33. 第三十三章 坏一台也能飞

会议室的白板上，九台发动机排成三乘三的方阵，蓝笔画的，边角有点晕。

一个人站在板前，手指点着那九个小圈，说了一句："九台，就是九个坏的可能。"

屋里安静了一下。说这话的，是总体组的一个工程师，不是谁有名有姓，就是组里那个平时话不多的。他把笔夹在指缝里，没看任何人，像在说一个谁都明白、谁都不愿先捅破的事实。

"一台会坏，"他接着说，"九台就是九倍。行业里为什么没人这么干？因为发动机越多，出问题的概率越高。这是常识。"

穆勒坐在桌角，面前一杯凉透的咖啡，表面结了膜。他没立刻接，先把那杯咖啡推到一边，伸手拿白板笔。

"常识，"穆勒说，工程师的腔，"是错的。"

***

他把笔尖点在最中间那台发动机上。

"三乘三，中间一台是备用的逻辑。"他在中间那个圈上画了个圈。"一级九台，坏掉一台，把它关掉。其余八台，推力够，把载荷继续送上去。"

"推力够吗？"总体的人问，"九台减一台，剩八台，起飞推重比本来刚过一，少一台，不悬？"

穆勒早算过。"单台海平面推力十万磅力出头。九台约 110 万。关一台，剩约 98 万。起飞推重比掉一点，可我们设计的时候，就不是按九台满推算的——是按八台也能起飞、也能入轨算的。那第十台的余量，本来就留在那。"

他在白板角落写："八台入轨余量：有。"

"所以行业那句'越多越不可靠'，"穆勒说，"只算了一半。它算的是'坏的概率乘九'，没算'坏一台还能飞'。我们这九台，是带着冗余设计的。它不是九台叠加风险，是八台加一台保险。"

***

有人翻出一张时序表，打印的，边角卷着。

"关一台，"管飞控的人说，"不是按一下开关那么简单。哪台坏了，怎么判定，几秒内关掉，其余八台推力怎么重新分配，箭体姿态怎么稳住——这是一串时序，错一步，八台也救不回来。"

他把时序表摊在桌上。纸上是一列步骤，每行前面标着秒数：

"零秒，九台点火。数秒后，某台压力掉到阈值以下，飞控判定故障。又过零点几秒，指令下发，关该台。再数秒，其余八台推力重新配平，姿控补偿。全程，箭不能偏出走廊。"

"这表里，"他说，"每一行都是人命关天。可它写出来，就能练。练到闭着眼也能走完，冗余才算真冗余。"

穆勒拿笔在时序表上圈了"判定故障"那一行。"最难的是这步。压力掉了，是真坏，还是传感器抽风？判错了，把好台关了，才是真死。所以判定逻辑要双冗余，两个独立信号都说是，才关。"

桌上有人小声说："这比九台点火还难。"

"点火是力气活，"穆勒说，"关一台是脑子活。力气我们练得出，脑子得想在前头。"

***

马斯克那天没来，话是后来带过来的。

格温·肖特韦尔在走廊碰到穆勒，转述了一句。格温·肖特韦尔，总裁兼首席运营官，她说话务实，带商务腔，但直白。

"马斯克的原话，"格温说，"火箭会炸，是正常的。失败是选项之一，恐惧不是。九台冗余，就是把'会炸'这件事，提前算进设计里。"

穆勒点头。"他这话说到点上了。别人怕九台会炸，我们把'某台会炸'当已知条件，然后让其余八台带着它飞。这不是乐观，是算术。"

"外面不这么看，"格温说，"业内外都说，九台是可靠性风险。一颗发动机出问题，拖八颗下水。"

"拖不拖，"穆勒说，"看你怎么设计。九台独立，燃料路独立，控制独立，一台坏了关一台，不连坐。连坐的是那些共用管路的方案，我们不是。"

他拿白板笔敲了敲那九个小圈。"每一台，都有自己的路。断一台，断一路，不塌一片。"

***

争论的第二层，是产量。

"冗余是技术账，"管生产的人把笔记本摊开，"可九台也是产量账。造九台，比造五台，单台便宜。学一次，造一堆。"

他在本子上写："猎鹰 5，一级五台，造得少，单台摊不薄。猎鹰 9，一级九台，造得多，学习曲线拉得动。"

"同样一条产线，"他说，"干五台不如干九台。多四台发动机的钱，摊到运力上，反而更划算。所以五台那版砍了，不是不能造，是转不起来。"

总体的人接："技术上加冗余，商业上加产量，两本账，指向同一枚九台箭。这挺少见的——通常可靠性和便宜，是反着的。"

"这枚不反，"穆勒说，"九台让它又冗余又便宜。冗余靠的是'坏一台还能飞'，便宜靠的是'造得多'。两件事，凑一块了。"

"凑一块，"格温在门口听见，接了一句，"就是我们的生意。别人觉得矛盾的东西，我们让它不矛盾。"

