MCAS引发坠机事故的分析与预防

半自主(SA)系统面临着确定优先采纳何方控制输入的挑战，无论是来自人类操作员还是自主控制器，尤其在二者相互冲突时。尽管人们可将SA系统设计为默认接受某一方的控制，此类设计选择在安全关键场景中可能导致灾难性后果。例如，自主控制器所依赖的传感器可能因人为篡改或自然故障而提供错误的环境信息。另一方面，人类操作员也可能给出错误输入。为更好地理解这一安全关键设计选择的后果与解决方式，我们研究了一个因静态控制权分配而失效的SA系统具体案例：广为人知的波音737-MAX机动特性增强系统(MCAS)，该系统导致了狮航610航班与埃塞俄比亚航空302航班的坠毁。首先，通过代表性仿真，我们分析并展示了原始MCAS设计轻易失效的可能性。我们的分析给出了飞机在MCAS故障下可恢复性最稳健的公开分析，为超出原始坠机事件的那些场景提供了边界。我们还分析了波音更新后的MCAS，表明其未能达成预期目标，且继续依赖易出故障的静态控制优先级分配。利用这些见解，我们提出半自主MCAS(SA-MCAS)，一种既满足MCAS预期目标又避免困扰两种MCAS设计的失效情形的新MCAS。我们展示了SA-MCAS即便在人类与自主操作员提供冲突控制输入时，也能对飞机做出更安全且及时的控制决策。