波音公司737 Max飞机的首席项目工程师告诉调查人员,他批准了一项对飞机软件进行的关键设计更改——尽管自己并不了解这个MCAS系统的工作原理关键细节,甚至于,尽管此前一名试飞员曾警告称,如果该系统发生故障,结果将是“灾难性的”。
▲波音737 MAX曾是波音最畅销的客机,此后却因坠机事件声誉尽毁。图据NBC新闻
不幸的是,这一警告最终成为了现实。在2018年10月及2019年3月,两架波音737 MAX客机上的MCAS软件以“飞行员无法克服的方式”迫使两架客机机头向下坠落,导致共346人丧生。
而这位工程师的说辞,“一字不漏”地出现在美国众议院交通委员会周三(16日)公布的波音737 MAX系列飞机最新调查报告之中。
美国国会的一个调查小组在历经18个月的调查后发布了这份报告。报告指出,不到五个月时间里连续发生的两起致命空难“并不是由单一的机械故障、技术失误或者管理不当引起的”,而是波音公司及美国联邦航空局(FAA)“犯下了一系列严重错误”共同导致的。
在报告中,调查人员详细披露了波音公司的设计错误、政府的监管松懈、飞机制造商和监管机构透明度的缺乏,是如何共同作用,最终导致了两起震惊全球的致命坠机事故。
【过于乐观的假设】
“飞行员可在4秒内100%正确行动”
2019年3月10日,当埃塞俄比亚航空302号航班的轮子刚一脱离跑道,机长格塔彻面前的仪器就失控了——飞行高度、空速和其他基本信息的显示器读数,与副驾驶面前的数据截然不同。
格塔彻的手开始颤抖,飞机爬升速度太陡,整架飞机即将面临从空中坠落的危险。很快,一连串的警报声、彩色灯光和机械音充斥着驾驶舱。“指令!指令!”格塔彻连喊了两次,试图激活自动驾驶仪,但回应他的只有警报声。
就在这个时候,名为MCAS的自动飞行控制系统突然将飞机的机头向下推。一个电脑控制的声音响起:“不要下沉!不要下沉!”
飞行员们拼命地试图控制飞机,想将机头抬起来。格塔彻三次指示副驾驶员艾哈迈德·努尔·穆罕默德,“上拉!”与此同时,一声巨响警告飞行员,飞机飞得太快了。飞行四分钟后,飞行员终于找到了问题的根源,同时喊了一声“左舵!”
故障传感器发出的错误信号欺骗了机载计算机,使其误以为飞机机头角度太高,导致MCAS一次又一次地将飞机向下推。
然而,一切都太迟了。302号航班以接近音速的俯冲速度撞向地面,冲击力之大使得这架载有157人的客机几乎瞬间被夷为碎片。
▲埃塞俄比亚航空302号航班失事现场。图据路透社
时间再回退5个月,2018年10月29日,印尼狮航集团一架JT610航班也在类似的情况下坠入爪哇海,导致189人不幸身亡。
自这两起震惊全球的事故发生以来,监管机构一直将目光聚焦于为何MCAS系统依赖单一传感器,以及波音公司决定不将新系统告知飞行员。然而,这些失误的根源,是波音对飞行员行为过于乐观的假设,即飞行员能够处理任何故障。
在为737 MAX设计飞行控制时,波音公司假设“受过现有安全程序训练的飞行员,应该能够甄别混杂的、相互矛盾的警告,并在4秒内100%地采取正确行动”。
《华尔街日报》称,波音几乎把所有赌注都押在了一条逻辑线上:对自身工程技术的信念,以及对飞行员能力完美无缺的依赖,使波音能够加快将其最主打客机的最新版本推向市场,并最终为客户节省资金。
而现在,这家航空巨头正在承受苦不堪言的后果:两起致命的空难、全球最大机队的停飞、受挫的航空公司,以及波音公司现代史上面临的最严重威胁。
▲埃航飞行员和机组人员出席为空难遇难者举行的哀悼仪式。图据《华尔街日报》
《华尔街日报》指出,对波音公司现任和前任员工、飞行员、管理人员,以及美国联邦监管机构的采访和各种文件显示,波音公司一再将MCAS系统带来的风险最弱化,没有进行详细审查,也没有受到美国监管机构的阻挠。该公司工程师们认为,如果MCAS系统发生故障,飞行员可以通过执行一套久经考验的应急程序,就能立即应对。
这些假设全部与波音公司的一个重要目标相吻合——尽快推出737 MAX。
【仓促诞生的MCAS系统】
“只是几行软件代码”
波音公司在2011年开始研制新一代波音737 MAX系列客机时,其劲敌空中客车公司已经开始推出A320neo客机。波音急需一架省油的单通道客机以避免失去市场份额,因此在董事会批准制造该型号飞机之前,就匆忙敲定了交易。
为了使用更少的燃料,设计要求该机型使用更大的发动机,并且位置前移。这些变化导致飞机在某些高空条件下可能发生机头向上翘起的情况,并有失速的危险。因此,工程师们开发了MCAS系统,以解决这一问题。
