全美航班停飞！不是恐袭，也不是飞机故障，更不是机场瘫痪，11月13日，美国联邦航空管理局（FAA）下令全国地面停飞：

“禁止美国境内所有航班起飞，已经在空中的航班可以继续飞往目的地，入境国际航班单独评估、酌情放行”

这个事情就有点大条了，正常情况下全美每天有1.1万架次飞机往来于美国各个机场，这次停飞影响旅客超过150万人，至少有600架次的航班被迫改降或者返航。因为大量航班延误、取消，芝加哥、丹佛、达拉斯、华盛顿等航空枢纽已经陷入混乱。

估计全世界都懵了，这美国到底怎么回事？中期选举刚结束，民主党和共和党斗争从选举口号到落地白热化，难道要发生超级大事件了？

如果真是这样的话就不是草台班子了！从目前公布的原因来看，应该是“全美航路交通管制中心通信链路故障，受影响的是空管和飞行员之间无线电通信网络”，鉴于FAA的航空安全规则：

“空管无法可靠和机组通信时，就不能放行新起飞航班，防止失去指挥、冲突相撞，所以FAA直接下全国地面停飞，属于标准安全兜底操作。”

FAA这个操作没毛病，但问题是作为全球航空保障与安全等级标杆的美国，怎么会发生如此大面积故障？动不动就是全美，一点故障隔离的技术都没有吗？

据目前多个媒体分析的故障，最有可能的方向有三个：

其一是软件更新引发的故障，目前多个媒体援引知情人士的话称，调查重点已经指向软件系统升级，配置变更导致，升级后通信节点大面积异常；FBI和国土安全部公开表态：目前没有迹象是网络攻击、恶意入侵，但调查没有完全排除该可能性。

其二是硬件或者传输链路以及运营商骨干网故障，这个也不能排除，但可能性比较低，因为运营商骨干网全面故障的概率相当低，并且这种级别的链路都能自动选用备用路径绕开故障点，即使真有某个区域断了也不会影响其他节点，某个区域节点断了也只是影响面积大一些，全美航空通讯网络都出现故障，的确是软件可能性更大。

美国的这套航空管制系统最早是1958年建立的，当时叫NAS（国家空域系统），规划相当全面，包括空域规则、设施、通信、雷达、自动化，甚至还包括人员操作与具体流程。整个体系规划并不是一个全美一张网，而是分布自治的管制体系，就是需要区域对接与协调。

之后随着美国航空领域爆炸性发展，这套系统早就不堪重负，NAS的子系统被逐个替代。

比如在1967年全面上线的ARTCC核心自动化管理系统HOST，在不断升级后，终于在2015年被洛克希德·马丁研发的航路区管ERAM代替，终端进近TRACON自动化的ARTS是在1996年被雷神研发的STARS代替。

还有早期大洋人工估算航迹的老系统，被洛马研发的ATOP航路规划在2005年全面替代。不过系统升级了，但是整体架构上还是没改，都是各种“分布式子系统”，通过全美骨干通信网沟通协调。

另外FAA还在2003年规划下一代空管系统，这是早期NAS系统的增量现代化改造，包括前面的部分规划已经落地，但核心部分并未结束，因为推进缓慢，FAA已经把NextGen办公室给撤了，新的项目叫BNATCS，估计将于2028年交付全新一代基础设施。

不能说系统太老旧，也不能说FAA升级的不够勤快，航空管制本来就是一个超长周期并且不允许间断的系统，这么多年来持续运行持续升级！但是架不住这种早期分布式架构，怎么说吧，这问题还挺严重。

比如全美有22套ERAM，单个ARTCC（自动航路）计算自己的航迹、冲突计算是在本地跑的，飞机跨区移交，AIDC报文，飞行计划同步等走的还是全国专用骨干通信网。

这个网络没毛病，并且故障时BGP/OSPF动态路由支持自动绕路，但这个AIDC空管移交不是简单的数据包转发，是业务层会话 + 状态机制的移交，依赖服务器层面的会话层，如果服务挂掉或者因为升级造成原有协议的数据包无法识别，那么就会造成各空管区域之间无法沟通，被切成一个个孤岛，就像这次事故一样。

另一个是这套系统厂商非常复杂，包括ERAM（洛马）、STARS（雷神）、ATOP、NOTAM、TFMS、语音交换系统，这些子系统都是不同年代、不同承包商单独开发，每一次升级、补丁、版本变更，都要做大量跨厂商联调，隐藏兼容性bug非常多，一旦测试不完全，那故障就会在上线时候全面爆发，GAO多次指出：集成测试不足，每次都依赖后期现场修bug。

NextGen就是这个原因挂掉的，因为是增量改造不涉及架构，包袱实在重，并且对接的还不只是航空管制系统，还有飞机上的通信系统，所以NextGen就干不下去了，BNATCS就好很多，是分布式部署的同一套系统，至少报文链接肯定是没问题了。

但这套系统要到2028年才会部署！这次故障应该和2023年全美航班停飞那次不一样，上次是航空情报通告系统NOTAM故障无法同步，那个只是外围系统，这次可能涉及核心跨区通信系统部分，问题有点大了！