波⾳737MAX危机的根源：监管者放松监督-资深机长陈建国-财新网

在737 Max第⼀次致命事故发生后，2018年年10⽉月，联邦监管机构意识到他们并没有完全理解让⻜机俯冲的软件系统.照⽚提供Ruth Fremson /纽约时报

Natalie Kitroeff，David Gelles和Jack Nicas

2019年年7⽉月27⽇

⻄雅图 - 波⾳737 MAX第⼀次坠机事故发生后，FAA的⼯程师们发现了一个令⼈不安的事实：他们并不能完全理解让飞机俯冲，导致机上⼈员全部罹难的⾃动系统。

该局的技术人员搜集了有关设计该防失速系统信息的⽂件。他们没找到多少。监管机构在2017年批准飞机时，从未独立评估过⼀个称为MCAS的危险软件的⻛险。

FAA和波音的⼗几名现任及前任员工对“纽约时报”描述，对于监管程序的违反“阉割”了该机构的监管权威。

监管机构把⼀些“常规操作”转交给制造商的⾏为已持续多年，其目的是让专业⼈士能够专注于最重要的安全问题。但在MAX项目上，据现任和前任员⼯说，监管机构⼏乎将控制权完全交给了波⾳公司，⼀些重要的机构官员对于像MCAS这样的重要系统⼀无所知。

尽管该机构自10月份⾸次空难及3⽉份的第二次空难以来，由于对波⾳737 MAX的监管缺陷⽽受到了很多审查，但“泰晤士报”的⼀项调查揭示出之前未被公布的细节，暴露出监管过程的薄弱损害了该机型的安全性。

波⾳公司⾃主对该系统进行了评估，而这些评估并未经监管机构进行压力测试。同时监管机构的⼈员轮换，导致两名相对缺乏经验的⼯程师在监督波⾳公司对该系统的早期工作。

FAA最终将MCAS的批准责任交给了制造商。在此之后，波⾳公司无需与这两位FAA监管机构的⼯程师分享该系统的细节。据两位知情⼈士表示，FAA工程师并不了解这个系统的错综复杂。

在MAX项⽬进展后期，波音公司决定扩⼤MCAS的使⽤范围，以确保⻜机⻜行更加稳定。于是就诞⽣了⼀个新的，更具⻛险的版本，它仅依赖于单个传感器，并且可以更大幅度向下推动⻜机机头。

波⾳公司在这个重⼤修改后未对MCAS提交正式审查。FAA的规章也并不要求重新提交审查。据⼀位FAA官员称，有⼀位FAA工程试⻜员知道这些变化。但他的⼯作是评估⻜机的⻜行⽅式，⽽不是确认系统的安全性。

FAA监管机构最终认证MAX⻜机是安全的，也不需要对⻜行员进行太多培训，然后就允许该机型继续服役，直⾄不足五个月后，第二次致命坠机。

MAX机型⽬前仍然禁飞，因为FAA监管机构还在等待波⾳公司的解决⽅案。如果禁令还需要持续更长的时间，波⾳公司上周表示可能被迫停⽌⽣产该型号的⻜机。

FAA与波⾳公司都为该⻜机的适航认证辩解，称他们遵循了正确的程序并遵守了最高的标准。

FAA监管机构周五发表声明说：“本机构的适航认证程序是完善的，并且始终如⼀地设计出安全的⻜机。” “FAA⼈员在737 MAX适航认证项目投入了11万⼈工⼩时的⼯作。包括对297次试飞的⻜行或保障。“

波⾳公司表示，“FAA的严谨性和监管领导⼒几⼗年来持续驱动不断提⾼的安全水平，”并补充说“737 MAX符合FAA严格的标准和要求，因为它通过FAA的认证程序获得认证。”

联邦检察官和⽴法者正在调查监管程序是否存在根本缺陷。随着飞机在技术上越来越先进，规则（即便被严格遵守）可能⽆法充分确保安全。新软件在两次灾难中起了决定性的作用，涉及Lion Air和埃塞俄⽐亚航空公司，共造成346⼈死亡。

