2 · เผื่อแล้วยังพัง
เก้ากรณีในภาคนี้เผื่อไว้ทุกกรณี ค่าความปลอดภัยถูกคำนวณจริง บางกรณีเกินที่กฎหมายบังคับ และทุกกรณีพัง
คำอธิบายอยู่ในนิยามของตัวเลขนั้นเอง ค่าความปลอดภัยคืออัตราส่วนระหว่างกำลังที่มีกับแรงที่ถูกตั้งชื่อไว้ในแบบ ตั้งชื่อแรงผิด อัตราส่วนนั้นก็เป็นแค่ตัวเลขประดับ มันไม่ได้ผิดเพราะใครคำนวณผิด มันผิดเพราะมันตอบคำถามอื่น
ภาคนี้จึงถามคำถามเดียวซ้ำเก้าครั้ง ส่วนเผื่อถูกคิดเทียบกับอะไร และอะไรคือสิ่งที่เข้าโจมตีโครงสร้างจริง
ทาโคมาแนโรวส์ · 7 พฤศจิกายน 1940
ในปี 1940 วิชาสะพานแขวนเชื่อว่าตัวเองแก้ปัญหาลมได้แล้ว ไม่ใช่ด้วยการสร้างให้หนาขึ้น แต่ด้วยการค้นพบว่าไม่ต้องหนาขนาดนั้น deflection theory ของ Leon Moisseiff ถือว่าน้ำหนักตัวสะพานกับรูปทรงเคเบิลรับแรงด้านข้างได้เอง โครงเสริมความแข็งจึงลดลงได้ สะพานที่บางกว่าเดิมไม่ใช่ความประมาท มันคือสิ่งที่ทฤษฎีอนุญาต
วันที่ 7 พฤศจิกายน 1940 สี่เดือนหลังเปิดใช้ สะพานแขวนที่พื้นลึกเพียง 1 ใน 350 ของช่วงกลางบิดตัวจนพื้นช่วงกลางขาดลงช่องแคบ ไม่มีคนตาย มีสุนัขชื่อ Tubby ตายในรถบนสะพานหนึ่งตัว โครงสร้างเหนือน้ำทั้งหมดถูกตีราคาเป็นเศษเหล็ก เหลือแต่ตอม่อสองต้นกับฐานยึดเคเบิลที่ไม่เสียหาย
ค่าความปลอดภัยของสะพานนี้ไม่ได้ต่ำ มันตั้งฉากกับสิ่งที่ฆ่าสะพาน ส่วนเผื่อถูกคิดกับลมในฐานะแรงดันสถิต คือลมกดด้านข้างแรงเท่าไร โครงรับได้เท่าไร คูณตัวเลขนั้นอีกสามเท่าก็ไม่ช่วย เพราะแรงที่ทำให้พื้นขาดไม่ได้มาจากลม
Moisseiff แทนที่ stiffening truss สูง 25 ฟุตในแบบเดิมของ Clark Eldridge ด้วยคานแผ่นเหล็กตันสูง 8 ฟุต ความกว้างต่อช่วงอยู่ที่ 1 ต่อ 72 คานแผ่นตันรับแรงกดด้านข้างได้ดี แต่ต้านการบิดตัวได้แทบไม่มี ไม่มีใครต้องคิดถึงข้อนี้ ตราบใดที่แรงที่คิดอยู่คือแรงกด ความเร็วลมออกแบบที่อ้างกันในเอกสารรอง เล่มนี้ยังไม่ได้ตรวจกับเอกสารต้นฉบับ จึงไม่พิมพ์
ลมวันนั้นอยู่ในกรอบที่แบบรับได้ ตัวเลขความเร็วที่รายงานกันทั่วไปยังไม่ได้ตรวจกับบันทึกเครื่องวัดลมต้นทาง หลังสิบโมงเช้าไม่นาน แถบรัดเคเบิลกลางช่วงบนเคเบิลด้านเหนือลื่นหลุด เคเบิลแยกเป็นสองท่อนยาวไม่เท่ากัน ความไม่สมดุลถ่ายเข้าคานแผ่นที่แทบไม่มีความแข็งต่อการบิด และการแกว่งเปลี่ยนจากขึ้นลงเป็นบิดตัว
