短時間內(nèi)波音737MAX復(fù)飛無望了。

近日，美國聯(lián)邦航空管理局新局長斯蒂芬·迪克森在宣誓就職時表示，暫時沒有737MAX復(fù)飛的計劃，并重申安全是第一要務(wù)。美國航空公司也于最近宣布延長波音737MAX機型的停飛時間，停飛時間將延長至12月3日。

眾所周知，去年10月和今年3月，印尼獅航和埃塞航空先后發(fā)生波音737MAX客機失事事件，該機型隨即在全球范圍內(nèi)遭到停飛或禁飛。后調(diào)查發(fā)現(xiàn)，兩起空難皆與客機的自動防失速軟件（MCAS系統(tǒng)，即機動特性增強系統(tǒng)，以下簡稱MCAS）被錯誤激活有關(guān)。

隨著自動化程度不斷加強，越來越多類似MCAS這樣的飛控軟件“登”上飛機，那么它們是如何被研制出來的？又如何確保其絕對安全？

標準充當安全研發(fā)指揮棒

作為一種自動安全軟件，MCAS的設(shè)計原理其實并不復(fù)雜。簡言之，它是通過對飛機迎角傳感器信號的判斷來驅(qū)動飛機控制系統(tǒng)。其可自動將飛機機頭向下推，以防止升力損失，從而實現(xiàn)飛機自動安全保護。

“該自動軟件只在飛機襟翼收上、處在手動飛行狀態(tài)時才生效，由飛行控制計算機根據(jù)迎角傳感器和其他飛機系統(tǒng)輸入的信號來控制，無需飛行員下達指令。”北京理工大學軟件安全工程技術(shù)北京市重點實驗室專家閆懷志在接受科技日報記者采訪時表示，“這埋下了兩大安全隱患：迎角傳感器系統(tǒng)若發(fā)生故障，那么輸入MCAS的信號就可能存在錯誤；飛機的最高操控權(quán)不在飛行員手中，軟件安全執(zhí)行缺少最后一道防線。”

閆懷志指出，在設(shè)計MCAS過程中，工作人員利用海量的飛行數(shù)據(jù)并對其進行智能分析處理，以形成自動安全算法。在自動化程度越來越高的民航領(lǐng)域中，類似MCAS這樣的機載軟件安全性對航空器的重要程度也越來越高。然而，由于機載軟件的特殊性，無法像飛機其他部件的結(jié)構(gòu)、強度等那樣進行檢查和測試，更無法像一般軟件那樣進行窮舉測試，因此機載軟件的安全性通常需要依靠嚴格、規(guī)范、標準的軟件研發(fā)流程來保證。只有這樣，軟件才能通過旨在保證飛行絕對安全的民用航空器的適航審定。

目前，國際上機載軟件適航審定主要依據(jù)美國航空無線電技術(shù)委員會（RTCA）DO-178《機載系統(tǒng)合格審定過程中的軟件考慮》系列標準。該標準被美國聯(lián)邦航空局、歐洲航空安全局和中國民用航空局等民航管理部門廣泛采用。

該標準在軟件工具驗證、基于模型的開發(fā)和驗證、面向?qū)ο?a target="_blank">編程、形式化方法等諸多方面提出了嚴格的規(guī)范操作指南，從而使機載軟件在過程、數(shù)據(jù)、目標3方面滿足嚴苛的適航要求。機載軟件的開發(fā)、運行、驗證以及迭代升級均需以該系列指南為基本遵循，以最大程度保證機載軟件的安全性和可靠性。

取得飛行資質(zhì)才能“上崗”

標準發(fā)揮了指揮棒的作用，那么在實踐中，飛控軟件又是怎樣被煉成的？

北京航空航天大學無人系統(tǒng)研究院副教授李大偉告訴科技日報記者，首先應(yīng)明確要研制的飛控軟件的具體需求，制定研制總要求并進行方案設(shè)計，例如研制哪些模塊、實現(xiàn)哪些功能等。隨后再經(jīng)過詳細設(shè)計，將飛控軟件“精雕細琢”出來。

“飛控軟件在投入使用前，要經(jīng)過大量的仿真試驗，驗證其安全性和可靠性。”李大偉表示，仿真試驗通常分為設(shè)計仿真、全數(shù)字仿真、半物理仿真這3個階段。

設(shè)計仿真通常是在“矩陣實驗室”（MATLAB）平臺或設(shè)計人員內(nèi)部搭建的平臺上進行的，如驗證對飛行控制系統(tǒng)形成控制指令的算法設(shè)計得是否合理等。全數(shù)字仿真旨在驗證飛控軟件的實際功能，讓飛控代碼在飛控計算機上“跑”幾圈，看軟件能否順利完成計算機所下達的指令。不同于全數(shù)字仿真中全虛擬的物理空間，在半物理仿真階段，工作人員則將一些飛機部件的實物納入進來，如舵機、傳感器等，從而更好地反映出這些真實部件在飛行過程中可能出現(xiàn)的指令延遲等現(xiàn)象，根據(jù)反饋去調(diào)整飛控軟件。

