第二部分 · 民航：把人安全、便宜地送过距离

为什么坐飞机这么安全：安全是一套被设计的系统

上一课我们把机场拆成了一台分流机器，看清了它如何在硬约束下让人流与机流精确咬合。可现在有个更大的问题悬在头顶：每天几百万人被塞进金属管、送上万米高空，穿过雷雨与彼此的航路——为什么几乎从不出事？

一、先把「安全」翻译成一道概率题

直觉对飞行的判断是坏掉的。空难一旦发生就是头条、画面惨烈、记忆深刻，于是大脑给它打了一个「很常见、很危险」的标签——这叫可得性偏差（availability bias）：越容易想起的事，我们越高估它的概率。可数字是另一回事。

商业航空是人类最安全的长途交通方式之一。按每客公里（per passenger-kilometre）或每一次出行计算，它的死亡率远低于开车——同样的里程，坐飞机比自己开车去安全得多。注意这里要诚实：精确的事故率数字逐年变化、各种统计口径不同，我把它当成会过时的数据、不当定律；但「按里程算，飞行比开车安全一个数量级以上」这个定性结论是稳的。

把问题摆成概率题就清楚了。一次飞行里，无数事情可能出错：一台发动机失效、仪表读数错误、飞行员判断失误、天气突变、两架飞机航路冲突……如果安全靠的是「这些事一件都别发生」，那以每天上万架次的规模，它早该频繁出事了。可它没有。这说明安全系统的设计原则根本不是「不让任何错误发生」——错误一定会发生——而是「让单个错误无法变成灾难」。下面三台机器，做的都是这件事。

二、第一台机器：冗余——关键的东西都有备份

工程里对付「单点失效（single point of failure）」的古老办法是冗余（redundancy）：凡是「坏了就要命」的东西，就配两套甚至三套，让任何一个的失效都不致命。一架现代客机几乎处处是冗余：

• 两台（或更多）发动机——双发客机被设计成掉一台也能继续飞、并安全落地；起飞前的每一次推力计算都假设「万一这时掉一台」还得飞得起来。
• 多套液压、多套电力、多套飞控——主系统失效，备份立刻接管；连仪表往往都有独立的备用表，靠不同的能源与传感器，防止一损俱损。
• 两名飞行员——这是最关键、也最容易被忽视的一重冗余。它不只是「多一双手」，而是交叉检查（cross-check）：一个人操作、另一个人监视并质疑。人会犯错、会疲劳、会看走眼，但两个人同时在同一刻犯同一个错的概率，远低于一个人犯错的概率。

但冗余有个软肋：人即使有两个，也共享同样会失灵的「记忆」。紧张、疲惫、被打断时，人会漏掉步骤——哪怕是最有经验的机长。于是有了第三件、看起来朴素到不像高科技的发明：检查单（checklist）。

检查单把「该做什么」从飞行员的脑子里搬到一张纸（或屏幕）上，逐条念、逐条确认。起飞前、巡航、下降、落地前、出现异常时，都有对应的检查单。它的全部威力在于——把「记忆」这个最不可靠的环节从安全回路里拿掉。检查单 1935 年因一次试飞失事而生：那次失事的原因不是飞机不好，而是经验极丰富的试飞员忘了解开一个锁。结论不是「换个更厉害的人」，而是「别再靠记忆了」。这正是整套安全哲学的缩影：不赌人不犯错，而是设计成「人犯了错也没事」。

三、第二台机器：多层防御与瑞士奶酪模型

冗余是把单个部件做成「坏了也行」。但要对付的不只是部件失效，还有判断失误、流程漏洞、罕见的天气与组合。把它们一起对付的思想叫多层防御（defense in depth）：不指望任何单独一道防线万无一失，而是叠很多道，让威胁必须同时突破所有防线才能酿成事故。

James Reason 用一个绝妙的比喻把这件事画了出来——瑞士奶酪模型。把每一层防御想象成一片瑞士奶酪：它有用，但有孔。孔就是这一层固有的漏洞——某个没覆盖到的情形、某个偶尔失灵的环节。单看一片，孔不小，威胁有可能穿过去。但飞行的防御是许多片叠在一起的：飞行员训练、检查单、空管（ATC）间隔、机载防撞系统（如 TCAS/EGPWS）、适航维护、备份系统、天气规章……

关键在于：每片的孔位置不同。一片的孔，往往正好被下一片的实心部分挡住。威胁要一穿到底,必须所有片的孔恰好排成一条直线——这是个小概率事件。而且这个概率随层数以乘法塌下去：

