![]()
图：洛克比空难的机头残骸
一个故障的机械闹钟从30楼高度抛下，在水泥地面上摔得四分五裂之后，怎么通过还能找到的碎片，确定是哪些零件因为何种原因导致了闹钟的故障？
刨去各种专业性的技术成分，空难事故调查的核心工作内容，其实与上面这个例子是高度类似的；在一些特别严重的空难事故中，工作难度比这个例子还要高十倍、百倍不止。
一：残骸信息的高度残缺和严重污染，是空难调查的最大敌人
![]()
![]()
图：泛美航空PA103航班的关键部位残骸复原，注意下方撕裂外翻的机身蒙皮缺口
在空难事故的调查过程中，飞机的残骸是最重要的信息来源，也是空难调查结论的核心基础。残骸越是完整和丰富，损毁程度越轻，它携带和保存下来的有效信息就越多，信息被污染程度越轻，要找出事故的原因就越容易，获得的结论也越可靠。
比如1988年的洛克比空难中，机型为波音747的泛美航空PA103号航班在起飞38分钟后坠毁，270人全部遇难。飞机在空中由于关键结构的破损并导致电力中断，纪录飞行参数和驾驶舱语音的飞行记录仪（即通常所说的黑匣子）没有能留下任何有价值的信息。关键性的证据源于两点：
首先，PA103前机身的残骸完整度比较高，在复原完成后，稍有火工品常识的人仅从外观即可判定三个要素：机身结构被来自内部的冲击波撕裂；爆炸的装药量不大，总产气量有限；炸药的做功能力非常强，是爆速非常高的高性能勐炸药。
其次，在地面残骸的搜寻中，发现了来自旅客行李的一小块残破布条，在布条上检测出了烈性炸药的成分。这意味着这起空难是一起恐怖袭击事件。
![]()
图：PA103坠毁时仅起飞40分钟不到，机翼里还有着数量惊人的燃油，这导致了飞机坠地后极其严重的燃烧和爆炸，地面出现严重人员伤亡和财产损失，相当一部分飞机结构在火灾中彻底烧毁消失
![]()
图：洛克比空难中，由于飞机出现了空中解体，飞机残骸散落的总面积达到845平方英里，搜索残骸并对其编号整理，是一件非常困难而且耗时的工作
![]()
图：沾染炸药成分的残碎布片。为了找到可能的线索，在前机身残骸散落的一大片区域内，几百名警察把“除了石头和植物之外的任何东西”都进行了收集鉴定，最终找到了这块碎布
实际上这起空难能够查明原因带有很大的侥幸成分。首先是PA103在当天遭遇了恶劣的天气，延迟起飞并调整了飞行方向，否则飞机将在爱尔兰海域上空坠毁。其次是前机身没有和内藏油箱的机翼坠毁在一起，否则上面提到的关键性残骸，都会和该机的左翼一样，彻底在火海中消失，或者烧的留不下任何有价值的信息。
但另一方面，洛克比空难又是一起很容易查明坠毁原因的特殊案例：导致坠机的因素非常单一，形成的特征具备带有极端明显的排他性。
实际上在绝大多数空难中，导致飞机坠毁的因素都是以人为的操纵失误为主，而且往往是多种因素的共同作用下，才导致事故走向了不可挽回的结局，本身就带有很强的偶然性色彩。在这些空难中，残骸上携带的信息和事故原因之间，指向性往往非常模煳和软弱；常常需要补充大量的外围证据和带有推测性质的论证，才能形成最终结论。
在没有关键性的飞机残骸作为证据的情况下，要确认空难事故的真正原因往往是不可能的。很多在海洋上空失事的飞机，由于找不到坠毁位置或者无法打捞，即使能找到部分残骸，至今都没有人知道它们是遭遇了怎么样的灾难而坠毁。马航MH370就是一个很典型的例子。
在更多的空难事故调查中，最让人头疼的问题就是飞机在坠毁之后，整个飞机变得支离破碎，残骸散布在非常广阔的地带中；由于飞机上会携带大量的燃油等易燃品，坠毁后出现火灾的几率相当高，这又会进一步导致飞机残存的各种结构设备残骸，在焚烧中变形扭曲甚至完全烧毁。在这种情况下，就很可能导致关键残骸上携带的故障特征，由此彻底湮灭。
二：自动化和信息化程度的提高，为先进飞机的空难事故调查带来了新的困难
更进一步来说，在飞机残骸的相关鉴别工作中，还存在着很多远比飞机结构和机械部件更让人头痛的对象——各种电子电气设备就是个典型。而且随着技术的进步，这些工作有时候反而变得更加困难了。
![]()
图：波音737家族座舱的变化
比如在飞机的操纵面板上，为了提示机组人员飞机的各种功能和当前状态，会设计有大量不同的指示灯。在空难事故调查中，有一项非常重要的工作内容，就是确定事故发生时，指示灯处于什么状态；之后会在这个基础上，进一步推测、判定更具体的情况。
