风险登记册 · 条目
Q3 · 工程化Boeing 737 MAX MCAS 坠机事故
单个传感器就能把机头压下。飞行员从未被告知这套系统的存在。
紧密耦合的系统：一个小故障层层传导，最终让整台机器停摆。
为什么是这个象限
MAX 属于 Q3，因为一套对飞机俯仰配平拥有权限的系统被允许仅凭单一迎角传感器的输入行动，既没有交叉校验也没有冗余，于是一个外部叶片的故障直接传导为反复出现的非指令性低头指令。为这一故障设计的缓解手段是飞行机组，但机组根本没有被告知该系统的存在，而本可提示传感器故障的 AOA Disagree 警告在大多数已交付的机队上无法工作，这就移除了小部件故障与机体损毁之间最后一层解耦。波音还拒绝把 MCAS 列为安全关键系统，因此这一耦合从未受到该分类本应触发的审查：一个小故障、一条紧密耦合的控制链路，加上一道被切断的人工兜底。
记录在案
- 两起空难共造成 346 人死亡：狮子航空 610 号班机（2018 年 10 月 29 日，189 人死亡）和埃塞俄比亚航空 302 号班机（2019 年 3 月 10 日，157 人死亡）。确定
- 波音允许 MCAS 依据单一迎角传感器的输入启动，并指望飞行员去化解任何故障，而飞行员大多不知道该系统的存在；波音也没有把 MCAS 列为安全关键系统。确定
- 2015 年，一名波音授权代表曾提出 MCAS 是否「易受单一 AOA 传感器故障影响」的问题；波音仍然让 MCAS 依据单一 AOA 传感器运行。确定
- 波音 2012 年的内部测试数据显示，一名波音试飞员在模拟机中用了 10 秒以上才诊断并应对非指令性的 MCAS 启动，该试飞员判定这种情况是「灾难性的」；波音对 FAA 和客户隐瞒了这一点。确定
- 波音于 2021 年 1 月与美国司法部达成暂缓起诉协议，支付超过 25 亿美元，此前它就 MCAS 认证评估共谋欺骗 FAA；其中刑事罚金部分为 2.436 亿美元。高
来源
通讯
每周一则风险故事，像这一则一样被拆开：什么是已知的，什么被忽视了，以及它真正属于哪个象限。
不发垃圾邮件，每周一封。