之前有不少粉絲留言催我寫A320，找了一圈材料，最后還是決定從這個(gè)案例入手。

「飛機(jī)的賬本」這一期，拆一架沒有任何硬件損壞、沒有任何代碼bug、五臺(tái)飛控計(jì)算機(jī)卻在毫秒內(nèi)集體自我關(guān)閉的空客A320。真正把它們逼上絕路的，不是芯片故障，是物理世界的時(shí)間精度和數(shù)字世界的邏輯之間，那道永遠(yuǎn)彌合不了的裂縫。

一、塔林跑道上的十秒鐘

圖1:ES-SAN ，事故中的那架 A320 。它真正失去的，不是發(fā)動(dòng)機(jī)，也不是機(jī)翼，而是俯仰控制鏈路。

2018年2月28日下午，愛沙尼亞塔林機(jī)場(chǎng)。

一架靈貓航空（SmartLynx Airlines Estonia）的空客A320，注冊(cè)號(hào)ES-SAN，正在跑道上做著陸連續(xù)訓(xùn)練。左座是一名正在接受改裝的飛行員，右座坐著一名資深的飛行教員，客艙里還坐著4名隨行機(jī)務(wù)。

15時(shí)05分，飛機(jī)觸地。

右座的飛行教員在降落前沒有按標(biāo)準(zhǔn)程序預(yù)位地面擾流板。機(jī)翼上的升力沒有及時(shí)卸掉，主起落架在觸地后發(fā)生了一次反彈。

這種反彈不算什么稀奇事。通航訓(xùn)練里更是常見，就算是A320，每天在全世界有幾萬(wàn)次起降，偶爾彈一下也屬于日常。

在觸地反彈后，飛行教員隨即接管了操縱桿，推力手柄直接推到最大，準(zhǔn)備拉起復(fù)飛。飛機(jī)剛剛離開跑道，還沒來(lái)得及建立穩(wěn)定爬升，駕駛艙就炸了鍋了，主警鈴響起，PFD（主飛行顯示器）上跳出一行紅色警報(bào)：

MAN PITCH TRIM ONLY

圖2:A320 的中央操縱臺(tái)。事故中，飛行員最后能依靠的，就是這里那組平時(shí)很少被人真正救命式使用的配平手輪。

飛行教員本能地把側(cè)桿向后拉到底，試圖拉起機(jī)頭，不過(guò)沒有反應(yīng)。

飛機(jī)左右升降舵卡在0°中立位，一動(dòng)不動(dòng)。側(cè)桿不管拉多大的幅度都一樣，電傳操縱系統(tǒng)已經(jīng)完全斷開了和升降舵的連接。

在接下來(lái)的十幾秒里，這架60多噸的空客客機(jī)的狀態(tài)非常反常，橫滾方向還能控制，但是決定飛機(jī)抬頭還是低頭的俯仰方向，已經(jīng)完全失去了響應(yīng)。飛行員唯一還能用的，就是中央操縱臺(tái)旁邊那個(gè)平時(shí)幾乎沒人去碰的配平手輪，機(jī)上的機(jī)組試圖拉動(dòng)水平安定面，一圈一圈地把飛機(jī)姿態(tài)救回來(lái)。

就這樣，一架2018年的電傳客機(jī)，被迫用回了純手操。

圖3:現(xiàn)代電傳客機(jī)被打回機(jī)械時(shí)代：當(dāng)升降舵不再響應(yīng)側(cè)桿，配平手輪成了最后一根機(jī)械繩索。

二、五臺(tái)電腦和一管潤(rùn)滑油

要理解這架飛機(jī)為什么會(huì)突然發(fā)生"腦死亡"，需要先看看空客給A320設(shè)計(jì)的這套中樞神經(jīng)。

A320的俯仰控制是完全靠電信號(hào)的。

飛行員拉桿，信號(hào)先走計(jì)算機(jī)，計(jì)算機(jī)算完了再告訴液壓閥門該怎么去推舵面。這就是電傳操縱（Fly-by-Wire）。

A320，也是第一款真正把電傳飛控帶進(jìn)主流民航客機(jī)的機(jī)型。

為了防止計(jì)算機(jī)出故障導(dǎo)致飛機(jī)失控，空客在A320里塞了五臺(tái)飛控計(jì)算機(jī)，分成兩個(gè)陣營(yíng)：

