04

图4 MAX飞机安定面配平切断电门示意图

狮子客机失事后，埃航飞机为何还会以相似的方式再次失事？笔者推测：埃航失事过程中，飞行员可能未能及时切断安定面配平电门，其原因可能与波音未能准确描述MCAS系统的正常启动逻辑有关。

1）按照波音的官方介绍，飞机襟翼放下时，MCAS系统不会启动。而失事的埃航飞机出事时一直在500－1000英尺的离地高度，这个高度通常在收起飞机襟翼的高度之下，所以正常情况下，MCAS系统应该不会启动，然而此时却出现了机头突然下压的险情（事后分析，该状况很有可能正是MCAS系统造成的），但是刚受过专门培训的埃航飞行员有理由相信该险情不是MCAS系统引起的（因为此时襟翼还没有收起），再加上副驾驶员的飞行时间只有200小时，其在慌乱中很难具有挑战FAA适航指令和波音OMB权威的勇气，所以埃航失事客机的飞行员没能及时关闭控制MCAS系统的开关，最终导致坠机悲剧的发生。这就能解释埃航失事飞机残骸中发现的安定面配平装置（jackscrew，即平尾丝杠）为何会和狮航失事客机极为相似——两者均处于不正常的位置，这表明两架失事飞机坠机之前均处于高速俯冲状态，表明飞机水平安定面应该是被系统所控制。

2）类似例子并不罕见。这几个月来，美国国内航班的飞行员曾多次向联邦当局表达了对波音737Max 8安全的担忧。比如去年11月一名商业航空公司的飞行员报告说，在起飞过程中，自动驾驶仪已投入使用（按照波音的说法，在此工况下，MCAS系统不应启动），然而飞机“在两到三秒内，飞机机头向下倾斜”，其速度足以触发飞机的警告系统。后来，经验丰富的飞行员将自动驾驶仪关闭后，飞机可以正常情况爬升，并排除了险情。令人遗憾的是这样的报告没有引起FAA或波音的重视，否则有可能可以避免埃航空难的发生。

以上事实表明：MCAS系统的实际表现与波音做出的OMB说明存在诸多严重不相符的地方，并可能因此产生了灾难性后果。波音此举的可能原因如下：

第一种可能，波音故意隐瞒737 Max上还隐藏着其他自动失速保护子系统，或者波音故意隐瞒MCAS的全部信息；波音此举可能是为了掩盖MCAS的实际情况与适航认证时提交数据不一致的真相，因为根据掌握的情况看，MCAS在FAA适航认证时，很有可能波音只提交了一份错漏百出的安全评估报告，就通过了FAA的审查（由于FAA放水，实际上是波音自己审查，详情见下文）。

第二种可能，虽然MCAS相关技术尚为成熟，但是为了应对与A320新机型的竞争压力，波音在没有充分论证、验证MCAS全部工作原理、全工况状态和安全可靠性等情况下，就匆匆在737MAX飞机上安装了MCAS（或者其他自动失速保护子系统），波音可能严重低估或忽视了MCAS的危险性，所以狮航空难后，波音无法说出MCAS的全部准确信息，也就不能有效地协助埃航飞行员规避仍然存在的安全隐患。

实际上，不管是上述何种可能性，均表明737Max客机存在重大安全隐患，世人根本无法知晓备受争议的MCAS系统究竟还隐藏着什么样的致命秘密？更无法知晓737 Max客机上还隐藏着多少类似的系统？

5、MCAS系统可能存在严重设计缺陷

《西雅图时报》3月17日援引美国联邦航空管理局的现任和前任工程师的话说，波音公司2015年推出737 MAX新型客机之后，为了获得联邦政府的认证，向联邦航空管理局提交了客机新型飞行控制系统的安全评估，系统全称是“操纵特性增强”系统（即本文所述的MCAS系统），美国联邦航空管理局的工程师发现，波音提交的安全评估报告存在以下问题：

1）安全报告没有充分标出新型飞行控制系统的全部动力。为了防止飞机空中失速，飞行控制系统可以转动飞机的水平翼，让机头朝下。但客机服役之后，控制系统转动尾翼的速度要比安全评估标出的速度高出三倍多；笔者认为：这问题表明波音忽视航空安全，并对MCAS系统研究不足，缺少足够的试验数据来评估MCAS系统对飞机造成的影响。

2）驾驶员做出回应后，报告未能充分考虑到系统能否及时复原，也未能考虑到系统还可能继续把机头往下推；笔者认为：该问题尤为重要，其指出了MCAS系统可能存在一意孤行，最终造成飞机坠机的严重风险，但是很遗憾该问题没有引起FAA和波音重视。

3）系统的危险评估定在有害等级，比“灾难性”低了一级。即便有害等级，也不能只靠一个单一的传感器的信号去阻止飞行控制系统的启动，而这套系统正是这样设计的； 笔者认为：该问题非常关键，其指出的单一的传感器的信号去阻止飞行控制系统的启动的问题，正是造成狮航空难的直接原因，如果波音在适航认证阶段把该问题解决，狮航空难就不会发生。

4）报告称，客机水平翼的转动角度小于0．6度，但去年狮航公司610航班坠毁之后，波音公司首次向各个航空公司提供的“操纵特性增加系统”说明则把角度标成2．5度；笔者认为：该问题表明波音对MCAS的披露与实际情况不相符，而且737MAX的适航认证存在漏洞。