穿透概率 ≈ p₁ × p₂ × p₃ × … × pₙ

这里 pᵢ 是第 i 层单独被穿透的概率。假设每层各有 20 % 的孔（够大了），那么一层挡不住的概率是 0.2；两层都被同时穿透是 0.2 × 0.2 = 0.04（4 %）；五层是 0.2⁵ ≈ 0.00032（约万分之三）。层数线性增加，穿透概率指数下降。这就是为什么航空安全不靠某一道「完美防线」，而靠把许多道「还不错的防线」叠起来——再把每一道的孔尽量补小。下面的部件让你亲手拧这两个旋钮：层数，和每层孔的大小。

试着把层数拖到 1：哪怕孔不大，威胁也时不时一穿到底——单层防御是不可靠的。再把层数加到 6、7：即使每层都有可观的漏洞，穿透概率也跌进了百分之零点几。这正是「不追求任何单层完美，而追求多层叠加」的数学根据。它还有个温柔的含义：你不需要一个永不犯错的飞行员、永不失灵的发动机或永不出错的空管——你只需要让这些不完美的层彼此独立、孔不对齐。

四、第三台机器：从每一次错误里学习

前两台机器是「硬」的——备份与层数。可它们怎么知道孔在哪、该往哪补？这就需要第三台、也是最深刻的一台机器：一种把每个错误都变成系统养分的文化。

它的物理载体是黑匣子——其实是两只橙色的盒子：飞行数据记录器（FDR）记下成百上千个飞行参数，座舱语音记录器（CVR）记下驾驶舱里的声音。它们被设计成在剧烈撞击与大火中存活，就是为了在最坏的情况发生后，还能告诉调查者到底发生了什么。

关键不止是记录，而是怎么用这些记录。航空业建立了独立的、不追责的事故调查（美国 NTSB、国际 ICAO 框架）：调查的目的不是找出谁该被惩罚，而是找出系统的哪一层出了漏洞、如何补上。这叫公正文化 / 不追责文化（just / blameless culture）。它为什么至关重要？因为如果犯错会被惩罚，人就会隐瞒错误；而隐瞒的错误，系统永远学不到。反过来，当报告错误是安全的，连「差点出事」的未遂事件（near-miss）都会被主动上报、汇总、分析——于是系统在真正的事故发生之前就把孔补上了。

这构成了一个闭环：每一次事故和未遂事件 → 彻查 → 找出哪层的孔 → 改写检查单、规程、训练、设计 → 整个机队、整个行业一起变安全。飞行不是靠某个机组「这次没出错」而安全的；它是靠过去每一次出错（甚至别人的出错）都被吸收、写回了今天每一架飞机遵循的规程而安全的。你今天系上的那条安全带、念出的那张检查单，背后都站着某一次被认真对待的失败。

五、把账算回主线：安全是被设计出来的

现在「飞行凭什么这么安全」的逻辑闭合了。它不是运气，不是某个超人飞行员，而是三台机器叠在一起：冗余（关键的东西都有备份，两名飞行员交叉检查，检查单把记忆移出回路）+ 多层防御（瑞士奶酪：许多道不完美的防线，孔不对齐，穿透概率以乘法暴跌）+ 从错误里学习（黑匣子与不追责调查，把每个错误写回规程）。

回到整门课的主线：「去远方」本来是一件危险的事——还记得第 00 课里，1800 年横渡大西洋伴着真实的死亡风险。攻克「距离的代价」有好几层：物理上能飞（L01）、高效巡航（L02）、可负担（L03）、连得通（L04）、有序准点（L05）。这一课攻克的是其中最致命的一层——危险。而攻克它的，不是某个英雄，而是一套被精心设计、不断自我修补的系统。这恰恰是「硬核线」（物理·经济·网络·系统）在安全这件事上的极致体现。

常见误解

• 误解：坐飞机很危险，开车更踏实。 （澄清：可得性偏差在作祟——空难上头条、车祸不上。按每客公里算，商业航空是最安全的长途方式之一，远比开车安全。极其安全，但非零风险。）
• 误解：飞行安全靠的是飞行员技术高超、从不犯错。 （澄清：安全的设计前提恰恰是「人一定会犯错」。它靠的是冗余、多层防御和检查单，让单个错误无法变成灾难——而不是赌某个人永不出错。）
• 误解：只要每一道防线都做到完美，就万无一失。 （澄清：没有任何单层是完美的，瑞士奶酪每片都有孔。安全来自多层叠加——孔不对齐时，穿透概率随层数指数下降；现实里还要防止「共因」让多层一起失效。）
• 误解：黑匣子是用来追究谁的责任的。 （澄清：恰恰相反——调查是不追责的（just culture），目的是找出系统漏洞并补上。追责会让人隐瞒错误，系统就学不到；不追责才能让连未遂事件都被上报、消化。）
• 误解：一台发动机停了，飞机就会掉下来。 （澄清：双发客机被设计成掉一台仍能继续飞行并安全着陆——这正是冗余：关键系统都留了备份。）