ELAC（升降舵副翼計(jì)算機(jī)），共2臺(tái)，為主力。平時(shí)的俯仰和橫滾指令都?xì)w它管。

SEC（擾流板升降舵計(jì)算機(jī)），共3臺(tái)，為替補(bǔ)。ELAC掛了，SEC頂上。

空客對(duì)共因失效（Common Cause Failure）的警惕是幾近到了病態(tài)的程度的，所謂的共因失效，就是兩臺(tái)機(jī)器因?yàn)橛昧送瑯拥男酒蚴峭粨苋藢懙拇a，結(jié)果在同一個(gè)bug面前一起失了智。為了杜絕這種事，空客做了一個(gè)在當(dāng)時(shí)看來(lái)極端的決定。ELAC交給法國(guó)宇航的團(tuán)隊(duì)開發(fā)，跑在摩托羅拉68010處理器上。SEC交給Sfena和Thomson-CSF的團(tuán)隊(duì)獨(dú)立編寫，跑在英特爾80186上。

圖4:A320 飛控系統(tǒng)不是一臺(tái)電腦說(shuō)了算，而是一群互相監(jiān)視、互相接管、也可能互相否定的計(jì)算機(jī)。

就這樣不同的兩撥人，不一樣的兩種芯片，兩套不同的代碼，還互相不通氣。

這種絕不允許兩臺(tái)機(jī)器長(zhǎng)一樣的偏執(zhí)不是憑空來(lái)的。

空客搞A300的時(shí)候，各歐盟成員國(guó)為了壯大本國(guó)的航空工業(yè)的實(shí)力，找了大量學(xué)術(shù)界的專家直接參與跟進(jìn)研發(fā)，還允許他們把設(shè)計(jì)成果寫成學(xué)術(shù)論文發(fā)表。

結(jié)果就是，空客早期的很多系統(tǒng)設(shè)計(jì)可以看出來(lái)是帶著濃厚的學(xué)院派基因的，他們追求理論上的極致優(yōu)雅，但是只要到了下一個(gè)機(jī)型，上一代的設(shè)計(jì)成品經(jīng)常不能直接進(jìn)行復(fù)用，必須要推倒重來(lái)過(guò)。

一位在亞太地區(qū)干了幾十年的資深機(jī)務(wù)跟我吐槽過(guò)：每上一個(gè)新機(jī)型的課，他們整個(gè)機(jī)務(wù)系都?xì)獾醚腊W癢——設(shè)計(jì)原理又變了，連工具都不通用，有點(diǎn)像早年的摩托羅拉手機(jī)，每個(gè)型號(hào)充電器都不一樣。

也正是這種每個(gè)新機(jī)型都敢從零開始的學(xué)院派基因，讓空客在飛控安全架構(gòu)上走到了另一個(gè)極端。A320的異構(gòu)冗余設(shè)計(jì)，就屬于是這個(gè)時(shí)代的產(chǎn)物。

但是這還僅僅只是外面的架構(gòu)。

每臺(tái)計(jì)算機(jī)內(nèi)部還一分為二：一路叫COM（Command，指令通道），負(fù)責(zé)真正計(jì)算舵面該偏多少度，把信號(hào)發(fā)給閥門；另一路叫MON（Monitor，監(jiān)控通道），什么都不干，就負(fù)責(zé)盯著COM。

MON就是個(gè)監(jiān)視者。它會(huì)獨(dú)立算一遍同樣的數(shù)據(jù)，然后和COM的結(jié)果進(jìn)行比對(duì)。

如果對(duì)不上？不會(huì)去問(wèn)原因，直接判定COM有問(wèn)題，切斷輸出，控制權(quán)交給下一臺(tái)。之前我們拆A350剎車那篇文章的時(shí)候就專門聊過(guò)這套邏輯，這里不再展開。

