【文/观察者网专栏作者 冀犇爿】

“中国男儿，中国男儿，要将只手撑天空。睡狮千年，睡狮千年，一夫振臂万夫雄……”

这首歌首次发表的1906年，“海波澄碧春辉丽”的雅韵早已不存，“炮震烟迷船掀侧”的国殇也已不复天朝自信自尊的谷底。历尽了瓜分狂潮、庚子国变、旅顺大屠杀和“三国干涉还辽”，中堂老人在马关签名的那个4月17日，已是恍若隔世的前尘。

这个新的4月17日，孙中山正从英占香港起程前往日本东京；即将到达自己组织新总部的他并不知道，打出这个组织旗号——“同盟会”的第一场武装暴动，将在年底出人意料地自发打响，让萍乡、浏阳、文家市这些后世熟悉的地名，在中国革命的历史舞台上初试啼声。

然而，这年的孙中山，确实在给旅日俄侨鲁赛尔（民粹党人，《民意报》主编）的复信中正确预言了另一场大势：

“可能我未曾正确理解您对美国资本家的呼吁，但……我坚决相信：如果我们稍微表现出要走向这条道路（“拥有工业威力而成独立国家”）的趋向，那么整个欧美资本主义世界就会高嚷着所谓‘工业的黄祸’了！”

美国国家航空宇航博物馆收藏的“莱特牌”自行车

这一年，美国俄亥俄州的铁路笔直锃亮。某个新铺的道口旁，莱特牌自行车厂的老板韦尔伯和奥威尔，拿到了“改变翼梢附近气流入射角实现滚转”控制技术的美国专利权。

美国的另一角，已成为机械师的冯珠九/冯九如，刚留下他的名言：“日、俄战事大不利于祖国，当此竞争时代，飞机为军事上万不可缺之物。与其制一战舰，费数百万之金钱，何不将此款以造数百只之飞机，价廉工省。倘得千只飞机分守中国港口，内地可保无虞……”

千里南疆雾茫茫，故国土，自难忘。狂涛骇浪，几处设国防。

一曲“驾鹤飞渡太平洋”的祖国歌，将要由他那双带着油污的长茧的手谱写出来了。

一、肥豹往事

“无因吾毙而阻其进取心，须知此为必有之阶级。”

——冯如，最后一次试飞事故牺牲前，中国

沧海桑田一百二十年过去，茫茫烟雨中，我来了趟阎良。找熟人，兼找肥豹。

去功勋飞机展示园时，正好赶上天晴了，只有草叶和金属机身上还挂着一些积水

大约2008年前，阎良用过的奇形怪状试验机体是大致随意摆放的。随着经济上逐渐有余力，中航工业也开始注重遗迹保护；试飞院从它们中选了几架重新刷漆，做了一排蓝白马赛克瓷砖的底座台子支棱起来，纪念这个体系的来时路。

到今天，功勋飞机园已新增了不少飞机，瓷砖台子不够用了。试车台、弹射试验台、黄色的蓝鲨战机原型机都是直接停地上的，肥豹也不太例外，被三个钢筋支架架起来抬头望天，与同样布置的“十号工程”一左一右拱卫着大预镇馆之宝。

“肥豹”这个外号与钟慧宁并无关系。它最初应该源于AA盛行在1996年根据原型机照片开发的1/48飞豹板件明显测算错误，将机身投影面积估宽了——那一年，曲折的飞豹试飞史其实还没有结束，085号原型机直到当年八月才摔。

飞豹作为我国真正从头设计气动布局的第一个量产主战型号，表盘振散、油箱漏尽、飞掉座舱盖等各种骇人听闻的特情，覆盖了已知的全部五架原型机。然而，它们的经历和结局缺乏系统性的权威宣传，坊间传说各种张冠李戴，且随着时间流逝变得越来越混乱。弄到现在，一些细节我也搞不明白了：例如似乎从未见过实机照片的082，到底是与做了静力实验的002同一架？在1995年飞完了定型科目移交海军？还是如我长期所知的那样，在1994年4月（卢军那一次）摔掉了？

