737 MAX 停飛事件 〔2019〕

2019年3月10日，埃塞俄比亞航空一架波音737 MAX 8客機在埃塞俄比亞首都亞的斯亞貝巴起飛後不久墜毁，機上來自30多個國家的157名旅客和機組人員全部遇難。這是5個月內發生的第二宗涉及737 MAX 8飛機的致命事故；2018年10月下旬，印尼獅子航空的737 MAX 8客機在起飛後不久後墜海。根據初步調查，獅航飛機的傳感器顯示了飄忽不定的空速和高度讀數。在事發前該機也曾發生故障。

中國大陸率先於埃航航班失事後翌日（3月11日）宣佈停飛全國所有的波音 737 MAX系列客機，後來全球多國也相繼跟隨，英國民用航空管理局(CAA)於3月12日宣佈禁止737 MAX客機進出或飛越英國空域，隨後歐盟也對737 MAX實行禁飛。直到3月13日（香港時間），已經有超過43個國家和地區宣佈了停飛令，不過美國聯邦航空局(FAA)仍堅稱認為沒有停飛的必要；當時全球只剩下9家航空公司繼續在其商業航班上使用737 MAX系列客機。包括美國西南航空、美國航空、美國聯合航空、加拿大航空、西捷航空(WestJet)、巴拿馬航空、泰國獅子航空（印尼獅子航空分公司）、毛里塔尼亞航空及SCAT Airlines。

美國在多方面壓力下停飛
美國飛機製造商波音公司於3月12日的聲明指出：「對737 MAX的安全性有足夠信心，提供飛行安全是波音的首要任務。我們了解監管機構和客戶已做出他們認為最適合其本土市場的決策。我們將繼續與他們交流，以確保他們獲得所需的信息來保證對其機隊營運的信心。」但波音及美國聯邦航空局（FAA）的回覆顯然未能令公眾滿意，部份參眾兩院議員更要求暫時停飛相關的機型。FAA的聲明指出：「到目前為止，在我們的檢測中並未發現飛機存在系統性能等的問題，其檢測結果無法為發出停飛令提供依據。我們對今次的空難進行緊急審查的過程中，如發現任何影響飛機持續適航性的因素，FAA將會立即採取有效的行動。」

波音行政總裁Dennis Muilenburg與美國總統特朗普在電話通話中，向特朗普重申了波音的立場，即737 MAX飛機是安全的。此前特朗普在通訊軟件發文表示：「如今飛機操縱變得太複雜了。已不再需要飛行員，只需麻省理工學院的電腦科學家就夠了。複雜帶來危險性，我不希望讓愛因斯坦來做我的飛行員。」

眾議院運輸和基礎設施委員會隨後表示：「將會調查波音737 MAX系列飛機為什麼在沒有經過額外的飛行員培訓的情況下獲得認証。我們計劃用我們掌握的方法進行嚴格的監督工作，以便深入了解FAA的決策過程。」

在面對不斷加劇的壓力下，美國總統特朗普於3月13日（北京時間14日早上）表示，美國政府將下令停飛全美的737 MAX系列飛機，直到收集到更多關於埃塞俄比亞航空空難的信息。波音同時發佈了關於737 MAX停飛的聲明：「波音繼續對737 MAX的安全性有充分信心。但是，在與FAA、美國國家運輸安全委員會(NTSB)以及全球的民航當局和客戶進行磋商後，出於謹慎考慮，同時為了讓旅客不再對飛機安全性產生疑慮，波音決定向FAA建議臨時停飛全球所有371架737 MAX系列飛機。」根據Flightradar 24的資料顯示，在FAA停飛令下，最後一架737 MAX 8客機（AC7054）於當地時間3月14日0時33分（香港時間早上11時33分）由三藩市飛抵加拿大哈里法斯機場(Halifax Stanfield Int’l Airport)，自此在全球的所有營運航班之中，沒有一架737 MAX系列客機執飛。

受到737 MAX 8停飛所影響，不少航空公司需要重新調配機隊，甚至從租賃市場上爭奪客機。因此，150座級飛機的租金急速上升，在二手市場方面，一架二手的737-800客機甚至比全新的飛機還要昂貴，因此有部份航空公司直接取消部份航班。截至2019年3月11日，中國內地的13家航空公司已接收了96架737 MAX客機，但由於內地有充足的飛機，停飛事件對中國內地的影響十分有限。

