驾驶舱里的权力革命

“机长，我们真的快没油了。”

这是1978年12月28日联合航空173航班驾驶舱录音里的一句。把它和同一个飞行工程师早先说的另一句话放在一起，差距才显出来。早先，他说的是：“我想我们得开始考虑燃油了。”后来，他报了具体数字。再后来，才是那句“真的快没油了”。

话越说越急，却始终没变成一句：“我们必须现在降落。”这中间差的不是音量，不是英语水平，而是驾驶舱里谁的话算数。三十年后，当独立调查机构开始发愁飞行控制代码和算法偏置的时候，这种原始故障几乎像上个世纪的遗物。

可它没有消失。1978年波特兰的这段录音，把问题原样留在了磁带上。这一章要做的，就是拆开那段录音，再顺着它往后走，看航空界如何发现一个比发动机更古老的故障：驾驶舱里的权力结构。二十世纪七十年代初，喷气机已经越过一道技术拐点。波音747、麦道DC-10、洛克希德L-1011把越洋飞行变成密集班次。驾驶舱里的仪表从几只圆形表盘增加到几十只，自动驾驶、惯性导航、气象雷达逐一进舱。

飞行员的主要动作，从“把着驾驶杆”变成了“监控系统”。但训练手册里的社交关系几乎原封不动：机长掌权，副驾驶是学徒，飞行工程师管设备。这种结构从军用轰炸机时代继承下来，适合一个命令必须立即执行的战场，却不适合一个需要多人同时处理复杂信息的现代座舱。技术往前跑了三十年，驾驶舱文化还停在螺旋桨年代。

1972年12月29日，美国东方航空401号航班，洛克希德L-1011，从纽约肯尼迪飞往迈阿密。夜航下降准备着陆，前起落架指示灯没有亮。机组决定进入等待航线，检查那颗灯泡。自动驾驶仪在切换中被解除，飞机开始缓缓下降。驾驶舱里三个人的注意力，都放在那颗氖气灯泡上——拆开、装上、调亮。塔台问，机长答“正在检查”。塔台回“明白”。几分钟后，飞机坠入迈阿密西北的沼泽，一百零一人遇难。

调查显示，飞机在约三分钟内从两千英尺掉到地面，高度表指针在动，警告声在响，但没有人看见。这件事后来常被引用为“机组疏忽”。

但1980年代以后再听那段录音，听出的已不是懒散，而是结构。驾驶舱里不是没有人看高度，而是没有人被授权打断正在进行的灯泡检查。副驾驶不敢说“机长，飞机在下坠”，因为当时的角色分工里，高度监控是谁的职责并不清楚。那颗灯泡是机长关注的故障，副驾驶的主要任务在无线电和程序上，飞行工程师在检查面板。三个人都认为有别人在看高度，或者认为看高度不是自己的事。这不是个人的愚蠢，是一套没有备份的权力结构。

像一家公司里，老总说“我拍板快，出了问题我负责”。真出问题，通常不是老总一个人坐在办公桌前承担责任，而是整架飞机。驾驶舱的特殊性在于，里面的错误有即时后果，不能像公司里那样用年终复盘消化。1972年的迈阿密沼泽没有给复盘机会。

两年后，另一架飞机在跑道上撞出更大的坑。1977年3月27日，加那利群岛特内里费洛罗斯机场，大雾。荷兰皇家航空和泛美两架波音747都因大加那利岛机场关闭而改降此处。塔台指挥荷航滑行，泛美滑行。无线电通话在雾中被干扰。

荷航机长在跑道头等待后开始推杆起飞。副驾驶对“我们已经得到起飞许可了吗”的迟疑，没有变成明确阻止。泛美机组在无线电里说自己还在跑道上，但通话被遮蔽，塔台也没听清。荷航747在跑道上加速，撞上泛美机身，五百八十三人死亡。

那场事故最常被归咎于大雾和通信干扰。但后来的分析也注意到荷航驾驶舱里的等级。机长是公司资深教员，副驾驶相对年轻。他在关键时刻的疑问用了一种软化的表达，软到无法对抗一个正在进行的起飞动作。那个年代的驾驶舱文化里，副驾驶被训练成“提醒而不挑战”。提醒就是尽到义务，挑战则被认为是越权。这种文化没有写进任何一本操作手册，却写在每个飞行员的职业本能里。

当一个副驾驶面对一位年资、技术都高于自己的教员级机长，他敢把脚踩下去说“我不准起飞”吗？多数人只敢说：“机长，我们是不是再确认一下？”

那个问号，就是生命的缝隙。特内里费跑道上的雾，让这个问号变成了永久的回声。再过一年，联合航空173把同一件事搬到了燃油上。

1978年12月28日，联合航空173航班，道格拉斯DC-8，从纽约飞往波特兰。起落架放下后，一个指示灯没有正常点亮。机组进入等待航线处理问题，机长反复调整航线，飞行工程师一遍遍看燃油表。NTSB后来公开的驾驶舱录音里，飞行工程师的提醒强度逐级上升：从“我们需要考虑燃油”，到报出具体剩余数字，最后到“我们真的快没油了”。机长始终认为可以处理完问题再落地。飞机最终在波特兰东南一处树林里失速坠毁，十人遇难。

报告里写的是：机组未能监控燃油状态并计算可用时间。这是标准结论。但报告还有一行字，后来被推广者反复引用：座舱内缺少有效的相互监督，飞行工程师的提醒没有上升到“足以改变决策”的层级。

什么叫“足以改变决策”？翻译成白话：你说的话，得真能改变那个手握决定权的人。这跟技术无关，跟权力有关。

三起事故，六年内，三个驾驶舱。不是某一个机长坏，也不是某一个副驾驶蠢。

东方航空401在检查一个真实故障，特内里费的荷航机长急着在天黑前完成起飞，联合航空173的机长在等待一个没有意义的维修指示——每件事背后都有可以理解的压力。但他们都困在同一种结构里：决策权锁死在最上面一层，信息要爬上去才能起作用，而爬不上去的信息，就跟没发生一样。

这个结构，空难调查者后来给了名字。先叫“机长独断”，后来叫“机体资源管理失败”，再简化成“机组资源管理”。但1978年那会儿，这个词还不存在。存在的，只有波特兰树林里十具遗体和一台烧变形的DC-8。

正是在1978年联合航空173事故之后，美国国家航空航天局开始认真介入。1979年秋天，NASA艾姆斯研究中心组织了一场“机组资源管理”工作坊。参加者不是寻常的安全检查员，而是航空公司培训主管、心理学家、前飞行员、人因工程研究者。他们带着录音、问卷和事故报告走进会议室，把“机长过度控制航班”当作一个可训练的失效模式来处理。

早期课程名字不叫机组资源管理，有“驾驶舱资源管理”，也有“机组协调训练”。叫法不同，内核一样：在紧急状态下，驾驶舱应该像一个临时工作组，而不是一架竖着军衔的指挥塔。

这场工作坊的气氛并不轻松。发下去的材料里有几段事故录音，让坐着的资深机长很不舒服。一些人抱着胳膊，身子后仰，偶有人中途离席。有人当面说：“你们这是教副驾驶不尊重机长。”还有人把课程称作“飞行心理学”，意思是这东西可有可无，不如多排几个小时模拟机。

不全是借口。对那个年代从空军转来的机长来说，驾驶舱权威和飞机控制权是一回事。分权听起来像剥夺。他们经历过单座战斗机的起飞—作战—返航，也经历过螺旋桨客机那个仪表全靠手调的时代。在他们看来，驾驶舱需要的是决断力，不是座谈会。

联合航空173的事故录音被拿来做训练教材时，一些机长听了一半就要求关掉。他们听到的不是“信息没有传上去”，而是“那个机长太软，没把程序走完”。文化革命的艰难，就在这种半自发的误读里。

可调查者手里还攥着一个更硬的东西：数据。1980年代中后期，NASA和几家大学对人类失误的研究开始跨越航空圈，进入医疗、核电、海上平台。研究数据反复显示：在复杂系统中，多数严重事故不是单个设备故障导致，而是多个“小的偏常”在团队内部没有被看见或没有被传递，最终线性叠加成灾难。

换句话说，机组资源管理不是在削弱机长权威，是在给机长增加备份。用公司作比：一个信息透明的团队，不是人人平等，而是让最靠近问题的人有渠道把问题摆放上桌。这跟管理教科书里说的“扁平化”不是一回事，它更像是给决策者增加传感器。传感器不够多，信息就会死在下层。

这个道理，在1989年夏天被一场灾难验证。1989年7月19日下午，联合航空232航班从丹佛起飞，目的地芝加哥，机型麦克唐纳-道格拉斯DC-10，机上二百九十六人。飞机爬升到三万七千英尺后，尾部发动机的风扇盘发生灾难性破裂，碎片切断三条独立的液压管路。

三套液压系统同时失去压力，所有常规控制面——副翼、升降舵、方向舵——全部失效。这个故障在训练手册里没有模拟过。DC-10驾驶舱里没有任何单一动作可以纠正它。

海恩斯机长后来反复说：不是我在飞那架飞机，是我们四个人在飞。驾驶舱里除了他和副驾驶、飞行工程师，还多了一位恰好以乘客身份搭乘这架航班的美联航DC-10飞行教员丹尼·费奇。海恩斯把费奇叫进驾驶舱，请他手动控制油门杆。两人一左一右，用发动机推力差调整方向，借着风向，在苏城机场跑道头迫降。飞机解体、起火，但一百八十四人活了下来。

NTSB在1990年的事故报告中罕见地加入一节，专门讨论“飞行机组如何组织应急资源”。报告没有把生还奇迹归为海恩斯一个人的技术。恰恰相反，报告写得很清楚：这位机长通过分派任务、征询意见、让副驾驶尝试非标准操作，创建了一个“在严重异常状态下维持运转的协作结构”。机长知道哪些事情自己无法单独完成，也知道该把哪只手放到哪个推杆上。

苏城证明的不是“只要好好聊就能救飞机”。它证明的是，当全部技术备份都打光之后，驾驶舱里还可以用组织资源兜底。

这份报告让很多航空公司的老派机长第一次无话可说。不是因为理论变温和了，是因为一个真实的人，在那个下午，用分权的方式救回了一百八十四个人。苏城之后，机组资源管理训练在美国和欧洲加速铺开。

进入1990年代，课程内容开始从“人际态度”向“威胁与差错管理”演化。所谓威胁，指外部环境——天气、地形、管制冲突；所谓差错，指机组自身偏差——漏检、误判、错误操作。课程让机组在航前简令中先想清楚：今天这条航线，最大的威胁可能是什么？哪一刻、哪件事最容易让人犯错？一旦出现差错，由谁先发现、怎么纠正、节奏多快？这套逻辑后来被国际民航组织采纳，写进训练标准。

可同样是这套标准，到了亚洲和中东，出现了新的摩擦面。这并非陈词滥调的“西方理论不适用”。

现实情况更微妙：在韩国、日本、中东一些航空公司里，副驾驶对机长的敬畏不只是一条公司规定，它连着语言里敬语、等级称谓和餐桌上谁先动筷子的整套秩序。你可以在模拟机里教一个年轻副驾驶说“机长，我必须现在接管”，但出了模拟舱，他回到的那个文化场里，这句话的社交成本高到让他难以跨过。

1990年代末，韩国航空业发生了一系列事故。调查中反复出现一个细节：副驾驶在关键时刻使用了模糊、退让、让听者自己去推断的说法，比如“机长，或许我们需要看看天气”，而不是“天气已低于着陆标准”。这种措辞不是偷懒，而是一种经过长期社会训练后自动生成的风险控制策略——先把信息递过去，但不要挑战递话人和受话人之间的地位差。等到信息被过滤掉之后，飞机已经进入一个没人来得及纠正的状态。

1997年关岛的一场夜航事故把这个问题钉在台面上。调查人员从驾驶舱录音里听出，机长在下降过程中对仪表读数的判断已经偏离跑道入口，而副驾驶和飞行工程师并非没有察觉到异常。

他们察觉到了，却没有人用一句能让机长立刻改变下降动作的话把判断顶上去。录音里的提醒是存在的，但它像一根软绳，被用来拉一辆已经滑下坡的车。后来大韩航空对训练语言和驾驶舱沟通做了外科手术式调整，其中一项是要求飞行机组在驾驶舱内使用英语完成标准喊话和关键喊话，试图隔断韩语敬语带来的社交克制。英语不是因为他们觉得英语更安全，而是因为它在一代受训飞行员脑子里还没有和“冒犯长辈”绑定在一起。

中东某些公司的培训师也发现，在本国文化语境中，高阶副驾驶对机长的“建议”往往被视作不敬，而年轻机械工程师对燃油告急的表述可能被压缩成一句“油量不多”。这套文化没有写进任何公司的运行手册，但它会出现在录音里，出现在模拟机里，也出现在真实航班上。机组资源管理在这里遇见的，不只是航空文化，是更深处的社会组织方式。这又把本书的一个老问题推到台前：责任沉降。