好在，关于这架在功勋飞机园安享晚年的083（084机体改喷083机号）公开信源非常多，因此最危险的一次特情可以确定发生在它身上：先是振动（试飞目的就是调查振动），然后在11000米高空“砰”一声飞掉了方向舵，受控降落到跑道上时（已经创造了喷气式飞机的纪录）一侧机轮爆胎，最后第一次放减速伞打不开伞。

《航空知识》出过这个场景的美术作品

英雄试飞员黄炳新的天才技艺和无畏精神是083每次平安归来的关键因素。前些年上映《长空之王》，黄老作为顾问还应邀出席了发布会。然而现实飞行不是电影，天才与勇敢之上，最终决定因果的仍然是唯物主义现实——而那个年代更现实的可能性仍然是，英俊完美的主角靠30升油迫降成功、挽救了飞机数据，实现了壮举收获了爱情，同年轻锐气完成和解，发展了完美的剧本弧光，然后下一次日常飞行发生一等事故乏善可陈地死掉了。驻地武警民兵留下一辈子心理阴影，师部荣誉室留下两个变形的飞行头盔，家里留下悲痛欲绝的新婚妻子，以及空军大校央金卓玛那首不太流行的歌：

“每年的这个季节，已是梨花飘散的时候。我站在高高的梨树下，祈祷他平安；他飞上了天空，于是空中星星点点……”

卢军出事时，空军干部潘冬兰的爱人李中华还没有歼10可飞，自然也没有八一勋章和名满天下；那年他正奉命在外国进修，夜里刮风掀起家里窗帘，把潘冬兰放在窗台上的飞机模型带到地上摔碎了。她后来回忆：“……我一下就坐起来了，一见模型摔了，我的心就开始慌……那两天还在‘那种氛围’里，特别紧张，一晚上都没法睡觉。越想越害怕，那就乱想了，这样那样想，本来女人就爱瞎想……”

第二天，潘冬兰找到领导，请他设法立即联系一下李中华。90年代初的军队打电话十分麻烦，但领导看到她急得眼泪汪汪的样子，当即去外事办打了专线，然后告知一切都好，最近理论学习，人在地面压根没飞。那个飞机模型真的就是被风吹掉了。

潘冬兰

卢军牺牲的经过我始终没见过准确说法，但飞豹定型前后牺牲了3个试飞员，另两个已经给我留下了足够深的心理阴影。公开正规刊物的报道记载：

“1996年8月12日上午10时57分，试飞员杨晓彬和领航员唐纯文驾驶飞豹085试验机……飞机故障所有操纵面全部卡死，两人坚持将飞机带回，但放不下起落架，而且飞机故障严重难以操作。地面指挥要求飞行员跳伞，但被两人拒绝；师长再次要求跳伞，仍被拒绝，（飞行员）坚持要把飞机飞回来……当时有XX的厂家代表在现场，公司代表抢过对讲机大喊：跳伞，飞机只要给我们一个月时间我们就再造一架出来！飞行员依然拒绝跳伞并准备机腹迫降，但迫降时因失控导致无法操作，085机体未对准跑道，机腹滑行一段时间后整个飞机倒扣过来，座舱盖被完全磨平。……”

这段描写给我的印象极深，至今仍能一字不漏回忆出来。

曾在公开刊物发表的、极为罕见的“飞翔的豹”官方logo与飞豹试飞员集体合影。在笔者记忆中，这架机体就是今天功勋飞机园的那一架

多年前曾因故见到过真的飞机残骸。机务的领导反复讲，他们的工作是一手托着战友的生命、一手托着国家的财产；其实科工方向的人，何尝不是如此呀。

二、槽性、因果、故障树

“光阴似流水，不一会，课毕放学归。我们仔细想一回，今天功课明白未？老师讲的话，可曾有违背？……”

我们很多研究生在招生面试时，都曾把我们老师说的“可靠性”听成“槽性”——入学后很长时间，我才真正理解了这两个字的重量。

我外婆家是一个农村军属家庭，舅舅在某军区高炮旅，提干了仍然省吃俭用，省下被装寄给老人和姐姐（也就是我妈）；我爸那一套陪他走遍了许多水库鱼塘，三十年不仅没开线，连颜色都没掉。因此从我记事起，我家老一辈都有种“解放军军品质量崇拜”，受此影响的我也曾一直以为，只要打上军工行业、国防科技系统名头的产品，天生做出来就是最稳妥、最可靠的。

