2019年3月10日，埃塞俄比亚航空203航班在亚的斯亚贝巴起飞6分钟后坠毁，机上157人全部丧生，包括8名中国旅客。在不到5个月前的2018年10月29日，印度尼西亚狮航610航班在雅加达起飞13分钟后坠毁，机上189人全部丧生。

　　两起事故涉及的都是波音737-MAX8客机，都是新近交付使用才几个月的新飞机。但最先进的发动机和电子技术没能防止恶性的机毁人亡事故，引起世界的震惊。这将是波音的噩梦，但影响远远超过波音737MAX这一条产品线。

　　新近交付才几个月就坠毁，这是波音的噩梦

　　波音737是民航史上非常特别的一章，其成功是一个意外。在60年代初，波音成功地用四发的波音707占领了远程市场，用三发的波音727占领了中程市场，急欲推出新的双发客机占领短程市场。在这个时候，竞争对手道格拉斯已经推出DC-9。在欧洲，则有法国南方飞机的“快帆”和英国飞机的BAC-111。这些成功的设计都采用尾吊双发的布局，起落架高度降低、重量减轻，干净的机翼气动效率更高，尾吊发动机的噪声也远离机舱主体。

　　但波音设计师另辟蹊径，采用与波音707和727相同的机体直径，不仅机舱从竞争对手的2+3加宽到更加舒适的3+3，也在设计和生产上可以与波音707和727共用生产线和机舱模块。更有甚者，翼下发动机为机翼减载，降低的结构重量使得波音737的经济性秒杀竞争对手，最终成为历史上最成功的民航客机。以后波音737从短程扩展到中程，现在航程媲美早期波音707，载客量超过波音727，甚至新一代的波音757都被白发人送黑发人了。

　　为了进一步加强经济性和短程运作的便利，波音737的发动机离地很低，便于地勤维护；起落架很低，在理论上旅客上下飞机可以不需要机场专用登机梯而用自带的简便登机梯。为了节约重量，主起落架直接收入机腹的凹腔内，连盖板都没有。这些设计特点最终也成为限制波音737进一步发展的障碍，但这与安全性无关。

　　事实上，成熟与安全正是波音737-MAX的招牌。在50年的持续成功后，波音737成为波音的负担，因为进一步改进已经很困难了，而市场一直在变。

　　比如说，波音707的机体直径决定了座位宽度还是以50年代的人的身材为基准，对于如今大胖子遍地走的情况已经难以适应。机翼离地高度不足，也使得更加省油、安静的大直径涡扇发动机难以采用。发动机高度前挑，发动机位置严格来说已经不是翼下，而是“翼前”了。波音737-MAX10甚至被迫使用很复杂的两段式起落架，好像狗腿子一样可以伸展，以在起飞、着陆时加长起落架长度，确保加长的机尾不至于在拉起时触地。

　　这样的勉为其难实际上是被空客逼的。空客A320比波音737晚推出20年，在设计的时候就针对波音737的先天缺陷加以改进，在此基础上推出加长的A321，其载客量和航程刚好处在波音望尘莫及的位置，在过去10多年里独霸市场。

　　波音在产品路线图上希望双管齐下，用“新一代小飞机”（简称NSA）替换波音737，重建对空客的优势；用“新一代中型飞机”（简称NMA）填补波音737与787之间的空隙，但在是否把NSA和NMA合二为一问题上举棋不定，在NMA采用单走廊还是双走廊问题上也犹豫再三。

　　空客帮波音拿了主意，用新发动机推出A320NEO，并对机舱和驾驶舱全面现代化，事实上占领了NSA的位置，而A321NEO也事实上占领了NMA的低端。空客还有进一步加长为A322NEO的选项，只要空客高层做出决定，在技术上没有太大的困难。在另一端，A330-800则卡住了NMA的顶端。

　　波音既等不起NSA，NMA那边又难产，只好把已经50岁的波音737再次拉皮，用新发动机、机舱和驾驶舱设计隆重推出波音737-MAX系列。

　　由于这是在现有的波音737-NG上的大改，用户的现有维修、支援、训练体系容易无缝对接，很受航空公司的欢迎。对于FAA来说，这也只是现有波音737-NG的补充认证，并不需要重头认证。波音新增的机动特性增稳系统（简称MCAS）的问题是到后来才意识到的，但这不是波音画蛇添足、没事找事。

　　2009年6月1日，法航447航班从巴西里约热内卢起飞，前往巴黎，途中失事坠毁，机上228人全部丧生。这是一架空客A330-200，4年新。没有两架失事的波音737-MAX8那么新，但也算很新的。

　　飞机在飞越雷雨区时，空速管冻结，造成空速读数不正常，不断发出失速虚警。飞行员按照空客应急处理手册要求，加大推力爬升，反而进入了高空失速，最终坠毁。事后调查发现，在好几分钟里的任何时刻，只要飞行员压低机头，就有足够的高度和速度改出失速，恢复安全飞行。空客的应急处理手册是针对更常见的低空失速情况，但对高空失速考虑不足。飞行员机械地按照手册处理，而不顾常识和经验，也是事故原因之一。

