永不到达的零事故

《空中浩劫》到2026年6月2日已播出297集。两百九十七起空难，每一集都是一份删节版的事故调查报告，都有同一个叙事弧线：起飞、巡航、突发、挣扎、坠落、调查、规则修改。片尾字幕打出调查结论，安全建议被发送，然后进入下一集。

观众看完一集，记住的是坠机瞬间的惊悚；航空业看完一集，记住的是调查得出的那条规则。两种记忆完全不同。

这个不断更新的数字像一面镜子。它首先照见一个残酷事实——素材库似乎永不枯竭。

从1908年塞尔弗里奇坠机身亡，到2024年全球航空网络每天十几万架次起降，事故从未被根除。

它同时又照见另一种事实：两百九十七集里几乎每一集的结尾，都有一项制度改变被写入现实。

没有《空中浩劫》这根线索，普通人很难看清航空安全史的主轴。它不在驾驶舱里，不在飞机设计要求里，而在事故调查的文档堆里。

那些文档反复讲述同一个逻辑：制度不主动进化，制度只对惨剧做出反应。从1908年到2024年，一百一十六年。

这个时间跨度里，航空从表演性冒险变成大规模公共交通，从木质骨架加帆布变成复合材料加电传操控。变化巨大，唯独零事故这个目标没有被移近一步。它不是一个可抵达的终点，而是一个必须持续逼近的方向。

每一次逼近，都依赖同一个机制：用逝者的生命换取生者的规则。这不是诗性概括，这是一条一条规则翻过去能对得上的账本。

第一条规律：事故驱动。制度从不主动进化。它只对惨剧做出反应。这句话放在其他领域也许显得过于锋利，可航空安全史的每一页都在为它作证。

适航标准的起点，不是某位工程师在实验室里提前推演出了结构失效的所有可能。它起步于1910年到1930年代一连串令人难堪的事实——飞机在商业客运的雏形阶段频繁坠毁，结构失效、发动机停转、操纵面震颤，公众对航空的信心忽高忽低。1931年3月31日，福克F-10型三引擎客机在堪萨斯州巴扎德附近坠毁，八人遇难，死难者中有橄榄球名帅克努特·罗克尼。调查结论指向机翼内部一根木质翼梁，因胶合层受潮腐烂而失效。

一个全国知名人物死在一架“木头腐了”的飞机上，这个事实比此前许多技术报告都更能推动立法。国会迅速修订1926年的《航空商务法》，把民用飞机的适航认证权力交给商务部长，所有新机型必须取得型号合格证方可投入客运。福克公司因此破产，木质承力结构从客机上迅速退出。适航检查员开始进驻工厂，他们手里那本检查单，每一条几乎都能对应到此前某场坠机。

不是监管者突然变得勤奋，是此前死掉的那些人把规则逼了出来。驾驶舱程序也一样。

1978年12月28日，联合航空173号航班从纽约飞往波特兰，机上181名乘客和8名机组成员。飞机在波特兰国际机场附近等待降落时，起落架放下指示灯没有按预期点亮。机长决定盘旋检查故障，让燃油一点一点烧掉。副驾驶和飞行工程师多次提醒油量不足，但话绕着弯子说，语气试探，不敢直接挑战机长的判断。机长把所有注意力放在起落架指示灯上，没有听到“立刻落地”这个信息。DC-8最终燃油耗尽，掉进一片没有起火的树林，十人丧生。

美国国家运输安全委员会在调查报告里没有把原因归结为“机长失误”便画上句号，而是一直追到驾驶舱内的沟通结构：等级压制让副驾驶不敢发出清晰警告，机长得不到有效信息。这份报告和此前此后一系列相似事故的调查一起，逼迫航空业发明了一套叫驾驶舱资源管理的东西——让机组人员学会跨过等级落差、用明确词汇表达危急判断。今天全球所有飞行员都要反复训练这个。这不是因为人变聪明了，是因为有人已经死在沟通失效里。

空管系统的现代化同样如此。1956年6月30日，联合航空718号航班和环球航空2号航班在大峡谷上空相撞，128人无一生还。两架飞机当时都在“不受管制”的高度飞行，雷达覆盖不到，地面无法提供间隔。事故发生后，美国联邦航空局于1958年成立，雷达覆盖网络得到大规模拨款建设，航路间隔规则被重写。此后每一次间隔规则收紧，背后都有一场碰撞或危险接近。

