如何看待网传波音 737 MAX 的两次事故是由印度程序员写的 ...

罗天宇

【转】【真实性未验证】
737 设计比较早，当时都是小函道发动机，直径比较细，所以 737 的起落架设计比较短。
737 NG 时换装大函道发动机，粗了很多，波音采用的补救方法是把发动机底下削平。
这次 737 MAX，换更粗更重的发动机，削平也搞不定了。
加长起落架要动机体结构，相当于重新设计一型飞机了。
波音不想重新设计、也没那个人力去重新设计，只想打补丁。
波音的解决方案是把发动机往上抬，往前挪。发动机的上沿与机翼一样高了。这样飞机气动变得比较不稳定，有抬头倾向，容易导致失速。
737 的气动是 50 年前定好的，波音也不想重新写飞控。波音于是又在飞控上打了一个补丁去防止失速。
只要机翼上的空速管探测到失速，就自动俯冲加速。
这个补丁叫做 MCAS。本来这个空速管有两个，一边一个，但是波音的印度程序员写的逻辑很神，两边空速管的数据没有 crosscheck，只要有一个空速管故障，飞机就发疯一样的俯冲。
之前 737 的设置是，飞行员只要拉杆，就自动取消俯冲。
但是把在 737 MAX 上，印度程序员为了 MCAS，把自动俯冲的逻辑改了，必须手动在触摸屏上关掉一个设置才能取消俯冲。
否则飞行员就只能无休止的和想要俯冲的飞控拼体力。最后实在拉不起来，就高速撞地球。
两次空难就是这么来的，坠毁前大起大落，那是飞行员在和印度程序员的神代码搏命。

生锈的手指、

完全是扯淡的报道。
737 Max相关的模块规格需求是波音定的，程序员，无论是来自印度还是美国，都忠实的按照甲方波音的规格写了程序。飞机摔了，反倒怪起外包程序员来了？
至于只采用一个AoA数据的原因，其实是因为MCAS运行的基础，FCC的STS功能，本来就是非关键性的辅助功能，旧款737NG原本的设计就是左右两台FCC分别读取两边传感器的数据，每次开关电源轮值作主机，遇到错误的数据，需要飞行员拉杆抑制配平，然后关断安定面电源。
由于MCAS工作的前提就必须拉杆，如果抑制掉了就失去意义了，所以波音禁用了MCAS运作下拉驾驶杆强行抑制安定面运动的逻辑，而改用MCAS单次激活的时长限制来实现这个系统的安全自限功能，期望在系统自限后，飞行员能发现异常，进而关断安定面电源。
然而按照正常飞行的思路，如果飞行员手动打了配平，时长限制是会被重置的，这是STS系统的正常逻辑，因为飞行员可能偏好另外一种配平风格，或者系统自动估算的配平不太准确，飞行员手动补一点。重置后如果飞行状态稳定，也不会触发配平变化需求，那就好好飞。如果动力、速度变化了，重新触发配平需求，那自动再配一点，飞行员觉得好就让它去，觉得不好，就补偿一部分，飞机在新的状态稳定下来，再接着飞咯。
然而这两个设计特性在组合以后会产生一个新特性：系统在传感器错误的信号触发下，会打配平，机组觉得不对，打回来，如此反复会来回打架，而不像以前一样反向拉杆就会抑制住配平运转。
这是一个重大变更，因为以前几十年用得好好的、依赖直觉和记忆就能快速得出的抑制措施不再有效，必须针对这个改变设计新的安全培训来识别应对。
然而波音为了宣传Max机型与前款机型的共通性，压缩了培训这部分变更没有写到培训里面，仍然期望飞行员“你飞了几十年737，安定面有毛病就关掉好了”。
于是这个坑就给飞行员挖好了，脑子灵活点的踩一脚就爬出来了，关掉电源，手动飞行直到落地（狮航前序航班）。没那么灵活的，被波音坑到懵逼，就摔了。
培训的重要性体现在第二次埃航摔机。他们是知道MCAS系统的，飞上去后也按照新的知识点关闭了电源，然而他们对配平失控的危险性没有认识，在这个非常容易整机失控的环境下，没有情景意识，没有进一步掌控飞机，而是专注于故障，逐渐丧失对飞机速度的认识，导致从物理上就很难拯救高速状态下配平失控的飞机，在高速状态是很难人力转动配平轮的，所以他们决定铤而走险再次通电，终于导致彻底失控。
这说明Max在仪表故障导致飞机空速高度不可靠，而且错误数据触发FCC错误补偿配平的状态，是一个与以往737安定面失控完全不同的场景，现有的理论课程培训流程不足以有效保障机组的处理能力，必须要上模拟机练过一把。而波音为了卖飞机，简化培训，导致两起事故，负有不可推卸的责任。
为了经济性，在不彻底从头设计的情况下，魔改飞机，这个可以。我觉得波音能把737改成Max这样，是非常了不起的工程成就。MCAS改动特性没有充分评估，导致潜在故障模式能在极短时间内让飞机失控，这个需要重视，但即使不对这个潜在问题做根本性的修复，靠对机组的培训，让机组也能极短时间内识别并处理，也是可以的。
坏就坏在又想把不需要大量升级培训作为卖点，把培训压缩成两小时理论课，那不出事才怪了。
但无论如何，这个锅赖不到程序员头上

kccsong

李云龙背了无数次的锅。有过草地纵兵抢粮的，有撤退不按基本法的。
但是，打平安县城那次，旅长让他背锅，他坚决不背。

同理，印度程序员要背而且背过很多锅，比如谷歌地图越来越不好用了，chrome经常崩溃了。
但是，波音737max机体设计先天不足的锅，怎么也应该由波音自己背、由华尔街资本家背，怎么也轮不到印度程序员来背。