จากจุดนั้นเรื่องเปลี่ยนชนิด พื้นสะพานเองเป็นผู้สร้างแรงที่ขยายการเคลื่อนไหวของมัน ยิ่งบิดมาก แรงที่มันสร้างขึ้นก็ยิ่งมาก ลมไม่ใช่ตัวขับจากภายนอกอีกต่อไป มันเป็นแค่แหล่งพลังงานที่โครงสร้างดึงเข้ามาใช้ Billah และ Scanlan เรียกสภาพนี้ว่า negative damping ในทิศทางการบิด ระบบที่ปกติกินพลังงานของตัวเองจนสงบ กลับเติมพลังงานให้ตัวเองแทน
ฉบับที่ตำราฟิสิกส์เล่ากันว่าสะพานพังเพราะ resonance — ลมพัดตรงกับความถี่ธรรมชาติ — ไม่ถูก และบทความของ Billah กับ Scanlan ใน American Journal of Physics ปี 1991 เขียนขึ้นเพื่อแก้เรื่องนี้โดยเฉพาะ resonance ต้องมีตัวขับภายนอกที่ความถี่ตรงกัน ถ้าไม่ตรงก็ไม่เกิด ส่วน torsional flutter ไม่ต้องมีความถี่ให้ตรง โครงสร้างขับตัวเอง เรียกชื่อผิด ก็จะป้องกันผิดทาง คณะกรรมการ Carmody รายงานเดือนมีนาคม 1941 ว่าสาเหตุหลักคือความยืดหยุ่นเกิน และ WSDOT เองยังเขียนว่าสาเหตุแน่ชัดไม่เป็นที่ยุติ
กรณีนี้ไม่ใช่เรื่องใหม่แม้แต่ตอนนั้น J. K. Finch เขียนใน Engineering News-Record สี่เดือนหลังสะพานพังว่าสะพานแขวนพังเพราะลมมาแล้วทั้งศตวรรษ ครั้งล่าสุดคือ Niagara-Clifton ปี 1889 สิ่งที่หายไปคือความจำ ห้าสิบปีที่ไม่มีสะพานพังถูกอ่านว่าเป็นหลักฐานว่าปลอดภัย
สิ่งที่กรณีนี้สอน: ถามว่าค่าความปลอดภัยของคุณคิดกับแรงหรือกับกลไก — ถ้าโครงสร้างสร้างแรงขึ้นเองได้ ตัวคูณของแรงภายนอกไม่มีความหมาย
เดอ ฮาวิลแลนด์ คอเม็ต · 1954
เครื่องบินโดยสารที่บินสูงต้องอัดความดันในลำตัวไว้ให้คนข้างในหายใจได้ และลำตัวที่อัดความดันคือภาชนะที่พองขึ้นตอนไต่แล้วยุบลงตอนร่อน หนึ่งเที่ยวบินหนึ่งรอบ คำถามที่วิชานี้ตอบได้ไม่ดีในตอนนั้นคือภาชนะแบบนั้นทนได้กี่รอบก่อนจะร้าว
วันที่ 10 มกราคม 1954 เครื่อง Comet 1 ทะเบียน G-ALYP ของ BOAC แตกกลางอากาศขณะไต่ผ่าน 27,000 ฟุตนอกชายฝั่งเกาะ Elba คนบนเครื่อง 35 คนตายทั้งหมด วิทยุขาดกลางประโยค สิบหกวันหลังฝูงบินกลับมาบินอีกครั้ง วันที่ 8 เมษายน 1954 G-ALYY ของ South African Airways แตกขณะไต่ผ่าน 35,000 ฟุตใกล้ Naples ตาย 21 คน
ส่วนเผื่อของลำตัวเครื่องนี้เกินที่กฎหมายบังคับ และมันถูกวัดบนโลหะผิดชิ้น
ข้อกำหนด BCAR ของอังกฤษให้ออกแบบลำตัวรับความดัน 2P และทดสอบ proof ที่ 1.33P เมื่อ P คือความดันใช้งานราว 8.25 psi de Havilland ไม่ได้ทำแค่ตามนั้น บริษัทออกแบบที่ 2.5P และทดสอบ proof ที่ 2P
เมื่อ ARB เสนอให้ทดสอบความล้าของลำตัวรับความดันในเดือนมิถุนายน 1953 de Havilland อัดความดันลำตัวต้นแบบซ้ำจาก 0 ถึง 1P อีก 16,000 รอบ มันแตกที่รอบที่ 16,000 ตรงมุมหน้าต่างทรงเหลี่ยม เทียบกับอายุปลอดภัยเป้าหมาย 10,000 รอบ ดูเหมือนเผื่อไว้ 60%
