“我们犯了错误。”10月29日，美国波音公司首席执行官丹尼斯·米伦伯格在出席参议院听证会时第一次正式向公众道歉。四天前，印尼方面发布了一年前狮航JT610航班失事的最终调查报告，波音737Max机型的设计缺陷正式得到确认。
当地时间10月29日，波音CEO出席美众议院交通和基础设施委员会听证会（图 | 视觉中国）
但是历经一年，320页的报告所呈现的事故原因并非单一的。缺陷设计未被监管部门发现背后，是波音作为巨头企业在航空这个封闭行业内所获得的随处可见的优势地位。而这起罕见的、由服役仅3个月的新飞机酿成189名机上人员全部遇难的空难，引发的是整个航空安全体系的反思。
致命的“MCAS”
▲▲▲
安东·萨哈迪（AntonSahadi）又一次从幻灯片上看到了过去一年他反复从媒体上看到的那个缩写，“MCAS（Massachusetts Comprehensive Assessment System，操控特性增益系统）”。
图 | 视觉中国
在正式发布报告前两天，10月23日，星期三，在雅加达的一间会议室里，印度尼西亚调查人员试图首先将调查的过程和结论告知遇难者家属。这一次，他们准备抛开那些术语，用最直白的语言，交待清楚他们的亲人遭遇了什么，事故的原因又是怎么样的。
30岁的安东在这起事故中失去了两个表兄妹——里扬·雅彦迪（Riyan Aryandi）和穆罕默德·拉菲·安德里安（Muhammad Rafi Andrian）。他们2018年10月29日搭乘JT610从雅加达到哈达，但仅起飞13分钟后，这架服役不到3个月的新飞机，一头扎进了大海里，189名机上人员全部遇难。
2018年10月29日，印尼丹戎不碌港，救援队打捞起狮航坠毁客机JT610部分遗骸和部分遇难者遗体。（图 | 视觉中国）
幻灯片显示，飞机坠毁的直接原因正是737Max机型上新加入的MCAS系统被错误地激活，这套被设计用来防止飞机失速的驾驶辅助系统误认为飞机仰角过大，有失速风险，因而不断通过调整尾翼，使飞机机头指向地面。
整起事件仿佛一个蝴蝶效应。MCAS之所以被错误激活是因为这套系统被设计得过于依赖单一的仰角传感器，如果传感器发生故障，MCAS系统就会受到影响。不幸的是，那天安装在失事飞机上的一个传感器在维修期间恰恰没有正确校准。
中国航空器拥有者及驾驶员协会 (AOPA) 飞行专业技术分会会长、资深机长陈建国向我分析当时驾驶舱内飞行员面临的复杂局面：“仰角感应器故障，首先会激活飞机防失速预警，飞机判断有失速风险，会抖动操纵杆提示驾驶员，根据防失速处理预案，这时候飞行员要关闭自动驾驶，参考飞机的水平姿态，如果确实是仰角过大，会带杆拉低机头配平飞机。”
“但是MCAS的存在自动介入了这一过程，并且由于仰角感应器持续故障，MCAS在配平后会判断飞机仍然处在仰角爬升，反复把机头向下推。这样反复几次之后，由于飞机处于俯冲姿态，空速预警会响起来，飞行员这时候实际上陷入了混乱，一边是失速警告，一边是超速警告，他们要判断究竟是空速不准还是飞行姿态有问题。”
最严重的问题已经为人所知：飞惯了上一代737的飞行员们根本不知道新的737Max机型上有这样一套新系统——波音在飞机适航时出于帮客户更换新飞机时缩短培训成本的考量，说服了FAA（美国联邦航空管理局），737飞行员换飞新飞机，只需要6小时理论培训。
“全球的航空公司至少在狮航空难前，除了机务手册中出于为机务检修考虑提及了，没有其它任何人或任何材料向飞行员特别提到这一系统，操作手册和差异化学习当中都没有提到，他们自然也不知道怎么关闭。”国内一家航空公司的737机型总教员叶开曾专门向我确认这一点。
这也解释了为什么JT610航班整个坠毁的过程看起来特别像是人与飞机的对抗。
