破除误解
第一个误解，是以为事故的原因是"某个零件坏了"或"某个人搞错了"。现代失效分析的基本结论恰恰相反：灾难性事故几乎从不是单一原因造成的，而是一条由设计缺陷、制造偏差、维护疏漏、组织压力与环境偶合共同串起的链条。调查员的工作不是找到"罪魁祸首"，而是重建这条链条的每一个环节——因为切断其中任何一环，事故都不会发生。
第二个误解，是以为事故调查的目的是追责。以民航为代表的专业调查体系恰恰刻意把"查明原因"与"追究责任"分开：国际民航组织公约附件 13 明确规定，事故调查的唯一目的是预防未来事故，而非分摊过失或责任。正是这条原则，让目击者敢说实话、让当事机构愿意交出数据，也让航空成为失效分析最成熟的领域。
第三个误解，是以为工程进步靠"更聪明的设计"。工程史上反复出现的真相是：我们对结构、材料与系统最深刻的认识，往往来自那些失败得最彻底的案例。彗星号教会航空工业什么是金属疲劳，塔科马桥教会土木工程师什么是空气动力学，挑战者号教会系统工程师什么是组织失效。每一次灾难都极其昂贵，失效分析的意义在于让这笔学费不被浪费。
历史脉络：从水槽里的机身到联邦调查局
失效分析成为一门独立学科，通常以 1954 年的彗星号（de Havilland Comet）事件为起点。彗星是世界上第一种投入商业运营的喷气式客机，1952 年 5 月由英国海外航空公司（BOAC）首航，巡航高度与速度几乎是螺旋桨客机的两倍。但 1954 年 1 月 10 日，BOAC 781 号班机从罗马起飞爬升时在地中海上空解体，35 人遇难；同年 4 月 8 日，南非航空 201 号班机以几乎相同的方式坠毁，21 人遇难。全机队停飞后，英国皇家航空研究院（RAE）的范堡罗基地进行了一项前所未有的实验：把一架完整的彗星机身浸入特制水槽，用水反复加压与泄压，模拟一次次起降中座舱增压的循环载荷。实验在相当于数千次飞行后复现了灾难——机身上裂开一条两米多长的裂缝，起点是舷窗附近的方角。调查结论改写了航空工程：反复增压循环造成的金属疲劳，会在应力集中的尖角处萌生裂纹并逐次扩展，而当时的适航标准完全没有要求考虑这种失效模式。此后，客机舷窗变圆、结构要做全尺寸疲劳试验、"损伤容限"成为设计规范——今天每一架喷气客机的骨架里，都刻着彗星号的教训。
几乎同一思路主导了 1940 年塔科马海峡大桥的调查。这座 1940 年 7 月 1 日通车的悬索桥从建成起就在风中大幅起伏，被当地人戏称为"跳动的格蒂"（Galloping Gertie）；同年 11 月 7 日，在并不极端的风速下，桥面从竖向弯曲转为剧烈的扭转振动，主跨断裂坠入海峡——全过程被胶片记录，所幸无人死亡。联邦工程署的调查委员会把原因指向一种当时桥梁工程几乎一无所知的机制：气动弹性失稳（颤振）。设计师莱昂·莫伊塞夫为追求纤细优雅采用了浅板梁而非透风的桁架，使桥面成了一个巨大的机翼截面；设计前甚至没有做过风洞试验。塔科马桥之后，风洞试验成为大跨度桥梁设计的强制环节，桥梁空气动力学由此诞生。
核心机制：证据链、物理分析与组织层因
失效分析的方法论可以概括为三个层次。物证重建是第一层：从残骸的断口形貌（疲劳条带、解理面、剪切唇）反推裂纹的起始点与扩展路径，从残骸的分布反推解体的顺序。彗星号调查中，从海底捞起的残骸显示断裂始于机顶的无线电天线窗口；挑战者号调查中，右侧固体助推器上的异常烟羽照片与打捞起的 O 型环残段，锁定了失效的接插件位置。
实验复现是第二层：怀疑的机制必须能在受控条件下重现。范堡罗的水槽试验是范例；1986 年挑战者号罗杰斯委员会的听证会上，物理学家费曼用一杯冰水和一段 O 型环橡胶样品做了著名的现场演示——在低温下橡胶失去弹性，无法及时回弹封住接缝。发射当天清晨发射台温度低至零下数摄氏度，而此前任何一次发射的 O 型环温度都不低于 12 摄氏度。一个成本可以忽略的实验，击穿了所有"没有数据证明不安全"的辩词。
