波音给出“错误”数据，影响评估结果; K" j) V! [" S3 u5 G8 Y
- ]+ s& Z- }* b, x2 t3 Y7 h. Q
8 b) h- A. N1 X; p7 Z- L* S/ [
0 @$ H" D3 ]) G: U1 Q
在这种氛围下，MCAS的系统安全分析，仅仅是认证工作所需要的海量文件中的一部分，但被交给了波音公司。
' R) P" C' I; f% R$ v& Z
) @1 u- w& `' W9 p* h5 u" k0 v" E/ @' H4 e7 b) E. i' }
1 K/ o8 W! Q5 H, ^6 f! T
波音公司向联邦航空局提供的原始文件中这样有一份说明，其中规定MCAS可转动水平尾翼的限制为0.6度，让飞机机头下掉的最大物理限制为5度。' E& l1 n' d2 R$ ~/ X( V& M1 O& t7 N. @
' R3 c4 Q2 s& g" X" X8 N' A
% _: H2 M: ]0 ^
2 w8 V) ^* D/ C7 j# G* \
但是，在印尼狮航坠机后，波音公司首次向航空公司提供有关MCAS的详细信息公告中称，MCAS的权限为2.5度。$ M. G/ g' |* m2 P
8 Q& A+ L5 W1 K4 x9 X! g% s' g: U" k
' s N6 S) I0 E) G# B9 w
这个数字对于FAA的工程师来说是全新的，他们在此前的安全评估中只获知的是0.6度。
4 e) T) o; U+ e# Z
@) Z1 F: h, o1 X
' F% S4 G6 j% h* O B! ?1 }( a
: |; a0 E1 I% J一位FAA工程师表示，“FAA认为这架飞机的设计极限是0.6，这和其他外国监管机构知道的一样”，“这个数字会对飞机涉及的危险评估产生影响。”0 n v3 @' h5 q+ d8 B l" S
, `8 U/ |+ u8 u2 M: x" k9 g8 F0 ~
( i) r+ W5 C; H2 G2 J( T
+ A6 F. f8 T8 t5 z2 Z
: l. j5 `, P$ Y) w. r z& f1 R4 K' y0 T- `/ _8 k* T; a
D; A; e( C, q% r2 N
8 k* j9 |6 [9 n9 h! u j- B
更高的限制角度意味着，每次触发MCAS启动时，都会导致比原始安全分析文档所显示的出现更大角度的尾翼运动。
8 ?* N$ K' c$ @. T1 {3 v& m, y! s2 n/ g ^
0 B/ ?- S8 |4 }! s0 o
) P( c+ o. o. }9 A j0 }' s M! P) \曾参与MAX客机认证的前FAA安全工程师，以及作为FAA授权代表参与MAX工作的前波音飞行控制工程师都表示，这些安全分析数据必须得到更新，从而反映飞机测试中最准确的飞行信息。9 c1 f( @6 n p Q: {. A# ^! |
/ u5 L5 f# A" k, s- b. o, e, M9 O) o2 g3 b% p& ^
0 I* Z T* T, R前FAA工程师表示，“这些数字应该与飞行测试和飞机配备的任何设计相匹配。”0 D8 V0 a; d9 S- m- a0 Z0 \) n- i9 q
6 I+ L) W/ w( k2 g) R
) R: o1 X$ N2 R X$ B$ y, A7 }3 [8 t) l& }# ^0 D' q' `! a. z
不过，前波音飞行控制工程师也称，“最新的数字有可能不会出现在报告中，因为只要他们在审查后认为这些差异不会改变结论或增加危险评估的严重性。”
7 Q; E; d( `; G; j
* m4 M1 j* I* K7 [9 ]9 { t; j) R3 i: u$ t' H. |+ O6 A
; o: E$ o2 W5 h如果最终的安全评估文件做了部分更新，那么在文件中的某些地方肯定仍然包含0.6度的限制，并且这个更新没有在FAA技术评估小组中被广泛告知。; l4 o- e$ s; A
* o7 a; @2 P/ {1 E9 p' s) G
8 Y* V! R/ O" i: ?' `, F
8 e5 M z& w: c9 I! B7 N
“没有一个工程师意识到存在一个更高的限制，”FAA的另一位现任工程师说。# \4 M+ z( t. t8 B) P+ L
- N& V: T7 J+ x
) V9 `; q; o6 X9 U' A