根据最终报告披露的舱音记录器中的内容，机长和副驾驶当时是按照空速不可靠检查清单（Airspeed Unrealiable NNC）的方法在应对，他们关闭了自动油门和自动驾驶，然而飞机始终维持在较低的高度，无法爬升，并不断试图“低头”，飞行员仍然无法控制飞机。
调查显示，JT610与塔台最后的无线电联系发生在当地时间06:31，当时机长要求抵达管制员封锁上下3000英尺的高度，以避开交通。管制员问飞行员想要什么高度，机长回答“五千”。管制员批准了该请求，随后二十秒，舱音记录器停止了记录。飞机在丹戎本金以北约15公里处告诉撞向海面。
但调查人员也不希望亲属简单地将空难理解为一个单纯的飞机设计缺陷，他们试图尽可能完整地为亲属呈现这个过程。展示给安东·萨哈迪等亲属的幻灯片还显示，飞机手动控制中的“缺陷”、驾驶舱不同警报间的干扰、机组人员之间以及机组人员与地面的沟通问题，都是造成飞机坠毁的原因。
2019年1月14日搜寻人员在印度尼西亚雅加达丹戎附近海域发现狮航JT610航班的舱音记录器（图 | 视觉中国）
但走出会议室时，安东·萨哈迪还是感到失望，他表示自己依旧不了解很多航空术语，报告并没有提及一个直接责任（direct responsibility）的问题。“航空公司为什么不受到严厉制裁？这不是一两个生命，而是大约189个生命。”他说。
安全体系的崩塌
▲▲▲
或许，这起空难中并没有一个简单的“直接责任”。
10月25日，印尼全国交通安全委员会正式发布的最终调查报告中，认定了9点关于空难的促成因素（Contributing factors），包括：
“1.在787max设计和认证过程中假设机组人员对故障做出的反应被证明是不正确的；
2.缺乏安全冗余的设计，即波音认为采信单一传感器的数据来决断就是可靠的；
3.在此逻辑上，操控特性增益系统 (MCAS)存在设计缺陷，即系统根据错误的传感器进行了错误的调整；
4.事前飞行员没有相关知识的培训，机上也没有技术指南，飞行员不知道如何处理MCAS的介入；
5.飞机在配备多个迎角探测器的前提下，未启用迎角不一致警报，因此单一迎角探测器故障无法被机组成员发现和记录；
6.更换的传感器本身存在校准错误；
7.根据维修记录，无法获知在安装时传感器是否进行测试；
8.在前序航班的维修记录本中缺少有关连续抖杆信号及安定面失控的记录（前序航班发生了类似故障但未酿成悲剧），这意味着雅加达的机务人员无法获取这些信息；
9.机组与地面塔台之间的沟通、执行非正常情况检查清单能力困难。”
这九点看起来环环相扣，假如指责狮航的飞行员驾驶水平，那么狮航完全可以声称未组织培训是因为波音并未在操作手册中提及这一系统；而假如指责波音的话，参与适航工作的FAA（美国联邦航空管理局）同样似乎完全没有尽到职责。
如今再去复盘这个事件，陈建国不愿意将责任完全归咎于波音越界逐利，在他看来MCAS这样一套问题重重的系统如何通过FAA那套被视为航空界“金科玉律”的适航法则，是更值得反思的部分。
据《纽约时报》报道，在波音737Max飞机首次坠毁后的几天里，联邦航空管理局（FAA）的工程师们陷入了令人不安的现实：他们不完全了解导致机上所有人丧生的MCAS系统。该机构的工程师在其文件中搜索了有关旨在避免失速的系统的信息，但没有找到太多。在2017年批准飞机时他们从未独立评估过MCAS软件的风险。
陈建国说，联邦航空管理局将大部分认证外包给了波音公司的员工，以局方委任官员的形式，代表局方行使权力，从而在公司及其监管机构之间建立了友好的关系。这本是一种极为高效的、被其他国家包括中国广为学习的管理方式。“首先，制造商掌握着庞大的、技术水平最高的专家团队，也养得起他们；其次，他们在整个适航的全过程中，只需要坚守局方的那些标准，一样也可以参与得进去研发，充当一个沟通者的角色。”陈建国分析。
印度尼西亚交通安全委员会主席在舱音记录器被发现后于普鲁克港口演讲中致辞（图 | 视觉中国）
