3 月 17 日，《西雅圖時(shí)報(bào)》發(fā)表了對波音空難事件的調(diào)查報(bào)道，揭露了波音公司和聯(lián)邦航空管理局（FAA）之間的“曖昧”關(guān)系，以及波音新機(jī)設(shè)計(jì)可能存在的致命問題。《西雅圖時(shí)報(bào)》所暴露的飛機(jī)安全監(jiān)管缺位，飛機(jī)技術(shù)測試、披露和培訓(xùn)存在重大缺陷，已經(jīng)引起了交通部內(nèi)審機(jī)構(gòu)的調(diào)查。

《西雅圖時(shí)報(bào)》曝出的波音安全評估存在的問題摘要如下：

1、對新飛行控制系統(tǒng)的能力輕描淡寫，MCAS 系統(tǒng)的目的在于向下推動(dòng)噴氣機(jī)機(jī)頭以降低失速風(fēng)險(xiǎn)。當(dāng)飛機(jī)開始服役后，MCAS 系統(tǒng)移動(dòng)尾翼的角度四倍于安全分析中聲稱的角度，獅航失事飛機(jī)的黑盒子證明了這一點(diǎn)。

2、波音沒有解釋 MCAS 系統(tǒng)在每一次飛行員反應(yīng)后是如何重置的，因而沒有陳述系統(tǒng)反復(fù)往下壓機(jī)頭的潛在影響。

3、安全評估報(bào)告將自動(dòng)化系統(tǒng)評為僅次于“災(zāi)難性”（catastrophic）級別的“危險(xiǎn)性”（hazardous），但是即便如此，系統(tǒng)也應(yīng)該事前杜絕只從一個(gè)傳感器接受信號，但是波音恰好沒干這件事。

圖 | MCAS 系統(tǒng)在 737 Max 新機(jī)上的運(yùn)行機(jī)制（來源：《西雅圖時(shí)報(bào)》）

埃航空難靜悄悄

在 3 月 10 日 737 Max 第二次墜機(jī)事故前，波音和 FAA 對于機(jī)動(dòng)特性增強(qiáng)系統(tǒng)（MCAS）的安全評估內(nèi)情都十分清楚，當(dāng)時(shí)《西雅圖時(shí)報(bào)》向波音詢問內(nèi)情，但未獲回應(yīng)。

空難發(fā)生后的 3 月 15 日，F(xiàn)AA 聲稱，該機(jī)構(gòu)遵循了 737 Max 安全認(rèn)證的標(biāo)準(zhǔn)流程。當(dāng)時(shí)的發(fā)言人還表示，F(xiàn)AA 日理萬機(jī)，不能進(jìn)一步做深入的調(diào)查。

次日，波音表示，F(xiàn)AA 認(rèn)為 Max 認(rèn)證期間的配置和參數(shù)沒毛病，波音的 MCAS 系統(tǒng)符合所有安全認(rèn)證和監(jiān)管層的要求。除此之外，波音對于 MACS 系統(tǒng)的具體問題諱莫如深，表示事件調(diào)查正在進(jìn)行，不能透露。

FAA 內(nèi)部一些技術(shù)專家表示，印尼政府在去年 10 月份的獅航空難中已經(jīng)明確暗示，MCAS 系統(tǒng)是 FAA 飛機(jī)安全認(rèn)證不合格的證明，波音自己造飛機(jī)，波音員工自己檢查認(rèn)證飛機(jī)的安全性，這是極其不合理的。

不同于波音以往給飛行員完全自主可控的飛行權(quán)力，Max 的新 MCAS 自動(dòng)飛行控制系統(tǒng)被設(shè)置成無需飛行員操控，就自動(dòng)執(zhí)行程序。波音之所以這么做，是因?yàn)?MAX 發(fā)動(dòng)機(jī)更大，被安裝到了機(jī)翼上，這改變了機(jī)身的拉升力。這套自動(dòng)化系統(tǒng)，只有在失速情況下才會被自動(dòng)激活，MCAS 強(qiáng)壓機(jī)頭這一操作，使得飛行員體驗(yàn)到和飛舊款 737 機(jī)型同樣的感覺。

FAA 將飛機(jī)安全認(rèn)證交給波音自己？

因?yàn)槿卞X缺資源，近幾年 FAA 越來越多地將安全認(rèn)證工作交給飛機(jī)制造商自己完成。在 FAA 內(nèi)部，之前因?yàn)榕鷾?zhǔn)波音新機(jī)型和改版機(jī)型的安全事宜，員工內(nèi)部已經(jīng)出現(xiàn)了意見分歧，一些員工害怕被打擊報(bào)復(fù)。在 737 Max 機(jī)型開發(fā)之前，F(xiàn)AA 內(nèi)部這種消極的工作環(huán)境就已存在已久。

2015 年，當(dāng)波音急于追趕空客，謀求快速認(rèn)證 737 Max 之時(shí)，F(xiàn)AA 力推將一些安全檢測任務(wù)委托給波音自己，以快速出具安全分析報(bào)告。隨著 737 Max 交付至世界各地，這一報(bào)告交給了歐洲、加拿大等地航空局。