“MCAS是否得到⾜够重视？这是我们正在关注的事情之一，“NTSB前主席克⾥斯·哈特说，他现在正在领导⼀个多机构⼯作组，负责调查MAX机型是如何获得批准的。“当它从⼀个不太强⼤的系统演变为⼀个更强⼤的系统时，验证者是否意识到这些变化？”

波⾳公司需要MAX的批准程序迅速进行。由于与其竞争对手空中客⻋公司相⽐晚了好⼏个月，该公司在加速完成该⻜机，这是其最畅销的737飞机的更省油的版本。

监管机构的放行过程至关重要。在MAX的发展的关键时刻，该机构在幕后工作，主要监控波音公司的项目进展及对⽂件进⾏检查。作为美国最大的航空航天制造商，FAA将其视为客户，FAA官员的决定甚⾄会依据波⾳公司的截⽌日期和预算而做出。

这⼀直是⼀种顺畅的关系。机构⾼层常常在政府和⾏业之间转换⻆色。

在MAX认证期间，FAA⾼层领导有时会在波⾳提出异议后推翻FAA自己⼯作⼈员的建议。出于安全考虑，多个FAA⼯程师曾希望波⾳公司重新设计与MCAS⽆关但却是重要系统组成部分的⼀对电缆。但波⾳公司拒绝了，FAA内部机构⽂件显示，政府管理⼈员站到了波音公司一边。

去年⼗月LION AIR⻜机坠毁后，FAA⼯程师们惊讶地发现他们没有对MCAS进⾏过全面分析。他们的安全审查档案中没有提到该系统可以主动地下推⻜机机头且反复触发，进⽽使得难以重获对⻜机的控制，LION AIR致命空难⻜行中，它的作⽤此如出⼀辙。

尽管他们对系统理解模糊，FAA官员们还是拒绝让737 MAX停⻜。相反，他们发布了⼀份通告，提醒⻜行员们使用现有的紧急程序。

这份通告没有描述MCAS如何⼯作。根据机构内部⽂件显示和两个知情人声称，在发布前，⼀位FAA主管指示其⼯程师将提到的⼀点点系统信息也删除了。与此同时，各航空公司从波⾳公司获得了这些信息。

“他是真的想放手。”

FAA负责监督MAX发展的部⻔有⼀个⾮常具体的⽬标，它甚⾄是以波⾳公司的名字来命名：波⾳航空安全监督办公室。

许多FAA退休⼈员曾来这个创建于2009年的部门视察，以示该机构与制造商关系良好。据三位现任和前任员工说，当时⻄雅图办事处的最⾼领导Ali Bahrami很难说服员⼯加入该部门。⼀些工程师认为，Bahrami先⽣在该办事处安排了会偏袒波⾳公司的管理人员。“他没有在管理理系统中安置足够的监察与平衡，”迈克.⻨克雷，前FAA⼯程师，谈到Bahrami先⽣时说。“他就是想‘放’，⽽不是要‘管’。”

现任和前任员⼯说：在MAX开始认证之前，Bahrami先⽣召集了一群FAA⼯程师进⼊他的办公室，也曾要求他们中的⼀些⼈加入这个小组。而根据国家空中交通管制员协会（代表FAA工程师的工会）提出的投诉，许多⼈其实并不想更换工作。

“我是哭着喊着被拽进去了，”FAA的前系统工程师Richard Reed说。当机构官员打电话询问他是否愿意加⼊这个办公室⼯作时，他刚刚做完一个手术。“我后来⼀直声明我答应他们的时候刚吃过药。”

