波音飞机不安全吗？飞行员因Max 737坠机中的公司错误受到指责 - 彭博社

Peter Robison

2021-11-16

插图：731

当2018年10月在雅加达的那个早晨，乘客们陆续登机并将行李放好时，狮航(Lion Air)的飞行员们在波音737 Max 8的现代舒适环境中完成了飞行前检查。与之前飞过的737相比，机舱异常安静，即使在全新引擎启动的五分钟内也是如此。飞行员的座椅更加舒适。他们面前排列着四个大彩色屏幕，使得高度和速度读数更容易看到——完全不像波音设计师曾经称之为“蒸汽表盘”的旧模拟仪表。

船长Bhavye Suneja告诉他的副驾驶，他感觉不舒服，但在更健康的时候，他是一个阳光、热情的人。Suneja对机械充满热情；在这次飞行结束后，他计划飞回新德里，然后与结婚两年的妻子Garima Sethi一起在下周驾车穿越尼泊尔附近的高地。航空公司对Suneja一家来说是家族事务。他的母亲是印度航空有限公司的经理，他的妹妹立志成为一名飞行员。在加利福尼亚的飞行学校毕业后，Suneja于2011年加入了狮航，同年该航空公司下了当时波音公司历史上最大的单笔订单，价值220亿美元的Max订单，由联合创始人Rusdi Kirana与美国总统巴拉克·奥巴马握手达成。

那天早上，在雅加达机场，43岁的保罗·阿约尔巴巴（Paul Ayorbaba）给家人发送了一个不连贯的WhatsApp视频，视频中他走下登机桥，登上了涂着欢快橙色和白色的狮航Max喷气机。在舱门关闭前的几分钟，刚结婚两周的22岁的德里尔·菲达·费布里安托（Deryl Fida Febrianto）给他的新娘发了一张自拍照，他正要去一艘游轮上班。瓦休·阿迪拉（Wahyu Aldilla）和他的儿子谢尔丹·法赫雷齐（Xherdan Fahrezi）坐在一起，他们一起去雅加达看足球比赛。

当狮航610航班于早上6:20离开跑道飞往苏门答拉岛时，苏内贾（Suneja）和哈维诺（Harvino）都不知道飞机左侧的一个名为迎角传感器的微小传感器内部存在21度的错位——这是检查过的机械师的疏忽。当苏内贾的操纵杆刚刚离开地面时，就开始震动，这是潜在失速的信号。警报信号显示高度和空速读数错误。飞行数据记录器无法记录飞行员的表情，也无法记录他们感觉到飞机可能会杀死他们时的刺痛。

狮航的短暂历史中经历了一些动荡，但总体上它是一个令人瞩目的上升故事。该公司富有魅力的联合创始人基拉纳（Kirana）在上世纪90年代曾是Brother打字机的经销商，后来与兄弟在雅加达开设旅行社。在早期，他会在苏加诺-哈达国际机场举着一个姓名牌来接机。基拉纳和他的兄弟最终凑集了90万美元，租了一架旧的737-200以及一架糟糕的苏联制造竞争对手雅克列夫列夫42。狮航于2000年开始飞行。

印尼狮航联合创始人Rusdi Kirana。摄影师：Dimas Ardian/Bloomberg到2015年，随着亚洲强国经济崛起，新兴的中产阶级旅行者增多，Kirana成为了亿万富翁。他的航空公司控制着印度尼西亚半数的国内市场，这个拥有2.5亿人口、分布在17000个岛屿上、东西横跨3000英里的国家。在波音公司，当年成为首席执行官的Buzz-cut Iowa本土人Dennis Muilenburg看到了像印度尼西亚这样的未开发市场，并谈论航空航天行业已经达到某种突破周期的新常态。

波音公司在美国航空业已有一个世纪的历史，但在Muilenburg的领导下进行了财务改革，将其变成了另一种东西——华尔街的宠儿。2017年，其利润增长了67%，达到82亿美元。波音的股价在Muilenburg短暂任期内几乎翻了两番，达到了386美元以上，他的首席财务官Greg Smith在一次会议上告诉同事，如果公司继续做出让股东满意的举措：提高股息、回购股份、控制开支，股价可能会达到800或900美元。

