波音給出“錯誤”數(shù)據(jù)，影響評估結(jié)果

在這種氛圍下，MCAS的系統(tǒng)安全分析，僅僅是認證工作所需要的海量文件中的一部分，但被交給了波音公司。

波音公司向聯(lián)邦航空局提供的原始文件中這樣有一份說明，其中規(guī)定MCAS可轉(zhuǎn)動水平尾翼的限制為0.6度，讓飛機機頭下掉的最大物理限制為5度。

但是，在印尼獅航墜機后，波音公司首次向航空公司提供有關MCAS的詳細信息公告中稱，MCAS的權限為2.5度。

這個數(shù)字對于FAA的工程師來說是全新的，他們在此前的安全評估中只獲知的是0.6度。

一位FAA工程師表示，“FAA認為這架飛機的設計極限是0.6，這和其他外國監(jiān)管機構知道的一樣”，“這個數(shù)字會對飛機涉及的危險評估產(chǎn)生影響?！?

更高的限制角度意味著，每次觸發(fā)MCAS啟動時，都會導致比原始安全分析文檔所顯示的出現(xiàn)更大角度的尾翼運動。

曾參與MAX客機認證的前FAA安全工程師，以及作為FAA授權代表參與MAX工作的前波音飛行控制工程師都表示，這些安全分析數(shù)據(jù)必須得到更新，從而反映飛機測試中最準確的飛行信息。

前FAA工程師表示，“這些數(shù)字應該與飛行測試和飛機配備的任何設計相匹配?！?

不過，前波音飛行控制工程師也稱，“最新的數(shù)字有可能不會出現(xiàn)在報告中，因為只要他們在審查后認為這些差異不會改變結(jié)論或增加危險評估的嚴重性。”

如果最終的安全評估文件做了部分更新，那么在文件中的某些地方肯定仍然包含0.6度的限制，并且這個更新沒有在FAA技術評估小組中被廣泛告知。

“沒有一個工程師意識到存在一個更高的限制，”FAA的另一位現(xiàn)任工程師說。

同時，系統(tǒng)安全分析中的另一個元素放大了這個數(shù)字的差異：每次觸發(fā)MCAS時，系統(tǒng)自動移動尾翼的權限都會啟動；它可以被多次觸發(fā)，就像印尼獅航航班所出現(xiàn)的問題一樣。

FAA一位現(xiàn)任安全工程師表示，每當獅航航班的飛行員重新設置控制開關、將飛機往后拉抬時，MCAS就會啟動，并“允許新的2.5度增量”，“所以，一旦它們推動幾次后就會完全停止”，這意味平尾運轉(zhuǎn)到最大角度。

前波音飛行控制工程師、現(xiàn)為航空電子及衛(wèi)星通信顧問的彼得·萊姆（Peter Lemme）表示，由于每次使用時MCAS都會重置，“它實際上擁有無限的權力?！?

萊姆認為，“它有完全的權力將平尾運動到最大值”，但“沒有必要這樣做。沒有人應該同意給予它無限權力?！?

在獅航的初步調(diào)查報告中，黑匣子數(shù)據(jù)顯示，在這一循環(huán)動作重復21次后，機長將控制權移交給副機長。當MCAS把機頭往下推兩到三次時，副機長只按了兩下開關就會做出反應。在2.5度的權限下，兩個未經(jīng)校正的MCAS系統(tǒng)循環(huán)足以達到最大的機頭下推效應。

此外，獅航黑匣子數(shù)據(jù)還顯示，在最后幾秒鐘，機長恢復了控制，并以很大力量將飛機拉升回來，但為時已晚。飛機以每小時500英里的速度向大海俯沖。

系統(tǒng)設計失敗：只有單一傳感器

波音關于MCAS的系統(tǒng)安全分析的底線是，在正常飛行中，MCAS的最大假設權限為0.6度被激活，就歸類為“重大故障”，這意味著它可能會對飛機上的乘客造成身體傷害，但不會導致死亡。

在極端情況下，特別是當飛機處于傾斜下降螺旋時，激活MCAS被歸類為“危險故障”，這意味著它可能對少數(shù)乘客造成嚴重或致命傷害，但仍比“災難性故障”低一個級別，后者代表飛機損失大量人員遇難。

曾參與MAX認證工作的前波音飛行控制工程師說，一架飛機上的系統(tǒng)是否可以依賴一個傳感器輸入，還是說必須有兩個傳感器輸入，都由系統(tǒng)安全分析中的危險評估分類所決定。

他稱，幾乎所有商用飛機上的設備，包括各種傳感器，都非常可靠足以應對“重大故障”要求，即故障概率必須小于十萬分之一。因此，這類系統(tǒng)一般允許只靠單個輸入傳感器。

但是，當評估嚴重等級上升時，“危險性損害”等級所要求的概率更為嚴格，為一千萬分之一，那么通常必須至少有兩個單獨輸入渠道，以防止其中一個出現(xiàn)故障。

令萊姆感到不解的是，波音的系統(tǒng)安全分析評估將MCAS的故障定位“危險”等級，但系統(tǒng)觸發(fā)卻是只通過單一傳感器。

和所有的737機型一樣，Max機型實際上也有兩個傳感器，分別位于機身兩側(cè)、靠近駕駛艙的位置。但是MCAS的設計目的卻是只從其中一個傳感器上讀取數(shù)據(jù)。

萊姆認為，波音本可以設計一個系統(tǒng)來對比兩個傳感器的數(shù)據(jù)，如果其中一個故障，系統(tǒng)就會顯示出來；或者也可以設計成，飛機起飛前、在地面滑行時檢查攻角數(shù)值是否準確，此時攻角數(shù)值應為零?！八麄儽究梢栽O計一個雙渠道系統(tǒng)，或者也可以測試地面上的攻角數(shù)值”，“但我不知道他們?yōu)槭裁礇]有這么做?！?

根據(jù)初步調(diào)查報告中提供的黑匣子數(shù)據(jù)顯示，兩個傳感器的讀數(shù)不僅在整個飛行過程中相差20度，而且飛機起飛前在地面滑行時也相差20度。