许梦萦

　　 这是一起写进了商学院案例的重大空难事故——2002年在瑞士、德国边境上空，一架俄罗斯飞机与一架美国货机相撞，71个鲜活的生命就此逝去。追溯原因，一个接一个“意外”，犹如一片又一片有孔的瑞士乳酪叠放在一起，每一片乳酪上的洞被鬼使神差地串联在一起，致命的危机如光线般穿透了叠在一起的瑞士乳酪。这次事件的主要责任人，负责管理德国南部和瑞士北部的空中交通航管员彼得·尼尔森对自己的辩解是，这起悲剧是人的操作、电脑、导航和传输器材以及有关规章等多种因素共同造成的。

　　 大型的复杂系统中，探究这样极低概率事件发生的直接与深层原因，直至今天，依然具有借鉴意义。

　　 许梦萦

　　 2002年6月，俄罗斯西部的乌法市，这个城市里最杰出的青少年被选出参加两周假期。活动是联合国教科文组织举办的，目的地就在西班牙巴塞罗那附近。他们是乌法市最聪明、最有运动或艺术细胞的儿童。

　　 7月1日，乌法市的小朋友们在莫斯科某机场搭上飞机。卡洛耶夫一家人并不属于学校旅行团，他们要趁着假期和当建筑师的爸爸会面。他在巴塞罗那附近的案子就快要完工了。

　　 种下祸根：雷达检修、电话切换

　　 当晚快11点时，巴希克利安航空2937号（BTC2937）班机离开莫斯科，它是图波列夫154型飞机。和大多数现代飞机一样，它也配备了TCAS避撞系统，全名是“航情警告避撞系统”。TCAS之所以能发挥功用，是因每架民航机上都有一具应答机，不断发射无线电讯号表明飞机的身份和它的位置。TCAS会接收讯号，并计算是否有其他飞机在碰撞航线上。如果有，它就会告诉飞行员该如何避免碰撞。如果飞航管制出了问题，TCAS就是飞行员的最后一道防线。

　　 在数百公里外的意大利柏加摩，一架波音757正要起飞。这架美国敦豪（DHL）公司的货机（D611）正要飞往位于比利时布鲁塞尔的欧洲基地。俄罗斯图波列夫飞机将在德国南部穿过它的航线。这架波音飞机上只有两个人：英国籍的机长保罗·菲利普斯和加拿大籍副驾驶布兰特·坎皮欧尼。DHL货机在晚11点6分起飞。

　　 7点50分，在瑞士苏黎世的天导（Skyguide）航管中心，夜班人员正在报道。彼得·尼尔森是位经验丰富的航管员，他担任航管员已8年了。航管中心负责管理德国南部和瑞士北部的空中交通。今晚只有两位航管员值班，但航管区内的飞机很少，因此尼尔森的同事决定去休息一下，这在空导中心是常有的事。尼尔森现在要负责两具雷达上的空中交通，两具雷达荧幕相距一米。

　　 晚上10点11分，两位技术人员来了，他们告诉尼尔森，空导公司授权他们对主雷达进行维修。他们在维修时，雷达荧幕会运作得很慢。如果飞机很靠近时，也不会发出2分钟目视警告。工程师告诉尼尔森，他们必须关闭电话系统，他们会切换到备用电话。此时众人还不知道，他们已种下了祸根。

　　 载满儿童的俄罗斯飞机正在德国中部朝瑞士飞行。德国航管将俄罗斯飞机交由天导管制，而天导目前是由尼尔森当家。

　　 致命撞击： 小概率事件如何发生

　　 这时DHL货机正向北爬升，越过阿尔卑斯山脉，正要进入瑞士的空域。DHL的菲利普斯机长要求爬升的许可。高空的空气较稀薄，空气阻力小，飞机会更省油。DHL爬升至360空层，相当于11000米，和俄罗斯飞机的高度一样。它们正位于碰撞的航线上。但两机相距还有好几公里，目前还没有危险。

　　 这时助理交给尼尔森一张新的飞行记录条，利亚德航空（下称利航）1135号班机正要飞到附近的夫力德哈芬。这将让尼尔森在之后5分钟里忙得不可开交，在两个荧幕间穿梭。尼尔森想通知夫力德哈芬的塔台，看看是否能由他们接管利航的班机，但电话打不通。他再打了一次，电话仍然不通。利航的飞行员正尝试着和尼尔森通话，尼尔森只能暂时抛开俄罗斯飞行员。

　　 航管员很习惯处理棘手的情况，但今晚尼尔森的设备出了问题，而且他正在同时控制两个荧幕。他的雷达通常会对可能的碰撞作出警告，但他不知道今晚雷达失效了。

　　 尼尔森想把利航飞机转交给其他人，他第三度尝试致电夫力德哈芬塔台，但电话依旧不通。

　　 两分半钟后交汇：

　　 TCAS自动指引与人为指令

　　 这时俄罗斯客机和DHL货机正朝对方飞去，以时速1300公里接近中。两组机员都不知道他们会在2分半钟后交汇。DHL货机正要到达瑞士与德国边界，俄罗斯客机也朝着那里前进。它们的飞行高度也一样。

　　 终于，位于德国的另一个航管中心察觉大事不妙，航管员致电想警告尼尔森，但却打不通。根据国际飞航规定（international air travel rule），这位航管员不能和飞机驾驶员直接通话。