组织层因是第三层，也是现代失效分析与单纯断口金相学的分界线。挑战者号的物理原因是 O 型环，但罗杰斯委员会的报告用同等篇幅写了决策过程：发射前夜的电话会议上，承包商莫顿·塞奥科尔的工程师曾以 53 华氏度（约 12 摄氏度）为历史最低温度线反对发射，管理层在 NASA 的压力下推翻了自己的工程师。委员会由此提出一个影响深远的概念：失效不仅是零件的失效，也是沟通、激励与决策结构的失效。
2018—2019 年的两起波音 737 MAX 空难（2018 年 10 月 29 日狮航 610 航班、2019 年 3 月 10 日埃塞航 302 航班，共 346 人遇难）把这套三层分析推到了软件时代。物理层：机动特性增强系统（MCAS）只读取单侧迎角传感器，传感器一旦报出错误的大迎角，系统便反复自动压机头；实验与仿真层：调查者重建了飞行员在多重告警下识别与改出的不可能时间窗；组织层：为与空客 A320neo 竞争并避免额外模拟机训练成本，MCAS 在飞行员手册中被刻意淡化，而 FAA 把大量审定工作授权给波音自己完成。全球停飞从 2019 年 3 月持续到 2020 年 11 月 FAA 解除停飞令，波音 2021 年 1 月与美国司法部达成延期起诉协议，支付逾 25 亿美元。国会调查报告的措辞值得记住：这不是一次技术故障，而是"设计、审定与监管的可怕合流"。
争议与边界：不归咎原则的代价
失效分析最大的制度争议，是"不归咎"（just culture）原则与司法追责之间的张力。调查需要当事人说出全部真相，这要求某种程度的免责保护；但受害者家属与公众要求有人为死亡负责，检察机关需要调查证据来起诉。不同法域在此反复拉锯：有的国家司法机关可以在调查进行时冻结证据，导致技术调查与刑事侦查互相污染证据链。实践中的妥协是技术上的"先原因后责任"与程序上的信息隔离，但这条界线从未稳定——737 MAX 案中，正是刑事诉讼的压力逼出了内部通信记录，而这些记录恰恰是技术调查迟迟未能获得的关键证据。
第二个边界是统计上的小数难题：商业航空的事故率低到每百万架次不足一起，任何单一机型的事故样本都极小，"两起相似事故"是巧合还是系统性缺陷，往往要靠工程判断而非统计显著性。狮航空难后，把 737 MAX 归因于飞行员训练不足曾是主流声音；埃塞航第二起空难发生后，全球停飞才成为共识——换言之，现有的安全体系有时需要第二起事故来确认第一起事故的含义。这是失效分析最沉重的局限：它的样本以生命计价。
第三个边界更隐蔽：后见之明偏差。心理学研究表明，知道结局的人回顾事件时，会系统性地高估当事人在事前"本应预见"的程度——所谓"蠕变的决定论"。事故调查报告天然带着这种偏差：因果链在事后清晰可见，但事前散落在海量信号中的某条告警，与成千上万条最终被证明无关紧要的告警混在一起，并无显著区别。好的失效分析必须重建"事前可见的世界"——用当时可得的信息、当时的规范与当时的组织激励去评判决策，而不是用事故结果去倒推当事人的愚蠢。做不到这一点的调查，只会制造替罪羊，而不会制造教训。
为什么今天仍然重要
工程系统正在变得越来越软件化、越来越集成，失效的形态也随之改变：从看得见的裂纹，变成看不见的软件逻辑、传感器假设与人机交互界面。MCAS 的失效不是任何一块金属断了，而是一个设计假设——"飞行员能在数秒内识别并抑制系统误动作"——在真实驾驶舱里不成立。与此同时，新领域正在从零学习老行业的教训：自动驾驶汽车的每一起致命事故调查，都在重复航空业七十年前走过的路——建立独立调查机构、区分原因与责任、把个案上升为系统规则。失效分析提醒所有工程师一件事：你无法设计一个永不失败的系统，你只能设计一个失败后能被读懂、被修复、且不让同样的失败发生两次的行业。
跨域连接
- 金属与合金：金属疲劳是材料科学最反直觉的现象之一——应力远低于静强度极限，循环载荷却能让裂纹萌生并逐次扩展。彗星号调查把"应力集中""裂纹扩展速率"这些概念从实验室带进了适航规章；今天航空铝锂合金与钛合金的选型、寿命管理与无损检测周期，全部由疲劳与断裂力学的定量模型决定。失效分析是材料性能数据最残酷也最真实的来源。