空难发生后，调查结论最容易被接受的一种说法，是把问题压到某个飞行员身上——“他未能果断决策”“他错过关键信息”“他违反标准程序”。这样写，最简单，也最能让组织继续运转。机组资源管理恰好是反过来的：它试图把责任从单一个体身上剥离，放回制度与互动结构里。一个正常的设计，应该是让错误在发生之前被多人拦截，而不是在发生后找到谁来负责。这个转向，等于要航空公司在训练合同、晋升体系和事故报告中重新定义“谁是责任人”。

难度不言自明。责任沉降的另一面，是组织在事后更愿意成立一个高效的善后小组，而不是高效地改变驾驶舱文化。1992年11月底，广州成立了空难事故善后处理小组，由广东省副省长负责，专人统筹。这类组织的存在，本身就说明了一件事：灾难之后，责任需要有人承接。

但善后承接的是赔偿、接待、维安，不必然承接驾驶舱里的权力结构。它可以把遇难者家属安置得再妥当，也没法让下一班飞机的副驾驶在决断时刻多说出一个精确的词。那是另一套工作，需要更长时间。

这正是机组资源管理在非西方文化语境中推广受阻的真正含义。它从来不是一个训练包的问题。训练包可以翻译，幻灯片可以转成阿拉伯文、韩文、日文，但那种“你可以直接打断上级”的授权，很难被翻译。因为它涉及的不是词汇，而是一个人从小到大被教出来的位置感。苏城奇迹解决了一部分问题。

它证明在极端技术故障下，打破层级协作可以救回一百八十四人。美国联邦航空局和欧洲联合航空局很快把机组资源管理纳入训练要求。国际民航组织也把“机组协调”写进了附件六的推荐标准里。到1990年代中期，全球主要航空公司几乎都有一套名字里有“资源管理”的课程。这个势头是不可逆的。

但这不等于驾驶舱里的权力革命已经完成。恰恰相反，苏城确立的是一套协作模式的合法性，却没有回答协作模式在不同文化地基上能不能生根。一个接受西方CRM训练的韩国副驾驶，回到首尔基地后，可能依然会在登机口等机长先过去。一个在中东某公司受训的飞行工程师，可能依然会用“油量不多”来替代“我们现在必须降落”。

训练课程可以改变模拟舱里的录音，却很难改变机场食堂里的座次。而在这个尚未完全发酵的分裂之上，全球航空网络却正在以更快的速度合并。天空不再由各国各自单飞，而是由一套共享的航路、共享的通信频率、共享的适航标准连成整体。

驾驶舱里谁有权说话，是文化问题；空中谁按哪一套规矩飞，是更大的全球性问题。机组资源管理在是前哨战，它暴露了一条裂缝：人可以在同一个驾驶舱里打破等级，但在不同的文化之间，连“正常说话”都还没统一。这也不是纯粹的文化悲观。1990年代后期，一些亚洲航空公司的训练主管开始尝试把本地社会角色放进课程，而不是照搬美国教材。

他们在模拟机里设计一种场景：副驾驶必须先使用本地语气的敬语，再说出标准英语喊话。两种语言并行，让学员体会到不同沟通模式在同一秒里的冲突。有的机长起初不习惯，觉得这像是被分成两半，但几次模拟之后，他们会承认：在起落架灯不亮的那几分钟里，被分成两半比整架飞机掉进沼泽强。这说明，文化抵抗不是铁板一块。

它可以被一层层撬开，但撬开的工具必须比西方课本更耐心。它得承认一个简单的事实：一个社会用了几百年才让人学会怎么对权威说话，不可能靠四天课程改掉。这个事实，被一些急于推广CRM的航空公司忽略过，也被一些管理机构简化过。

回到历史里那三个驾驶舱。东方航空401的机组在迈阿密沼泽上空检查一个灯。特内里费的荷航副驾驶在雾里问了一句“我们有没有起飞许可”。联合航空173的飞行工程师在波特兰上空报了四次燃油。三次，他们都不缺看见问题的能力。缺的是让问题被听见的路径。CRM要修的，正是这一条路。它修的方式不是让副驾驶胆子大一点，而是把“说出真话”从个人道德问题变成制度设计问题。

