半年内导致346人遇难，被全球禁飞，波音是否有罪？

秒速16.7KM

文：老马 | 编辑：强哥
背景：半年内两次坠机事故，导致346人遇难。在第二次事故发生后的一周内，全球几乎所有的国家和航空公司都纷纷表示对发生事故的波音737 MAX 8机型禁飞，而就在前两天，美国也通过总统特朗特签发禁飞命令。最终，波音公司公开声明，建议停止飞行该机型。


先说明一下，这一篇并不是讨论波音737 MAX是否安全的文章，这个问题远远超出老马能力范围，想来还是交给FAA的专业调查人员吧。本文试图从公开信息中还原波音和FAA(美国联邦航空管理局)在印尼狮航事故前后有关技术，市场以及公关决策背后的想法。
波音737 Max的故事，对于产品开发从业者有了太多的启示。我们时常都在谈论“从用户角度考虑问题”，但是往往说起来容易做起来难，实际操作时不是单纯的在技术层面寻求解决方案，就是盲从市场需求而做出草率决定。如果你是一个经常在技术和市场团队中左右为难的产品开发项目经理，本文大约就是写给你的。
1 MCAS

这个话题无论如何都是绕不过肇事的MCAS (Maneuvering Characteristics Augmentation System)系统，还是得先从背景开始说起，希望读者们不要觉得太过乏味。
很多文章提到，波音为了实现节省燃料使用了更大的LEAP-1B发动机，之后为了解决因为飞机气动模型改变而造成的潜在的迎角过大的问题，而引入新的MCAS系统软件。基本事实大致是没错的，但是提及此事的文章往往开始谴责波音为了追求成本降低而牺牲产品安全，这样的结论却在很大程度上缺乏依据。
在继承现有产品(reuse)基础上研发新产品时，解决单一技术问题，通常要比调整产品结构而面临的挑战少很多。波音737是经过上万架飞机经过数十载安全飞行验证过的成功产品，在设计全新飞机架构并重新验证产品，和调整原有架构并解决新问题的两条技术路线之间，后者是显而易见的选择。设计新产品中原本就要解决各种技术挑战，新发动机能够带来14%的油耗降低，所面临的技术风险又完全可控，对于任何一个开发团队来说，这个技术决定都是合情合理的。


MCAS并不是为了单单解决737 MAX特有问题的，它也提升了飞行员手动操纵飞机的安全性。需要注意的是，MCAS不是在自动驾驶状态下触发的，而是在手动驾驶模式下触发的[1][2]。当飞机接近失速的边界条件下，MCAS会得到比飞行员操作指令更高的权限而控制飞机，而飞机一旦退出设定的条件，MCAS就会“事了拂衣去，深藏身与名”，把飞机控制权还给飞行员，在这个过程中，飞行员通常不会察觉发生过什么。
为什么这么设计呢？因为这实际上是一个容错机制。有太多案例表明，飞机在出现异常情况时，因为飞行员有太多事情要做，往往无视控制系统的警报。有很多情况下，飞行员手忙脚乱的操作反而引起更大的险情，不少飞机都是在系统”Stall, stall, stall(失速)”的警报声中绝望的坠落。所以MCAS用来有效防止新手飞行员的低级错误。
2 狮航事故原因

当然上面说的是设计的理想情况。狮航事故中，因为传感器故障，系统误认为飞机有失速风险，所以始终在和机长抢夺飞机控制权，机长在反复尝试中败下阵来，最后导致飞机坠落。
接下来一个很自然的问题就是，MCAS是否可以被关闭，从而避免出现人机争夺控制权的情形呢？
答案是Yes。
在波音的飞行手册中提到，出现异常情况下，飞行员可以关闭安定面自动配平开关，操作手动曲柄配平水平安定面(就是通常所说的尾翼)，然后就可以正常如同驾驶其他普通飞机一样手动驾驶飞机了。
油管上面有个视频，波音为了展示737 MAX的优异操控性能，飞行员在起飞后，旋即如同操纵战斗机一样用大迎角拉起。为了完成这个特技动作，飞行员显然是关闭了MCAS，而转而用手动配平水平安定面才能做到。这个视频充分说明，飞机的操控权始终掌握在飞行员手里。



