漫谈航空器事故调查

好像最近这两年航空界突然不太平了。2025年一开年的1月29日，美航5342（机型CRJ-900）在华盛顿波多马克河上与一架正在训练的美军黑鹰直升机相撞，两架飞机上总共67人全部罹难；2月17日达美的4819号班机在加拿大多伦多机场发生重着陆事故，庆幸全员得救；更别提还有6月12日刚刚发生的印度航空171航班，刚起飞就坠毁在跑道头的一所医学院宿舍里，全机200多人加上地面数十人不幸遇难。再回顾2024年，新年第二天日航的一架A350就与海上保安厅的飞机在跑道上相撞，海保厅飞机上的机组人员全部罹难；12月29日，还差两天就到2025年，济州航空的2216班机着陆时一头撞向跑道头的混凝土堆，全机无人幸免。

每次有事故发生，大众都会追问事故原因，而调查事故原因的责任，就落在了专业航空事故调查人员身上。本文不是写给大众的科普读物，算是面向航空从业者、专业学生和有一定理解基础的航空爱好者，比如纪录片《空中浩劫》的爱好者们。我不打算深入探索事故调查的某一个话题，只是尝试尽可能全面概略性的讲述航空事故调查的原则、流程、归因分析和事故报告。

我希望通过一篇文章让更多人明白航空事故调查是一个科学化、组织化和系统化的过程，破除笼罩在航空事故调查上的各种流言，推动对航空安全的科学认知。全文中绝大部分是以美国运输安全委员会（NTSB）对航空事故调查的规定和手册为基础的，很多地方也参考了国际民航组织（ICAO）的文件。

全文超长，总共10600字。大致阅读时间：18-22分钟。

>>>>>>> 预警 <<<<<< 文中会大量出现航空事故现场图片，我已经尽量挑选没那么刺激的图片了。如若感觉不适，可快速略过。

什么是航空器事故？

开始之前要先明确什么是航空器事故（Aircraft accident）。这里奉上国际民航组织ICAO和美国NTSB的两套定义，同时也把中国民航局定义的航空器事故做简要介绍。

ICAO的定义：根据《附件13》的定义，航空器事故是 是指自任何人登上航空器准备飞行之目的开始，直至所有此类人员已离开该航空器为止之期间，发生与航空器运行有关的事件，并导致以下至少一种后果：

1. 有人死亡或重伤（非出于自然原因、本人伤害、被他人伤害）；
2. 航空器结构受到严重损坏，影响性能且需大修；
3. 航空器失踪或残骸无法到达。

这里要提一嘴，严格来说定义里还有很多例外项，比如单发失效并不算事故，飞行人员自我伤害导致的也不能算事故等等。本文就不深入讨论了。

NTSB的定义（14 CFR §830.2）： Aircraft accident means an occurrence associated with the operation of an aircraft which takes place between the time any person boards the aircraft with the intention of flight and all such persons have disembarked, and in which any person suffers death or serious injury, or in which the aircraft receives substantial damage. For purposes of this part, the definition of “aircraft accident” includes “unmanned aircraft accident,” as defined herein.

航空器事故是指在航空器从飞机开始为飞行目的而移动起至停下结束过程中发生的，且导致以下至少一种后果的事件：任何人因事故造成的死亡或严重伤害，或航空器遭受结构性损伤。同时这个定义也包括无人航空器事故。

NTSB定义的结构性损毁（Substantial damage）是指损伤对结构强度、性能、飞行品质造成负面影响，需要大修或更换（damage or failure that negatively impacts its structural strength, performance, or flight characteristics, requiring major repair or component replacement）。很多没造成结构性损毁的就不能算造成是事故，比如发动机失效但只损坏了发动机，或机轮的整流罩弯曲，蒙皮凹陷，蒙皮或蒙布上的小穿孔，在地面上损坏了发动机或螺旋桨浆叶，起落架损坏，机轮、轮胎、襟翼、发动机配件、刹车或翼梢的损坏（比如各种机坪上的飞机擦撞）等等。

两相对比可以发现，ICAO的定义其实更宽泛，毕竟是国际机构制定国际通行标准，而FAA和NTSB更着眼于美国国内的法律框架。两者最大的不同，是ICAO包含了更多人身伤害，比如被发动机喷气气流伤害，对机身伤害也更细节点出，而NTSB则比较宽泛用结构性损毁（substantial damage）一言概之。另外对航空器失踪的情况，ICAO直接算做事故，但是NTSB需要一些手续确认航空器确实失踪了。

如果不符合上述定义，但是依然是不安全情况（比如单发失效，滑行时撞到其他飞机，复飞时撞坏螺旋桨，重着陆导致人员轻伤等等），这种就被称为事件（incident）。

那么中国是怎么定义事故的呢，基本就是ICAO《附件13》的定义，不再复述。不过国内没有事件（incident）的定义，而是有定义事故症候和严重事故症候（参见《民用航空器事件技术调查规定》，2022修订版）。

什么是航空事故调查

航空事故调查是一个系统化、组织化、科学化的过程，不是某些人拍脑门就想出来的，它旨在通过对航空事故发生原因的全面分析，从而提出可操作的安全建议，避免类似事件再次发生。调查的目标并非追责，而是为了提升航空业的整体安全性。事故调查只是航空安全管理体系（SMS，Safety Mangement System）中的一环，与风险管理、数据监控、预防措施协同工作，共同构建闭环的安全管理逻辑。

国际上，事故调查有三个核心特点：

• 司法独立性。也就是事故调查仅仅只是查明原因，对于背后的责任认定，留给执法机关。比如在美国，NTSB只负责调查原因给出建议，但是最后将这些建议落实到立法和执法层面依然还需要FAA的参与。NTSB和FAA虽然都是交通部下属机构，但是两者是平级的，互不隶属。这样事故调查无法干扰到实际航空法规的落实，同样FAA也无法干扰到事故调查的客观独立性。
• 系统性。事故调查不仅仅只是当事的飞机、飞机上的人，还包括背后的组织（比如航司、航校或者大学），设计机构（航空器的制造和设计，流程的设计等），以及监管机构（比如FAA这种立法机构和执法机构，还包括NTSB、NASA等政府研究结构）
• 技术主导。航空事故调查非常依赖工程技术手段，不仅需要现场测绘技术，数据分析，还需要包括行为科学、人的因素（human factor）分析等多种分析手段。

本文后面会详细展开讲解航空事故调查是如何体现其系统化、组织化和科学化的。

事故调查的规则和要求

国际上ICAO以附件13（ICAO Annex 13）准绳，其他各国都遵循这个规则，并制定符合自身国情的事故调查规则，比如我国的《民用航空器事件技术调查规定》。下面以NTSB的航空事故调查为例，概略说说事故调查的规则和要求。

