第十三章

航天飞机爆炸的省思

谁应为“挑战者号”航天飞机爆炸那样的灾难负责？谁也不能。我们最好习惯这种情形

1

在科技时代，每每在灾难发生后，我们总会祭出一套仪式：每一块扭曲的金属或水泥碎块，被发现后都像神主牌似的被供着。我们找到每一项实体证据，都会为其标上标签，进行检验分析，然后把分析结果呈交给调查委员会，委员会在进一步深究并约谈相关人员后，严肃地做出结论。我们做这种检讨仪式的目的，是要重新取得掌控权，希望能从意外中获得经验，从总结出的原则中借镜，将事故防患于未然。从三英里岛核事故发生后，美国没有关闭核能发电厂，也没在每次发生飞机坠毁事件后便放弃飞行，就可知道，这种灾难后的检讨仪式有其效力。在众多灾难的检讨仪式中，最彻彻底底的一次，是关于1986年1月28日在佛罗里达州南部发生的“挑战者号”航天飞机灾难。

在“挑战者号”爆炸发生后55分钟，最后一块碎片掉入大海的同时，搜救与打捞的船纷纷驶往现场，并在该区域停留3个月之久。这项史上最大的打捞任务，在方圆数千平方海里的海域范围内展开，若干搜救人员在海上打捞漂浮的碎片，数艘潜水艇则在航天飞机沉没的海床附近搜寻。在1986年4月中旬，打捞小组找到几块烧毁的金属碎片，证实了专家先前所怀疑的肇事原因：爆炸是因航天飞机火箭推进器外的一个密封装置没有封好，导致火焰钻入外挂燃料箱。

获得这项证据后，美国总统下令成立的特别调查委员会，在当年6月做出的结论是，密封装置出了问题，这足以证明NASA与主要承包商莫顿聚硫橡胶公司（Morton Thiokol）工程上的粗糙与管理上的松懈。受到责难后，NASA重新回到设计桌上，在努力了32个月之后，根据所得到的教训，推出一架全新的航天飞机“发现号”（Discovery）。这是美国于“挑战者号”出事后，首次执行的航天飞机任务，美国公众均屏息观看“发现号”升空；“发现号”的全体人员更为此举行了一个简短的纪念仪式，机长弗雷德里克·豪克针对7位遇难的“挑战者号”同僚说：“亲爱的朋友，你们的牺牲让我们能够再度找回信心，并重新开始。”灾难后的检讨仪式至此画下句号，NASA再度扬眉吐气。

然而，灾难过后的种种检讨与发现，万一不对又怎么办？假设这无助于我们避免未来的灾难，我们又该怎么办？过去数年，部分学者及专家对灾后检讨仪式的看法是，这固然是重新出发的机会，但也是一次又一次地自欺欺人之所为。对这些修正论者来说，人类所创造出的复杂科技，内涵环环相扣，每个环节都有内在问题，一旦这些高科技出了意外，究竟什么是真正的罪魁祸首，可能很难考究。

这股修正论风潮亦吹到“挑战者号”的灾后检讨上。社会学者黛安娜·沃恩（Diane Vaughan）所著的《“挑战者号”发射决定》（The Challenger Launch Decision）一书，对“挑战者号”出事前的各种事件，率先做出真正深入的剖析。一般的看法是，“挑战者号”出事是因为出现“异常”状况，NASA的人该做的没做；但沃恩的结论恰好相反，她说航天飞机出事正是因为NASA的人做了该做的事。她的书上说：“NASA并没有做出怀有恶意的重大决定，相反的，他们所做的是一连串看似无害的决定，只不过这些无害的决定，却一点一点地把自身推向灾难性结局。”

沃恩的分析当然引起激烈的辩论，不过，即使只有部分正确，她的论点也具有相当的影响力。处在现今这样一个时代，我们周遭有发电厂、核武器系统，以及每小时处理几百架飞机起降的机场。我们所了解的是：这些设施与系统都有风险，不过都是可以处理的风险。然而，正常运作的复杂系统中若有免除不了的潜在灾难，这种理解便是错误的。风险不是那么容易处理的，意外也不是那么容易预防，灾后的检讨仪式并没有什么意义。第一次听到“挑战者号”的故事，是那么充满了悲情，但数十年之后重新叙述，听起来只是陈腐的调子。