“仿真試驗會模擬實際飛行中可能遇到的多種狀況，如暴風、雷雨等惡劣天氣以及傳感器等電子器件故障等，以確保飛控軟件的可靠性達到設(shè)計要求。”李大偉說。

仿真試驗通過后，飛控軟件將走出實驗室，走向應(yīng)用測試階段。聯(lián)合調(diào)控是飛控軟件首先接受的檢驗，飛機上裝有很多軟件，測控、導航、動力系統(tǒng)等，飛控軟件必須與這些“小伙伴”友好相處。此外，飛控系統(tǒng)還兼有飛機“大腦”的功能，負責各個系統(tǒng)之間的數(shù)據(jù)傳輸、指令配合和系統(tǒng)檢測等工作。

緊接著，包括飛控軟件在內(nèi)的所有機載軟件將迎來一次“大考”——地面聯(lián)調(diào)。飛機雖不會起飛，但會全程通電，以測試機載軟件功能和性能。工作人員則會在此期間不斷發(fā)現(xiàn)并改善缺陷，直至滿足設(shè)計要求。“地面聯(lián)調(diào)往往耗時很長，短則幾個月，多則半年甚至更長。”李大偉說。

聯(lián)調(diào)通過后，還要經(jīng)過全機首飛、科研試飛、鑒定試飛、交付試飛等一系列既定試飛流程，最后獲得相關(guān)部門頒發(fā)的飛行資質(zhì)，飛控軟件才算有了“上崗資格”。

嚴格、繁瑣的研發(fā)、測試、應(yīng)用流程為飛控軟件上了一層又一層“保險”，但鑒于飛控軟件一旦出現(xiàn)錯漏，就有可能導致乘客生命安全受到威脅，研究設(shè)計人員還會通過余度設(shè)計等方式保證其絕對安全。

“與其他普通的工業(yè)軟件不同，飛機飛控核心模塊往往會有備份系統(tǒng)，也會設(shè)計多個傳感器同時測量同一數(shù)據(jù)，因此即便在實際飛行中出現(xiàn)錯漏，也會有替補來‘撥亂反正’。”李大偉說。

信息功能安全融合帶來挑戰(zhàn)

然而，即使再縝密的測控流程，也只能將風險控制在無限接近于零，而非真正的零，否則也就不會有波音的兩次空難了。“事實上，由軟件引發(fā)的災(zāi)難性事故屢見不鮮。”閆懷志說。

1996年，阿麗亞娜5型運載火箭因軟件缺陷導致火箭偏軌，不得不“自我摧毀”；2000年，巴拿馬引進美國治療規(guī)劃軟件，由于其輻射劑量預(yù)設(shè)值有誤，導致多名癌癥患者接受超標劑量輻射致死；2011年，溫州動車事故，因信號設(shè)備雷擊故障導致動車相撞，軟件設(shè)計缺陷難辭其咎。

這些安全問題，都屬于傳統(tǒng)的功能安全問題。“隨著工業(yè)化和信息化的深度融合，物理空間和信息空間不斷相互滲透和融合，信息物理系統(tǒng)大量出現(xiàn)，使得因軟件缺陷而導致的系統(tǒng)安全問題層出不窮，呈愈演愈烈之勢。”閆懷志指出，軟件因素導致的安全性問題進一步體現(xiàn)為信息安全和功能安全二者的融合，給信息系統(tǒng)的安全防范工作增加了很大難度。

如何規(guī)避軟件故障帶來的安全風險？

在閆懷志看來，應(yīng)從技術(shù)和管理相結(jié)合的系統(tǒng)整體安全角度來考慮問題。首先是形成整體安全觀，充分考慮物理安全、功能安全、信息安全及其融合問題。其次，應(yīng)將軟件安全作為系統(tǒng)需求分析、設(shè)計、實現(xiàn)、運維范疇的重要考慮因素，同時盡可能避免軟硬件之間的故障傳播引發(fā)級聯(lián)事故。再者，應(yīng)從系統(tǒng)體系結(jié)構(gòu)、算法等方面，采取容錯、容侵、容災(zāi)等預(yù)防及補救措施，同時還應(yīng)充分重視并發(fā)揮人在“人—機—環(huán)境”閉合反饋循環(huán)鏈條中的主觀能動性。

“同時，相關(guān)工作人員還應(yīng)練好‘內(nèi)功’，即提升相關(guān)軟件的自身信息安全性和功能安全性；同時，做好外部連接通道的安全監(jiān)控工作，防備互聯(lián)網(wǎng)‘黑手’伸向飛機、汽車、鐵路等大型工業(yè)應(yīng)用系統(tǒng)。”閆懷志說。