　　 此时俄罗斯飞行员已经在TCAS上看到DHL货机了。但尼尔森仍忙着帮助利航客机降落。而DHL货机上的TCAS还没有发出警告，机员们不知道自己正位于碰撞航线上。

　　 俄罗斯飞机上的飞行员开始担心了。另一架飞机正在逼近中，但他们不确定对方是否位于相同高度。避撞系统TCAS正在警告俄罗斯飞行员有架飞机太过接近。这时DHL货机的TCAS也发现了俄罗斯飞机。

　　 尼尔森终于发现事态严重，他指示俄罗斯飞机BTC2937由360空层迅速下降至350空层。机长格洛斯关闭自动驾驶，开始下降。而此时TCAS要他们爬升。他们决定听从航管员指示，快速向350空层下降。

　　 尼尔森以为让俄罗斯飞机下降就不致发生碰撞，但他不知道DHL的飞行员已经收到TCAS的下降指示。他们想告诉尼尔森TCAS发出下降指示，但尼尔森却听不到。

　　 如果两架飞机都遵守TCAS的指示，就不会出问题。但俄罗斯飞行员不但没有爬升，反而遵照航管员的指示下降。此时两架飞机正朝着对方俯冲，两机相撞3.8秒前可以目视对方，俄方机组成员立即爬升飞行高度，但为时已晚。

　　 DHL货机的机尾切过图波列夫飞机的机腹，把其机身撕成两半。DHL货机又挣扎飞行了2分钟，终在7公里外坠毁。

　　 两架飞机的残骸掉落在德瑞边境的小城乌伯林根近郊，残骸散布面积为350平方公里。这是德国战后最严重的空中碰撞。尸体和碎片散布得很广，约有40平方公里。巴登坦柏堡省出动超过6000人花了1星期寻找尸体，这是他们最大规模的警方行动。

　　 22个月后的真相

　　 两架飞机在空旷的空域相撞，这样概率极低的事件为什么会发生？一定要有人为此负起责任。

　　 到底是谁的错？尼尔森成了媒体的焦点，他是引导两架飞机飞向对方的人，两架飞机都是由他指挥的。他受到媒体的追逐，还被指控为杀人犯。此时德国空难调查机构BFU开始就事故展开调查。

　　 调查员发现，TCAS在20年前被引进时，有项重要因素被遗漏了：没人考虑过，若TCAS和航管员的命令出现冲突的后果。他们并未为飞行员定下明确有效的规则。西方飞行员受的训练是一律遵守TCAS的命令，但其他地方的飞

　　 行员就不得而知了。

　　 重大意外的祸根早已存在。在乌伯林根空难前1年半，就差点发生一场空难。在日本上空，两架载有677人的巨无霸喷射机就在空中擦身而过。猛烈的回避动作造成100人受伤，部分人伤势严重。飞行员的反应慢上几秒就可能造成史上最严重的空难。当时某位飞行员也是听从航管员而非TCAS的指示。这个事件原本该让航空界引以为戒，但国际民航组织ICAO对此事却避而不谈。

　　 ICAO负责规定民航机的规范。德国调查员说，他们并未明确规定TCAS的使用原则。这是造成乌伯林根空难的原因之一。如果ICAO曾详细调查日本的事件，并提议修正程序，这起空难也许就不会发生。

　　 然而，日本事件并非是ICAO收到的唯一警讯。在乌伯林根空难前的2年中，在欧洲就发生过4起异常接近事件。均因为一方的飞行员遵守航管员而非TCAS的指示。

　　 2004年2月24日，在空难中失去了所有家人的俄罗斯建筑师卡洛耶夫谋杀了尼尔森，为乌伯林根空难写下了悲剧性的结局。

　　 2004年5月，德国空难调查机构花了22个月才提出最终报告。他们认为这起空难有两个主要原因：

　　 第一，尼尔森太晚察觉撞机的威胁；第二，俄罗斯机员不该听他的指示下降，而应该听从TCAS的指示上升。然而其他的飞行员很理解他们的困境。俄罗斯巴什克利安航空某资深飞行员表示，TCAS以单调的语气说出“下降”、“加速下降”，语气很呆板，而航管员则急切地说“下降”、“立即离开目前的空层”。只要声音听起来比较急切，机员就会遵守那项命令。俄罗斯航空顾问保罗·达菲认为，俄罗斯人的心态仍停留在苏联时代，他们比较习惯奉命行事，不会自作主张。

　　 当夜天导中心仅1人值班，需同时监控两个雷达荧幕，负责多架飞机；设备检修导致空中报警系统关闭，雷达荧幕运作缓慢，也无法发布飞机短期碰撞警告；4条通信线，3条因维修而切断，唯一剩下的1条占线；发现问题的德国另一航管中心无法拨入电话，又因规定不能与飞机驾驶员直接通话；航管员与俄罗斯飞机沟通不及时，尼尔森在两机相撞前50秒才命令俄罗斯图-154客机下降，而民航界标准预警时间应为90秒；TCAS与航管员指示矛盾时，因经验与文化背景，俄图-154飞行员选择听从航管员，而在未获得航管员指示的情况下DHL飞行员遵照了TCAS指示；ICAO未制订关于TCAS与航管员指令冲突时飞行员的明确行为标准，也未能有效地从发生过的接近事故征兆和经验中学习。

　　 “起初我们还期待她能回来，希望一切都会恢复原状，现在我们的希望破灭了。这些活泼健康的孩子正在度假，却因为成人犯下要命的错误断送了他们的生命。”希望这样的悲剧不会再发生。

　　 （本文中事故以Cineflix公司制作的纪录片《空中浩劫》（Air Crash Investigation）之致命交汇点（Deadly Crossroads）为参考）

　　

分享到: