波音是否会走下神坛？737MAX-8客机空难事故初步分析

狮航和埃航出事737max照片本文图片均来自“民机战略观察”微信公众号

波音737MAX是波音737装配新发动机的衍生机型，该机延续了737系列的良好市场表现，自项目启动以来已经获得5011架订单，交付运营350架，其中国内共运营90架（截至2019年1月底）。然而，自去年10月底以来，短短5个月内，该机已经发生了两起灾难性坠机事故，其安全性受到公众的普遍质疑。

本文将基于目前的公开事故信息以及相关情报研究的角度对737MAX-8坠机事故的原因进行初步分析，提出对我国航空业的启示和建议。

一、两起空难概况

2019年3月10日，一架埃塞俄比亚航空公司的波音737MAX型客机起飞后6分钟坠毁，机上的149名乘客和8名机组人员不幸全部遇难，其中包括8名中国乘客。然而这不是首起737MAX空难，2018年10月29日上午，印尼狮航一架由波音737MAX执飞的飞机，在从雅加达起飞大约13分钟之后失联、坠毁，机上189人不幸全部罹难。

这两架失事飞机都是波音公司生产的737MAX-8型客机，均为机龄不超过1年的新飞机，而且发生坠毁的时间都是在飞机起飞几分钟后。更为巧合的是，根据Flightradar24数据显示，失事埃航客机的飞行数据记录了飞机最后的轨迹，飞机在起飞后，曾经有过突然下降的迹象随后又有拉升，之后消失在追踪画面中，该现象与印尼狮航客机失事前的飞行轨迹颇为相似。

初步调查表明：狮航空难是飞机信号系统接收到一个假信号，信号显示飞机‘抬头’，所以飞机自动失速控制系统持续给出了‘低头’的指令，机组人员与飞机自动失速控制系统搏斗很长时间，但最终还是发生了坠机悲剧，而埃航空难在飞行过程中也发生了不正常的爬升与下降及飞行速度超速的现象，这表明狮航空难后，虽然波音公司做出了安全复查和的适航公告等措施，但是这些措施可能并没有解决掉737MAX-8飞机的安全隐患和设计缺陷，从而造成了埃航客机失事。

二、空难原因分析

目前，埃航空难刚刚发生，其失事原因还在进一步的调查中，本文主要通过波音申请涉及自动失速保护系统的专利和狮航空难的初步调查结果等进行分析。

据悉，波音737MAX-8配备了自动防失速系统，即“机动特性增强系统（MCAS）”。飞机飞行时机头越高，攻角越大，当攻角超出一定范围时，飞机面临失速风险。MAX-8配备的自动防失速系统一旦判断飞机失速，可以无需飞行员介入即接管飞机控制，并使飞机低头飞行，以改出失速。

经国内、外专利检索发现，波音在防失速技术领域大约申请了110件/61个专利族的相关专利。根据专利申请时间、首架波音737MAX 8型飞机交付用户的时间（2017年5月16日）和自动防失速系统技术内容相关度等情况判断，上述波音专利中，与波音737MAX8飞机上的防失速系统技术功能最接近的专利为CN106477055A号专利。

CN106477055A号专利附图

我们假定CN106477055A号专利所述的飞行器失速保护系统被安装到了狮航失事飞机上，并以此为基础结合目前公开的情况，对失事航班的空难原因进行了初步推理和分析。

1、客机的迎角传感器校准不当

据事故调查信息显示，狮航失事航班上的电脑系统是根据一个攻角传感器的错误数据在运行，该错误数据可能是由于迎角传感器校准不当造成的；波音没有事先向机务披露737MAX飞机上新增了自动失速保护系统，在失事飞机的操作手册中没有对可能导致飞机俯冲的关键功能进行警告，在事先不知情的情况下，飞机维修人员很难检测出飞机故障的真正原因；当飞机发生事故时，飞行员不知道正确操作飞机的方法，所以很难及时排除险情。

