快讯：被疑酿成波音737MAX空难 飞控软件上天前要经历大考

本篇文章2669字，读完约7分钟

波音737max短期内没有复苏的希望了。

最近，美国联邦航空管理局新局长斯蒂芬·迪克森宣誓就职，称没有重新飞行737max的计划，重新申请安全是第一要务。 美国航空公司近日也宣布，将延长波音737max机型的停航时间，延长至12月3日。

去年10月和今年3月，印度尼西亚狮航和埃塞航发生波音737max客机事故，已知其机型在全世界停运或被禁止飞行。 在随后的调查中，发现两起事故都是客机的自动失速防止软件( mcas系统，即机动特性增强系统，以下简称mcas )被错误地激活了。

随着自动化的发展，像mcas这样的飞控软件开始坐飞机了，是怎么开发出来的？ 如何确保绝对的安全？

作为安全开发的指挥棒按标准运转

作为自动安全软件，mcas的设计原理实际上并不复杂。 简单来说，就是通过对飞机迎角传感器信号的评估来驱动飞机控制系统。 自动压下飞机机头，防止升力损失，实现飞机自动安全保护。

该自动软件仅在飞机的襟翼折叠，处于手动飞行状态时有效，由飞行控制计算机根据迎角传感器和其他飞机系统输入的信号进行控制，无需飞行员发出指令。 北京理工大学软件安全工程技术北京市要点实验室专家闫怀志在接受科技日报记者采访时表示，这填补了两大安全隐患:如果迎角传感器系统发生故障，输入mcas信号可能会有错误。 飞机的最高操纵权不在飞行员手中，软件的安全运行缺乏最后的防线。

闫怀志指出，在设计mcas的过程中，工作人员利用大量飞行数据进行智能拆解解决，形成自动安全算法。 在自动化程度越来越高的民航行业，像mcas这样的机载软件的安全性对飞机的重要性越来越高。 但是，由于机载软件的特殊性，不能像飞机其他部件的结构、强度等那样进行检测和测试，也不能像普通软件那样进行全面的测试。 因为该机载软件的安全性一般依赖于严格、规范、标准的软件开发流程来保证。 只有这样，软件才能通过为保证飞行绝对安全而设计的民用飞机适航审定。

目前，国际上机载软件适航审定主要依据的是美国航空无线电技术委员会( rtca ) do-178《机载系统合格审定过程中的软件考虑》系列标准。 该标准在美国联邦航空局、欧洲航空局、中国民航局等民航管理部门被广泛使用。

该标准在软件工具验证、基于模型的开发和验证、面向对象编程、形式化方法等多方面提出了严格的规范操作指南，使机载软件在流程、数据、目标三个方面满足严格的适航要求。 机载软件的开发、运行、验证和迭代升级必须以该系列准则为基础，最大限度地保证机载软件的安全性和可靠性。

只有取得飞行资格才能出港

标准起着指挥棒的作用，那么在实践中，飞控软件是如何炼成的呢？

北京航空航天大学无人系统研究院副教授李大伟向科技日报记者表示，首先确定要开发的飞控软件的具体诉求，制定开发总要求，进行方案设计。 例如，进行这些模块的开发、它们的功能的实现等。 之后，经过详细的设计，细致地雕刻了飞控软件。

飞控软件在部署前，必须经过大量的模拟，验证其安全性和可靠性。 李大伟表示，模拟一般分为设计模拟、全数字模拟、半物理模拟三个阶段。

设计仿真一般在矩阵实验室( matlab )平台和设计者内部构建的平台上进行，如验证在飞行控制系统中形成控制指令的算法是否被合理设计。 全数字仿真的目的是验证飞控软件的实际功能，将飞控代码在飞控计算机上旋转几圈，以确认软件是否能成功完成计算机发出的指令。 与全数字仿真中的全虚拟物理空间不同，在半物理仿真阶段，工作人员将一点飞机零部件的实物嵌入到例如舵机、传感器等中，从而更好地反映这些实际零部件在飞行中可能出现的指令延迟等现象。

仿真模拟实际飞行中可能遇到的各种情况，如暴风、雷雨等恶劣天气，传感器等电子器件的故障等，确保飞行控制软件的可靠性满足设计要求。 李伟说。

仿真通过后，飞控软件将离开实验室，进入应用测试阶段。 联控是飞控软件最先接收的检测，飞机上搭载了很多软件、测量、导航、动力系统等，飞控软件必须和这些小伙伴搞好关系。 另外，飞控系统兼有飞机大脑的功能，负责各系统之间的数据传输、指令协助、系统检查等业务。

接着，包括飞控软件在内的所有机载软件将迎来高考地面联调。 飞机不会起飞，但为了测试搭载软件的功能和性能，会全程通电。 在此期间，员工将继续发现和改进缺陷，直到满足设计要求。 地面联调往往需要时间，短则需要几个月，多则需要半年以上。 李伟说。

联调通过后，经过全机首飞、科研试飞、鉴定试飞、试飞交付等一系列既定试飞流程，最后获得相关部门颁发的飞行资质，飞控软件具有高级资质计算。

严格繁琐的研发、测试、应用流程为飞控软件增加了另一个保险，但如果飞控软件不小心泄露了，乘客的生命安全可能会受到威胁，因此研究设计师通过余度设计等方法保证绝对安全。

与其他普通工业软件不同，飞机飞控核心模块往往具有备份系统，设计多个传感器，测量相同的数据。 这是因为即使在实际飞行中发生错误，也会代之以混乱。 李伟说。

新闻功能的安全融合面临挑战

但是，无论多么周密的测量过程，都只能让风险无限接近零，而不是真正的零。 否则不会发生波音的两次事故。 事实上，软件带来的灾难性事故屡见不鲜。 闫怀志说。

1996年，阿丽亚娜5型火箭因软件缺陷导致火箭脱轨，不得不自我摧毁2000年，巴拿马引进了美国的治疗计划软件，由于其辐射剂量默认值错误，导致多名癌症患者因超标辐射量死亡。 年，温州高铁事故、信号设备雷击故障导致高铁相撞，因软件设计缺陷难以辞职。

这些安全问题是以前就流传下来的功能安全问题。 随着工业化和新闻化的深入融合，物理空间和新闻空间不断相互渗透、融合，新闻物理系统大量出现，由软件缺陷引起的系统安全问题层出不穷，愈演愈烈。 闫怀志指出，软件因素引起的安全性问题进一步体现为新闻安全与功能安全的融合，给新闻系统的安全防范工作带来了巨大的困难。

如何避免软件故障带来的安全风险？

闪怀志认为，应该从技术与管理相结合的整个系统的安全角度来考虑问题。 首先要形成整体的安全观，充分考虑物理安全、功能安全、新闻安全及其融合问题。 其次，软件安全作为系统分析、设计、实现、运维范畴的重要考虑事项，必须避免在软硬件之间的故障传递中发生级联事故。 并且，从系统架构、算法等方面采取了容错、容错、灾害等防治和修复措施，并且要充分重视和发挥人在机械环境封闭反馈循环链中的主观能动性。

相关工作人员还必须练习内部工作以提高相关软件的自身新闻安全和功能安全，并防止互联网黑手党蔓延到飞机、汽车、铁路等大型工业应用。 闫怀志说。