: {" p0 C; ^- H5 F
同时，系统安全分析中的另一个元素放大了这个数字的差异：每次触发MCAS时，系统自动移动尾翼的权限都会启动；它可以被多次触发，就像印尼狮航航班所出现的问题一样。* ?" ^4 Y( b4 {# d3 v2 a
9 S4 n( z" \! k9 M2 }6 z% I7 i# y V v/ A
% |+ K8 Y J5 ^& z' ~' i% Q
FAA一位现任安全工程师表示，每当狮航航班的飞行员重新设置控制开关、将飞机往后拉抬时，MCAS就会启动，并“允许新的2.5度增量”，“所以，一旦它们推动几次后就会完全停止”，这意味平尾运转到最大角度。7 p; L7 k3 Q% J- y/ t5 N( c( l$ Z. y8 R
2 I) A& P O% T. P: B8 w. A) L( L/ r1 Q
& M0 `! K7 i* ?' M
前波音飞行控制工程师、现为航空电子及卫星通信顾问的彼得·莱姆（Peter Lemme）表示，由于每次使用时MCAS都会重置，“它实际上拥有无限的权力。”" x# |0 {# x8 Q
- d/ F! A; k" |1 }
, n1 n) b% ?6 b2 \5 {5 `
! M; y) U- R: n2 a莱姆认为，“它有完全的权力将平尾运动到最大值”，但“没有必要这样做。没有人应该同意给予它无限权力。”
' L$ [: |% G1 x3 S8 V d, o) Y0 c8 E' M+ V
( j- V/ n* N H5 K( [4 N8 F# ?
9 w5 v3 }% j; t4 m0 c9 Z3 W在狮航的初步调查报告中，黑匣子数据显示，在这一循环动作重复21次后，机长将控制权移交给副机长。当MCAS把机头往下推两到三次时，副机长只按了两下开关就会做出反应。在2.5度的权限下，两个未经校正的MCAS系统循环足以达到最大的机头下推效应。4 Q; b# p( N5 {4 F
1 Y; g5 \; w* ~# Y
3 s5 s U/ u3 U- F& f8 l& Z) _( p) y b6 V; ], ]2 B
此外，狮航黑匣子数据还显示，在最后几秒钟，机长恢复了控制，并以很大力量将飞机拉升回来，但为时已晚。飞机以每小时500英里的速度向大海俯冲。
7 G k4 T4 h L/ F; v
; b% g! _ J: {4 Y
! T! D6 W) F& X( j0 n
" j# J4 ~: S: h9 c. C' d% B系统设计失败：只有单一传感器0 h+ }) v, C, k& ~
3 o2 _$ U3 \; ^9 w k% `) {) S/ x5 k G/ `
* u X" y' e4 I; X9 l5 r, o8 l$ k
波音关于MCAS的系统安全分析的底线是，在正常飞行中，MCAS的最大假设权限为0.6度被激活，就归类为“重大故障”，这意味着它可能会对飞机上的乘客造成身体伤害，但不会导致死亡。
5 w& V% B8 {, c H: F! e Z; ]5 ` k3 Y$ u! S% R# S
& @4 {& ~4 @; u$ Q: O# W2 _+ S6 p4 ]
在极端情况下，特别是当飞机处于倾斜下降螺旋时，激活MCAS被归类为“危险故障”，这意味着它可能对少数乘客造成严重或致命伤害，但仍比“灾难性故障”低一个级别，后者代表飞机损失大量人员遇难。7 O) O' e+ t2 y" }8 R8 T9 H$ N
3 X% P9 G, ?- }) D& I. I. p3 z. S
8 P. _2 d3 Y$ c O% g9 b4 O2 S3 b1 T
7 l2 {, Q9 k- ~. X; F r曾参与MAX认证工作的前波音飞行控制工程师说，一架飞机上的系统是否可以依赖一个传感器输入，还是说必须有两个传感器输入，都由系统安全分析中的危险评估分类所决定。
3 Q0 r+ \6 `6 [: ?. r$ Y$ d9 F* Q1 q+ {" }: u7 E' G
^% N t; i- F6 `" b# J. v" t5 [2 y1 C" m7 g7 F) {
他称，几乎所有商用飞机上的设备，包括各种传感器，都非常可靠足以应对“重大故障”要求，即故障概率必须小于十万分之一。因此，这类系统一般允许只靠单个输入传感器。
' a* P$ K9 V+ S z. g Y0 K5 n
1 _; I$ p# u& x% f+ o, c5 {& X, b" z% |3 r9 [
