苏城无液压着陆

一份内部备忘录，在外人看来不过是叠在档案柜深处的几张纸。纸张泛黄，左上角别着一枚生锈的回形针，抬头上印着“麦道公司工程部·内部传阅·不得外流”。页边空白处有人用铅笔草草画了个问号，问号旁边是三条并行的线，线的中段被一个红圈框住，红圈里只写了两个字：“风险？”

这份备忘录起草于1971年夏天，地点是加利福尼亚长滩的麦道飞机公司总部。那一年，DC-10宽体客机刚刚完成适航认证，准备投入商业运营。备忘录的内容平淡无奇，是一个中级工程师写给上级的例行技术评审意见。

他在审阅了DC-10尾部液压管线的最终设计图纸之后，提出了一个温和但明确的关切：所有三套液压系统的控制管线——一号、二号、三号——在尾翼附近区域的物理路径过于接近。更具体地说，它们在二号发动机穿过尾翼结构的位置，几乎被挤进了同一个狭窄的通道。

工程师在备忘录里写道：“目前的敷设方式满足了隔板隔离和液压油箱独立性的冗余要求，但这三条管线在从机翼后缘进入尾锥这一段，物理间距不足十八英寸。如果尾部发动机发生非包容性转子失效，高能碎片有可能同时切断所有三条液压管路，导致全部液压系统同时丧失压力。这将在理论上构成共因失效（common cause failure），使冗余设计在实际保护中失去意义。”

他紧接着提出了一个成本很低、工时很小的修改建议：将其中一条液压管线改走尾翼左侧的另一条电缆通道，和其他两条拉开两英尺以上的距离。这个改动不需要重新设计任何部件，不增加任何重量，只在总装线上多拨出大约四十分钟的工时。备忘录在工程部内部传阅了一圈。一位高级项目经理在页末签了字，批注只有四个字：“已知悉。优先级：低。”

没有人反对工程师的技术判断。会议室里没有人说“这不可能”或者“这种极端情况不会发生”。大家只是没有把它排进任何一项设计修改的日程里。

DC-10的首批订单已经排到了1973年，总装线的每一个小时工时都已经被成本和交付承诺压得密不透风。如果“仅仅因为一个概率极低的假想事故”去修改已经冻结的设计图纸、重新协调供应商、推迟交付节点，这在商业逻辑上无论如何说不过去。风险评估表上，这一项被划入“可接受风险”区间，底色涂抹为浅灰——不是绿色，但也不是红色。

备忘录归档。图纸冻结。DC-10下线。全球航空公司陆续接过了钥匙，把这架尾部装有三台发动机的宽体客机推上了航线。截止到1989年7月19日之前，DC-10机队在全球累计飞行了超过一千八百万小时，没有任何一起事故牵涉到“全部液压系统同时丧失”这种极端情形。那个在1971年被一位工程师用铅笔圈出来的风险，静静地躺在档案柜里，等着自己的概率从数学上聚拢成一个具体的时间、地点和航班号。

1989年7月19日下午，美国中部时间2点09分，联合航空232号航班从科罗拉多州丹佛市斯台普尔顿国际机场起飞。这是一架编号N1819U的DC-10-10型客机，生产序列号46618，1971年11月首飞，和那份内部备忘录恰好同年同月问世。机龄十八年，不算年轻，也不到老龄。飞机上载有二百八十五名乘客和十一名机组成员，目的地是芝加哥奥黑尔机场。

驾驶舱里的机长是阿尔·海恩斯（Al Haynes），五十七岁，在联合航空服役超过三十年，累计飞行时间约三万个飞行小时。副驾驶威廉·雷科兹（William Records），四十八岁，飞行时间约两万小时。飞行工程师达德利·德沃拉克（Dudley Dvorak），五十一岁，负责监控液压、燃油、电气和增压系统。三张座椅坐满，驾驶舱里没有一丝异常。

那天下午的天气极好，高空无云，三万七千英尺的巡航高度上气流平稳，假若你端着一杯冒着热气的美式咖啡走进驾驶舱，水平面纹丝不动。

乘客舱里和前舱厨房里，空乘人员正在分发午餐。坐在15排靠窗座位的是一个来自科罗拉多大学的一年级新生，他第一次独自乘坐飞机，靠窗看着机翼下淡蓝色的科罗拉多平原缓缓后退。后排有个两岁的男孩在哭。没有人会想到，这架飞机的二号发动机内部，正在以每分钟近四千转的转速，把一枚定时了十八年的炸弹推向临界点。

