被疑酿成波音737MAX空难 飞控软件上天前要经历大考(2)

　　“仿真试验会模拟实际飞行中可能遇到的多种状况，如暴风、雷雨等恶劣天气以及传感器等电子器件故障等，以确保飞控软件的可靠性达到设计要求。”李大伟说。

　　仿真试验通过后，飞控软件将走出实验室，走向应用测试阶段。联合调控是飞控软件首先接受的检验，飞机上装有很多软件，测控、导航、动力系统等，飞控软件必须与这些“小伙伴”友好相处。此外，飞控系统还兼有飞机“大脑”的功能，负责各个系统之间的数据传输、指令配合和系统检测等工作。

　　紧接着，包括飞控软件在内的所有机载软件将迎来一次“大考”——地面联调。飞机虽不会起飞，但会全程通电，以测试机载软件功能和性能。工作人员则会在此期间不断发现并改善缺陷，直至满足设计要求。“地面联调往往耗时很长，短则几个月，多则半年甚至更长。”李大伟说。

　　联调通过后，还要经过全机首飞、科研试飞、鉴定试飞、交付试飞等一系列既定试飞流程，最后获得相关部门颁发的飞行资质，飞控软件才算有了“上岗资格”。

　　严格、繁琐的研发、测试、应用流程为飞控软件上了一层又一层“保险”，但鉴于飞控软件一旦出现错漏，就有可能导致乘客生命安全受到威胁，研究设计人员还会通过余度设计等方式保证其绝对安全。

　　“与其他普通的工业软件不同，飞机飞控核心模块往往会有备份系统，也会设计多个传感器同时测量同一数据，因此即便在实际飞行中出现错漏，也会有替补来‘拨乱反正’。”李大伟说。

　　信息功能安全融合带来挑战

　　然而，即使再缜密的测控流程，也只能将风险控制在无限接近于零，而非真正的零，否则也就不会有波音的两次空难了。“事实上，由软件引发的灾难性事故屡见不鲜。”闫怀志说。

　　1996年，阿丽亚娜5型运载火箭因软件缺陷导致火箭偏轨，不得不“自我摧毁”；2000年，巴拿马引进美国治疗规划软件，由于其辐射剂量预设值有误，导致多名癌症患者接受超标剂量辐射致死；2011年，温州动车事故，因信号设备雷击故障导致动车相撞，软件设计缺陷难辞其咎。

　　这些安全问题，都属于传统的功能安全问题。“随着工业化和信息化的深度融合，物理空间和信息空间不断相互渗透和融合，信息物理系统大量出现，使得因软件缺陷而导致的系统安全问题层出不穷，呈愈演愈烈之势。”闫怀志指出，软件因素导致的安全性问题进一步体现为信息安全和功能安全二者的融合，给信息系统的安全防范工作增加了很大难度。

　　如何规避软件故障带来的安全风险？

　　在闫怀志看来，应从技术和管理相结合的系统整体安全角度来考虑问题。首先是形成整体安全观，充分考虑物理安全、功能安全、信息安全及其融合问题。其次，应将软件安全作为系统需求分析、设计、实现、运维范畴的重要考虑因素，同时尽可能避免软硬件之间的故障传播引发级联事故。再者，应从系统体系结构、算法等方面，采取容错、容侵、容灾等预防及补救措施，同时还应充分重视并发挥人在“人—机—环境”闭合反馈循环链条中的主观能动性。

　　“同时，相关工作人员还应练好‘内功’，即提升相关软件的自身信息安全性和功能安全性；同时，做好外部连接通道的安全监控工作，防备互联网‘黑手’伸向飞机、汽车、铁路等大型工业应用系统。”闫怀志说。