前两天埃塞俄比亚航空ET302的事故再次把波音的737 Max客机推上了风口浪尖。由于这次事故的情形和5个月前印尼狮航JT610的事故很类似，又是同一个机型，很多人开始怀疑Max客机是否存在适航问题，对其安全表示疑惑。但是这样的恐惧有必要吗？今天我给大家讲讲我的想法。
Disclaimer：本文仅代表作者本人意见，并不代表博客所有作者意见；在最终调查结果公布前，很多信息都是推理和猜测，一切以最终调查结果为准。
好嘛，我再补一句。这个话题会controversial的，早就料到了。我基于我的专业知识做判断，不代表大家就该相信我，也不代表大家说的担忧没道理。我支持大家选择避开B737 Max，如果你想查自己飞的是不是Max 8，可以参考这篇文章。但是话再说回来，我仍然坚信训练不周，维护不佳在这两起事故中造成的影响比机型本身更大。大家可以不同意，但是希望大家在讨论中不要人身攻击。谢谢！
Contents
客观因素分析
TL:DR 我不认为需要担心。飞机应该没有明显缺陷，但是这一代飞机确实有一些妥协，需要飞行员对飞机行为有更多了解。但是，如果你个人觉得有风险，我也支持你近期尽量避开Max
简单总结：飞机气动设计，程序设计变化，导致飞行员可能对飞机行为不很了解；飞控系统逻辑有待改善；航司训练不足（波音可能一开始没强调部分系统的训练，但是ET事故之前已经发过warning要求加强训练了，因此如果ET事故是同样原因，航司责任更大）；关键零件品控堪忧（攻角传感器）
1. 引擎设计牺牲了大翼抗失速性能
B737系列诞生于1967年，当时的引擎还是涵道比还不到1:1的JT8D，因此机翼下方空间不算大。随后从Classic到Next Generation（NG）再到Max，为了获得更好的燃油经济性，每一次升级，引擎涵道比都前一代有所提升。到Max这一代涵道比从NG一代的5-5.5:1扩大到了9:1。引擎越来越大，也给引擎的设计和安装带来不少困扰。
波音737NG系列（左）和Max系列（右）引擎正视图对比
因此为了保证引擎与地面之间有足够的空间，CFM的工程师（并不是波音工程师）给出的解决方案是将引擎的安装位置提高，并向前移动一些。这个设计确实解决了引擎与地面之间距离的问题，但是突出的引擎导致在飞机攻角比较大时（Angle of attack，AOA，可以简单理解为机身与水平面之间的夹角）引擎会严重阻断/扰乱经过其后方翼面的气流，导致失速（Stall）可能性大幅度提升。
引擎侧视图对比，可以看到Max的LEAP-1B位置比NG的CFM56-7B要略高，略靠前。
2. MCAS逻辑不完善
为了降低飞机失速的可能性，波音引入了Maneuvering Characteristics Augmentation System（MCAS）。这个系统的设计目的是让飞机在发现攻角过大时自动调整水平尾翼的配平来压低机头，降低失速风险。
但是MCAS的触发和解除逻辑都有一定问题。
- 首先MCAS对攻角的判断是3个（还是2个…）AOA传感器中只要有一个显示姿态异常就会激活。这样排除了某一个AOA传感器异常，且异常表现为始终显示AOA正常的情况。但是如果AOA传感器异常的表现为显示攻角远大于实际攻角的情况（狮航应该就是这个情况），反而会错误触发保护压低机头。而且这个触发逻辑也不会和陀螺仪对比纠错。
- 如果飞行员想override错误的MCAS激活，系统设计的方法是手动设置配平。这虽然不难（B737设计机长这一侧，左手拇指有trim switch，右手有trim wheel，副驾一侧反过来；而且MCAS激活的时候trim wheel会明显转动，并发出明显的声响，很容易注意到），但是对于大多数飞行员而言，飞机突然低头的第一反应是拉杆抬头，而并非去碰trim调整配平。事实上正常飞行过程中配平为飞机根据油量消耗以及进场状态自动调节，一般情况下初始配平根据负载，在推出前设置好后，整班飞行都不需要再设置。因此这样的MCAS解除逻辑，确实有一些让飞行员不适应。（虽然要我说，MCAS激活后突然大杆量，长期拉杆，也应该可以解除MCAS）
MCAS的触发和解除逻辑
3. 电传化转变带来的弊病