但是要注意的是，COM/MON雙通道架構(gòu)不只存在于飛控計(jì)算機(jī)里。

拿A320上霍尼韋爾提供的慣導(dǎo)系統(tǒng)（ADIRU）來(lái)說(shuō)，在空客的官方手冊(cè)里我們是找不到它內(nèi)部結(jié)構(gòu)的，因?yàn)榭湛桶阉?dāng)成品件采購(gòu)，系統(tǒng)文檔里只標(biāo)接口和輸入輸出，里面怎么設(shè)計(jì)是霍尼韋爾的事。

但是如果翻開霍尼韋爾的設(shè)計(jì)資料，會(huì)發(fā)現(xiàn)內(nèi)部同樣是雙處理器的COM/MON架構(gòu)。一顆處理器負(fù)責(zé)對(duì)激光陀螺儀的原始數(shù)據(jù)做積分運(yùn)算，另一顆在旁邊盯著。

兩邊算出來(lái)的結(jié)果對(duì)不上（比如高空宇宙射線打翻了某個(gè)比特位），這臺(tái)慣導(dǎo)就會(huì)直接把自己的輸出數(shù)據(jù)標(biāo)記為"無(wú)效"，從總線上把自己摘出去，不讓污染的數(shù)據(jù)流到下游。空客手冊(cè)里經(jīng)常出現(xiàn)的慣導(dǎo)內(nèi)部故障（IR Internal Fault），底層很大一部分就是這個(gè)COM/MON不一致觸發(fā)的。

從傳感器到計(jì)算機(jī)，從數(shù)據(jù)源到執(zhí)行端，同一套哲學(xué)貫穿了整架飛機(jī)，這其中任何節(jié)點(diǎn)都不被完全信任，任何計(jì)算都必須有人盯著，只要一旦發(fā)現(xiàn)了分歧，寧可把自己關(guān)掉，也不允許帶著不確定性繼續(xù)往下跑。

好了，這里架構(gòu)講完了?，F(xiàn)在說(shuō)這架ES-SAN號(hào)飛機(jī)身上那個(gè)隱藏了不知道多久的暗傷。

A320的水平安定面（尾部那塊可以整體調(diào)節(jié)角度的水平尾翼，用來(lái)做俯仰配平）通過(guò)一個(gè)叫THSA的作動(dòng)器來(lái)驅(qū)動(dòng)。THSA內(nèi)部有一個(gè)超控機(jī)構(gòu)（OVM），本質(zhì)上是一組離合器和微動(dòng)開關(guān)。

這架飛機(jī)的OVM，在之前某次維護(hù)中被涂抹了一種粘度偏高的潤(rùn)滑油。

潤(rùn)滑油只要一稠，離合器的摩擦力就忽大忽小，微動(dòng)開關(guān)的行程也不夠了，會(huì)出現(xiàn)時(shí)靈時(shí)不靈的情況。

ELAC看到的情況就是配平手輪明明是在動(dòng)的，但是OVM的開關(guān)卻是沒有觸發(fā)的。兩邊的信號(hào)對(duì)不上，ELAC讀不懂當(dāng)前狀態(tài)，直接就報(bào)PITCH FAULT。

其實(shí)在出事之前的幾次飛行里，ELAC 1就已經(jīng)反復(fù)觸發(fā)過(guò)這個(gè)故障警告了。機(jī)組當(dāng)時(shí)沒當(dāng)回事，也沒有去及時(shí)復(fù)位。

15時(shí)05分05秒，飛行教員在滑跑過(guò)程中手動(dòng)轉(zhuǎn)動(dòng)了配平手輪。OVM的開關(guān)又卡了。這次輪到ELAC 2也讀不懂配平狀態(tài)，兩臺(tái)ELAC先后宣布失效。