规则总是落在撞击残骸之后，从不提前。独立调查制度也不是一开始就存在的。

1974年3月3日，土耳其航空981号航班在巴黎郊外坠毁，机上346人遇难。同样是DC-10，同样的货舱门故障。事实上，1972年6月12日，美国航空96号航班已经发生过一次几乎相同的货舱门脱落，飞行员靠高超技术把飞机救回来，落地后调查发现货舱门锁机构存在设计缺陷。麦道公司知道这个问题，也承诺修改，可整整两年间，那扇门还在带着隐患飞行，直到土耳其航空981号航班的货舱门在空中打开，客舱爆炸性减压，控制缆索失效。三百四十六个人死去。

调查越挖越深，公众开始看到另一层：当调查权握在航空公司和制造商手里时，很多问题会被掖住。

独立的调查机构由此成为一种全球趋势，美国的国家运输安全委员会成为独立调查的标杆，国际民航组织《芝加哥公约》附件13则把调查独立性写进国际规则。这条原则不是会议室里谈出来的，它从巴黎郊外那片散场树林里长出来。

第二条规律：滞后性陷阱。技术风险总是在大规模投入使用之后才充分暴露。

制造商可以测试，可以模拟，可以认证，但真实世界要比实验室复杂得多。每一架飞机都要经历数万次增压和减压，经历从赤道到北极的温度跨度，经历不同公司维护水平参差不齐的检修，经历不同训练背景下机组人员的操作偏差。投入运营之前的任何测试，都无法穷尽这些组合。

彗星号是喷气时代的第一个血证。1952年，德哈维兰公司的彗星号投入商业运营，把客机的巡航高度和速度拉到新的高度。为了维持客舱压力，机身必须承受反复的增压循环。

1954年，两架彗星号空中解体，残骸沉入地中海。打捞和测试持续数月，最终问题锁定在金属疲劳——方形舷窗的尖角成为应力集中点，裂纹在反复增压中扩展，直到结构崩裂。

方形窗子今天看来是明显的错误，可当时没人知道金属疲劳会这样起作用。彗星号的事故教会航空业两件事：客机舷窗必须是圆角，全尺寸机身疲劳测试必须成为适航认证的一部分。

两道规则都是事后补上的，前后死了五十六个人。波音737MAX的MCAS系统是滞后性陷阱的最新注脚。

2018年10月29日狮子航空610号班机坠毁后没过多久，联邦航空局就发现全球所有737MAX——包括正在试飞和商务机改装型号——都装了一套叫MCAS的系统。它被设计用来在失速和翻滚保护逻辑中压低头，防止机头仰角过大。问题在于，飞行手册和737MAX的训练项目里根本没有提到它。很多人以为737MAX的操作和737NG差不多，波音在宣传时也把这个当作卖点之一。那些从737NG转来的飞行员，不少人根本不知道飞机上有这套系统——它藏在一个不需要你主动选择的自动逻辑里。系统在某些情况下会被错误触发，反复把机头往下推，而飞行员手里的资料里没有它的名字。

2018年10月，狮子航空610号航班的飞行员在起飞后与这个不知道存在的系统搏斗了二十六次，最后坠海。

这套循环有它固定的节奏：设计者认为风险很小，制度接受了这个判断；风险在真实世界里爆发，制度才醒来去修订规则。不是波音一家的问题，而是所有复杂技术都要穿过的一条窄路。

锂电池火灾现在就处在这样一个滞后性陷阱的入口。它的风险不是未知，它的一部分风险已经被认识和讨论。国际航空运输协会和各国适航当局都收到过关于锂电池热失控的测试数据，知道货舱灭火系统对大规模热失控的效果有限。但规则修改的速度赶不上电池流入全球航空体系的速度。客舱乘客的行李里有电池，货舱里有成箱的电池，货运公司依赖电池运输，电商平台依赖速度，制造商的升级方案被列为可选配置。风险被讨论过，但没有变成足够严厉的强制规则。下一次火警响起时，商业博弈和标准文本都会被压进浓烟里的三分钟。这个循环还没走完。

第三条规律：制度韧性。前面两条规律听起来残酷：制度只对事故做出反应，而且每次反应都滞后。如果只看到这里，航空安全史就成了一部永远被事故追着跑的悲剧。

但还有第三条规律，同样来自一百一十六年的事实。航空安全制度百年尺度上展现出一种惊人的自我修正能力，这个能力不是天生的，它被几项制度发明建构出来。

独立调查权，让事故调查可以离开航空公司和制造商的利益链条。驾驶舱资源管理，纠正了早期航空中机械化的职级关系。国际民航组织的标准体系，让各国规则不再各写各的、彼此不认。飞行数据记录器和舱音记录器的强制安装，让事故原因不再依赖幸存者的口供和调查者的猜测。

