张仲麟: 空客一半飞机被召回, 是因为太阳?

[文/观察者网专栏作者张仲麟]

12月1日，空客中国发布声明，在中国民航局的指导下，国内各航司已于11月30日前完成全部受影响A320系列飞机的软件降级或相关防护改装，确保所有航班运营平稳正常。

事情还要从11月28日说起，当天空客针对其A320系列客机发布了一次全球范围的召回通知，要求对约6000架在役A320飞机进行紧急修改。这个数量约占全球A320系列机队一半的规模，是空客有史以来规模最大的召回行动，而其中涉及到我国的A320系列客机数量约有1000架左右。

如此大面积的召回，和一次意外有关。10月底，捷蓝航空的A320在一次飞行中，突然不受控地向下俯冲下降高度几百英尺，把所有人给吓了一跳。而一个月后，空客调查清楚了这次意外俯冲的原因，并启动了召回行动以弥补漏洞，而这次召回的罪魁祸首，就是高悬在空中的太阳。

捷蓝航空空客A320飞机（资料图）

太阳与飞机

民航机在万米高空飞行时，会受到比地面高得多的宇宙射线和太阳高能粒子辐射，这是因为大气层在高空变薄，对宇宙辐射的屏蔽作用显著降低。在典型的35000英尺巡航高度，宇宙射线辐射强度约是地面水平的100倍，因此飞机上遭受辐射比地面高是有科学依据的。而当出现太阳耀斑等活跃现象时，太阳高能粒子的密度还会进一步增加，使得辐射量大幅增加。

对于精密的现代电子设备来说，过强的高能粒子辐射并不是一个好事，轻则元器件寿命缩短，重则数据错误产生bug。也因此，飞机上的电子设备往往都需要满足航空级标准，使用高可靠、抗辐射等级的电子元件和容错架构以应对高空辐射带来的影响。例如，采用容错架构（三余度投票机制）、ECC校验存储器和异常检测/校正算法等，以尽量降低单粒子事件对电子系统的影响。

尽管航空制造业已经充分考虑了高空辐射对飞机的不利影响，但往往还是会有一些极端情况的发生，比如这次捷蓝航空的突然下降事件。

这里首先介绍下捷蓝航空是如何在太阳影响下突然失控俯冲的。

太阳高能粒子在穿透飞机并击中航空电子元件时，可能会引发单粒子翻转现象。简单来说，电脑系统内存中储存的数据是由无数的0和1组成，而高能粒子穿透时携带的能量，很可能把某个字节从0变成了1。众所周知，电脑指令就是由一串数据，也即一长串0和1所组成。所以理论上如果运气够好（或者够糟糕），高能粒子导致的数据翻转现象会构成一条错误指令，并被电脑所错误执行。也因此针对这种情况，在加强电子设备的防辐射防护之外，还要使用软件进行校验，将这种错误数据剔除出去。

而捷蓝航空的A320就比较不巧，先是撞上太阳进入活跃高峰期高能粒子大幅增加，而它的升降舵与副翼计算机（ELAC）使用的软件是最新的L104版本。为了提升性能表现，L104版本软件在数据校对这块又弱了点。于是就成了经典的瑞士乳酪模型，太阳高能粒子引发的数据错误穿透了软件校验，并通过ELAC执行在飞机的舵面上，最终导致飞机突然向下俯冲。

你看，飞机的电子设备虽然采用了航空级的设计与器件，但在极端情况下还是遇到了问题。虽然捷蓝航空遭遇的情况往往属于“偶发事件、无法复现、观察使用”，但空客方面还真查出了原因，那自然还是得消除下事故症候，免得别的飞机因为同样原因出了意外，毕竟空客不是波音。欧洲航空安全局的紧急指令显示，这一问题如果不修正，最糟糕的情况下飞机可能发生不受控的升降舵偏转，从而可能做出超出结构极限的过载动作。

太阳辐射带给飞机的潜在威胁远超想象

飞机也要OTA？

正如前文所说，空客A320的ELAC（升降舵与副翼计算机）在L104软件版本中，对太阳高能粒子引发的单粒子翻转数据错误防护存在不足。那么要解决问题无非两种途径：硬件与软件。

