失效分析：从事故残骸中长出来的工程

破除误解#

历史脉络：从水槽里的机身到联邦调查局#

失效分析成为一门独立学科，通常以 1954 年的彗星号（de Havilland Comet）事件为起点。彗星是世界上第一种投入商业运营的喷气式客机，1952 年 5 月由英国海外航空公司（BOAC）首航，巡航高度与速度几乎是螺旋桨客机的两倍。但 1954 年 1 月 10 日，BOAC 781 号班机从罗马起飞爬升时在地中海上空解体，35 人遇难；同年 4 月 8 日，南非航空 201 号班机以几乎相同的方式坠毁，21 人遇难。全机队停飞后，英国皇家航空研究院（RAE）的范堡罗基地进行了一项前所未有的实验：把一架完整的彗星机身浸入特制水槽（装置剖析见 彗星客机水槽），用水反复加压与泄压，模拟一次次起降中座舱增压的循环载荷。实验在相当于数千次飞行后复现了灾难——机身上裂开一条两米多长的裂缝，起点是舷窗附近的方角。调查结论改写了航空工程：反复增压循环造成的金属疲劳，会在应力集中的尖角处萌生裂纹并逐次扩展，而当时的适航标准完全没有要求考虑这种失效模式。此后，客机舷窗变圆、结构要做全尺寸疲劳试验、"损伤容限"成为设计规范——今天每一架喷气客机的骨架里，都刻着彗星号的教训。

几乎同一思路主导了 1940 年塔科马海峡大桥的调查。这座 1940 年 7 月 1 日通车的悬索桥从建成起就在风中大幅起伏，被当地人戏称为"跳动的格蒂"（Galloping Gertie）；同年 11 月 7 日，在并不极端的风速下，桥面从竖向弯曲转为剧烈的扭转振动，主跨断裂坠入海峡——全过程被胶片记录，所幸无人死亡。联邦工程署的调查委员会把原因指向一种当时桥梁工程几乎一无所知的机制：气动弹性失稳（颤振）。设计师莱昂·莫伊塞夫为追求纤细优雅采用了浅板梁而非透风的桁架，使桥面成了一个巨大的机翼截面；设计前甚至没有做过风洞试验。塔科马桥之后，风洞试验成为大跨度桥梁设计的强制环节，桥梁空气动力学由此诞生。

核心机制：证据链、物理分析与组织层因#

失效分析的方法论可以概括为三个层次。在进入分层之前，先要有一本断口的词典：过载、疲劳与腐蚀是结构失效最常见的三个家族，混用它们会把后续的组织分析建在错误的物理上。

过载断裂发生在一次超过材料强度的载荷下。韧性过载留下韧窝，脆性过载留下解理面或人字纹，断口没有疲劳那种"生长史"。疲劳则相反：应力可以远低于静强度，裂纹按循环一格格推进，宏观上留下海滩线，微观上留下条带，最后才是剩余截面的瞬时过载。

腐蚀是第三大家族——均匀减薄、点蚀、应力腐蚀开裂与氢致开裂——往往与疲劳耦合，把"纯机械"的寿命模型一次性作废。调查员的第一件事不是猜谁的错，而是用断口形貌把这三种机制分开；分错了，就会去找"那一天谁超载了"，而错过裂纹已经生长了数年的维护窗口。

物证重建是第一层：从残骸的断口形貌（疲劳条带、解理面、剪切唇）反推裂纹的起始点与扩展路径，从残骸的分布反推解体的顺序。彗星号调查中，从海底捞起的残骸显示断裂始于机顶的无线电天线窗口；挑战者号调查中，右侧固体助推器上的异常烟羽照片与打捞起的 O 型环残段，锁定了失效的接插件位置。

实验复现是第二层：怀疑的机制必须能在受控条件下重现。范堡罗的水槽试验是范例；1986 年挑战者号罗杰斯委员会的听证会上，物理学家费曼用一杯冰水和一段 O 型环橡胶样品做了著名的现场演示——在低温下橡胶失去弹性，无法及时回弹封住接缝。发射当天清晨发射台温度低至零下数摄氏度，而此前任何一次发射的 O 型环温度都不低于 12 摄氏度。一个成本可以忽略的实验，击穿了所有"没有数据证明不安全"的辩词。

组织层因是第三层，也是现代失效分析与单纯断口金相学的分界线。挑战者号的物理原因是 O 型环，但罗杰斯委员会的报告用同等篇幅写了决策过程：发射前夜的电话会议上，承包商莫顿·塞奥科尔的工程师曾以 53 华氏度（约 12 摄氏度）为历史最低温度线反对发射，管理层在 NASA 的压力下推翻了自己的工程师。委员会由此提出一个影响深远的概念：失效不仅是零件的失效，也是沟通、激励与决策结构的失效。