可是既然如此，为什么狮航机长不知道如此处理异常情况而驾驶飞机安全返航呢？这显然引发另一个疑问，波音到底有没有告知客户实情呢？
答案是Yes and No.
波音确实在异常处理流程的部分提到了上述处理方法，但是既没有特殊强调，也没有提到MCAS的存在，更没有解释整套安全机制是如何操作的。为什么会这样？难道波音想向客户隐瞒问题吗？
3 市场背景

前文解释了关于MCAS的技术机制，但是这并无法解释为什么波音没有在操作手册中详细解释MCAS的原理和可能的影响。要说明这个问题，则需要交代市场背景对于事故的影响。
很多文章引用了下图，来说明在过去50年中，技术改进对于航空安全的提升。这是毋庸置疑的。



我找到另外一张图，可以更加说明这个成绩来之不易。在这张图上同时标出了五十年全球航班数的增加，在事故下降十倍的同时，同期全球航班数量增加了四倍[9]。



航空数的迅速增长所对应的就是对于飞行员的大量需求，特别是在新兴市场。根据福布斯的预测[4]，到2037年，航空市场54%的增长都来自于亚太等新兴市场。而这些国家通常没有太多的空军力量，缺乏向民航输送足够飞行员的能力，也缺乏大量具备技术的维护保障人员。
为了弥补航空公司大量雇佣缺乏经验的新飞行员带来的挑战，加快提升自动驾驶技术是一个最直接的答案。现在的飞机要比三十年前更加容易操控，很多飞行员在升空不久，就会把飞机交给自动驾驶仪处理，直至快要降落时再重新接手。
因为过度依赖自动驾驶设备，这种情况直接导致了飞行员经验积累的进一步恶化。很多新兴市场的飞行员飞行时数不低，但是其中的含金量却严重不足。这情形就好像现在的家用轿车司机，习惯于开自动挡轿车，用倒车雷达和影像，甚至自动泊车或者刹车功能，如果突然给他一辆82年的手动挡桑塔纳，恐怕是要手忙脚乱的。
新一代飞行员因为很少有机会处理空中险情，在遇到真正异常情况的情况时，很难做到从容应对。而飞机制造公司在开发新产品时，又不得不考虑这些新飞行员的能力，不停的增加更多的辅助驾驶功能，默默的纠正他们可能犯下的低级错误，MCAS就是这样一种技术。
4 技术与市场之争

回到前面的问题，既然波音没有什么好隐瞒的，为社么不在最初的培训资料中就解释清楚？
狮航事故后，波音采取了补救措施，向各个航空公司分发了新的飞行手册，并安排培训解释MCAS的原理和异常处理。得知实情后，美国飞行员的反应是相当愤怒的，质疑波音为什么不事先告诉他们。华盛顿邮报报道了波音高层同美国飞行员联合会 (Allied Pilots Association) 的代表在去年11月份曾经有一次对抗激烈的会议[13]，面对飞行员们的质疑，波音高管解释说他们不想用过多的信息去“淹没(inundate)”飞行员。在另一篇华尔街时报[3]中，波音承认确实没有在飞行手册中提供关于MCAS的详情，原因是因为提供过多信息而使得“普通飞行员 (average pilots)” 而感到困惑。这里提到的“普通飞行员”显然是有所指的。
透过这些报道中，可以看到波音内部确实是有讨论的。之所以会纠结这个问题，大概是因为他们面对两种完全不同类型的客户。
在客户群的一端是经验丰富的美国飞行员，他们希望知道新飞机所有技术细节，以获得更多信心来操控飞机；而在另一端，是新兴市场的“傻瓜用户” (此处没有贬义)，如果手册中过分强调MCAS，不仅有可能使他们忽略其他重要安全信息，或者导致他们信心不足而直接关闭MCAS从而引发更多风险。
可以想象，技术团队和市场团队在这里是会有不同意见的。提供不同的培训资料分别给初级和高级用户？估计法务团队听了这种建议，会对项目经理动杀机。
最后做市场的赢了。看看订单预测就知道，虽然美国航空公司定了最多的MAX，但是新兴市场显然具有更大的潜力，更何况波音市场部以“容易上手”，“和737操作方式相同”，“无需复杂培训”作为卖点向新兴市场航空公司推销737 MAX。理解期间的内部各个职能部门的互动，对于做过开发项目的朋友来说，并不是难事。