7 Q; A! x) D+ A. I/ o+ Z但是，当评估严重等级上升时，“危险性损害”等级所要求的概率更为严格，为一千万分之一，那么通常必须至少有两个单独输入渠道，以防止其中一个出现故障。
7 d* J, b) `8 i& ]+ O% O
# Y4 Q( F2 k% y; E) @+ }7 m( c( U/ T5 ?# g
) K& L3 i8 z* k0 _2 q$ b$ K
令莱姆感到不解的是，波音的系统安全分析评估将MCAS的故障定位“危险”等级，但系统触发却是只通过单一传感器。
' Y8 [6 Q3 _- W* L) b1 E5 u$ J$ r9 l1 _7 Q2 p3 M
% R! s6 |4 @* H' @ l
- z" K6 A& _ ^* a' a和所有的737机型一样，Max机型实际上也有两个传感器，分别位于机身两侧、靠近驾驶舱的位置。但是MCAS的设计目的却是只从其中一个传感器上读取数据。3 B' b- u- R; G1 }" y+ x2 F
?; g* L- K) \ @0 p$ y/ w0 f3 g: Y
2 a. Q* D9 K$ B$ b7 |6 a4 \4 Q7 B) m2 Q- ^+ x/ ^; f: f9 f4 ^3 ^$ ]
莱姆认为，波音本可以设计一个系统来对比两个传感器的数据，如果其中一个故障，系统就会显示出来；或者也可以设计成，飞机起飞前、在地面滑行时检查攻角数值是否准确，此时攻角数值应为零。“他们本可以设计一个双渠道系统，或者也可以测试地面上的攻角数值”，“但我不知道他们为什么没有这么做。”
# E; R: E( {3 {0 o& D1 \
+ } | f& ~2 g6 E/ ]5 g* p! S: q! g( _* \7 i3 y0 |- e
" \0 }6 y4 `; a X根据初步调查报告中提供的黑匣子数据显示，两个传感器的读数不仅在整个飞行过程中相差20度，而且飞机起飞前在地面滑行时也相差20度。% z$ [) d! w8 E% c/ S
( l* H# h. i) a1 S) F' j. w6 V: [2 M- F* B9 E
0 e, _8 M" U7 Z
没有培训，也没有事先告知
( i2 i8 p1 M! T; L! A
' Y- f3 ? z9 p: g5 [0 g8 Q+ J
. j; M' ^% O' h4 m! l
% O5 n* e3 i2 m0 `在印尼狮航失事后，全球737MAX客机飞行员都接到了关于这款新型客机存在MCAS的通知，以及如果系统被不当触发后该怎么办。- d8 f! b1 ^+ c/ l7 @6 `$ {
; T+ i w; y+ q' b3 c- s+ C! k
- S4 ?: I6 E5 V. p3 L j. C
: {2 g5 P% u! y波音坚持认为，狮航飞行员应该已经意识到飞机在不受指令的情况下运行，应该用飞行员检查表的标准程序来应对所谓的“稳定系统失控”。如果这样做了，飞行员就会按下切断开关，阻止其运行。2 c$ x4 d5 j' |( V( Q
( }& ]' ^4 L" e3 C. D
2 s! j' ^0 X! p* s# W3 C! x( y& ^3 [. N. G5 m( E& h% _% g! i/ P3 y
# `8 G* v1 E9 c" s2 l, O+ Q5 r1 c" ^4 B X: [& x) o: y0 H
T( T. D D. H$ W0 W4 ]( G1 q& f$ I4 C3 L2 u, s
波音还指出，在坠机前一天，驾驶同款飞机的飞行员经历了与印尼狮航610航班相似的情况，并做到了这一点：切断开关，重新获得控制权，然后继续飞行。. A. N" e. B e
6 P3 a: G9 D- K W* p- o) q8 z2 w; l4 n; U
; m0 N! u3 ~1 b% t( i4 v; J* v然而，飞行员和航空专家认为，狮航航班飞行中发生的事情似乎不像是自动稳定系统失控，因为外界认为是自动稳定系统拒绝关闭，并在不受控的情况下继续操纵尾翼运动。
. Y* s$ p( @* _
. r- f9 e& |8 C* B) S
3 v$ ^/ `, D l" B! A2 p' C
( E/ c" R) r$ z) o在事故飞行中，尾翼的运动不是连续的；飞行员能够多次对抗机头下推。且当MCAS启动时，控制杆功能被禁用，飞行员无法通过向后拉控制杆拉抬机头。/ M, w) U. k; x/ v; J& M- ^2 v
