电脑）的ARINC 429低速总线输出。
而单侧的电脑的数据来源仅仅是这一侧的AoA传感器，也就是说参与”Speed Trim“决策的只有一侧的传感器数据源。一旦一侧的传感器出现问题，那么这套系统就会无药可救。
并且我还注意到，手册中有提到，一但人工进行了配平输入，整套”Speed Trim“系统会停止工作五秒，然后继续运行，这无疑在系统故障的情况下让飞行员更加摸不清头脑。
上文中提到当一套计算机触发警告的时候，就会切换到另外一套。但是实际上我们可以发现这些警告的触发事项对AoA传感器故障几乎毫无防备，其中唯一的一项参考AoA的事项仅仅基于地空逻辑。
但是，我在框图中还注意到了一个设计，其中有一套”M1201 COLUMN SWITCHING SYSTEM“,他的说明是 ”THE COLUMN CUTOUT SWITCH ASSEMBLY STOPS THE STABILIZER TRIM MOTOR WHEN THE CONTROL COLUMN IS MOVED IN A DIRECTION OPPOSITE TO THE TRIM COMMAND“，即感应飞行员操作杆的推拉动作，切断配平动作信号，以防止配平向飞行员操作杆相反的方向动作，发生人机对抗。那么他为什么没有生效呢？我又翻出电路图看了看，被震惊了。
（上面两图应该是连接在一起的）
原来，当MCAS正在运作的时候，FCC会给出一个”MCAS ENGAGE“信号，传到”COLUMN SWITCHING SYSTEM“的2角中，使控制6,18,12角通断的继电器断开，而让阻止配平低头的信号无法发出。也就是说MCAS在设计上被设计为优先级高于飞行员的输入。而到此时此刻，除了关闭”Speed Trim“系统之外，别无解决方案。
最近737-MAX连续发生了两起起飞后失控事故，JT610，ET302，JT610已经被查明与波音的MCAS“激动特性增强功能”有关。作为一个航空爱好者，我对这些事故背后隐含的设计问题很感兴趣，刚好手上也有737-MAX的部分手册文件，所以对这套系统进行了分析。
注意，我并不是专业人士，所以分析中可能存在各种问题，还请各位予以指正谅解。
这是网上广为流传的MCAS描述图，可以看到图中明确说明的是，MCAS在触发之后，是通过“Speed Trim”系统对水平尾翼的配平进行调整。许多媒体笼统的将这套系统描述为“在濒临失速时推杆”的系统，这并不准确。事实上，737-MAX并没有使用电传控制系统，仍然采用传统的钢缆+PCU液压助力的方式，也就是说飞行员的操作杆可以几乎直接反馈平尾舵面的动作。根据平尾整套系统的图纸，唯一电子设备可以介入的部分是平尾后沿的“Elevator Tab”。
飞机通过“Mach Trim”机制，调整Tab和平尾舵面的运动关系，来调整飞行员的操作感知。因为二者的关系，个人认为即使“Mach
Trim”完全失效，对整体控制状态的影响也极为有限，不至于导致失控坠机。
那么接下来让我们看一下所谓的"Speed Trim"组件。这套组件基于水平安定面，那么让我们来看看水平安定面控制的图纸。
可以看到水平安定面共有两种控制方式，电动控制和手动控制。其中手动控制使用中控台侧面的配平轮拉动钢索与安定面下的致动组件移动安定面，而电动控制则使用“直流无刷电动机”驱动“Jackscrew”来移动安定面。同时由于安定面与配平轮是钢缆机械连接，配平轮上显示的角度与安定面实际状态应该是完全对应的。
而其中电动控制部分则有两套组件可以干预，分别是机长与副驾驾驶盘上的配平开关，和由DFCS系统管理的“Speed Trim”系统。
让我们来看一下MCAS所在的”Speed Trim“系统的构成。
可以看到这套系统由FCC电脑发出信号，直接通过电机运动水平安定面。但是FCC电脑有两套，他是怎么选择听从哪台的电脑的指令的呢？让我们来看看AMM上的文字描述：
可以看到，这里并没有采取传统的比对器措施，而是直接采用一套电脑的结果，一旦一套电脑自检遇到问题，再切换到另一套。猜测这里没有用比对器的原因是出于可以影响”Speed Trim“结果的因素实在是太多了，两套系统的结果很难做到完全一致。
那么再让我们看看对应的数据源，因为这张图里的”ADIRU“实在过于笼统，所以我还是追了一下线路，可以看到具体的AOA数据应该是来自对应侧的”M1747 STALL MANAGEMENT YAW DAMPER“ （失速管理偏向阻尼电脑）的ARINC 429低速总线输出。
而单侧的电脑的数据来源仅仅是这一侧的AoA传感器，也就是说参与”Speed Trim“决策的只有一侧的传感器数据源。一旦一侧的传感器出现问题，那么这套系统就会无药可救。
并且我还注意到，手册中有提到，一但人工进行了配平输入，整套”Speed Trim“系统会停止工作五秒，然后继续运行，这无疑在系统故障的情况下让飞行员更加摸不清头脑。
上文中提到当一套计算机触发警告的时候，就会切换到另外一套。但是实际上我们可以发现这些警告的触发事项对AoA传感器故障几乎毫无防备，其中唯一的一项参考AoA的事项仅仅基于地空逻辑。
但是，我在框图中还注意到了一个设计，其中有一套”M1201 COLUMN SWITCHING SYSTEM“,他的说明是 ”THE COLUMN CUTOUT SWITCH ASSEMBLY STOPS THE STABILIZER TRIM MOTOR WHEN THE CONTROL COLUMN IS MOVED IN A DIRECTION OPPOSITE TO THE TRIM COMMAND“，即感应飞行员操作杆的推拉动作，切断配平动作信号，以防止配平向飞行员操作杆相反的方向动作，发生人机对抗。那么他为什么没有生效呢？我又翻出电路图看了看，被震惊了。
（上面两图应该是连接在一起的）
原来，当MCAS正在运作的时候，FCC会给出一个”MCAS ENGAGE“信号，传到”COLUMN SWITCHING SYSTEM“的2角中，使控制6,18,12角通断的继电器断开，而让阻止配平低头的信号无法发出。也就是说MCAS在设计上被设计为优先级高于飞行员的输入。而到此时此刻，除了关闭”Speed Trim“系统之外，别无解决方案。
相伴相惜