5 美国FAA vs 中国民航局
说完波音的情况，该说说FAA为什么迟迟不肯禁飞737 MAX.
第一次空难后，FAA不停飞737 MAX比较容易理解。和大多数空难情况类似，狮航事故是由多个错误叠加造成的。在发生空难的之前的班次中，机组已经发现传感器故障，并采取了适当措施 (应该是手动配平)。但是飞机落地后后续修理中，航空公司没有能够完全排除该故障，而后飞机继续执行出事的JT610航班。这个过程中，可以看到航空公司在管理，维护的责任，也可以看到事故航班飞行员经验能力上的问题，而MCAS系统本身并不是主要问题。
同FAA此前因为电池起火而禁飞波音787不同，FAA完全理解JT610航班事故原因，因为MCAS是可以手动关闭的，并且飞行手册中确实有异常情况处理流程，所以FAA接受波音的解释，并没有进行停飞处罚，甚至也没有强制波音整改。因为此后几乎没有太多关于狮航事故的报道，想来是因为大多数航空公司也对这个结果并无异议。
在埃航事故后，事情变得有点微妙。我认为中国民航局和美国FAA的决定都有各自道理。
长期以来，各国航空局习惯了唯FAA马首是瞻，跟随美国的决定亦步亦趋。但是，FAA毕竟是美国机构，他们只要考虑美国航空安全。
美国航空公司的飞行员大多是空军退役飞行员，他们的经验和能力是要远远高出其他国家飞行员团队平均水平的。知道MCAS的存在后，估计老司机们的反应是，“不就是关闭自动开关吗，多大个事啊”。
达拉斯新闻的一篇报道[7]指出，美国飞行员也曾经抱怨737 MAX “不听使唤”。但是，美国飞行员一看到飞机没法抬头，立刻意识到是水平安定面的问题，随手就会关掉自动开关，改为手动驾驶。因为从来没有引发过空中险情，所以这些问题没有正式通过航空公司上报FAA，而是通报给一个由NASA设立的非正式中立机构。
狮航事故后，波音解释了MCAS的原理后，抱怨归抱怨，但是飞行员和航空公司是能够理解问题的，既然可以关掉辅助软件，也就没有认为是一个严重问题。FAA的声明指出 “并没有发现飞机系统性问题( systemic performance issue)” ，这也就不能导致其做出停飞的决定。这个决定基本上是一个纯粹的技术层面的决定，这是现有FAA的职能结构所决定的。
但是航空市场早已经不是美国一家独大的局面。中国在不仅全球航空市场中占据越来越重的分量，安全记录也值得称道。
在经历九十年代几次空难后，民航局参照FAA标准严格加强了安全管理。同时由于工业能力的迅速提高，中国航空业的维护保养能力也很快达到甚至在某些方面超过发达国家的水平。
中国航空业在2010年后就没有发生过重大事故，中国也成为世界最安全的航空市场之一。这些能力的提高给了民航局做出独立决定的信心。
在停飞之后决定后，民航局长李健在一次采访[12][13]中提到了对于“手动配平”的担心，透露出民航局的决定是基于FAA决定相同逻辑但是不同国情而做出的。应该说中国这次的决定为自己赢得国际影响力，也是中国航空业走向成熟的标志。
写到这个地方，老马得给自己留个后路，以免将来被打脸。很多文章提到FAA决定中的政治影响，提到波音在政府中的影响力和交通部长赵小兰背后盘根错节的关系。要承认这个可能性确实存在，但是我认为unlikely，这主要由于FAA的组织架构和决策流程。
FAA局长是不能单独做出安全决定的，在FAA之下有由各种专家组成的飞行安全部 (Aircraft Safety)，局长要根据该部门专家讨论后的建议采取相关行动。事情到了这一步，局长Dan Elwell和波音高管是免不了要被叫到国会作证，如果查证波音有影响FAA决定的情况，或者有局长无视专家意见而自行其是，恐怕波音会面临比停飞要大得多的麻烦。
波音不去影响FAA安全决定，并不是由于他们的商业道德有多好，而是仅仅因为代价太高而不值得冒险。当然，川普治下的美国政府已经同过去全然不同，虽然我倾向于FAA的决定中没有太多政治因素，但这个可能性不能被完全排除。
6 埃航事故之殇
如果印尼狮航的事故是一次意外，那么埃航事故是否可以避免？我认为是完全可以的。
首先，FAA的不停飞的决定不仅引起其他国家的反弹，在美国也争议很大。FAA的官僚主义导致它没有跟上社会环境和航空市场的变化，除了保证美国航空安全以外，FAA还应当担当责任来维护美国航空工业信誉以及保护公众对于行业的信心。