下午3点16分，飞机飞抵爱荷华州中北部上空，高度三万七千英尺，空速二百七十节。机长海恩斯刚刚解除了一小段自动驾驶，让副驾驶手动操控几分钟来保持状态。

突然，一声沉闷的巨响从飞机后部传来，整架飞机的机身像被一辆高速行驶的卡车从尾部拦腰撞上，剧烈地向左偏航，随即开始向右翻滚，机头下沉。海恩斯的第一反应是叫副驾驶关闭自动驾驶——这几乎是他三万个飞行小时中从未经历过的剧烈姿态变化，机头下沉的速率和机身右滚的角度同时超出了任何正常操纵范围。他和雷科兹双手同时握住操纵杆，试图向后拉杆、向左压盘来修正右倾。操纵杆纹丝不动。

不是卡住了，是完全没有阻力——像握着两根连到香烟灰堆上的筷子。方向舵踏板踩下去也是一样，棉花般的空位，没有反力，没有响应。

飞行工程师德沃拉克低下头扫了一眼头顶面板上的液压系统数据显示屏，三个系统的压力读数——一号液压、二号液压、三号液压——同时归零。零。三个指针都压在刻度的最左边，像三只并排死亡的心电图波形，笔直地躺在底线上。

液压系统是什么？飞机上抽上高压的液压油，像巨大的肌肉纤维，把飞行员手脚的轻柔动作放大上百倍，驱动沉重的方向舵、升降舵、副翼、襟翼和缝翼完成姿态变化。没有液压，飞行员就是巨人身体里一颗还能思考但不能动弹的大脑——所有的指令发得出去，所有的动作都执行不了。DC-10有三套液压系统，相互独立，有各自的液压油箱、各自的泵、各自的管路。

三套系统同时丧失压力的概率，在适航认证的故障树分析中被标注为“低于一乘以十的负九次方每飞行小时”——也就是十亿飞行小时可能碰到一次。

这个概率数字足以让任何适航当局和航空公司闭上眼睛安心入睡。但在三套系统的液压管路在尾翼内部穿过同一段狭窄通道的时候，这个“十亿分之一”的概率不是彼此独立的。它们被绑在同一片空间里，像三根电线绕在同一根塑料线槽里走过了墙后的暗盒。只要暗盒里起火、进水或者被螺丝刀戳穿，三根线一起短路。

击穿DC-10这个“暗盒”的螺丝刀，是二号发动机内部炸出来的一大块钛合金碎片。我们现在知道这块碎片是什么了。但当时不知道。

驾驶舱里的人只知道一件事：飞机不能像正常飞机那样被操纵了。海恩斯立即接管了飞机的控制权，他尝试了所有能想到的动作——向后拉杆，前推，压盘，方向舵踏板左右踩到底——没有一丝一毫的气动面响应能达到稳定飞机姿态所需的力矩。DC-10以大约每秒钟几度的速率继续向右翻滚，同时以每分钟几百英尺的速度慢慢掉高度。

如果不做任何事情，这架飞机将在十二到十五秒钟内进入无法改出的螺旋俯冲，然后解体坠地。那是几乎所有“全部操纵失灵”事故的标准结局。

就在这个当口，驾驶舱的门开了。进来的人不是机组成员，而是一名乘客。丹尼斯·费奇（Dennis Fitch），四十六岁，联合航空的DC-10飞行教官兼标准飞行检查机长，这一天他正好利用休班时间坐这趟班机去芝加哥，坐在经济舱里。他听见了巨响，感受到了飞机的异常姿态变化，用自己的职业判断力在不到三十秒内意识到机组可能遭遇了前所未有的操纵难题。他从座位上站起来，穿过客舱走道，敲开了驾驶舱的门。门打开的一瞬间，他看见了海恩斯和雷科兹的表情，和三个归零的液压读数。他对海恩斯说：“让我来负责油门。”

这句话没有出现在任何操作手册里。没有任何一条程序规定“当全部液压失灵时，请一名坐经济舱的机长进驾驶舱负责油门”。但海恩斯没有犹豫。

他把两台机翼下悬挂的一号和三号发动机的油门控制权交给了费奇，自己继续尝试用无效的操纵杆来感知飞机的动态，雷科兹负责无线电通讯，德沃拉克继续监控所有还能工作的系统。费奇跪在驾驶舱地板上，挤在中央操纵台和机长座椅后背之间，双手各握住一个油门杆，眼睛死死盯住仪表板上的姿态陀螺。他的任务只有一个，一个在此之前全球任何一位飞行员从未在真实飞行中、从未在任何一架全尺寸客机上、甚至极少在模拟机上尝试过的事：用不对称推力来操纵一架超过一百五十吨的宽体客机。