6、FAA在737MAX的适航认证方面早已乐崩礼坏

据外媒报道，美国交通部正在对联邦航空管理局（FAA）批准波音737MAX喷气式客机的情况进行调查。这是一项针对新飞机的安全批准存在潜在失误的“不寻常调查”。

外媒援引FAA的工程师的话说，波音737 MAX客机的竞争对手是欧洲空客的A320neo客机，但波音研发已经晚了九个月，FAA就把波音737 MAX飞行控制系统的安全评估任务交给了波音，并要求自身的工程师们加快检查进度。美国联邦政府的安全调查员认为，波音737 MAX客机新安装的控制系统的安全评估存在疏漏，政府的航空认证也没有尽责。在此背景下，匆匆上马的MCAS可能没有经过充分的试验验证，就通过了FAA的适航认证，对于狮航、埃航这两起重大空难事故，当初“放水”的FAA与既当运动员又当裁判员的波音可能都难脱其咎。

上述外媒报道与波音在CN106477055A号专利说明书中自认享受了FAA授予的性能免除许可优惠政策（performance relief credits）等内容吻合，并且波音向FAA提交的关于MCAS系统的安全评估报告，在CN106477055A号专利说明书中也有记载，这些情况表明MCAS系统与该专利涉及的自动失速保护系统有关，那么除了MCAS系统，波音是否在737MAX上安装了其他自动失速保护子系统？波音是否向FAA隐瞒了这些子系统的存在？这些子系统是否通过了适航认证程序？是否还有更多的系统也这样“混”过了FAA的适航认证？这些问题都与737MAX的飞行安全密切相关。

综上所述，首先，除非埃航空难事故调查结果能够证明该起空难与MCAS及其他失速自动保护子系统无关，否则波音对MCAS进行的任何陈述和补丁升级等都不足以保证737MAX客机的安全和可靠。其次，如果埃航事故调查结果表明空难原因与MCAS（或者其他失速自动保护子系统）有关，并且FAA在737MAX客机适航取证等问题上存在徇私、舞弊等失职情形，那么中国民航局就有理由和依据取消737MAX在中国取得的适航认证，并且中国也有理由不再信任和实施FAA对737MAX做出的各项适航决定、指令。

三、启示与建议

1、加强波音737MAX的适航验证工作

根据上文可知，波音和FAA在两起空难前后的种种表现，严重动摇了它们多年以来在全球树立的权威和声誉，为了中国乘客的安全，在必要时，中国有权对波音737MAX客机重新进行适航认证，这是对中国全体人民的生命财产安全负责！也是为被空难夺去的3百多条鲜活生命和8名遇难同胞讨还公道！

由于MCAS及其相关技术可能尚不成熟，并且涉嫌造成了两起严重的空难，所以对其进行适航认证时，应该加强737MAX的实际飞行验证科目，以验证737MAX客机在全工况和极限条件下的安全可靠性，特别是应该加强考察737MAX客机在各种失速情况下的实际飞行状况。

2、尊重生命，尊重客观规律，尊重科研人员

波音涉嫌为了应对空客A320NEO型客机的竞争压力，罔顾型号科研生产客观规律，一味的赶任务时间节点，不听劝告和漠视乘客生命安全地贸然使用不成熟MCAS等技术，最终酿成大锅。中国航空制造业应该引以为戒，应该始终把安全放在首要位置，中国航空制造业应该夯实基础和按客观规律办事，应该多做试验和基础研究，不能盲目求快。

3、中国民机制造商应该重视飞机总体设计和飞控软件安全问题

波音737是多年使用的老旧低矮的机型，737的改进和换发等工作使波音捉襟见肘，中国民机制造商可以博采众家之长，充分发挥后发优势，设计出比较完善、而且具有较大改进升级空间的飞机构型；飞控软件是飞机的灵魂，中国民机制造商应该尽快掌握该领域的核心技术，否则中国的民机可能将长期受制于人，客机的安全也很难得到全面保证。

4、重视专利情报分析和专利信息传播的作用

专利情报分析对科研生产和型号研制非常有用，建议中国航空制造企业应该重视型号研制、重要技术攻关等方面的专利情报工作，另外为了促进创新和鼓励先进专利技术信息的扩散，建议国家借鉴《美国专利法》102（a）（1）规定的出售阻却（on－sale bar）条款，在《中国专利法》中也做出相关产品只要一经销售，就丧失专利新颖性的规定。

5、大力发展国产民机产业的同时，积极开展高铁、动车的海外业务

波音737MAX客机空难和全球停飞事件，将会对世界民机市场格局产生重大影响，事件在给中国国产大飞机带来发展机遇的同时，也会对很多人选择飞机出行产生较大消极影响。在一段时期内，可能会有较多人对飞机飞行安全心有余悸，他们会优先选择火车出行，所以事件可能会给中国的高铁、动车也带来不少商机，建议中国选择关系友好、地广人稀的国家或地区（比如俄罗斯、独联体和非洲）拓展高铁、动车业务。

（航空工业发展中心 陆峰；中国飞行试验研究院 张喆）

本篇供稿：系统工程研究所

运 营：李沅栩