初部調查報告
空難事故後，埃塞俄比亞有關當局把黑盒送交法國民航安全調查分析局(BEA)進行解讀，並由埃塞俄比亞進行分析。參與調查的機構包括埃塞俄比亞民航局(ECAA)和埃塞俄比亞航空集團，而美國國家運輸安全委員會(NTSB)和歐洲航空安全局(EASA)均為今次調查事件的技術顧問。埃塞俄比亞民航局於2019年4月4日召開記者會，公佈了他們的初部調查報告，以及黑盒中的CVR（語音記錄器）和FDR（飛行數據記錄器）的部份數據。

根據調查數據中收集的初步資料，飛機在加速起飛時，左右兩側的攻角值(Angle of Attack, AOA)正常。但飛機離地後不久，左側和右側的AOA傳感器數值出現分歧。飛機的自動駕駛系統接通後，出現小振幅的滾動，並改變方向。在自動駕駛系統斷開後，這些震蕩和波動仍然持續，同時飛行數據記錄在沒有機師指令的情況下，飛機出現過4次自動向下(Aircraft Nose Down, AND)配平指令，安定面配平進行了3次移動。當時機師曾使用了人工電動配平來抵消飛機機頭向下。埃塞俄比亞當局在記者招待會上指出，飛機的安定面配平電門在斷開後又被接通，正是因為電門的接通，才會有後來機師兩次短暫使用了電動配平來配平。在飛機撞擊地面的一刻，其空速更達到500Kts。

中國內地資深機長陳建國在微信上進行分析，指出飛機確實發生攻角訊號問題，可能受到外來物的撞擊，或其他原因受到損壞；飛機襟翼是在飛行員操控下收起，但是數據顯示MCAS在襟翼完全收起之前已經啟動；副機師曾說出切斷安定面配平電門，但未能証實有否扳動這個開關；副機師使用手動配平安定面，但沒有轉動配平輪；自動駕駛曾被短時間接通，但後被斷開；機師按照操作手冊公告(Operations Manual Bulletin, OMB)執行檢查清單，斷開安定面配平電門之後，又接通安定面配平電門。

從報告圖表中顯示飛機起飛後，油門一直處於90%以上，直至飛機墜落前才把油門收慢。所以飛機一直在加速，飛機超過正常時高飛行速度最大速度340節，最高時達到400節空速(Airspeed)飛行，地面速度(Groundspeed-FMC)在墜落前更達到460節。飛機持續加速，並超過一般飛行速度飛行，但報告中沒有顯示飛機自動油門是接通或關掉，也沒有顯示機師有沒有正確斷開安定面配平電門，所以相關的疑問需待有關當局更深入的調查才可得出結論。

波音CEO於4月5日指出，根據埃塞俄比亞航空302航班事故調查的初期報告，我們得知兩起事故中，機動特性增強系統(Maneuvering Characteristics Augmentation System, MCAS)，都是因為電腦讀取錯誤的攻角信息而被啟動。MCAS功能的錯誤啟動，會令原本工作量已經很高的機師措手不及。

美國交通部長趙小蘭(Elaine Chao)在4月22日表示，已任命了6名專家組成藍絲帶委員會(blue-ribbon committee)，就2012至2017年間波音 737 MAX批核問題對FAA展開調查。較早前美國西雅圖時報的調查報導指出，多年來FAA以缺乏資金和資源為由，授權波音公司越來越多的權力，包括對自家生產的飛機進行安全認證。在737 MAX機型認證初期，FAA安全工程小組將技術評估工作委托給波音公司，而另一部份關鍵評估則仍保留在FAA。但幾名FAA的技術專家表示，管理人員曾督促他們加快認證進度；由於時間倉促，技術人員無法及時完成文件審查時，管理人員就會親自簽署相關文件，有時更直接把審查工作委托給波音公司。在這情況下，737 MAX的MCAS安全性分析工作就交給了波音公司。報導認為，波音公司向FAA提交的MCAS安全報告有幾項關鍵缺陷。熟悉這些文件的安全工程師指出，安全性分析低估了飛行控制系統的威力，MCAS能夠將尾翼轉動的實際幅度比文件中規定的幅度多出4倍以上。報告未能說明每次機師做出反應時，系統如何重新啟動，從而忽略了系統反覆向下推動機頭的可能。波音737 MAX飛機配有兩個傳感器，但只須單個傳感器的錯誤輸入就足以啟動MCAS系統。

