二、槽性、因果、故障树

“光阴似流水，不一会，课毕放学归。我们仔细想一回，今天功课明白未？老师讲的话，可曾有违背？……”

我们很多研究生在招生面试时，都曾把我们老师说的“可靠性”听成“槽性”——入学后很长时间，我才真正理解了这两个字的重量。

我外婆家是一个农村军属家庭，舅舅在某军区高炮旅，提干了仍然省吃俭用，省下被装寄给老人和姐姐（也就是我妈）；我爸那一套陪他走遍了许多水库鱼塘，三十年不仅没开线，连颜色都没掉。因此从我记事起，我家老一辈都有种“解放军军品质量崇拜”，受此影响的我也曾一直以为，只要打上军工行业、国防科技系统名头的产品，天生做出来就是最稳妥、最可靠的。

直到大四进入总体方向，我也知道了更多类似上一节飞豹的事情：

飞掉座舱盖的那件事，后来发现是某个工人装反了舱盖的一枚活门螺钉，使舱盖虚接，在空中被风整体吹落。那是我国空难频发的年代，浙江同期另一起民航事故，一般认为是图-154操纵系统组装中负责升降舵一个自锁螺母的工人未装专用开口销紧固，使其在飞行中松脱，导致操纵杆俯仰控制失效。

我上大学时发现校园外的公园曾经是机场，然后因此听说了当年附近那场祖国大陆迄今最大的空难——那次事故的源头可以追溯到苏联航空工业的机电设计部门，图-154航电系统中一个叫БДГ-26的阻尼单元插口设计不防呆，不同通道的插头形状完全相同！地勤检修安装架时，误将滚转通道Ш7与航向通道Ш8接反，使两套阻尼器的短周期振荡抑制信号互相输出到对方方向。航班起飞后，滚转阻尼器试图抑制方向舵，偏航阻尼器试图抑制副翼，最终两个方向积累的振荡越来越大，形成过载超过结构极限的飘摆动作，将飞机空中解体。

甚至载人航天工程中，也出过调试员误操作、推动已组装的火箭竖直撞上工作平台，造成箭体18处撞伤的事（图为该箭体经勘查后带神舟二号飞船顺利升空）

我的老师25岁从教，带了一辈子可靠性，最先教给我的就是态度——航空航天是十分严肃的事情。它并不因特殊的身份而天然安全可信；它只特殊在，一个人在其中不负责不认真，引发的微小隐患/症候，危害可能比其他任何行业都要大。

然而，超脱个人、站在系统整体视角，真正万无一失的“完全纯洁”是难以永续的。对需要在全寿命周期“久经考验”的航空领域尤其如此；即使对目前仍以“一次性”为主的航天，由于经费、时间节点等原因，有时也可能要像当年“神二”时那样，面对一枚被撞伤18处的火箭，判定能否允许它带着飞船朝天上打，而不另造一发、整个进度推倒重来——也就是说，分析推算这18处“基本事件”是否会造成火箭整体在任务完成之前“故障”或失效。

工程可靠性这门学科，是研究装备寿命周期各种故障的机理分析、预判预防和解决方案的。它从本质机理上梳理复杂系统这种“牵一发而动全身”的脆弱性，预判失效隐患的发生概率和对装备的影响。

在航空航天中，可靠性关联到质量工程与安全性工程、故障诊断/健康管理与运维优化、系统工程与环境工程试验，如今还涉及AI质量特性技术和智能自主系统等。但要在其中找一件最基础、最底层的工具，那么应该是连通“微小隐患”与“严重后果”的故障树：

仙侠小说中，突破一定境界的大能往往修炼一门特殊神通，窥破世间各种事件之间的因果链，借此预判如何行事才能免沾不必要的因果，降低将来遇到境界困死、天道反噬之类“失效”的风险。在工程领域，故障树分析（FTA）就是这门“知过去世因缘、观未来世果报”的功法。它针对（预期）故障即“顶事件”，自上而下、层层穷尽可能的问题源头，从而将“顶事件”与诱因（底层事件）一目了然地连接起来，便于对事件之间复杂的因果进行逻辑归并、寻找薄弱点或“最短突破口”、计算单个部件失效引发故障概率和对故障“贡献”的重要度等，从而定性地预判系统设计中的不可靠环节，以及各种可能的故障模式。

美国“赫尔墨斯”立方星2011年失败后复盘研究者绘制的星上电力系统（EPS）故障树，顶部事件（结果）即是EPS的失效。EPS负责发电、储电和配电，与姿态确定与控制(ADCS)、指令与数据处理(CDH，即中央计算机)模块共同构成小卫星的核心子系统

故障树既适用于事故发生后试图复盘的调查者，也适用于机务管理（确定维护检修项目）和系统最初的设计人员。当年波音737MAX的一年之内两次空难，直接原因均在于其臭名昭著的“机动特性增强系统”（MCAS）：

MCAS赖以决断的信号输入单独依赖攻角传感器，但数据却只任取了机上两个攻角传感器输出中的一个（引入必然发生的开关事件“攻角传感器2对MCAS故障”）；

MCAS对舵面输入的优先级高于自动驾驶和操纵杆；

MCAS同时对飞行员透明（引入两个必然发生的开关事件“飞行员无法定位受MCAS操纵的低头原因”、“MCAS无法人工断开”）。

结果是，启动时的MCAS是否在“发疯”，100%依赖这个1号攻角传感器提供的输入值正确；而这个如此“偏听偏信”的MCAS一旦启动，其操作无法被任何其他系统（包括飞行员）抵消。也就是说，原本对“飞机失事”这一故障“贡献”基本无关紧要的底层事件“1号攻角传感器读数虚高”，突然在航司、机务、飞行员均不知情的情况下，形成了一个直通坠机顶层结果的最小割集，被增加了“全机危亡系于其身”的极端重要度。

波音在这里犯了非常经典的“形成单点故障（SPOF）”低级错误

结果，当时使用737MAX最频繁的两个客户——美国和中国，由于地勤均严格保证了1号攻角传感器随时正常、一直避免了上述那个底层事件发生，反而均未首先出事故。两起空难均发生在机务文化相对散漫的全球南方国家，在波音制造的另一巨坑——“两个攻角传感器读数不一致时不报警”下，当事航司/地勤对“单个攻角传感器失效/未校准”缺乏主动查明能力、或察觉但认为问题不大可以暂时凑合，从而打穿了这棵故障树的最顶层。