***

科尼格斯曼后来把那张九台方阵图拿去，自己算了一遍。

汉斯·科尼格斯曼，飞行可靠性副总裁，德国人，早期核心之一。他不爱说话，说话的时候带着德国人那点克制。他在图边写下一串数：单台发动机的可靠度，按试车和历史数据估；九台独立，坏一台的概率；坏两台的概率；关一台后八台托住的概率。

"算术是这样的，"他指着那串数，"假设单台可靠度是某个数，九台里至少坏一台的概率，确实比一台坏的概率高。这是总体那人说的，没错。"

他停顿，手指移到下一行。"可我们问的不是'会不会坏一台'，是'坏一台之后，箭还在不在'。这行算的是：坏一台，关掉，八台托住，入轨概率。这个数，比单台九倍风险那行，重要。"

穆勒凑过去看。"所以关键变量，不是坏的概率，是坏之后的恢复概率。"

"对，"科尼格斯曼说，"行业把'坏的概率'当终点，我们把它当中点。过了中点，还有'恢复'这后半程。九台的价值，全在后半程。"

他把那串数抄了一份，夹进文件夹。"我签可靠性，签的是后半程。前半程的坏，我们认。后半程的救，我们练。"

***

练，是真的练。

飞控组在霍桑搭了个模拟台，九台发动机的工况，用九块屏幕模拟。一个人坐当中，戴耳机，面前是九路压力曲线。

"开始，"管飞控的喊。九块屏同时跳起绿线，像九条醒着的蛇。

突然，第三块屏的绿线往下掉，掉过黄线，掉向红线。坐当中的人没动，等了零点几秒——这是判定逻辑要求的，防传感器抽风。

"双信号确认，"他报，"第三台压力异常，关。"

指令发出。第三块屏的线归零，变灰。其余八块屏的绿线微微一抖，随即稳住，推力重新配平。

"八台保持，"他报，"姿态走廊内。"

管飞控的掐表。"从异常到关台，一点二秒。到八台稳住，两点一秒。达标。"

坐当中的人摘了耳机，额头上有一层薄汗。"每次练，"他说，"手还是凉。真飞的时候，没有'重来'键。"

"所以有这模拟台，"管飞控的说，"练到手不凉，才算会。九台冗余，不是画在图上，是练在手上。"

穆勒在门口看了一整轮，没进去打扰。他后来跟科尼格斯曼说："判定那步，练得越多，我越不怕。"

"我也是，"科尼格斯曼说，"怕的是没练过就飞。练过了，九台就是九台保险，不是九个雷。"

***

白板前，那场争论没分出胜负，也不需要分出胜负。

穆勒最后把"九台就是九个坏的可能"那句话，用红笔在板角抄了一遍，然后在下面写："也是九个能顶上去的可能。"

"他说的没错，"穆勒指那句红字，"九台，九个坏的可能，这是真的。可真归真，我们把它翻过来：九个里坏一个，八个还站着。这八个，就是答案。"

总体的人合上时序表。"账我认。可这九台，从来没有人在地面一次性点着过。我们算得通，不代表它真点得着。"

"所以点得着之前，"穆勒说，"不算完。得州的架子上，要先点一次九台齐火。点了，这账才从纸上落到地上。"

屋里的人陆续散了。白板上那九台发动机的方阵还留着，红笔写的"九个坏的可能"和"九个能顶上去的可能"并排，像两句话在打架。

一个工程师临走，用手机拍了张白板。"留个底，"他说，"等九台真点着了，再来看这两句话谁赢。"

穆勒没拍。他把那杯凉咖啡端起来，膜破了，喝了一口，皱了下眉，又放下。"等点着了，"他说，"两句话都赢。坏的可能还在，顶上去的可能也真顶上来了。这就是冗余。"

***

那天夜里，穆勒把时序表带回家，铺在餐桌上，又看了一遍。

他老婆问他看什么，他说看一张表。"九台发动机，"他说，"坏一台，怎么关，怎么救。纸上写满了，可真飞起来，谁也不知道。"

"那你怕吗？"他老婆问。

"怕算错，"穆勒说，"不怕九台。九台是确定的，坏一台关一台，是确定的。怕的是判定那一步——压力掉了，是真坏还是假坏。这步错了，全完。"

他把时序表翻到背面，拿铅笔写："判定逻辑，双冗余，两信号皆否才动。宁可不关，不可错关。"

写完，他盯着那行字看了很久。

九台发动机的冗余哲学，落到最后，不是九台怎么排，是那一步判定怎么走。走对了，八台带着坏的那台，把载荷送上天。走错了，好台被关，真坏的还烧着，箭歪出去。

账算得通。可九台发动机，从来没有人一次性点着过。这话，穆勒写在白板上是记事实，写在餐桌上，是记一个还没翻过去的山。

第二天一早，穆勒把那张时序表收好，塞进工装口袋，出门去了得州。去点九台。算了一晚上，该去点了。