“波音/FAA＂深喉＂爆料:737MAX 8安全缺陷早已埋下”

本篇文章5946字，读完约15分钟

波音737max 8坠毁事件相继发生，波音企业燃起熊熊大火，而西雅图时报记者多米尼克·盖茨( dominic gates )的文案，是波音737max 8安全判断的一环，由波音企业自行完成，美国联邦航空/ [

/ h// br /

盖茨副本称，波音公司这一737系列最新机型737max 8在安全判断上存在诸多漏洞和风险。

年，波音企业采取了业绩赶超空中客车企业的行动。 同年，该公司对新的波音737max展开了取证事业(适航)。

美国联邦航空空管理局( faa )的管理者们要求该局的安全工程师们将飞机的安全判断工作委托给波音企业，但关于存在问题的解体结果，该局在短时间内得到了批准。

直接参与MCAS ( MOS )安全判断或判断报告的现任和前任波音工程师曝光了波音公司MCAS系统安全拆解报告的详细副本，得到了西雅图时报记者的证实。

分解报告的核心细节如下。

※mcas的目的是倾斜飞机的水平尾翼，以免飞机俯冲失速。 飞机引进时，水平尾翼的极限偏转度为0.6度，而mcas可以偏转超过早期安全解体文件中所述立场的4倍，也就是2.5度的尾翼。

※该报告并不能证明每次飞行员做出反应时mcas如何重置自身，也不能明确mcas反复控制头按下带来的潜在影响(驾驶员响应后，系统仍继续按下头)

※判断系统故障低于“毁灭性”的水平，但即使是“危险”的危险水平，也不能只通过单一传感器的信号来停止飞行控制系统的启动。 但是，这个系统的设计方法正是这样。

波音737客机

在接受记者采访时，所有共享波音公司mcas安全分解报告的人平均要求匿名，是为了保护在联邦航空空管理局和其他飞行组织的工作。

在发生两起与波音737max飞机相关的坠毁事故后，上述飞行控制系统(也称为mcas，即操纵特性增强系统)正在被审查中。

此前不到5个月，两架波音737max机发生事故造成重大伤亡，美国联邦航空空管理局上周三(当地时间3月13日)发布了“禁飞令”。

另外，11天前，盖茨向波音和联邦航空空管理局转达了上述报告的详细情况，要求进行评论，但当时埃塞俄比亚航空空的波音737max机空还没有发生。

上周五晚些时候，联邦航空空管理局表示波音max型号的取证程序符合标准程序。 该局发言人以工作繁忙为由向记者表示，联邦航空空管理局无法深入回答越来越多的详细问题。

上周六，波音企业也发表声明称:“联邦航空空管理局在max模式的取证工作过程中分解讨论了最终的配置和运营参数，结果表明，该模式满足了所有的取证工作和监管要求。”

目前，波音公司未能评论“正在进行调查”。 对于mcas认证流程存在缺陷的说法，波音公司也没有直接应对，只表示“其中有些错误”。

mcas惹的祸？

波音企业很久以前就流传了——与飞行员完全控制飞机相反，max飞机新的mcas自动飞行控制系统在设计上是后台运行的，不需要飞行员输入指令。

这个是必要的。 因为max的更大的发动机必须放置在机翼的更前方，所以改变了机体的空空气动力学，特别是升力的特征。 在设计上，系统只在高速失速的极端飞行时自动启动，如果该多余的机头朝下，飞行员会感觉与旧式波音737一样。

波音737客机

被授权代表faa的波音工程师们为mcas系统开发了系统安全分解报告( system safety analysis for mcas )，之后是欧洲、加拿大和世界各国的航空/ [/kks 该文件“以确保737 max的安全运行为目的”，但文件的结论是，该系统符合所有faa的适用规定。

但是，印度尼西亚狮子坠毁后检测到的黑匣子数据显示，作为单个传感器故障的迎角传感器在此期间多次触发了mcas。 迎角传感器是帮助测量飞机机头在气流中是否过高的重要装置，机头过高会导致飞机失速、坠毁。

在这次致命的飞行中，人机拉锯战开始了，系统降下了飞机的机头，飞行员在最后坠毁之前，仍然与控制系统“搏斗”将飞机的机头拉回。

737 max再次坠毁时，faa表示印尼狮航的飞行轨迹与埃塞俄比亚航空空企业302次航班坠毁相似。

调查人员还发现了埃塞俄比亚航空空的螺旋桨升降机。 这是飞机水平尾翼的一部分。 这个零件表明飞机的水平尾翼处于“罕见”的位置。 这是mcas系统或这种位移的可能原因之一。

调查人员正在努力查明mcas系统是否是两次坠机事故的原因。

混乱的取证机制

这几年，由于faa缺乏资金和资源，接受了向波音企业解释自己飞机安全性的工作。 737 max取证工作初期，faa安全工程团队分管技术判断，部分技术判断交给波音企业，其他部分faa更为重要，权力保存在faa内部。

但几位faa技术专家在采访中表示，随着取证工作的深入，管理者敦促他们加快这一进程。 max的开发落后于竞争对手空客户a320neo的9个月，时间对波音至关重要。

美国联邦航空/管理局( faa )