2、在判断飞机失速状态方面存在设计缺陷

737MAX飞机上至少设有3个迎角传感器，自动失速保护系统的逻辑是只要主迎角传感器认为飞机迎角过高（即机头抬得过高），就认定飞机有失速危险，自动失速保护系统就会被激活。而空客飞机在类似系统设计中规定：只要三个迎角传感器的读数不一样，不管主次，都选择不相信，直接报错给飞行员，从而避免主迎角传感器出错，导致整个系统出错的风险。与空客相比，波音似乎存在设计逻辑上的bug。

3、在优先级问题上存在设计缺陷

自动失速保护系统被上述迎角传感器的错误数据激活后，自动控制飞机快速俯冲下降，当飞行员发觉飞机飞行姿态不对时，会手动操作驾驶杆想拉起飞机，但自动失速保护系统会与飞行员争夺飞机的控制权，并一直控制飞机下降。只有当飞行员的手动操作符合系统设定条件时，自动失速保护系统才会终止，飞行员才能获得飞机全部控制权，但是由于飞行员事先没有被告知自动失速保护系统的存在及其功能，所以事故发生时，飞行员无法关闭自动失速保护系统，也无法阻止该系统控制飞机下降直至坠毁，这就解释了为何飞机会出现快速下降一段时间后被拉起，然后再次下降的反常现象。

4、该新增的自动失速保护系统可能存在适航认证的漏洞

根据CN106477055A号专利说明书的记载，波音承认在飞机的适航认证过程中，有可能利用了监管机构(如美国航空管理局FAA)授予飞行器制造商用于安装自动失速保护系统的性能免除许可(performance relief credits)政策，使该自动失速保护系统的安全性在未得到充分试飞验证的情况下，就通过了FAA的适航认证。

综上所述，狮航空难的可能原因是：737 MAX 8型飞机新设的自动失速保护系统可能存在设计缺陷，并且该自动失速保护系统在适航认证时，FAA存在“放水”嫌疑；狮航空难发生后，波音可能没有解决该系统存在的上述问题，所以又造成了埃航737 MAX飞机失事。

需要说明的是，目前狮航空难的最终调查结果还未公布，埃航空难的信息披露得较少，我们的分析仅仅是初步的判断，仅供参考，具体情况以将来的调查结果为准。

四、措施建议
（一）立即停飞中国境内的737MAX飞机，加强事故调查和737MAX飞机的风险排查工作

中国民航当局应该组织专家，进一步研究分析CN106477055A等专利情况，必要时可以要求波音公司比照相关专利，详细说明737MAX在自动失速保护系统方面的设计细节和技术内容；波音在737MAX飞机安装失速保护系统后，适航认证时可能向美国联邦航空局（FAA）提交了特殊状况问题报告，中国民航局可以要求波音提供相关报告，应当对波音涉嫌利用政策漏洞，获得FAA适航认证等情况进行专项调查。

中国民航局应当对737MAX飞机上的自动失速保护系统重新开展适航认证工作。中国民航局不能迷信和依赖FAA适航认证方面的权威性和公正性。中国民航局应当对安装有自动失速保护系统的其他型号的波音飞机也进行排查和安全评估，如果波音飞机上还存在利用政策漏洞而取得适航认证的其他系统，那么这些系统也要进行全面排查。

上述风险排查完毕之前，737MAX飞机不应承担执飞任务。在必要时，中国民航局可以考虑对737MAX飞机重新进行适航认证。

（二）采取必要风险规避措施

如果737MAX上真的安装了涉及CN106477055A专利的失速自动保护系统，再次发生类似事故时，机组人员仅仅依操作手册应对“攻角数据错误”很可能是不够的，飞行员可能需要马上关闭失速自动保护系统，才能获取飞机的完全控制权，波音公司应该对相关系统设置和操作进行专项培训。波音对其737MAX上失速自动保护系统进行系统维修、更新时，必须解决迎角传感器安全余度和数据真实性验证等设计问题，并且应保证飞行员手动输入指令优先于系统自动控制指令。

（三）中国民机制造商应该引以为戒

中国商飞公司要重视自动失速保护系统的设计工作，避免出现安全隐患和逻辑漏洞；在国产民机的适航认证方面，商飞公司还应关注国外适航监管机构(如FAA)授予飞行器制造商在安装失速保护系统的性能免除许可等方面的制度规定，中国制造的飞机有权利获得FAA的同等对待和尊重。