( [. l* ?* M) f. ?7 R; V- f, ]
& B8 e7 D" ]6 T4 d( g4 A7 b# [- M
* ?* N0 k5 F/ ~% y6 y1 H, e上述这些差异肯定会让狮航飞行员对正在发生的事情感到困惑。 r6 B- X& F( W; j! A+ c
9 u; C! G1 h4 m/ F; C/ \& o/ V$ T% U v: g
* ?5 |, \* J: A/ B' m* N$ M: ]此外，由于MCAS只在正常飞行范围外的极端情况下启动，因此波音认为737MAX飞行员不需要针对该系统进行额外培训，甚至他们不需要知道有MCAS的存在。在飞行员手册中也没有提到这件事。
9 C/ P8 W% |! x: G! I U/ G% {- X& D; l, b4 D: e% ~9 q
- N8 q+ q# I2 O; E" F
8 V: \/ A* z* J4 D
这个做法使得最新款机型与现有的737机型获得共同的“类型评级”，也允许航空公司将培训减至最少。% }8 f2 z5 I( Y1 h' R; U/ H {7 ]
) C, p+ h& z9 {
+ w" O a; A3 \5 i$ U/ H) K
3 O7 @7 p$ N$ h$ l
美国航空公司联合飞行员协会发言人丹尼斯·塔杰（Dennis Tajer）表示，他从旧的737NG型飞机驾驶舱转移新737Max的培训中，只需在iPad上进行一个小时培训，而不需要模拟机训练。8 d4 C$ P( V7 P
: g& {8 a& n3 P1 t& J% q3 Q$ D$ B( K2 x$ V& L: Z0 K! c& j0 G2 `
/ h- O& X& ^) l4 A. s$ R4 s最大限度地减少飞行员的过渡期培训，对波音的客户而言是一项重要的成本节约，也是这款新型飞机的一个关键卖点，目前737MAX已有5000多个订单。. q; I: |+ E. t) o9 J+ T
- s8 O! g; k$ z% P- A8 m7 r& V! O" h X
" r6 X6 o' R* c; y6 g s7 f1 L
波音官网向航空公司推销这架飞机时承诺，“鉴于它和下一代737的共性，当你组建737MAX机队时，将节省下数百万美元。”
: q5 D6 b+ U! b; E# I% H0 T/ z0 G9 A O F
3 T$ o5 L U" i8 }8 x1 N8 U. ^- U
* s) A: b1 ?) U# \& B1 O0 a) i$ g. _飞机失事后，美国飞行业界纷纷指责波音在737MAX飞行员手册中没有提供有关MCAS或其可能故障的信息。- \/ o: i9 P3 U8 X, P
# p# t7 t; q* R. m, q
/ `6 ^4 J& y% V9 Z; K! y' v# P3 P1 s0 |% t+ c, g0 H: S5 r
美国联邦航空局的一名安全工程师也认为，事先缺乏信息可能是狮航坠机的关键因素。8 p1 p$ u" p7 t! O+ ?
- s3 z3 `/ o2 ?, q
& ~, J/ W) ]! [0 t1 i# r' e7 C, ] D. k* W! s5 b
西雅图时报称，FAA表示，波音公司将更新MCAS软件，并通过两个传感器传输数据。同时，还将限制MCAS在响应错误信号时能运转尾翼的幅度，激活后系统将只能启动一个周期，而不是多次启动。波音还计划更新飞行员培训要求和机组手册，在其中纳入MCAS。' _# q- R7 |6 r- E
1 p* t) l# j# _. @" g# c9 S2 {9 @- W5 i- X
% e4 C) b( P5 Z* w1 Q6 Q
FAA还表示，要求波音在4月前对软件进行修复。
" y& b5 ^$ O! _( B$ X P- \2 I% i j. D8 K2 [& }
3 ^4 n7 b1 P& x" K2 g) A% K
( R T: ~7 d/ i p& O
报道称，上述这些意见都在安全工程师所提到的问题内，而工程师曾在埃塞俄比亚坠机前就已和西雅图时报沟通过。% T" O w3 ]2 v/ b
+ y% e) G4 ^+ G0 u/ J6 n* q0 G) m$ v0 o
$ \2 M* c: J3 n0 t* K m% m: s* F3 U
此外，面对遇难者家属提出的法律诉讼，波音也将不得不解释为什么上述这些修复意见没有成为原始系统设计的一部分。FAA也将不得不捍卫其作出系统安全认证。 |