• 49 CFR 830部。主要是定义部分，什么是航空事故，什么是航空事故症候，什么情况需要报告，什么情况需要报告给NTSB等等，还有保存残骸、记录、货物和信件的规则等。
• 49 CFR 831部。航空事故和事故症候的调查流程，具体如何操作都在这里写明了。
• 49 CFR 845部。交通部的运行步骤，其中提到了事故调查所需的听证、安全建议和事故报告相关的内容。

事故调查的组织机构

航空事故调查是一项高度专业化的工作，需要多个领域的专家密切协作，才能准确识别事故的原因与机制。国际上，各个国家或地区通常都会设立专门的航空事故调查机构。这里拿NTSB为例。

在航空事故发生后，NTSB会迅速成立“Go Team”（现场调查小组），前往事故现场。该小组由调查组负责人（IIC，Investigator-in-Charge）担任领导，并联合各个专业领域的专家进一步组建多个专业调查组（Working Groups）。

• 调查组负责人（IIC，Investigator-in-Charge，或译“首席调查员”），类似于机长（Pilot-in-Command）是对整个调查组负责的，同时还要协调所有专业调查组，是最终做出决策的人，也是面向公众的一个角色。这个人需要是资深调查员来出任，同时还有很强的领导力，对外交流能力，协调能力等等。
• 专业调查组，包括调查机组操作的飞行操作专家组（Operations Specialist），航空器结构专家组（Structures Specialist），动力系统专家组（Powerplants Specialist），航空器系统专家组（Systems Specialist），人的因素专家组（Human Factor Specialist），生还者专家组（Survival Specialist），还有空中交通管制专家组（ATC Specialist）和气象专家组（Weather Specialist）等。
• 根据ICAO附近13的规定，如果是国际调查，需要邀请航空器生产国或航司所在国的调查员，如果有外国人，也要邀请乘客所在国的调查员。一般还会加入来自航空器制造商、发动机制造商、航司或运营公司、环境评估相关组织的调查成员加入。
• 当地FAA代表、航司代表、飞行员组织等等也会加入其中，美国把这些机构称之为参与方（party），他们只是顾问角色，不能负责事故的调查，不会参与事故报告的撰写等等。举例来说2018年狮航610航班（波音737Max）事故调查中，波音公司只是作为参与方加入调查，但最终调查报告仍然由印尼调查委员会（KNKT）与NTSB合作撰写并公开发布。

举个例子，比如在调查2009年科尔根航空3407号事故中，NTSB组织了多达11个专业调查组，涵盖飞行程序、冰冻条件、疲劳、培训体系等多个领域。而这也恰恰体现了航空调查是系统化的过程。

事故调查的流程

事故调查的流程必须是组织化且公开的，公众可以参与其中并作出监督。根据831部规则和NTSB手册，如果从事故调查工作流程来看分为现场调查（Field Investigation）、证据分析（Evidence Analysis）、公开听证（Public Hearings）和报告（Reporting）等几个部分。另一方面，从公众角度和可监督角度事故调查可分为：

• 现场调查（On-scene Investigation）。数据收集阶段：残骸、目击者、照片、物证、飞机维护和维修记录、机组人员培训、人员和医疗体检记录、维修人员培训记录、调取驾驶舱语音记录器 (CVR)、飞行数据记录 (FDR) 等。调查时间取决于事故地点、事故复杂程度、取证难度、残骸分布、目击者人数等因素，通常为 7-10 天。
• 初步报告（Preliminary report）。小型通航事故后10-30天左右，会有一份描述事故事实性信息（Factual information）的初步报告。而对运输类客机事故，这个时间可能长达2-3个月。
• 公开听证（Public Hearing）。必须全程面向公众公开，主要是从各参与方获取更多额外信息和证据，这一步是可选的，但对运输类客机的事故基本每次都会有。听证会由NTSB委员会主持，听证会前会有宣誓。听证会时长很可能会非常长，比如刚刚结束的华盛顿特区托克马克河空中撞击事故的听证，就长达27个小时，Youtube在线直播被分成了几十个部分。
• 委员会会议（Board Meeting）。统筹各方信息，整理卷宗，对证据进行归因分析，做出结论，给出安全建议等。这一步往往也是公开的，NTSB的YouTube频道常会直播委员会会议。
• 最终报告（Final Report）。形成最终报告，由调查组撰写整理，首席调查员签字并发布，后期会根据公众反馈可能重启调查（比如曾经波音737出现的方向舵卡阻就多次重启调查），或者修改报告，增加报告部分等等。

事故调查的具体操作

下面根据这个上面的流程，展开讲讲事故调查，到底都在调查什么：

现场调查与残骸分析

除了马航370这种不知道坠落在哪的空难，一般所有调查的第一步就是分析残骸。

• 残骸分布与“四角” 事故发生后首要重要的是分析残骸的大体分布情况。据此可以认出撞击时的两个重要参数：速度和撞击角度。可以大致分出撞击速度是较快还是较慢，撞击时飞行轨迹与地形的角度是较大还是较小。这样就有四个排列组合：高速大角度、高速小角度、地速大角度和低速小角度。通过快速分析速度和角度，可以大致判断出坠机前飞机的状态以及分析生还情况。比如高速大角度可能意味着飞行中失控（LOC-I）导致的垂直急坠，大概率不会有生还者，因此调查失控的原因就成为了关键；低速大角度可能代表出现了失速后螺旋的情况，可能会有生还者但是即便生还也是重伤，因此调查失速的原因就很重要；高速小角度往往发生在起飞、复飞或迫降的时候，有时候会与可控飞行撞地（CFIT）高度相关；低速低角度一般常出现在迫降的场景，甚至不会导致事故，因此生还概率是很高的，故飞行员和乘客的第一手报告就很关键了。 另外就是确定残骸的“四角”（固定翼飞机），机头、机尾和两侧的机翼的位置。这可以回答很多问题，其一是坠机前，飞机有没有凌空解体，如果四角彼此离得很远，很大概率飞机在空中发生了解体，那么解体是坠机的原因，还是在高速下落过程中被气流扯掉的呢？同时四角的位置和相互关系，还可以解释坠机时飞机的姿态、撞击力的受力位置和翻滚情况，这为初步判定事故原因起到了重要作用。
• 残骸现场拍照和作图 残骸分析的一个重要步骤是拍照和作图。上世纪90年代之前，这个步骤非常费时费力，每片残骸无论大小都需要编号拍照，并量取和碰撞点或残骸中心点的距离和方位，并绘制残骸分布图，这样可以提供直观的残骸分布情况。 现在借助技术的发展，这个步骤就相对简单一些，比如使用地理信息系统（GIS）进行测绘，使用无人机高空拍照。调查员可以利用这些信息更快也更好地获得对残骸分布的认知。