2

也许要了解有关“挑战者号”的各方争论，最好的方式是从之前的一个重大灾难开始谈起——三英里岛核事故。三英里岛核电厂在1979年3月出事，总统任命的特别调查委员会的结论是：这是人为错误，电厂的操作人员尤其难辞其咎。但修正论者认为，实情远比委员会所做的结论复杂，而他们的说法值得我们详细审视。

三英里岛事件的肇因是，该厂的巨大过滤性给水泵因堵塞而停转。这种问题在三英里岛核电厂动辄就会出现，不算太过严重。然而这一次，堵塞使得湿气渗到电厂的冷却系统中，两个阀门开合失灵，冷却水因而无法进入电厂的蒸汽发生器。

三英里岛核电厂有一套备用的冷却系统，专供这种情况下使用。然而就在冷却系统那一天发生问题之际，说也奇怪，备用系统的阀门没有开启；阀门没打开，控制室显示阀门没开的仪器，也恰巧被一个挂在上方的待修标签遮住了。这时，反应器只能依靠另一个备用系统，也就是靠另一个释压阀运作。可是巧合的是，这天释压阀也不灵了，原本应该关闭起来的，这时却打开了。更糟的是，控制室的操作人员原本可以从一个测量表得知释压阀出了问题，偏偏测量表这时也失灵了。等三英里岛工程师意识到发生了什么事时，反应器已经快熔化了。

换句话说，这场大灾难是因五件不同的事件一起发生而酿成，而控制室中的工程师对其中任何一件都浑然不觉。他们没有做出什么严重的错误决定，使原本就严重的问题一发不可收拾。所有的故障：给水泵堵塞，阀门关闭，指示仪器被挡住，释压阀故障与测量表失灵……其实都是芝麻绿豆般的小问题。分开来看，这些故障只是小麻烦，不会造成大问题，可是出人意料之外的是，当这几个小问题凑在一块儿时，大问题就发生了。

这种灾难是耶鲁大学社会学者查尔斯·佩罗（Charles Perrow）所称的“正常意外”（normal accident）。佩罗所谓的“正常”，并非表示经常发生，他的意思是，我们可以预期在复杂科技的正常运作中，会发生这类意外。他认为，现代化系统是由几千万个零组件组成，彼此之间的运作关系复杂到难以预测，由其复杂性看来，几百个小错会酿成大灾难，这几乎是躲都躲不掉的。他在1984年发表了一篇以意外事故为主题的论文，检视著名的空难、石油外溢、化工厂爆炸，以及核武器工厂意外的实例，告诉我们其中有多少是所谓的“正常意外”。如果看过卖座电影《阿波罗13号》（Apollo 13），你就会明白什么叫作“正常意外”：“阿波罗13号”无法完成任务，是因为宇宙飞船的氧气箱与氢气箱无法交互作用，氧气箱爆炸后导致舱内氧气不足，另外，一个指示灯也分散了航天员对真正问题应有的注意力。

如果“阿波罗13号”是“真正”的意外，任务出事是因为发生重大错误或人谋不臧而误了大事，那么根据它拍成的电影也不会这样轰动一时。在真正的意外中，当事人会被大声责骂及追究，就像好莱坞惊悚片中常见的模式。但《阿波罗13号》之所以如此扣人心弦，是因为里面的主要情绪不是愤怒，而是欲哭无泪、欲诉无言——因微不足道的原因而出了这么大的错，让人惊讶得说不出话来。整件事没有人可以被追责，没有什么见不得人的秘密可挖，除了在不知为何失败的地方重建整个系统外，没有其他地方可以求助。到头来，“正常”的事故更令人感到害怕。

3

“挑战者号”是那种“正常”的意外吗？从严格的角度来看，答案是否定的。不像三英里岛事件，“挑战者号”的爆炸是由单一的灾难性故障所引起，即防止热气从火箭推进器外泄的橡胶密封圈没有发挥作用。不过沃恩认为，橡胶密封圈的问题其实是一个象征：其实NASA的文化才是事故的真正原因。那种文化促使NASA对“挑战者号”做出各种决定，而决策过程跟正常灾难发生的路径若合符节。