不对称推力的原理不难理解：飞机在空中不是一块均匀受力的钢板。如果你增大右翼发动机推力、同时减小左翼发动机推力，飞机就会向左偏航；偏航导致左右机翼上方的气流速度产生不对称，速度更快的一侧升力更大，飞机就会随之滚转。反过来也一样。

如果你想把机头推下去，可以把两台发动机的推力一起减小，让飞机慢下来，在气动中心作用下慢慢低头。想抬头拉起？加速。靠的是一样的原理——不是靠升降舵的力矩，而是靠推力和速度变化带来的俯仰力矩差。

原理是清晰的，但烧脑子的是：每一秒的推力和速度变化都会带来偏航、滚转和俯仰的三轴联动效应，彼此之间耦合得又快又猛。油门推得晚了半秒，飞机已经开始进入到不可控的侧滑；收得急了，机头猛地一扬马上又可能失速。这要求操纵者像一个极其精准的杂技演员，在完全不平衡的跷跷板上，用两个手指尖的微小拨动来保持平衡——唯一不同是，跷跷板上坐着将近三百条人命。

费奇没有训练过这个场景。联合航空的模拟机训练课程不包含“全部三套液压同时归零后仅用双发油门差控制飞机姿态”的科目。理由很简单：没有人认为这是可能发生的事。既然是不可能发生的事，训练就是浪费时间和模拟机小时。

费奇能做的，是把他上万小时的教学飞行中积累的对飞机动力学本质的理解，从肌肉记忆深处挖出来，在真实的驾驶舱地板上，现场发明一套新的操纵法则。

下午3点20分，飞机已经失去控制大约四分钟。在费奇初步介入后，飞机的滚转速率开始减缓，止住了持续右倾的趋势。

但紧接着，飞机开始出现长周期的纵向振荡——俯仰方向上一上一下，像一艘没有舵的船在浪涌中来回颠簸。机头从略低于地平线的位置开始慢慢上扬，到了抬头七八度时，空速迅速往下掉，眼瞅着就要进入失速的边缘。费奇加大推力，机头被加速带来的抬头力矩推得更高。

他立刻意识到推错了方向，本能地收了油门，机头猛地一低，姿态陀螺上的俯仰角读数在几秒钟内从正五度跌到负七度，下降率瞬间跳上每分钟三千英尺。在正常飞行中，这种剧烈的俯仰振荡只需要飞行员轻轻动一动升降舵就能压平。

但在232航班的驾驶舱里，费奇只能用两台发动机的推力，像端着两桶分量不均匀的水在窄桥上调节重心，每一下拨动都会带来超调和回摆。

他花了将近十分钟，才把俯仰振荡的幅度从正负十五度收窄到正负五度以内，让飞机的下降率稳定在每分钟一千五百英尺左右。这个下降率意味着，他们还有大约十八到二十分钟的时间寻找着陆场。

海恩斯在这期间已经和明尼阿波利斯空中管制中心取得了联系。管制员最初听到“失去所有液压系统”这句话时，在雷达屏幕前愣了好几秒。这句话在他的管制生涯中，不属于任何一套标准应急响应话术。他翻了一遍应急手册的目录，没有找到“液压系统全部失效”对应的检查单。

他唯一能做的，是迅速给出最近的可用机场方位和距离：苏城机场（Sioux Gateway Airport），位于爱荷华州，方位大约西北偏北，距离约六十海里。苏城机场有一条长度九千英尺的混凝土跑道，跑道编号13/31。那天下午机场天气晴朗，能见度超过十英里，风速不到十节。机场的地面救援和消防设备处于正常待命状态。这些条件不能更好。

但问题是，在一架完全没有液压的飞机上，“对准跑道”这四个字本身就是一整个学科的未解之谜。

DC-10此时已经无法依靠方向舵来控制偏航，无法依靠副翼来控制滚转，无法依靠升降舵来控制俯仰。它只能以一个非常粗糙、非常迟钝的方式响应费奇的油门差动：费奇要调整水平方向，需要先让飞机偏航，等待偏航带来的滚转，再等待滚转改变前进方向的角度。这个过程在气流平稳的高空，已经是一个滞后严重、超调频繁的动态跟踪系统；进入低空湍流和风切变环境之后，滞后会更加严重，超调的幅度将成倍放大。