航空器系统调查

• 起火与过火设备调查 这项调查需要回答是坠机造成的起火，还是失火导致的坠机，同时要找到着火的位置，以及确认坠毁后着火（post-fire）最先从哪里燃起来的，还需要通过实验室实验确认促发着火的可能性。众所周知火灾有三元素：氧气、助燃物和热量，着火和过火设备调查，就是利用这个三元素的关系来调查具体着火情况的，而且因为不同燃料（Jet A和Avgas）在不同高度的燃烧情况有很大差异，因此着火情况就必须多方认证和测试。 举几个例子。瑞士航空111（麦道MD-11空中失火坠机）因为机上娱乐系统过载短路，导致空中失火最终坠毁。在事故调查中，就是一寸一寸分析机上设备的线路才排查出来短路点的。UPS航空6号货机事故，是因为货柜里的锂电池起火导致的，调查的过程中做了大量锂电池起火测试，特别是在各个高度上锂电池的耐受能力等都有测试（这也成为了现在民航锂电池规则的来源）。
• 机体结构分析 分析机体结构主要是回答结构是否发生失效，特别是机体和部件的金属疲劳。如果查出有金属疲劳还要查明是因为维修因素，制造商不当制造，还是因为反复超负荷运行导致的。此外维修不当也会造成机体某些位置应力过于集中，引发结构脆断。 维修因素导致金属疲劳，典型的例子是华航611班机事故（波音747-200），因为22年前对加压舱大底的维修不当，多年来多次起降最终导致客舱大底失效引发一连串问题而坠机。反复超负荷导致的金属疲劳，最经典的无疑是阿罗哈航空243号班机事故（波音737-200），夏威夷温暖高盐的环境和频繁的短途飞行，最终导致机舱顶部解体。美航191号事故（麦道DC-10）是因为维修安装发动机时，发动机没有正确安装，导致在多次起降中应力过于集中在发动机挂架，进而突然脆断导致发动机飞脱，最终坠机。
• 发动机分析 对动力系统的分析，包括了对活塞式发动机分析，螺旋桨分析，和涡轮发动机的分析。主要回答几个问题，比如坠机前发动机是否还在运转，发动机运转是否良好，功率输出有多少，是在最大起飞/复飞推力，还是怠速状态。发动机是否有损坏，比如鸟击，非包容性解体等等。对发动机的分析，还需要抽取其中残存的燃油，还能进而分析是否出现燃油污染。如果发动机或螺旋桨有防冰系统，亦需要检查防冰/除冰系统是否正常工作，以及是否检测到积冰情况。 联合航空232号事故（即“苏城空难”），是因为发动机叶片制造过程中的微小污染，最终引发发动机叶片半空脆断，导致发动机非包容性解体，切断操纵机构的液压管路。好在机组成员协力配合迫降在苏城，最大可能减少了伤亡。
• 航空器系统研究 航空器上各种系统众多，很多时候要根据具体事故或事件，对证分析具体的系统。比如川航8633事件中，就有对风挡加温系统的研究和分析。环球航空800航班事故调查中，会调查747的燃油系统、空调系统组件，还有两者之间引发燃油爆炸的逻辑关联等等。
• 驾驶舱和仪表分析 在现场调查阶段会对驾驶舱仪表拍照，确定在坠机一刻各个开关、手柄的位置，有些仪表的读数还能保留一些线索，比如高度表拨正值。近期发布的印航171航班空难的初步调查报告里，就将起落架手柄和襟翼的手柄位置做了拍照解释，回答了之前关心的襟翼位置和起落架是否收起的争论。驾驶舱开关位置可以结合上面的航空器系统分析，解开很多系统的设置的问题，比如机组是否在潜在积冰环境下使用了除冰系统，或者机组是否将增压组件设置在了错误的位置。比如太阳神航空522班机事故，机组没留意737飞机的增压开关一直在MAN（手动）位置，导致全机所有人在爬升到高空后缺氧昏迷，最终失事。
• 灯泡和警报信号分析 驾驶舱指示灯和其灯泡是非常重要的研究对象。警报灯亮起时机组有没有注意到，警报音响起时有没有引起机组警觉并作出适当的反应。还比如美东方航空401班机空难前，机组成员一直在讨论L1011飞机的起落架位置指示灯没有亮起的问题，最终没人管理飞机，导致出现可控飞行撞地（CFIT，Controlled Flight into Terrain）。这就需要调查起落架位置指示灯的灯泡是不是真的坏了，在空中能否更换等等关键问题。
• 特定事故的调查 有些特定事故，需要采取特定的调查方式，比如与跑道相关事故调查，以及空中相撞事故的调查。跑道相关事故，特别是跑道入侵（runway incursion）需要搜证的环节和接触的部门就比较多。同样的还有空中相撞事故，主要回答天空这么大的空间为什么会撞上呢。其实九成空中相撞事故发生在白天晴空附近的机场区域。例如年初在华盛顿发生的波多马克河上碰撞事故，NTSB的听证会里有近10小时都是在听取美陆军的训练操作，试图找出来他们究竟是遵循的什么高度飞，导致最后误差高达75英尺（22米），还要调查空管员在当时是否意识到可能会发生的碰撞。又比如著名的大峡谷撞机案，调查员使用了大量模拟操作和实验，才最终分析出来事故的原因。总之跑道入侵和空中相撞这种，需要调动大量部门协调调查的，都需要设立特别调查组来实施。