（四）中国及更多国家应该加入埃航空难调查组

按照国际惯例，空难调查方的一般排序为：飞机失事地所属国、飞机所属国、飞机制造商，所以埃塞俄比亚政府、波音公司都拥有埃航空难原因的调查权，另外FAA也计划派出多名专家协助埃塞俄比亚空难调查。埃塞俄比亚是非洲发展中国家，该国调查航空事故的经验和能力比较有限，可能需要更多援助和支持，目前中国救援队正在积极参与埃航空难现场的搜救工作。埃航空难引起的波音股票暴跌和多国航空公司停飞737MAX-8等反应，已使波音遭受巨大损失，如果调查结果认定埃航空难与狮航空难原因存在关联，可能将波音陷入万劫不复之境，因此波音在调查埃航空难时做出的立场、表现和陈述存疑。

FAA在波音737 MAX自动失速保护系统的适航认证方面可能存在审查漏洞，并且目前FAA没有停飞美国境内的737MAX-8飞机等，这些表现都已经动摇了FAA的公正性、权威性和客观性。埃航空难后，中国率先停飞737MAX-8型飞机的行为得到了广泛的国际支持和积极响应，截止2019年3月13日,全球已经有至少27家航空公司暂停波音737MAX 8飞机运营，其中包括美国盟友英国、澳大利亚、韩国共有13个国家和地区,并且埃航空难造成8名中国公民不幸遇难，为了给遇难同胞及其亲友讨回公道，中国有责任和权力参与埃航空难事故的调查。

（作者系航空工业发展研究中心研究人员。原题为《陆峰|波音是否会走下神坛？一737MAX-8客机空难事故初步分析》）

作者：胡辶

链接：https://www.zhihu.com/question/315360734/answer/619791865
来源：知乎
著作权归作者所有。商业转载请联系作者获得授权，非商业转载请注明出处。

仅就印尼航空2018年坠毁的737 MAX8 而言，MCAS的误判在事故后的报告中被归结为事故成因之一，但是波音极力否认有设计缺陷。

但是MCAS本身就是一个用来补救整体设计问题的系统。

现代飞机大多采用模块化设计，737MAX系列的一大特点就是替换了动力模块，采用CFM LEAP-1B 发动机替换了老一代的CFM56-7系列发动机。

新的发动机涵道比高达9：1，比老机型更加静音省油。新的动力系统也带来了新的问题，CFM LEAP系列发动机更加短粗，因此在机翼上的安装位置也更加靠前。从下面的对比图可以看出，737MAX8相比737-800发动机位置变化。

在原有气动布局变化不大的情况下，这种发动机安装结构的改变在特定情况下就有可能会把机头推得上仰，从而陷入失速的风险。

为了解决新发动机的带来的这个问题，摆在波音面前的是两条路，一条是改造飞机的整体气动布局，从根本上解决俯仰问题。另一条就是用飞控软件控制舵面，对冲上仰倾向。

对于波音来说，重新设计机翼造型等气动布局是一个很不划算的选择，这样有可能带来相当于设计一台新飞机的工作量，也会浪费大量和老737机型的通用设计与零件。

于是波音采用了MCAS系统来解决机头上仰的问题，如下面的视频所示：

MCAS

 

波音的做法是这样的，在机头侧面设置攻角传感器，传感器上带有一个微型翼面，会被气流吹得上下俯仰。理想情况下，不管飞机是爬升、下降还是平飞，如果飞机的机头与翼面指向平行于飞机的运动方向，飞机的攻角为原始位，那么在气流的作用下攻角传感器的翼面就会与机头指向平行，显示攻角正常；如果飞机机头被发动机推着仰了起来，这时候机头指向就会和飞机的实际运动方向呈一定夹角（攻角），传感器翼面还是会在实际运动方向吹来的气流作用下指向气流方向，这时候传感器会显示出飞机的攻角读数。