直到大四进入总体方向，我也知道了更多类似上一节飞豹的事情：

飞掉座舱盖的那件事，后来发现是某个工人装反了舱盖的一枚活门螺钉，使舱盖虚接，在空中被风整体吹落。那是我国空难频发的年代，浙江同期另一起民航事故，一般认为是图-154操纵系统组装中负责升降舵一个自锁螺母的工人未装专用开口销紧固，使其在飞行中松脱，导致操纵杆俯仰控制失效。

我上大学时发现校园外的公园曾经是机场，然后因此听说了当年附近那场祖国大陆迄今最大的空难——那次事故的源头可以追溯到苏联航空工业的机电设计部门，图-154航电系统中一个叫БДГ-26的阻尼单元插口设计不防呆，不同通道的插头形状完全相同！地勤检修安装架时，误将滚转通道Ш7与航向通道Ш8接反，使两套阻尼器的短周期振荡抑制信号互相输出到对方方向。航班起飞后，滚转阻尼器试图抑制方向舵，偏航阻尼器试图抑制副翼，最终两个方向积累的振荡越来越大，形成过载超过结构极限的飘摆动作，将飞机空中解体。

甚至载人航天工程中，也出过调试员误操作、推动已组装的火箭竖直撞上工作平台，造成箭体18处撞伤的事（图为该箭体经勘查后带神舟二号飞船顺利升空）

我的老师25岁从教，带了一辈子可靠性，最先教给我的就是态度——航空航天是十分严肃的事情。它并不因特殊的身份而天然安全可信；它只特殊在，一个人在其中不负责不认真，引发的微小隐患/症候，危害可能比其他任何行业都要大。

然而，超脱个人、站在系统整体视角，真正万无一失的“完全纯洁”是难以永续的。对需要在全寿命周期“久经考验”的航空领域尤其如此；即使对目前仍以“一次性”为主的航天，由于经费、时间节点等原因，有时也可能要像当年“神二”时那样，面对一枚被撞伤18处的火箭，判定能否允许它带着飞船朝天上打，而不另造一发、整个进度推倒重来——也就是说，分析推算这18处“基本事件”是否会造成火箭整体在任务完成之前“故障”或失效。

工程可靠性这门学科，是研究装备寿命周期各种故障的机理分析、预判预防和解决方案的。它从本质机理上梳理复杂系统这种“牵一发而动全身”的脆弱性，预判失效隐患的发生概率和对装备的影响。

在航空航天中，可靠性关联到质量工程与安全性工程、故障诊断/健康管理与运维优化、系统工程与环境工程试验，如今还涉及AI质量特性技术和智能自主系统等。但要在其中找一件最基础、最底层的工具，那么应该是连通“微小隐患”与“严重后果”的故障树：

仙侠小说中，突破一定境界的大能往往修炼一门特殊神通，窥破世间各种事件之间的因果链，借此预判如何行事才能免沾不必要的因果，降低将来遇到境界困死、天道反噬之类“失效”的风险。在工程领域，故障树分析（FTA）就是这门“知过去世因缘、观未来世果报”的功法。它针对（预期）故障即“顶事件”，自上而下、层层穷尽可能的问题源头，从而将“顶事件”与诱因（底层事件）一目了然地连接起来，便于对事件之间复杂的因果进行逻辑归并、寻找薄弱点或“最短突破口”、计算单个部件失效引发故障概率和对故障“贡献”的重要度等，从而定性地预判系统设计中的不可靠环节，以及各种可能的故障模式。

美国“赫尔墨斯”立方星2011年失败后复盘研究者绘制的星上电力系统（EPS）故障树，顶部事件（结果）即是EPS的失效。EPS负责发电、储电和配电，与姿态确定与控制(ADCS)、指令与数据处理(CDH，即中央计算机)模块共同构成小卫星的核心子系统

故障树既适用于事故发生后试图复盘的调查者，也适用于机务管理（确定维护检修项目）和系统最初的设计人员。当年波音737MAX的一年之内两次空难，直接原因均在于其臭名昭著的“机动特性增强系统”（MCAS）：