然而在737Max机型上，这种既当运动员又当裁判员的模式出现了极大的漏洞。以MCAS系统为例，波音只对系统进行了自己的评估，而未经过FAA的压力测试。这个系统早期被报告给FAA时，声称只会用于防止飞机失速，并且只会以0.6度的范围来调节尾翼安定面，所以FAA仅让两名相对缺乏经验的工程师来监督波音在该系统上的早期工作。了解此事的人士称，他们并不知道它的复杂性。
双方的信息显得严重不对称，在Max飞机的开发后期，波音公司决定扩大MCAS的使用范围。陈建国称这是因为737Max配备了更大的发动机，需要MCAS系统的介入，以确保飞机整个操作手感线性、柔和，这时尾翼安定面的调节范围翻了4倍，达到2.5度。
在FAA认定标准的危险源分析（FHA）中，意外的MCAS命令的安定面移动（也就是空难中的状况）被认为是一种对飞行失控临界线有“重大”影响的故障情况。但“重大”的程度并不需要波音公司来更严格地分析失效条件，这些仅在“危险或灾难性”（Hazardous or Catastrophic ）失效条件下才需要。
也由此，在扩大MCAS使用范围后，波音公司没有对其进行正式审查。一位机构官员称，FAA的一名工程测试飞行员知道了这些变化。但是他的工作是评估飞机的飞行方式，而不是确定系统的安全性。
直到灾难发生后的很长时间，人们没有意识到这一系统的危险自它被设计出来时就已经存在并且并不是来自于这一系统本身，而是来自审核它的一套机制。狮航事故发生后10天，美国联邦航空管理局曾对该型号飞机下达紧急适航令，要求波音公司和飞机运营者针对这一新机型上新系统可能出现的问题，修改飞行手册。但波音所谓的补救措施，就是向飞行员讲解了一下MCAS系统的原理，以及一旦遇到系统故障，如何断开该系统。这个被称作“打补丁”的行动并没能阻止五个月后埃航的悲剧再次发生。
对于优势地位的反思
▲▲▲
狮航空难以及五个月之后发生的相同机型埃塞俄比亚航空ET302航班空难，以及之后737Max系列被全球停飞，毫无疑问已经给波音带来了巨大的损失。
目前，除了遇难者家属的个人诉讼外，波音，这家百年飞机制造商还面临近100项诉讼，它们来自司法部门对于适航监管岗位失职的指控，来自航空公司对停飞飞机的索赔，还有飞行员工会因为飞机停飞造成飞行员工资减少的索赔。与此同时，去年通过返聘、招工扩大的Max生产线如今面对禁飞令却不得不硬着头皮生产，甚至被迫兰利工厂的员工停车场改为停机坪……
10月23日，波音公布了今年第三季度财报，第三季度订单较去年比下降了62%，曾经占据总销量70%的737Max机型只售出了一架，而且这架还是改款的公务机。波音公司称，预计监管机构会在2019年年底前批准波音对该型客机的更新。并且表示，如果年底无法获得复飞许可，将被迫酌情减少该系列客机的生产。
美国西雅图伦顿工厂，这里是波音737Max8的诞生地。图为工厂内生产线（图 | 视觉中国）
“空难无论对于航空公司还是航空器厂商的打击，毫无疑问是巨大的。”国内一家航空公司飞行部门负责人李力告诉我，对于航空公司，两起坠机后的马来西亚航空如今正在走破产重组的程序，而著名的洛克比空难赔偿更是直接拖垮泛美航空这个当时世界第一大航空公司；而对于飞机制造商，麦道公司被DC10设计缺陷拖垮被收购的案例也就在眼前，“仔细琢磨确实有点像，甚至DC-10垂尾引擎带来的对整个飞机液压系统的威胁，也如同MCAS系统一样，最初是为了解决升力不足这样的小问题而被设计出来的。”
波音还不至于走到这一步。资深航空分析师倪路曾对我分析，737Max有其自身显而易见的优点。它的诞生并非遵循航空工业老旧机型翻新改造的逻辑，事实上，波音最初是希望全新开发一款全新的小型787飞机去替代737，但是很快发现两者的设计理念是有差异的，而737对于中短途航线市场来说就是“和当前航空市场匹配度很好的一款飞机”，所以才最终决定研发737Max。