▲美国华盛顿的波音工厂内,一架正在组装的波音737 MAX。图据路透社
此时,波音公司的管理人员正专注于让737 MAX尽可能与此前的737版本一致。为了让航空公司以尽可能低的成本采用这种飞机,波音打算说服监管机构允许早期737 MAX的飞行员在不经过模拟器训练的情况下开始执飞。而如果两款机型间存在显著的安全差异,就必须进行模拟器训练,这就增加了航空公司的成本。
曾任波音驾驶舱工程师的勒德克向《华尔街日报》表示,公司管理人员向工程师施压,要求他们避免在设计上做出调整,以免飞行员需要在模拟器上学习。
参与飞机研发的知情人士说,2013年前后,包括737 MAX首席工程师迈克尔·蒂尔在内的官员们决定,不与飞行模拟器制造商合作开发737 MAX版本,因为他们相信这架飞机与早期的737不会有太大区别。
一些曾参与737 MAX项目的波音工程师说,在这个时候,MCAS并没有被视为飞行控制系统的重要组成部分。波音专注于他们所认为的对安全更重要的其他功能,比如自动着陆系统。
▲美国势必锐航空系统公司制造的波音737 MAX机身,正搭载列车前往波音工厂。图据《福布斯》杂志
据参与了相关讨论的前FAA工程师里德说,2013年前后的一次会面上,波音称MCAS系统“只是几行软件代码”。他回忆道,当时波音概述了一个测量飞机机头角度的传感器如何触发MCAS,但认为故障不太可能发生,因为该系统只有在极端情况下才会启动。“我们不要再浪费时间了,这种情况发生的机会很少,”里德还记得波音的负责人当时说了这么一句话。
737 MAX项目首席工程师迈克尔·蒂尔后来向调查人员承认,自己并不了解MCAS软件如何工作的一些细节,但他“依赖工程师对737 MAX程序的建议”。
波音给MCAS系统在日常操作中的认定为“重大技术危险等级”,这意味着“即便发生故障也不太可能导致死亡或飞机失事”。因此,从一开始,波音公司向FAA提供的安全评估文件就假设飞行员能够处理MCAS软件的故障事件。而监管机构也认可了这一决定。
【无人知晓的重要构件】
“(坠机了但)MCAS系统是什么?”
据《华尔街日报》报道,波音公司决定不需要告诉飞行人员MCAS系统或它是如何工作的。
在早期设计阶段,波音在一份手册草稿中提到了该系统的名字,并大致解释了其用途。然而,这些文字在发给航空公司之前就消失了。对此,波音给出的理由是,飞行员已经接受了多年的训练,以应对一种名为失控稳定器的问题,这种问题也会迫使飞机机头下降,与MCAS的正确反应相同。飞行员并不需要知道为什么会发生这种情况。
▲2016年1月,飞行员克雷格·邦本(左)和艾德·威尔逊完成了波音737 Max的首次飞行。图据美联社
然而,在设计过程的后期,波音将MCAS扩展到低速运行,以便满足FAA要求飞机控制系统平稳运行的规定,并在飞行员拉回轭架时不断增加压力。为了调整MCAS以适应较低的速度,工程师更改了系统重复移动稳定器的增量。而这一变化最终在两场致命的坠机事故中起到了“关键作用”。
知情人士表示,在增强了该系统的效力后,波音没有向FAA提交一份新的安全评估报告。虽然FAA的一名高级飞行员知道这些变化,但其他官员并不知情,该机构的许多其他人员仍在依赖波音公司对MCAS最初的描述。
2016年6月,一名波音员工表示,担心MCAS会在试飞过程中对抗飞行员的命令,以及传感器数据错误可能导致系统出现问题。而该员工的同事对这些担忧“不以为然”。直到传感器和MCAS之间的连接问题,导致两架该机型客机坠毁、346人丧生。
不仅如此,波音公司的内部文件也经常提到试飞员在飞行模拟器中对MCAS的反应延迟超过10秒,但这一发现并没有引起广泛的重视。
▲2019年10月30日,因波音737 MAX坠机事件,时任波音首席工程师约翰·汉密尔顿出席美国国会听证会。同年12月4日,汉密尔顿宣布退休。图据美联社
调查委员会发现,波音公司没有与美国联邦航空局、自己的客户或737 MAX飞行员分享过这些反馈信息。该公司也向委员会证实,没有任何记录显示公司与FAA共享MCAS协调表,因为“他们没有被要求这样做”。
FAA的训练专家也并不知道MCAS系统已经变得更强大,最终认为737 MAX的操纵特性“与之前的737非常接近”,飞行员可以在笔记本或平板电脑上花几个小时学习变化。最终,737 MAX如愿于2017年投入正式使用。
2018年10月28日,一架从印度尼西亚登巴萨飞往雅加达的印尼狮航737 MAX航班上,失速预警振杆器突然发出警报振动。一个故障传感器发出的错误数据触发了假失速警报,同时触发了MCAS把机头往下推。
