【译文】附录F：关于航天飞机可靠性的个人观察

引言#

看来，对于飞行器损毁和人员伤亡的事故概率，各方存在着巨大的意见分歧。（各方的）估计数字从大约百分之一到十万分之一不等。较高的数字来自一线工程师，而管理层则给出了极低的数字。这种分歧的原因和后果是什么？既然十万分之一意味着每天发射一架航天飞机，连续300年才会损失一架，我们完全有理由问：“管理层对这台机器的惊人信心从何而来？”

我们还发现，飞行准备评审中使用的认证标准往往在逐渐降低严格程度。“上次飞行时同样的风险没有导致失败”这个论点，经常被用来作为再次接受该风险的安全依据。正因如此，明显的缺陷被一次又一次地接受，有时没有做出足够严肃的努力去纠正它们，也没有因为这些问题的持续存在而推迟飞行。

（关于这篇报告的）信息来源有几个。首先是已发布的认证标准，其中包括以豁免和偏差形式记录的修改历史。此外，每次飞行的飞行准备评审记录了用于接受飞行风险的各种论点。我们从射程安全官路易斯·乌利安的直接证词和报告中获得了关于固体燃料火箭成功历史的信息。他还以发射中止安全委员会（LASP）主席身份进行了一项研究，试图确定为未来行星任务搭载钚电源（RTG）导致放射性污染的事故风险的可能性。NASA对同一问题的研究也可供参考。关于航天飞机主引擎的历史，我们采访了马歇尔中心的管理层和工程师，并与洛克达因公司的工程师进行了非正式访谈。一位为NASA就引擎问题提供咨询的加州理工学院独立机械工程师也接受了非正式访谈。我们还访问了约翰逊航天中心，收集关于航空电子系统（计算机、传感器和执行器）可靠性的信息。最后，还有一份报告：“认证实践综述，可能适用于载人可重复使用火箭发动机”，由喷气推进实验室的N·摩尔等人于1986年2月为NASA总部空间飞行办公室准备。该报告涉及FAA和军方认证其燃气轮机和火箭发动机所用的方法。这些作者也接受了非正式采访。

固体燃料火箭（SRB）#

射程安全官通过研究所有以往火箭飞行的经验，对固体火箭的可靠性做出了估计。在近2900次飞行中，121次失败（约1/25）。但这包括了所谓的早期错误，即火箭首次飞行时发现并修正设计缺陷的情况。成熟火箭更合理的数字可能是1/50。通过特别谨慎地选择零部件和严格检验，或许能达到低于1/100的水平，但以今天的技术，1/1000大概是无法实现的。（由于航天飞机上有两枚火箭，这些火箭故障率必须翻倍，才能得到因固体火箭助推器导致的航天飞机故障率。）

NASA官员认为这个数字要低得多。他们指出，这些数字是针对无人火箭的，但由于航天飞机是载人飞行器，“任务成功的概率必然非常接近1.0”。这句话的意思并不十分清楚。它是说概率接近1，还是说它应该接近1？他们接着解释说：“从历史上看，这种极高的任务成功率在载人航天计划和无人计划之间形成了哲学上的差异，即数值概率使用与工程判断之间的差异。”

确实，如果失败概率真的低至1/100,000，要通过测试来确定它将需要惊人数量的试验。但如果真实概率没那么小，飞行就会出现问题、险些失败甚至实际失败，而标准统计方法可以给出合理的估计。事实上，NASA以往的经验确实显示出这样的困难、险情和事故，所有这些都在警告飞行失败的概率并不那么小。 管理层的说法是：用工程判断替代标准数值概率。但既然如此，为什么我们发现管理层的估计与工程师的判断之间存在如此巨大的差距？看来，无论出于何种目的，无论是对内还是对外，NASA的管理层都在夸大其产品的可靠性，到了荒诞不经的地步。

认证和飞行准备评审的历史在此不再重复。接受在先前飞行中已出现侵蚀和泄漏的密封圈继续飞行这一现象非常明显。挑战者号飞行就是一个极好的例子。有几处地方引用了此前的飞行情况，并将这些飞行的接受和成功视为安全的证据。但侵蚀和泄漏并不是设计所预期的，它们是警告信号，说明有什么地方出了问题。设备没有按预期运行，因此存在以更大偏差运行的危险，而这种方式是出乎意料且未被完全理解的。这种危险此前没有导致灾难，并不能保证下次不会，除非完全理解其原因。玩俄罗斯轮盘赌时，第一枪没有打响并不能给下一枪带来多少安慰。

