【文/觀察者網專欄作者 張仲麟】
7月14日，印度民航總局發佈指令，要求印度國內所有航空運營商21日前對部分波音飛機的燃油開關及其鎖定系統進行緊急檢查。
這一指令源於印度航空事故調查局7月12日公佈的印航空難報告。此次緊急檢查對象涉及波音787、747和737機型，運營商包括印度航空、靛藍航空和香料航空等多家印度航司，其中波音787-8型客機正是此次事故的涉事機型。
6月12日，印航171航班從印度艾哈邁達巴德飛往英國倫敦時剛起飛離地就失事墜毀，機上242人共有241人遇難僅有一人倖存，而地面共有19人遇難。
這起空難在世界範圍內引起了極大的關注，不僅僅因爲這是世界範圍內近十年來最慘烈的空難，也因爲這是波音787“夢想客機”的首起空難。近年來波音一直處於質量問題與安全隱患的風口浪尖，波音787又是屢屢爆出質量缺陷，因此這起空難是否有波音的責任無疑是衆人關注的焦點。
在筆者空難發生後第一時間撰寫的分析文章中，就指出這起空難疑點重重，而且疑似是飛機失去推力導致無法飛行進而墜毀。但是飛機爲何失去動力就是一個謎了，是軟件問題？是機械故障？是油路污染？還是人爲失誤？這些都需要通過調查才能知道原因。而如今印度民航局的空難調查局（AAIB）於空難滿一月之際公佈了空難事故的初步調查報告，終於揭開了謎團。
揭曉謎底的報告
印度空難調查局的初步報告只有15頁，信息密度卻很高。除了一些對空難基本情況的陳述之外，報告直指之前提出的幾個疑問，也即襟翼、起落架以及發動機動力。
首先是起落架。現場的視頻證據顯示飛機的起落架在起飛離地後並沒有及時收起，起落架艙門也沒有打開，並不符合正常起飛流程。而事故調查後顯示，飛機駕駛艙殘骸中起落架手柄的位置依然在“伸出”位置，與實際情況相符。
而一度被認爲是導致升力不足的襟翼問題，也得到了解答。殘骸顯示襟翼手柄正處於flap5的位置，也即波音787默認起飛狀態下的襟翼設置。而且在飛機的黑匣子數據中，也指出飛機襟翼處於flap5狀態，可以與殘骸相互印證。也因此我們可以得出結論，即事故發生後第一時間認爲襟翼收起是由於距離太遠且視頻爲翻拍監控視頻屏幕，導致視頻質量差無法清晰分辨。
襟翼手柄最後的位置顯示飛機處於flap5狀態，也即787常用起飛模式
飛機的推力杆位置在怠速位置，但黑匣子數據顯示推力杆應當處於起飛推力狀態。787所使用的推力手柄有自動模式，可以與發動機的數據相耦合，發動機推力處於什麼狀態，手柄也在電機作用下自動處於什麼狀態。但黑匣子數據顯然和手柄實際位置不相符，而初步調查報告只是陳述了這一事實並沒有說明爲何會產生這一情況。有資深飛行員表示不排除飛機撞擊後，推力杆在外力的作用下手柄被推到靠後的怠速位置。
在初步調查報告公佈之前，路透社就爆料稱事故發生後印度航空內部組織飛行員使用模擬機進行事故航班模擬。而模擬機的結果是，在相同配置下（配載、溫度），哪怕起落架沒收起且沒有放下襟翼就起飛，也不會導致飛機升力不足以維持飛行，因此只可能是發動機推力大幅下降才導致空難發生，而初步調查報告也支持了這一點。
飛機黑匣子數據顯示，在飛機起飛之後達到180節的最大空速後，兩臺發動機的燃油控制開關就以一秒的間隔先後從“運行”切換到了“切斷”，關閉了發動機的燃油供應，客觀上給發動機“斷供”了。而由此導致的後果就是發動機轉速急速下降，推力也隨之下降最終無法維持飛行。在初步調查報告中根據黑匣子數據給出了時間線，讓我們可以直觀的回顧。
08:08:35 飛機達到抬輪Vr速度（155節）
08:08:39 飛機傳感器切換爲空中模式，推測離地
08:08:42 飛機指示空速達到最大值180節，此時兩發動機油路控制開關以一秒間隔從“運行”切換爲“切斷”，油料供應切斷，發動機轉速（N1與N2）下降推力下降。
08:08:47 雙發轉速（N2）低於怠速轉速，RAT自動部署
08:08:52 1號發動機油路開關重新打開
08:08:54 APU進氣門打開，進行自動啓動程序
08:08:56 2號發動機油路開關重新打開，發動機FADEC開始發動機重啓程序
08:09:05 飛行員呼叫“MAYDAY”
08:09:11 數據記錄停止（飛機墜毀）