其实饱受争议的FAA也处境艰难，自2018年1月前任局长卸任后，美国政府就没有再任命新的局长，现在在位的Daniel Elwell实际上只是代理局长。其原因是令人匪夷所思的，川普在2月份提名自己的私人飞机( 不是空军一号，而是那架机身上印着”Trump”的飞机)的机长为FAA局长，引起舆论哗然[14]。川普后来不得不撤销提名，但也没有再提名其他人。
代理局长负责维持机构日常运转，但却无权制定新的部门策略和目标，所以半瘫痪的FAA在面对危机时显得笨拙不堪。如果有因为合适的领导人，FAA也许会综合考虑其他市场的情况，审时度势地在狮航事故后暂停737 MAX的飞行，埃航的悲剧就不会发生了。
其次，根据纽约时报的报道[15]，波音将软件升级延迟的部分原因归咎于开始于去年年底的联邦政府关门。人们记忆犹新，因为川普要求建筑“边界墙”而与国会引发争议，导致美国历史上最长的35天政府关门。虽然FAA否认波音的说法，但政府关门无疑是影响了FAA快速应对危机的能力。
波音软件升级现在预计会在4月份完成，新软件加强对于传感器错误的判断，使得MCAS不那么容易被触发。如果能够早完成一个半月，埃航事故也许也是可以避免的。
7 结语
类似于波音737 MAX的讨论，在即将到来的自动驾驶时代会变得越来频繁。在技术路径和市场需求之间寻求一个平衡点从来都不是一件容易的事情，即使如波音这样拥有超强团队的公司都会犯错，更何况是普通的产品开发从业者。分析完波音和FAA决定中一些可能想法，我发现即使回到过去重新做一遍，依然不可避免的会面临困局。社会和科技每前进一步，都会伴随付出一些代价。逝者已矣，码字写这么一个长篇，只希望埃航事件所能带来的教训不仅仅限于航空业，在这一点上，老马与各位读者共勉。
<hr/>强哥后记：如果大家有看过电影死神来了（又名绝命终结站）的话，就明白重大事故往往都是因为一连串的小失误或者意外造成的 - 如果不是因为狮航安全管理不到位，如果飞行员的技术够高，如果没有美国联邦政府的35天关门，如果不是因为一个小小的传感器故障，如果波音的安全手册能够提前重点提醒新机型的不同和操作关键点，如果......然而，遇难的346位无辜的乘客并没有那么多如果。
本文的作者是强哥很尊重的一位朋友老马，虽然他的观点有很多时候强哥并不完全同意，但都算是做事认真和喜欢思考的人。
老马试图从产品开发，市场以及公关的角度去解读波音公司为什么会在737 MAX机型上作出让人费解的决定，以及在事故发生后美国联邦航空管理局和波音公司在后续的应对上的决策出发点。
然而，不管你是在多么艰难的条件下，作出“多么艰难的决定”，都不能与346位遇难者的生命和给346个家庭带来的伤痛相提并论。作为普通产品的决策，无非就是消费者觉得不好用了而丢失市场，但是作为航空业，一个决定可能会关系到整个飞机的几百号人的生命安全，这也是为什么在飞机航行中，机长有绝对的权力 - 不是因为他是一个独裁者，而是因为他要对整个航班的所有乘客以及空乘人员的性命安全负责。能力越大，责任也就越大。
同样的，对于波音公司，不可否认，它仍然是航空行业的老大，盈利能力也不错，当然，通过自己的技术赚钱，这本身没有问题。但是，我们要问的是，波音公司在占据了民用航空市场半壁江山的情况下，是否也同时负起了该有的责任？关于这个问题，文末有投票，欢迎大家参与。如果还有其他想说的话，也可以在公众号后台给强哥留言。
为了保证原文的观点流畅性，只做了必要的笔误修改，排版和分段。本来也没有打算在文章前面写这么多，不希望影响读者在看的时候的客观性。但是一是因为强哥本身也有一些观点不吐不快，二来也想问一个问题，绝对的客观真的存在吗？事件本身可能是客观的，但任何人在讲述或者分析的时候都免不了夹带自己的感情以及理解。至于对文章中某些观点的理解，各位就见仁见智，自己去判断了。
<hr/>参考资料：
1.   https://theaircurrent.com/aviation-safety/what-is-the-boeing-737-max-maneuvering-characteristics-augmentation-system-mcas-jt610/