侵蚀和泄漏的起因和后果都没有被理解。它们在所有飞行和所有接头上的出现并不一致，有时多，有时少。为什么不会在某个时候，当决定它的条件恰好具备时，出现更严重的侵蚀，进而导致灾难？

尽管情况千变万化，官员们的表现却好像他们完全理解，彼此之间提出看似合理的论据，往往依赖于先前飞行的”成功”。这是一种奇怪的工程术语”安全系数”的使用方式。如果一座桥梁设计为承受某一荷载而不永久变形、开裂或断裂，那么它可能被设计为实际上能够承受三倍的荷载。这个”安全系数”是为了应对不确定的超额荷载、未知的额外荷载，或材料中可能存在意外缺陷等情况。如果预期荷载施加到新桥上，梁中出现了裂缝，这就是设计的失败。根本没有安全系数——尽管桥梁没有实际坍塌，因为裂缝只延伸到梁深度的三分之一。固体火箭助推器的O型圈不是设计来承受侵蚀的。侵蚀是出了问题的线索，不是可以从中推断安全性的东西。

没有完全的理解，就没有理由相信下次的条件不会产生比上次严重三倍的侵蚀。然而，官员们自欺欺人地认为自己拥有这样的理解和信心，尽管各次情况之间存在奇特的差异。他们建立了一个数学模型来计算侵蚀。这个模型不是基于物理理解，而是基于经验曲线拟合。在任何情况下，使用数学模型时都必须对模型的不确定性给予仔细的关注。

液体燃料发动机（SSME）#

在51-L飞行过程中，三台航天飞机主引擎全部完美运行，甚至在最后时刻，当燃料供应开始耗尽时，发动机才开始关闭。然而，问题出现了：如果它失败了，我们像调查固体火箭助推器那样对其进行详细调查，我们是否会发现同样对故障漠不关心、可靠性不断下降的情况？换句话说，导致事故的组织弱点是仅限于固体火箭助推器部门，还是NASA更普遍的特征？为此，我们对航天飞机主引擎和航空电子设备都进行了调查。

这种发动机设计的通常方式（对于军用或民用飞机）可以称为组件系统，或自下而上的设计。首先，必须彻底了解所用材料的性能和局限性（例如涡轮叶片），并在实验装置中开始测试以确定这些性能。随着发现缺陷和设计错误，它们被纠正，并通过进一步测试进行验证。由于每次只测试零件，这些测试和修改并不过分昂贵。最终，人们完成了整个发动机的最终设计，以满足必要的规格。这时，发动机通常会成功，或者任何故障都很容易被隔离和分析，因为故障模式、材料局限性等都已被充分理解。

航天飞机主引擎的处理方式不同——我们可以称之为自上而下。发动机被设计和组装成一个整体，对材料和组件的详细初步研究相对较少。然后，当在轴承、涡轮叶片、冷却管等处发现问题时，发现原因并进行修改就更加昂贵和困难。

在总计约250,000秒的运行中，发动机大约发生了16次严重故障。工程人员密切关注这些故障，并尽快尝试纠正。尽管自上而下设计带来了困难，通过努力，许多问题显然已经得到解决。

工程师对于主引擎的估计：洛克达因公司的工程师估计总概率为1/10,000，马歇尔中心的工程师估计为1/300，而向这些工程师汇报的NASA管理层声称为1/100,000。一位为NASA提供咨询的独立工程师认为1%到2%是合理的估计。

不难看出，飞行准备评审和认证规则在航天飞机主引擎的某些问题上表现出的退步，与在固体火箭助推器规则中看到的退步非常相似。

航空电子设备#

“航空电子设备”指的是轨道飞行器上的计算机系统及其输入传感器和输出执行器。

计算机系统非常精密，拥有超过250,000行代码。它负责许多事情，包括自动控制整个上升到轨道的过程，以及一旦按下一个按钮决定所需降落地点后直到大气层深处（低于1马赫）的下降控制。

简而言之，硬件可靠性通过四个基本独立的相同计算机系统来保证。如果其中一台计算机不同意，或者其答案准备时间过长，则同意的三台被认为是正确的，有问题的计算机被完全移出系统。还有第五台独立计算机，其存储器只加载了上升和下降程序，如果主线四台计算机中有两台以上发生故障，它能够控制下降。