更完整的组织时间线见 挑战者号 O 形环与组织失败。本篇只取它对失效分析分层的含义，不再复述发射前夜的整场电话会议。

民用航空把这套方法写成了可复制的制度。美国国家运输安全委员会（NTSB）按《美国法典》第 49 编调查民用航空与其他运输事故，给出"很可能原因"并发布安全建议，它本身没有规则制定权；联邦航空管理局（FAA）才是监管者，负责把建议翻译成适航指令与审定条款。调查采用当事方制度：制造商、运营人、工会与作为法定当事方的 FAA 提供技术专长，但分析与报告权留在 NTSB，律师不得进入调查组。国际民航组织公约附件 13 把同一原则写成全球标准——调查的唯一目的是预防。

残骸分布测绘、飞行记录器判读、实验室断口与系统复现，是这套制度的标准工具箱。FAA 可以同时做自己的适航审查，但不得把调查变成执法取证的快捷通道；两套程序并行，正是为了不让监管者调查自己审定过的系统。

2018—2019 年的两起波音 737 MAX 空难（2018 年 10 月 29 日狮航 610 航班、2019 年 3 月 10 日埃塞航 302 航班，共 346 人遇难）把这套三层分析推到了软件时代。物理层：机动特性增强系统（MCAS）只读取单侧迎角传感器，传感器一旦报出错误的大迎角，系统便反复自动压机头；实验与仿真层：调查者重建了飞行员在多重告警下识别与改出的不可能时间窗；组织层：为与空客 A320neo 竞争并避免额外模拟机训练成本，MCAS 在飞行员手册中被刻意淡化，而 FAA 把大量审定工作授权给波音自己完成。全球停飞从 2019 年 3 月持续到 2020 年 11 月 FAA 解除停飞令，波音 2021 年 1 月与美国司法部达成延期起诉协议，支付逾 25 亿美元。国会调查报告的措辞值得记住：这不是一次技术故障，而是"设计、审定与监管的可怕合流"。

争议与边界：不归咎原则的代价#

失效分析最大的制度争议，是"不归咎"（just culture）原则与司法追责之间的张力。调查需要当事人说出全部真相，这要求某种程度的免责保护；但受害者家属与公众要求有人为死亡负责，检察机关需要调查证据来起诉。不同法域在此反复拉锯：有的国家司法机关可以在调查进行时冻结证据，导致技术调查与刑事侦查互相污染证据链。实践中的妥协是技术上的"先原因后责任"与程序上的信息隔离，但这条界线从未稳定——737 MAX 案中，正是刑事诉讼的压力逼出了内部通信记录，而这些记录恰恰是技术调查迟迟未能获得的关键证据。

NTSB 的事故报告在美国民事诉讼中原则上不得作为归责证据使用，正是为了把"查明原因"从损害赔偿的战场上拉开。这条隔离并不完美——事实记录仍会被各方引用——但它解释了为什么专业调查要独立于监管者与检察官。737 MAX 案里刑事诉讼逼出的内部通信，恰好说明隔离一旦被打破，技术调查与问责会互相改写对方的证据链。

第二个边界是统计上的小数难题：商业航空的事故率低到每百万架次不足一起，任何单一机型的事故样本都极小，"两起相似事故"是巧合还是系统性缺陷，往往要靠工程判断而非统计显著性。狮航空难后，把 737 MAX 归因于飞行员训练不足曾是主流声音；埃塞航第二起空难发生后，全球停飞才成为共识——换言之，现有的安全体系有时需要第二起事故来确认第一起事故的含义。这是失效分析最沉重的局限：它的样本以生命计价。

第三个边界更隐蔽：后见之明偏差。心理学研究表明，知道结局的人回顾事件时，会系统性地高估当事人在事前"本应预见"的程度——所谓"蠕变的决定论"。事故调查报告天然带着这种偏差：因果链在事后清晰可见，但事前散落在海量信号中的某条告警，与成千上万条最终被证明无关紧要的告警混在一起，并无显著区别。好的失效分析必须重建"事前可见的世界"——用当时可得的信息、当时的规范与当时的组织激励去评判决策，而不是用事故结果去倒推当事人的愚蠢。做不到这一点的调查，只会制造替罪羊，而不会制造教训。