- 软件测试：MCAS 事件是软件工程的经典反面教材：安全关键代码依赖单一传感器输入、缺乏交叉校验，而系统级测试场景没有覆盖传感器故障叠加飞行员工作负荷的组合。软件测试中的故障注入、边界条件与形式化验证，本质上是把失效分析的"事故复现"前移到代码发布之前——在软件吞噬一切安全关键系统的时代，这两个学科正在合流。
- 侵权与责任：事故调查报告同时是技术文献与法律弹药。产品责任法上的设计缺陷、警示缺陷与制造缺陷三分，正是从失效分析的原因分类借来的骨架；而"调查不归咎"原则与侵权诉讼的证据需求之间的冲突，构成了技术事实与法律事实之间最持久的界面问题。彗星号时代的赔偿按个案谈判，737 MAX 时代的赔偿以十亿美元计——责任制度的演化，本身就是失效分析的社会放大器。
- 科学技术与社会：STS 研究把事故调查当作观察技术社会的窗口：什么被算作"原因"，从来不仅是技术问题，也是制度选择。把塔科马桥归因于"设计师大胆"，还是归因于"行业规范缺失"，决定了教训写进教科书的方式。罗杰斯委员会对 NASA"自满文化"的批评，则展示了调查如何成为对一个技术组织的民族志研究。
- 风险感知与宏观决策：公众对风险的恐惧与客观概率之间的系统性偏差，塑造了事故之后的监管强度。两起 737 MAX 空难导致的全球停飞波及数千架飞机，其决策依据更多是信任崩塌而非精算的风险数字——理解风险感知，才能理解为什么有些行业"一起事故改变一切"，而另一些行业年年死人却少有变革。
参考文献
- Report of the Court of Inquiry into the Accidents to Comet G-ALYP on 10th January, 1954 and Comet G-ALYY on 8th April, 1954. UK Ministry of Transport and Civil Aviation, 1955.
- Report of the Presidential Commission on the Space Shuttle Challenger Accident (Rogers Commission Report). U.S. Government Printing Office, 1986.
- U.S. House Committee on Transportation and Infrastructure. Final Committee Report: The Design, Development & Certification of the Boeing 737 MAX. 2020.
- National Transportation Safety Board. Safety Recommendation Report A-19-10/ASR-19-01: Assumptions Used in the Safety Assessment Process and the Effects of Multiple Alerts and Indications on Pilot Performance. 2019.
延伸阅读
- Petroski, Henry. To Engineer Is Human: The Role of Failure in Successful Design. St. Martin's Press, 1985.
- Vaughan, Diane. The Challenger Launch Decision: Risky Technology, Culture, and Deviance at NASA. University of Chicago Press, 1996.
- Langewiesche, William. Fly by Wire: The Geese, the Glide, the Miracle on the Hudson. Farrar, Straus and Giroux, 2009.
- Robison, Peter. Flying Blind: The 737 MAX Tragedy and the Fall of Boeing. Doubleday, 2021.