正是这一点让一些波音公司内部人士感到担忧，根据对现任和前任员工进行的数百小时采访，这篇文章改编自这本书，《失控飞行：737 Max悲剧与波音的沦陷》。他们私下抱怨，曾经由工程师主导、对华尔街不屑一顾的公司如今却因为削减成本而受到赞扬，利用监管机构，以及通过无情的沃尔玛式策略向供应商施压降低价格。

2017年首次交付的Max完全符合这种心态。在随后交给国会调查人员的电子邮件中，波音飞行员吹嘘使用“绝地武士心灵战术”说服航空公司和监管机构，认为那些曾飞过737前一个版本的飞行员（比如Suneja和Harvino）无需接受昂贵的Max模拟机培训。对于航空公司来说，培训是劳动成本的重要组成部分。减少费用让波音的客户少了一个倒向其欧洲竞争对手空客集团的理由。

其他证据显示，波音推动降低测试成本，并忽视工程师要求更复杂飞行控制系统的恳求。一名绝望于错误的员工写道，“这架飞机是由小丑设计的，而这些小丑又受到猴子的监督。”公司甚至拒绝了狮子航空本身要求额外培训的请求。“白痴，”一名波音飞行员对同事抱怨狮子航空。

当控制杆剧烈震动时，副驾驶Harvino问机长是否打算掉头。尽管身体不适，Suneja的声音依然坚定，告诉Harvino获得延误的许可。Harvino无线电报告说“飞行控制问题”。当Suneja转向新的航向时，机头神秘地下沉。他按下控制杆上的拇指开关将其推回。它确实推回去了，但然后机头再次下沉。持续了八分钟的拉锯战。雅加达湾的蓝色广阔填满了舷窗。

哈维诺翻阅波音737的快速参考手册，在紧急检查表的页面上搜索答案。空速不可靠。双引气。包裹行程关闭。机翼-机身过热。似乎没有什么可以解释那个与他们争夺飞机控制权的幽灵。苏内加按下开关使机头保持向上的姿势21次。飞机获准飞至27,000英尺，但实际只到了不到6,000英尺。乘客们感受到了他们胃里每一个令人作呕的颤动。哈维诺最终拿起电话要求一名乘务员进入驾驶舱。“是的，先生，”她回答，用咔嗒的声音（在驾驶舱录音中可听到）挂断电话并打开门。机长要求她派一名狮航工程师进入，他碰巧也在飞机上，帮助找出问题所在。当她叫他前来时，对讲机发出了叮叮声。

苏内加准备向同事简要介绍，可能也想亲自查看手册，告诉副驾驶接管控制。机头再次下倾。“哇，非常……”哈维诺喃喃自语。他按下拇指开关，但没有像机长那样坚决。几秒钟后，机头再次下倾，他再次按下开关。飞机向水面倾斜。哈维诺大声说飞机正在指向下方。苏内加分心地回答说：“没事。”十秒后，他们以每分钟10,000英尺的速度直线下降。哈维诺拼命拉动控制杆，警报声不断响起。（“下沉速度！”一个自动语音警告。）水面现在变得巨大而可怕。哈维诺开始重复“真主至大，真主至大”——穆斯林的信仰表达——而机器声音则在念叨“地形，地形”。苏内加保持沉默。

在上午6:32，幽灵赢了。附近一艘渔船上的惊恐渔民看着这架载有189人的喷气式飞机以每小时500英里的垂直角度撞向海面。电视台很快开始播放漂浮碎片的画面，并采访受害者震惊的亲属。“我相信爸爸可以游出来，”这位只在几小时前发了颠簸视频的男子的13岁女儿南达·阿约巴巴说。

狮航610航班的残骸。摄影师：乌莱特·伊凡萨斯蒂/盖蒂图片社不久，印尼潜水救援队进入水中，打捞手机、身份证、包和照片。绞盘开始拉起更大的碎片，潜水员开始搜寻飞行数据记录仪和驾驶舱语音记录仪。苏内贾的父亲去了雅加达东部的克拉玛特贾提警察医院，坐在那里无言以对，一个服务员在他的脸颊内部擦拭以收集DNA样本以识别他儿子的遗体。在搜救过程中，又有一个名字被加入死亡名单：48岁的潜水员夏赤鲁尔·安托溺亡。

