狮航和埃航出事737max照片 本文图片均来自“民机战略观察”微信公众号
波音737MAX是波音737装配新发动机的衍生机型，该机延续了737系列的良好市场表现，自项目启动以来已经获得5011架订单，交付运营350架，其中国内共运营90架(截至2019年1月底)。然而，自去年10月底以来，短短5个月内，该机已经发生了两起灾难性坠机事故，其安全性受到公众的普遍质疑。
本文将基于目前的公开事故信息以及相关情报研究的角度对737MAX-8坠机事故的原因进行初步分析，提出对我国航空业的启示和建议。
一、两起空难概况
2019年3月10日，一架埃塞俄比亚航空公司的波音737MAX型客机起飞后6分钟坠毁，机上的149名乘客和8名机组人员不幸全部遇难，其中包括8名中国乘客。然而这不是首起737MAX空难，2018年10月29日上午，印尼狮航一架由波音737MAX执飞的飞机，在从雅加达起飞大约13分钟之后失联、坠毁，机上189人不幸全部罹难。
这两架失事飞机都是波音公司生产的737MAX-8型客机，均为机龄不超过1年的新飞机，而且发生坠毁的时间都是在飞机起飞几分钟后。更为巧合的是，根据Flightradar24数据显示，失事埃航客机的飞行数据记录了飞机最后的轨迹，飞机在起飞后，曾经有过突然下降的迹象随后又有拉升，之后消失在追踪画面中，该现象与印尼狮航客机失事前的飞行轨迹颇为相似。
初步调查表明：狮航空难是飞机信号系统接收到一个假信号，信号显示飞机‘抬头’，所以飞机自动失速控制系统持续给出了‘低头’的指令，机组人员与飞机自动失速控制系统搏斗很长时间，但最终还是发生了坠机悲剧，而埃航空难在飞行过程中也发生了不正常的爬升与下降及飞行速度超速的现象，这表明狮航空难后，虽然波音公司做出了安全复查和的适航公告等措施，但是这些措施可能并没有解决掉737MAX-8飞机的安全隐患和设计缺陷，从而造成了埃航客机失事。
二、空难原因分析
目前，埃航空难刚刚发生，其失事原因还在进一步的调查中，本文主要通过波音申请涉及自动失速保护系统的专利和狮航空难的初步调查结果等进行分析。
据悉，波音737MAX-8配备了自动防失速系统，即“机动特性增强系统(MCAS)”。飞机飞行时机头越高，攻角越大，当攻角超出一定范围时，飞机面临失速风险。MAX-8配备的自动防失速系统一旦判断飞机失速，可以无需飞行员介入即接管飞机控制，并使飞机低头飞行，以改出失速。
经国内、外专利检索发现，波音在防失速技术领域大约申请了110件/61个专利族的相关专利。根据专利申请时间、首架波音737MAX 8型飞机交付用户的时间(2017年5月16日)和自动防失速系统技术内容相关度等情况判断，上述波音专利中，与波音737MAX8飞机上的防失速系统技术功能最接近的专利为CN106477055A号专利。
CN106477055A号专利附图
我们假定CN106477055A号专利所述的飞行器失速保护系统被安装到了狮航失事飞机上，并以此为基础结合目前公开的情况，对失事航班的空难原因进行了初步推理和分析。
1、客机的迎角传感器校准不当
据事故调查信息显示，狮航失事航班上的电脑系统是根据一个攻角传感器的错误数据在运行，该错误数据可能是由于迎角传感器校准不当造成的;波音没有事先向机务披露737 MAX飞机上新增了自动失速保护系统，在失事飞机的操作手册中没有对可能导致飞机俯冲的关键功能进行警告，在事先不知情的情况下，飞机维修人员很难检测出飞机故障的真正原因;当飞机发生事故时，飞行员不知道正确操作飞机的方法，所以很难及时排除险情。
2、在判断飞机失速状态方面存在设计缺陷
737MAX飞机上至少设有3个迎角传感器，自动失速保护系统的逻辑是只要主迎角传感器认为飞机迎角过高(即机头抬得过高)，就认定飞机有失速危险，自动失速保护系统就会被激活。而空客飞机在类似系统设计中规定：只要三个迎角传感器的读数不一样，不管主次，都选择不相信，直接报错给飞行员，从而避免主迎角传感器出错，导致整个系统出错的风险。与空客相比，波音似乎存在设计逻辑上的bug。
3、在优先级问题上存在设计缺陷
自动失速保护系统被上述迎角传感器的错误数据激活后，自动控制飞机快速俯冲下降，当飞行员发觉飞机飞行姿态不对时，会手动操作驾驶杆想拉起飞机，但自动失速保护系统会与飞行员争夺飞机的控制权，并一直控制飞机下降。只有当飞行员的手动操作符合系统设定条件时，自动失速保护系统才会终止，飞行员才能获得飞机全部控制权，但是由于飞行员事先没有被告知自动失速保护系统的存在及其功能，所以事故发生时，飞行员无法关闭自动失速保护系统，也无法阻止该系统控制飞机下降直至坠毁，这就解释了为何飞机会出现快速下降一段时间后被拉起，然后再次下降的反常现象。
