波音給出“錯(cuò)誤”數(shù)據(jù)，影響評(píng)估結(jié)果

在這種氛圍下，MCAS的系統(tǒng)安全分析，僅僅是認(rèn)證工作所需要的海量文件中的一部分，但被交給了波音公司。

波音公司向聯(lián)邦航空局提供的原始文件中這樣有一份說(shuō)明，其中規(guī)定MCAS可轉(zhuǎn)動(dòng)水平尾翼的限制為0.6度，讓飛機(jī)機(jī)頭下掉的最大物理限制為5度。

但是，在印尼獅航墜機(jī)后，波音公司首次向航空公司提供有關(guān)MCAS的詳細(xì)信息公告中稱，MCAS的權(quán)限為2.5度。

這個(gè)數(shù)字對(duì)于FAA的工程師來(lái)說(shuō)是全新的，他們?cè)诖饲暗陌踩u(píng)估中只獲知的是0.6度。

一位FAA工程師表示，“FAA認(rèn)為這架飛機(jī)的設(shè)計(jì)極限是0.6，這和其他外國(guó)監(jiān)管機(jī)構(gòu)知道的一樣”，“這個(gè)數(shù)字會(huì)對(duì)飛機(jī)涉及的危險(xiǎn)評(píng)估產(chǎn)生影響?！?

更高的限制角度意味著，每次觸發(fā)MCAS啟動(dòng)時(shí)，都會(huì)導(dǎo)致比原始安全分析文檔所顯示的出現(xiàn)更大角度的尾翼運(yùn)動(dòng)。

曾參與MAX客機(jī)認(rèn)證的前FAA安全工程師，以及作為FAA授權(quán)代表參與MAX工作的前波音飛行控制工程師都表示，這些安全分析數(shù)據(jù)必須得到更新，從而反映飛機(jī)測(cè)試中最準(zhǔn)確的飛行信息。

前FAA工程師表示，“這些數(shù)字應(yīng)該與飛行測(cè)試和飛機(jī)配備的任何設(shè)計(jì)相匹配?！?

不過(guò)，前波音飛行控制工程師也稱，“最新的數(shù)字有可能不會(huì)出現(xiàn)在報(bào)告中，因?yàn)橹灰麄冊(cè)趯彶楹笳J(rèn)為這些差異不會(huì)改變結(jié)論或增加危險(xiǎn)評(píng)估的嚴(yán)重性?！?

如果最終的安全評(píng)估文件做了部分更新，那么在文件中的某些地方肯定仍然包含0.6度的限制，并且這個(gè)更新沒(méi)有在FAA技術(shù)評(píng)估小組中被廣泛告知。

“沒(méi)有一個(gè)工程師意識(shí)到存在一個(gè)更高的限制，”FAA的另一位現(xiàn)任工程師說(shuō)。

同時(shí)，系統(tǒng)安全分析中的另一個(gè)元素放大了這個(gè)數(shù)字的差異：每次觸發(fā)MCAS時(shí)，系統(tǒng)自動(dòng)移動(dòng)尾翼的權(quán)限都會(huì)啟動(dòng)；它可以被多次觸發(fā)，就像印尼獅航航班所出現(xiàn)的問(wèn)題一樣。

FAA一位現(xiàn)任安全工程師表示，每當(dāng)獅航航班的飛行員重新設(shè)置控制開關(guān)、將飛機(jī)往后拉抬時(shí)，MCAS就會(huì)啟動(dòng)，并“允許新的2.5度增量”，“所以，一旦它們推動(dòng)幾次后就會(huì)完全停止”，這意味平尾運(yùn)轉(zhuǎn)到最大角度。

前波音飛行控制工程師、現(xiàn)為航空電子及衛(wèi)星通信顧問(wèn)的彼得·萊姆（Peter Lemme）表示，由于每次使用時(shí)MCAS都會(huì)重置，“它實(shí)際上擁有無(wú)限的權(quán)力。”

萊姆認(rèn)為，“它有完全的權(quán)力將平尾運(yùn)動(dòng)到最大值”，但“沒(méi)有必要這樣做。沒(méi)有人應(yīng)該同意給予它無(wú)限權(quán)力。”