记录的调取和解读

• 航空器的记录器调取和分析。现代商业客机都有驾驶舱语音记录器 (CVR）和飞行数据记录 (FDR) ，往往都能够在事故后回收并成功读取。其他的记录源还有发动机显示和机组警告系统（EICAS），以及快速存取记录器（QAR）等。通航小飞机往往没有安装这些记录器（法规没有强制91部和135部的通航飞行时安装），但有些高级航电设备（比如Garmin G1000）会有额外的SD卡槽，可以存储仪表显示到SD卡里。这些记录可以极大地帮助调查，以至于普通人面对事故上来都会关注是否找到了“黑匣子”。不过在专业调查层面，各种记录器的数据也必须与上面各种现场调查和系统分析对应上，形成完整符合逻辑的证据链条。
• 空管记录与雷达数据。除了航空器自身数据，空管和雷达数据也很关键，可以在缺少黑匣子信息的时候提供额外的飞行运动路径和陆空通话参考，也可以与FDR数据构成交叉证据对照。在之前没有ADS-B的时代，雷达数据至关重要。另外雷达数据对于空中解体的事故，能提供解体前后碎片的运动状态，对搜索或打捞有很大帮助，同时也对分析原因有很大作用。比如洛克比空难的调查中，苏格兰军用雷达和附近的民用雷达，对获知空中解体的关键时间和高度有巨大帮助。
• 机组、运营和维护记录。机组的飞行记录、训练记录、休息记录、考核记录、休假记录、体检证明、既往病史、服药记录等都会在事故发生时第一时间排查，甚至飞行员初始学飞时的记录也要查询。航司的组织架构、训练体系、训练手册、机型手册、出勤安排表、签派记录、安保记录等等都会事无巨细地查到。另一方面事故相关飞机或同型机型的维修记录、配件记录、维修人员工作记录、维修站出勤记录、租赁或经销记录等等。
• 机场运行记录。对于涉嫌机场相关的事故，地面运行相关或者跑道入侵这种，机场运行记录就需要调取出来。对于139部的机场，还需要配备相关的救援力量，那么救援设备的维护记录、救援人员的训练记录、模拟空难的救援训练的记录等等。
• 天气信息和历史记录。所有空难都需要调取事故当时的气象记录，天气信息不仅包括METAR报文、卫星云图、多普勒雷达图、地面和高空风况等，还包括飞行前的预报和气象历史记录。对特定空难甚至还需要地磁数据或者火山活动报告等。除此之外，调查时还需要知道机组是否在飞行前收到了气象预报和报文，完成了飞行前的天气简报会（weather briefing）。之前通航飞行员会在飞行前，通过电话或网络向飞行服务站（FSS）的简报员要一份标准天气简报，而这会在FSS的服务器上留下记录，可以为事故调查提供帮助；但现在借助互联网和电子飞行包（EFB）的普及，通航飞行员大多都会自己解读天气信息并给出是否能够飞行的决策，因此事故调查时就无法了解飞行员是否明晰可能危害飞行的危险天气。
• 视频监控录像。近些年随着视频监控的普及，有时候坠机点附近的监控视频往往能给出坠机前的飞机姿态信息，可以据此结合FDR（如果有）和残骸分布，对判别事故原因有很大帮助。由于小型通航飞机上往往没有安装FDR（法规没有强制安装，更何况机型众多也没法统一标准），很多时候监控录像对判别原因就有很大的价值了。除了视频监控，行车记录仪、执法记录仪、机动车违规拍照、运动相机等等记录设备都可以为事故调查提供巨大帮助。