直接参与max取证的原faa安全工程师在取证途中说:“管理层要求重新判断被任命的工作副本。 管理层认为我们faa过分保存了取证事业的权限。 ”。

这位工程师说:“我们重新判断我们最初的决策总是有压力。 在我们重新判断之后，管理层也在继续研究如何委托波音公司进行越来越多的项目。 ”。

即使是被保存的业者，也有可能受到限制，例如审查波音企业提供的技术文件等。 这位工程师说:“没有对文件进行彻底和适当的审查。 随着取证事业成立的日子，判断很快就会达成。 ”。

如果让faa的技术人员完成审查的时间太短，管理者可能会自己签署文件或委托波音公司进行审查。 “faa管理员不是代理技术专家，而是对授权拥有最终决策权。 ”工程师说。

不准确的水平尾翼倾斜极限值

在这种情况下，mcas的系统被安全拆除，是取证事业所需文件的一部分，也得到波音企业的授权。

波音向faa提供的原始文件中包含了规定了系统可以移动水平尾翼的极限的证书。 在物理最大值在5度以内的俯冲运动中，水平尾翼的极限倾斜为0.6度。

随后的飞行测试表明，为了避免高速失速，需要更强的尾部移动(飞机失去上升动力，出现坠落的危险)，从而提高了这个极限值。

高迎角失速中飞机的行为不容易单纯通过分解事先建模。 因此，很少有飞行员在完成失速恢复过程后，进行系统软件的控制，以进一步改善飞机的性能。

狮航610航班坠毁后，波音公司首次向航空空企业提供了有关mcas的详细消息。 波音公司在航空空企业发表的公告中表示，mcas指令的倾斜限度为2.5度。

这个数字对于安全判断只能看到0.6度的faa工程师来说是“全新的”。 一位faa工程师说:“faa认为这架飞机是按照0.6的极限设计的，其他外国监管当局也这样认为。 但是，这和你做出的危险判断大不相同。 ”。

上限的增加意味着，每次触发mcas时，机翼尾部的移动都比原始安全拆解文档中说明的要大得多。

从事max取证工作的前faa安全工程师和前波音飞行控制工程师表示，这些安全解体需要更新，以反映飞机最准确的消息。 “这些数字必须与测试和设计的数值一致，”前faa工程师说。

波音公司

但是，两人都表示，faa和波音有时会同意稍后更新文件。 前波音飞行控制工程师表示:“只要不改变结论和危险判断的严重性，审查哪些最新数值可能不会出现在更新协议中的结论，并得出结论。”

如果最终的安全分解文件已部分更新，则某些零件肯定包含0.6的倾斜限制值。 此外，更新文件尚未广泛传达给faa技术判断小组。

第二位faa工程师说:“没有一个工程师知道0.6的倾斜极限值被提高了。”

上限值不一致被系统安全分解的另一个因素大大放大了。 每次触发mcas系统时，移动机翼尾部的权限限制。

MAS系统可以像印度尼西亚狮航坠毁航班一样多次被触发。 一位现任的faa安全工程师表示，每当狮子飞行员重置控制开关以将机头向后拉时，mcas系统就会介入，“允许2.5度的额外量”。 因为，如果他们按几次，水平尾翼的倾斜就会达到最高点，也就是尾巴旋转的最大范围。

现任航空空电子卫星通信顾问原波音飞行控制工程师peter lemme表示，mcas每次录用都会重新设定，因此“实际上拥有无限权限”。 如果将尾翼(技术上称为稳定器)旋转到末端，机头最有可能被压下。

lemme表示:“系统完全有移动稳定器的权利。 不需要这个。 不应该有人赋予系统那样不受限制的权力。 ”。

狮子坠落时，mcas压下机头时，机长用杠杆的拇指开关将飞机拉回。 在错误的迎角读数下，mcas系统每次都调整水平尾翼，并持续压下机头。

初步调查报告中公布的黑匣子数据显示，这样重复21次后，机长将控制权交给了副驾驶。 由于mcas将头部向下按压了2~3倍，副驾驶只采用了两次拇指开关。

在2.5度的极限下，在没有校正的情况下，两个mcas系统的周期周期周期会带来飞机最大的俯冲效果。

在飞机最后几秒钟的飞行中，黑匣子的数据显示，机长为了强行拉回飞机，重新开始了对飞机的控制。 但是太晚了，飞机还以每小时500英里的速度一头扎进了大海……

基于单传感器的系统故障

图为正在进行中的搜索救援事业

波音公司关于安全拆除mcas系统的底线是，在正常飞行中激活mcas至0.6度被认定为“严重故障”( major failure )，这意味着它可能会给人带来身体痛苦，但不是死亡。

在极端情况下，特别是飞机在尾旋中(失速)的情况下，mcas的激活被认定为“危险故障”( hazardous failure )，这意味着可能会对少数乘客造成严重或致命的伤害。 这仍然低于“灾难性故障”( catastrophic failure )的水平，将造成多人死伤。

