腾讯证券8月20日讯，据国外媒体报道，今年3月10日，几乎在埃塞俄比亚航空302航班机轮刚一离开跑道的时候，机长亚里德·格塔休（Yared Getachew）面前的大量面板便开始显示错误信息。
其中，飞机数字显示器显示的高度、空速和其他基本信息与副驾驶座舱上的读数大相径庭。随后，格塔休机长手中的操作杆开始震动，警告他飞机爬升速度过快，有失速危险。很快，一连串的警告音、各种各样的警告灯和机械声音充满了整个驾驶舱。
在此期间，格塔休机长两次试图启动自动驾驶系统，但每次都触发了警报。
随即，另一个强大的自动飞行控制系统“机动特性增强系统”（Maneuvering Characteristics Augmentation System，以下简称“MCAS”）突然下压了飞机机头。飞行员们拼命地试图控制飞机，想把这架波音737 MAX机头抬起来。格塔休机长三次命令副驾驶艾哈迈德·努尔·穆罕默德（Ahmed Nur Mohammed）进行“拉起”操作，副驾驶进行了确认。
同一时刻，又一个巨响警告全神贯注的飞行员，飞机飞得太快了。
飞行大约四分钟后，飞行员们终于找到了问题的根源，同时喊话 “左迎角探头叶片（left alpha vane）”。
但来自故障传感器的错误信息再次欺骗了机载电脑，让其相信飞机的机头角度太高，导致MCAS一次又一次地介入、把机头往下推。
最终，埃航302航班以接近音速的速度俯冲向地面，飞机撞击地面的力量如此之大，以至于这架载有157人客机的坠落现场仅可看见一个直径约50米、深度约10米的巨大深坑。
而仅仅在五个月前，印尼狮航610航班也在类似情况下坠入爪哇海，造成189人死亡。
自两起空难发生以后，监管机构一直将自己的调查重点放在了MCAS系统上，该系统对单一传感器过分依赖，波音也没有向飞行员透露安装这一新系统的情况。但究其原因，这一切问题的根源或许还在于波音对飞行员行为作出了过于乐观的假设。
问题何在
在设计737 MAX的飞行控制系统时，波音假设“接受过现有安全程序训练的飞行员理应能够在相互矛盾的警告声环境下进行有效筛选，并在4秒内采取100%正确的行动”。
波音公司几乎把所有的赌注都押在了这四秒钟的时间上，该公司相信自己的工程技术，并相信飞行员能够做到完美无缺，帮助其最重要客机换代产品得以快速推向市场，并最终为客户节约成本。
如今，这家航空巨头正在为两起坠机事件买单：旗下最大机群在全球范围遭遇停飞、众多航司对波音的做法感到沮丧，波音在自己则正面临着现代民航史上的最大挑战。比如，该公司正在接受联邦检察官、证券监管机构、航空当局和国会议员的调查，面临着来自346名遇难者家属的100多起诉讼。
如果737 MAX禁飞时间持续增加，波音将不得不进一步放缓或暂时完全停止生产737 MAX。这一问题不仅扰乱了乘客的出行计划，也给航空公司、航空供应商及其数万名员工的前景蒙上了阴影。
对波音现任和前任员工、飞行员、航空公司官员、联邦监管机构的采访后发现，波音工程师们一直认为，飞行员能够通过对类似问题立刻展开有效的纠正操作。
这一假设也与该公司的另一个重要目标相吻合：即要让这款飞机被更多航空公司所采用。此前，波音公司曾说服监管机构，允许部分737飞行员在没有接受模拟器培训的情况下执飞737 MAX，仅仅需要在两款机型之间存在巨大差异的情况下展开培训，这就大大降低了航司对飞行员的培训成本。
2017年被解雇的前波音飞行控制工程师里克·路德克（Rick Ludtke）透露，波音曾向自己737 MAX的最大客户、美国西南航空承诺，如果飞行员需要进行额外的模拟器训练，自己将额外支付100万美元的补偿费用。
波音公司的一位发言人说，MCAS的设计和认证，包括依赖飞行员作为最终安全措施的做法遵循了公认的行业惯例、且经过6年有条不紊努的测试。他还表示，737 MAX总体批准程序符合联邦监管机构所设定的“严格标准和要求”。
“我们会继续从调查和这些事故中吸取教训，继续改善航空安全。”该发言人说道。
为了让737 MAX再次升空，波音公司现在将依赖两个传感器向MCAS提供信息，并降低该系统的飞行控制权。
FAA表示，现有的飞机认证程序很完善，一直以来都能确保安全的飞机设计。但该机构正在重新考虑将美国飞行员的平均反应时间纳入飞机设计基准，并为销往全球各地的飞机设定不同经验水平和培训标准。
商业为先
波音从2011年开始开发737 MAX，当时它的劲敌空客刚开始推出A320neo。因此，波音需要一种燃油效率更高的单通道客机，以避免失去市场份额。
为了使用更少的燃料，该设计需要用到更大的发动机，安装位置也比以前的机型更高、更靠前。所有这些变化都影响了飞机的操作方式，737 MAX机头在某些高空条件下会翘起，存在失速危险。
因此，波音工程师们开发了MCAS来管理这一问题。该系统完全在幕后操作，通过将机尾的水平稳定器以0.6度的微小增量向下压低飞机机头。
波音考虑的重点是让737 MAX尽可能同早期的737机型相似。因为差异越小，FAA要求飞行员接受再培训的可能性就越小。
路德克表示，公司管理层曾向工程师施加压力，要求他们避免在设计上做出重大调整，以免飞行员需要在模拟器上学习新的操作。
