灾难不在出事那天发生，它在很久之前就写好了

Theodore Cooper 是当时北美最负盛名的桥梁工程师，合同给了他对魁北克大桥全部图纸的最终裁定权。他年近七十、健康不佳，整个工期只到过工地一次。为压低造价，主跨从 1600 英尺加长到 1800 英尺（549 米，当时世界最长悬臂跨），自重估算却没有重算；设计与施工同由 Phoenix Bridge 承担。

1907 年 6 月起，驻场工程师 Norman McLure 反复报告南臂受压下弦杆肉眼可见地弯曲、且在扩大；Phoenix 坚称是运输时的旧变形，争论拖了两月。8 月 27 日 Cooper 从纽约发电报要求停止加载——这封电报没有变成停工令。8 月 29 日下午五点半，一万九千吨钢在十五秒内落进圣劳伦斯河，75 人死亡，其中 33 人是 Kahnawake 的莫霍克族铆工。

关键设计只由一位远程「架构师」签字，评审留在邮件里而非流程里；现场有疑虑却没有停线权。

1894 年英国贸易委员会规定：一万吨以上的船配 16 艘救生艇。此后十八年规则未改，船越造越大。泰坦尼克号 46,328 总吨，配 20 艘艇、容量 1178 人，船上 2224 人——它不但合规，还超出法定要求。因为当时救生艇的模型不是「全员撤离」，而是把人摆渡到赶来的救援船。

4 月 14 日船上至少收到六封冰情警报。23 时 40 分发现冰山，大副下令左满舵并倒车，撞击落在右舷前部，撕开约 90 米的间断损伤，前六个水密舱进水——设计余量是四个。舱壁只砌到 D、E 甲板且不封顶，水漫过隔断逐格灌入，2 时 20 分沉没，1500 余人遇难。

合规 ≠ 安全：监管指标锁定的是上一代技术的失效方式。自动驾驶用「每千英里接管次数」评估安全、金融用历史波动率度量风险，都可能在合格线之上出事。

航天飞机固体助推器的分段接缝靠两道 O 形密封圈封堵高温燃气。Morton Thiokol 的工程师 Roger Boisjoly 早在 1985 年 7 月就写下备忘录，警告接缝可能灾难性失效，低温会让橡胶变硬、回弹变慢。此前多次发射后，回收的助推器上都发现过 O 形圈被热气侵蚀——每次都判为「在可接受的经验范围内」。

1 月 27 日夜佛罗里达遭遇寒潮，预报发射时约 2℃，此前最低的一次发射是 12℃。当晚电话会议上工程师建议推迟，NASA 的 Larry Mulloy 反问：「天哪，Thiokol，你们要我等到明年四月？」休会五分钟后，高管 Jerald Mason 对工程副总裁 Robert Lund 说：摘掉你的工程师帽子，戴上管理者的帽子。公司随即以管理层名义签字。次日 11 时 38 分升空，73 秒后解体，七人遇难。听证会上 Richard Feynman 把一段 O 形圈按进冰水，取出后不再回弹；他在附录 F 中写道：管理层估计的失败率是十万分之一，工程师的估计是百分之一。

SRE 的告警疲劳：每次 near-miss 被记为「没出事」，容忍阈值就抬高一格，而裕度被消耗的过程不触发任何报警。

苏联 RBMK-1000 石墨慢化沸水堆有两个致命特性：正空泡系数——冷却水沸腾成蒸汽后反应性反而上升，形成正反馈；控制棒下端接着石墨尖端，插入初期先增加反应性。1975 年列宁格勒核电站一号机组已因前者部分燃料熔毁，事故报告被列为机密，其他电站的运行人员一无所知。

1986 年 4 月，四号机组要在停堆前补做一项拖了数年的测试。25 日基辅电网要求供电，测试推迟十小时，交给没有受过该测试训练的夜班。降功率中氙-135 积累，功率意外跌到 30 兆瓦热功率，远低于计划的 700；按规程此时应终止，副总工程师 Anatoly Dyatlov 要求继续，操作员抽出大量控制棒把功率拉回 200 兆瓦——堆芯已进入规程明令禁止的状态。1 时 23 分 04 秒测试开始，冷却水沸腾，正空泡系数自我放大；36 秒后按下紧急停堆按钮 AZ-5，石墨尖端率先入堆，把反应性又推高一截。两次爆炸掀掉一千吨顶盖，31 人死于当场或急性辐射病。

民航业是反向样本：事故报告全球公开、匿名上报让一次教训在全行业生效。安全事件不外传的行业里，每家公司都得自己把所有坑踩一遍。