MCAS赖以决断的信号输入单独依赖攻角传感器，但数据却只任取了机上两个攻角传感器输出中的一个（引入必然发生的开关事件“攻角传感器2对MCAS故障”）；

MCAS对舵面输入的优先级高于自动驾驶和操纵杆；

MCAS同时对飞行员透明（引入两个必然发生的开关事件“飞行员无法定位受MCAS操纵的低头原因”、“MCAS无法人工断开”）。

结果是，启动时的MCAS是否在“发疯”，100%依赖这个1号攻角传感器提供的输入值正确；而这个如此“偏听偏信”的MCAS一旦启动，其操作无法被任何其他系统（包括飞行员）抵消。也就是说，原本对“飞机失事”这一故障“贡献”基本无关紧要的底层事件“1号攻角传感器读数虚高”，突然在航司、机务、飞行员均不知情的情况下，形成了一个直通坠机顶层结果的最小割集，被增加了“全机危亡系于其身”的极端重要度。

波音在这里犯了非常经典的“形成单点故障（SPOF）”低级错误

结果，当时使用737MAX最频繁的两个客户——美国和中国，由于地勤均严格保证了1号攻角传感器随时正常、一直避免了上述那个底层事件发生，反而均未首先出事故。两起空难均发生在机务文化相对散漫的全球南方国家，在波音制造的另一巨坑——“两个攻角传感器读数不一致时不报警”下，当事航司/地勤对“单个攻角传感器失效/未校准”缺乏主动查明能力、或察觉但认为问题不大可以暂时凑合，从而打穿了这棵故障树的最顶层。

三、飞向深远的可靠性、与收敛到平淡的可靠

千里南疆雾茫茫，故国土，自难忘。狂涛骇浪，几处设国防……冬去春来十余载，图万卷，鬓如霜。

——陈一坚

将我们对故障树的关注重点从“打通最小割集”移到“哪些底层事件的组合可以保证顶层故障不发生/故障树打不通”，就可以得到另一种研究方向——战损分析：一个航空装备在损坏到什么情况时，仍能不发生我们想避免的“坠毁”、“失速”、“解体”或其他最终故障。

航空装备升力面、操纵和推进系统遭受打击后建立的功绩，仍然沐浴着科学和唯物主义的光辉

不带事件概率数据的故障树分析可以帮我们理解系统，而要像前节中说的那样，对特定系统计算单个部件失效引发故障的概率和对故障“贡献”重要度、建立可靠性评估方法机制，则需要知道每个底层失效事件的发生概率。

然而，这个过程并不是那么简单的。当从简单例题迈进需要自己得知概率的工程实际问题后，整个分析过程就升级成了应用数学。

为了在无尽的概率组合中捕捉“最可能点”、描绘一个有边界的“失效域”，过去几十年中，人们提出了一个由结构物理特性描述的“功能函数”，将它投影成一个正态空间中的超曲面，然后用各种简化描述去近似它。

然而，在稍有点实际应用价值的问题中，功能函数无法写成简单（显式）的数学表达式。于是为了求得超曲面上的每一个点，需要将实际机械结构做出来进行实验，以获得一组对应输入数据；随着计算机仿真技术的发展，极其昂贵的物理实验可以被有限元分析替代，但每调用一次仍然极其耗费宝贵的超算机时，对需要成千上万次调用数据的常规方法根本没有可行性。结果是，Kriging、神经网络、响应面之类的代理模型开始进入到可靠性研究中，先用少量设计点运行有限元分析、训练一个近似模型，然后用这个模型作为“代理”进行快速大量近似计算，从而与流体力学方向的“气动优化设计”走上了殊途同归的道路。