这就是机长海恩斯在苏城做的。他没有把“你要敢说”压给谁，而是亲手安排了一个让每个人都知道自己哪句话说了算的结构。副驾驶知道他有责任尝试非标准操纵。飞行工程师知道他有责任盯着液压系统和发动机状态。空乘教员费奇知道他有责任接手两具油门杆。

但要把这个判断落进训练舱，比说出来更难。苏城之后，培训师不再把海恩斯当作特例来赞美，而是把他拆成一套可以重复的动作。驾驶舱录音里，海恩斯把费奇叫进驾驶舱，没有客套，也没有讨论资格，第一件事就是把油门杆交给他；他自己盯空速和航向，副驾驶继续尝试非标准操纵，飞行工程师按顺序报出液压和发动机参数。四个人各守一个边界，没有人抢方向盘，也没有人在旁边等命令。NTSB后来在报告里强调的，正是这种任务分工和持续意见交换。模拟机里反复放这一段，学员看到的不是某个天才机长，而是一个普通机长在极端条件下提前把协作动作做出来。

但这套动作一离开北美，很快碰到比驾驶舱更旧的墙。亚洲一些基地的模拟机里，CRM培训师最先看见的不是程序错误，而是身体语言。副驾驶念英语标准喊话时，词是准的，声音却先软下去半拍，像在等机长点头。机长坐着，副驾驶的肩会不自觉地收低。那半秒停顿，在波特兰录音里也出现过，只是从1978年一直延续到了模拟舱。培训师后来不再只讲“要敢说”，而是让副驾驶先习惯把手放在油门杆上，把“I have control, you have communication”说到不必看机长脸色。课程结束后，有培训师课后承认，最难教的不是英语词，而是让学员相信，这句话不会在降落后被算账。文化的抵抗，从来不在嘴上，而在这些半秒的犹豫和收起的肩膀里。

1992年11月底，广州成立了“11·24”空难事故善后处理小组广州办事处，由时任广东省副省长张高丽领导，陈开枝担任负责人。善后小组处理遇难者名单、赔偿谈判、家属接待，这些事必须在几天内完成，不能出错。

但它管不了下一班飞机里那个发现燃油不足的副驾驶，能不能把“真的快没油了”说成“我们必须现在降落”。调查员在残骸里看见金属疲劳，培训师在模拟舱里看见权力疲劳。两种疲劳不在同一时间尺度上，却可能指向同一次下坠。广州的善后小组可以把事故后的秩序安排得妥帖，却没法把驾驶舱里那句一直缺席的话安排进副驾驶嘴里。

这正是CRM尚未完成的部分：它已经证明，苏城式的协作能兜住技术全毁的飞机，却还没证明，这种协作能在每一种敬语、每一种长幼秩序和每一种面子里长出来。安全规则正在全球统一，但同一句标准喊话，在不同的文化地基上，依然可能落不下去。这层分裂比航路图更深，它藏在人从小学会说话的方式里。

海恩斯自己知道他没有责任一个人扛下全部决策。这个分工不是临时拼出来的，它需要提前练习过很多次，在每一场航前简令里就种下过种子。苏城只是让种子在极端条件下发了芽。正因如此，苏城的生还人数不能简单归因于“英雄机长”。这样的归因太省力，也太危险。

它会让公司继续等待下一个英雄，而不是继续训练每一个普通机组。而航空安全史一再告诉我们，真正的进步不来自英雄，来自普通人被放进一个能让他发挥判断力的结构里。CRM给这个结构起了名字，也给了它训练方法。

但结构本身要有效，还得继续穿过那些比技术更黏稠的东西：自尊、面子、敬语、长幼、被误读的忠诚。本章落在这里，不是要宣告一场文化革命已经胜利。它只是把一个事实摆上桌面：当飞行已经进入全球网络时代，驾驶舱里最先进的一台计算机，仍然不是自动驾驶仪，而是三个或四个人之间那种必须在两秒钟内建立起来的信任。而信任的语法，至今没有统一。有的地方说英语，有的地方说敬语，有的地方仍在用沉默表达保留意见。

飞机可以跨过国境线，但驾驶舱里的权力结构，还远没有跨过那条看不见的线。不过，苏城已经给了一个方向。海恩斯在事故后说过，他最大的幸运不是技术，而是那天坐在他身边的几个人都愿意并且能够把话说出来。这句话不复杂，但在航空史上，它比任何适航指令都更难执行。因为它要求改变的不只是手册，是人。