重心問題與防失速系統
波音一直在研究到底重新設計一款全新的窄體飛機還是把原有的737飛機進行改進。前者的投資成本大，研發時間長，擔心在投入研發工作期間已被空中巴士搶佔大部份訂單。而後者則只需簡單的改動，且推出時間較快。但由於空中巴士A320neo推出後，其訂單數字急增，一直猶豫不決的波音急不及待推出737 MAX系列飛機。

第四代的737 MAX與第一代737-100飛機相比，其引擎直徑大了好幾倍。在1965年設計737時，為了讓飛機能夠在簡陋的機場使用，其機身離地較低，採用了較短小的起落架。雖然737 MAX採用了更加寧靜省油的引擎，但新引擎的體積更大，難以直接放在737的機翼上，波音需要把引擎安裝在機翼靠前的位置，並延長起落架高度。在原有機身氣動佈局變化不大的情況下，這款引擎安裝位置的改變在特定情況下就有可能會使機頭過度上仰，從而陷入失速的風險。為解決新引擎帶來的問題，波音選擇用軟件來彌補硬件物理的缺陷。

MCAS（機動特性增強系統） 是為了克服737 MAX客機更大推力帶來的額外抬頭力矩而設計，會在機師進行人工駕駛時自動調整機頭俯仰的力距。MCAS在攻角超過系統設定的臨界值時介入工作，施加低頭力距，防止飛機攻角超過臨界值而失速。獅航JT610事故中，飛機的攻角數據錯誤導致飛機出現一系列錯誤指示，包括空速讀數不可靠，機上電子系統發出失速警告，以及MCAS自動介入施加低頭力距。結果機師未能成功處置故障，克服過多的低頭力距而最終失事。

在此之前，波音並未向航空公司詳細介紹這套MCAS系統，只在電子手冊內簡單講述，很多機師並不知道這個系統的存在。在獅航JT610墜毁前，機師還在翻閱操控手冊，但最終沒有找到解決方法。《西雅圖時報》的報導更指出，為了吸引更多航空公司買家，波音甚至隱瞞了安裝MCAS系統，並減少機師的培訓，以節省機師培訓所需的巨大成本作為賣點。根據西雅圖時報在3月底的消息，美國聯邦調查局(FBI)已經展開對波音737 MAX的MCAS系列認証進行刑事調查。

3月21日，紐約時報指出，失事的兩架737 MAX沒有安裝攻角指示器(angle of attack indicator)和攻角偵測分歧警告燈(disagree light)，前者顯示飛機兩個攻角偵測器的數據，後者側會在兩個偵測器讀數不一致時發出警告燈號。

攻角指示器在一定程度上能夠協助機師發現並糾正MCAS的錯誤，它可顯示兩個攻角偵測器的數據，一旦兩個偵測器數據不一致，分歧警告燈就會啟動。這兩個系統並非標準配置，業界擔心太多訊息會把機師搞得花多眼亂，對於駕駛艙內要顯示多少訊息，業內一直存在爭議。波音公司在3月底決定把分歧警告燈列為標準配置。

重新啟動認證工作
就確保737 MAX安全問題上，美國和加拿大之間的分歧越來越大，美國航空管理局（FAA）已初步決定，不強制航空公司對潛在MCAS故障進行額外的模擬器培訓。但加拿大交通部長已暗示，該國政府可能會要求對737 MAX飛行員進行額外的模擬器培訓，但這一計劃將會延遲復飛時間。此前，加拿大、歐洲、中國和巴西的航空監管機構已暗示，將自行對MCAS系統的軟件修復進行安全評估，而不是只接受FAA的分析和決定。

加拿大過去曾要求國內航空公司提供額外培訓。在獅航737 MAX 8空難後，加拿大各航空公司執飛波音737 MAX 8和9的飛行員需要接受相關的培訓。歐洲低成本航空瑞恩航空(Ryanair)也決定對駕駛MAX系列的飛行員進行額外的模擬器培訓。美國航空(American Airlines)也正在為737飛行員開發加強版的模擬器，以便更熟悉處理突發狀況，但加強版系統或需要等到下半年才能完成。美國聯合航空(United Airlines)表示，除非聯邦監管部門要求，否則沒有增加模擬器訓練的計劃。