你想象一下，在高速公路上开一辆方向盘有六秒钟延迟且回馈极其模糊的汽车，被要求以一个车身的误差精确对入一个宽度不到五十米的收费站通道——只是这辆车的速度是两百五十公里每小时，车里还有将近三百个人。在这种条件下，能不能对准跑道不是靠技术，而是接近于靠上帝的视角。

下午3点50分左右，费奇和海恩斯终于把飞机的横向轨迹大致对准了苏城机场的方向。他们的下降剖面完全不符合任何一条仪表进近程序：下降角度比正常下滑道陡得多，速度也远高于常规着陆速度。

飞行工程师德沃拉克手动放下了起落架——他是一个人跑到后舱，钻到地板下面，用手动泵工具一圈一圈转，把起落架锁定在放下位置。这个操作本身在正常情况下是由液压驱动的，现在完全依靠人力转完了数百转。

起落架放了，阻力激增，飞机的下降率急剧跳升到每分钟两千五百英尺以上，空速仍然高悬在二百二十节附近，远高于正常着陆的一百四十节。费奇能做的最后一件事，是在万分凶险的下降剖面中，把两台发动机最后一丝可用的推力差用上，试图在接地前的一瞬间将机翼拉平。

他知道，以这个下沉率接地，飞机一定会拍上跑道，主起落架的结构极限能不能扛住完全未知，也许根本撑不住。但如果机翼不是在横滚姿态中接地，而是相对水平地撞向地面，至少机身不会在第一时间解体，燃油不会在第一时间被断裂的机翼结构引燃。他把左发动机推到最大功率，右发动机拉到慢车，飞机在最后六十英尺的高度上，出现了一个勉强而迟滞的向左滚转反应。

机翼远未拉平——接地瞬间，右侧机翼先于左侧触地，翼尖以二百一十五节的速度割开了跑道道肩的混凝土，紧接着机身剧烈翻滚，连带着折断的左翼、尾翼和大部分机身结构在跑道旁的玉米地边缘向外撕扯、翻滚、解体。一团裹挟着橙红色火焰的黑色烟柱腾空而起，残骸碎片散布在跑道东南侧长达近八百米的区域内。

此刻是1989年7月19日下午4点06分。从费奇跪在驾驶舱地板上把住油门杆那一刻算起，他、海恩斯、雷科兹和德沃拉克四个人，用不对称推力驾驶一架重达一百五十二吨且完全丧失气动操纵面的DC-10宽体客机，在空中撑了整整四十分钟。地面上，苏城当地的消防、急救和州警在飞机坠毁后不到三分钟即抵达残骸区域。

实际的搜救和幸存者统计结果在接下来几个小时内逐渐显现出数字：机上二百九十六人，一百一十一人遇难，一百八十五人存活。存活者中，一百一十二人最终幸存至出院——包括驾驶舱内全部四名在最后时刻仍然握着操纵杆或不属于自己的油门的机组人员。

一个完全可以没有任何幸存者的极端空难场景，最终让过半的人活了下来。我说“过半数”，这个比例本身需要被质疑。百分之六十一的人活下来，百分之三十九没有。残骸里被烧焦的座椅排号里，大多是坐在断裂面附近的乘客。舱毁人亡的那一侧，概率没有感情。

幸存与遇难之间，有时距离不过是前后三排座椅结构还能保持完整与否。这个残酷的统计学区间提醒我们，不要把事情简化为“英雄力挽狂澜”的颂歌。英雄不是挽救全部的。英雄是让本可能全部坠入零点的数字，硬生生向上抬到了过半数。NTSB的调查团队在事发后几小时内即赶到现场。

他们面对的第一个疑点——也是必须要面对的那个疑点——就是这架飞机为什么三个液压系统会瞬间同时归零。他们沿着残骸的液压管线断口往回走，一条一条地追溯。结果是：一号液压管路在尾锥区域被一块高速金属碎片横向切断；三号液压管路在距离一号断口不到十六英寸处被同一类型碎片割裂；二号液压管路的断裂发生在距离前两处断裂不到二十英寸的位置。