2.    https://theaircurrent.com/aviation-safety/what-is-the-boeing-737-max-maneuvering-characteristics-augmentation-system-mcas-jt610/?lang=zh-hans
3.    https://www.wsj.com/articles/boeing-withheld-information-on-737-model-according-to-safety-experts-and-others-1542082575
4.    https://www.forbes.com/sites/jeremybogaisky/2019/03/11/the-boeing-737-max-crashes-is-there-a-problem-with-the-plane-or-the-pilots/#34255b3e584a
5.    https://interestingengineering.com/everything-you-need-to-know-about-the-boeing-737-max-8
6.    https://www.seattletimes.com/business/boeing-aerospace/u-s-pilots-flying-737-max-werent-told-about-new-automatic-systems-change-linked-to-lion-air-crash/
7.    https://www.dallasnews.com/business/airlines/2019/03/12/boeing-737-max-8-pilots-complained-feds-months-suspected-safety-flaw
8.    https://www.wired.com/story/boeing-737-max-8-ethiopia-crash-faa-software-fix-lion-air/
9.    https://theblogbyjavier.com/2019/01/02/aviation-safety-evolution-2018-update/
10. https://cn.nytimes.com/business/20190314/china-boeing/
11. http://www.chinatimes.net.cn/article/84713.html
12. https://cn.nytimes.com/business/20190314/china-boeing/
13. https://www.smh.com.au/business/companies/at-tense-meeting-with-boeing-executives-pilots-fumed-about-being-left-in-dark-on-plane-software-20190314-p514de.html
14. http://www.msnbc.com/rachel-maddow-show/why-hasnt-trump-nominated-someone-lead-the-faa
15. https://www.nytimes.com/2019/03/14/business/boeing-737-software-update.html
更多内容，请关注微信公众号：强哥云计算



●没了华为，澳洲5G再落后10年
●在澳洲搞IT系列之我是英雄
●燕青看澳洲之 - 找工作篇
●强哥一周科技圈要闻 20190308
●从女神节看云计算的应用
●Q3收入前景不如华尔街预期，Nutanix股票暴跌逾30%
●强哥IT观察之 任正非回应孟晚舟事件
●强哥大话超融合（HCI）系列之 - 堂弟VxRail
●强哥大话超融合（HCI）系列之 - 富二代 vSAN
●强哥大话超融合（HCI）系列之 - 缘起
●A Journal To the Cloud - NetApp FabricPool 初体验
●重磅！VMware VCP证书将不再过期
●强哥告诉你 - 传统IT人，你为什么需要一个云计算的证书