司马平邦说丨20个月改进+180亿美元损失+五大机构备书=波音737MAX起死回生？

2020年11月18日，美国联邦航空局（FAA）解除了对波音737MAX机型商业运营的禁令，允许FAA管辖范围内的航空公司（主要为美国境内航空公司）开始采取必要步骤恢复该机型的运营，而且该机也被允许开始进行商业交付——只要航空公司此时愿意接收。时隔20个月，波音737MAX机型终于得到了FAA的复飞认证，垂垂将死的世界航空制造巨头波音公司，也因此看到了重生和希望，甚至正在深陷于新冠瘟疫严重打击之下的美国经济也深受鼓舞。此次，波音737MAX能在美国获得复飞资格，最终得到了美国联邦航空局（FAA）、美国国家运输安全委员会（NTSB）、美国交通部总监察长办公室（OIG）、美国众议院运输和基础设施委员会（House Committee onTransportation and Infrastructure）、美国飞行标准化委员会（FSB）等多个美国官方航空机构部门的共同背书。美国国家运输安全委员会（NTSB）的建议在2019年的9月26日，美国国家运输安全委员会（NTSB）发布了针对波音737MAX事件的“航空安全建议报告（19-01）”，报告中给美国联邦航空局（FAA）提出7项建议，呼吁业界验证对飞行员在紧急情况下如何做出反应的假设，并简化驾驶舱设计。这份“航空安全建议报告”源于NTSB对狮航JT610航班和埃赛航ET302航班两起坠毁事故的调查，而发给FAA的7项安全建议来自NTSB对波音737MAX的“机动特性增强系统”（MCAS）原始设计的一部分进行的安全评估审查，并出于NTSB对流程需求的关注而发布。7项建议具体如下：建议1，要求波音公司首先确保对737MAX的系统安全性进行了评估，要考虑机组的人为因素；而且要结合设计、培训等要求，使机组行为与制造商的假设不一致时，最大程度减少潜在的安全影响。建议2，要求所有其他取得了美国认证的客机及其制造商也按照建议1进行相应的评估或改进。建议3，通知其他国家的民航监管机构，鼓励他们按建议2评估相关流程。建议4，在业界和人为因素专家的帮助下，在飞机设计过程中开发更加有效的工具和方法。建议5，按照建议4中的意见开发工具和方法后，修改FAA现有的法规和指南，包括对现有FAA指南的有效性进行重新检查。建议6，在业界和人为因素专家的帮助下，使向飞行员所展示的故障提示更加清楚明确，以提高飞行员响应的及时性和有效性。建议7，一旦按照建议6的要求制定了设计标准，就要求在飞机上进行相应的改进，以在驾驶舱面板出现多个告警时提高飞行员响应能力。NTSB的专业调查人员在空难现场勘查NTSB发布的7项建议，虽为7项，其实仅有一条是针对波音737MAX本身的缺陷，其他则都是呼吁全面改变人为因素影响驾驶舱设计的方式。NTSB对此的解释是：“人为因素的研究表明，对于非正常情况，例如涉及具有多个警报的系统故障的情况，可能需要多名机组人员采取行动，使飞行员了解必须优先采取哪些行动是至关重要的。对于由多个系统实现功能的情况尤其如此，因为高度集成的系统架构中的一个系统发生故障时，每个关联的系统都会记录故障，从而会向机组人员发出多种警报和指示。”美国联邦航空局（FAA）的更改建议FAA在对狮航JT610航班和埃赛航ET302航班两起坠毁事故进行调查后，出了7项安全问题，而且这些问题其实是波音737MAX特有的，而且在复飞前必须得到解决：1，MACS系统使用单个迎角（AOA）传感器数据的问题；2，MCAS指令重置后被反复激活的问题；3，MCAS权限超越人类飞行员的问题；4，飞行机组人员对故障和不准确数据的识别和响应问题；5，对AOA传感器数据不一致的处理问题；6，其他可能的影响飞控计算机控制的水平安定面失控的问题；7，MCAS的维护程序问题。