FAA在其⼀份声明中声称，Bahrami先⽣将其职业⽣涯致力于促进私⼈与公众的航空安全。

FAA华盛顿州得梅因市的办公楼。两名员工表示，该机构与波音的来往方式让技术人员士气低落.照片提供Ruth Fremson /纽约时报

几十年来，FAA借助波音公司内部工程师进行机型认证。而且经过行业对国会的强力游说，FAA于2005年推行了新规程，使得像波音这样的制造商能够获得更多控制权。在此之前，由机构选择公司工程师代表其工作；而根据新规定，波音公司也可以对他们进行选择，不过FAA拥有否决权。

该机构的许多高层领导都采用了这种方法。这可以让FAA更有效地认证飞机，也使其有限的资源得到更充分的利用。监管机构也发现越来越不容易雇佣到有才能的工程师，政府工资与行业企业的工资水平毕竟无法相提并论。

对于波音来说，这些变化意味着消除了一层官僚主义。“这种操作挺有效果，”Tom Heineman说道，他是一位退休的波音工程师，曾参与MAX工作。“和过去相比，FAA将更多的工作、审查和监督部分委托给制造商。“

但有些FAA工程师则担心他们无法再有效监控波音公司内部发生的事情。在2016年向机构主管提交的PPT演示文稿中，工会代表对“人才流失”和“无法聘用和留住合格人员”表示担忧。

据一位机构官员说，截至2018年，FAA让航空企业认证自己96％的工作。

妮可波特，FAA一位曾参与MAX项目的推力和燃料系统工程师说，监管人员一再要求她放弃批准安全文件的权利。她经常不得不为了继续工作而斗争。

“领导层的目标是更进一步的委托代表，”波特女士说，当FAA工作人员没有时间批准关键文件时，她说“主管人员可能会将其委托回波音公司。”

Bahrami先生一直向立法人士鼓吹这一方式。在FAA工作了二十多年后，他于2013年离开了该机构，并在代表波音和其他制造商贸易集团的航空航天工业协会工作。

“我们敦促FAA最大限度地使用委托授权“，Bahrami先生以其新的角色游说国会，认为这将有助于提升美国制造商竞争力。

2017年，Bahrami先生作为安全负责人回到FAA。

FAA的内部斗争

随着波音公司获得更多控制权，FAA工程师发现他们没有什么权力，即使他们确实提出了担忧。

项目之初，FAA的工程师发现MAX的问题之一有关其最重要的新特点：它的发动机。MAX，这款拥有50年历史的737的最新版本采用了更省油的发动机，配备了更大的风扇和高压涡轮。但是更大，更复杂的发动机如果空中破损，就会造成更大的伤害。

据五位知情或内部机构文件的人士称，FAA工程师们尤其担心碎片击中操纵方向舵的控制电缆。在起飞过程中，控制电缆受损会使飞行员难以重新获得操纵，有飞机坠毁的风险。

其中有三位人士声称，FAA工程师提出了几种解决方案。该公司可以添加第二组控制电缆或安装自动系统来操纵方向舵。

“泰晤士报”曝光的FAA内部文件显示，波音公司不想做出改变。重新设计可能会造成延期交付。公司的工程师认为发动机破裂或碎片击中方向舵控制电缆都不太可能发生。

根据机构内部电子邮件和文件，出于安全考虑，FAA多数工作人员坚持认为变更是必要的。但是他们的上司犹豫不决。两位现任员工称，在2015年7月的一次会议上，杰夫杜文取代站在波音一头的Bahrami担任FAA西雅图办事处的负责人。

华盛顿州仁顿市的波音MAX飞机。波音公司对联邦官员轻描淡写该机型软件风险. 照片提供 Ruth Fremson /纽约时报

根据一份FAA机构文件，管理人员承认B737 MAX“不符合”该机构“用于保护飞行操纵”的指导意见。但在另一份文件中，他们补充说，他们必须考虑所要求的任何变更是否会影响波音公司的时间表。管理人员写道，对于公司来说，“在计划的最后阶段”解决这个问题“不切实际”。FAA 的Duven先生还说这个决定是基于该系列飞机（B737）的安全记录。