FAA於4月底開始對737 MAX進行聯合機構審查，參與的國家包括中國、歐洲、加拿大、澳洲、日本、巴西、印尼、新加坡、阿聯酋等地，並組成跨國團隊進入評估工作。評估飛機自動飛行控制系統的各方面，以及機師與操作系統之間的人機互動介面等。

航空公司陸續取消訂單
737 MAX 系列飛機的安全問題引起全球關注，印尼嘉魯達航空於3月21日宣佈取消此前訂購的49架波音737 MAX的訂單，是全球首家取消該系列飛機訂單的航空公司。印尼嘉魯達航空總裁解釋稱，即使飛機問題解決，旅客也不會再信任，他不想讓公司繼續接收餘下的訂單。根據資料顯示，他們只有一架737 MAX 8客機，嘉魯達航空可以輕易為這架飛機找到新的買家或租賃者，又或者將其回售給波音公司。

有媒體表示，波音公司將2018年10月獅航JT610空難的責任全部推卸給印尼方面，意味著波音無需為這次空難事故負責，也不用向遇難的印尼支付任何的賠償。其實在737 MAX首次空難事故，各方面都掉以輕心，本身獅航的飛行安全記錄飽受批評。在2016年的AirlineRatings航空公司安全評級中，獅航被評為十大最不安全的航空公司之一，安全評分只有最低的一星。根據統計資料，在過去16年間，獅航共發生了14次飛行事故。自2013年起已分別有兩架737-800及兩架737-900ER失事，其中在2013年2月5日的事故，註冊號PK-LKS的737-800客機在降落時墜海，該機交付了不足兩個月。直至第二宗空難發生後，世界各國才開始關注737 MAX的飛行安全問題。

根據《彭博社》於3月20日報導，在JT610空難發生前，該失事的客機（註冊號PK-LQP）在之前的一晚也遇上類似的狀況。當時飛機從峇里島飛往雅加達時遇上故障，坐在駕駛席後排的休班機師向機長指示，切斷迫使機頭向下的「水平安定面電門開關」，再使用手動方式轉動「水平安定面配平輪」，以手動方式讓飛機繼續爬升。但印尼國家運輸安全委員會在2018年11月底公開的初部報告也沒有提及此事。

在JT610空難發生後，波音對類似情況發出機組人員操作手冊通告，指示機師可關閉電門(STAB Trim)，解除驅動水平安定面上下的電力供應，避免防失速系統控制客機的飛行姿勢，最後再由其中一位機師以手動的方式轉動水平安定面配平輪(Stabilizer Trim Wheel)，讓飛機回復正常爬升。

自動化安全系統的缺陷
飛機生產商早在數十年之前已開始開發自動化安全系統，以防止意外事故的發生。多年來，波音公司設計飛機的理念是「以人為本」，就是飛行數據都會清晰顯示，由機師來進行決策及執行。MCAS系統問題突顯出波音改變了以往的理念，但沒有吸取競爭對手空中巴士在過去的經驗。空中巴士的設計理念是偏向於飛行控制系統，強調自動化。空中巴士認為人是會犯錯的，通過電腦控制可以把人為犯錯的機率降到最低，但是在過去曾發生多宗因自動化系統而造成的事故。

2008年10月7日，一架澳洲航空的A330-300客機在執飛由新加坡飛往澳洲珀斯的QF72航班，當飛至澳洲西部空域，飛機突然無預警地向下俯衝，機師隨即關閉了自動駕駛系統轉換為手動駕駛模式，即使是這樣，飛機要在操縱杆下達指令的十幾秒後才出現反應。由於1號ADIRU(Air data inertial reference unit)系統失效，誤將高度數據標示為攻角數據，導致飛行控制電腦在接收這些錯誤資料之後，啟動失速防護裝置，使飛機先後出現兩次向下俯衝。由於飛機高度急速改變，包括機組人員及旅客在內，造成12人重傷、107人輕傷。最後飛機在澳洲西部的軍用機場逼降。在隨後的數個月，其他同型號客機也發生同類的意外，但執勤的機師早已了解ADIRU的問題，在正確的判斷下關閉電腦，並沒有造成任何的事故。