B737 Max系列是B737系列第一个大规模应用电传操控的系列。虽然波音的电传设计大体思路以仿机械为主，但是电传还是电传，操纵杆和翼面之间隔着的是看不见摸不着的代码，如果飞机觉得飞行员的操作危险，那么这个操作就可以不被执行。MCAS就是一个很典型的操作限制。眼尖的同学可能看到了，MCAS的触发逻辑是自动驾驶在“解除”状态。这在习惯了老B737全机械/液压操作的飞行员眼里几乎不可理解。在他们眼里，自动驾驶解除=飞行员对飞机有完全控制力。因此他们很可能完全不知道在解除自动驾驶后，还有一个MCAS系统在作怪，需要解除。
4. 航空公司维护不佳，飞行员训练不足
出事的两家航司都是出名的维护不佳和飞行员训练不足。印尼狮航在近几年才被解除欧盟禁飞。所以这航司安全性可见一斑。
狮航坠毁的飞机，在几天前的维护中刚刚更换过AOA传感器，但在坠毁前的一个航程再次出现AOA传感器异常，结果这个问题被作为保留故障没管。
飞行员训练方面，虽然没谁有确切的证据，但是很明显出事飞行员对电传逻辑，电传操控，以及新的MCAS系统都没有深入的理解，否则应该不会酿成惨剧。
5. AOA传感器问题
B737和A320的攻角传感器都由Collins提供，是一套用了很长时间，比较成熟的产品。我没有行业数据，并不知道这东西有多容易坏，但是目前两起事故，只有印尼狮航的事故确定攻角传感器不正常。不好说是不是真的这批传感器有问题，还是脸丑… 但是这确实是造成事故的稻草之一。
事故过程分析
这里只说狮航吧，毕竟ET的事故还有太多未知。
- 有故障的AOA传感器未被更换
- 起飞后AOA传感器开始异常，自动驾驶探测到数据异常，自动断开
- 飞行员发现异常，决定返航
- 返航转向带来的Banking angle完成了MCAS触发的所有条件，MCAS触发
- 飞机开始在未受飞行员指令的情况下低头（因为飞行员认为自动驾驶断开后，他们应该有完全控制力，因此可能认为低头的可能原因是elevator/trim jam at nose-down，即升降舵或者配平螺杆卡在低头的位置，类似事故确实出现过）
- 飞行员通过拉杆来修正低头，期间并未注意到配平轮转动，或者没注意转动方向（配平轮转动抬头和低头声音没有区别；正常着陆过程中系统会根据姿态调整配平轮抬头，因此下降过程中配平轮不时转动的声音，很多飞行员都以及习惯了）甚至可能以为配平轮在向抬头方向转动来帮助抬头
- 由于AOA传感器数据卡在一个很高的值，MCAS持续调整配平压低机头，直至升降舵无法纠正配平带来的机头下压
- 自此在飞行员眼里飞机彻底失控，俯冲坠毁
禁飞令？
截至目前，印尼，中国，埃塞俄比亚航空，以及众多欧洲国家相继禁飞了B737 Max 8飞机。这在航空界算是比较例行的行为。尤其是在短期内出现两次类似事故，且官方事故报告没有发布的情况下，预防性禁飞很正常，也比较常见，我也支持。
但是从我个人理解来说，我相信飞机没有致命缺陷。不过我也承认种种原因导致目前B737 Max系列飞机出现致命巧合的可能性确实高于其他飞机。
一点个人意见
实话实说，我非常讨厌电传系统。这也是为什么我非常讨厌空客。空客最早开发电传，目的是让电脑解决细节，飞行员只用把自己的想法告诉电脑即可。这样可以为航司降低飞行员训练成本，降低飞行门槛。
航空圈的经典meme
于是乎飞行员已经不再像医生一样是刻苦训练，从理论到应用都要融汇贯通的职业，而是赚钱的工具。业内的朋友也告诉我，有一些新飞，真的是靠背书拿的执照，对气动，对飞行没有什么非常好的理解。我个人也遇到过和航司飞行员聊天，明显觉得对方不理解飞行原理的情况。这在正常飞行中毫无问题，但是一旦出现危机，电脑系统趴窝的时候，现代航空飞行员成功处理问题的概率要比上世纪中后期那些飞行员要差。
而空客的电传系统本身在我眼里也不那么可靠。比如，空客的杆量输入和翼面输出比例不是固定的，起降过程中，翼面输出要更慢。这样的设计是为了增加飞行员在低速情况下对飞机控制的精度和稳定性，但是对于真正理解飞行，需要感受气流反馈来调整飞行的好飞行员来说，这反而造成一些困扰。再笼统地说，电传对飞行员输入的危险性判断也是过于武断。MCAS就是很直接的例子，飞机认为几个失速特征中的一个出现了，大概你有51%的可能性会失速，于是施加了100%的系统来纠正。换句话说，电脑不会gamble，一就是一，二就是二，而恰恰有经验理解飞行的好飞行员能把一件小概率事件变成事实。
我承认，也非常同意“懒人推动世界进步”这个说法。但是飞机聪明了，你就愿意让一个“懒人”带你飞嘛？我觉得这个答案每个人心里都清楚。