在飞机坠毁几小时后，波音商用飞机公司工程副总裁约翰·汉密尔顿在西雅图召集了飞行员和飞行控制专家讨论出了什么问题。汉密尔顿后来向国会调查人员描述说，这不是一次长时间的讨论。自动软件称为机动特性增强系统，或MCAS，已经偏转了水平安定翼，即飞机后部的小翼，以应对来自错位传感器的错误读数。“我们很快确定了这种MCAS激活可能是一个情景，”汉密尔顿说。“而且，一旦飞行数据记录仪在本周晚些时候出现 … 我们立即开始着手进行软件更改。”

由于其不佳的安全记录，狮航成为了这次空难的主要受害者。自2004年至2016年6月，该航空公司几乎被欧盟禁止进入其领空，与大多数印尼航空公司一样，因为对该国维护和培训实践的担忧。2004年，一架狮航航班在中爪哇的阿迪苏马尔莫国际机场冲出跑道，造成25人死亡。2013年，另一架在巴厘岛冲出跑道并降落在水中，机身分裂；奇迹般地，机上的108人全部幸存。

雅加达发生Max空难一周后，悲痛的家属们挤进一个闷热的礼堂参加了一场由印尼交通部长主持的会议。他们在人群中发现了狮航的Kirana，并要求他站出来。他站起来低头，这个姿态被他们理解为悔过或羞愧。

在西雅图附近的联邦航空管理局办公室，工程师们开始搜查他们的文件，寻找有关这个软件的信息，并发现波音公司雇佣的负责监督安全事务的代表在工作上存在不完整和不准确的情况。MCAS的庞大系统安全评估在飞机正式获得认证前仅仅四个月就被提交给了该机构。负责审核软件设计的波音副总裁将故障风险分类为相对较小。

但是档案中的文件反映了软件早期的设计（修订版C），而不是后来在飞行测试中添加的更强大版本（修订版E）。文件显示，稳定器有能力调整飞机的上升或下降0.6度，但在最终形式中，稳定器可以以四倍于该角度进行调整。“当他们改变设计时，MCAS功能的潜在重要性发生了 drastical 变化，”一位请求匿名的FAA工程师说，因为他没有被授权公开发言。“这并没有被告知发现符合法规的FAA工程师。事实上，他们甚至不知道这一点。”

一位机长称Max飞行手册“不足和几乎犯罪地不足”

波音的安全审查委员会，一个由工程师和飞行员组成的正式团体，于11月初讨论了狮航空难。在他们之间，委员会成员早些时候承认了一些软件的缺陷。但他们曾期望飞行员能够安全地应对软件的误操作。现在，他们开始质疑自己的假设。

在工程师和飞行员的同行中，有一种沉默法则，它在这里适用。部分原因是为了自我保护：如果有人公开写出一个缺陷，那么制造商就会因为事先知道问题而面临额外的责任。在围绕波音在上世纪90年代因两起坠机而受到指责的方向舵设计的争论中，原告律师最终发现了一份备忘录，其中工程师承认——甚至在第二起坠机之前——方向舵阀有可能卡住。波音的一些人看到了这给后来被要求解释自己的同事带来的痛苦，他们开始更加谨慎地书写内容。

有另一个原因导致不愿承认设计存在缺陷——这涉及种族和国籍，而非成本。波音飞行员可能对一个看起来像他们的飞行员有同理心，但对Suneja和Harvino并没有延伸。波音公司内部的讨论一直集中在Harvino，一旦接管飞机控制权后，无法使用拇指开关调整飞机。波音的飞行员，主要是年长的白人男性，长期以来一直在私下开玩笑，嘲笑他们在海外遇到的无能机组。根据听到的某人的说法，一个飞行员经常重复说“太笨了，连737都拼不对”。另一位训练员会反问“钟佛和”是否能够处理某个程序。

安全审查委员会得出结论，波音应发布警报，指导遇到MCAS问题的飞行员查阅《快速参考手册》中特定的检查表——在这种情况下，是用于阻止失控稳定器的检查表。联邦航空管理局于11月7日接受了这一建议，发布了一份紧急适航指令，“由制造商进行的分析促使了这一决定”。该公告告诉飞行员和航空公司，如果从迎角传感器接收到错误输入，“水平安定面可能会出现反复的向下修正指令”，并以航空术语“可能与地形碰撞”表达，仍未提及导致故障的MCAS软件。

