波音 737 MAX：为什么为了追赶竞争对手而改装的机型，会把一家百年飞机制造商拖进最大的危机？

# ビジネス失敗の回顧メモ：波音 737 MAX

> 为什么为了追赶竞争对手而改装的机型，会把一家百年飞机制造商拖进最大的危机？
> 期間: 2011 - 2020 | 業界: 新交通・モビリティ
> ピーク: 全球两大民用飞机制造商之一的畅销机型，为应对竞争对手的新机型而在老平台上换装新发动机推出，订单量在推出后迅速累积
> 終局: 两起坠机事故共造成 346 人死亡，机型在全球范围内停飞近两年，公司支付约 25 亿美元和解并承担巨额赔偿，量产与交付节奏长期受损

## 概要
在老平台上装新发动机，气动特性的变化被交给一套软件去补偿。巅峰期全球两大民用飞机制造商之一的畅销机型，为应对竞争对手的新机型而在老平台上换装新发动机推出，订单量在推出后迅速累积；终局是两起坠机事故共造成 346 人死亡，机型在全球范围内停飞近两年，公司支付约 25 亿美元和解并承担巨额赔偿，量产与交付节奏长期受损。

## コミュニティ投票の主要死因
1. [プロダクト技術] 用软件补偿平台的气动局限 (1,233 票)
2. [法令遵守・外部環境] 关键安全信息未充分向飞行员披露 (1,036 票)
3. [戦略意思決定] 为压低培训成本而淡化机型差异 (838 票)

## 実行可能な教訓
### 用软件去补偿硬件的局限，就要按最关键系统来对待它
> 任何能单独决定飞行安全的系统，都不能依赖单一输入。

- ✅ 推奨 (DOs):
  - 对关键控制系统采用冗余输入与失效保护设计
  - 把系统的存在与处置方式完整写进培训与手册
- ❌ 禁止 (DON'Ts):
  - 不要为了节省培训成本淡化机型差异
  - 不要让商业进度影响安全验证的独立性

## 再生プラン
### 先让机型安全复飞，再改造系统与培训体系 — 良略编辑部
介入時点: 2019 年 3 月第二起同类事故后机型全球停飞时
- 断つべきもの:
  - 停止任何在原因未明前的复飞时间表
  - 停止以无需额外培训作为销售卖点
  - 停止让制造商单独完成关键安全评估
- 打開策:
  - 把关键系统改为多传感器冗余并加入失效保护
  - 将系统行为与处置程序完整纳入培训与手册
  - 把关键安全验证交回监管或独立第三方执行
- 期待される成果: 机型在完成系统改造与培训体系重建后安全复飞，公司承担成本但保住适航信任，避免长期停飞与巨额赔偿。

## コミュニティの知見
### 当补救措施变成关键系统，它就必须按关键系统的标准来设计。 — 良略编辑部 (工程师)
在老平台上换更大的发动机，会改变飞机的抬头特性，用软件去补偿并不是不能接受的做法。问题在于这套系统最终承担了安全关键角色，却只读取一个传感器的数据，而且飞行员在培训中几乎没有被告知它的存在，出现异常时无从判断。再加上监管把相当一部分评估交给制造商自己完成，独立验证这一环也消失了。
- やり直せるなら打つべき一手 安全关键系统的三条底线：冗余输入、清晰告知、独立验证。

### 当补救措施变成关键系统，它就必须按关键系统的标准来设计。 — 石砚舟 (工程师)
在老平台上换更大的发动机，会改变飞机的抬头特性，用软件去补偿并不是不能接受的做法。问题在于这套系统最终承担了安全关键角色，却只读取一个传感器的数据，而且飞行员在培训中几乎没有被告知它的存在，出现异常时无从判断。再加上监管把相当一部分评估交给制造商自己完成，独立验证这一环也消失了。
- やり直せるなら打つべき一手 安全关键系统的三条底线：冗余输入、清晰告知、独立验证。

---
出典: 良略 · https://www.lianglue.com/c/boeing-737-max