波音给出“错误”数据，影响评估结果

在这种氛围下，MCAS的系统安全分析，仅仅是认证工作所需要的海量文件中的一部分，但被交给了波音公司。

波音公司向联邦航空局提供的原始文件中这样有一份说明，其中规定MCAS可转动水平尾翼的限制为0.6度，让飞机机头下掉的最大物理限制为5度。

但是，在印尼狮航坠机后，波音公司首次向航空公司提供有关MCAS的详细信息公告中称，MCAS的权限为2.5度。

这个数字对于FAA的工程师来说是全新的，他们在此前的安全评估中只获知的是0.6度。

一位FAA工程师表示，“FAA认为这架飞机的设计极限是0.6，这和其他外国监管机构知道的一样”，“这个数字会对飞机涉及的危险评估产生影响。”

更高的限制角度意味着，每次触发MCAS启动时，都会导致比原始安全分析文档所显示的出现更大角度的尾翼运动。

曾参与MAX客机认证的前FAA安全工程师，以及作为FAA授权代表参与MAX工作的前波音飞行控制工程师都表示，这些安全分析数据必须得到更新，从而反映飞机测试中最准确的飞行信息。

前FAA工程师表示，“这些数字应该与飞行测试和飞机配备的任何设计相匹配。”

不过，前波音飞行控制工程师也称，“最新的数字有可能不会出现在报告中，因为只要他们在审查后认为这些差异不会改变结论或增加危险评估的严重性。”

如果最终的安全评估文件做了部分更新，那么在文件中的某些地方肯定仍然包含0.6度的限制，并且这个更新没有在FAA技术评估小组中被广泛告知。

“没有一个工程师意识到存在一个更高的限制，”FAA的另一位现任工程师说。

同时，系统安全分析中的另一个元素放大了这个数字的差异：每次触发MCAS时，系统自动移动尾翼的权限都会启动；它可以被多次触发，就像印尼狮航航班所出现的问题一样。

FAA一位现任安全工程师表示，每当狮航航班的飞行员重新设置控制开关、将飞机往后拉抬时，MCAS就会启动，并“允许新的2.5度增量”，“所以，一旦它们推动几次后就会完全停止”，这意味平尾运转到最大角度。

前波音飞行控制工程师、现为航空电子及卫星通信顾问的彼得·莱姆（Peter Lemme）表示，由于每次使用时MCAS都会重置，“它实际上拥有无限的权力。”

莱姆认为，“它有完全的权力将平尾运动到最大值”，但“没有必要这样做。没有人应该同意给予它无限权力。”

在狮航的初步调查报告中，黑匣子数据显示，在这一循环动作重复21次后，机长将控制权移交给副机长。当MCAS把机头往下推两到三次时，副机长只按了两下开关就会做出反应。在2.5度的权限下，两个未经校正的MCAS系统循环足以达到最大的机头下推效应。

此外，狮航黑匣子数据还显示，在最后几秒钟，机长恢复了控制，并以很大力量将飞机拉升回来，但为时已晚。飞机以每小时500英里的速度向大海俯冲。

系统设计失败：只有单一传感器

波音关于MCAS的系统安全分析的底线是，在正常飞行中，MCAS的最大假设权限为0.6度被激活，就归类为“重大故障”，这意味着它可能会对飞机上的乘客造成身体伤害，但不会导致死亡。

在极端情况下，特别是当飞机处于倾斜下降螺旋时，激活MCAS被归类为“危险故障”，这意味着它可能对少数乘客造成严重或致命伤害，但仍比“灾难性故障”低一个级别，后者代表飞机损失大量人员遇难。

曾参与MAX认证工作的前波音飞行控制工程师说，一架飞机上的系统是否可以依赖一个传感器输入，还是说必须有两个传感器输入，都由系统安全分析中的危险评估分类所决定。

他称，几乎所有商用飞机上的设备，包括各种传感器，都非常可靠足以应对“重大故障”要求，即故障概率必须小于十万分之一。因此，这类系统一般允许只靠单个输入传感器。

但是，当评估严重等级上升时，“危险性损害”等级所要求的概率更为严格，为一千万分之一，那么通常必须至少有两个单独输入渠道，以防止其中一个出现故障。

令莱姆感到不解的是，波音的系统安全分析评估将MCAS的故障定位“危险”等级，但系统触发却是只通过单一传感器。

和所有的737机型一样，Max机型实际上也有两个传感器，分别位于机身两侧、靠近驾驶舱的位置。但是MCAS的设计目的却是只从其中一个传感器上读取数据。

莱姆认为，波音本可以设计一个系统来对比两个传感器的数据，如果其中一个故障，系统就会显示出来；或者也可以设计成，飞机起飞前、在地面滑行时检查攻角数值是否准确，此时攻角数值应为零。“他们本可以设计一个双渠道系统，或者也可以测试地面上的攻角数值”，“但我不知道他们为什么没有这么做。”

根据初步调查报告中提供的黑匣子数据显示，两个传感器的读数不仅在整个飞行过程中相差20度，而且飞机起飞前在地面滑行时也相差20度。