誤判系列（11）｜那頭灰犀牛，真的來了：挑戰者號的最後一夜

挑戰者號災難最可怕的地方，不是沒有人發出警告。恰恰相反，警告被聽見了，被討論了，被寫進建議裡，甚至被正式提出。真正致命的是：警告被聽見了，卻證明不了災難「一定」會發生——於是，發射照常。

一九八六年一月二十七日的晚上，佛羅里達異常寒冷。

那一夜沒有爆炸，也沒有火光。有的只是一通電話會議、幾張倉促趕出來的圖表，和一群工程師說不出口的不安。

隔天上午是挑戰者號太空梭原定發射的時間。

而那天夜裡，幾百哩外、猶他州 Morton Thiokol 公司的工程師看著氣象預報——低溫可能逼近攝氏零下八度——心裡開始擔憂：固態火箭助推器接縫處那一圈 O 形環的密封橡膠，會不會因為太冷而失去彈性，在點火的瞬間無法密封？

他們把這個擔憂說出來了。不只說了，還正式提出建議：在氣溫回升到華氏五十三度（約攝氏12度）之前，不要發射太空梭。

那是 Morton Thiokol 第一次正式提出建議：不要發射太空梭。

這個故事，常常被講成一個很簡單的版本：工程師警告了，高層不聽，於是悲劇發生。

但 NASA 有分層管理。那一晚聽見警告的，是參與電話會議的 NASA 直屬馬歇爾太空飛行中心與 Morton Thiokol 管理層；位在最終發射決策鏈上的 NASA 高層，後來聽到的，卻是另一個被整理過的版本。

真正走進那一夜，你會發現事情比這殘酷得多。

警告並沒有被消音。它被聽得清清楚楚——那些在第一線、應該採取行動的人，都一字不漏地聽見了。

可是，他們反過來，要這些發出警告的工程師，證明災難一定會發生。

挑戰者號是 NASA 太空梭計畫的一部分。這次任務格外令人矚目，因為七名機組員裡，有一位是中學教師 Christa McAuliffe——她原本要從太空為地面上的孩子上一堂課。

一月二十八日上午，挑戰者號升空。七十三秒後，它在空中解體，七人全數罹難。

一直到現在，很多人都還記得那天電視上挑戰者號帶著一股白煙飛向藍天，絢爛、壯麗、充滿希望，然後突然爆炸成一個火球，以死亡和悲傷終結的畫面。

後來的調查確認，事故的核心，正是那一晚工程師擔心的東西：右側助推器接縫的 O 形環，在低溫下密封失效，讓高溫氣體外洩，燒穿了結構。

換句話說，最後奪走七條人命的那個原因，在發射的前一夜，工程師已經準確提出警告了。

但這裡有一個關鍵，是簡化的版本不會告訴你的——

那一晚的警告，並沒能說服做決定的人。

Morton Thiokol 的工程師相信：低氣溫對 O 形環不利，因為過去溫度最冷的一次發射，剛好就是 O 形環密封受損最嚴重的一次。可是當馬歇爾中心要他們拿出證據，畫出「幾度以下一定會出事」的那條線時，他們畫不出來。因為資料是矛盾的——最嚴重的損傷出現在華氏53度，但也有一次在華氏75度（約攝氏24度）發射時出現了類似的問題。

負責 O 形環的首席工程師後來坦承，那一晚他被要求把問題寫成實際的數字，他做不到。他只能說，他知道那時的氣溫「已經偏離了安全範圍」，但他拿不出任何確定的數字。

而接下來發生的事，改寫了整件事的走向。

在那一晚之前，規矩一直是這樣的：要發射太空梭，承包商得證明「它是安全的」。

那一晚，這個規矩被倒了過來。

馬歇爾中心的人不接受工程師的結論。一位主管說他對這個建議「感到震驚」；另一位質疑資料不足，脫口而出：「老天，你們到底要我等到什麼時候才肯發射，等到四月嗎？」

於是，舉證的責任，第一次從「證明它安全」，變成了「證明它一定會出事」。

這是一個看似只是換了問法、實則致命的轉折。

因為沒有人能證明一個還沒發生的失敗。工程師無法證明第二天那枚 O 形環一定會失效——正如他們也無法證明它一定不會正常運作。而在那個被倒過來的問法底下，「無法證明它會壞」，就被悄悄當成了「沒有理由不發射」。Morton Thiokol 的高層於是決定否決工程師的建議。

要看懂這場誤判，得先知道那一晚在電話另一端、最用力質疑工程師的馬歇爾中心，那個負責管理助推器、本該替整個系統把關的單位。

而這卻是整件事最令人訝異的地方。

因為 O 形環的問題，本來就是馬歇爾中心應該處理的問題；而且他們已經知道了超過一年。

早在前一年的春天，一次飛行後的檢查就發現，連第二層備用的 O 形環都被熔蝕了。那年夏天，他們替這個問題設了一道發射限制——然後，一次又一次地，悄悄豁免這道自己設下的限制，讓太空梭一次又一次地飛行。

也就是說，那個應該替安全把關的單位，正是那個最沒有立場承認「太空梭其實不安全」的單位。

因為一旦承認，就等於承認自己這一年多來，明知道有一個未解的致命缺陷，卻還是一次次簽字放行。

Morton Thiokol 的工程師其實一直在示警——只是過去那些警告，是『我們得把它修好』，而不是『明天早上別發射太空梭』。直到那個破紀錄的低溫，才第一次把一個被容忍了一年的缺陷，變成一個迫在眉睫、無法再被歸類為『可接受』的風險。