這下ELAC全退出了，但是飛機(jī)還沒有就此失控。飛控系統(tǒng)自動(dòng)把控制權(quán)交給了SEC 2，控制從正常法則（Normal Law）降級(jí)為備用法則（Alternate Law），部分包線保護(hù)沒了，只是電傳系統(tǒng)還在兜底。

如果故事到這里就結(jié)束了，那么這只是一起普通的飛控降級(jí)事件，寫進(jìn)內(nèi)部安全簡(jiǎn)報(bào)里就好了，不會(huì)有人多看一眼。

但別忘了，前面說(shuō)的那次反彈，飛行教員沒預(yù)位擾流板，主起落架觸地后彈起來(lái)的那一下還在繼續(xù)。

三、1.02秒的臨界線

SEC接管俯仰控制之后，還有一件事要去操心，判斷飛機(jī)現(xiàn)在到底是在地面還是在空中。這個(gè)判斷對(duì)擾流板展開、著陸減速這些架構(gòu)邏輯是至關(guān)重要的。

判斷依據(jù)來(lái)自起落架控制接口單元（LGCIU）。

圖5:起落架支柱壓縮還是伸展，決定系統(tǒng)眼里的飛機(jī)到底“在地上”還是“在天上”。

起落架的減震支柱被壓縮，LGCIU報(bào)告地面，支柱伸展開，卸載了，然后報(bào)告空中。

但是飛機(jī)落地的時(shí)候經(jīng)常會(huì)彈一下，支柱一壓一彈，LGCIU的信號(hào)也會(huì)跟著跳。為了防止這種抖動(dòng)把系統(tǒng)搞亂套了，空客在這套邏輯里還加了一道時(shí)間門檻：

減震支柱卸載持續(xù)超過(guò)1.02秒，才算真正離地，系統(tǒng)切入飛行模式。不到1.02秒的，當(dāng)作彈跳噪聲，直接忽略掉。

而且只要切入飛行模式，系統(tǒng)會(huì)有一段鎖定期。哪怕飛機(jī)很快又落回跑道，支柱重新壓實(shí)，它也不會(huì)立刻切回到地面模式。

這條邏輯在絕大多數(shù)情況下工作沒什么破綻和瑕疵。正常彈跳通常也只有零點(diǎn)幾秒，遠(yuǎn)遠(yuǎn)夠不著1.02秒的門檻。

ES-SAN號(hào)的那次反彈，FDR（飛行數(shù)據(jù)記錄儀）記錄下來(lái)的支柱卸載時(shí)間剛好就在這個(gè)1秒?yún)^(qū)間的附近。但是FDR對(duì)這個(gè)參數(shù)的采樣精度比較有限，沒法精確到毫秒級(jí)。唯一能確定的是，它剛好 在 最敏感的1.02秒這個(gè)區(qū)間。

SEC計(jì)算機(jī)的COM通道和MON通道，他們各自內(nèi)部有獨(dú)立的晶振（晶體振蕩器），時(shí)鐘是異步的（Asynchronous）。它們各跑各的，各自去讀LGCIU發(fā)來(lái)的數(shù)據(jù)。

COM讀本側(cè)LGCIU數(shù)據(jù)每120毫秒一輪，讀另一側(cè)每30毫秒一輪，MON的節(jié)奏和COM又有細(xì)微的差別。

平時(shí)差這幾毫秒根本沒人在意。但ES-SAN的那次反彈，支柱卸載時(shí)間剛好卡在1.02秒的邊界上。這幾毫秒的采樣偏差，就足以讓兩個(gè)通道讀到的數(shù)據(jù)產(chǎn)生分歧，COM那一輪采樣恰好采到了"超過(guò)1.02秒"，判定飛機(jī)離地，切入飛行模式；MON那一輪采樣采到的卻是"沒到1.02秒"，它還認(rèn)為飛機(jī)在地面上。