为什么今天仍然重要#

工程系统正在变得越来越软件化、越来越集成，失效的形态也随之改变：从看得见的裂纹，变成看不见的软件逻辑、传感器假设与人机交互界面。MCAS 的失效不是任何一块金属断了，而是一个设计假设——"飞行员能在数秒内识别并抑制系统误动作"——在真实驾驶舱里不成立。没有海滩线可看的时候，调查方法必须前移到记录器、仿真回放与设计假设的书面追溯。自动驾驶与部分医疗设备目前还缺少等效于 NTSB 的独立调查权，失效分析容易退回成厂商的内部质量报告——这正是航空制度最不该被当成行业特例的原因。

与此同时，新领域正在从零学习老行业的教训：自动驾驶汽车的每一起致命事故调查，都在重复航空业七十年前走过的路——建立独立调查机构、区分原因与责任、把个案上升为系统规则。失效分析提醒所有工程师一件事：你无法设计一个永不失败的系统，你只能设计一个失败后能被读懂、被修复、且不让同样的失败发生两次的行业。

跨域连接#

• 金属与合金：金属疲劳是材料科学最反直觉的现象之一——应力远低于静强度极限，循环载荷却能让裂纹萌生并逐次扩展。彗星号调查把"应力集中""裂纹扩展速率"这些概念从实验室带进了适航规章；今天航空铝锂合金与钛合金的选型、寿命管理与无损检测周期，全部由疲劳与断裂力学的定量模型决定。失效分析是材料性能数据最残酷也最真实的来源。
• 软件测试：MCAS 事件是软件工程的经典反面教材：安全关键代码依赖单一传感器输入、缺乏交叉校验，而系统级测试场景没有覆盖传感器故障叠加飞行员工作负荷的组合。软件测试中的故障注入、边界条件与形式化验证，本质上是把失效分析的"事故复现"前移到代码发布之前——在软件吞噬一切安全关键系统的时代，这两个学科正在合流。
• 侵权与责任：事故调查报告同时是技术文献与法律弹药。产品责任法上的设计缺陷、警示缺陷与制造缺陷三分，正是从失效分析的原因分类借来的骨架；而"调查不归咎"原则与侵权诉讼的证据需求之间的冲突，构成了技术事实与法律事实之间最持久的界面问题。彗星号时代的赔偿按个案谈判，737 MAX 时代的赔偿以十亿美元计——责任制度的演化，本身就是失效分析的社会放大器。
• 科学技术与社会：STS 研究把事故调查当作观察技术社会的窗口：什么被算作"原因"，从来不仅是技术问题，也是制度选择。把塔科马桥归因于"设计师大胆"，还是归因于"行业规范缺失"，决定了教训写进教科书的方式。罗杰斯委员会对 NASA"自满文化"的批评，则展示了调查如何成为对一个技术组织的民族志研究。
• 风险感知与宏观决策：公众对风险的恐惧与客观概率之间的系统性偏差，塑造了事故之后的监管强度。两起 737 MAX 空难导致的全球停飞波及数千架飞机，其决策依据更多是信任崩塌而非精算的风险数字——理解风险感知，才能理解为什么有些行业"一起事故改变一切"，而另一些行业年年死人却少有变革。

参考文献#

• Report of the Court of Inquiry into the Accidents to Comet G-ALYP on 10th January, 1954 and Comet G-ALYY on 8th April, 1954. UK Ministry of Transport and Civil Aviation, 1955.
• Report of the Presidential Commission on the Space Shuttle Challenger Accident (Rogers Commission Report). U.S. Government Printing Office, 1986.
• U.S. House Committee on Transportation and Infrastructure. Final Committee Report: The Design, Development & Certification of the Boeing 737 MAX. 2020.
• National Transportation Safety Board. Safety Recommendation Report A-19-10/ASR-19-01: Assumptions Used in the Safety Assessment Process and the Effects of Multiple Alerts and Indications on Pilot Performance. 2019.
• International Civil Aviation Organization. Annex 13 — Aircraft Accident and Incident Investigation（现行版本；调查目的限于预防）。
• 49 U.S.C. §§ 1131, 1154；49 C.F.R. Part 831（NTSB 调查权、报告不得作为民事归责证据、当事方制度）。
• ASM International. ASM Handbook, Volume 11: Failure Analysis and Prevention. 2021.

延伸阅读#

• Petroski, Henry. To Engineer Is Human: The Role of Failure in Successful Design. St. Martin's Press, 1985.
• Vaughan, Diane. The Challenger Launch Decision: Risky Technology, Culture, and Deviance at NASA. University of Chicago Press, 1996.
• Langewiesche, William. Fly by Wire: The Geese, the Glide, the Miracle on the Hudson. Farrar, Straus and Giroux, 2009.
• Robison, Peter. Flying Blind: The 737 MAX Tragedy and the Fall of Boeing. Doubleday, 2021.