这些发明不是某一项天才政策，它们是一整套相互咬合的装置。这套装置的学习能力可以用一个数字看到轮廓。国际航空运输协会的统计里，全球喷气式客机全损事故率从1960年代每百万飞行架次约五起，降到1970年代三起，再降到1990年代一点五起，到2010年代后稳定在零点三起以下。每年全球商用航空运输超过四十亿人次旅客，全部致命事故有时不到十起。这个数据不是用来证明航空安全已经完美，而是证明这样一套从错误中学习的系统可以工作到今天这个程度。

但制度韧性有一个被忽略的前提：它对错误有记忆，对遗忘也必须有意识。第一次遇到某种事故时，系统会建立一套纠正计划；

等很长时间没有同类事故发生，系统的敏感度就会下滑。安全不是一种可以储存的货物，它是一种不断被腐蚀、又不断被修复的状态。历次空难调查留下来的教训就像半衰期固定的放射性同位素，过了足够久，没有新的强度来源，它自然弱下去。

责任也会有重量分配上的移动。事故刚刚发生时，责任会被安放到多个层面：设计、适航、训练、维修、运行环境。可慢慢地，链条向上游的追问少了，责任往下沉，最后慢慢压在机组和维修人员身上。

表面看，每一次改写规则都形成了一个闭环。实际看，闭合之后还有一个遗忘的过程。事故不再被反复讲述时，它留下的教训就进入档案馆，变成待查的档案而非活记忆。

航空业每一代从业者都会有人退役、转岗、离开。最了解某次事故的那个人退下来，带着他那套“当时怎么回事”的知识走了，系统就会像是丢失了一块免疫记忆。这个遗忘曲线和事故驱动循环一样真实。若问为什么零事故永远无法到达，答案其实不在工程师那里，也不在监管者那里，而在人和制度的时间尺度里。

技术可以无限改进，但执行规则的人会换，解释规则的人会换，写规则的人也会换。天空是物理环境，风险不会消失；制度是人的产品，它会磨损，会沉底，会遗忘。安全不是一个可以到达的状态，它是一种要每天重新争夺的局面。

把“永远无法到达”和“必须持续逼近”放在一起，才是一百一十六年航空安全史的真实结论。站在2024年往回看，用历史换来的规则不是一堆死条文，它们活在一代代从业者的训练和操作里。

往前看，最紧迫的风险正在从传统机械故障转向新的方向。第一个方向是人工智能辅助驾驶。机器学习模型和传统自动驾驶系统不一样，它的逻辑不是写在程序里的一条条可判读规则，而是从数据中涌现出来的权重。当这种系统进入适航流程，认证机构会遇到一个尴尬：你没法像审查一台传统自动驾驶仪那样审查一个你不完全理解的系统。欧洲航空安全局、联邦航空局等监管方都在投入精力做人工智能认证框架，但标准尚未成型，争议还很大。技术不等人，有些AI辅助功能已经在测试，认证规则还在讨论稿阶段。

第二个方向是无人机。近几年全球无人机数量急剧增加，小型多旋翼飞机挤进民航机场周围的低空空域。飞行员在进近时报告“看见无人机从机翼下方掠过”的事件出现了不止一次，很多无法被现有雷达识别。传统空管系统的雷达和无线电架构，面对这类长航时低空飞行的小家伙显得很笨。无人机远程识别和交通管理系统在试验，但各地进度参差不齐。

一次严重的无人机和客机相撞事故若发生，规则就会突然加速。这是历史反复上演的节拍：风险先积累，事故后规则。

第三个方向是气候变化。大气增暖改变急流强度，晴空湍流和极端天气风险比以前更难预测。晴空湍流没有明显的雷达回波，机组有时来不及通知乘客系好安全带，受伤因此发生。这不是飞机设计不能解决的问题，而是整个全球气候系统正在改变飞行条件的背景。航空安全制度对此只能做适应，无法根治。

它提醒所有人，飞行安全从来不只是飞机和机场的事，它嵌在一个更大系统的变动里。要说这一百一十六年已经“胜利”是错的。要说它“毫无希望”也是错的。

它真正教会航空业的是：诚实地面对错误，从错误里提取可用规则，再诚实地让规则活到下一次暴露失效为止。这不是史诗，这是一条有时迟缓、有时英勇、更多时候平凡枯燥的学习曲线。塞尔弗里奇1908年的死没有立刻催生法规。