同一臺(tái)SEC，在同一個(gè)瞬間COM說(shuō)飛機(jī)在天上，MON說(shuō)飛機(jī)在地上。

到了這一步都還沒出事，出事的是后續(xù)的一系列連鎖反應(yīng)。

SEC在飛行模式和地面模式下，對(duì)升降舵用的是完全不同的控制律。

飛行模式下，飛行員拉桿請(qǐng)求的是G值變化，舵面偏多少度由計(jì)算機(jī)自己決定；地面模式下就非常簡(jiǎn)單粗暴，桿量直接按比例映射舵面偏轉(zhuǎn)角。

同一個(gè)側(cè)桿輸入，兩套算法算出來(lái)的升降舵指令差距是巨大的。

MON通道一比對(duì)，發(fā)現(xiàn)COM的輸出和自己差了一大截。

它不會(huì)去琢磨為什么，邏輯里只有一種可能，COM那一路伺服閥指令失控了（Spool Valve Runaway）。

MON會(huì)二話不說(shuō)，直接切斷SEC 2，控制權(quán)轉(zhuǎn)給SEC 1。

但SEC 1讀到的是同一對(duì)LGCIU發(fā)來(lái)的同一組數(shù)據(jù)，它內(nèi)部的COM和MON在幾乎相同的時(shí)刻，經(jīng)歷了完全相同的時(shí)鐘偏差和狀態(tài)分歧。

SEC 1的MON通道同樣判定COM損壞，也把自己切了出去。

兩部SEC在幾毫秒內(nèi)接連發(fā)生離線。兩部ELAC早在此前已經(jīng)退出，接管俯仰控制鏈路的SEC也被切了出去。

整條俯仰控制鏈路，一下變空了。

ECAM顯示器彈出警告：F/CTL L+R ELEV FAULT。

左右升降舵同時(shí)鎖死在0°中立位，側(cè)桿徹底失效。飛控系統(tǒng)掉到最底層的機(jī)械備份模式，PFD上亮起紅色的MAN PITCH TRIM ONLY。

從這一刻起，飛機(jī)的俯仰姿態(tài)完全取決于兩樣?xùn)|西。

一是水平安定面（當(dāng)時(shí)凍結(jié)在1.5°抬頭位置），以及發(fā)動(dòng)機(jī)推力產(chǎn)生的力矩。

二是飛行教員只能靠配平手輪一圈一圈地?fù)u，配合油門調(diào)姿態(tài)，在俯仰角一路飆升的劇烈上仰中把飛機(jī)穩(wěn)住，最終落地。

四、流程殺死流程

現(xiàn)在回看整條鏈路：

OVM的一管潤(rùn)滑油讓ELAC集體撂挑子，SEC被迫接管，然后一次1秒鐘的彈跳恰好卡在1.02秒的臨界線上，讓COM和MON對(duì)飛機(jī)狀態(tài)各說(shuō)各話。

沒有任何硬件損壞，沒有任何代碼bug。每一臺(tái)計(jì)算機(jī)在切斷自己的那一刻，都在嚴(yán)格執(zhí)行設(shè)計(jì)者寫給它的保護(hù)邏輯。

站在MON的角度看，關(guān)掉COM沒有錯(cuò)。伺服閥指令真要是失控了，不關(guān)掉飛機(jī)就完了。

但是MON沒有能力去分辨COM是真壞了還是我們倆看到的世界不一樣。對(duì)MON來(lái)說(shuō)，這兩種情況長(zhǎng)得一模一樣。

寫分布式系統(tǒng)的人對(duì)這個(gè)場(chǎng)景應(yīng)該不陌生。

圖6:航空飛控和分布式系統(tǒng)有一個(gè)共同的噩夢(mèng)：沒有全局時(shí)鐘，各自都認(rèn)為自己看見了真相。

兩個(gè)節(jié)點(diǎn)各自有自己的時(shí)鐘，從同一個(gè)數(shù)據(jù)源采樣，卻在同一個(gè)臨界閾值面前做出了相反的判斷。

狀態(tài)不一致，競(jìng)態(tài)條件（Race Condition）觸發(fā)，然后腦裂（Split-Brain），節(jié)點(diǎn)互相切斷，整個(gè)集群雪崩式垮掉。

