突发！美军一架F-35A坠毁，又是早期批次飞控问题？

一架单价约1.5亿美元的F35A，在内华达州内利斯空军基地附近靶场上空突然坠落。飞行员在无线电里报告“机动困难”后，随即进行弹射并成功生还，仅受轻伤；飞机则在荒漠中解体成残骸。飞行员先反馈操纵层面出现异常，之后在短时间内被迫放弃飞机。

“机动困难”这四个字本身分量很重。战斗机的重大异常通常可以归到三类：一是发动机推力相关问题，二是结构、液压或机械系统方面的问题，三是“控制与感知的大脑”出问题，也就是传感器、计算机与飞控逻辑这一整套链路发生偏差。

F35并不只是电传操纵，而是把大量动作的“解释、裁决与执行”交给软件与控制律来完成。飞行员拉杆或蹬舵，更多是在向计算机提交操纵意图；至于舵面如何偏转、偏多少、以多快速度去执行，会由飞控系统综合数据后再进行决策。

这种机制在正常状态下确实很“省心”：稳定性更强、操控更精细，还能在高机动边界附近把风险压住。但只要感知层数据出现偏差，后续的判断就可能被带偏，并在很短时间内放大成严重后果。人的直觉在发现异常时往往会犹豫、会纠正；算法一旦在错误数据上形成“自信判断”，就可能给出同样自信但方向错误的控制指令。

这次坠机不太可能被当作一般意外轻轻带过。内利斯更像美国空军的高强度“考场”和“试验场”：测试评估、武器学校训练、高级飞行员培养、对抗演练等任务密集，特点就是把飞机往难处用、往极限用，通过高压使用把潜在问题尽早暴露出来。飞机通常不怕飞行本身，反而更怕长期在高强度、复杂科目下被持续“折腾”，因为这会把系统薄弱点更快逼出来。

内利斯的F35机队整体偏“早期批次”。这类飞机在软件版本、硬件配置以及可升级空间上，和近年更成熟的批次存在差异。有些承担对抗任务的机体还可能被刻意限制部分能力，用来“扮演对手”。从训练角度看这很有价值，但从风险组合上看，就会出现“版本不新、状态不满、任务强度还很高”的叠加效应，故障暴露概率也会随之上升。

F35近年的坠机与严重事故里，飞控与数据链路相关的影子反复出现。2022年10月，犹他州希尔基地的事故就较典型：编队进近过程中遭遇前机尾流扰动，飞行员原本认为影响有限，但空气数据输入出现错误，计算机对飞行状态做出误判，舵面随即产生快速且幅度很大的异常偏转。

2025年1月阿拉斯加的事故更像“连锁反应”的示范案例：液压油受水污染，在极寒环境下结冰；起落架相关问题进一步牵出重量传感器误判，系统判断飞机“在地面”，飞控因而切入地面模式，而飞机实际仍处于四百多公里时速的飞行状态。飞行员与厂家工程师通话接近50分钟，尝试多种处置并进行触地复飞，仍未能挽回，最终在跑道附近低高度弹射。

2020年5月埃格林基地的事件同样带有软件逻辑色彩：着陆阶段尾部控制面出现与飞行员输入不一致的表现，飞控软件触发了“此前未发现的异常”，系统进入饱和后呈现机头向下的趋势，飞行员指令难以有效传递到飞机响应上。

系统越智能，越依赖数据；越依赖数据，越需要数据可靠；越把控制权交给算法，越需要确保算法在关键几秒内不会做出错误但高置信度的判断。在某些架构里，飞行员的直觉与肌肉记忆可能会被系统逻辑覆盖；当需要强行夺回控制时，权限边界又可能不允许“硬拽回来”，这就把风险集中到了极短的处置时间里。

F35的软件从早期Block版本一路迭代，补丁、控制律调整与硬件更换都在同步推进，方向是正确的，但代价非常高。早期批次机要追上最新状态，往往不是简单更新软件，而是涉及传感器、算力资源、航电组件等多方面协同更换。

科技能力越强，越要敬畏系统边界。手机系统的小Bug通常只是卡顿重启；战斗机系统的一个小Bug，可能就是人员生死与价值巨大的残骸。在“软件当硬件用”的时代，可靠性并不靠口号，而是要依靠一轮轮验证、升级与复盘，把风险一点点关进制度与工程的笼子里。当系统越来越复杂、越来越快、越来越智能，控制权应该交出去多少，又该用多严格的规则把它约束在安全范围内。