代表faa参与max取证的前波音飞行控制工程师表示，喷气式飞机的系统是否能够依赖一个传感器输入或是否需要两个，将根据系统安全解体中的故障分类来决定。

他说，包括各种传感器在内的大部分商用飞机的所有设备都十分可靠，能够满足“严重故障”的要求，即故障概率必须小于十万分之一。

因此，这些系统一般依赖单一的传感器。 但是，如果判断结果更严重，则“危险故障”的要求更严格，危险概率为千分之一，因此系统一般必须至少有两个独立的传感器工作，其中一个不成为问题。

波音公司系统的安全解体，判断mcas的故障是“危险”，使lemme感到困惑。 因为，mcas系统由单一的迎角读取传感器触发。 lemme说:“只有一个传感器被认定为危险故障等级，但我认为这无法判断。”

和所有737一样，max实际上有两个传感器，分别位于驾驶舱附近机体的两侧，但在设计中，mcas只从其中一个读取数据。 据lemme介绍，波音在设计中可以比较两个传感器的读数。 或者，也可以设计为飞机在起飞滑行时检查迎角读数是否准确。 在这种情况下，迎角必须为零。

(影像来源网际网路)

lemme说:“他们能够设计双通道系统。 或者，他们可以测试地面迎角的数值，但不知道为什么没有这样做。 ”。 初步调查报告中记载的黑匣子数据显示，两个传感器的读数不仅在飞行中相差约20度，在起飞前滑行的情况也是如此。

缺乏培训和新闻发布

狮子航空坠毁事故发生后，世界各地的737 max飞行员被告知在mcas系统的存在和系统被不当触发后，该如何应对。

波音公司反复认为，狮子飞行员应该意识到水平尾翼(稳定面)不受控制的运行，应该使用标准的飞行员检测程序来应对所谓的“稳定器失控”问题。 这样，飞行员通过采用切断开关，停止稳定面的自动平准化。

波音公司指出，在狮航坠毁前一天，其他飞行员也经历了与狮航610航班相似的情况。 他们在稳定面上打开平坦的切断开关，重新控制飞机，继续剩下的飞行。

但是，飞行员和航空空专家表示，狮子飞行中发生的事件被定义为尾部连续无指令的运动，因此看起来不像标准的稳定器失控。 事故飞行中，尾部运动不连续。 飞行员可以多次对抗机头下的运动。

图为737max 8的驾驶舱

进而，mcas系统改变了杆对稳定器运动的反馈。 向后拉列会中断头部的向下移动，但在mcas运行期间会禁用拉杆的此功能。

这些差异一定会让狮子飞行员对发生的事件感到困惑。

由于mcas系统只能在远远超出常规飞行范围的极端情况下被激活，波音公司的决策737飞行员认为不需要额外训练系统，波音认为飞行员们也不需要知道这一点。 波音的飞行手册上没有记载。

根据这个角度，737 max机得到了与其他737机型相同的模型评估，航空空企业可以将max飞行员们的训练降到最低。

美国航空空企业试点联盟( allied pilots association )发言人dennis tajer从旧的737 ng机型迁移到新的737 max，只在ipad上进行了不到一个小时的训练

最精简的737 max飞行员的转换培训是波音航空空企业的另一大卖点，波音表示可以为顾客节省大笔价格，该模式累计超过5000件。 波音也在官网上向航空空企业隆重推荐737 max，并承诺“组建自己的737 max团队，与新一代737有共通之处，因此可以节约数百万美元”。

坠机事故发生后，美国航空空和西南航空空工会的官员们批评波音企业，斥责737 max飞行员手册中没有关于mcas和系统可能发生故障的消息。

一位faa安全工程师表示，在狮航空难中，这些事先可以知道的消息可能不足很重要。 波音这个系统安全性解体的假设是飞行员意识到发生了什么，失速关闭开关。 这位工程师说:“这里的假设不正确。 其中人为因素没有得到适当的判断。 ”。

周一，波音737 max停航前，波音企业概况描述了“737 max的飞行控制软件增强功能”，狮子坠毁事故发生后不久正在开发中。

根据faa对立法官的详细介绍，波音公司将更改mcas软件，从两个迎角传感器输入新闻。 它还限制了mcas响应错误信号移动水平尾翼的能力。 激活后，系统只启动一个周期，而不是多次启动。

波音还计划更新包括mcas在内的飞行员培训请求和航班手册。 这些建议的一些变化反映了安全工程师在坠机故事后受到的批评。

faa还表示，4月以后的出航指令将命令波音企业进行软件修复。 针对死者家属带来的诉讼，波音必须解释为什么这些修复不是原始系统设计的一部分。 另一方面，faa需要保护飞行控制系统的认证安全可靠。

值得一提的是，作为波音原总部所在地，西雅图当地记者可能比其他地区记者在航空空行业拥有越来越多的人脉和资源。 盖茨是《西雅图时报》的资深航空空记者，在《西雅图时报》的这个岗位上工作至少15年。

另一个令人惊讶的是，文中的大部分采访都发生在伊航的737max 8坠机事件发生之前。