3 月 10 日，埃塞俄比亞航空公司一架波音 737 MAX 8 客機在飛往肯尼亞途中墜毀。機上有 149 名乘客和 8 名機組成員，無人生還。

據(jù)報道，此次失事的是一架全新的波音飛機，四個月前才交付給該航空公司。這是波音 737 MAX 8 半年內(nèi)出現(xiàn)的第二起嚴(yán)重事故。（第一起為 2018 年 10 月 29 日印尼獅航的墜落事件，189 人罹難）目前中國大陸共有 96 架該機型飛機正在運營，中國民航局今天表示，為確保中國民航飛行安全，囯內(nèi)暫停該機型的商業(yè)運行。

一年多前，波音公司還是傳統(tǒng)企業(yè)數(shù)字化轉(zhuǎn)型的杰出代表，其軟件化發(fā)展得到工業(yè)互聯(lián)網(wǎng)領(lǐng)域的一致認(rèn)可。但短短半年時間，同一機型兩次空難，其中一次的失事原因已明確為軟件設(shè)計缺陷。這樣慘痛的后果，軟件化是不是要“背鍋”？更有人無奈戲言：波音真把自己當(dāng)互聯(lián)網(wǎng)企業(yè)了，讓用戶去試 bug。

波音的數(shù)字化轉(zhuǎn)型，還有參考意義嗎？

傷痛之余，我們?nèi)孕鑿?fù)盤兩次墜機的原因。

回顧第一起墜落事件，調(diào)查人員發(fā)現(xiàn)，失事飛機的迎角傳感器“數(shù)據(jù)錯誤”觸發(fā)“防失速”自動操作，導(dǎo)致機頭不斷下壓，飛行員 多次手動拉升未果，飛機最終墜海。

這個自動控制下壓機頭的系統(tǒng)，名叫 MCAS，意為自動糾正失速系統(tǒng)。波音 737 MAX 在設(shè)計上配備了更粗大更省油的發(fā)動機，而這也使得飛機容易在大迎角飛行失速。為此，波音設(shè)計師就為 737 MAX 開發(fā)了 MCAS。這是波音 737 MAX 的一種操縱輔助系統(tǒng)，其設(shè)計初衷是，如果機身上的傳感器檢測到高速失速的情況，即使在沒有飛行員輸入信號的情況下，該系統(tǒng)將強制將飛機的機頭向下推。

MCAS 系統(tǒng)工作示意圖

但在獅航空難事件中，該系統(tǒng)接收到了錯誤數(shù)據(jù)，導(dǎo)致飛機在正常情況下開始不斷下壓機頭，飛行員在 11 分鐘內(nèi)連續(xù)手動拉升 20 余次終告失敗，墜海罹難。

獅航空難發(fā)生后，國內(nèi)資深機長陳建國表示：“獅航空難是飛機信號系統(tǒng)接收到一個假信號，信號顯示飛機‘抬頭’，所以控制系統(tǒng)持續(xù)給出了‘低頭’的指令。機組與控制系統(tǒng)搏斗很長時間，最終發(fā)生事故?！?/p>

根據(jù)波音公司對飛行員的培訓(xùn)，發(fā)現(xiàn)該系統(tǒng)程序有 4 個特點：

1. 發(fā)現(xiàn)失速后，程序只相信主傳感器，不與備份傳感器核實。（同樣的情況空客的飛機則會交給飛行員處理。）

2. 一旦相信，不通知飛行員，直接操縱機翼。

3. 飛行員手動操作后，仍舊會每五秒自動執(zhí)行，讓飛行員不得不與飛機較勁。

4. 程序開關(guān)非常隱蔽。

業(yè)內(nèi)人士指出：“因為 MCAS 系統(tǒng)，737 MAX 飛機可能在計算機控制下執(zhí)行長達(dá) 10 秒的非指令性低頭，單靠駕駛桿操作很難拉住。而如果飛行員并不清楚這一切，那么就可能變成飛機俯沖 - 人工向上配平 - 飛機繼續(xù)俯沖的搏斗，飛行員的勝算并不大?！?/p>