简而言之，计算机软件检查系统和态度是最高质量的。似乎不存在像固体火箭助推器或航天飞机主引擎安全系统那样，在降低标准的同时逐渐自欺欺人的过程。

结论#

如果要维持合理的发射计划，工程工作往往无法足够快地跟上最初保守认证标准的期望。在这些情况下，认证标准被微妙地改变，有时甚至有看似合理的论据，以便飞行仍然可以及时获得认证。因此，它们在相对不安全的条件下飞行，失败的概率约为百分之一。

另一方面，官方管理层声称相信失败概率要低一千倍。原因之一可能是试图向政府保证NASA的完美和成功，以确保资金供应。另一个原因可能是他们真诚地相信这是真的，表明他们与一线工程师之间几乎令人难以置信的沟通缺失。

无论如何，这产生了非常不幸的后果，其中最严重的是鼓励普通公民乘坐这样一台危险的机器，仿佛它已经达到了普通客机的安全水平。宇航员们，就像试飞员一样，应该了解他们的风险，我们因他们的勇气而敬佩他们。谁能怀疑麦考利夫同样是一个极具勇气的人，她比NASA管理层希望我们相信的更接近于了解真实风险？

让我们提出建议，确保NASA官员活在现实的世界中，充分理解技术上的弱点和不完善之处，并积极努力消除它们。他们必须在现实中比较航天飞机与其他进入太空方式的成本和效用。他们必须在签订合同、估算成本和评估项目难度时保持现实态度。只应提出合理的飞行计划，那些有合理机会实现的计划。如果以这种方式政府不支持他们，那就顺其自然吧。NASA欠它寻求支持的公民一份坦诚、诚实和翔实的说明，让这些公民能够就如何使用有限资源做出最明智的决定。

对于一项成功的技术，现实必须优先于公共关系，因为自然无法被愚弄。

译后记#

1986年，“挑战者号“航天飞机在起飞73秒后爆炸。理查德·费曼作为调查团队的一员，做了那个经典的冷水O形圈实验，使世界认识到了工程项目竟然能够如此荒诞的失败。他强烈要求将他的个人观察包含在报告中（尽管不被委员会接受），就是这篇附录F。

令人惋惜的是，仅仅17年之后，几乎同样的事故发生了，只不过这次不是O形圈，而是隔热瓦，后果同样是惨重的。这不禁让人想到，为何这种错误的模式还在延续？为何直到今天，即使有工程伦理学和可靠性工程作为完善的系统科学，工程“无法预料的巨大失败”依然如此之多？

我们从对于挑战者号事故的许多报道可见一二。他们要么讲的是一个坏的机构，制定了坏的制度，产生了坏的官僚，压制了这一切。要么讲的是一个工程师应该成为圣人，为了更多人的福祉指出并要求停止发射。或者干脆讲我们需要一个英雄，一个天才，指明这一切。

有两句常常不被摘录的话，在这里再次提及：“原因之一可能是试图向政府保证NASA的完美和成功，以确保资金供应。另一个原因可能是他们真诚地相信这是真的，表明他们与一线工程师之间几乎令人难以置信的沟通缺失。”

管理层与工程师们丧失了共同利益，管理层需要维持1/100,000，因为他们要向政府和纳税人解释这一项目的必要性，工程师接触到1/200，因为他们要让火箭成为火箭，而不是大号鞭炮。当他们之间的利益相同时，工程师会给出一个比较准的不确定的值，火箭也许可以飞上天。当他们之间的利益不同时，工程师会给出一个更不准的不确定的值，因为失效概率在未充分研究时本就是不可知的。这时候，火箭飞不飞取决于决策权。

NASA那些下发射决定的人可能真诚的相信他们的火箭失败率就是十万分之一，不是因为他们不够聪明和努力，也不是因为他们故意撒谎，而是因为现代工程所需的复杂度已经远远超过了一个人大脑所能同时管理的范围。他们拥有决策权，同时他们并不为FMEA负责，而是为政府和纳税人负责，这两点保证了一切精妙的可靠性和意见反馈设计总有一天以某种形式bypass掉。

公共关系常常不奖励物理事实，但物理事实会发生，在真实的聪明和努力的，为人着想的，下达发射决定的人的认知之外。这些物理事实大多数是无伤大雅的，只是偶尔会杀死几个人，或几百个，或几百万个。

也许附录F会帮助几个工程师或者管理者在经历他们自己的“挑战者号事件”之前意识到这一点，所以我翻译了它，放在这里。