换句话说，该指令是在说波音全新的飞机，据说是现代技术的奇迹，可能会因为来自一个微小传感器的错误数据而自行坠毁。这听起来像是商用飞机不应该出现的单点故障。随着波音员工开始私下与航空公司更多地讨论MCAS，详细说明软件的工作原理，飞行员之间的传言开始传播。

大多数飞行员最担心的是，这一新功能颠覆了波音数十年的设计理念，这正是制造商一直声称使其与主要竞争对手空客不同的地方。“如果不是波音，我就不飞”，飞行员们会说，自豪地表示计算机永远不会接管飞机。现在，美国航空业的巨头轻描淡写地告诉他们，事实正是如此。

MCAS被硬塞进控制系统中，以解决物理设计的一个怪癖，并要求飞行员对新软件做出很多反应。他们必须在几秒钟内注意到，稳定器正在失控，然后开始以机器般的效率执行正确的检查表。飞行员们开始在NASA维护的匿名航空安全报告系统中表达他们的担忧。一位机长称Max飞行手册“不足和几乎犯罪地不足”。

丹尼斯·穆伦堡，前波音首席执行官。摄影师：Win McNamee/Getty Images11月13日，穆伦堡身穿灰色西装，搭配一件洁白衬衫和一条紫色领带，出现在福克斯商业频道上回应这些担忧。“今天早上对波音提出新问题，”主持人玛丽亚·巴蒂罗莫如此说道。穆伦堡立即开始他心中的第一个要点。“嗯，玛丽亚，我认为我们都要对狮航610号航班的失事表示哀悼，当然我们的思念也在受影响的家庭身上，”他说。“我们一直与调查机构保持密切联系，”他继续说道。最后，他说：“这里的底线是737 Max是安全的。安全是我们在波音的核心价值观。”

巴蒂罗莫问发生了什么事，穆伦堡基本上责怪了飞行员。他说，飞机“有能力处理”像印尼坠机中疑似的那种坏传感器；事实上，波音已经发布了一份公告，指引飞行员“按照现有的飞行程序”操作。

在救援船只从水中捞出残骸的画面中，巴蒂罗莫问他是否后悔没有告诉飞行员更多关于系统的信息。“不，我们提供了所有必要的信息来安全飞行我们的飞机，”他回答道。

巴蒂罗莫追问：但这些信息是否提供给了飞行员？“是的，这是培训手册的一部分，这是一个现有的程序，”穆伦堡说。

“哦，我明白了，”她说。但事实上，MCAS并没有在手册中，除非你算上了术语表，它定义了这个术语，但没有解释这个软件的功能。这个定义很可能是早期草案的遗留物，之后波音说服美国联邦航空管理局删除了更详细的描述。

在11月19日给员工的备忘录中，穆伦堡向他们保证，“我们将从这起事故中吸取教训，继续改善我们的安全记录。”一些飞行员并不愿意就此作罢。那年秋天在上海，几名波音培训师遇到了一名来自美国航空集团的飞行员，后者指责他们在印尼“造成了生命的损失”，一名培训师后来描述了这次尴尬的遭遇。“嘿，等一下，”一名波音员工回应道，告诫飞行员等待更多证据。

回到西雅图，培训师与其他六名同事一起接受了737首席技术飞行员帕特里克·古斯塔夫森关于MCAS软件如何运作的简报。当古斯塔夫森告诉他们，它基于单个迎角传感器触发，并且即使读数错误也会继续触发时，“我们都感到震惊，”一名培训师说，他要求匿名讨论一次私人对话。他们立刻意识到设计上的缺陷。“飞行员一直在与飞机搏斗，”培训师说。

波音公司派遣了一位名叫迈克·辛内特（Mike Sinnett）的副总裁和首席测试飞行员克雷格·博本（Craig Bomben）与美国主要客户的飞行员进行沟通。11月27日，这两位男士访问了美国航空公司飞行员工会在沃斯堡的分会。工会主席丹·凯瑞（Dan Carey）事先与工作人员达成协议，如果听到的内容听起来不真诚，他会录下谈话内容。当辛内特和博本开始交谈时，凯瑞悄悄打开了手机的录音功能。