当传感器显示的读数超出一定范围内，飞控电脑就会认为『飞机又要被发动机推翻了』，从而激活MCAS，控制机头自动下压 。在这样的操作下，波音认为可以通过程序设计就可以解决新发动机带来的问题。

但是作为事后诸葛亮来看，波音的做法很显然隐藏了危机：

1. 攻角传感器外部结构为机械传动结构，会有一定的故障风险 ，在起飞降落阶段，由于气流较为复杂 ，传感器读数也可能出现错误，并不一定能显示实际攻角。印尼狮航的事故主要就是就是由此引起。
2. 电脑完全依靠传感器读数在飞行员手动驾驶的情况下不是发出警报提醒飞行员，而是直接强行压低机头，除非飞行员特殊训练，非常了解这一问题成因，才可能关闭MCAS解决这个故障。如果飞行员误判飞机不受控制原因，则极大可能造成事故。印尼狮航在天上人机互搏十几分钟，固然有训练不足人员误判的原因，波音的设计逻辑也难逃其咎。

总而言之，波音737MAX的机头上仰问题是由于换发带来的，在排除了大改气动布局的前提下，波音试图用MCAS做出补救，但是不论攻角传感器的可靠性以及电脑自动操控的逻辑都值得商榷。在这些问题没有得到彻底解决之前，个人会避开乘坐这一机型，也无比拥护民航局禁飞的决定。

补充几点:

1. 波音737MAX目前只依靠两个攻角传感器之中任意一个激活MCAS启动，没有冗余设计。也就是说在手动飞行模式，襟翼升起后，只要一个AoA传感器故障，飞机就自动下压。华盛顿邮报最新报道有中国飞行员也遭遇过类似情况，好在及时关闭系统接管飞机。

2. 不要以为自动飞行模式就没关系，这时候电脑有更高权限，想怎么飞就怎么飞，自然不用独立系统控制俯仰。美国有至少两起飞行员投诉737MAX自动飞行模式下机头异常下压。

3. 波音对这个问题的态度就是补丁加补丁，目前从FAA通知看要求波音四月份改进软件以及告警系统，估计会在MCAS启动时发出警报。但是新发带来的气动问题无解，不知MCAS启动频率有多高，如果每次都启动报警，飞行员有可能起降时一路听的都是警报音。

四年前的3月8日，马来西亚航空MH370载着239人在从吉隆坡飞往北京途中，神秘地从雷达信号上消失。四年后的今天，除了只找到一小部分飞机残骸之外，机上两百多名乘客和机组人员以及这架波音777客机主体的下落至今杳无音讯。为何号称当今世界上最先进的客机之一的庞然大物会消失的如此干净，这个答案或许只有等待找到主体残骸才能解答，亦或许谜底会和这两百多名遇难人员一道长眠于茫茫的大洋海底，成为千古之谜。

就在马航370航班失联后的几天里，各大媒体常常提起发生在2009年的法国航空AF447航班失联事件，并这起事件和MH370作类比。同样消失在茫茫大洋上空，同样没有求救信号，同样是当今世界上最先进的宽体科技之一，同样花费了大量的人力财力物力和时间进行搜救，同样……两起事件其实有太多的相似性。

不同的是法航447经历了近三年的调查搜寻，主体残骸和事故原因终于浮出了水面，而MH370的真相至今石沉大海。

今天的内容就为大家讲讲这起发生在九年前的空难事故——消失的法航447。

飞机神秘失联

2009年5月31日夜，法国航空447号航班由巴西里约热内卢前往法国巴黎，执飞机型空客A330-200（注册号：F-GZCP）。共有216名乘客登上了这架飞机，另外还有12名机组人员。

事故航机资料图：法航A330-200（注册号F-GZCP)，2008年10月摄于巴黎戴高乐机场

这些乘客来自32个不同的国家，有中国中科院的研究员(共9名中国公民)，有刚从医科大学毕业的爱尔兰女大学生，土耳其竖琴演奏家，可口可乐公司的高管……

法航447飞行路线及出事地点示意图

飞机起飞后，很快便爬升到了35000英尺的巡航高度。6月1日凌晨1:49，飞机按照预定航路进入了大西洋中部的雷达盲区。两个小时后，当空管尝试与法航447取得联系时候，得到的却是无人应答，而且飞机再也没有出现在雷达上，没有求救信号，就这样法航447航班神秘地消失了。