早在 737 Max 認(rèn)證工作開始，F(xiàn)AA 工程師團(tuán)隊(duì)就將技術(shù)評估工作委托給了波音，而不是把這些重要的工作留在 FAA 體系內(nèi)。FAA 一些內(nèi)部技術(shù)專家還證實(shí)，隨著認(rèn)證工作的展開，經(jīng)理們讓他們加快進(jìn)度，因?yàn)?737 MAX 的進(jìn)度落后于空客 A320 neo 9 個(gè)月，當(dāng)此關(guān)頭，分秒必爭。一位前 FAA 安全工程師回憶道：管理層要求重新評估哪些工作可以委托出去，他們認(rèn)為 FAA 自己保留的工作太多了。關(guān)于“安全外包”給波音自己的討論沒有間斷，一項(xiàng)接一項(xiàng)。到了后來，審查波音自己提供的報(bào)告這一環(huán)節(jié)的時(shí)間都被大大縮短，為了沖時(shí)間節(jié)點(diǎn)，他們沒時(shí)間看了。當(dāng)安全評估專員沒時(shí)間看波音的報(bào)告的時(shí)候，經(jīng)理們會草草簽字，或者把報(bào)告打回波音讓他們自己審。畢竟，管理層擁有決定權(quán)，而非技術(shù)專家們。

在這樣的“安全外包”的工作氛圍下，MCAS 系統(tǒng)安全分析報(bào)告在堆積如山的文件里顯得不起眼，最后被打回波音讓他們自己審。

波音提供給 FAA 的原始文件表明，攻角最大為 0.6 度。在飛行測試后，攻角被大幅增加，這樣尾翼才有足夠的力量扭轉(zhuǎn)失速局面。但是飛機(jī)在大幅提高攻角之后究竟如何表現(xiàn)，這是難以預(yù)測的。獅航事件后，波音向航司披露的 MCAS 攻角為 2.5 度，F(xiàn)AA 官員和各國監(jiān)管機(jī)構(gòu)對這個(gè)數(shù)字都是聞所未聞，因?yàn)樗麄冎灰娺^ 0.6 度的攻角。

FAA 前安全工程師表示，像在飛行測試后修改攻角這類行為必須及時(shí)披露，波音沒有上報(bào)最大攻角數(shù)據(jù)不合規(guī)矩。而波音的飛行控制工程師認(rèn)為，波音這一行為，說明波音的安全評估人員并不認(rèn)為在修改了最大攻角參數(shù)后會對飛機(jī)造成災(zāi)難性的影響。

單傳感器系統(tǒng)故障造成“災(zāi)難性”空難

對于民航客機(jī)來說，飛機(jī)的設(shè)計(jì)是靜穩(wěn)定的。在波音公司向聯(lián)邦航空局提供的原始文件中，有這樣一份說明，其中規(guī)定 MCAS 系統(tǒng)可移動(dòng)水平翼的限制為 0.6 度，讓飛機(jī)機(jī)頭下掉的最大物理限制為 5 度。

而波音關(guān)于 MCAS 系統(tǒng)安全分析的底線是，在正常飛行中，MCAS 的最大假設(shè)權(quán)限為 0.6 度被激活，就歸類為“重大故障”，這意味著它可能會對飛機(jī)上的乘客造成身體傷害，但不會導(dǎo)致死亡。

在極端情況下，特別是當(dāng)飛機(jī)處于傾斜下降螺旋時(shí)，激活 MCAS 被歸類為“危險(xiǎn)性”等級故障，這意味著它可能對少數(shù)乘客造成嚴(yán)重或致命傷害，但仍然比“災(zāi)難性”低了一級，后者代表飛機(jī)損失大量人員遇難。但在波音 737 Max 上，靠單一傳感器的信號，就可以阻止飛行控制系統(tǒng)的啟動(dòng)，而這套系統(tǒng)恰恰是這樣設(shè)計(jì)的。

（圖片來源：The Air Current 網(wǎng)站）

據(jù)了解，波音 737 Max 上的 MCAS 系統(tǒng)，在基于速度配平系統(tǒng)（Speed Trim System, STS）的基礎(chǔ)上增加了一個(gè)新功能。簡單來說，當(dāng)在全重小、重心靠后且推力大的操作條件下，駕駛員需要手動(dòng)激活系統(tǒng)，提高飛行性能，減少“機(jī)翼一頭跑”這種情況的發(fā)生。

STS 通過指令，將速度以相反的方向移動(dòng)，使飛機(jī)返回到配平的速度。而 MCAS 系統(tǒng)，是將原本的速度配平模式中的當(dāng)前空速+迎角來指令，變成單純根據(jù)迎角來指令安定面配平，而且，波音 737 Max 上，只要有一個(gè)迎角的指令，就可以激活 MCAS 系統(tǒng)。