问题的核心在于，NASA如何评估火箭推进器的橡胶圈问题。火箭推进器共有4节，每一节都靠薄薄的橡胶圈将其密封套牢。但早在1981年之前，“挑战者号”经过多次飞行之后，橡胶圈越来越频繁出问题，有几次橡胶圈甚至出现严重的腐蚀；橡胶若腐蚀，就表示热气会外泄。还有，工程师早就怀疑，橡胶圈在寒冷天气中会因硬化而影响其密封程度。在1986年1月28日早上，航天飞机发射台其实是在冰封状态，升空时气温只比零度稍高。莫顿聚硫橡胶公司的工程师事前预计会有低温，建议延后发射，不过NASA没采纳这项建议。就是因为这项决定，后来特别委员会与若干批评者，都指责NASA犯了误判的大错，罪无可逭。

沃恩并不怀疑，NASA的决定确有致命的瑕疵，但在阅读数千页通话记录与NASA内部文件后，她找不到有任何玩忽职守的证据，更未发现有人因为政治因素或求绩效，而牺牲了安全考虑。她认为，NASA是在正常作业程序中犯了错误。举例来说，指明气温过低会影响橡胶密封圈的性能，现在看来，显然是后见之明，因为当时这并不是那么明显。“挑战者号”在前一次的飞行任务中，温度只有华氏75度，当时橡胶圈也有问题；NASA之前也曾数度提议，航天飞机要避免在华氏41度以下发射，但这项提议后来被否决了，“挑战者号”照样在天寒地冻的情况下升空。在NASA考虑安全措施之际，对于寒冷天气可能对橡皮圈造成的影响及其潜在危险，莫顿聚硫橡胶公司没有提过一个字，因此对NASA来说，反对“挑战者号”这次按时发射似乎不成理由，反而是武断的看法。

沃恩证实，在发射前夕，主管人员与工程师曾经有不同意见，但她也指出，这种争执在NASA是家常便饭。在内部讨论火箭推进器接合的文件中，特别调查委员会看到“可接受的风险”与“可接受的腐蚀”等字眼多次出现时，虽然感到大为震惊，但沃恩表示，在“可接受的风险”下执行飞行任务，是NASA常态文化的一部分。事实上，在失事的那一次任务中，详列的“可接受的风险”项目厚达六大册。沃恩说：“虽然橡胶密封圈腐蚀问题本身并没有被预测出来，但问题的出现，跟我们对大规模科技系统有关的工程预期相吻合。在NASA，有问题是常态，‘异常’这个词每一天都被挂在嘴上。‘偏离正常’可以控制，但无法消除，整个航天飞机系统都是根据这个前提在运作。”

NASA制造出的是一种封闭的文化，在这种文化中，“常态化的偏离”（normalized deviance）对外界来说虽然有可争议之处，但对他们自己人来说，却是审慎而合理的。沃恩对NASA的内部描写，令人读了之后感到非常不安；她一一举出“挑战者号”发射前的决定与决策程序，每一项决定其实都很细微，就好像造成三英里岛核事故的一连串小问题一样，很难说在发射升空的过程中，到底是在什么时刻出现了问题，或者什么问题可以在下次得到改进。沃恩的结论是：“我们可以说‘挑战者号’的升空决定，完全是照规矩来。但是文化背景、规则、程序与过去一直都有用的行为模式，这次却全都失灵了。这次悲剧，我们不能怪罪说是居心叵测的主管人员违反规则；如果真要归咎，要怪的是墨守成规的心态。”

4

我们还可以从另一个角度来看这个问题，也就是人类处理危机的观点。灾难检讨仪式背后的一项假设是，如果可以找出并消除风险，运作的体系就会更安全。举例来说，航天飞机推进器的接合装置若改善许多，类似“挑战者号”的太空灾难发生率就会降低，其中的道理显而易见，好像大可不必质疑。然而，学术界对“风险平衡”理论（theory of risk homeostasis）能不能、该不该运用，以及其适用的程度，有相当激烈的辩论。加拿大心理学家杰拉尔德·怀尔德（Gerald Wilde）在其《目标风险》（Target Risk）一书中，对此有深入浅出的解说：在特定情况下，看起来会让系统或组织更安全的变动，其实未必可以使之更安全，因为人类似乎有一种基本倾向，能够在一个地方把风险降低，但同时却会甘愿冒另一种更高的风险。