首片残骸在5天后被找到

6月1日，白天巴西方面立即展开大规模的搜救行动，8架飞机对巴西东北1100公里的海岸线进行了搜寻，结果一无所获。时任法国总统的萨科齐也立马赶到了巴西，并向通过媒体告诉人们要做好最坏的打算。

飞机失联后，乘客家属焦急万分纷纷赶到机场等待新的消息

飞机失联后，乘客家属焦急万分纷纷赶到机场等待新的消息

由于飞机最后一次和地面取得联系是在进入雷达盲区之前，也就是说飞机可能在这片盲区的任何位置发生意外，而这块雷达盲区有几千平方公里，无疑给搜索带来了极大的难度。

在接下来几天里，不断地有发现疑似残骸的报告，然后便是排除疑似残骸。

巴西方面大规模出动空军搜救失联飞机

巴西方面大规模出动空军搜救失联飞机

终于在飞机失联后的第五天，也就是6月7日，第一批飞机残骸被巴西军方找到，其中包括了垂直尾翼，还有29名机上乘客和机员的遗体；而且他们从残骸上的编号，确认这就是失踪法航班机所有。当日，巴西官方宣布飞机坠毁，机上人员全部遇难。

飞机的垂直尾翼成为第一批被找到的残骸

飞机的垂直尾翼成为第一批被找到的残骸

巴西军方同时还发现部分遇难者遗体并且将其打捞

这对机上人员的家属来说无疑是晴空霹雳，此时，找到真相才是对遇难人员家属最好的安慰。不过，飞机的黑匣子和主体残骸才是找出真相的关键，找到它们才能解答飞机失事的原因。

第一批被打捞上岸的部分残骸

7月7日法国为法航447航班遇难者举行悼念仪式，时任法国总统萨科齐参加悼念仪式

耗时两年，黑匣子依旧

负责这次空难调查的是法国民航事故机构，他们在一个月内找到黑匣子，因为一个月后黑匣子会因为定位器电池耗尽再也无法发出信号，到那时候找到黑匣子真的就是大海捞针了。

时间一天天过去，人们并没有等来好消息。

历时两年多耗资两千多万欧元的搜寻结果

一个月过去了，搜寻工作依旧没有任何紧张。在接下来的行动中，调查组只能通过声呐系统检测海床上的金属物来搜寻失事飞机残骸和黑匣子。他们甚至动用了搜索过泰坦尼克号的先进设备对22000平方公里的海床进行地毯式搜索。

海底搜寻声呐图像

几个月过去了，飞机残骸和黑匣子还是杳无音讯。

到了2011年底，法国已经在搜寻工作上投入了两千多万欧元，但这些钱就像打了水漂。他们甚至完全失去了信心，打算放弃搜寻。但遇难者家属不断给当局施加压力，要求继续搜索。当局顶不住压力，于2011年3月25日决定展开一次声势浩大的搜寻工作。

主体残骸和黑匣子终被寻获

这次的搜寻工作，法国方面动用了载有三艘里莫斯6000型潜艇的“阿卢西亚号”勘探船，里莫斯6000型潜艇是世界上最先进的水下探测设备，如果连它都无法完成任务，这次空难恐怕真的要成为全球航空史上最大的悬案了。甚至连法国调查机构也默认这是最后一次搜寻。因此，潜艇上每位船员都十分清楚这次行动的意义。

参与最后一次搜寻的“阿卢西亚号”勘探船

参与最后一次搜寻的“阿卢西亚号”勘探船

2011年4月3日清晨，“阿卢西亚号”勘探船在南大西洋的暴风中剧烈的颠簸。船尾甲板上，船员纷纷披着雨衣，目光穿过波涛汹涌的海面，盯着远处地平线上浮出水面的一个模糊的黄色物体的影子。这个模糊的黄色物体是一艘无人侦察潜艇，这艘潜艇上，有他们迫不及待想看到的15000张照片。整整八天，“阿卢西亚号”勘探船都在法航447航班的最后已知位置附近进行搜寻工作。