![]()
图：指示灯残骸，注意热态的灯丝变形更严重，而且断口会出现烧融的现象
在一些型号老旧的飞机上，这个工作相对是容易的——因为它们使用的还是白炽灯光源，通过金属钨材料制成的灯丝在通电后达到炽热状态来发光。因此在指示灯不工作的时候，处于冷态的灯丝又硬又脆，难以拉断变形；而它在工作时，处于热态的灯丝就变得很软也易于变形拉断。借助这一区别，通常都能有效的判断出飞机坠毁时，指示灯到底有没有亮起。
但正如现在几乎见不到用白炽灯的手电一样，近些年来的新飞机上，纯固态的发光二极管正在大量取代传统的白炽灯——它耗电低、体积小、重量轻、可靠性好、寿命长，几乎拥有压倒性的全面性能优势。但在空难调查中，只依靠发光二极管的残骸本身，基本上不可能推断坠机时它是否处于工作状态。
![]()
图：某型老式战斗机空中解体后的仪表板残骸，箭头所指的马赫数表指针停留在超过2.2倍声速的位置。这意味着飞机当时已经超过设计上允许的速度极限，为最终判定飞机事故原因提供了关键性的佐证
另一个例子是飞机上的各种飞行仪表。类似于机械手表被砸坏以后，指针停留的时间往往就是被砸坏的时间一样；传统的老式机电仪表在坠毁的过程中，由于严重的冲击和变形，普遍会出现指针和内部机构变形卡死的情况，并指向最后一刻的各种数据状态。甚至是在很严重的烧毁状态下，这些仪表残骸的数字依然是可靠的，而且能被轻松的判读。
但是随着飞机的电子化改进，多功能的液晶显示屏开始大量取代机电仪表，在坠毁后液晶屏幕本身无法提取出什么有效信息；而向液晶屏幕提供关键信息的计算机电路，就算设计了针对性的灾难备份器件，也非常容易在坠毁后的火灾中由于高温而失效——大家不妨想一下生活中的各类磁带、硬盘、闪存，有哪一种是在过火之后还能恢复信息的？
为了让飞机获得更好的性能和更高的可靠性，现代飞机中正在引入比例越来越高的电子电气设备。这使得很多飞机上关键功能的启动与关停，很多关键状态的保持与调节，不再会通过机械结构来实现，而是通过芯片中的代码来完成——这些变化，都显着增加了空难事故调查的难度。
三：无人生还的空难事故中，事故亲历者能留下的信息太少了
![]()
图：萨利机长与他挽救下来的完整飞机残骸。人员和飞机机体的完好幸存，为事故原因的确定、后续的飞机设计改进、飞行员的操作标准改进提供了极大的帮助
另一方面，飞机自身的损毁程度又直接决定了飞机上人员的生存几率。在严重的空难中，一旦出现无人生还这样最糟糕的结局，值得悲伤和惋惜的不仅是逝去的生命本身，也包括这些遇难者在事故过程中所掌握的信息永远消失了，这会极大的提升找出事故原因的难度。
在相当多的飞行事故和事故征候中，直接掌握飞机状态和进行相关操作的机组人员，以及舷窗两侧能够目视机翼和发动机等关键部位的乘客，都能为确定飞机事故的现象和进展过程提供关键性、甚至是决定性的帮助。
![]()
图：黑匣子尽管都有针对性的加固设计，但也不能完全保证事故后的完好性；抗坠毁壳体破碎、纪录芯片被甩出摔碎，无法提取任何有用信息的情况不只一次出现过。在一些军用飞机上，甚至还设计了黑匣子的自动弹射功能；在坠地前的很短时间内，会通过爆炸螺栓把黑匣子抛离出机身
这也是为什么飞机上要设计黑匣子这样的装备，不仅要纪录飞机在飞行过程中的一些主要状态数据，还要把驾驶舱中飞行员的对话语音也保存下来——但在飞行事故危急而短暂的过程中，机组人员能留下的语音，蕴含的信息量实在是太少了。
四：越是安全纪录好的成熟飞机，致命事故的原因调查往往越是棘手
在空难事故调查中，无论是采用何种方法进行思考——比如类比法或者是基于演绎法的故障树分析法，都首先要确立调查的重点和着手方向。
而最常见、也是在长期实践中被证明非常有效的一种方法，就是寻找历史上出现过的类似现象事故，根据已有事故的原因，进行重点调查；或者反过来，根据之前未有过的共性特征，倒推事故的可能原因。
![]()
图：俄罗斯安-12坠毁
比如苏联的安-10/12运输机家族，防冰除冰能力和低速飞行能力极差，由此导致了很多恶劣气候和低空条件下的事故。因此再出现类似背景的空难时，调查人员通常会优先从这两个方向出发，研判机组人员在相关的判断操纵上有没有失误，飞机相关功能是否启用，设备是否存在故障。
另一个典型的例子是波音737max。波音737家族在数十年间一共发展了三代产品：