困惑的驾驶人员查阅了一本快速参考手册,在执行了失控稳定器检查清单后,成功恢复了对飞机的控制。他们关闭了MCAS系统,手动飞行完成了剩下的旅程。飞行员和机械师没有在维修记录中指出问题的严重性。
第二天,这架飞机再次从雅加达起飞,机组人员立即遭遇了同样的问题。机头被不断往下推,机组人员通过控制系统上的拇指开关,对系统进行了大约20次操作,但没有执行完整的紧急程序来关闭MCAS系统。起飞后11分钟,飞行员失去了对飞机的控制,飞机在一瞬间坠入大海。
▲2018年10月31日,在雅加达国际集装箱码头搜寻时发现的狮航610航班遇难者的鞋子。图据法新社
据知情人士透露,事故发生几天后,FAA首席工程试飞员凯文·格林在一次电话会议上对十几名FAA官员说,MCAS系统涉嫌在事故中发挥了作用。
“MCAS系统是什么?”据知情人士透露,一位FAA官员当场问出了这个问题。
【监管体系的“严重漏洞”】
“审查未显示波音有任何违规行为”
周三发布的调查报告指出,美国联邦航空局(FAA)的监管体系“存在严重问题”,亟须进行彻底改革。在波音公司和FAA官员都不完全了解MCAS系统的情况下,监管方面存在的诸多漏洞却使得737 MAX被证明是安全的。
据《华盛顿邮报》报道,在被FAA拖延了数月之后,调查人员于今年5月获准查看了一份“监督报告”草案,该报告起草于2019年2月,也就是狮航客机在印尼坠毁的四个月后。草案中提及了波音公司在狮航坠机事故发生前几年的一系列举动,其结论令调查人员震惊。
该文件称,在FAA的审查中“并没有显示波音公司有任何违规行为”,这意味着波音公司完全遵守了美国联邦安全规定,尽管它最终交付的是一架有严重缺陷的飞机。在这份草案完成的大约一个月后,另一架737 MAX飞机在埃塞俄比亚坠毁。
▲2019年10月30日,时任波音首席工程师汉密尔顿(前左)和时任波音首席执行官丹尼斯·米伦伯格(前右)出席美国国会听证会时,波音737 MAX坠机事件遇难者的亲友在现场举起照片以示抗议。图据美联社
“这是官僚主义用语,是符合规则的。问题是,它是合规的,但它并不安全,甚至有人因此死亡。显然,这个制度是不足的。”美国众议院运输和基础设施委员会主席彼得·德法兹奥说道。
这份报告给出了“迄今为止最明确的暗示”:波音公司或代表FAA负责监督认证过程的部门,可能在737 MAX设计阶段就发现了其飞行控制系统的缺陷,但却没人对MCAS系统的缺陷以及工程师、试飞员提出的担忧采取行动。
报告中写道,连续5个月内发生的两起致命空难是“波音公司工程师一系列错误的技术假设、波音公司管理缺乏透明度以及美国联邦航空局监管严重不足共同引起的可怕结果”。调查人员表示,波音公司错过了多次可能改变737 Max设计和开发轨道的机会,而FAA自己也错失了一系列“查漏补缺”的机会。
调查人员总结称,这两起坠机事故清楚地证明,FAA的监管体系“存在根本缺陷,亟需修复”。
目前,美国参众两院的议员们都在考虑如何加强FAA对波音和其他航空公司的监管。德法兹奥表示,他正在众议院寻求民主党和共和党就监督程序的立法修正达成协议,有关谈判正在进行中。美国参议院商务委员会原定在周三的一次会议上审议一项两党提案,但由于委员会领导人仍在权衡修正案,该提案从议程中被删除。
▲美国华盛顿州西雅图,因无法交付停放在波音机场附近员工停车场的737 MAX。图据路透社
波音公司发言人Akubuiro在声明中表示:“我们一直在努力加强我们的安全文化,重建与客户、监管机构和飞行公众的信任。”Akubuiro指出,波音公司已将审查委员会、专家和美国当局此前提出的众多建议,以及公司内部审查的建议,纳入了737 MAX和整个飞机设计过程。
他还表示,波音公司已在内部建立了一个新的安全组织,让“安全措施得以加强和标准化”,并对公司内部进行了改革,以便“让工程师有更大的发言权,更直接地与高层管理人员分享自己的担忧”。
FAA方面也表示:“我们根据内部审查以及对狮航和埃塞俄比亚航空事故的独立审查中获得的经验,采取了重要的主动行动。这些举措的重点是通过改善我们的组织、流程和文化来提高整体航空安全。”
FAA表示,他们已经发布了一份关于适航指令拟议规则制定的通知,该指令将要求波音737 MAX在复飞前对其进行多项设计更改。FAA将遵循一个“彻底的程序,而不是规定的时间”,让飞机复飞。
红星新闻记者 徐缓
编辑 李彬彬