人們常以為，掩蓋一個警訊，是因為冷血地算計過、決定掩蓋真相。

但真相往往更不堪。

因為，在那個一月的夜晚，馬歇爾中心已經無法承受那個警訊是真的。

他們這一整年的決定——每一次豁免、每一次簽字、每一句「這是可接受的風險」——全都建立在同一個前提上：這枚 O 形環不會出問題。如果那一晚承認它有問題，垮掉的就不只是一次發射，而是這一整年、由他們親手堆起來的「專業判斷」。

於是，那個發射前一晚的警訊從頭到尾都沒被真正當成一回事。

它被拿去和「承認它是真的，要付出多少代價」相比。然後，就成了一個大驚小怪的噪音。

這也解釋了，為什麼馬歇爾中心會反過來要求工程師「證明O 形環會壞」，而不是問那個他們自己更該問的問題——「萬一它真的壞了，我們賠得起嗎？」因為當一個警訊，威脅到的是他們過去一整年的決定時，沒有人真的想知道這個警訊對不對。

這枚 O 形環，馬歇爾中心已經讓它飛了太多次，每一次都平安落地。久而久之，一個本該「絕對不能發生」的損害，在他們心裡，慢慢變成了「是有小損害，我們見過、也飛過、結果都沒事」的事件。每一次的僥倖，都悄悄地讓他們在心裡把下一次出事的機率調低了一些。

所以那一晚，當工程師的警告傳進馬歇爾中心的主管耳裡，他們聽來並不是一場災難的預告，而是「那個老問題，又被緊張的工程師拿出來講了一次」。

那頭灰犀牛，其實一直站在那裡，看得見，也正在往前衝。只是他們看牠看得太久了，久到以為牠不會真的撞上來。

於是，最後一道防線，也失效了。

那一晚的爭執，並沒有以它真正的嚴重性進入最終發射決策鏈。馬歇爾中心的相關主管知道 Morton Thiokol 曾提出低溫與 O 形環的疑慮，也知道電話會議最後得出了「可以發射」的結論；但 NASA 更高層的發射決策者，聽到的不是「工程師曾正式反對發射，後來被管理層推翻」，而是「問題已經處理完，可以繼續發射」。

真正位在最終發射決策鏈上的人，並沒有被完整告知：Morton Thiokol 公司曾正式建議不要在低於華氏 53 度的條件下發射，也不知道該公司的工程師在管理層改變立場後仍持續反對發射太空梭。在那疊厚厚的飛行準備文件裡，沒有任何一個字句寫著關於 O 形環和溫度的疑慮。

事後的總統調查委員會說得很直接：如果NASA做決定的人知道全部的事實，他們幾乎不可能在那一天發射太空梭。

所以這場誤判，最終的形狀是這樣的——警訊不是沒有被傳遞，而是在傳遞途中被改寫了。

它在最該聽見它、也確實聽見了它的那一個地方，被那些最沒有立場、也最不願意承認它可能發生的人，悄悄抹除了。 

我們都沒有參加過挑戰者號發射前一天的電話會議。

但那個夜晚的邏輯，我們未必陌生。

我們很少因為「判斷一個警訊是真的、只是接受它很麻煩」而選擇忽略這個訊號。我們忽略它，更多是因為——承認它是真的，就等於承認自己已經錯了很久。

這種邏輯並不只存在於 NASA。企業、政府、醫療、投資、家庭決策裡，都可能出現同一種危險：不是沒有人看見問題，而是組織已經在錯誤的假設上走了太久，以致承認警訊本身，就等於承認過去一連串決策都是錯的，這個代價太大了。

最難被接受的警訊，往往不是那些需要我們當機立斷的決定。而是那些我們早已熟悉的故事；以及，承認錯誤之後需要處理的那個爛攤子。

挑戰者號的失誤，最可怕的地方不是有人不在乎安全。

而是所有維護「安全」的機制都在：有專案會議，有檢驗資料，有人表達疑慮，有人簽字。每一個環節，看起來都正常運轉。

只是在不知不覺間，這些機制已經成了行禮如儀的橡皮圖章。

當一個機制已經習慣包容某些錯誤，時日一久，那些錯誤就會變得理所當然；新的警訊會下意識被降格為類似「放羊的孩子」的假警報，而「上次還不是好好的」則成為放行的藉口。

在那樣的狀況下，保護機制也就失去了效果。

現在，每當我心裡響起某個微弱的警訊——特別是那種，一旦承認，就得回頭推翻自己之前許多決定的警訊——我會試著先停下來。

我不會立刻否定整件事，也不會把每一個疑慮都放大成災難，為自己製造恐慌。

我會試著問自己：

• 我是在誠實地評估這個警訊，還是在偷偷要求這個訊息證明一場它根本證明不了的災難？
• 我之所以不想處理它，是因為它不合理，還是因為它的代價太高——高到我承受不起？
• 萬一它真的是灰犀牛，迎頭撞來的機會大嗎？它來的時候我賠得起忽略它的代價嗎？

這些問題都讓人很不舒服。

因為它們會逼我承認，自己可能已經錯了一段時間了。

但也許，真正成熟的判斷，從來不是聽完所有可行與不可行的疑慮之後，仍然勇往直前、按照原訂計畫前進。

而是當某個警訊雖然微弱、雖然無法被證明，卻指向一個我賠不起的後果時，願意承認一件事：

萬一災難真的發生了，我沒有資格說，自己從來不曾聽見警告。