ตัวเลขนั้นไม่ได้โกหก มันตอบคำถามเกี่ยวกับลำตัวที่ไม่มีอยู่ในฝูงบิน ลำตัวที่ทนได้ 16,000 รอบคือลำตัวที่เคยผ่าน proof test ที่ 2P มาก่อน ความดันขนาดนั้น cold-work โลหะตรงจุดรวมความเค้นพอดี มุมหน้าต่างของชิ้นทดสอบจึงทนความล้าได้ดีกว่าเครื่องบินทุกลำที่ส่งมอบ การทดสอบพิสูจน์กำลัง ทำให้ชิ้นที่ใช้พิสูจน์อายุแข็งกว่าของจริง
ข้อที่สองอยู่ในปรัชญาการออกแบบ safe-life ให้ชิ้นส่วนเป็นจำนวนรอบที่รับรอง ไม่มีเส้นทางรับแรงสำรอง ไม่มีตัวหยุดรอยร้าว รอยร้าวที่เกิดเร็วกว่ากำหนดจึงไม่ใช่สภาพเสื่อมที่ช่างจะเจอตอนตรวจ มันคือเครื่องบินทั้งลำ
RAE Farnborough แก้ปัญหาการมองไม่เห็นนั้นด้วยวิธีที่ตรงไปตรงมาจนน่าจำ คือจมเครื่องบินทั้งลำ ถังน้ำ 200,000 แกลลอนถูกสร้างครอบลำตัว G-ALYU ทั้งลำ แล้วอัดความดันเป็นรอบด้วยน้ำแทนอากาศ เพื่อให้รอยแตกหยุดอยู่ในถัง วันที่ 24 มิถุนายน 1954 ลำตัวนั้นแตกหลังบินจริง 1,230 เที่ยวบวกรอบในถัง 1,830 รอบ รวมราว 3,060 รอบ จุดเริ่มรอยร้าวคือมุมช่องประตูหนีภัยด้านหน้า
ฉบับที่เล่ากันว่าหน้าต่างผู้โดยสารทรงสี่เหลี่ยมทำให้เครื่องตก ไม่ตรงกับหลักฐาน รอยร้าวของ G-ALYP เริ่มที่ช่องเสาอากาศ ADF บนหลังคาลำตัว รอยร้าวของ G-ALYU เริ่มที่ประตูหนีภัย และจุดเริ่มของ G-ALYY ไม่เคยพบ เครื่องที่ตกที่ Elba บินมาราว 1,290 เที่ยวตามตัวเลขของ FAA เครื่องที่ Naples 900 เที่ยว
ศาลสอบสวนของ Lord Cohen พิมพ์รายงาน CAP 127 วันที่ 1 กุมภาพันธ์ 1955 และ BCAR D3-7 ข้อ 4.3.2 ถูกแก้ให้ทดสอบความล้าบนลำตัวที่ไม่เคยใช้ทดสอบกำลังมาก่อน ปิดช่องโหว่ cold-working ด้วยชื่อของมันเอง อุตสาหกรรมย้ายไป fail-safe และต่อมาเป็น damage tolerance
สิ่งที่กรณีนี้สอน: ตรวจว่าชิ้นที่ใช้วัดส่วนเผื่อผ่านอะไรมาก่อนถูกวัด — ชิ้นทดสอบที่แข็งกว่าของจริงให้ตัวเลขที่ของจริงชิ้นไหนก็ใช้ไม่ได้
ไททานิก · 15 เมษายน 1912
คำถามที่ Board of Trade ตอบในปี 1894 ไม่ใช่คำถามที่คนสมัยนี้คิด เขาไม่ได้ถามว่าจะเอาคนทั้งลำลงน้ำอย่างไร แต่ถามว่าจะพาคนจากเรือที่กำลังจมไปถึงเรือที่แล่นมาช่วยอย่างไร คณะกรรมการปี 1886 ให้เหตุผลว่าเรือชูชีพกลางมหาสมุทรช่วยชีวิตได้น้อย เว้นแต่มีเรือลำอื่นอยู่ใกล้ และคณะกรรมการปี 1887 ตั้งเป้าที่ "อากาศปานกลาง" เรือชูชีพในกฎนี้จึงเป็นรถรับส่งไปเรือกู้ภัย ไม่ใช่ที่นั่งสำรองสำหรับทุกคน