空難發(fā)生后，波音公司更新了 737 MAX 飛行操作手冊，指導(dǎo)飛行員如何應(yīng)對“迎角傳感器數(shù)據(jù)錯誤”，報導(dǎo)稱波音考慮慮修改軟件設(shè)置：自動系統(tǒng)觸發(fā)后，一旦機組人員對設(shè)置作“反向”操作，即可關(guān)閉 MCAS 的“自動下壓機頭”功能。但這一“軟件升級”并沒有得到官方的確認(rèn)。

本次埃塞俄比亞航空空難的具體官方報告還未公布，從目前已有的消息來看：這架飛機失事前，最大地速達(dá)到 383 海里每小時，超過了飛機正常的飛行速度。該機起飛經(jīng)歷后反反復(fù)復(fù)爬升下降，下降爬升的過程，高度 7000~8600 英尺之間，最大地速達(dá)到 383 海里每小時，超過了飛機正常的飛行速度。該數(shù)據(jù)與獅航的全球第一架 737MAX 空難有些相似，都可以歸結(jié)為 LOC—空中失控。具體原因還需要更多的數(shù)據(jù)來分析。

兩次慘痛空難過后，回過頭來再看看波音的軟件化道路：它曾滿載榮光，如今備受質(zhì)疑。

2012 年，由通用電氣發(fā)起，思科、IBM、英特爾等 80 多家公司成立了工業(yè)互聯(lián)網(wǎng)聯(lián)盟，試圖重新定義制造業(yè)的未來，這其中的一員，就有波音公司。

波音公司是全球最大的航天航空器造商。每天，數(shù)以千計的波音客機從全球各地機場起降，將旅客運送至目的地。舉個例子，波音 787 夢想客機飛行一次就會產(chǎn)生多達(dá) 1TB 的數(shù)據(jù)，每年數(shù)百架 787 夢想客機飛行數(shù)千次，產(chǎn)生的數(shù)據(jù)使得波音公司坐擁了一座數(shù)據(jù)金礦。

面對如此海量的數(shù)據(jù)，這家 100 多年歷史的公司意識到，需要重新思考軟件方法，才能充分利用所有這些數(shù)據(jù)來改進各種職能。波音公司的核心競爭力并非工廠和生產(chǎn)線，而是其 7000 多種軟件。波音研發(fā)設(shè)計涉及 8000 多款軟件，其中 1000 多款為通用軟件，可以通過市場購買獲得，剩余的 7000 多種軟件為波音自行開發(fā)，代表著其核心競爭力。

波音與卡耐基梅隆大學(xué)合作建立了一個“航空數(shù)據(jù)分析實驗室”，期望利用 AI 和大數(shù)據(jù)技術(shù)對波音飛機進行全面升級。這次合作的初衷是，讓人類更好地理解和利用航空工業(yè)中每天產(chǎn)生的巨量數(shù)據(jù)，用機器學(xué)習(xí)的方法來優(yōu)化波音飛機的運行，用大數(shù)據(jù)來指導(dǎo)設(shè)計、建造和運營。

一架飛機上往往有數(shù)千個傳感器，每條航線每次飛行產(chǎn)生的海量數(shù)據(jù)，通過 AI、大數(shù)據(jù)技術(shù)快速鎖定有效數(shù)據(jù)，讓飛機在起飛前有能力預(yù)判潛在風(fēng)險，從而得以進行定點檢查和零部件替換，降低風(fēng)險。

2017 年 12 月，在 Pivotal 舉辦的的 SpringOne Platform 大會上，波音公司 CIO 辦公室執(zhí)行主任 Niki Allen，分享了她負(fù)責(zé)主導(dǎo)的波音公司軟件開發(fā)方法轉(zhuǎn)型的演講。以下做簡要摘錄。