複雜的空難往往有着最樸素的原因，初步調查報告給我們揭曉發動機推力消失之謎了：在飛機離地後，駕駛艙內發動機燃油控制開關被關閉，發動機失去燃油供應而雙發推力大幅下降。雖然立即將開關切到“運行”重啓發動機，但發動機從開始重啓到恢復起飛階段動力需要約30秒左右的時間，而剛離地的狀態下並沒有充足的高度與速度來換取這關鍵的30秒，因爲15秒後飛機就墜毀了。
開關爲何關閉？
兩臺發動機的燃油控制開關爲何會被關閉？是故障？是人爲？是失誤？初步調查報告並沒有給出答案，但我們可以根據現有情況分析一下。
首先來介紹下本次空難的主角，787的燃油控制開關（fuel control switch）。顧名思義，這個開關的用途就是開始或切斷髮動機的燃油供應，其用途往往是飛機降落停靠完畢後關閉發動機，或者發生發動機起火時切斷燃油以便於滅火。
而由於這個開關事關發動機啓停，因此有着重重保護與防呆設計，就是爲了防止不小心誤觸錯誤關閉發動機。首先，兩個開關兩側有着與開關等高的擋片，防止操作時手不小心拂到開關或碰到開關。其次，這兩個開關底部與底座有着卡口，需要將開關向上拔起後才能撥動，而且開關阻尼較大需要用力撥動。這一切都是由於這兩個開關過於關鍵，因此採取雙重防呆措施、且需要多個動作才能操作，就是爲了防止誤觸。但很顯然這開關還是被關上了，並由此導致了空難。
本次罪魁禍首的發動機燃油控制開關結構圖，可見有雙重防呆設計
在公佈了時關閉開關導致空難之後，關於開關的一切都被翻了出來。雖然有着雙重防呆設計，但顯然靠機械手段限制的開關依然存在磨損導致卡口失效的可能。FAA在2018年就發佈過一份公告，稱這組燃油開關的鎖定功能可能因爲長期使用導致的磨損而失效。但由於這份公告沒有要求強制性檢查，因此印航沒有對飛機進行相應檢查。那可能是開關鎖定失效而誤觸了麼？不好說。
正如上文的時間線中所顯示的，兩臺發動機的燃油開關是以一秒爲間隔關閉的，而如果是鎖定失效又恰好“躲”過擋板誤觸開關撥動到關閉的話，那應該是兩個開關同時關閉。如今的一秒間隔倒是符合手動關閉開關的情況，因此目前來看極有可能是手動關閉而不是無意間的誤觸。那麼是飛行員蓄意關閉妄圖引起空難麼？也不好說。
初步調查報告稱，駕駛艙錄音顯示在油路被關閉後一名飛行員詢問爲何切斷燃油，另一名飛行員回答稱沒有這麼做，隨後飛行員立即打開發動機燃油開關試圖啓動發動機。設身處地想一下，如果是其中一名飛行員蓄意關閉發動機燃油開關試圖製造空難，那麼理應阻止另一人重啓發動機的操作併發生爭執被客艙錄音記錄下來，但目前並沒有證據支持這一點。
考慮到燃油控制開關目前沒有證據表明鎖定失效且需要多個步驟來操作，那可能的情況是：一名飛行員將燃油控制開關當做其他開關進行了操作，並主觀上認爲自己沒有關閉發動機燃油。如果真是如此，或許這次空難將又一次證明“防呆設計，防呆不防傻”。只不過在附近的按鈕只有一個用保護罩罩着的發動機滅火按鈕，而起飛階段顯然也不需要按這個。因此飛行員究竟出於什麼原因誤操作關閉了發動機油路還是個迷，有待於最終調查報告澄清。
圍繞調查報告的爭議
在初步調查報告公佈之後，印度國內掀起了軒然大波。不僅僅因爲這空難原因有些離譜，更重要的是這份初步調查報告話裏話外把原因歸咎爲飛行員人爲失誤導致的。而且印度國內輿論認爲這份調查報告如此輕易地就撇清了波音的責任顯然是不合理的。而對一份初步調查報告來說，貿然給出結論或暗示原因是不太理智的一個事。畢竟初步調查報告的原則是“速報事實、慎報原因”。
從我的角度來說，這份初步報告的論證過程多少是有些瑕疵的，讓我想起一位從事電子支付的合規工作朋友說的故事：印度同事做的case雖然結果上沒有錯，但過程卻很跳躍，需要費勁才能看明白。
而這份初步報告也是一樣的道理，在我看來結論上是沒有問題的，但論證過程中沒有給出黑匣子原始數據以及駕駛艙原始對話記錄，只是給了個結果。這會導致雖然結果可能是正確的，但論證不夠充分，於是說服力就不太夠了。如果在報告中直接放出發動機的N1、N2轉速、空速、高度曲線、電門開關情況、原始的駕駛艙對話記錄，那麼這份初步調查報告的內容無疑可以紮實很多。
但不管怎麼說，印度空難調查局能在一個月的時間就拿出導致空難的原因，這點還是值得肯定的。而能否平息印度國內對初步調查報告的質疑，就得看印度空難調查局的最終報告能否把材料給做紮實，給出足以服衆的結論。