对此，FAA对波音737MAX提出了4项设计方面的更改，相关的设计变更包括：更改1，为飞控计算机（FCC）的操作程序软件（OPS）安装具有新算法的飞行控制软件，此项变更旨在防止MCAS被错误地激活；更改2，安装更新的MDS显示处理计算机（DPC）软件，以向飞行员显示两侧迎角（AOA）不一致的告警，表明AOA传感器可能有潜在的故障；更改3，修改飞机飞行手册（AFM）中关于机组人员的操作程序，确保机组人员可以识别并响应水平安定面的错误偏转以及AOA传感器的故障；更改4，更改水平安定面的布线，旨在遵守FAA最新的电缆分离安全标准。美国联邦航空局（FAA）除这些更改外，FAA还建议，航空公司在飞机恢复运营之前对每架飞机都进行迎角（AOA）传感器系统的测试，并且进行启封后的相关准备工作和飞行员培训，飞机才能恢复飞行。当然，飞机最主要的更改还是安装新的FCC软件，以使单个AOA传感器的故障不会触发MCAS，而且对MCAS的执行程序和权限也进行了限制，使其权限不能超越飞行员本身的输入。这也是最为重要的更改，确保了飞行员对飞机具有最高的操纵权力。美国交通部总监察长办公室（OIG）的报告美国交通部总监察长办公室（OIG）2020年6月29日完成了《波音737MAX8的认证活动时间表及2018年10月狮航事故后采取的行动》报告，并于2020年7月1日公开发布。该报告揭露了波音公司和美国联邦航空局（FAA）在737MAX认证过程中犯下的一系列错误。波音737MAX飞机的埃航空难现场737MAX8认证计划始于2012年初，在认证过程初期，波音在向FAA提交的关于737MAX飞行控制MCAS软件（机动特性增强系统，其设计初衷是阻止飞机失速）的初步简报中只包含有限的信息，MCAS后来被认为是两起事故的促成因素或潜在因素。波音将MCAS作为对现有速度配平系统的改进，且只在某些有限的条件下才激活。因而，FAA并没有将MCAS纳入认证工作的重点领域。FAA工程师和波音之间也没有对MCAS进行更详细的审查或讨论。FAA将其工作重点放在了其认定的潜在高风险领域，例如发动机、电传扰流板和起落架等设计更改。因此，MCAS相关的风险并没有得到有效处理。从2012年至2014年，波音和FAA合作制定并实施了一项总认证计划，包括确定认证过程的哪些方面可通过波音ODA来实施。从2015年至2016年，FAA和波音ODA逐步开展认证工作。在这段时间内，波音也开始根据试飞结果修改MCAS，包括显著提高MCAS在特定条件下自动降低机头的能力。然而，波音没有向FAA提交详细说明设计变更的证明文件。虽然FAA的试飞人员知道这一变化，但FAA认证工程师和负责批准航空公司飞行员训练等级的人员称不知道MCAS有修改。直到2016年11月和2017年1月，波音才向FAA通报与MCAS有关的正式安全风险评估，那时5年的认证计划已经过去了4年多。据FAA管理层称，制造商在认证过程快结束时才提交安全评估报告并不罕见。此外，波音的安全分析并未将系统级安全风险评估为灾难性风险。因此，波音将MCAS设计为只依赖单个迎角传感器数据，而非多余度的（以降低风险）。2016年，FAA和波音开始认证试飞，确定飞机是否符合FAA的要求。此外，FAA的飞行标准处进行了单独的测试，随后批准了一项由波音提出的训练计划，即对于对已经有资格驾驶波音737-800的飞行员经过B级训练即可驾驶737MAX。2017年3月，FAA向波音发放737MAX8改进型号合格证，该机于当年晚些时候交付客户投入商业运营。2018年10月29日，狮航610航班坠毁，造成189人死亡。根据事故报告，在机组失去对飞机的控制之前，由于迎角数据错误，MCAS被激活了20多次，使飞机机头不停地下俯。据波音称，虽然波音的工程师和试飞员预计MCAS被激活多次是可能的，但他们认为这不会比一次激活更糟糕，因为飞行员能够识别并抵消飞机机头的下俯动作。2018年11月6日，波音向运营商发布了一份公告，促使FAA第二天发布紧急适航令（AD）。虽然在该公告和紧急适航令中，强调飞行员处理反复俯冲动作的程序，但都没有特别提及MCAS。FAA也在同一时间开始审查MCAS认证程序。这是FAA认证工程师第一次对MCAS进行详细审查，据几位FAA认证工程师介绍，这也是他们第一次全面了解MCAS的工作原理。根据FAA在坠机后进行的风险分析，波音提出了MCAS的重新设计方案，并得到了FAA的认可。