　　法航447事故后，高度自动化系统与人的交互、人在平常很能干的自动化系统“失智”时的应对，以及关键控制系统对仪表固有可靠性掉链子时的处置成为很大的话题，这些话题至今依然是火爆的研究领域，但工程技术的特点就是：不能等什么都研究清楚了再干，琢磨出来多少，先干起来再说。解决方案不完美是可以改进的，但不作为是不可接受的。

　　因此，波音MCAS的功能之一就是在一定的高度、速度条件下，如果空速管读数指出迎角过大，就有控制地压低机头，自动改出。如果迎角过大是空速管冻结造成的误读，在较低的高度上，气温升高，空速管冻结自然融化，读数自然恢复正常。由于在高空高速时空速管冻结，飞行员的最好选择也只有压低机头，因此自动与手动并不冲突，自动具有很高权限。

　　但事情是千变万化的，如果飞行员认定飞行状态正常，不应该大角度俯冲，而拉起的动作反复被自动控制否决，就可能造成“飞行员导致的控制震荡”（简称PIO），几个来回以后，震荡幅度越来越大，就容易失控。这不是典型PIO，典型PIO是由于飞行员急促、频繁的操纵动作激发控制系统本质滞后造成的，但就表象和最后效果而言，这两种PIO是一样的。

　　现在还不能确定PIO是否是最后导致狮航610失事的原因，埃航302的失事调查更是刚刚开始，但从飞行的速度和高度纪录来看，MCAS与飞行员打架、最后造成PIO的可能性不小。应该指出的是，PIO里的P确实是指飞行员，但这是控制系统设计的问题，不能简单看作飞行员的错误。

　　有说法MCAS是因为波音737MAX发动机前置、位置提高造成上扬倾向、需要自动补偿的缘故，这是奇怪的说法。发动机前置使得重心前移，带来的是自然的机头下压倾向，而不是上扬。发动机重心提高对俯仰的影响也微乎其微，俯仰主要是重心前后移动的影响，上下移动影响的是横滚。

　　不管波音是为什么而增加MCAS，波音的错误在于没有把MCAS的功能作为飞行员换型训练的一部分，不仅使得飞行员在控制输入被意外否决时大吃一惊，还没有迅捷有效的办法解除自动控制、全手动接管。

　　狮航610事故后，波音马上推出补丁，不仅在飞行员训练里强调MCAS的新增功能，还推出解除MCAS的操作步骤。不过这些还是临时补救措施，MCAS一旦解除，也不易恢复，影响后续正常飞行。高度自动化系统在自动与手动之间的无缝来回切换本来就是极端复杂的问题，尤其是部分手动-部分自动的混合模式。软件实现当然是大难题，更大的难题是猜度飞行员的意图和正确表达依然处在自动模式的功能，这样不导致飞行员误解，也能在恢复自动的时候只恢复还在正常工作的部分，而不是把造成先前麻烦的部分一并恢复。

　　埃航302失事后的第二天，波音就宣布已经在加紧编制补丁，将在未来几周内推出。如果这是狮航610之后就开始编制的补丁，那可能是完成品；如果是埃航302之后才开始的，那依旧是临时补丁。波音最后的技术方案还不知道，但技术问题已经不是波音最大的噩梦，商业运作这边才是。

　　埃航302失事后，中国首先在国家层面立刻宣布涉事飞机停飞。有人把这与美中贸易战相关联，这是不妥的。即使美中贸易关系如胶似漆，接连两次出这么大的事故，不得到安全确认就继续容许飞行，那才是不负责任的。有人问中国外交部，什么样的安全确认才足够解禁，这其实不是外交部能回答的问题，应该问中国民航。具体需要满足什么样的要求，那是技术性的问题，但继续默认安全性肯定是不妥的。

　　与此相对照的是美国，FAA至今坚持认为，否决波音737-MAX8适航证的依据不足，所以还没有达到停飞标准。如果说狮航610只是孤例，那埃航302之后，需要证明的就不是波音737-MAX不安全，而是是否还安全了。在没有相关证明之前，FAA的不停飞决定是不负责任的，有损FAA的专业权威。但FAA这样有损专业权威的做法不是没有先例的，下面会提到。

　　但FAA有苦难言。如果FAA下令停飞，波音生产线上的大批待交付飞机立刻就要大概率面临拒绝接收的问题，航空公司慢说不能正常投入航班运行，连接机都不可能。在最坏情况下，各国航空公司甚至可能出现大面积退货，波音将很难拒绝。

　　对于航空公司来说，机队停飞也是巨大的问题。像美国西南航空那样，机型高度集中，一旦主力机型停飞，连抽调其他飞机补班都难，因为根本没有那么多替补飞机可以调动，那样公司就有停摆的危险。一旦客流流失，如何拉回来、什么时候才能拉回来就难说了。

　　也有人问，停飞造成的经济损失是否可以向波音索赔，这就一言难尽了。如果确认是波音的设计问题，那索赔是有根据的，但这要很多年、很多律师之后了。但在未来几年里，老客户再买波音的时候，降价要求就很强势了，用降价代替赔偿对波音是最好选择，但这对公司盈利的打击也是实实在在的。

　　对于波音来说，眼下的公关灾难还难说只是短期的，还是会有长期影响。在这方面，已经归入波音旗下的麦道有血的教训。