但它是第一道刻痕。之后一百多年里，刻痕不断增加，每一道都有人付过代价。有些代价巨大到不可承受，比如三百四十六人的土耳其航空981号航班，比如三百四十六人的狮子航空610号航班和埃塞俄比亚航空302号航班，比如大峡谷上空的128人。死者的名字有些留下来了，有些散失在档案里，但他们留下的结果实实在在：适航认证、圆角舷窗、独立调查、驾驶舱资源管理、货舱烟雾探测、空中防撞系统。每一项都能溯源到某一场事故。

所以航空安全史不是技术胜利史。技术是工具，它有时先进，有时不够；它有时救人，有时误判；它一直在进步，但进步不必然带来安全。只有在技术的使用和限制被制度约束之后，它才变成安全的帮手。这也不是一部英雄史。

1959年，全球喷气式客机每百万飞行架次发生约五十起全损事故。到1970年代，这个数字降到三起左右。1990年代，一点五起。2010年代之后，长期稳定在零点三起以下。这条曲线如果画在图表上，会呈现一个陡峭的下降，然后进入一个漫长的、不肯归零的平坦区。国际航空运输协会每年发布的安全报告里，这条曲线被反复引用，既用来证明进步，也用来提醒所有人：平坦区的存在本身就说明，有些风险无法被现有制度框架彻底消化。

曲线的陡峭下降段，对应的是那些“低垂的果实”——结构失效、发动机故障、可控飞行撞地、空中相撞，这些问题一旦被识别，工程方案和操作规则可以相对明确地加以解决。圆角舷窗解决了金属疲劳的应力集中点。近地警告系统解决了机组在不知情状态下撞山。空中防撞系统解决了两架飞机在管制盲区里对头接近。每摘下一颗果实，曲线就往下走一截。

但进入平坦区之后，剩下的问题不再那么容易被一项技术或一条规则单独解决。它们藏在人机交互的缝隙里，藏在组织流程的惯性里，藏在商业压力对维修决策的挤压里，藏在飞行员疲劳累积的不可测量性里。这些问题不是没有被识别，而是每一次试图解决它们，都会触及比技术更深层的结构。

以飞行员疲劳为例。疲劳导致判断失误的证据可以追溯到1940年代，但直到1980年代，飞行时间限制和休息要求仍然由各家航空公司自行掌握，标准参差不齐。美国联邦航空局在1990年代试图修订疲劳规则，遭到航空公司强烈抵制，理由是成本过高和排班灵活性受损。规则草案在听证、游说、经济分析报告之间往返拉锯，前后拖了二十多年，直到2011年才最终颁布新的飞行时间限制规定。

这期间有多少起事故与疲劳有关，无法精确统计，因为疲劳不像金属裂纹那样可以留在残骸上被测量。它只出现在舱音记录器的对话节奏里，出现在机组遗漏检查单条目的频率里，出现在调查报告“可能因素”那一栏的措辞里。二十多年的拖延，不是技术障碍造成的，是制度在成本和风险之间反复权衡时，天平倾向于哪一端的惯性造成的。

同样的惯性也出现在维修外包和监管链条断裂的问题上。2003年1月8日，全美航空快运5481号航班在北卡罗来纳州夏洛特起飞后失速坠毁，21人遇难。调查发现，飞机在两天前由一家外包维修站进行过升降舵控制钢索的调整，维修技师没有按照手册规定的步骤操作，导致钢索张力不足，起飞后升降舵无法提供足够的俯仰控制。进一步追查发现，这家维修站此前从未维修过该机型，航空公司也没有对其进行充分的资质审核。

外包维修不是问题本身，问题是外包链条上的每一环都在假设上一环已经完成了正确的操作，而监管者没有足够的人力去逐环检查。这个逻辑和土耳其航空981号航班货舱门的责任链条如出一辙：设计者知道缺陷，制造商承诺修改，航空公司等待修改，监管者信任制造商，最终一个环节的断裂让三百四十六人付出代价。三十年间，从巴黎郊外到夏洛特跑道尽头，链条断裂的模式没有本质变化，只是断裂的位置从制造商转移到了维修外包商。

这些案例揭示了一个比“事故驱动”更深一层的结构性问题：制度不仅只在事故后做出反应，而且它做出反应的质量，取决于事故本身的“可见度”。

塞尔弗里奇之死可见度极高——他死在公开飞行表演中，众目睽睽之下，军方和公众同时受到冲击。克努特·罗克尼之死可见度同样极高——一个全国知名的橄榄球教练，死在一架木头腐烂的飞机上，新闻标题本身就是政治压力。大峡谷空中相撞，128人，两架当时最先进的客机，残骸散落在国家公园的峡谷里，公众想象被剧烈冲击。

