费曼与挑战者号

1986 年 1 月 28 日，挑战者号升空。约 73 秒后，飞行器解体，七位乘员遇难。其中 Christa McAuliffe 是准备从太空向学生讲课的教师。¹ 对课堂而言，这使故事不只属于航天史：承诺展示科技成就的飞行，也在提醒我们，公众怎样知道自己被邀请承担了什么风险。

Richard Feynman 加入了事故调查委员会。他已经因量子电动力学工作获得 1965 年诺贝尔物理学奖。² 然而这次需要回答的问题，与画费曼图并不相同：一只密封圈为什么没有及时密封；组织为什么允许发射；怎样知道“足够安全”是证据支持的判断？

1 一杯冰水 为什么让全世界看见了一个问题

调查听证会上，Feynman 把一段密封圈材料夹住，再放进冰水中，演示低温下材料不能像较暖时那样迅速恢复形状。这个动作让复杂调查中的材料问题变得可见。NASA 的航天史档案将它记为一次醒目的公开演示。³

可以这样讲述这个场景：火箭需要某个部件在很短时间内完成动作，而我们看见它在低温下做不到原先期待的迅速响应。然后立即向学生追问：这杯冰水究竟证明了什么？

它支持了一个机制判断：温度可能影响这类材料的恢复速度。它没有独自证明当晚每个接头的温度、密封圈的受力过程、热气怎样通过，以及泄漏怎样造成整架飞行器的损失。这些需要完整调查中的其他证据。

教学中，清楚的演示很有价值；清楚不等于证据范围无限大。把一个小实验变成“全部真相已经一目了然”，会让学生误解真实的 research design。

2 密封不是只看形状 还要看动作赶不赶得上

固体助推器分段接头中的密封圈，需要在受压和结构变形时继续阻止高温气体通过。委员会把事故原因定位为右侧固体火箭发动机后部现场接头的压力密封失效，并指出设计对温度、尺寸、材料、重复使用及动态载荷等因素过于敏感。⁴

在这里，高中物理可以从静态力平衡走向动态响应。一个部件最后能够恢复，不等于它在需要的瞬间已经恢复。如果结构变化发生得更快，暂时出现的间隙也可能允许气体通过。

知识展开 从理想弹簧到有时间尺度的材料

理想弹簧中的 \(F=kx\) 不包含恢复需要多久。现实材料可能同时具有弹性与黏性行为，温度也会改变响应。作为最简单的教学描述，设剩余形变为

\[x(t)=x_0e^{-t/\tau}.\]

\(\tau\) 是恢复的时间尺度。若系统只给出很短的可用时间 \(t_a\)，需要比较 \(t_a/\tau\)，而不是只观察数分钟以后材料是否回到原状。真实橡胶的响应不一定是单一指数；这条公式用来提出可以测量的问题。

这种时间尺度比较也适用于自动控制、电路充放电、黏性阻尼和人的反应时间。学生学过的“达到平衡”需要加上“在多长时间内”这一问。

3 怎样把公开演示改进成材料实验

以下方案是课堂设计，不是复制航天认证试验。使用普通橡胶样品、相同夹具与低风险温度条件，统一初始压缩量和压缩时间。释放后用视频记录轮廓，比较恢复比例随时间的变化。

若用手机视频，每帧的时间间隔会限制对快速变化的判断。若用标尺，视差和相机角度会影响长度。不同温度组应交替测量，而不是先做完全部暖样品，再做完全部冷样品；这样有助于发现随实验时间发生的漂移。

实验结束后，学生应写出适用范围：“本次样品和加载条件下，低温组恢复较慢”。把它升级成“所有橡胶在所有工程中都会这样失效”，需要更多证据。

4 警告在发射前已经存在

故事不能停在 Feynman 的聪明演示上。Roger Boisjoly、Bob Ebeling、Allan McDonald 等工程师此前已经提出过密封与低温问题。委员会保存了 Boisjoly 1985 年的内部备忘录，以及 McDonald 关于发射前一天讨论的记录。⁵⁶

1986 年 1 月 27 日的讨论中，承包商工程人员起初建议不要在低于既有较低温度经验的条件下发射。经过内部讨论，管理层改变了推荐。委员会把这一过程列为严重的决策缺陷，并指出信息没有完整传递到关键决策层。⁷

这里不应只问“为什么工程师没有更大声说话”。还要问：意见传递经过了几层；反对意见有没有被保留；改变推荐需要什么新增证据；没有足够数据时，谁承担证明安全的责任？

当支持发射的人要求反对者精确证明灾难一定会发生，判断标准已经可能发生了变化。工程中的合理问题是“现有证据是否足以支持在这些条件下运行”。对于低概率、高后果的系统，无法证明必然失败，并不等于已经证明可以接受风险。

5 以前飞回来 为什么还不是安全证明

委员会记录了接头密封在既往飞行中的侵蚀与热气穿透问题，并指出异常逐渐被接受为可以继续飞行的风险。⁸ 这非常适合与切尔诺贝利比较：组织如何解释先前的异常，会改变下一次行动。

同样一次“任务成功”，可以同时包含两种信息：飞行器这次回来了；某个本不应受损的部件却受损了。只保留前一项，会让成功记录掩盖近失事件。

Feynman 在报告附录中指出，工程师与管理层对失效概率的判断差距很大；他也批评把密封圈既有侵蚀深度换算为所谓安全余量的论证。⁹ 这些判断是他对当时资料的评估，不能当作精确测出的、永远适用的航天事故概率。

