波音 737 MAX：为什么为了追赶竞争对手而改装的机型，会把一家百年飞机制造商拖进最大的危机？

# 商业复盘备忘录：波音 737 MAX

> 为什么为了追赶竞争对手而改装的机型，会把一家百年飞机制造商拖进最大的危机？
> 周期: 2011 - 2020 | 行业: 新经济与出行
> 巅峰: 全球两大民用飞机制造商之一的畅销机型，为应对竞争对手的新机型而在老平台上换装新发动机推出，订单量在推出后迅速累积
> 终局: 两起坠机事故共造成 346 人死亡，机型在全球范围内停飞近两年，公司支付约 25 亿美元和解并承担巨额赔偿，量产与交付节奏长期受损

## 核心概览
在老平台上装新发动机，气动特性的变化被交给一套软件去补偿。巅峰期全球两大民用飞机制造商之一的畅销机型，为应对竞争对手的新机型而在老平台上换装新发动机推出，订单量在推出后迅速累积；终局是两起坠机事故共造成 346 人死亡，机型在全球范围内停飞近两年，公司支付约 25 亿美元和解并承担巨额赔偿，量产与交付节奏长期受损。

## 社区公投头号死因
1. [产品技术] 用软件补偿平台的气动局限 (1,233 票)
2. [外部合规] 关键安全信息未充分向飞行员披露 (1,036 票)
3. [战略决策] 为压低培训成本而淡化机型差异 (838 票)

## 可执行教训
### 用软件去补偿硬件的局限，就要按最关键系统来对待它
> 任何能单独决定飞行安全的系统，都不能依赖单一输入。

- ✅ 推荐做 (DOs):
  - 对关键控制系统采用冗余输入与失效保护设计
  - 把系统的存在与处置方式完整写进培训与手册
- ❌ 绝不能做 (DON'Ts):
  - 不要为了节省培训成本淡化机型差异
  - 不要让商业进度影响安全验证的独立性

## 救亡方案
### 先让机型安全复飞，再改造系统与培训体系 — 良略编辑部
干预时点: 2019 年 3 月第二起同类事故后机型全球停飞时
- 必须断腕:
  - 停止任何在原因未明前的复飞时间表
  - 停止以无需额外培训作为销售卖点
  - 停止让制造商单独完成关键安全评估
- 破局动作:
  - 把关键系统改为多传感器冗余并加入失效保护
  - 将系统行为与处置程序完整纳入培训与手册
  - 把关键安全验证交回监管或独立第三方执行
- 预期结果: 机型在完成系统改造与培训体系重建后安全复飞，公司承担成本但保住适航信任，避免长期停飞与巨额赔偿。

## 社区见解
### 当补救措施变成关键系统，它就必须按关键系统的标准来设计。 — 良略编辑部 (工程师)
在老平台上换更大的发动机，会改变飞机的抬头特性，用软件去补偿并不是不能接受的做法。问题在于这套系统最终承担了安全关键角色，却只读取一个传感器的数据，而且飞行员在培训中几乎没有被告知它的存在，出现异常时无从判断。再加上监管把相当一部分评估交给制造商自己完成，独立验证这一环也消失了。
- 如果重来一次的纠偏招式 安全关键系统的三条底线：冗余输入、清晰告知、独立验证。

### 当补救措施变成关键系统，它就必须按关键系统的标准来设计。 — 石砚舟 (工程师)
在老平台上换更大的发动机，会改变飞机的抬头特性，用软件去补偿并不是不能接受的做法。问题在于这套系统最终承担了安全关键角色，却只读取一个传感器的数据，而且飞行员在培训中几乎没有被告知它的存在，出现异常时无从判断。再加上监管把相当一部分评估交给制造商自己完成，独立验证这一环也消失了。
- 如果重来一次的纠偏招式 安全关键系统的三条底线：冗余输入、清晰告知、独立验证。

---
来源: 良略 · https://www.lianglue.com/c/boeing-737-max