这些高可见度的事故，推动规则的速度最快，阻力最小。但另一些事故，死伤人数少，或者发生在偏远地区，或者没有知名人物遇难，或者调查结论被商业利益遮蔽，它们推动规则的力量就弱得多。安全曲线上的平坦区，有一部分正是由这些“低可见度”事故构成的——它们提供了足够的信号，却没有产生足够的推动力。

这就引出了制度韧性的另一个必要条件：独立调查机构必须拥有不受可见度影响的调查意志。美国国家运输安全委员会的调查员有一句内部准则，大意是：每一具遗体都值得同样认真的调查，不管他是坐在头等舱还是经济舱，不管飞机掉在曼哈顿旁边还是掉在阿拉斯加的冰原上。

这句话听起来像是职业道德宣言，但它背后是一个制度设计：调查经费来自联邦拨款，不受航空公司或制造商资助；调查报告的发布权限完全掌握在委员会手中，不受交通部或联邦航空局审查；安全建议虽然不具强制力，但公开发布后形成舆论压力，迫使监管方回应。

这套设计不是一开始就有的，它是1967年运输部成立时将安全调查职能从联邦航空局剥离出来的结果，而那次剥离本身，又是对1950年代和1960年代一系列调查争议的回应——当时联邦航空局既要推广航空业发展，又要调查航空事故，利益冲突显而易见。制度学习不仅体现在规则内容上，也体现在规则制定者的组织架构上。

然而，独立调查制度也有它无法覆盖的盲区。当事故发生在调查能力不足的国家，或者涉及政治敏感时，调查的独立性和彻底性就难以保证。2014年马来西亚航空370号航班失踪至今，残骸主体仍未找到，调查无法完成，安全建议无法提出。2020年乌克兰国际航空752号航班在德黑兰起飞后被导弹击落，调查过程受到地缘政治严重干扰。这些案例提醒航空安全制度：它嵌入在一个更大的国际政治系统里，而那个系统的运行逻辑并不以航空安全为优先。零事故之所以永远无法到达，部分原因就在于航空安全制度无法控制它所嵌入的外部环境——战争、政治冲突、经济崩溃、监管腐败，这些因素会周期性地撕开安全网的边缘。

回到那条百万架次率的曲线。平坦区之所以平坦，不是因为制度停止了学习，而是因为每一次学习都在抵消新的风险增长。全球航空运输量在过去二十年里翻了一番，飞机起降架次、飞行小时数、旅客人数都在持续增长。如果安全水平保持不变，事故绝对数量应该随运输量同步增长。

但事故绝对数量没有增长，它被压在每年个位数的水平上。这意味着制度学习的速度刚好赶上了风险暴露的速度——不是超越，是勉强持平。这是一种动态平衡，不是静态的安全状态。每一次规则修改、每一次技术升级、每一次训练改进，都在为这个平衡贡献砝码，而每一次商业压力、每一次监管松懈、每一次遗忘曲线下滑，都在从另一边增加砝码。天平从未真正稳定，它一直在微幅摆动。

约翰·考克斯这样的资深安全顾问，职业生涯跨越了从1970年代到2020年代的半个世纪。他飞过螺旋桨支线客机，也飞过喷气式宽体机；参与过事故调查，也参与过航空公司安全管理体系的建设。

英雄飞行员存在，他们做过极其出色的事，但英雄的出现往往意味着制度没有在此之前拦住危险。真正的制度进步，是尽可能让每一个普通飞行员和普通工程师在框架内部就能做出正确动作，而不是靠某个天才在最后一秒拯救飞机。这场百余年的学习，主角是那些在残骸中追问为什么的人。

他们可能是调查员，也可能是最早把答案写进法律的人。他们的工作不产生让人热血沸腾的瞬间，他们多数时间在整理残骸、逐字听舱音、查维修记录、写安全建议。正是这些动作，把一次一次局部悲剧转化为全行业的规则调整。2024年还有人在开会，讨论人工智能驾驶系统如何通过认证。

会场上争议条款还没落定，窗外跑道上一架架飞机照旧起降，尾翼上的标志从各国各大洲飞来。雷达屏幕光滑地转动，空管员一声声指令放行，客舱里乘客正在系安全带。这一切的平稳，不是零事故的自然状态，而是过去一百一十六年从残骸里长出来的规则正在运行的样子。运行不代表不会停。

会议还会继续，规则还要再变，而下一粒火星已经在某个舱单或电池组的温度曲线里潜伏。人类已经学会更诚实地面对自己的错误，这份诚实不保证零事故，只保证每一次轰响之后，总会有人俯下身子去追问“为什么”。