前兩天埃塞俄比亞航空ET302的事故再次把波音的737 Max客機推上了風口浪尖。由於這次事故的情形和5個月前印尼獅航JT610的事故很類似，又是同一個機型，很多人開始懷疑Max客機是否存在適航問題，對其安全表示疑惑。但是這樣的恐懼有必要嗎？今天我給大家講講我的想法。
Disclaimer：本文僅代表作者本人意見，並不代表博客所有作者意見；在最終調查結果公布前，很多信息都是推理和猜測，一切以最終調查結果為準。
好嘛，我再補一句。這個話題會controversial的，早就料到了。我基於我的專業知識做判斷，不代表大家就該相信我，也不代表大家說的擔憂沒道理。我支持大家選擇避開B737 Max，如果你想查自己飛的是不是Max 8，可以參考這篇文章。但是話再說回來，我仍然堅信訓練不周，維護不佳在這兩起事故中造成的影響比機型本身更大。大家可以不同意，但是希望大家在討論中不要人身攻擊。謝謝！
Contents
客觀因素分析
TL:DR 我不認為需要擔心。飛機應該沒有明顯缺陷，但是這一代飛機確實有一些妥協，需要飛行員對飛機行為有更多了解。但是，如果你個人覺得有風險，我也支持你近期盡量避開Max
簡單總結：飛機氣動設計，程序設計變化，導致飛行員可能對飛機行為不很了解；飛控系統邏輯有待改善；航司訓練不足（波音可能一開始沒強調部分系統的訓練，但是ET事故之前已經發過warning要求加強訓練了，因此如果ET事故是同樣原因，航司責任更大）；關鍵零件品控堪憂（攻角傳感器）
1. 引擎設計犧牲了大翼抗失速性能
B737系列誕生於1967年，當時的引擎還是涵道比還不到1:1的JT8D，因此機翼下方空間不算大。隨後從Classic到Next Generation（NG）再到Max，為了獲得更好的燃油經濟性，每一次升級，引擎涵道比都前一代有所提升。到Max這一代涵道比從NG一代的5-5.5:1擴大到了9:1。引擎越來越大，也給引擎的設計和安裝帶來不少困擾。
波音737NG系列（左）和Max系列（右）引擎正視圖對比
因此為了保證引擎與地面之間有足夠的空間，CFM的工程師（並不是波音工程師）給出的解決方案是將引擎的安裝位置提高，並向前移動一些。這個設計確實解決了引擎與地面之間距離的問題，但是突出的引擎導致在飛機攻角比較大時（Angle of attack，AOA，可以簡單理解為機身與水平面之間的夾角）引擎會嚴重阻斷/擾亂經過其後方翼面的氣流，導致失速（Stall）可能性大幅度提升。
引擎側視圖對比，可以看到Max的LEAP-1B位置比NG的CFM56-7B要略高，略靠前。
2. MCAS邏輯不完善
為了降低飛機失速的可能性，波音引入了Maneuvering Characteristics Augmentation System（MCAS）。這個系統的設計目的是讓飛機在發現攻角過大時自動調整水平尾翼的配平來壓低機頭，降低失速風險。
但是MCAS的觸發和解除邏輯都有一定問題。
- 首先MCAS對攻角的判斷是3個（還是2個…）AOA傳感器中只要有一個顯示姿態異常就會激活。這樣排除了某一個AOA傳感器異常，且異常表現為始終顯示AOA正常的情況。但是如果AOA傳感器異常的表現為顯示攻角遠大於實際攻角的情況（獅航應該就是這個情況），反而會錯誤觸發保護壓低機頭。而且這個觸發邏輯也不會和陀螺儀對比糾錯。
- 如果飛行員想override錯誤的MCAS激活，系統設計的方法是手動設置配平。這雖然不難（B737設計機長這一側，左手拇指有trim switch，右手有trim wheel，副駕一側反過來；而且MCAS激活的時候trim wheel會明顯轉動，並發出明顯的聲響，很容易注意到），但是對於大多數飛行員而言，飛機突然低頭的第一反應是拉杆抬頭，而並非去碰trim調整配平。事實上正常飛行過程中配平為飛機根據油量消耗以及進場狀態自動調節，一般情況下初始配平根據負載，在推出前設置好後，整班飛行都不需要再設置。因此這樣的MCAS解除邏輯，確實有一些讓飛行員不適應。（雖然要我說，MCAS激活後突然大桿量，長期拉杆，也應該可以解除MCAS）
MCAS的觸發和解除邏輯
3. 電傳化轉變帶來的弊病