คืนวันที่ 14 เมษายน 1912 เรือที่มีคน 2,201 คนบนเรือตามรายงานของ Lord Mersey ชนภูเขาน้ำแข็ง และจมลงในเช้ามืดวันที่ 15 เรือลำนี้มีเรือชูชีพรองรับได้ 1,178 คน ตัวเลขนั้นเกินที่กฎหมายบังคับ
ประโยคสุดท้ายคือหัวใจของกรณีนี้ ฉบับที่ว่าเจ้าของเรือตัดงบเรือชูชีพหรือแหกกฎ ผิด เรือลำนี้ทำเกินกฎ 22% แล้วยังไม่มีที่นั่งให้คนเกือบครึ่งลำ
กฎที่ใช้คือตารางของ Board of Trade ออกตาม Merchant Shipping Act 1894 ลงวันที่ 9 มีนาคม 1894 ตารางนี้ผูกจำนวนเรือชูชีพกับระวางตันรวม ไม่ใช่กับจำนวนคนบนเรือ เรือที่หนักขึ้นจึงต้องมีเรือชูชีพมากขึ้น ส่วนเรือที่บรรทุกคนมากขึ้นโดยระวางตันเท่าเดิม ไม่ต้องเพิ่ม
ตารางนี้หยุดอยู่ที่ขั้นบนสุด "10,000 ตันขึ้นไป" เรือทุกลำในขั้นนั้นต้องมีเรือชูชีพใต้ davit 16 ลำ รวม 5,500 ลูกบาศก์ฟุต เรือขนผู้อพยพต้องเพิ่มอีกสามในสี่ เป็น 9,625 ลูกบาศก์ฟุต ที่อัตรา 10 ลูกบาศก์ฟุตต่อคนตามที่คณะสอบสวนใช้ นั่นคือ 962 คน
ไททานิกมีเรือชูชีพ 20 ลำเทียบกับที่บังคับ 16 รายงานของ Wreck Commissioner เขียนว่าความจุ 1,178 คนนั้นเกินข้อกำหนดของตารางและกฎไปไกล เกินจนไม่เคยต้องใช้ Rule 12 ข้อลดหย่อนสำหรับเรือที่แบ่งห้องกันน้ำได้ตามมาตรฐาน ที่จะลดข้อกำหนดลงเหลือราว 756 คน
ตัวเลขผู้เสียชีวิตที่ยกกันทั่วไปคือราว 1,500 เล่มนี้ยืนยันตัวเลขนั้นกับต้นทางไม่ได้
ส่วนเผื่อจึงถูกคิดเทียบกับระวางตัน ไม่ใช่กับจำนวนชีวิตบนเรือ สิ่งที่โจมตีกฎคือขนาดที่เลื่อนไป ตอนเขียนตาราง เรือขนผู้อพยพลำใหญ่ที่สุดคือ Lucania 12,952 ตัน ขั้นบนสุดจึงพอดีกับโลกในปี 1894 ส่วนไททานิก 46,328 ตัน คือ 3.6 เท่าของขั้นบันไดสุดท้ายที่ไม่มีขั้นต่อ บันไดไม่ได้พัง มันแค่สั้นกว่าตึกที่คนสร้างขึ้นมาทีหลัง
Chalmers ที่ปรึกษาด้านการเดินเรือของ Board of Trade ปี 1896–1911 ให้การว่าทำไมเขาไม่แก้ เหตุผลของเขาไม่ได้อ่อน สถิติอุบัติเหตุสะอาด เรือแข็งแรงและแบ่งห้องดีขึ้น มีโทรเลขไร้สาย เรือชูชีพเกิน 16 ลำจัดการกลางทะเลไม่ทัน และเจ้าของเรือก็เผื่อเกินกฎกันเองอยู่แล้ว
ทุกข้อในรายการนั้นมีสิ่งหนึ่งเหมือนกัน มันเป็นเหตุผลว่าฉากเหตุการณ์จะไม่เกิด ไม่มีข้อไหนเป็นเหตุผลว่าถ้าเกิดแล้วส่วนเผื่อจะพอ Mersey เขียนว่าเห็นน้ำหนักของคำอธิบายนี้ แต่มันไม่ทำให้ความล่าช้าชอบธรรม