Pegasus8

波音：请添加这个功能。
印度人：好的。
波音：请删除那个功能。
印度人：好的。
波音：请把这个功能这么改。
印度人：好的。
波音：飞机掉了，这都是你的错！
印度人：？？？

737max本来就有设计缺陷，是波音为了省钱没有重新设计（在老737基础上直接改造），航管局为了省钱也没检验。印度人在破旧的舞台上跳舞，还没教练监督，摔倒了也不奇怪。指望一个补丁把奥拓变成奥迪，你咋不上天呢。
硬件有缺陷，软件怎么写都会有隐患。ECU写得再好的车，不如加个尾翼。驱动优化再好，不如换个显卡。
程序员不是飞行员，哪懂开飞机，业务逻辑还不是根据你甲方指导写的。你现在嫌程序逻辑不安全，当初怎么不提改进需求呢？验收时检验不出来吗？自家一群飞机设计师都没想到的问题，指望一群外包程序员主动替你想到，真当软件公司人均图波列夫。


参考新闻：

3月10日，埃塞俄比亚航空公司一架波音737-8客机（属于737 MAX系列）失事，这是继去年10月29日印度尼西亚狮子航空公司同型号客机失事坠海之后，波音737-8客机发生的第二起空难事故。
美联邦航空局局长12日接受采访时指出，卫星数据显示两架失事客机的运动轨迹相似。美国众议院运输和基础设施委员会主席也表示，两起空难“可怕的相似”，均出现了“不寻常的爬升和俯冲”。
据美国有线电视新闻网报道，美国飞行员曾在联邦数据库中至少5次对737-8客机提出抱怨，有两个飞行员称驾驶该型客机时出现意想不到的俯冲情形。其中一人写道，打开自动驾驶模式后的2到3秒内客机会掉头向下，触发客机安全系统警告。还有飞行员抱怨联邦航空局和波音处理问题的方式。
对于前几天美国拒绝停飞波音客机，美国《6消费者报告》杂志航空问题顾问比尔·麦吉评价：“联邦航空局想要讨好飞机制造商，该部门在飞行安全问题上本该更加主动。”
曾担任美国国家运输安全委员会主席的詹姆斯·霍尔在《纽约时报》上发表文章称，问题的根本原因是2005年美国联邦航空局的监管方式发生重大变化。该机构不再提名和监管自己“任命的适航代表”，而允许波音和其他制造商选择自家雇员认证飞机安全性。为了给这一改革正名，该机构游说从2006年到2015年将给航空业节省大约250亿美元。
“这种行业自我认证真是令人担忧的举动。”

讲真，美国人为了省钱，允许企业自我检验代替国家机构检验也不是第一次了。美国食药监局（FDA）就推出过一个快速审批程序，允许药企替FDA掏钱做实验“提高审批效率”，导致FDA偏袒垄断药企，跟FAA偏袒飞机企业如出一辙。
这也不能怪他们。你国家舍不得给他们发工资，反而允许企业给他们发工资，那他们自然就效忠于金主爸爸。有奶便是娘是人间真理。
这件事最大的责任是波音（为了省钱设计偷懒，明知有缺陷还卖），第二责任是航管局（允许企业自行验证安全性，无视飞行员警告和上次事故），至于印度软件公司，不过是美国官方拿来甩锅的替罪羊、国内媒体拿来吸引网民的标题党元素罢了。
给吃瓜群众科普事件的来龙去脉：

这是1964年研发的波音737：


这是2007年立项时，波音宣称的737max：


这是2015年实际生产出来的737max：


不好意思放错了，上面是737 max-9。
下面才是这次失事的737 max-8：


这次事故用汽车类比就是，2015年大众突然找来一款上世纪60年代的老爷车，魔改了一下，扩大了座舱空间，美其名曰“老爷车max”然后当SUV卖。
由于扩大空间后跟原先的设计不符，导致汽车重心不平衡，屁股重、车头轻。
怎么办呢？为了省钱，波音没有重新设计这款车，而是直接让印度软件公司写了个补丁，每次飞行时强行把机头下压一定角度，跟偏重的机尾形成平衡。
然而，这款飞机的缺陷不只是重心，迎角传感器正好也有缺陷，刚起飞的2分钟读数是不准的。于是，软件收到了错误的参数，以为飞机已经起飞，强行下压机头，就摔了。
那么问题来了，印度人的责任占多大。




另外，美国航管局跟波音的py黑历史可多着呢。
参考下面这篇回答：
西安奔驰事件，美国是否会出现这种情况？白宫又想让自家机构经济独立（不想给钱），又想让他们两袖清风（想立牌坊），机构也很难办啊。

SOPHIL❤Sophie

在好几个地方看到这个段子了.印度程序员写程序的时候没有同步验证两个检测仪器的数据什么的.但我觉得实际情况也可能也就限于是段子了。
因为无论是外包给哪个公司写的，最终的需求的提出和验收应该还都是波音公司来负责，编写方作为作为乙方负责实现和维护。
如果波音公司需求就是这个样子的，外包公司实现出来没什么毛病，也怪不到外包公司。
如果需求不是这样，外包公司瞎写，搞出严重的逻辑漏洞，波音公司完全没验收测试好，到最后用乘客的生命在测试，波音公司肯定也要负绝大部分责任的。
当然波音公司图省成本，没有重新设计气动外形，照成不小的飞行隐患，只能靠飞控来弥补，这本身就已经有很大的责任了。