第一代产品（100/200型）安全性不佳，每一百万飞行架次的事故率达到1.75。
到第二代产品（300/400/500型）时已经有显着改善，事故率下降到0.54。
第三代产品时（600/700/800/900）安全性相当出色，事故率进一步降低到0.27。
但基于第三代产品更换更大尺寸发动机和修改飞行控制系统的737max，则连续出现了多次俯仰失控引发的空难。
![]()
图：波音737max坠毁后的残骸
由于737max的主要改动，就是换发以及由此带来的飞机外形和飞控修改，因此空难事故调查的方向是非常明确的：事故的原因，大概率就潜藏在新的设计改动中。调查结果也证实了这一点：在波音737max项目上，波音公司犯下了不可饶恕的错误，其设计管理工作击穿了所有安全原则和职业伦理的底线。
与之相对，近期东航的MU5735航班坠毁事故目前看起来就要棘手得多。波音737-800这个机型已经发展的非常成熟，安全纪录一直相当不错；仅从现有的公开信息来看，对于事故直接原因的可能方向，难以形成初步判断。
五：空难调查的结论给定，并不完全是技术问题
任何一起空难事故，都意味着极其巨大的损失、责任、压力。这意味着直接牵涉到事故中的任何一方，包括飞行器的各方（主机、发动机、各子系统和设备供应商）设计制造者，坠毁飞机的维护者，执飞机组的管理者，都会想尽办法撇干净自己的责任。
这是人性使然的必然结果，通过道德艺术表演来否认这一规律，并不会使调查变得更高效公正。
现代空难事故调查的机制设计中，反过来利用了这一点，强调在事故调查组的人员构成中，应使各方力量保持平衡。在这种相互制衡的约束下，任何一方的主张，都必须有充分的证据和严密的论证才能站得住脚，为结论的公正性和可靠性提供了必要的保证。但作为代价，整个事故的调查过程，也必然是在激烈的多方争辩中进行的，每一步工作的推进都相当艰难而费时。
事实上航空史上不乏这样的例子：事故调查到了后期，各方其实已经在技术层面得到了答案，但依然无法形成明确和详细的结论。
![]()
图：经过多轮结构强化的T-10-17号机，1983年7月6日的高速试飞中，左侧机翼和部分垂尾解体断裂。苏27家族前中期的结构发展史，就是空中解体和补强增重的轮回史
以苏-27为例，苏联为了抗衡F-15战斗机，在电子设备和发动机水平都不如美国的背景下，只能选择采用天线口径更大的雷达和非常不利于机身结构性能的气动外形，并且还进行了极为激进的减重设计。种种因素，导致苏27家族的早期型号软骨病非常严重，结构强度严重不足。
苏-27试飞过程中摔掉的原型机T-10-12，是苏-27家族第一架全面强化了机体结构，用于冲刺极限指标的原型机。在1981年12月23日的试飞中，T-10-12在空中解体，残骸散落在方圆16公里的区域内。试飞员卡马洛夫和弹射座椅、驾驶舱后壁板一起坠落在地面。
实际上所有人都很清楚也表示认同，事故的原因是飞机的强度和刚度严重不足，导致飞机从前机身开始解体；争议点在于，设计座舱盖的认为解体原因是前起落架舱的结构设计不行，设计前起落架舱的认为试飞员的操纵太粗暴......在各方的扯皮和搅混水中，T-10-12的事故报告得到了事故鉴定委员会所有成员的签字确认，但结论却是“飞机在空中发生解体的原因不能确定”。
虽然报告上没有明确结论，但T-10-12事故之后，苏27进行了再一轮的紧急结构强化；所有在扯皮中坚称飞机解体不是自己原因的一方，都默默的对自己的设计进行了加强，包括座舱、后设备舱、座舱盖、舱盖下部结构......
结语：
空难事故的调查，既在技术上具有极大的难度和挑战性，又受事故过程的偶然性和坠毁地点环境的影响极大，还牵涉到多方的巨大责任和代价。
即便仅仅是为了对结论本身的可靠性和公正性负责，调查也必须要经历相当长的时间——至少是几个月，才能把必要的工作都完成到位。但这并不意味着在事故原因水落石出之前，就没有其它方向可以努力提升航空运营的安全性了。
比如从一般性的航空安全原则来讲，航空公司在经济压力巨大的时候，都会直接或者间接压缩安全成本、或是损害安全管理的有效性。疫情以来航空运输业亏损普遍非常严重，而国内近一年以来，也确实连接出现了不少低级恶性的事故征候；在当前的社会形势下，如何寻求更高效率、更可持续的安全管理改善，其紧迫性完全不亚于找出一次空难事故的真正原因。
赞(7)