การแก้กฎเริ่มแล้วและช้าเกินไป วันที่ 28 กุมภาพันธ์ 1911 Archer หัวหน้าผู้ตรวจเรือของ Board of Trade ร่างตารางใหม่ที่ให้เรือขนาดไททานิกมีความจุ 24,937 ลูกบาศก์ฟุต พอสำหรับ 2,201 คนในคืนนั้น กฎยังไม่เปลี่ยนตอนเรือออกจากท่า
สิ่งที่กรณีนี้สอน: หาเพดานของตารางที่กฎของคุณอ้าง แล้วเทียบกับขนาดของสิ่งที่คุณสร้างวันนี้ ไม่ใช่ขนาดของวันที่ตารางถูกเขียน
ทางเดินลอยของ Hyatt Regency · 17 กรกฎาคม 1981
ทางเดินลอยมีปัญหาที่พื้นธรรมดาไม่มี คือไม่มีอะไรอยู่ข้างล่างมันเลย น้ำหนักทุกกรัมต้องเดินขึ้นไปหาหลังคา และเส้นทางเดียวที่พาน้ำหนักขึ้นไปได้คือแท่งเหล็กที่ห้อยลงมา วันที่ 17 กรกฎาคม 1981 ระหว่างงานเต้นรำในห้องโถงโรงแรม Hyatt Regency เมือง Kansas City เส้นทางนั้นขาด ทางเดินลอยสองชั้นถล่มลงมาทับคนข้างล่าง ตาย 114 คน บาดเจ็บกว่า 200 คน เป็นโครงสร้างถล่มที่ตายมากที่สุดในอเมริกาจนถึงปี 2001
ส่วนเผื่อของกรณีนี้ไม่ได้คิดผิดแกน มันไม่เคยถูกคิดเลยสำหรับจุดต่อแบบที่สร้างจริง ไม่มีลมพิเศษ ไม่มีความล้า ไม่มีพลศาสตร์ ฝูงชนบนทางเดินคือน้ำหนักจรธรรมดาที่ code คาดไว้แล้ว สิ่งเดียวที่ไม่ธรรมดาคือจุดต่อที่รับน้ำหนักนั้น ไม่ใช่จุดต่อที่ใครเคยคำนวณ
แบบเดิมแขวนทางเดินชั้นสี่และชั้นสองด้วยแท่งเหล็กเส้นเดียวต่อเนื่อง แท่งทะลุคานกล่องของทางเดินชั้นสี่ มีนอตกับแหวนรองรับตรงนั้น แล้วยาวต่อลงไปสิ้นสุดใต้คานกล่องชั้นสอง ลองไล่ตามน้ำหนักดูทีละช่วง คนที่ยืนบนชั้นสองกดคานกล่องชั้นสอง คานกล่องกดนอตตัวล่าง นอตตัวล่างดึงแท่ง แล้วแท่งพาน้ำหนักก้อนนั้นวิ่งขึ้นไปหาหลังคาโดยตรง ผ่านชั้นสี่ไปเฉยๆ จุดต่อที่ชั้นสี่จึงรับน้ำหนักเฉพาะทางเดินชั้นสี่
แบบที่สร้างจริงใช้แท่งสั้นสองแท่ง แท่งหนึ่งจากเพดานถึงชั้นสี่ อีกแท่งจากชั้นสี่ลงชั้นสอง เหตุผลที่บันทึกไว้ธรรมดาจนน่าเสียดาย ผู้ผลิต Havens ไม่อยากทำเกลียวตลอดความยาวแท่งยาวเพื่อขันนอตเข้าไปถึงกลางแท่ง
การเปลี่ยนนี้ตัดเส้นทางที่น้ำหนักชั้นสองเคยใช้ทิ้ง น้ำหนักชั้นสองไม่วิ่งขึ้นหลังคาเองอีกแล้ว มันถูกส่งเข้าคานกล่องชั้นสี่ก่อน แล้วให้คานกล่องชั้นสี่แบกทั้งสองชั้นขึ้นไป น้ำหนักที่จุดนั้นเพิ่มเป็นสองเท่า จากการแก้แบบที่บนกระดาษดูเหมือนเรื่องวิธีผลิตล้วนๆ
National Bureau of Standards วัดได้ว่าน้ำหนักสูงสุดที่จุดต่อคานกล่องกับแท่งแขวนชั้นสี่ตอนถล่มอยู่ที่ 53% ของน้ำหนักออกแบบที่ Kansas City Building Code กำหนด จุดต่อพังที่ครึ่งหนึ่งของสิ่งที่ code บอกว่ามันต้องรับได้