两位FAA的雇员声称，该机构的工程师很气馁。一名工程师向FAA内部的安全委员会提交了匿名投诉。“泰晤士报”公开了这一投诉。

“在讨论这个问题的会议期间，讨论了波音升级设计的成本，”工程师写道。“有人评论说波音公司可能有更好的地方花费他们的安全资金。”

一个FAA小组调查了该投诉。泰晤士报公开的该小组在2017年的一份报告中说，它发现管理者与波音公司立场一致导致了“一个错误信任的氛围，阻碍了该机构有效运作的能力”。该小组告诫不要允许波音公司经手此类许可，并表示“该企业在降低成本和进度影响上有既得利益。”

不过到了这时，该小组的调查结果已经没有任何实际意义。因为该机构的管理人员已经给予波音批准电缆的权利，而电缆已经安装在Max上了。

淡化风险

Max的项目中期，FAA波音办公室里两位经验最丰富的工程师离开了。

这两位工程师有加起来超过50年的经验，创建初期就加入了办公室，负责包含MCAS在内的飞行操纵系统。但据两名了解员工变动情况的人士说，他们对这项工作感到沮丧，因为他们认为这些工作大部分就是文件转递。

FAA任命了一名在飞行操纵方面经验不多的工程师，以及一个获得硕士学位刚刚三年的新员工补充了他们离开后的空缺。与这两位工程师合作过的人表示，他们似乎不具备在像MCAS这样复杂系统中发现任何问题的能力。

波音从一开始就淡化了MCAS的重要性。

据两位机构官员称，波音公司的早期审查并不认为该系统存在风险，也未提示FAA工程师进行额外审查。这个审查描述该系统仅在飞机高速急转弯时，极少数情况下激活。

FAA一直在监督MCAS的工程师从未接受过另一项安全评估。随着波音公司急着在2016年完成MAX项目，FAA的管理者授权波音公司批准一系列安全评估 - 这是任何认证中最重要的一些文件。而他们认为这样做并没有太大风险。

一位FAA主管，Julie Alger，将MCAS审查委托给了波音公司。而在以往，FAA才对系统有最终决定权。

FAA声称这个决定是整个团队的共识。

波音公司当时正在全面修改MCAS。为了帮助飞行员控制飞机并避免失速，波音允许MCAS以低速触发，而不是仅在高速时触发。经过重大修改的版本会在每次触发时将水平安定面移动多达2.5度，从而有力地推动飞机的机头。而早期版本水平安定面的移动只有0.6度。

据两位知情人士透露，当波音技术人员分析这一改变时，他们认为这样做并未给系统增加任何风险。他们认为飞行员会在三秒内响应故障，迅速将飞机的机头抬起来。在他们看来，任何问题在低速时都不会那么危险。

因此，波音公司从未向FAA提交有关这些变更的最新安全评估。在2016年的几次简报中，一位FAA试飞员从波音公司获悉过该系统的细节。但据两位熟悉FAA那两位工程师思维的人士表示，他们并不知道MCAS可以将飞机尾部（水平安定面）移动2.5度。

在系统无关紧要的印象下，政府官方并没有要求波音告诉飞行员有关MCAS的事情。当该公司要求机组手册中删除提及MCAS的部分内容时，当局也同意了。FAA也没有在长达30页针对737MAX与上一代机型差异的详细描述中提到该软件。

据知情人士透露，在LION AIR坠毁事件发生的几天后，FAA邀请波音公司的高管前往FAA的西雅图总部。当波音高管解释他们不知道的系统细节时，官员们难以置信。

一位知情人士称，谈话过程中，一位FAA职员打断谈话，并询问几位局方技术人员的看法：

波音为什么不更新已经变得如此危险的系统的安全分析？

本文来源：纽约时报

https://www.nytimes.com/2019/07/27/business/boeing-737-max-faa.html

供稿：倪海云

初稿：陈建国

校对审核：陈喆

话题：