人間莫測(cè)，BUG永生

嗷嗷胡

十多年前，波音面臨著一個(gè)兩難抉擇：被空客最新的A320NEO搶走了大筆訂單，是重新設(shè)計(jì)一款新機(jī)型與之對(duì)抗，還是在737的基礎(chǔ)上繼續(xù)改進(jìn)？

重新設(shè)計(jì)新機(jī)，要大量投入，尤其是耗時(shí)以十年計(jì)，其間全球份額如何變化無(wú)人能料；繼續(xù)改進(jìn)737，要面對(duì)半個(gè)世紀(jì)前原始設(shè)計(jì)的局限，而人家A320可是1988年才出生的。

讓天平往后者傾斜的最后一顆砝碼是飛行員適應(yīng)問(wèn)題，全新機(jī)型需要航司重新培訓(xùn)飛行員，而繼續(xù)改進(jìn)737可以讓大批現(xiàn)有737型號(hào)的飛行員快速擴(kuò)展到新機(jī)型。

為了跟空客競(jìng)爭(zhēng)，波音需為737更換大號(hào)發(fā)動(dòng)機(jī)。然而737誕生之初從未考慮50年后的需求，天生“小短腿”起落架，發(fā)動(dòng)機(jī)直徑再大就要擦地了。為此波音將發(fā)動(dòng)機(jī)吊艙前移，規(guī)避了翼下高度不足。

發(fā)動(dòng)機(jī)前移了，大號(hào)發(fā)動(dòng)機(jī)能放下了，但整架飛機(jī)重心前移，這增加了飛機(jī)抬頭失速的風(fēng)險(xiǎn)。于是波音繼續(xù)打補(bǔ)丁，增加了一個(gè)叫MCAS的電子程序，在飛機(jī)抬頭可能失速時(shí)，MCAS會(huì)自動(dòng)將機(jī)頭向下壓。

環(huán)環(huán)相扣，天意弄人。

要讓現(xiàn)役飛行員對(duì)新機(jī)很好適應(yīng)，波音繼續(xù)改進(jìn)737而非研發(fā)新型號(hào)；要讓半個(gè)世紀(jì)前的設(shè)計(jì)能適應(yīng)大號(hào)新發(fā)動(dòng)機(jī)，波音改了737的結(jié)構(gòu)和程序；又正是為了讓新機(jī)更容易上手，MCAS程序沒(méi)有被放入飛行員訓(xùn)練流程。

這就是著名的波音737 MAX8災(zāi)難。飛機(jī)可能因?yàn)橐恍┘?xì)小故障誤判失速，這本不是什么大事，然而這會(huì)激活并啟動(dòng)737 MAX8新增的，但飛行員根本不知其存在的MCAS自動(dòng)程序。手忙腳亂之中便機(jī)毀人亡，兩次。

在真正出事并被確認(rèn)是由于設(shè)計(jì)缺陷引發(fā)事故之前，你去問(wèn)任何一個(gè)波音的工程師，他都會(huì)告訴你“飛行安全是重中之重，制造商會(huì)有一套套流程以及各種備用措施冗余設(shè)計(jì)來(lái)確保安全無(wú)虞”。

今年的大新聞，潮州特斯拉失控案曝出時(shí)，很多人也是這樣搬出汽車(chē)制動(dòng)系統(tǒng)、電子系統(tǒng)中的一系列冗余程序備份設(shè)計(jì)，以掉書(shū)袋的方式來(lái)斷定“剎車(chē)失靈車(chē)輛失控絕無(wú)可能”。

別誤會(huì)，本胡完全無(wú)意加入這場(chǎng)以個(gè)人信息資源根本不可能得出有效結(jié)果的討論；一篇千八百字的專(zhuān)欄對(duì)于任何有價(jià)值的、正經(jīng)嚴(yán)肅的討論也完全不夠，當(dāng)個(gè)摘要都不夠。

我只是想說(shuō)：“做足了安全設(shè)計(jì)”和“依然可能存在缺陷”之間，完全不矛盾。前者是主觀能動(dòng)范圍內(nèi)做到最好，后者是天有不測(cè)風(fēng)云凡人孰能無(wú)過(guò)；前者是盡人事，后者是聽(tīng)天命。

這是很簡(jiǎn)單的道理，真正出問(wèn)題之前，人們當(dāng)然自認(rèn)萬(wàn)無(wú)一失，尤其是自己參與其中的話—不然你早就去修改了不是嗎，你當(dāng)然會(huì)覺(jué)得不可能出錯(cuò)。

我一直關(guān)注的某汽修博主也講述過(guò)類(lèi)似的故事，某車(chē)型使用的電子剎車(chē)助力部件，因?yàn)樾酒鍧崨](méi)有管理好，有極小概率偶發(fā)失效，既難以發(fā)覺(jué)，也很難復(fù)現(xiàn)。當(dāng)然，這個(gè)原因是事后才查明的。

而在這個(gè)原因被查出之前，它的設(shè)計(jì)者乃至同行們從任何一個(gè)角度去揣摩去剖析去復(fù)盤(pán)，都自然是發(fā)自肺腑的“我們方方面面都考慮到了怎么可能出問(wèn)題呢”，然而這又能說(shuō)明得了什么呢？

連NASA的航天飛機(jī)都可能因?yàn)槲丛紤]到的設(shè)計(jì)缺陷而從天上掉下來(lái)，在只有幾篇語(yǔ)焉不詳?shù)膱?bào)道采訪的情況下，我們又憑什么認(rèn)定一輛汽車(chē)絕不可能出錯(cuò)呢？

永遠(yuǎn)敬畏犯錯(cuò)的可能，因?yàn)锽UG永生。