4、该新增的自动失速保护系统可能存在适航认证的漏洞
根据CN106477055A号专利说明书的记载，波音承认在飞机的适航认证过程中，有可能利用了监管机构(如美国航空管理局FAA)授予飞行器制造商用于安装自动失速保护系统的性能免除许可(performance relief credits)政策，使该自动失速保护系统的安全性在未得到充分试飞验证的情况下，就通过了FAA的适航认证。
综上所述，狮航空难的可能原因是：737 MAX 8型飞机新设的自动失速保护系统可能存在设计缺陷，并且该自动失速保护系统在适航认证时，FAA存在“放水”嫌疑;狮航空难发生后，波音可能没有解决该系统存在的上述问题，所以又造成了埃航737 MAX飞机失事。
需要说明的是，目前狮航空难的最终调查结果还未公布，埃航空难的信息披露得较少，我们的分析仅仅是初步的判断，仅供参考，具体情况以将来的调查结果为准。
四、措施建议
(一)立即停飞中国境内的737MAX飞机，加强事故调查和737 MAX飞机的风险排查工作
中国民航当局应该组织专家，进一步研究分析CN106477055A等专利情况，必要时可以要求波音公司比照相关专利，详细说明737 MAX在自动失速保护系统方面的设计细节和技术内容;波音在737 MAX飞机安装失速保护系统后，适航认证时可能向美国联邦航空局(FAA)提交了特殊状况问题报告，中国民航局可以要求波音提供相关报告，应当对波音涉嫌利用政策漏洞，获得FAA适航认证等情况进行专项调查。
中国民航局应当对737MAX飞机上的自动失速保护系统重新开展适航认证工作。中国民航局不能迷信和依赖FAA适航认证方面的权威性和公正性。中国民航局应当对安装有自动失速保护系统的其他型号的波音飞机也进行排查和安全评估，如果波音飞机上还存在利用政策漏洞而取得适航认证的其他系统，那么这些系统也要进行全面排查。
上述风险排查完毕之前，737MAX飞机不应承担执飞任务。在必要时，中国民航局可以考虑对737MAX飞机重新进行适航认证。
(二)采取必要风险规避措施
如果737 MAX上真的安装了涉及CN106477055A专利的失速自动保护系统，再次发生类似事故时，机组人员仅仅依操作手册应对“攻角数据错误”很可能是不够的，飞行员可能需要马上关闭失速自动保护系统，才能获取飞机的完全控制权，波音公司应该对相关系统设置和操作进行专项培训。波音对其737 MAX上失速自动保护系统进行系统维修、更新时，必须解决迎角传感器安全余度和数据真实性验证等设计问题，并且应保证飞行员手动输入指令优先于系统自动控制指令。
(三)中国民机制造商应该引以为戒
中国商飞公司要重视自动失速保护系统的设计工作，避免出现安全隐患和逻辑漏洞;在国产民机的适航认证方面，商飞公司还应关注国外适航监管机构(如FAA)授予飞行器制造商在安装失速保护系统的性能免除许可等方面的制度规定，中国制造的飞机有权利获得FAA的同等对待和尊重。
(四)中国及更多国家应该加入埃航空难调查组
按照国际惯例，空难调查方的一般排序为：飞机失事地所属国、飞机所属国、飞机制造商，所以埃塞俄比亚政府、波音公司都拥有埃航空难原因的调查权，另外FAA也计划派出多名专家协助埃塞俄比亚空难调查。埃塞俄比亚是非洲发展中国家，该国调查航空事故的经验和能力比较有限，可能需要更多援助和支持，目前中国救援队正在积极参与埃航空难现场的搜救工作。埃航空难引起的波音股票暴跌和多国航空公司停飞737MAX-8等反应，已使波音遭受巨大损失，如果调查结果认定埃航空难与狮航空难原因存在关联，可能将波音陷入万劫不复之境，因此波音在调查埃航空难时做出的立场、表现和陈述存疑。
FAA在波音737 MAX自动失速保护系统的适航认证方面可能存在审查漏洞，并且目前FAA没有停飞美国境内的737MAX-8飞机等，这些表现都已经动摇了FAA的公正性、权威性和客观性。埃航空难后，中国率先停飞737MAX-8型飞机的行为得到了广泛的国际支持和积极响应，截止2019年3月13日,全球已经有至少27家航空公司暂停波音737MAX 8飞机运营，其中包括美国盟友英国、澳大利亚、韩国共有13个国家和地区,并且埃航空难造成8名中国公民不幸遇难，为了给遇难同胞及其亲友讨回公道，中国有责任和权力参与埃航空难事故的调查。
(作者系航空工业发展研究中心研究人员。原题为《陆峰| 波音是否会走下神坛?一 737MAX-8客机空难事故初步分析》)