硬件方面的方案就是把原来的ELAC给换掉。但这个方案的问题在于短时间内没有那么多部件可以供六千多架A320更换，更别说航材调配以及更换成本会很高，非常不经济。而这一极端情况下才会出现的漏洞，也没到必须要立即更换硬件的地步。空客方面证实，本次事件中问题出在软件上，硬件本身符合规格要求。

而软件方面的方案则是将ELAC的软件进行回滚。太阳粒子引发的单粒子翻转之所以和软件版本挂钩，正是因为软件容错设计在防范此类随机错误中扮演关键角色。新软件版本在提升性能的同时，却中无意间削弱了排除错误数据的能力，才使得以往或可被平稳处理的辐射干扰直接影响了控制指令输出。

也因此，空客给的方案是从较新的L104回滚到上一个更稳定的L103版本。可见“万事不决重装电脑”这一电脑维修界的真理在航空业也一样适用。软件方案不需要更换硬件，并且操作快速迅捷，基本属于有手有设备就行，而且也能解决问题。最终空客的A320召回方案就是：对A320进行全球范围的软件回滚“升级”。

这种方案在如今的新能源汽车中也颇为常见。看似动不动几十万辆汽车召回，但其实都是一个OTA软件升级就搞定了。而A320也是一样，每架飞机平均耗时两个小时就能完成“OTA升级”，然后可以照常恢复飞行。

但是还有一些少量A320老型号由于兼容性问题，无法回滚到指定的L103版本，那就只能更换ELAC硬件了。好在这些老A320数量并不多，只有几百架，对空客来说还算应付得过来，对这些停场等硬件OTA的A320进行特急配送。而更换硬件本质也是为了能运行要求的软件版本（L103）。

还好空客反应快，没有重蹈波音覆辙

稳如泰山的中国民航

由于A320系列在全球民航机队中举足轻重，此次大规模召回不可避免对各地航班运行造成冲击。欧洲航空安全局EASA和美国FAA几乎同步颁布紧急适航指令，要求相关飞机在完成软件修复/硬件更换前不得载客飞行。

消息发布时，恰逢美国感恩节旺季，各大航司被迫在极短时间内安排维护窗口升级软件，一时间航班延误和取消的风险陡增。所幸修复操作相对简便迅速（多数只需数小时），航空公司纷纷连夜行动，使得实际航班中断程度比初期担忧的要小。但日本和澳大利亚航司受到了较大影响，取消了一定数量的航班。

作为A320系列飞机的重要市场，中国民航机队拥有A320近2000架，占据半壁江山。如此庞大的机队理应在本次召回中首当其冲。然而值得庆幸的是，中国民航的航班运行几乎未受到明显影响。

这一成绩的取得，首先归功于各方协同、高效响应的机制。欧洲EASA在11月28日深夜发布紧急适航指令后，中国民航局（CAAC）迅速启动评估程序，并通过适航指令转发的形式，将空客的改装要求同步传达给国内航司。空客积极配合民航局，第一时间向国内24家运营A320系列的航空公司下达了紧急运营通告并提供技术支持。

而各航司则连夜调配维修资源，利用航班过夜整备时间对飞机进行更新。由于此时正处于淡季，11月底并非国内航空出行高峰，再加上航空公司内部机型调配得当，因此即便短暂停飞部分A320，也未出现航班大面积延误或取消，平稳度过这一次大规模OTA。

从空客发布紧急运行通告到完成全部OTA，用时不足48小时。这正体现出民航局和中国航司对安全隐患零容忍、不过夜的严肃态度。可以说，中国民航通过一次成功的实战，展现了应对全球机型适航突发事件的组织能力和执行力：信息通畅、决策果断、行动迅速，从而将对旅客的影响降至最低。

而对商飞C919来说，本次空客A320大规模OTA事件也是个极好的警示和学习。这起事件能平稳结束，证明了高效的售后服务体系是民机竞争力的关键。C919不仅要造得好，更要建立起类似此次中国民航展示出的快速响应与航材保障机制，确保在面对突发适航指令时能迅速消化风险，最大程度保障机队的持续安全运营，从而完成从“产品成功”向“商业成功”的跨越。