這類意外的主因是飛機部份偵測器發生故障，導致多個異常的非人為指令動作。空中巴士這個設計概念是防止機師在飛行時向後拉側桿幅度過大導致飛機機頭過於上仰而導致失速，此時電腦會對機頭上仰幅度作出限制。但由於一些硬件和軟件的缺陷，原本為了提升安全的自動系統在出現異常時差點變成了導致機毁人亡的系統。後來空中巴士修改了飛行控制系統的設計，當飛機在遇到飛行姿態攻角過大的時候，會自動斷開自動駕駛系統，發出警告，並交由機師來進行處理。但波音沒有吸取過往的經驗及教訓，全新的波音737 MAX交由系統自動處理，結果出現人機大戰，使機師難以取回飛機的控制權。

2009年法航447航班從巴西里約熱內盧飛往法國巴黎的過程中，飛機的空速偵測器（皮托管）結冰，導致自動駕駛系統及正常含保護機制的模式斷開，機師缺乏對系統了解下試圖用人手操控，但最終失敗，飛機墜入大西洋，造成228人死亡。在1994年華航的A300客機在名古屋降落時，副機長在調整速度時誤碰復飛(Go Around)的按鈕，當時電腦認為飛機需要進行復飛，需要調整攻角並加大油門爬升。而執飛的副機師當時已解除了自動駕駛系統，但油門仍在自動油門模式。之後副機師解除自動油門並減小推力，但不知是誰在過程中重新接上自動駕駛系統，並引發後續的一連串錯誤。在此事故之前已經發生過數次類似的事件，但在這次空難事件過後，空中巴士才開始正視這個機型的問題，並在駕駛艙內加裝飛機攻角警告設備，當飛機姿異常時會限制飛機的姿態，使得飛機不會因為重飛攻角過大而導致意外。

隨著科技的進步，將會有越來越多的自動化系統幫助飛機提升飛行安全。但有些評論指出，飛機設計不應該對自動化系統過於信任，特別在升降階段面臨的情況更加複雜，在這個過程中機師與自動化系統一旦出現分歧，就會影響判斷和操作。從以上的例子證明，波音在737 MAX的安全系統上並沒有吸取過去的經驗。歐洲航空安全局(EASA)在7月初更指出，737 MAX的自動駕駛系統未能在某些突發情況下斷開。

在6月19日在一個聽證會上，於10年前在紐約哈德遜河緊急備降的薩利機長(Captain Sullenberger ‘Sully’)表示，他對這兩宗空難的737 MAX 8機師資質認証系統感到失望，並認為這些事故原本不應該發生。現在的「航空安全」定義早已不是單純地看是否有事故發生，更重要的是在事故發生前積極採取預防措施，避免事故發生。關於737 MAX機型所出現的問題，他認為所有機師都應該在飛行模擬器上接受訓練。單在平板電腦上閱讀相關信息並不足夠。

高原機場飛行
早前有媒體指出，波音737 MAX 8並不適合在高原機場使用。根據資料顯示，阿迪斯阿貝巴國際機場位處於海拔7,657英尺(ft)的高原上，兩條跑道的長度分別為3,800米和3,700米。海拔在5,000英尺以上為高原機場，而高原機場大致分為「一般高原機場」和「高高原機場」兩類。

由於高原機場海拔高、空氣密度和大氣壓力較小、地形複雜等因素，使飛機在相同的起飛、著陸重量，飛機的真空速(True Airspeed)要比平原高得多。在高原機場上運作，引擎的推力明顯減少，使飛機在高原機場起降時需要使用更長的跑道，但民航飛機在一般高原機場升降也不需要特別的改造。比阿迪斯阿貝巴國際機場更高，位於海拔7,900英尺厄瓜多爾的蘇克雷元帥國際機場(Quito Mariscal Sucre Int’l Airport)每天也有737-800及A320-200客機升降。為保障飛機的爬升能力，在海拔高度超過8,000英尺的機場才需要進行特殊改裝和重新審定。