2019年2月，FAA和波音正式就MCAS软件修复时间表达成一致。根据FAA的风险分析和现有的风险指南，波音将在2019年4月12日前完成软件升级。2019年3月10日，埃塞俄比亚航空公司302航班在起飞后不久坠毁，造成157人死亡。中间事故调查报告显示，在机组失去对飞机的控制之前，MCAS根据错误的迎角数据激活。2015年，美国交通部总监察长办公室（OIG）报告了FAA对适航管理（ODA）缺乏基于风险的监督方法。此外，FAA还指出了需要解决的有关ODA证明文件质量的问题。2015年12月，FAA和波音签署了和解协议，波音因违反质量控制体系和证明文件缺失而支付了1200万美元的民事罚款。FAA随后的监督发现，波音尚未完全解决所有已发现的问题，包括改善其识别和解决不符合FAA要求的根本原因方法的问题。在此期间，波音和FAA还发现在波音多家工厂存在对ODA人员施加过度压力的问题，这最终导致FAA于2018年11月正式要求波音实施合规措施。从相关事件的来龙去脉不难看出，波音公司和FAA均对两起空难有着不可推卸的责任。左为美国交通部的华裔部长赵小兰最后，这份OIG报告还回顾几个需要关注（令人细思恐极）的细节：1，波音有意对FAA隐瞒MCAS设计更改的细节，目的在于缩短认证过程，并降低飞行员训练成本；2，波音在狮航空难前（2017年8月）就发现迎角不一致告警问题，而迎角错误数据导致MCAS错误激活正是两起空难的主要原因；3，波音和FAA在狮航空难发生3个月后（埃塞俄比亚航空空难前）确定MCAS软件修复时间表，表明至少那时他们已经充分认识到在天空飞行的737MAX上安装的是有问题的飞控软件，但仍然没有要求立即停飞，导致第二起空难发生……美国众议院运输和基础设施委员会的最终结论在2020年9月16日，美国众议院运输和基础设施委员会（House Committee onTransportation and Infrastructure）发布了关于波音737MAX事件的最终报告。这份报告长达238页，调查结果有六十多项，其中包含5个中心主题：1，飞机生产和公司财务压力牺牲了飞行安全；2，错误地假设了飞机的关键技术和性能；3，隐藏了关键信息；4，FAA授权的员工未能尽职；5，波音公司对FAA监督施加影响。报告所披露资料显示，早在2012年11月时，在至少一次的模拟器飞行中，波音试飞员花了10秒以上的时间才对MCAS错误启动引起的水平安定面失控做出反应。在FAA的规定中，10秒是关键数字，例如某些故障需要飞行员至少花费10秒钟来反应，那么这些故障级别将被认为是“灾难性的”，需要花费更高的成本进行特殊的安全设计。而波音公司最终确定经过培训的飞行员可以在4秒钟内甚至更短时间对MCAS系统故障做出反应，这使得MCAS的错误启动被归属于不太严重的“危险”级别。美国众议院运输和基础设施委员会的这价报告指出，多名波音员工未能通知FAA关于试飞员花费10秒钟以上来应对MCAS的异常启动的情况，而这一问题其实波音公司在项目早期（2012年）已经发现。由于飞行员发现的这种情况是“灾难性的”，因此波音公司针对飞行员反应时间的假设应被提出质疑，但是却没有；多名波音员工也知道这一关键的波音测试数据，但从未与FAA共享—-据说，是因为没有专门的规定要求他们这样做。而尽管在波音737MAX的开发后期，MCAS也进行了改进和扩展，但早期的模拟器测试中飞行员反应时间有10秒的情况并没有告知给FAA。虽然第一次事故后，更新的MCAS系统增加了系统可能有的水平安定面配平输入量，使其能够在更多的飞行条件下运行，但是，波音公司并未对更新后的MCAS系统重新进行安全级别评估。后来波音737MAX的两次事故也印证了报告中的说法，即飞行员的实际反应和操作与波音的假设相反，飞行员没能很快将问题诊断为MCAS错误启动引起水平安定面失控，从而根本无法有效地禁用MCAS。到2020年9月29日，美国政府还公布了一项拟议中的飞机认证改革法案，这个法案并不是针对制造商波音公司，而是针对航空业监管部门FAA的，名为《飞机认证改革和责任法案》，共有27个章节，长达85页，旨在改革和加强涉及波音737MAX事故后的认证程序、巩固披露安全关键信息、对飞行员培训标准进行审查的新要求，以及加强对举报人的保护。