2019年3月10日，埃塞俄比亞航空203航班在亞的斯亞貝巴起飛6分鐘後墜毀，機上157人全部喪生，包括8名中國旅客。在不到5個月前的2018年10月29日，印度尼西亞獅航610航班在雅加達起飛13分鐘後墜毀，機上189人全部喪生。

　　兩起事故涉及的都是波音737-MAX8客機，都是新近交付使用才幾個月的新飛機。但最先進的發動機和電子技術沒能防止惡性的機毀人亡事故，引起世界的震驚。這將是波音的噩夢，但影響遠遠超過波音737MAX這一條產品線。

　　新近交付才幾個月就墜毀，這是波音的噩夢

　　波音737是民航史上非常特別的一章，其成功是一個意外。在60年代初，波音成功地用四發的波音707占領了遠程市場，用三發的波音727占領了中程市場，急欲推出新的雙發客機占領短程市場。在這個時候，競爭對手道格拉斯已經推出DC-9。在歐洲，則有法國南方飛機的“快帆”和英國飛機的BAC-111。這些成功的設計都採用尾吊雙發的布局，起落架高度降低、重量減輕，乾淨的機翼氣動效率更高，尾吊發動機的噪聲也遠離機艙主體。

　　但波音設計師另闢蹊徑，採用與波音707和727相同的機體直徑，不僅機艙從競爭對手的2+3加寬到更加舒適的3+3，也在設計和生產上可以與波音707和727共用生產線和機艙模塊。更有甚者，翼下發動機為機翼減載，降低的結構重量使得波音737的經濟性秒殺競爭對手，最終成為歷史上最成功的民航客機。以後波音737從短程擴展到中程，現在航程媲美早期波音707，載客量超過波音727，甚至新一代的波音757都被白髮人送黑髮人了。

　　為了進一步加強經濟性和短程運作的便利，波音737的發動機離地很低，便於地勤維護；起落架很低，在理論上旅客上下飛機可以不需要機場專用登機梯而用自帶的簡便登機梯。為了節約重量，主起落架直接收入機腹的凹腔內，連蓋板都沒有。這些設計特點最終也成為限制波音737進一步發展的障礙，但這與安全性無關。

　　事實上，成熟與安全正是波音737-MAX的招牌。在50年的持續成功後，波音737成為波音的負擔，因為進一步改進已經很困難了，而市場一直在變。

　　比如說，波音707的機體直徑決定了座位寬度還是以50年代的人的身材為基準，對於如今大胖子遍地走的情況已經難以適應。機翼離地高度不足，也使得更加省油、安靜的大直徑渦扇發動機難以採用。發動機高度前挑，發動機位置嚴格來說已經不是翼下，而是“翼前”了。波音737-MAX10甚至被迫使用很複雜的兩段式起落架，好像狗腿子一樣可以伸展，以在起飛、着陸時加長起落架長度，確保加長的機尾不至於在拉起時觸地。

　　這樣的勉為其難實際上是被空客逼的。空客A320比波音737晚推出20年，在設計的時候就針對波音737的先天缺陷加以改進，在此基礎上推出加長的A321，其載客量和航程剛好處在波音望塵莫及的位置，在過去10多年裡獨霸市場。

　　波音在產品路線圖上希望雙管齊下，用“新一代小飛機”（簡稱NSA）替換波音737，重建對空客的優勢；用“新一代中型飛機”（簡稱NMA）填補波音737與787之間的空隙，但在是否把NSA和NMA合二為一問題上舉棋不定，在NMA採用單走廊還是雙走廊問題上也猶豫再三。

　　空客幫波音拿了主意，用新發動機推出A320NEO，並對機艙和駕駛艙全面現代化，事實上占領了NSA的位置，而A321NEO也事實上占領了NMA的低端。空客還有進一步加長為A322NEO的選項，只要空客高層做出決定，在技術上沒有太大的困難。在另一端，A330-800則卡住了NMA的頂端。

　　波音既等不起NSA，NMA那邊又難產，只好把已經50歲的波音737再次拉皮，用新發動機、機艙和駕駛艙設計隆重推出波音737-MAX系列。

　　由於這是在現有的波音737-NG上的大改，用戶的現有維修、支援、訓練體系容易無縫對接，很受航空公司的歡迎。對於FAA來說，這也只是現有波音737-NG的補充認證，並不需要重頭認證。波音新增的機動特性增穩系統（簡稱MCAS）的問題是到後來才意識到的，但這不是波音畫蛇添足、沒事找事。

　　2009年6月1日，法航447航班從巴西里約熱內盧起飛，前往巴黎，途中失事墜毀，機上228人全部喪生。這是一架空客A330-200，4年新。沒有兩架失事的波音737-MAX8那麼新，但也算很新的。

　　飛機在飛越雷雨區時，空速管凍結，造成空速讀數不正常，不斷發出失速虛警。飛行員按照空客應急處理手冊要求，加大推力爬升，反而進入了高空失速，最終墜毀。事後調查發現，在好幾分鐘裡的任何時刻，只要飛行員壓低機頭，就有足夠的高度和速度改出失速，恢復安全飛行。空客的應急處理手冊是針對更常見的低空失速情況，但對高空失速考慮不足。飛行員機械地按照手冊處理，而不顧常識和經驗，也是事故原因之一。