工程師們后來(lái)發(fā)明Paxos、Raft這些共識(shí)協(xié)議，本質(zhì)上就是為了盡量避免這類事情，在做決定之前，先確認(rèn)大家看到的是同一片天空。

空客的COM/MON架構(gòu)沒有這個(gè)機(jī)制。MON不會(huì)去和COM打商量，前面說(shuō)了，它只負(fù)責(zé)監(jiān)視。

物理世界在1.02秒的邊界上給了一個(gè)模糊信號(hào)，兩個(gè)通道各自為政，各自得出自己的結(jié)論，MON拿著自己那個(gè)結(jié)論，直接斷掉了COM的輸出。

圖7:這起事故最冷的地方在于：真正觸發(fā)連鎖反應(yīng)的，不是猛烈撞擊，而是一次卡在時(shí)間門檻上的短暫反彈。

這件事就算放到組織管理里也是一樣。

我們想象一家公司，業(yè)務(wù)部門相當(dāng)于COM，審計(jì)部門相當(dāng)于MON。

一線只要出了狀況，兩邊同時(shí)收到了現(xiàn)場(chǎng)報(bào)告，但一般信息傳遞有幾個(gè)小時(shí)的時(shí)差。業(yè)務(wù)部門看著早上的數(shù)據(jù)，覺得事態(tài)升級(jí)了，需要馬上拉響應(yīng)急；審計(jì)部門看到的是中午的數(shù)據(jù)，覺得只是正常波動(dòng)，根本不用動(dòng)。兩邊結(jié)論完全相反。審計(jì)部門會(huì)先問(wèn)一句我們看的是不是同一版數(shù)據(jù)嗎？

不會(huì)。它只會(huì)按流程走，業(yè)務(wù)部門的動(dòng)作和事實(shí)對(duì)不上，判定業(yè)務(wù)失控。

于是熔斷，凍結(jié)，審批暫停。

期間沒有人違規(guī)，也沒人拍腦袋去決定，所有的表格還都填對(duì)了。

最終結(jié)果卻是業(yè)務(wù)停了。

萬(wàn)萬(wàn)沒想到干掉業(yè)務(wù)的，是流程本身。

空客在1.02秒的邊界上踩到的坑，其實(shí)和所有大型組織面對(duì)的困境是一回事。我們?cè)O(shè)計(jì)的每一道安全流程，在它被觸發(fā)的那個(gè)瞬間，往往都是對(duì)的。但當(dāng)好幾道流程在同一個(gè)模糊事件面前各自做出判斷、互相否定的時(shí)候，正確的流程疊加在一起，反而會(huì)把整個(gè)系統(tǒng)給限制住了。

空客后來(lái)專門針對(duì)這個(gè)問(wèn)題做了修復(fù)，思路也不繞彎子，讓COM和MON在判斷起落架地空狀態(tài)時(shí)，走同一套判定邏輯、用同一個(gè)時(shí)鐘基準(zhǔn)，從根子上去消除兩邊因采樣偏差而產(chǎn)生分歧的可能。

但有些補(bǔ)丁雖然能修復(fù)代碼，卻修不了也改變不了這件事真正暴露出的問(wèn)題。這架飛機(jī)上最危險(xiǎn)的東西，從頭到尾都不是那管涂錯(cuò)的潤(rùn)滑油，也不是那次一秒鐘的彈跳。是那五臺(tái)計(jì)算機(jī)之間的那套精密的監(jiān)控機(jī)制。

流程越多越安全？

當(dāng)保護(hù)流程開始互相否定的時(shí)候，復(fù)雜性本身就是最大的單點(diǎn)故障。

這里是「飛機(jī)的賬本」，我們下期繼續(xù)拆解分析那些看起來(lái)很安全、實(shí)際上卻很要命的設(shè)計(jì)。