由於高高原機場的運行環境相對於一般高原機場要複雜得多，包括天氣、地形、氣壓，以及機組人員的高原反應等。所以中國民航局對高高原機場的運作限制極為嚴格，營運的飛機必須要具有高原性能的飛機並採用雙機長駕駛。就以西藏拉薩為例，執飛往來高高原機場的航機是經過特別改裝，並合適於高高原地區起降的機型包括737-700、A319及A330-200等。

復飛無期
受737 MAX停飛影響，公司的737總裝線每月生產量由原來的49架減至42架，由於有大量的飛機積壓在波音廠房內，部分飛機已轉移至其他機場。為免受梅雨影響，上海航空更把部份737 MAX轉移至較乾燥的蘭州等機場停泊。停飛後，全球多家航空公司均向波音索償，要求賠償因停飛而造成的損失。

就737 MAX問題，美國FAA邀請來自中國、加拿大、德國、英國、法國等30多個國家的航空監管機構於5月23日在美國得克薩斯州舉行會議。然而，各國的機構在會議上並未達成共識，部份代表提出就改進後的系統進行測試，亦要求加強機師培訓。歐盟和加拿大指出，如果美國批核過程的具體問題得不到解決，他們將以自己的方式對737 MAX進行復飛評估。印尼民航局表示，即使FAA批准737 MAX復飛，印尼將會對其修補方案進行評估，印尼機師必須通過更嚴格訓練，使復飛日期可能會推遲至2020年。歐洲航空安全局(EASA)已向FAA和波音表示，他們必須要完成三個先決條件，才能取消737 MAX的停飛令：波音的任何設計變更都必須得到EASA的批准及強制執行、完成該局進行的額外獨立評審、機師也需要進行足夠的培訓。空中巴士商業總監Christian Scherer在5月表示，波音737 MAX停飛並沒有給公司帶來好處，並強調不會趁著波音這次危機來提高自己的訂單量，而是著重於如何有效管理訂單。

根據《Arabian Business》在6月2日報導，阿聯酋航空總裁表示，如果737 MAX能夠在聖誕節之前全面復飛會讓他感到意外，預計加拿大、歐洲和中國等地的航空監管部門將會延遲頒發許可證。英國航空母公司IAG在6月18日巴黎航展期間，與波音達成合作協議，簽署了200架737 MAX的意向訂單，並計劃在2023~2027年間接收。截止2019年6月底為止，波音的737-800客機訂單儲備只剩下10架，在完成交付後，波音將會結束737NG系列的生產線，將會全力生產737 MAX系列客機。空中巴士方面，最後一架A320ceo系列客機將於2021年初交付。

美國聯邦航空局於2020年11月18日宣佈，在完成737 MAX關鍵軟件系統更新並對機師進行相關培訓後，美國的航空公司可以讓波音737 MAX飛機重投營運。而歐洲航空安全局（EASA）在2021年1月27日批准737 MAX在歐洲復飛。

737 MAX於2020年底開始陸續復飛

被中國相關部門勒令停飛近33個月的737 MAX客機，於2021年12月2日重新取得中國民航局頒布關於「機動性能增強系統MCAS不安全狀態的改正」的適航指令，距離737 MAX在中國復飛邁進一大步。波音公司將繼續與監察機構合作，讓該機型恢復正常營運。

波音737 MAX在2018年10月及2019年3月接連發生空難後，中國民航局在2019年3月11日率先下令境內同型機全數停飛，並要求波音對737 MAX飛機的設計更改必須獲得適航批準；飛行員必須要有足夠的訓練等；兩次事故的調查必須是明確。而且改進措施必須是有效的。

航空公司在恢復737 MAX 8客機營運之前，需要完成適航指令中的八項修正措拖，其中包括飛行控制電腦操作程序軟件(FCCOPS)的安裝與驗証、MAX顯示系統軟件(MDS)的安裝與驗証、水平安定面配平線束敷更改、安裝失速警告系統抖杆跳開關按鈕、飛機飛行手冊的修訂、MEL的修訂、迎角(AOA)傳感器系統的測試和運行準備飛行。在近幾個月，中國內地多家航空公司已對飛行員進行理論課程，以及進行模擬機訓練，在完成考核才可正式駕駛737 MAX 8客機。

引述：
航空要聞2021年第四季——「737獲得中國適航」

原文來自《民航年鑑2019/20》

*已更換部份原文圖片