ฉบับที่เล่ากันว่าแบบเดิมปลอดภัยแล้วผู้รับเหมาทำพัง ไม่ตรงกับหลักฐานทั้งสองข้าง วรรณกรรมวิศวกรรมระบุตรงกันว่าจุดต่อแบบเดิมก็ต่ำกว่า code อยู่แล้ว ส่วนสัดส่วนที่แน่นอนเล่มนี้ยังไม่ได้อ่านจากรายงาน NBS โดยตรง จึงไม่พิมพ์ การเปลี่ยนแบบจึงไม่ได้เปลี่ยนของดีให้เป็นของเสีย มันเอาความจุที่ไม่พออยู่แล้วมาหารสอง
และการแก้แบบของผู้ผลิตผ่านการอนุมัติโดยไม่มีใครคำนวณจุดต่อใหม่ ตราวิศวกรผู้รับผิดชอบไปอยู่บนแบบที่ไม่มีใครวิเคราะห์
เดือนกุมภาพันธ์ 1984 อัยการสูงสุดรัฐ Missouri ยื่นคำร้องให้ลงโทษวิศวกรสองคนกับบริษัทของพวกเขา เดือนพฤศจิกายน 1985 ผู้พิพากษาชั้นปกครองตัดสินว่ามีความผิดฐาน gross negligence ปี 1986 คณะกรรมการวิศวกรรมของรัฐเพิกถอนใบอนุญาตของ Daniel M. Duncan และ Jack D. Gillum และเพิกถอนใบรับรองของบริษัท ไม่มีคดีอาญา
สิ่งที่กรณีนี้สอน: ทุกครั้งที่จุดต่อเปลี่ยน ให้ถามว่าใครคำนวณมันใหม่ และขอดูตัวเลข — ตราบนแบบไม่ใช่การคำนวณ
แชลเลนเจอร์ · 28 มกราคม 1986
จรวดเชื้อเพลิงแข็งประกอบขึ้นจากท่อนที่ต่อกัน และรอยต่อทุกรอยคือช่องที่ก๊าซร้อนอยากผ่าน ของที่กันมันไว้คือยางเส้นหนึ่ง งานของยางเส้นนั้นไม่ใช่การทนแรง แต่คือการดีดกลับให้ทัน
เวลา 11:38 น. ตามเวลาฝั่งตะวันออกของวันที่ 28 มกราคม 1986 กระสวยอวกาศ Challenger ขึ้นจากแท่นที่อุณหภูมิ 36°F และแตกออกในวินาทีที่ 73 ลูกเรือเจ็ดคนตายทั้งหมด — Dick Scobee, Michael Smith, Judith Resnik, Ronald McNair, Ellison Onizuka, Gregory Jarvis และ Christa McAuliffe ครูจากโครงการ Teacher in Space
คณะกรรมการ Rogers สรุปว่าสาเหตุคือซีลใน aft field joint ของจรวดเชื้อเพลิงแข็งด้านขวาล้มเหลว ปล่อยให้ก๊าซร้อนรั่วผ่านรอยต่อระหว่างเผาไหม้ และเรียกแบบรอยต่อนั้นว่าออกแบบผิดพลาดและอ่อนไหวต่อปัจจัยหลายอย่างเกินรับได้ อุณหภูมิเป็นหนึ่งในนั้น
ค่าความปลอดภัยทุกตัวของจรวดลำนั้นยังอยู่ครบและไม่ได้ถูกใช้เลย ความดันแตก กำลังปลอกจรวด ค่าความปลอดภัยด้านโครงสร้าง ไม่มีตัวไหนเกี่ยว เพราะส่วนเผื่อของรอยต่อถูกคิดในฐานะซีลความดันสถิต คือถามว่ายางทนความดันได้เท่าไร ทั้งที่คำถามจริงคือยางกลับเข้าที่ได้เร็วแค่ไหน
ตอนจุดจรวด รอยต่อถ่างออก และ O-ring ต้องดีดตามไปปิดช่องว่างนั้นให้ทัน ความสามารถดีดกลับนั้นเรียกว่า resiliency และ resiliency ขึ้นกับอุณหภูมิ ยางที่เย็นลงจะช้าลง ส่วนรอยต่อที่ถ่างออกตอนจุดจรวดไม่รอ ส่วนเผื่อที่มีความหมายในวันนั้นจึงเป็นเวลาตอบสนองของยางในหน่วยมิลลิวินาที ไม่ใช่ความดันที่มันทนได้