所以，當(dāng)駕駛員駕駛波音 737 Max 過程中，擁有 ST 以及 MCAS 這兩個(gè)模式的速度配平系統(tǒng)。平時(shí)，速度配平系統(tǒng)工作在 ST 模式，在接近失速的時(shí)候需要轉(zhuǎn)換成 MCAS 模式。但在這次事故中，波音沒有更改速度配平系統(tǒng)的數(shù)據(jù)源邏輯，只使用一側(cè)迎角探頭的數(shù)據(jù)，使得 MCAS 有機(jī)會異常激活。

而根據(jù)《西雅圖時(shí)報(bào)》的報(bào)道，代表 FAA 參與 737 Max 認(rèn)證的前波音飛行控制工程師表示，一架飛機(jī)上的系統(tǒng)是否可以依賴一個(gè)傳感器輸入，還是說必須有兩個(gè)傳感器輸入，都由系統(tǒng)安全分析中的危險(xiǎn)評估分類所決定。

激活 MCAS 被歸為“危險(xiǎn)性”等級，其要求故障概率小于一千萬分之一，通常必須至少有兩個(gè)單獨(dú)輸入渠道，以防止其中一個(gè)出現(xiàn)故障。

與所有 737 一樣，Max 實(shí)際上有兩個(gè)傳感器，位于駕駛艙附近的機(jī)身兩側(cè)。但在埃塞俄比亞空難發(fā)生之前，MCAS 系統(tǒng)只是從其中一個(gè)感應(yīng)器中讀取是否激活，在 MCAS 系統(tǒng)使用過程中，由于機(jī)翼的角度一直偏，從未反饋給駕駛員，或者發(fā)生任何警報(bào)。

就目前來看，在波音 737 Max 上的 MCAS 系統(tǒng)激活前，感應(yīng)器并沒有給出正確的指令，駕駛員只通過一個(gè)感應(yīng)器提供的迎角度數(shù)，指令激活 MCAS 系統(tǒng)。而在激活之后，角度越來越傾斜，與機(jī)體本身的行駛狀態(tài)并不一致，所以才會造成這樣一起事故。

根據(jù)初步調(diào)查報(bào)告中提供的黑匣子數(shù)據(jù)顯示，兩個(gè)傳感器的讀數(shù)相差約 20 度，而且在起飛前、飛機(jī)在地面上滑行時(shí)也是如此，未曾改變。

而在這種危險(xiǎn)情況發(fā)生之后，波音 737 Max 并未有兩套解決方案，以應(yīng)對緊急情況。所以，在駕駛員不知所措的情況下，才會釀成如此大禍。

專業(yè)培訓(xùn)缺乏，終釀成大禍

非常有趣的是，波音的高傲姿態(tài)在駕駛員培訓(xùn)上發(fā)揮得淋漓盡致。在印尼獅航空難之后，世界各地駕駛波音 737 Max 飛行員才從新聞當(dāng)中才被告知，MCAS 系統(tǒng)存在的風(fēng)險(xiǎn)，以及如果 MCAS 系統(tǒng)被異常激活，該如何處理。

在此之前，從未有過任何官方的相關(guān)專業(yè)培訓(xùn)。波音公司堅(jiān)持認(rèn)為，獅航的飛行員應(yīng)該已經(jīng)認(rèn)識到水平穩(wěn)定器的運(yùn)行是不受影響的，并且應(yīng)該采用標(biāo)準(zhǔn)的飛行員檢查表，來處理“穩(wěn)定器失控”的極端情況。

由于 MCAS 系統(tǒng)只能在遠(yuǎn)遠(yuǎn)超出正常飛行范圍的極端情況下激活，波音公司決定不需要對駕駛波音 737 Max 的飛行員進(jìn)行額外培訓(xùn)，即使在飛行手冊中，也沒有提到如何處理異常激活下的處理方式。

美國航空公司盟軍飛行員協(xié)會的發(fā)言人 Dennis Tajer 對《西雅圖時(shí)報(bào)》的記者表示，他從舊的 737 NG 駕駛轉(zhuǎn)向新的 737 Max 的培訓(xùn)，只需要在 iPad 上進(jìn)行一小時(shí)的會議，就完成了培訓(xùn)，并不需要在模擬器上駕駛一段時(shí)間。

在埃塞俄比亞空難發(fā)生之后，美國西南航空公司飛行員協(xié)會批評波音公司在 737 Max 飛行員手冊中沒有提供有關(guān) MCAS 系統(tǒng)或其可能發(fā)生異常激活等故障信息，以及解決辦法。

就目前來看，在埃塞俄比亞空難當(dāng)中，由于駕駛員沒有在飛行前得到關(guān)于這個(gè)飛機(jī)的全部信息，最終發(fā)生如此大的事故，而波音公司沒有妥善地處理故障問題，加大對飛行員的回訪、培訓(xùn)力度，這都是波音推卸不了的責(zé)任。對于整個(gè)航空業(yè)和波音公司來說，都是一次血的教訓(xùn)。

此次調(diào)查最終會引向何方，仍未可知。但毫無疑問的是，波音、FAA 和美國交通部的公信力已經(jīng)大打折扣。接下來，或許就該美國司法部出場了。