所有三套液压系统的管路，在尾锥区域汇聚于同一狭窄的物理通道内。碎片一旦打进这个通道，就可以同时击穿三条管路，不留任何一条备份。为了确认碎片来自何处，调查组需要找到这些碎片本身。他们把坠机现场的泥地和玉米田像过筛子一样梳了多遍，最终在距离机场东南约二十英里的农田里找到了一块重达约二百八十克的钛合金片——它是二号发动机风扇盘碎裂后崩出的一块。对这块碎片进行的显微分析，指向了更深层的答案。

这块风扇盘是GE公司制造的CF6-6发动机的核心旋转部件，直径约两英尺，由钛合金锻造而成。在制造过程中，这个盘件的合金母材内部出现了一个极细微的缺陷：在钛合金的显微结构中，有一个区域存在“硬α夹杂物”——这是熔炼过程中氮气或氧气混入后在金属内部形成的硬脆相微区，密度和热膨胀系数与周围的基体不连续。在锻造成形和热处理之后，这个夹杂区没有消失，而是被压成一条极薄极细的平面形裂纹源，潜伏在盘体的芯部。

在接下来十八年的服役中，这个风扇盘经历了数以万计的“起飞-巡航-降落”循环应力载荷。每一次起飞时温度从地面环境跳跃到巡航低温，每一次满推力爬升时离心力将盘体拉伸到设计的弹性极限附近，那个微裂纹都在亚微观尺度上长大一点点。金属疲劳裂纹从夹杂物边缘开始逐年扩展，像一条极细的黑色线虫在金属的晶格间缓慢蠕动。

它不属于可被常规无损检测发现的那一类缺陷：从外部超声探伤的角度看，它是一个埋在内部、没有开口到表面的内部裂纹，裂纹面积在事故发生前始终低于工业界的“可检阈值”。换句话说，检测手段本身没有出篓子，十八年间没有人漏检了一项该检出的内容——而是这项内容压根不在那个时代检测工具的视野之内。

直到1989年7月19日下午3点16分，裂纹长度达到了风扇盘结构强度的临界尺寸。在高转速下的离心力超过了剩余截面的抗拉极限，盘体瞬间从内部撕裂，裂成飞溅的碎片，撕开了发动机机匣，以高能碎片的形式射向尾锥壳体，击穿了所有三套液压管路。

NTSB在最终报告中认定这起事故的可能原因为：通用电气制造的CF6-6发动机风扇盘内部存在制造阶段引入的冶金缺陷，该缺陷在服役中发展为疲劳裂纹，最终导致盘体非包容性破裂，碎片切断所有液压系统管路。报告同时指出，DC-10液压管路在尾锥区域的并行走线布局，构成了设计上的共因失效脆弱性。这份报告的语气是技术性的，收敛的，不带感情的。

但如果你把“制造阶段引入的冶金缺陷”和1971年那份麦道内部备忘录放在一起看，就会拼出一个比单点故障更复杂的图景。不是“GE造坏了一个风扇盘”，也不是“麦道没有分散液压管线的走向”。而是两个独立决策——制造商的质量控制体系和飞机制造商的设计容错布局——在一个共同的时间节点上会合了。

风扇盘造得不够“完美”，但设计假设了所有关键部件都必须趋近完美才能保证总装的安全；液压管线的冗余建立在“各系统物理独立”的理念上，但设计验证没有充分考察尾部非包容性转子碎片打到管线束的共因后果。

两个以最高标准运营的工程体系，在各自的边界内都是对的和安全的，却在两个体系的间隙处，留下了一条致命的重合线。这就从之前几章技术维修失误的讨论里跳了出来。日航123空难让我们看到的是，即使是波音这样最顶尖的维修组织，也可能因为具体维修工人的铆钉排数失误、签核流于形式以及检查未能复核等原因，酿成系统性灾难。

那是制度的黑洞：检查单划了勾，不代表做了；程序签了字，不代表执行。苏城空难让我们看到的则是另一类更隐蔽的黑洞：检查单全做了，没有漏检，没有工人失误，但系统的生存能力从一开始就被物理布局锁死在了不可承受的风险里。冗余不是假的，冗余是三重备份的、费了重量的、花了大钱的、通过了适航的——但它们在同一个狭窄通道里肩并肩排着队。这就是共因失效。