迈克·辛内特，波音公司产品开发副总裁，2019年在一次会议上讲话。摄影师：大卫·赖德（David Ryder）/彭博社辛内特的声音温和，几乎令人昏昏欲睡，录音开始时他说：“我们在媒体上看到的一件事是，波音在飞机上安装了一个系统，却没有告诉任何人。” 他说这是错误的。“这只是一点点软件。” 辛内特解释说，像印度尼西亚发生的事故这样的故障在设计和认证过程中完全考虑到了。而媒体称其为“单点故障”是错误的，因为“功能和训练有素的飞行员是并行工作的，是系统的一部分。” 这一说法引发了一位带有牧场主口音的飞行员的挑战。“对不起，你说训练有素的飞行员？” 美国空军F-16飞行员迈克尔·迈克利斯船长插话道。

“是的，是的，” 辛内特说。他试图继续他的演讲，但迈克利斯和其他飞行员再次插话。显而易见的是，波音并没有对MCAS系统进行培训。 “这些家伙甚至不知道这个该死的系统安装在飞机上，” 迈克利斯说。飞行员们表示，如果系统发生故障，飞行员在紧急情况下很难在所有冲突的警报中诊断问题。

“我们在这方面有困难，”辛尼特承认道。然后他提出了一个问题，一些飞行员将其视为对他们“飞行技能”的微妙挖苦，这个术语在飞行员中间用来描述他们天生的飞行能力，以及由此延伸出的男子气概。辛尼特问他们，如果出现失控的安定剂，原因重要吗？在这种情况下，飞行员难道不能只是按照清单操作吗？美国航空公司的飞行员本能地知道，像狮航客机上的那种故障需要时间来诊断。“这个特定的故障被太多其他干扰所掩盖了，”工会发言人丹尼斯·泰杰回答道。“确实如此，”迈克利斯同意道。

飞机对于飞行员来说仍然很新，很少有人飞过它，或者只是在iPad上进行了简单的培训。迈克利斯愤怒地表示，从他读到的报道中，软件一直在不断地将飞机的机头往下按：“你碰我的操纵杆，知道吗？”他继续说，如果同样的故障发生在从迈阿密起飞的一架Max飞机上，而美国航空将一架飞机坠入比斯坎湾，波音“将会遭遇一场真正的风暴”。“公司层面的某人决定不重要向我们的飞行员简报这一点，”他说。

飞行员们不断向辛尼特提出各种情景，最终他们几乎在彼此交谈。一名飞行员想知道为什么他只接受了40分钟的Max培训，而显示屏与前代飞机完全不同。另一人指出，美国仍然没有Max飞行模拟器。

辛尼特最终找到了与他们的强烈情绪相匹配的措辞。“你们必须明白，我们对安全的承诺与你们一样强烈，”他说。“真的是如此。而最糟糕的事情就是发生这样的悲剧。更糟糕的事情将是再次发生。因此，我们必须尽一切努力确保这种情况永远不会再次发生。”他说，波音正在努力更新MCAS系统。“不是一年，而是几个——也许是六周左右，”他说。

飞行盲目：737 Max悲剧与波音的沦陷 书封面。第二天，印尼当局发布了初步调查结果。他们的报告暗示飞行员被自动化软件搞混了，并指出了维护人员所犯的错误。波音在同一天发布了自己的声明，强调维护错误是错误链的起点。

不久之后，狮航的联合创始人基拉纳与穆伦伯格通了电话。据一位听到交谈的人称，他一再发誓并指责波音背叛了其中一位最好的客户。他也公开表示，将责任推向狮航是“毫无道德可言”，并计划取消航空公司的进一步订单。穆伦伯格冷静地通过CNBC回应说，波音的合同是“长期安排”，“这些都不是任何一方可以单方面取消的事情。”

那年12月初，美国联邦航空管理局飞行器认证服务的工作人员得出结论，如果不进行软件修复，可能会发生15起更多的Max飞机坠毁，这是根据一个粗略估计，认为每百名飞行员中可能有一人在处理罕见的传感器故障时遇到困难。

尽管如此，Max继续飞行。那“大约六周”的时间延长到了几个月——直到一个春天的早晨，在埃塞俄比亚，另一架Max飞机的控制面板上出现了幽灵，这架飞机载有157人。