沈阳航空博览园展示的歼6主起落架舱门闭锁机构

訽尔仇方，同尔弟兄；以尔钩援，与尔临冲。仿真计算显示，在类似1996年飞豹085一等事故的“放起落架舱门失败”型故障中，锁定机构脱钩是风险最大的环节

代理模型不仅是优化问题的神器。它们与今天火爆的人工智能（具体说机器学习）不仅有知识结构的延续性（神经网络之类代理模型自身就是经典的机器学习算法），而且可以看作是AI在工程领域的一个应用特例：它们都通过分析一个系统的输入-输出数据集来“学习”其行为，跳过了对底层物理现象的具体关注，直接用“经验”去逼近复杂、非线性、无法写成显式函数表达式的大自然，快速预测之前未见过的数据点，形成“举一反三”的本领。

然而，相比于AGI的弱“可解释性”和“幻觉不自知”，典型的工程问题代理模型是“可解释”和可靠的：不是指预测结果百分百符合实际现象的可靠，而是指有相当“自知之明”、能判断自己的预测结果离真实值可能相差多远的可靠。如果说谷歌Transformer架构下衍生出的各种大语言模型好比知识面宽广到极致、但有时会“自以为是”的通识学者，那么Kriging这样代理模型的特质就是新时代工人的楷模——干净的快、合理地准，可靠而专精，能提出解释世界的模型，能知道自己知识经验的边界在哪里。

“十五五”规划指明了机器学习与人工智能领域发展的方向。随着新一轮科技革命和产业变革，传统建立在“没有意志的钢铁”装备上、以关注机械结构为主的可靠性，正在发展为与数智化、智能自主系统深度融合的可靠性。与此同时，随着低空经济、商业航天产业的兴起，无论飞机还是导弹都可能走向“白菜化”；过去那种每次起落/发射都受到高度重视、足以集中全国资源，在每个电子元件上花费上千倍于民用同类产品成本保障模式可能会彻底改变，那些与之相关的历史回忆、情感精神，也将演变为神话和传说。

然而，当一件事的优先级从“极端重视”中退下来，变得日常化、普通化、斤斤计较、天天发生的时候，很多曾经能靠不计成本、确保“短暂稳妥”的路径就不能再依赖，对平淡岁月长期“可靠”的要求则会更加升华。

四、结语

我们的可靠性研究在进步，我们航空工业保持可靠的能力也在进步。飞豹改出来时，我已经没有再听说什么机毁人亡的沉重话题了。

系里的老房子拆迁很多年后，我仍然会记得C座三楼的灯光，想起老师对我们处事为人的叮嘱：严肃认真，周到细致；想起师兄对我建模质量的要求：规格严格，功夫到家。

老师是恢复高考初期涌现的那一代许许多多基本功极其扎实的英才天骄之一，虽然没在北京读研，到今年也快六十三岁了。他的品格和学术会被团队的后来人感念和发扬，他对作为指标的“可靠性”建立在唯物基础上、孜孜不倦的精神执著，会继续传下去。

我们每一代人都会变老，视网膜可能像座舱盖一样渐渐泛黄，摆在窗台多年的珍爱的模型飞机可能被一场意想不到的风刮走。然而，总有些东西是会不变的。

718工程金属样机已进驻了成飞公园。如果那几架2001到201X验证机试飞期间不是那么彻底无聊，将来大概也会有一架真身进驻功勋飞机园，和变稳机、试车台、083肥豹一起安享晚年，欣赏天上飘荡的银杏叶。

对工程可靠性的求索、为总体权衡提供“失效模式与影响分析”视角的工作，将永远有自己独特的价值。而这，对工业生产回路中的每个要素，都是一样的。

“我们共产党人是具有特殊性格的人，我们是用特殊材料制成的。”从图板丁字尺到AI辅助国产工业软件，从钢梁铝框到复材陶瓷，人，依然是整个闭合回路中最特殊的材料。

工具在发展，材料在迭代。只有在社会化大生产中组织起来的产业工人阶级，对党、对社会主义现代化事业的绝对忠诚、对稳妥可靠“万无一失”的纪律作风和精神追求，永远不会过时，一如杨振宁三十年前想要后人用来纪念邓稼先的歌：

“中国男儿，中国男儿，要将只手撑天空……”

（谨以此文纪念新中国航空工业成立75周年。）

本文系观察者网独家稿件，文章内容纯属作者个人观点，不代表平台观点，未经授权，不得转载，否则将追究法律责任。关注观察者网微信guanchacn，每日阅读趣味文章。