技术性分析

• 计算机模拟 不仅有大众熟知的飞行模拟，还有空管雷达模拟和气象模拟。有时候为了更好地展现事故过程，会使用计算机生成人体行为的模拟。现在有生成式AI的帮助，这种模拟分析会更容易一些。
• 目击者和幸存者访谈 目击者作为事故调查重要的一环，是必须要重视的。但是有些目击者会出现过度夸张或者遗忘的情况。有些乘客因为经历冲击，心理上会刻意忘掉某些关键细节，这会让访谈变得困难。但还有一些目击者的描述会歪曲，特别是其他飞行员的目击，比如之前有场通航事故目击者说飞机发生了失速螺旋，但是实际上并没有发生失速。这种非故意的歪曲会影响事故调查进度，但这类目击者证词却也是很珍贵的，因为给出了一种可能性。
• 计算航空器的性能数据 航空器性能数据包括了重量与平衡数据，大气数据比如大气密度、气压、温度和湿度，飞行数据比如真空速、坡度和转弯半径等等。这些数据可以回答很多问题，对失速导致LOC-I（飞行中失控，Lost of Control in Flight）的事故，飞行数据可以直接判别飞机是否发生了失速。载重数据可以判别飞机的失速是否因为载重平衡出问题，导致重心过度靠前或者靠后，或者超载。大气数据可以得出飞机起降过程中，是否有能力在跑道范围内起飞或停住。总之这些性能数据对解密事故原因有巨大帮助。
• 失速和螺旋的分析与评判 失速螺旋的事故是一类需要特别关注的事故，因为导致失速的唯一直接原因是机翼迎角超过了临界迎角，可是超过临界迎角的方式却是千千万。失速螺旋坠机现场符合几乎垂直的大角度坠落，产生的残骸分布（低速和高速都有可能，但低速的时候多）会像拧麻花一样，坠落点周围树木往往不会出现倒伏，就可以大致判断发生了失速螺旋，如果有生还者也可以帮忙还原这个过程。 通航飞机最常出现的两种低空失速螺旋事故：base-to-final turn（四边转五边）失速和起飞/复飞失速事故。但是根据研究，base-to-final转弯失速坠机带来的伤亡不如起飞/复飞失速事故，主要是因为起飞/复飞失速事故时距离地面更近，往往低于500英尺AGL（大概170米），而且迎角的增加更快，螺旋桨飞机的左转倾向（left-turning tandency）更容易让飞机进入失速后的螺旋；而base-to-final转弯失速高度一般在500英尺AGL左右或者更高，改出空间比较多，而且因为少有螺旋桨左转倾向，不会快速进入螺旋，落地时的速度也不会太大，生还几率更高。举个例子，著名TOP GUN飞行员Dale “Snort” Snodgrass发生在2021年7月24日的事故，因为飞行前操纵杆的锁定装置没有解锁，导致起飞后机头很快大幅抬升，超过机翼的临界迎角发生失速，飞机失去升力一头栽下来，他当场死亡。 还有一些失速螺旋事故是高空飞行时失控造成的，比如失去空间定向（spacial disorientation）后飞机进入失速后的螺旋进而坠机。另外一些情况还有飞机操纵面缺失，比如机翼或尾翼断裂，升降舵或方向舵舵面缺失，典型例子就是阿拉斯加航空261号事故。
• 尾流的危害 飞机在飞行时，因为机翼上下表面的压力差，会在翼尖后面形成旋转的气旋（vortex）和湍流，这些也即是尾流或尾部湍流（wake turbluence）。不过尾流只在升力产生时才会出现，所以起飞和着陆的滑跑阶段以及地面滑行不会有尾流产生。对产生尾流的飞机而言，这些湍流会显著增加飞机的诱导阻力（induced drage），但对飞过尾流的飞机而言会带来风险，有时甚至是致命的。产生尾流的飞机比接受尾流的飞机重量差距越大，那么接受尾流的飞机受到的影响就越大，越有可能发生失控坠毁事故，这在起降阶段尤其危险。比如美航587号班机事故（机型空客A300），起飞后进入了之前刚刚起飞的一架日航波音747的尾流中，导致失控坠机。 影响尾流的因素有三个，前机的重量、光洁还是着陆构型、速度快慢，其中重量越大、速度越慢、光洁构型会产生最严重的尾流危害。现在所有飞行员都需要接受培训避开潜在的尾流风险。 对于可能涉及到尾流的事故，需要调取空管记录和地面以及雷达记录，并需要结合管制的报告。对于无管制机场（美国有97%的机场是无管制的），那么只能依赖目击者报告，如果有ADS-B辅助肯定更好。
• 地面运行的潜在危险 很多地面滑行时出现的事件往往不会归类为事故（因为不符合“以飞行为目的”），比如拖飞机时与停泊的飞机发生擦撞，不过更严重的比如跑道入侵，还有起降阶段的地面失控事故（LOC-G）。比如后三点式飞机的起降事故，往往在起降时更容易失控，特别是有侧风时。一般地面事故的生还率都比较高，即便如“特内里费空难”这样大规模的跑道入侵碰撞，也有三分之一幸存者。
• 稳定性和操控性 飞机在三轴上的稳定性（纵向稳定性、横向稳定性和偏航稳定性），往往受到几个因素影响。比如升力中心与重心的关系，重量和平衡（即装载人员、货物和燃油的分布情况），飞机的操纵效率和操纵机构的运行状态，机尾的下压力，配平位置，光洁还是着陆构型（会改变升力中心的位置），还有发动机的工况（单发失效会极大影响偏航稳定性和横向稳定性）等等。这个话题可以谈很深，涉及到的事故太多太多。仅举一例，比如美国国家航空102号事故，在阿富汗运送美军悍马战车，起飞时因为货物突然移动，改变了重心位置，导致刚起飞就发生失速最终坠毁。
• 灾害性天气：积冰、雷暴和湍流 航空业是“看天吃饭”的行业，所以气象对安全运行有非常重要的影响。FAA列出了很多有害的天气状况，其中能直接导致事故的一般有积冰、雷暴和湍流。其中积冰可以让升力面的升力减少30%，同时增加40%的阻力，不仅让飞机飞得慢，爬升无力，缓慢的高度降低还会增加CFIT的风险；更重要的是积冰会降低的机翼的临界迎角，增加失速速度，飞机更容易发生失速而失去升力。机尾积冰更是在飞行中很难察觉，机尾失速（tailplane stall）会突然发生，机尾失去下压力导致机头瞬间抬高，而这又会增加机翼发生失速的风险。发动机进气道积冰，会降低发动机效率，显著减少发动机推力。活塞发动机的汽化器积冰会在高温天气发生，甚至可以直接导致发动机半空失效。调查可能积冰的事故也有很大挑战，因为飞机坠落后的起火会销毁积冰产生的痕迹；足够幸运的话，发动机内部积冰可能会保留下来。对于不允许飞入已知积冰条件的飞机，调查重点是机组有没有躲开可能会积冰的环境；对于有除冰设备的飞机，会调查是否有使用除冰设备，以及设备是否完好，同时除冰设备是不是有天生缺陷（比如除冰套筒de-icing boots的后方会产生低压区，让没有完全融掉的冰再次凝结），外加机组是否尽快飞离积冰区域。 雷暴是任何飞行都应该避开的，有百害而无一利。雷暴本身就包含剧烈的湍流、龙卷风、闪电、巨量的降水、甚至还有冻雨、冰雹等等真的是五毒俱全。更何况看似安静的雷暴云下方，还有不知什么时候会发生的微下击暴流（microburst）。FAA要求飞机要距离任何雷暴单体至少20海里以外（冰雹可以被抛出很远），就是为了保证安全。达美航空191事故就是典型的由于遇到微下击暴流，而导致的坠机，这个事故也让机载风切变设备成为了商业航班的标配，让139部的管制机场普遍配备了地面监控雷达，同时所有飞行员都会接受相关改出训练。但是小飞机没有这个检测设备，所以飞行员需要更仔细，因此躲开雷暴天是最佳选项。 再来说湍流，低空风切变会让起落变得不安全，对小飞机影响更致命。对大飞机而言，高空湍流（CAT，clear-air turbulence）影响更大，可能会增加机翼和机身载荷，对飞机结构造成破坏性损坏，更会对未系牢安全带的机组成员或乘客造成极大的生命威胁。东航583号事故虽然不是由CAT引起（主因是飞行员袖口碰到了襟翼手柄在高空放出一小段襟翼产生的震荡，以及其后飞行员对抗震荡引发的更多震荡），但这场事故产生的颠簸也是非常猛烈的。对小飞机而已，另一个需要关注的是山地波（mountain wave），很多坠落在山顶附近的事故除了考虑可能的CFIT以外，还可能是山地波导致的颠簸失控。 以上所有这些灾害性天气，完全可以在飞行前通过仔细研读气象预报和报告，就可以计划绕飞避开；机载设备，无论是大飞机上装备的机载雷达，风切变探测装置，还是小飞机用的EFB（需要能够接收NEXRAD数据），都可以提供飞行中避开灾害性天气的方式。因此调查时就会考虑机组是否使用了这些气象服务，是否懂得解读各种气象产品给出的信息。
• 高速飞行（激波，震动，非正常的操控面位置） 目前为止，民用航空器是没有设计超音速飞行的，但是在失控高速坠落时或某些特定情境（比如故意或不小心）造成的高速俯冲中，飞机的某些部件会在下坠中加速到音速甚至超过音速，并因此产生激波（shock wave）和激波震动，进而被从机体上扯掉。埃及航空990号事故中，飞机在高速俯冲时，高速气流导致一侧发动机飞脱；事后根据非正常操纵面位移，以及副驾驶在CVR中的语音记录得出结论，副驾驶在机长不在驾驶舱时蓄意造成飞机高速俯冲（NTSB调查后的观点，埃及反对）。还有华航006号事故，机组在处理单发熄火时失当，引发飞机向一侧偏斜并俯冲，一度速度接近音速，产生接近5G的载荷，撕扯了尾翼的舵面，幸而最终成功迫降，无人遇难。
• 载荷、结构压力和强度 现代客机都是加压舱，不过加压和泄压过程也是事故的高发过程，内部压力的突然变化也会导致结构改变。比如联航811事故，因为早期747的设计缺陷，货舱门没能妥善锁牢，结果在空中货舱门被加压气流冲飞，导致飞机爆炸性减压，碎片也影响了右侧两台发动机的工作。另外飞行员（或自动驾驶系统）的激进操作也会导致超过设计载荷，对飞机结构和整体性能产生影响，比如上面讲过的华航006号事故。
• 可控飞行撞地和空中失控 可控飞行撞地（CFIT，Controlled Flight into Terrain）和上面提到的失速螺旋事故不同，坠机前飞机往往依旧可控，状态也基本稳定。导致CFIT的常见因素有很多，仪表气象条件或仪表飞行规则（IFR）下，发生CFIT的情况最多，比如进近时低于最低下降高度导致撞上障碍物，或者盘旋进场时高度过低撞山（例如国航129号“釜山空难”），或者仪表进近时严重低于下滑道（例如韩亚航空214号事故）。 对于通航小飞机来说在VFR状况下进入仪表气象条件（VFR-into-IMC）是导致空中失控（LOC-I）的重要原因之一，而且根据AOPA的年度事故数据统计，VFR-into-IMC也是死亡率最高的通航事故原因（因为失去空间定向导致LOC-I）。对于有CFIT嫌疑的事故调查，人的因素（human factor）起到很大作用，比如机组的情境意识（SA，Situation/Situational Awareness），机组训练是否有缺陷，驾驶舱的资源管理（CRM）、驾驶舱危机和错误管理（TEM），深挖还有航司训练体系，机型训练教程，机型适航和政府部门监管等等多方因素。 上面提到的美东航401号事故，坠机前飞机一切正常，完全可控，除了那颗有嫌疑的起落架位置指示灯灯泡。这起事故也间接导致CRM的创立。
• 法医学检验 对坠机后伤员和罹难人员的法医学检查可以回答很多问题，比如飞行员是否饮酒，是否因为药物影响了其发挥职能影响判断，是否处在生病状态。比如陈玮坠机事故中，法医在他身体里查出了止咳药的成分，说明在飞行时他正遭受感冒或呼吸道疾病的折磨。法医还能查出罹难人员受的伤是坠机后造成的还是坠机前造成的，是否有非正常的伤痕。例如“洛克比空难”的一个突破口就是法医从罹难人员中发现非正常爆炸伤，再结合机身上的爆炸物残留定位到了具体旅客的行踪。
• 生还者分析 航空事故和道路交通事故不同，道路交通事故中人所受的冲击一般来自二维平面，而航空事故是三维运动，因此碰撞受到的冲击也不是仅在单一平面，而是三维空间的合力；而且飞机运动速度更快动能更大，还要叠加高度产生的重力势能；再加上很多通航小飞机的内饰并没有设计吸能材料和气囊，以上这些原因共同导致空难的生还可能性比撞车要低。 对生还者的分析核心要回答什么地方做对了，让他们得以幸免于难，这不仅可以帮助航司、飞行员改善操作流程，还可以用来指导开发更好的客舱环境。人体在各个方向上对碰撞的耐受程度是不同的（见下图，用G力数来表示在0.1秒骤停产生的加速度），这也就解释了汽车的气囊和吸能材料为什么要设置在现在的位置。直观一点来对比，人从3米高的墙头主动跳到坚硬铺设的地面，身体就承受了27-30G的冲击力了，这种情况之所以没受伤是因为膝盖在受控弯折时能吸收很大一部分冲击力，如果是非受控（比如从3米高墙头跌下）那么这样的冲击将可能致命，特别是头颈部着地时。

