[论文解读] A Promise Theoretic Account of the Boeing 737 Max MCAS Algorithm Affair

J.A. Bergstra, Mark Burgess|arXiv (Cornell University)|Dec 24, 2019

Air Traffic Management and Optimization参考文献 18被引用 9

一句话总结

本文运用承诺理论分析波音737 MAX MCAS软件事故，将系统故障视为波音、FAA、飞行员与软件等各主体之间承诺的破裂。研究揭示，波音关于MCAS并非失速保护系统的虚假承诺破坏了信任，是导致空难的重要原因，主张在关键安全系统中采用基于承诺的透明机制。

ABSTRACT

Many public controversies involve the assessment of statements about which we have imperfect information. Without a structured approach, it is quite difficult to develop an approach to reasoning which is not based on ad hoc choices. Forms of logic have been used in the past to try to bring such clarity, but these fail for a variety of reasons. We demonstrate a simple approach to bringing a standardized approach to semantics, in certain discourse, using Promise Theory. As a case, we use Promise Theory (PT) to collect and structure publicly available information about the case of the MCAS software component for the Boeing 737 Max flight control system.

研究动机与目标

• 为复杂系统故障的公共辩论提供结构化、非技术性的分析工具，尤其针对关键安全软件系统。
• 探究关键主体（尤其是波音公司）的错误或误导性承诺如何导致两起737 MAX飞机的MCAS相关空难。
• 证明承诺理论为评估人机系统中信任、一致性与责任提供语义清晰且可扩展的框架。
• 挑战公众将MCAS视为失速保护系统的普遍认知，揭示波音明确否认其功能角色（承诺3.3）在故障分析中的核心作用。
• 倡导在软件密集型系统的认证与事后分析中整合基于承诺的推理，以提升透明度与系统安全性。

提出的方法

• 将737 MAX系统建模为由波音、FAA、飞行员与软件等主体通过明确承诺相互作用的网络。
• 将承诺分类为“行为承诺”（+）或“行为接受”（-），并考虑其精度与一致性。
• 分析波音公司所作承诺（如MCAS并非失速保护系统）的真实性，并评估其是否被履行或违背。
• 以透明度为核心机制：未履行的承诺被暴露为系统失败，当承诺模糊或虚假时，公众信任随之瓦解。
• 运用承诺理论的语义机制解构公共话语，避免依赖形式逻辑或过度技术性术语。
• 绘制人类与机器主体之间的责任链条，强调系统安全取决于所有层级主体对承诺的遵守。

实验结果

研究问题

• RQ1 承诺理论如何用于结构化并澄清公众对复杂、高风险系统故障（如737 MAX空难）的讨论？
• RQ2 波音公司明确承诺MCAS并非失速保护系统（即承诺3.3）在软件功能的开发与认知中起到了何种作用？
• RQ3 为何传统形式逻辑与技术检查清单无法捕捉人机系统中信任与责任的细微差别？
• RQ4 承诺的一致性——尤其是模糊或误导性承诺——如何影响系统安全与公众信任？
• RQ5 基于承诺的理论框架能否改善飞行操纵电传飞机等软件密集型系统的认证流程与事后分析？

主要发现

• 波音公司所作承诺（承诺3.3）称MCAS并非失速保护系统，该说法为假，且是事故分析的核心，因MCAS的实际行为与失速保护系统完全一致。
• 公众与技术界常将MCAS与失速保护系统混为一谈，形成一种误导性的‘临时关联’，掩盖了真正问题：承诺的破裂。
• 承诺理论揭示，系统安全不仅取决于技术正确性，更依赖于系统主体所作承诺的完整性与清晰度。
• FAA的认证流程基于检查清单，未能识别结构性风险，因其未分析系统各层级间的承诺关系，亦未评估承诺的一致性。
• 误导性或模糊的承诺——尤其是由波音等强势主体作出的承诺——即使技术规格正确，仍可能破坏信任并导致灾难性后果。
• 承诺理论为人机系统复杂、不确定且高风险的故障在公共话语中的分析，提供了一种实用且语义清晰的替代形式逻辑的方案。