数据分析 为什么必须保留分母

想研究温度与损伤的关系，应同时知道不同温度下发生过损伤的次数，以及没有发生损伤的运行次数。仅展示出问题的案例，可能看不出完整的风险变化；把全部无损伤案例混为一组，也可能掩盖运行条件差异。

本篇不把常见网上的“23 次发射数据表”直接复制为历史证据，因为其中可能混用环境温度、接头温度、侵蚀与热气穿透的定义。课堂若使用真实记录，应先逐行说明变量和出处。这里的互动改用透明的概率练习，避免学生以为算出了当年的精确事故概率。

6 零次事故 能把风险压到多低

设每次试验独立，失败概率相同为 \(p\)。做 \(n\) 次都不失败的概率是

\[P(0\text{ 次失败}\mid p)=(1-p)^n.\]

即使 \(p\) 不为零，也可能观察到连续成功。令这个概率等于 0.05，得到零失败情况下单侧 95% 置信上界：

\[p_{\mathrm{upper}}=1-0.05^{1/n}\approx\frac3n.\]

例如独立完成 30 次、没有失败，上界仍约为 9.5%。这并不是说风险就是 9.5%，而是有限的零失败记录还不能排除相当宽的风险范围。如果要仅凭零失败数据把上界压到十万分之一以下，需要约 30 万次满足同样假设的试验。

真实航天任务不会完全同分布：温度、载荷、材料批次、维护和部件历史都可能变化。因此这个计算是对“成功次数足以证明极低风险”这类论证的检验，不是挑战者号风险的直接估计。

课堂停顿 增加次数能解决哪些未知

让学生说明：重复相同实验能减少统计不确定度；改变条件可以检验适用范围；机制实验可以解释失效原因。三者分别回答不同问题。若每次都避开低温，仅增加暖环境试验次数，不能自动证实低温安全。

7 冗余为什么也需要检验独立性

在工程中，常设置备用部件。如果两只部件独立失效、各自失效概率都是 \(p\)，同时失效概率为 \(p^2\)。但这里的“独立”本身需要证据。

如果两只密封受到相同低温、相同结构变形和相同设计问题影响，它们可能共同失效。两个相同软件也可能重复同一个逻辑错误。冗余数量不能独自保证可靠性。

Feynman 对航天软件的独立验证作了积极评价，同时继续追问传感器和执行机构的可靠性。⁹ 这提示学生：评价一个系统需要逐层看证据；不能把一次事故写成整个机构所有工作都同样糟糕。

可以用一个小练习解释共同原因：两盏灯各用一只灯泡，看似有备份；若共用的电源断了，两盏一起灭。请学生分别列出部件失效和共同原因失效，再设计一个真正能测试差异的情境。

8 当物理问题进入公共机构

航天技术依赖公共经费、合同、时间表与公众信任。委员会讨论了发射安排和管理结构中的问题，并提出改进建议。¹⁰¹¹ 学生不必假定某一次发射由某个单一政治人物直接命令，才能理解进度压力如何改变组织判断。

组织可能逐步把“按原标准合格”改成“过去这样也飞过”。每次调整看起来都很小，累积起来却会使合格标准失去原来的意义。衡量这一点需要查标准的修改、例外批准和风险沟通记录，而不是只读一位名人的回忆。

Feynman 的附录以一句话结束：“nature cannot be fooled”。⁹ 可以译成“自然不会被蒙骗”。课堂不妨继续问：组织中的人为什么可能互相说服？哪些制度可以要求他们回到材料、试验和不确定度上？

科学家的责任包括把专业判断讲成公众能够理解的语言。公众有权知道风险有多大、哪些地方还不知道、谁对结论负责。诚实沟通并不要求把所有技术细节交给每位乘客，却要求不能把未被验证的把握说成已经证明的安全。

9 事故之后 改进必须留下可验证的证据

委员会建议重新设计固体助推器接头，改进管理、独立监督与沟通等方面。¹¹ 修订后的目标不能只有“大家以后会更加认真”。需要说明哪些设计改变了、在什么条件下测试、谁独立审核，以及现场提出异议时怎样暂停决策。

这也是本篇的人文落点。七位乘员应被记住，发射前提出担忧的工程师也应进入故事。尊重他们不只是赞扬勇气，更是建立一种组织：提出问题能够影响行动，承认不知道不会被当成不忠诚。

10 课堂安排与调查练习

环节	材料与问题	学生成果
导入	乘员与教师项目，冰水演示	写出演示支持与没有证明的结论
实验课	材料恢复视频，时间常数	有控制变量与误差来源的实验方案
数据课	零失败互动、共同原因	区分统计上界、风险估计与假设
社会讨论	备忘录、发射前记录、委员会结论	用证据解释信息传递在哪些地方失效

综合任务：模拟一家实验室准备把新装置投入使用。教师提供三张合成材料卡：连续通过的试验、某个低温条件下的异常、进度要求。学生必须写一份建议，说明结论、证据范围、剩余未知和暂停或继续的条件。评价依据是推理是否明确，而不是他们是否选择了最“勇敢”的行动。

结课问题：如果一个模型准确拟合了已有数据，我们还需要怎样检验，才能把它用于新的工作条件？ 答案应包括机制、外推范围、不确定度及独立数据。