分析人的因素

在讨论之前先要明确，“人的因素”（Human Factors）不是”人为因素“，更不等于“人为失误”或“人为错误”。研究人的因素是融合生理和心理两方面的共同构成的复杂学科，狭义理解是人和机器之间的交互关系，广义来说可以是包罗万象的：小到打开一个罐头、使用圆珠笔、餐盘餐具的设计和使用，大到病房监控、设计汽车自动驾驶系统、核电站管理、空中交通管理、设计宇航服和空间站等等。现在人因工程学（Human Factors and Ergonomics）是一门国际上非常流行的且深入研究的跨多领域学科。

航空领域人的因素关注点比如人体感知与知觉、认知与学习理论、人格特质、能力、训练、文化/组织影响、机组资源管理、安全与健康、生理学、人体工程学和人体测量学、基础设施设计、安全与人为错误、用户体验、系统和用户界面设计。在航空事故调查时，主要关注人员的能力、训练、情境意识、组织文化、监管、机组资源管理、压力与工作强度、疲劳、病理因素、心理特质、航空决策制定、风险管理等等。所有事故都必须调查人的因素，调查出的任何问题都不等于简单归咎于所谓“人为失误/错误”，更不能简单将事故归到“人祸”。事故原因是一个复杂的过程，下面会专门谈到归因分析。

在航空安全管理系统里，将人的因素抽象成“SHELL”模型，即Software Hardware Environment Liveware-Liveware五个因素的首字母缩写，五项因素都对中间的Liverware造成直接影响。SHELL模型是为了研究所有外部条件和环境对人员的影响的。其中在中间的人员因素（Liverware）是主要研究的对象，也是受到周围影响的主体，可以是飞行员、管制员、修理工、制造工等等；软件因素（Software）包括非物质性的比如文化、组织、法规条例、流程等等；硬件因素（Hardware）是各种物理设备，包括航空器、驾驶舱设计、导航系统等等；环境因素（Environment）是任何外部环境无法人为介入改变的，比如天气、光照条件、噪音、时间等等；人际间因素（Liveware-Liveware）是关注个体与团队和人际间影响的，比如驾驶舱资源管理、人际交互等等。使用SHELL模型可以很好地得出一个结论，事故几乎不是因为单一人的因素，而是由多个因素之间互相交互作用的结果。

除了SHELL模型，上世纪90年代底曾经广泛用于美空军中的人因归类和分析系统（HFACS，Human Factors Analysis and Classification System）被引入到了民用航空安全领域，现在也已经成为人因分析的主流。HFACS基于Reason提出的“瑞士奶酪”模型创建。

要先来讲一下Reason的“瑞士奶酪”模型。瑞士奶酪在制作的过程中因为有空气进入，所以里面会形成大小不一的气泡。将奶酪切片以后，这些气泡就变成切片里的孔洞。Reason就受到切片的瑞士奶酪启发，提出当这些“孔洞”（也就是缺陷）能连城一条线的时候，事故就会发生。进一步他提出四层“瑞士奶酪片”：组织影响、不安全的监管、不安全行为的先决条件、不安全行为本身。

Scott Shappell等人提出的HFACS正是在瑞士奶酪模型的基础上，拓展了每层“奶酪切片”的含义和内容，并将其连成一个更容易用于事故分析的操作指南。有关HFACS可以阅读Human Error and Commercial Aviation Accidents: An Analysis Using the Human Factors Analysis and Classification System（https://doi.org/10.1518/001872007×312469）。

最近这十年Scott Shappell开始将HFACS用于改善安全行为上，也就是用来分析哪些地方作对了，或者说因为堵上了“奶酪片”的孔洞，阻止了一场可能机毁人亡的大型事故。

归因分析

对事故原因的分析，最能体现事故调查是科学化和系统化的过程。事故原因不是某人突发奇想，一拍大腿得出的，更不是某个上层人物根据自身利益指派的。下面会重点讲讲归因分析，可能有一点学术化，请见谅。

读报告时会发现，结论部分揭示事故原因不是直接写“原因”，而是写成“可能的原因”（Probable Cause），这是非常科学的。因为使用任何分析方法复盘，都无法完整、全面、系统地将原因完整分析出来，所以事故报告里只能列出已查明的可能原因。更不能一锤定音，任何人都可以提出否定，作为科学的过程，必须能够被证伪。