在獅航的初步調(diào)查報(bào)告中，黑匣子數(shù)據(jù)顯示，在這一循環(huán)動(dòng)作重復(fù)21次后，機(jī)長(zhǎng)將控制權(quán)移交給副機(jī)長(zhǎng)。當(dāng)MCAS把機(jī)頭往下推兩到三次時(shí)，副機(jī)長(zhǎng)只按了兩下開關(guān)就會(huì)做出反應(yīng)。在2.5度的權(quán)限下，兩個(gè)未經(jīng)校正的MCAS系統(tǒng)循環(huán)足以達(dá)到最大的機(jī)頭下推效應(yīng)。

此外，獅航黑匣子數(shù)據(jù)還顯示，在最后幾秒鐘，機(jī)長(zhǎng)恢復(fù)了控制，并以很大力量將飛機(jī)拉升回來(lái)，但為時(shí)已晚。飛機(jī)以每小時(shí)500英里的速度向大海俯沖。

系統(tǒng)設(shè)計(jì)失敗：只有單一傳感器

波音關(guān)于MCAS的系統(tǒng)安全分析的底線是，在正常飛行中，MCAS的最大假設(shè)權(quán)限為0.6度被激活，就歸類為“重大故障”，這意味著它可能會(huì)對(duì)飛機(jī)上的乘客造成身體傷害，但不會(huì)導(dǎo)致死亡。

在極端情況下，特別是當(dāng)飛機(jī)處于傾斜下降螺旋時(shí)，激活MCAS被歸類為“危險(xiǎn)故障”，這意味著它可能對(duì)少數(shù)乘客造成嚴(yán)重或致命傷害，但仍比“災(zāi)難性故障”低一個(gè)級(jí)別，后者代表飛機(jī)損失大量人員遇難。

曾參與MAX認(rèn)證工作的前波音飛行控制工程師說(shuō)，一架飛機(jī)上的系統(tǒng)是否可以依賴一個(gè)傳感器輸入，還是說(shuō)必須有兩個(gè)傳感器輸入，都由系統(tǒng)安全分析中的危險(xiǎn)評(píng)估分類所決定。

他稱，幾乎所有商用飛機(jī)上的設(shè)備，包括各種傳感器，都非?？煽孔阋詰?yīng)對(duì)“重大故障”要求，即故障概率必須小于十萬(wàn)分之一。因此，這類系統(tǒng)一般允許只靠單個(gè)輸入傳感器。

但是，當(dāng)評(píng)估嚴(yán)重等級(jí)上升時(shí)，“危險(xiǎn)性損害”等級(jí)所要求的概率更為嚴(yán)格，為一千萬(wàn)分之一，那么通常必須至少有兩個(gè)單獨(dú)輸入渠道，以防止其中一個(gè)出現(xiàn)故障。

令萊姆感到不解的是，波音的系統(tǒng)安全分析評(píng)估將MCAS的故障定位“危險(xiǎn)”等級(jí)，但系統(tǒng)觸發(fā)卻是只通過(guò)單一傳感器。

和所有的737機(jī)型一樣，Max機(jī)型實(shí)際上也有兩個(gè)傳感器，分別位于機(jī)身兩側(cè)、靠近駕駛艙的位置。但是MCAS的設(shè)計(jì)目的卻是只從其中一個(gè)傳感器上讀取數(shù)據(jù)。

萊姆認(rèn)為，波音本可以設(shè)計(jì)一個(gè)系統(tǒng)來(lái)對(duì)比兩個(gè)傳感器的數(shù)據(jù)，如果其中一個(gè)故障，系統(tǒng)就會(huì)顯示出來(lái)；或者也可以設(shè)計(jì)成，飛機(jī)起飛前、在地面滑行時(shí)檢查攻角數(shù)值是否準(zhǔn)確，此時(shí)攻角數(shù)值應(yīng)為零?！八麄儽究梢栽O(shè)計(jì)一個(gè)雙渠道系統(tǒng)，或者也可以測(cè)試地面上的攻角數(shù)值”，“但我不知道他們?yōu)槭裁礇](méi)有這么做。”

根據(jù)初步調(diào)查報(bào)告中提供的黑匣子數(shù)據(jù)顯示，兩個(gè)傳感器的讀數(shù)不僅在整個(gè)飛行過(guò)程中相差20度，而且飛機(jī)起飛前在地面滑行時(shí)也相差20度。