從傳統(tǒng)企業(yè)到軟件驅(qū)動，波音的數(shù)字化轉(zhuǎn)型總結(jié)起來就是 3 個“E”法則：參與（Engagement）、卓越（Excellence）和支持（Enablement）。

參與： 第一個挑戰(zhàn)是讓你的開發(fā)人員，IT 人員，業(yè)務(wù)領(lǐng)導(dǎo)人和高級管理人員 ，對轉(zhuǎn)型過程和帶來的成效感興趣并激動不已。 如果沒有積極參與，轉(zhuǎn)型的效果就可能會大打折扣 ，這需要 IT 采用新的思維模式。除了內(nèi)部新鮮血液，波音公司還與 Pivotal 等外部組織建立強大的合作關(guān)系，共同推進。

卓越： 執(zhí)行的質(zhì)量。 實現(xiàn)卓越的執(zhí)行要求團隊的每個成員都致力于自己的工作，并與同事合作。鼓勵團隊成員傾聽并相互學(xué)習(xí)，并與同事分享他們的知識。

支持： 前兩個 E 的執(zhí)行會引出第三個 E：支持 (Enablement)。但要支持企業(yè)發(fā)展，還需要企業(yè)自身投入到轉(zhuǎn)型工作中。否則，這些工作將無法產(chǎn)生預(yù)期的效果。

波音公司將其數(shù)字工廠稱為 DTE（數(shù)字轉(zhuǎn)型環(huán)境） 。DTE 包括應(yīng)用程序開發(fā)和運行平臺 Pivotal Cloud Foundry 以及平臺運行的底層硬件，還包括開發(fā)團隊的新工作流程，以充分利用平臺的云原生能力。這些包括支持持續(xù)集成和開發(fā)，這使得波音的應(yīng)用團隊能夠快速測試和部署新軟件到生產(chǎn)環(huán)境，獲得用戶的反饋意見，并反復(fù)持續(xù)改進軟件。

通過數(shù)字軟件化轉(zhuǎn)型，波音公司極大地提升了數(shù)據(jù)的利用率與生產(chǎn)效率。但這樣的數(shù)字化轉(zhuǎn)型帶來的也不全是好消息，不斷進化的智能化、自動化技術(shù)，也帶來了一些思考和問題：當(dāng)軟件系統(tǒng)出現(xiàn)故障或者對于飛行狀況判斷失誤時，如何規(guī)避風(fēng)險？人工何時介入？

雖然現(xiàn)代汽車的自動駕駛系統(tǒng)仍然處在很初級的階段，但在航空領(lǐng)域，自動駕駛系統(tǒng)早已大行其道，飛機的自動駕駛系統(tǒng)，會根據(jù)預(yù)先設(shè)定好的航路，全程駕駛飛機，甚至完成降落，飛行員反而成為了輔助存在。在這種情況下，很容易會造成一種“自動化悖論”：

自動化不但操作簡單，而且可以自動糾錯，哪怕操作者不夠?qū)I(yè)都能夠正常工作很長時間，他的不足被自動化完美掩蓋，很可能一輩子都不會被同行發(fā)現(xiàn)。

即便是老手，由于系統(tǒng)不需要他們手工作業(yè)，原有的操作技能也會因為疏于練習(xí)而退化。

自動化系統(tǒng)往往在異常情況下失效，或者以發(fā)生異常的形式失效，如果操作者技巧不夠熟練是無法應(yīng)付這些突發(fā)狀況的。

這種悖論不僅發(fā)生在飛機自動駕駛系統(tǒng)里，也出現(xiàn)在如運維自動化、自動化港口、自動駕駛汽車等領(lǐng)域里，我們過去討論的大多是如何提升自動化水平，甚至做到無人值守，但是，現(xiàn)在我們有必要嚴(yán)肅的討論一下如何防止自動化悖論了。