对人为因素分析是该法案的一个关键部分，要求FAA评估支持人为因素的评估方法，并开发一个框架计划，更好地整合整个认证过程中人为因素的考虑。根据该法案，FAA应要求飞机制造商向机组人员提供接受驾驶舱系统培训所需的调查结果和信息。FAA要确保这些信息充分考虑人为因素。安全关键数据必须提交给监管机构，包括任何系统的细节。而在在飞机设计过程中，FAA必须对飞机制造商所做出的假设进行安全审查，审查还需要考虑全球航空运输市场的差异，以及飞行员水平和培训方案不同的问题。而在飞机衍生品（如新的飞行控制系统，或要求飞控软件更新的飞机气动稳定性变化）设计进行型号认证时，FAA必须重新考虑制造商对产品做出的假设，以确定某些修订和改进能否通过认证。美国飞行标准化委员会（FSB）的意见在对飞行员的培训方面，飞行标准化委员会（FSB）的波音737MAX训练文件草案于2020年10月6日发布，其中包括FAA要求的“特别加强训练”，该草案的新附录涵盖了该机改进的飞控计算机（FCC）软件和MCAS系统的控制律。对此，FAA提出了飞行员的最低训练需求草案，并要求所有的波音737MAX飞行员都应该接受新的训练。新的训练课程包括地面训练和全套飞行模拟训练，是保证飞行员从波音737NG过渡到737MAX所需的首个模拟课程，模拟训练总计需要大约3小时包括1小时的讲解和2小时的模拟飞行，预计有大约1700名美国各个航空公司的飞行员参加培训。虽然大部分的修订都与MCAS和飞控软件有关，但一些模拟器想定（尤其是手动微调工作）也适用于老式的波音737机型。不过，更新后的FSB草案并没有提议对老式的737进行新的训练。对于全球另一个主要的民航监管机构EASA（欧洲航空安全局），其对待该机型的态度与FAA稍有不同，在FAA做出决定后不久，EASA就表示不采用FAA的适航指令。欧洲航空安全局（EASA）的意见虽然EASA也同意如果波音公司完全按照FAA的适航指令来改进波音737MAX，该机就可以实现复飞，但EASA也认为有充分的理由要求波音公司采取一些（对FAA指令）额外的措施，这些措施也被EASA认为是确保飞机安全运行所必需的。EASA提出的措施主要是要为波音737MAX增加一个“虚拟”的迎角（AOA）传感器。该虚拟传感器独立于飞机原有的两个AOA传感器运作，可利用飞机其他传感器和飞行数据来源，经专用软件计算后对两个物理AOA传感器进行“校准”和“判断”，相关信息也将作为MCAS系统的触发判定依据。波音公司同意了此项措施，为飞机增加“虚拟”传感器的工作预计将需要20-24个月的时间，而在2022年交付的波音737MAX 10机型上将自带这种基于软件的解决方案。一旦该措施被证明有效，FAA也有望通过补充适航指令对整个机队进行改造。欧洲航空安全局（EASA）737MAX停飞期间，波音为推进该机复飞都做了哪些准备？737MAX危机已给波音公司造成了超过180亿美元的损失，在停飞的15个多月，波音为了重拾公众信任和推进复飞进程，在该项目上实施了多项提高安全性和产品质量的举措。一方面，在737MAX停产期间，其机械师和工程师通力合作以完善和标准化工厂每个位置的工作包，新的安装程序将确保员工掌握生产飞机的全流程。另一方面，波音对MCAS系统软件不断改进升级，提供额外的多层保护措施，已经进行了737MAX测试飞机的数十次飞行。该软件升级已经经过了数百个小时的工程分析、实验室测试、模拟机验证与两次试飞验证，其中包括一次有FAA代表作为观察员同机飞行的取证测试。其中，MCAS系统多层保护措施包括：1，飞行控制系统将比较两个迎角（AOA）传感器的输入。如果在襟翼收起的情况下，迎角传感器的差值在5.5度或5.5度以上，MCAS将不会激活。驾驶舱显示器上的指示将会提醒飞行员。2，如果在非正常情况下MCAS被激活，它将仅为每个大迎角事件提供一次输入。不会出现在已知或可预见的故障情况下MCAS提供多次输入的情形。