人们对航空事故原因的认知是经过很长历史演变的，比如早年的“慕尼黑空难”，德国调查当局就将一切罪责归咎在机长身上，甚至还让他锒铛入狱。美国也是在“大峡谷撞机空难”后慢慢认识到，导致空难的原因往往不是单一的，随后就对这些造成事故的因素、事件之间的逻辑关系，谁的“贡献”更大有了更多认识。比如之前基于Reason的瑞士奶酪模型，认为事故是“事件链”的时间线性关系，之后又提出首要原因和次要原因的说法， 还有按“贡献度”排序的；直到现在的用系统论（Systems theory）作为指导思想，将事故的所有参与方作为整体系统来看待和分析。

下面非常浅显地介绍几种，目前在航空安全领域常用的分析理论方法。事故报告里一般不会提到使用了那种归因分析方法，但是读报告的时候还是能隐约感觉的到调查员使用了哪种分析方法的。

• 事件与肇因分析法（ECFA） 事件与肇因分析法Events and Causal Factors Analysis（ECFA）是通过系统地识别和分析事故发生的关键事件及其因果关系，以帮助确定事故发生的根本原因（Root Cause，别怀疑真的是这个英文词）。它不仅关注直接的事故事件，还强调深入分析各种潜在的系统和人的因素。调查时会使用因果关系图（Causal Factor Diagram）以直观分析各个因素和事故结果之间的关系。可以发现这个分析方法更多基于因果律和时间关系，是属于比较线性的分析方式。
• 事件联系网（ELAN） 事件联系网Events Link Analysis Network（ELAN）是把事故中的各类“事件（event）”做成节点，把它们之间的关系（因果、信息传递、资源依赖、时间重叠等）做成链路，用网络视角揭示多线并发与交叉依赖，从而找出“关键中枢事件”、“桥接事件”和脆弱环节。这个做法在航空这类复杂系统的事故复盘里尤其有用。做ELAN分析时需要计算中心事件概率、链接关系和同类事件的聚集性等等。很多时候，ELAN会结合上面的ECFA一起使用，以弥补ECFA在网络结构上的不足。
• 故障树分析（FTA） 故障树分析Fault Tree Analysis（FTA）是一种自上而下、演绎式的安全和可靠性分析方法，可以展现各个事件（event）之间的逻辑关系，从而可以获知哪些事件的条件组合导致的最终事故，即计算最小割集（Minimum Cut Set）。做FTA分析要先定义核心事件（Top Event），然后把核心事件发生的条件用“与”、“或”这样的逻辑门分解成中间事件与基本事件，之后可进一步做最小割集和重要度分析。FTA借用了逻辑门电路里的符号，这样借助了工程学的方式更容易地做分析。 找了个例子，使用FTA分析印尼狮航610空难（波音737Max）的论文：Learning and unlearning from disasters: an analysis of the Virginia Tech, USA shooting and the Lion Air 610 Airline crash（http://dx.doi.org/10.20517/jsss.2019.02）
• 失效模式与影响分析 (FMEA/FMECA) 失效模式与影响分析Failure Modes and Effects Analysis（FMEA）本是一种自下而上、前瞻性的风险分析方法，本身是避免事故用的安全分析方法。逐一识别某个系统/部件/流程的可能失效模式，评估其造成的影响与原因，并提出预防、侦测和缓解措施。而FMECA就等于FMEA+ 关键度（Criticality）分析，即做完FMEA后，再用定性或定量的方法判定哪些失效最关键、最该优先处理。这种分析方法用于事故后的调查也是可以的，可以根据计算出的风险优先指数（RPN，Risk Priority Number）获知哪个因素对事故的“贡献度”最大。在实践中，这个分析方法最好与其他方法，比如FMEA、FTA和蝶形图结合起来使用。
• 蝶形图分析法 Bowtie Analysis 蝶形图是之前在美国军队中使用的分析法，它将核心事件放在中间，左侧放置威胁（起因）和预防性屏障，右侧是降低后果的屏障和后果。蝶形图可以很好地展示核心事件的促发因素和缓解可能性，对后期安全管理有很大帮助。不过蝶形图的限制性太明显了，无法展示事件的逻辑关系，而且是依赖因果律的线性分析。很多时候必须结合其他分析方法一起才行。 Maja Hross等人使用蝶形图和系统论分析法（STAMP-CAST）分析了康姆航空5191号事故，是个非常好的实例。其中非常好地展现了如何用蝶形图做事故分析：Comparing Linear and System-Theoretic Risk Models in Aviation: Insights from the Comair 5191 Accident（https://commons.erau.edu/db-srs/2024/poster-session-one/26/）
• 系统论分析肇因STAMP- CAST (Causal Analysis using Systems Theory) 系统论事故模型和处理（STAMP，System-Theoretic Accident Model and Processes），利用系统论和控制论的思想把“事故”看成系统控制失效，即安全是因为能够正确指定和执行约束的结果。这种分析方法里将所有参与方，组织、人、硬件、软件和环境都成为了控制体系中的一环；当组织—人—软件—硬件—环境这套分层控制结构未能有效实施或反馈这些约束，就可能出现事故。它强调信息反馈、心智模型、组织与监管层面的作用，不把事故等同于简单的“事件链”。是目前新兴且主流事故调查都在使用的分析方法。使用系统论分析（CAST，Causal Analysis using Systems Theory）是基于 STAMP 的事后因果分析流程：不追责个人，而是找出为何安全约束没有被正确制定、传达和执行，据此提出可以改变系统设计与运行的对策。 一些实例：使用STAMP-CAST分析方法复盘”特内里费跑道入侵“事件https://www.youtube.com/watch?v=A-DpxcpFk4A。还有使用CAST方法分析韩亚航空214号事故： 可以说STAMP-CAST是现在航空安全管理体系（SMS）的核心思想，即将所有参与方按照系统整体管理，而不是头痛医头脚痛医脚，也是系统论和控制论在社会管理中的成功应用。
• 功能共振分析法 Functional Resonance Analysis Method（FRAM） 功能共振分析法（FRAM）是 Erik Hollnagel 提出的系统安全/韧性工程方法。它把系统看成由许多有“功能”的个体元素（人、机、软件、规则的活动单元）组成，这些功能会在日常产生正常但不可避免的变异。当多处变异耦合并“共振”时，就可能放大成事件；反之也能解释为什么平时大多“无事发生”，或阻止了特定事故的方式。FRAM是一种很新的分析方法，用来做航空事故调查还不多，但是已经用在了航空安全管理中，可以有效避免事故的发生。