用于搜寻黑匣子和主体残骸的里莫斯6000潜艇

用于搜寻黑匣子和主体残骸的里莫斯6000潜艇

里莫斯6000型潜艇在海底进行了20小时的地毯式搜索后浮上海面，给勘探船上12小时轮班、详细分析数据的搜寻队伍传回声呐图像。搜寻队伍的队长迈克尔·普塞尔看着显示屏上模糊的标记，他意识到他们发现了一些并非是自然创造的东西。因为，用地质学的角度来看，这个东西过于长而直了，和海底的任何东西都不太一样。所以，他准备再次借助摄影潜艇，到海底进行18个小时的搜寻任务。

潜艇拍摄到的飞机起落架和引擎的照片

第二天下午一点多，船员们合力把潜艇拉上了船，然后用粗粗的光缆连上了潜艇和任务控制室，再将所有的数据都传到了电脑上。他们拉下了屋里的窗帘，避免让不属于搜寻队的人看到屋子里的情况，他们还拔掉了卫星设备的天线，这样就没人能把消息泄露出去。然后，他们挤在电脑屏幕前，亲眼看到了法航447航班的图像一幅幅地出现：引擎，起落架，部分机身的残骸......它们都静静的躺在海底。

用于打捞残骸和黑匣子的水下机器人

几乎又用了一个月的时间，人们才在海平面下4公里的地方找到了寻找了两年的黑匣子和106名遇难者遗体，由于海底的高压和低温，这些遗体还保存完好，他们依然静静地被绑在安全带上。

打捞黑匣子

真相浮出水面

黑匣子被打捞上来后，经过了一些修复工作，尽管在水中浸泡了两年多，但这并没有阻碍调查人员读取其中数据，飞机失事细节也一点一点地展现在人们眼前。

在海底沉寂了两年多的黑匣子终于重见天日

在海底沉寂了两年多的黑匣子终于重见天日

5月31日夜里，法航447航班由于携带的燃料有限，机长决定不绕飞而是按照预定航路穿过一个多发雷暴的危险热带辐合带。当飞机在穿越雷暴时，飞机的皮托管由于遇水外加上低温被冻住了，导致空速表暂时失灵。

皮托管是一种装在客机机身外部的小型仪器，用来测定风速。它的造价并不高，装在法航447航班上的皮托管大约3500美元一个，这跟价值两亿美元一架的飞机相比简直微不足道。从理论上来说，皮托管失灵并不会直接导致飞机失事。这种传感器好比汽车上的速度表：只要汽油充足，肯定不会有事。飞行员在接受专业训练时也学过如何应对皮托管故障：只要保持飞行角度和推力直到探针恢复工作即可。

用于测量飞机空速的皮托管

但是皮托管的失效触发了飞机自动驾驶断开，飞行员在受训时知道，皮托管会在一分钟后自动解冻，之后空速的数据就会正常，飞行员只要稳定住飞机就行。但是此时法航447正驾驶位置坐着的却是飞行经验较为欠缺的副机长博南，慌忙之中他向后拉起控制杆抬起机头，飞机向上冲了超过2500英尺，导致速度下降，然后触发失速警告，气动失速的状态下，机翼失去升力，飞机以每分钟超过12000英尺的速度下坠。这时候他们如果让机头向下来加速获得升力灾难或许可以避免，但是赶来的机长无法迅速掌握情况，而副驾驶博南仍继续把控制杆向后拉，最终失速的飞机像一块下落的石头一样坠向大海。

正在进行打捞工作的水下机器人

从打捞上来的残骸分析推断，这架A330撞击海面时的速度达到了42m/s，承受的重力为36g，即正常情况下的36倍。

调查报告发布现场

2012年7月5日官方公布了最后的调查结果，认定空难是因为机组人员缺乏足够的训练、没有遵循飞行程序指引并忽视失速警告而引起的。民用航空安全局还建议，所有飞行员要接受强制训练，以帮助他们处理高空失速的状况。

至此，总共耗资超过3500万欧元的调查工作，终于算是画上了句号。