但与此同时，很难说737Max停飞后究竟是对波音公司影响更大还是对航空业影响更大。刚刚过去的暑期航季，由于受民航总局对总航班量的管控以及民航旅客量增长速度放缓，国内737Max停飞本身对航空市场影响不大，但南航、厦航等航空公司依然因为损失向波音提出了索赔。
在事实上只存在两家“超级公司”的航空业，无论是航空公司、监管者还是普通的消费者，实际上并没有什么太多选择的空间，更遑论这其中伴随着两大公司的竞争，有些角色本就是“立场鲜明”的。陈建国向我描述过全波音机队的厦门航空假如选择购买一些空客飞机是多么困难的决定，“一趟航线原本一周7班飞机天天都是172座的波音737max，假如一三五换成165座的空客320neo去飞，紧跟着售票系统、飞行保障团队、甚至具体的航线飞行数据都可能微调，完全是两倍的工作量。”
对于波音和FAA，陈建国只能说他们的态度至少是坦诚和积极的。他陈建国告诉我，“波音和FAA基本上是把737Max整个项目重新翻了个底儿掉。”早在四月份，FAA就已经组织了一个多国联合的调查组，对737Max展开了重新审查，其中包括中国民航局的官员。
在狮航和埃航两起空难中，波音也始终保持着积极和低调的参与。狮航空难调查报告在正式发布前已经被首先交给各个责任方，以便各方有充分发表意见的空间。其中有不认可的声音，在调查报告附录中名为“狮航意见”的小节中，狮航坚持了自事故发生以来其一贯的态度，坚持认为“波音对737Max-8机型的设计和自我认证，导致了610航班的事故。”
坠机事故现场（图 | BBC）
狮航不厌其烦地摘录了报告中关于737Max机型的六点设计缺陷，并且详细罗列了最近几个月已经被反复报道过的一些事例，诸如FAA不了解MCAS变动等，用以将矛头对准波音。并称“狮航的驾驶员、工程师以及机务人员个人不应该因为尝试诊断和修复未知的缺陷而被指责。”
但波音方面对文件的反应要克制得多。由于刚刚参与编写过737飞机的飞行手册，陈建国能接触到波音方面技术上的一些调整和改进，他介绍称，波音已经完成了对MCAS系统技术上的改进，首先是在信号采集方面，采用加权信号，采集多个仰角探测器连续几个数据，再得出对飞机姿态的判断；其次是在客舱内加装仰角探测器显示器，帮助机组成员判断仰角感应器是否故障；然后是将安定面调整幅度由2.5度改回0.6度；最后是将原来无限配平的逻辑改为仅执行一次配平。
李力说，波音中国的高管最近几个月在密切与国内各大航空公司的飞行部门和飞行员们会面。“相比于技术层面的改善，波音希望能够迅速重建人们对于波音飞机的信任。”
在调查报告除附录外的最后一部分，是印尼调查委员会分别给予狮航、机务维修、波音、柯林斯（设备制造商）、通讯导航机构、FAA、美国国家运输安全委员会、印尼民航局的大量相关建议。
其中给波音方面的建议包括：“建议飞机制造商考虑所有可能的驾驶舱警报和指示对机组人员识别和响应的影响，并在需要时合并设计”；“机组培训方面，希望以最大程度地降低机组人员可能违反制造商假设动作的可能性”；“在认证阶段，通常具有特殊技能和经验的试飞员证明了其设计合理性。但试飞员通常比普通飞行员拥有更多经验，对飞机的设计特性有更多的了解。建议招募具有日常飞行背景的飞机评估组飞行员在认证阶段评估飞机……”
而给FAA的建议则包括：建议FAA与国际监管机构合作，并修订认证流程，以确保设计过程中使用的假设在实际飞行中确实得到验证；以及重新检讨前文提及的危险源分析（FHA）中，关于“重大”、“危险”、“灾难性事件”标准的检讨。
在叶开看来，这些都是细致和务实的建议，“毕竟从灾难中发现和解决问题，才是花费巨大人力物力调查空难和告慰逝者最好的方式。”在这份最终调查报告的开头，是印尼交通部主席签署的声明，“遵照国际民航组织公约附件13的要求，调查报告仅用于加强航空安全，并不用于任何指责和追责。”
（叶开、李力为化名）