现在横向比较一下这些分析方法在事故调查中的优缺点，这就解释了为什么在实际事故分析时，要结合多个分析方法一起用了：

方法	优势	局限性
事件肇因分析（ECFA）	上手快、直观、方便对外沟通	易简化成“单线链条”，对并发与组织层作用表达弱
事件联系网（ELAN）	揭示跨事件耦合和信息流断点	模型搭建与编码要求高；关系类型（因果/并发/信息）若不区分会误判
故障树（FTA）	逻辑结构清晰；便于定量/半定量分析	时间/反馈表达弱；共因失效需显式建模；易过度“电路化”
FMEA/FMECA	支持维护/设计改进，并能与SMS形成闭环	容易被风险优先级指数误导（因为是乘积关系）；对场景与耦合的关系表达弱
蝶形图	一图讲清预防–缓解逻辑，便于责任落实	静态；屏障有效性常被“理想化”；需与证据/数据校准
系统论STAMP-CAST	把组织、监管、自动化、人因放进同一系统中	学习曲线高；证据组织耗时；输出偏确定性
功能共振（FRAM）	能够解释“成功与失败同源”；适合飞行流程的优化	抽象度高、依赖专家建模；可量化性弱

当然了，还可以有排除法，就像阿瑟·柯南道尔在小说《四签名》中借福尔摩斯之口说出：

排除一切不可能，哪怕最后多么不可思议，那个必然是真相。
When you have eliminated the impossibles, whatever remains, however improbable, must be the truth.

如果一切都是正常的，事故突然发生，一定有什么地方不正常，因此只需要一项项排除，没能排除掉的就一定是原因了。例如环球航空800号空难事故，事故报告非常厚，里面主要都是在排除掉常见的不正常项，并评估对事故的影响，甚至连传言的被美海军导弹击中的说法，在报告里都有论证和阐述。因此，那场任何方面都“正常”的事故，那个没有明说的“不正常”可能正是真相。

事故报告

调查的最终结果是以事故报告的书面形式呈现和公布的。除了最终报告以外，还有初步报告（Preliminary report）、事实性报告（Factual Report）、以及数据报告。实际上在调查开始后NTSB会为每一起事故，建立一个案卷（Docket），并有一个唯一的识别码。随着调查的进行，所有已经确认的事实证据，会在委员会的授权下放入这个案卷里。根据法规的规定，这些是需要公开的，所以很多正在调查的事故的案卷，现在也是可以看到的，不过不是最终版本。查询NTSB的案卷地址：https://www.ntsb.gov/Pages/AviationQueryv2.aspx

报告的写作格式

航空器事故报告的写作遵循“F.A.C”格式：Facts（事实）、Analysis（分析）、Conclusions（结论）。调查组会在事故后10-30天（大型事故可能2-3个月）发布初步报告（Preliminary Report），用很少的篇幅记录事故发生的时间、地点、机型、伤亡、气象条件和已知事实，不做判断和分析；随后在资料齐备后形成事实报告（Factual Report），逐章呈现现场、残骸、系统/发动机、飞行运行、人的因素、ATC、气象、FDR、CVR、目击者报告等客观信息与图表（如参数曲线、残骸分布图、照片），在撰写中还会加入历次听证会上获知的信息。事实报告里是绝对不能包含任何分析判断，只能阐述已知的信息和对数据的解读。数据报告是早先的遗留，如果需要大量数据分析，则可以单独作为附件发布数据报告，现在往往会作为最终报告的附件出现。

在此基础上，调查组再撰写分析章节：围绕关键问题构建时间线与证据链，根据情况灵活使用ECFA、故障树、碟形图、CAST、FRAM等分析方法，说明为何排除某个假设、为何采信某些证据；对人的因素与组织背景等单设小节，使用HFACS方法深入研究事故中的人的因素、训练问题、监管缺失、监管边界不清等问题。

结论部分会先阐述有哪些调查发现（Findings），用一条条可证实的结论句，把事实章节里的证据提炼成判断性的要点，用于支撑后面的Probable Cause（可能的原因）和安全建议。这里既包括已经发生了或存在的发现，也包括没有发生或不相关的排除性结论；这样就可以得出“可能的原因（Probable Cause）”了，这段用简洁、可追溯的措辞表述已查明的可能原因，往往只有一小段话；之后给出面向飞行员组织、监管方、制造商或运营商的安全建议（Safety Recommendations），因为NTSB不是执法机构，所以只能给出建议，而无权定责，定责是监管机构的工作范畴。安全建议并不是必需的，但一旦提出必须是可量化、可执行且有明确建议主体的。最后是附件，附件会包含必要的数据，比如驾驶舱语音记录的逐字稿、飞行数据记录的参数曲线、必要的航图等等。其他一些重要性稍差的会放到案卷（Docket）里，不会出现在报告里。

比如“科比事故“的可能原因”：

美国国家交通安全委员会确定，此次事故的可能原因是飞行员决定在目视飞行规则下继续飞行进入仪表气象条件，这导致了飞行员的空间定向失调并失去控制。对事故的贡献因素还有飞行员可能自我施加的压力，和飞行员的计划”持续性偏见“（一种心理偏见，即使周围环境不断改变，依旧维持原计划），这对他的决策产生了负面影响；以及岛屿快递直升机公司对其安全管理流程的审查和监督不足。

报告的写作上要求使用中性语言，且要做到可验证可引用，使用统一单位与时间基准（常用UTC），图表要能复现（这也是网上那么多用模拟飞行重建事故现场的基础）；每一处推论都能与事实章节的原始证据挂钩，要确保公众与同行可重复检查和监督。

报告的发布与公开

最终报告形成后还要经过参与方审阅（party review）与法律和技术合规检查，进一步厘清事实部分和判断意见。NTSB在经过高层委员会投票后，最终对外公开发布。

按照801部和845部的要求，NTSB的任何调查报告和数据都需要向公众公开发布。新的要求还加上了自 2024 年 5 月 16 日起 24 个月内，NTSB 必须将所有公共案卷记录（不论创建日期）以可检索数据库形式上网公开。不过驾驶舱记录的音频不能公开，可以公开逐字稿，还有任何涉及隐私和与调查无关的人名、地址、面孔、联系方式、组织名都要隐去；如果是涉及国外的事故，要等国外机构发布最终报告两年后，NTSB才会公开。

结语

飞行作为最安全的出行方式，其安全性是建立在无数人员努力的基础上。根据波音公司的统计，近20年来商业航班事故率显著降低，对航空安全的担忧不再是阻碍人们出行选择的理由。

如果将事故调查看成是警察抓坏人，那么安全管理体系的作用就相当于维护地区长治久安的公众力量，而这些光靠警察可就不够了。要想让航空保持安全，需要整个行业甚至全社会都要参与其中。事故调查只是这个系统的反馈部分和亡羊补牢，而未雨绸缪才是保障航空安全的持续动力。有关航空安全管理系统（SMS）我会找时间写出来，如果订阅和打赏的人足够多，那我就尽快动笔哈哈哈。

声明：此文使用了生成式AI（ChatGPT-5）查询资料，作者对所有AI查询的资料均做了事实核查，和人工校验检查。