B737 Max系列是B737系列第一個大規模應用電傳操控的系列。雖然波音的電傳設計大體思路以仿機械為主，但是電傳還是電傳，操縱桿和翼面之間隔着的是看不見摸不着的代碼，如果飛機覺得飛行員的操作危險，那麼這個操作就可以不被執行。MCAS就是一個很典型的操作限制。眼尖的同學可能看到了，MCAS的觸發邏輯是自動駕駛在「解除」狀態。這在習慣了老B737全機械/液壓操作的飛行員眼裡幾乎不可理解。在他們眼裡，自動駕駛解除=飛行員對飛機有完全控制力。因此他們很可能完全不知道在解除自動駕駛後，還有一個MCAS系統在作怪，需要解除。
4. 航空公司維護不佳，飛行員訓練不足
出事的兩家航司都是出名的維護不佳和飛行員訓練不足。印尼獅航在近幾年才被解除歐盟禁飛。所以這航司安全性可見一斑。
獅航墜毀的飛機，在幾天前的維護中剛剛更換過AOA傳感器，但在墜毀前的一個航程再次出現AOA傳感器異常，結果這個問題被作為保留故障沒管。
飛行員訓練方面，雖然沒誰有確切的證據，但是很明顯出事飛行員對電傳邏輯，電傳操控，以及新的MCAS系統都沒有深入的理解，否則應該不會釀成慘劇。
5. AOA傳感器問題
B737和A320的攻角傳感器都由Collins提供，是一套用了很長時間，比較成熟的產品。我沒有行業數據，並不知道這東西有多容易壞，但是目前兩起事故，只有印尼獅航的事故確定攻角傳感器不正常。不好說是不是真的這批傳感器有問題，還是臉丑… 但是這確實是造成事故的稻草之一。
事故過程分析
這裡只說獅航吧，畢竟ET的事故還有太多未知。
- 有故障的AOA傳感器未被更換
- 起飛後AOA傳感器開始異常，自動駕駛探測到數據異常，自動斷開
- 飛行員發現異常，決定返航
- 返航轉向帶來的Banking angle完成了MCAS觸發的所有條件，MCAS觸發
- 飛機開始在未受飛行員指令的情況下低頭（因為飛行員認為自動駕駛斷開後，他們應該有完全控制力，因此可能認為低頭的可能原因是elevator/trim jam at nose-down，即升降舵或者配平螺桿卡在低頭的位置，類似事故確實出現過）
- 飛行員通過拉杆來修正低頭，期間並未注意到配平輪轉動，或者沒注意轉動方向（配平輪轉動抬頭和低頭聲音沒有區別；正常着陸過程中系統會根據姿態調整配平輪抬頭，因此下降過程中配平輪不時轉動的聲音，很多飛行員都以及習慣了）甚至可能以為配平輪在向抬頭方向轉動來幫助抬頭
- 由於AOA傳感器數據卡在一個很高的值，MCAS持續調整配平壓低機頭，直至升降舵無法糾正配平帶來的機頭下壓
- 自此在飛行員眼裡飛機徹底失控，俯衝墜毀
禁飛令？
截至目前，印尼，中國，埃塞俄比亞航空，以及眾多歐洲國家相繼禁飛了B737 Max 8飛機。這在航空界算是比較例行的行為。尤其是在短期內出現兩次類似事故，且官方事故報告沒有發佈的情況下，預防性禁飛很正常，也比較常見，我也支持。
但是從我個人理解來說，我相信飛機沒有致命缺陷。不過我也承認種種原因導致目前B737 Max系列飛機出現致命巧合的可能性確實高於其他飛機。
一點個人意見
實話實說，我非常討厭電傳系統。這也是為什麼我非常討厭空客。空客最早開發電傳，目的是讓電腦解決細節，飛行員只用把自己的想法告訴電腦即可。這樣可以為航司降低飛行員訓練成本，降低飛行門檻。
航空圈的經典meme
於是乎飛行員已經不再像醫生一樣是刻苦訓練，從理論到應用都要融匯貫通的職業，而是賺錢的工具。業內的朋友也告訴我，有一些新飛，真的是靠背書拿的執照，對氣動，對飛行沒有什麼非常好的理解。我個人也遇到過和航司飛行員聊天，明顯覺得對方不理解飛行原理的情況。這在正常飛行中毫無問題，但是一旦出現危機，電腦系統趴窩的時候，現代航空飛行員成功處理問題的概率要比上世紀中後期那些飛行員要差。
而空客的電傳系統本身在我眼裡也不那麼可靠。比如，空客的桿量輸入和翼面輸出比例不是固定的，起降過程中，翼面輸出要更慢。這樣的設計是為了增加飛行員在低速情況下對飛機控制的精度和穩定性，但是對於真正理解飛行，需要感受氣流反饋來調整飛行的好飛行員來說，這反而造成一些困擾。再籠統地說，電傳對飛行員輸入的危險性判斷也是過於武斷。MCAS就是很直接的例子，飛機認為幾個失速特徵中的一個出現了，大概你有51%的可能性會失速，於是施加了100%的系統來糾正。換句話說，電腦不會gamble，一就是一，二就是二，而恰恰有經驗理解飛行的好飛行員能把一件小概率事件變成事實。
我承認，也非常同意「懶人推動世界進步」這個說法。但是飛機聰明了，你就願意讓一個「懶人」帶你飛嘛？我覺得這個答案每個人心裏都清楚。