把三根备份电线绑进同一条线槽，用最好的铜、最厚的绝缘层和最贵的用料，在槽道被截断的时候，三根线齐断，备份数量乘以零。

这就是为什么苏城空难之后，业界被迫重新审视航空安全思维中最根基性的一个概念：失效概率的独立性假设。你计算出来的十亿分之一，建立在“三套系统同时出问题的概率等于它们各自出问题的概率相乘”这种独立事件概率公式上。

但如果它们不是独立的——如果它们的命运在物理上被绑定在同一片碎片路径上——那个乘法公式就不适用了。讽刺在哪儿呢？讽刺不在麦道没有意识到风险。备忘录证明，有人意识到了。

讽刺不在没有技术方案。方案是现成的，工时小、成本低。讽刺在于，工业体系在自己的商业逻辑和风险排序中，把一个概率极低但后果极其严重的事件，划进了“可接受风险”。这种风险排序不是某个人的失职，而是早期航空工业设计哲学的惯常体现：极低概率事件等同于不可能事件。

但航空史已经在反复印证，低概率加上大基数飞行小时，等于某一天某一航班上必然发生的事件。概率是统计学的语言，而某一航班上坐着的那些具体的人，并不活在统计曲线里，他们活在概率的兑现时刻。

GE公司在事故后对CF6系列发动机的旋转部件制造标准进行了升级。新的风扇盘和高压压气机盘在锻造之后增加了更严格的多向超声检测，并改进了钛合金熔炼过程中对氮、氧含量控制的技术标准，大幅降低了“硬α夹杂物”的形成概率。麦道公司——后来的波音——对DC-10和后续机型尾锥区域的液压管路走线进行了物理隔离改造，确保至少一条液压线路远离高能碎片可能的飞散区域，以此打破共因失效的绑定链条。

但苏城空难最深远的技术遗产，也许不在制造业的图纸上，而在全球飞行员的训练大纲里。事故发生后，联合航空和多家主要航空公司与飞行模拟器制造商合作，开发了名为“仅用油门控制姿态”（Throttle-Only Control）的极端应急训练科目。飞行员在模拟器中被置于全部液压和主要飞行控制面板失灵的极端场景，要求仅通过不对称推力差来维持飞机稳定性并尝试着陆。

这个科目的设定直接来自费奇在那四十分钟里的现场操作手法——不是由工程师预先设计好的，不是从事故分析报告里推演出来的，而是由一个人在驾驶舱地板上用手和脑即时创造出来的一套极端生存技巧。在此之前，没有一个飞行员在任何培训阶段见过这个场景。完全液压失效，在航空医学和培训心理学的术语里，被划入“不可训练事件”。不可训练，不是因为技术上做不到，而是因为概率太低，排不进有限的训练优先级。

苏城撕掉了这条边界。它告诉整个行业，那些被认为“不可训练”的极端失效场景，恰恰是决定一架飞机从“全员遇难”变成“一百一十二人幸存”的关键变量。把极端情况装进模拟机，不是为了下一次碰到一模一样的事故——如果下一次风扇盘再炸在三万七千英尺，概率可能是另一个十八年——而是为了让飞行员在遭遇任何一种超出手册的不可预见处境时，手里多握一套思维工具：不要只操纵还能动的，去挖掘所有还能动的。

苏城事故之后，这个原则被写入了民航业逐渐成型的“机组资源管理”和“韧性工程”理论中。它不属于某一本具体的操作手册，但它逐渐沉淀为一套肌肉记忆：当所有正常的、设计的、预期的控制手段全部失效时，你还有什么是能动的，你还有什么资源没有被摧毁，你能不能在现场重新组合它们。2015年深秋，美国中西部某飞行培训中心的一间模拟机教室内，教官站在讲台前，面对十二名刚入职的年轻副驾驶。他们将在接下来两周内完成紧急情况的模拟飞行训练。

教室的白板上写着当天下午的科目名称：Total Hydraulic Loss — Throttle-Only Control（全部液压丧失——油门控制）。教官没有讲苏城。他调出一段模拟飞行录像，画面上是一架现代双发客机，在液压全部归零之后，仅凭左右发动机不对称推力，在跑道上完成了一次极其勉强的着陆——机身拍在跑道中线上，弹跳两次，偏出中线十几米，但没有机毁人亡。录像结束，教官按下暂停键，说了句：“这招不是教材里生出来的。是一个人在地板上发明的。你们接下来要练的，是把他的发明变成你们的本能。”

屏幕上飞机残骸的模拟画面定格，教官没有再说多余的话。