我们再来看几年前在德国进行的一项著名实验，有人利用“防锁死刹车系统”（ABS）进行测试。ABS可以大幅改善刹车性能，尤其是在湿滑的路面。在实验中，一组出租车安装了这种新的技术，另外一组未装，两组出租车车队在3年的时间内，受到密切观察。你可能会以为有安装ABS的车辆，安全驾驶情况也比较好，但事实却完全不然。有些司机在车上装上ABS，并未改善自身的肇事率，反而变得不再小心驾驶。他们开始开快车，急转弯，换车道时也比较不守规矩。他们踩刹车比较猛，车距也比较近；不是那么愿意并车道，险些剐蹭的情形也较多。换句话说，ABS不是用来减少事故，出租车司机是把这当作额外的安全装置，有了ABS，他们可以放心飙车。如同经济学者所形容的，他们“消耗掉”风险降低率，而不是将其“保留下来”。

“风险平衡”理论不是时时刻刻都在发挥作用，补偿行为只部分抵消掉安全措施所降低的风险，安全带就是一个例子。然而风险发生的次数如果太过频繁，我们就必须加以正视。为什么行人在有画线的人行横道上，被撞死的概率超过无画线的区域？因为在有标志的区域，我们对驶来的车辆不那么注意提防，这是我们对“安全”环境产生的“补偿”心理。根据一项研究，美国人开始使用儿童无法打开的药瓶后，儿童因致命性药物中毒的事件发生率反而大幅上升。因为成人对不让孩子拿到药瓶，变得不太注意。

“风险平衡”理论在相反的角度也适用。20世纪60年代晚期，瑞典下令将靠左边驾驶改为靠右边驾驶，对这种改变，我们大概会以为这下交通事故一定会大增，但事实上，车祸不但未增加，反而减少了。驾驶人为了适应新的交通规则，以更加小心驾驶的心理来补偿。在新规定实施后的一年里，车祸死亡事件减少了17%，过后才慢慢回到先前的水平。怀尔德半开玩笑地说，真有兴趣加强道路安全的国家，可能应该考虑定期改变靠左或靠右行驶的规定。

如此说来，“风险平衡”理论会如何适用到NASA与“挑战者号”之上，我们不需要多花脑筋就能想象出来。特别调查委员会成员、诺贝尔物理学奖得主理查德·费曼（Richard Feynman）的名言是：“NASA的决策过程是一种俄罗斯轮盘式的赌博。”费曼说，当橡胶密封圈开始出问题，但什么意外也没发生时，NASA开始相信“未来几次飞行任务的风险也不会太高，我们可以把安全水平降低一些，因为上次就全身而退”。而且解决橡胶密封圈问题，并不表示风险就烟消云散了，因为有类似问题的航天飞机零件，用文字列出来足足有六大册之多。修理好橡皮圈之后，NASA只是会更有信心在其他问题上放手一搏而已。

这种结论令人感到沮丧，但不令人意外。实情是，我们屡次对安全所做的承诺，或是对灾难过后所做的检讨，都有一定的伪善含义；我们并不真正坚持一切都要尽量安全。过去全美国曾实施将汽车时速限定在每小时55英里以下，这项措施所挽回的生命，可能比政府过去的任何单一交通措施都多，但国会却几乎没有经过讨论，就撤销了这项限速的措施。这证实了，我们宁可“用”掉类似安全带和安全气囊等安全措施，而不愿意将它们“省”下来。近年来，无论是飞机的设计或飞行的导航技术，都有很大的改良，可以想象，我们以为这些发明可使空难发生率降到最低，但消费者真正希望的是，有便宜的机票可买，有更可靠与便捷的飞机可坐，因此交通安全进步的好处，至少有部分被飞机在繁忙与恶劣天气中的起降消耗掉了。

类似“挑战者号”这样的灾难带给我们的教训是，我们建构了一个世界，在这个世界中，高科技的潜在灾难深深镶嵌在我们日常生活当中。在未来某一刻，因为某一最世俗平常的原因，在最好的用意下，NASA的航天飞机可能还会爆炸，我们至少应诚实承认这一点。如果我们做不到，如果这种可能性叫人无法承受，那么我们唯一的选择是：诸如航天飞机的一切，我们是否应全面弃而不用。