3，MCAS永远不能对水平安定面给出无法让飞行机组人员通过拉回操纵杆进行抵消的指令。飞行员总是能够超越MCAS并手动控制飞机。这些升级将在非正常飞行情况下减轻机组的工作负担，并阻止错误数据造成MCAS被激活。MCAS系统的错误修正是波音737MAX复飞的核心内容关于MCAS系统的舱内操作图示除此之外，波音还完善了飞行员培训系统，要求飞行员必须完成21天及以上的由飞行教员带领的理论与模拟机培训。为了配合软件升级，波音建立了升级的基于计算机的培训（CBT）。同时，波音改进了737MAX飞机驾驶舱主显示器信息系统。主飞行显示器包含了飞机的横滚和俯仰姿态、高度、航向和垂直速度等所有飞行所需信息，其中包括增加的迎角（AOA）指示和不一致警示信息。737MAX机型的复飞测式和认证过程当地时间2020年7月1日，美国联邦航空管理局（FAA）表示，已与波音公司完成了737MAX飞机的认证飞行测试。波音此次取证飞行采用737MAX7，分3天完成，6月29日开始，7月1日结束，登记注册号为N7201S。飞行第一天，进行了两次飞行，在空中停留了将近4个小时。第二天，进行更高高度，更高速度的飞行测试，总飞行时间约为4小时30分钟。第三天，测试飞机进行了低空飞行，持续了将近两个小时。FAA表示，“我们正遵循严谨的程序，将花一些时间来彻底审查波音公司的工作。只有在FAA安全专家认为飞机符合认证标准后，才会取消飞机停飞命令。”波音并未做出置评，表示遵守FAA声明。此次飞行测试虽然结束，但是还需要执行多个步骤才能获得FAA的二次颁证。FAA和国际合作伙伴监管机构将评估必要的飞行员培训标准并发布报告，还将最终审查所有变更，并向现有737MAX飞机的飞行员提供指导。然后，FAA将取消737MAX停飞命令。即使取消了停飞命令，737MAX飞行员也需要接受培训，此后才能恢复商业服务。至11月18日，美国联邦航空局（FAA）解除了对波音737MAX机型商业运营的禁令，允许FAA管辖范围内的航空公司（主要为美国境内航空公司）开始采取必要步骤恢复该机型的运营，而且该机也被允许开始进行商业交付——只要航空公司此时愿意接收。时隔20个月，波音737MAX终于得到了FAA的复飞认证。紧随FAA之后，巴西国家民航局（ANAC）于11月25日就批准了波音737MAX客机恢复运营——并将使用与FAA完全一致的条件。加拿大交通部长表示，近期将批准737MAX复飞，但没有给出具体时间，而欧洲航空安全局（EASA）有可能在2020年1月做出复飞的决定。早在10月22日，中国民用航空局局长冯正霖就明确表示过，中国民航局早已对波音737MAX提出了“复飞三原则”，即：一飞机的设计更改必须获得适航批准；二飞行员必须得到充分有效的训练；三两起事故的调查结论必须是明确的，而且改进措施是有效的。中国民航局并不会为该机复飞设定时间表，只要飞机符合三原则的要求，该机即可在中国地区实现复飞。另据12月2日的新闻，在经历了20个月的安全禁令后，美国航空公司的一架737MAX飞机当天载着媒体记者、空乘人员等90名乘客进行了首次载客复飞，以此向乘客表明升级后的737MAX飞机是安全的。但是，在本文的最后，我们还是要再问一句：即使如此，改进过的波音737MAX真的就安全了吗？（本文参照、引用了中国航空工业发展研究中心《民机战略观察》杨敏、颜思铭、李辉、孙友师等人的相关文章，特此致谢）【往期回顾】新冠疫苗：一场可能没有胜利者的奥林匹克丨灯塔国开启“畜群免疫”：悄悄地进村，打枪的不要丨全人类新冠应激症：小国狼奔豖突，大国天翻地覆丨八百壮士，民族革命典型！丨终结“战争之王”的军火霸权丨即使美元崩溃，世界也无所谓丨美国对华包围圈越大，战略优势丧失越多丨从2008到2020，中国何以两次从危机中崛起？丨横空出世裁昆仑，忍将夙愿付东流丨黄金正在为美元敲丧钟丨口号比谁都社会主义，行动比谁都帝国主义丨全球粮荒：是多饿死100万还是多饿死1000万？丨病毒、饥饿、战争……一起敲响2021年的大门丨左手青龙大砍刀，右手新冠小疫苗丨美国正在发生3场“政变”丨出来混法西斯的，最后都是要还的丨暗杀，伊朗不行！明杀，美国和以色列也不行！