参与该飞机研发的人士透露，在2013年前后，波音官员一度担心FAA会要求进行模拟机培训。但包括737 MAX总工程师迈克尔·蒂尔（Michael Teal）在内的官员依旧选择不与模拟机制造商合作，开发737 MAX版本的模拟机，因为他们相信这架飞机与早些时候的737没有太大不同。
“这无疑是一场高风险的赌博。”这位匿名人士表示。
波音发言人表示，与现有飞机推出的任何新版本一样，最大限度地缩小机型差异是其目标。但这个设计目标仅仅是目标，需要从属于其他要求，最重要的便是安全性。波音一直有开发737 MAX模拟机的计划，并没有因为担心FAA可能需要飞行员培训而推迟这一计划。
部分参与737 MAX项目的波音工程师说，MCAS并没有被视为飞行控制系统的重要组成部分。波音在开发时专注于他们认为对安全更为关键的其他功能，比如自动着陆系统。部分员工指出，2013年前后，在西雅图的一个办公室与FAA官员会面时，波音仅仅将该系统描述为“几行简单的软件代码”。
从一开始，波音提供给FAA的安全评估文件就假定飞行员能够处理系统数据冲突的问题。FAA也认可了这一点,因为737 MAX适航许可正是基于“飞行员在100%的时间里可以对某些紧急情况做出正确反应”这一假设所签发的。
作为自己这一精打细算项目的一部分，波音最终决定无需告诉飞行员MCAS或它是如何工作的。在早期设计阶段，波音曾在一份手册草案中提到了该系统的名字，但这些资料在发给航空公司之前就“消失”了。
该公司给出的理由是，飞行员多年来一直在接受训练，以应对一种被称为“失控稳定器”（runaway stabilizer）的情况，这一情况也会使飞机机头下沉，同MCAS所处理的情况相似。
然而在设计后期，波音给予了MCAS系统更大权力。FAA培训专家在没有意识到MCAS已经变得更加强大的情况下，最终认定737 MAX的操控系统与之前的737足够接近，因此飞行员可以仅在笔记本电脑或平板电脑上学习新特性，737 MAX则于2017年投入使用。
亡羊补牢
在印尼狮航空难发生几天后，FAA的737 MAX首席工程试飞员凯文·格林（Kevin Greene）在一次电话会议上告诉十几名机构官员称“MCAS涉嫌在事故中发挥了作用”。
“什么是MCAS？”FAA的一名官员当时问道，但FAA拒绝让格林继续置评。
几乎在同一时间，FAA内部评估确定，更强大的MCAS构成了不合理的高安全风险，这种风险可能会在几个月内导致另一架737 MAX出现类似问题。
至此，波音首次决定在给航空公司的公告中详细说明MCAS功能。据参与商议的一名FAA官员透露，尽管狮航空难的阴云笼罩，FAA领导层仍然支持波音公司依赖快速、无误的飞行员决策的设计做法，同时向公众保证737 MAX可以继续安全飞行。
因此，FAA同意不需要对737 MAX进行紧急修改，该机型也可以在没有任何限制、额外飞行员培训的情况下继续运营。
知情人士说，在坠机事件发生后的几周里，外部飞行员、FAA官员和美国安全调查人员都被派来帮助波音工程师重新检查他们对飞行员反应的假设判定。
从历史上看，波音的工程哲学一直都将飞行员置于每一种新设计的中心，以确保飞行员可以超越记载计算机的权限，同时尽可能的拥抱自动化技术。在狮航空难发生前，我们几乎处于商业航空旅行历史上最安全的年代。在大约十年的时间里，美国航空公司只有一名乘客死亡。
从20世纪70年代的747大型喷气式飞机到最新的宽体777和787，这一机载系统设计理念继续蓬勃发展。波音为自己制造的客机感到自豪，这些客机使机组人员能够越过几乎所有自动化功能，而不必采取额外步骤便能拥有飞行控制权限。
然而，自上世纪90年代末以来，美国事故调查人员已经认识到，飞行员在现实世界中的反应并不总是符合FAA的期望。
FAA在2008年的一项研究发现，在模拟器测试中，商业飞行员有时会在遇到不熟悉的故障时感到困惑，并重申现有认证标准是不切实际的。
在狮航空难的细节逐渐浮出水面后，飞行员们开始向波音施压，想知道自己为什么会被蒙在鼓里。
11月下旬，包括产品战略副总裁迈克·辛尼特（Mike Sinnett）、高级飞行员克雷格·邦本（Craig Bomben）、美洲销售总监艾伦·斯莫林斯基（Allan Smolinski）和运输政策主管约翰·莫洛尼（John Moloney）在内的波音官员参观了美国航空公司在得克萨斯州沃斯堡的飞行员工会。
与会的飞行员们想知道为什么波音将MCAS排除在他们的培训手册之外。根据录音内容，当时辛内特问飞行员，“为什么需要知道是MCAS还是其他因素在控制飞机的机头姿态”。
“如果有三个、四个或五个因素都可能导致失控稳定器问题，为什么你在展开对应操作之前需要知道是哪个问题？”
一位飞行员回应说：“因为这架飞机的系统警告会被如此多的其他系统所干扰，我认为这是非常独特的。”
由于在拿到的手册中没有提到MCAS，或者它可能出现失效的条件，许多飞行员很难在紧急情况下做出正确的反应。
在这一会议结束四个月后，埃塞俄比亚航空公司的302航班则以最为悲情的方式证明了这一点。（德鲁）