　　法航447事故後，高度自動化系統與人的交互、人在平常很能幹的自動化系統“失智”時的應對，以及關鍵控制系統對儀表固有可靠性掉鏈子時的處置成為很大的話題，這些話題至今依然是火爆的研究領域，但工程技術的特點就是：不能等什麼都研究清楚了再干，琢磨出來多少，先幹起來再說。解決方案不完美是可以改進的，但不作為是不可接受的。

　　因此，波音MCAS的功能之一就是在一定的高度、速度條件下，如果空速管讀數指出迎角過大，就有控制地壓低機頭，自動改出。如果迎角過大是空速管凍結造成的誤讀，在較低的高度上，氣溫升高，空速管凍結自然融化，讀數自然恢復正常。由於在高空高速時空速管凍結，飛行員的最好選擇也只有壓低機頭，因此自動與手動並不衝突，自動具有很高權限。

　　但事情是千變萬化的，如果飛行員認定飛行狀態正常，不應該大角度俯衝，而拉起的動作反覆被自動控制否決，就可能造成“飛行員導致的控制震盪”（簡稱PIO），幾個來回以後，震盪幅度越來越大，就容易失控。這不是典型PIO，典型PIO是由於飛行員急促、頻繁的操縱動作激發控制系統本質滯後造成的，但就表象和最後效果而言，這兩種PIO是一樣的。

　　現在還不能確定PIO是否是最後導致獅航610失事的原因，埃航302的失事調查更是剛剛開始，但從飛行的速度和高度紀錄來看，MCAS與飛行員打架、最後造成PIO的可能性不小。應該指出的是，PIO里的P確實是指飛行員，但這是控制系統設計的問題，不能簡單看作飛行員的錯誤。

　　有說法MCAS是因為波音737MAX發動機前置、位置提高造成上揚傾向、需要自動補償的緣故，這是奇怪的說法。發動機前置使得重心前移，帶來的是自然的機頭下壓傾向，而不是上揚。發動機重心提高對俯仰的影響也微乎其微，俯仰主要是重心前後移動的影響，上下移動影響的是橫滾。

　　不管波音是為什麼而增加MCAS，波音的錯誤在於沒有把MCAS的功能作為飛行員換型訓練的一部分，不僅使得飛行員在控制輸入被意外否決時大吃一驚，還沒有迅捷有效的辦法解除自動控制、全手動接管。

　　獅航610事故後，波音馬上推出補丁，不僅在飛行員訓練里強調MCAS的新增功能，還推出解除MCAS的操作步驟。不過這些還是臨時補救措施，MCAS一旦解除，也不易恢復，影響後續正常飛行。高度自動化系統在自動與手動之間的無縫來回切換本來就是極端複雜的問題，尤其是部分手動-部分自動的混合模式。軟件實現當然是大難題，更大的難題是猜度飛行員的意圖和正確表達依然處在自動模式的功能，這樣不導致飛行員誤解，也能在恢復自動的時候只恢復還在正常工作的部分，而不是把造成先前麻煩的部分一併恢復。

　　埃航302失事後的第二天，波音就宣布已經在加緊編制補丁，將在未來幾周內推出。如果這是獅航610之後就開始編制的補丁，那可能是完成品；如果是埃航302之後才開始的，那依舊是臨時補丁。波音最後的技術方案還不知道，但技術問題已經不是波音最大的噩夢，商業運作這邊才是。

　　埃航302失事後，中國首先在國家層面立刻宣布涉事飛機停飛。有人把這與美中貿易戰相關聯，這是不妥的。即使美中貿易關係如膠似漆，接連兩次出這麼大的事故，不得到安全確認就繼續容許飛行，那才是不負責任的。有人問中國外交部，什麼樣的安全確認才足夠解禁，這其實不是外交部能回答的問題，應該問中國民航。具體需要滿足什麼樣的要求，那是技術性的問題，但繼續默認安全性肯定是不妥的。

　　與此相對照的是美國，FAA至今堅持認為，否決波音737-MAX8適航證的依據不足，所以還沒有達到停飛標準。如果說獅航610隻是孤例，那埃航302之後，需要證明的就不是波音737-MAX不安全，而是是否還安全了。在沒有相關證明之前，FAA的不停飛決定是不負責任的，有損FAA的專業權威。但FAA這樣有損專業權威的做法不是沒有先例的，下面會提到。

　　但FAA有苦難言。如果FAA下令停飛，波音生產線上的大批待交付飛機立刻就要大概率面臨拒絕接收的問題，航空公司慢說不能正常投入航班運行，連接機都不可能。在最壞情況下，各國航空公司甚至可能出現大面積退貨，波音將很難拒絕。

　　對於航空公司來說，機隊停飛也是巨大的問題。像美國西南航空那樣，機型高度集中，一旦主力機型停飛，連抽調其他飛機補班都難，因為根本沒有那麼多替補飛機可以調動，那樣公司就有停擺的危險。一旦客流流失，如何拉回來、什麼時候才能拉回來就難說了。

　　也有人問，停飛造成的經濟損失是否可以向波音索賠，這就一言難盡了。如果確認是波音的設計問題，那索賠是有根據的，但這要很多年、很多律師之後了。但在未來幾年裡，老客戶再買波音的時候，降價要求就很強勢了，用降價代替賠償對波音是最好選擇，但這對公司盈利的打擊也是實實在在的。

　　對于波音來說，眼下的公關災難還難說只是短期的，還是會有長期影響。在這方面，已經歸入波音旗下的麥道有血的教訓。