36°F อยู่นอกซองที่รับรอง และเย็นกว่าการปล่อยครั้งไหนก่อนหน้าราวสิบห้าองศา ครั้งที่เย็นที่สุดก่อนหน้าคือ STS-51-C เดือนมกราคม 1985 ที่ 53°F ซึ่งพบ O-ring สึกกร่อนเมื่อกู้จรวดขึ้นมา
ทุกเที่ยวบินที่มีการสึกกร่อนถูกอ่านว่ารอยต่อทนการสึกกร่อนได้ ไม่ใช่ว่าส่วนเผื่อลดลง หลักฐานชุดเดียวกันอ่านได้สองแบบ และองค์กรเลือกแบบที่ให้บินต่อ Diane Vaughan ตั้งชื่อรูปแบบนี้ภายหลังว่า normalization of deviance
ตัวเลขทำงานของฝ่ายบริหาร NASA สำหรับโอกาสสูญเสียยานอยู่ที่ราว 1 ใน 100,000 Feynman ในภาคผนวก F ของรายงานประเมินว่าใกล้ 1 ใน 100 และโจมตีวิธีที่ตัวเลขทางการถูกผลิตขึ้น
สิ่งที่เกิดในคืนก่อนปล่อยสรุปได้ในประโยคเดียว ภาระพิสูจน์กลับด้าน วิศวกรถูกขอให้พิสูจน์ว่าบินไม่ปลอดภัย แทนที่จะถูกขอให้พิสูจน์ว่าปลอดภัย
Morton Thiokol เปิดประชุมทางไกลเพื่อยกพยากรณ์อุณหภูมิขึ้นเทียบกับ O-ring วิศวกรของ Thiokol แนะนำไม่ให้ปล่อยต่ำกว่า 53°F ผู้บริหาร NASA ท้าทายคำแนะนำนั้น Thiokol ขอพักหารือภายในราว 30 นาที แล้วผู้บริหารระดับสูงของ Thiokol กลับคำแนะนำของวิศวกรตัวเองและให้ปล่อยได้
ฉบับที่เล่ากันว่า NASA สั่งข้ามหัววิศวกร Thiokol จึงย่อจนผิด NASA ท้าทาย แต่คนที่กลับคำคือ Thiokol เอง คณะกรรมการ Rogers พบว่าการกลับคำไม่ได้มาจากข้อมูลทางวิศวกรรมใหม่ และให้อุบัติเหตุมีสองสาเหตุ ซีลที่ล้มเหลวที่อุณหภูมินอกการรับรอง กับกระบวนการตัดสินใจที่บกพร่องในบทที่ V ของรายงาน
สิ่งที่กรณีนี้สอน: ถ้าเงื่อนไขวันนี้อยู่นอกซองที่เคยทดสอบ ให้เขียนคำถาม "พิสูจน์ว่าปลอดภัย" ลงกระดาษก่อนเข้าประชุม — ไม่ใช่ "พิสูจน์ว่าอันตราย"
เชอร์โนบิล · 26 เมษายน 1986
ที่เชอร์โนบิลมีคนทำในสิ่งที่ควรทำ เขาพบช่องโหว่ในแนวป้องกันของโรงไฟฟ้า ถ้าไฟดับทั้งสถานี จะมีช่วงหนึ่งที่ปั๊มน้ำหล่อเย็นหลักไม่มีไฟเลี้ยง ระหว่างรอเครื่องดีเซลฉุกเฉินขึ้น คำถามคือแรงเฉื่อยของกังหันที่กำลังช้าลงจะปั่นไฟพอกลบช่วงนั้นได้หรือไม่ ขั้นตอนที่ตอบคำถามนี้ชื่อ turbine-generator rundown test และจะรันมันได้ต้องปิดระบบความปลอดภัยที่จะสั่งยกเลิกเสียก่อน
ขั้นตอนที่ไล่หาส่วนเผื่อ คือสิ่งที่ทำลายเตา
เวลา 01:23:40 ของวันที่ 26 เมษายน 1986 ผู้ควบคุมเตาปฏิกรณ์หน่วยที่ 4 กดปุ่ม AZ-5 ปุ่มดับเตาฉุกเฉิน และเตาระเบิดในไม่กี่วินาทีถัดมา
คนงานสองคนตายจากการระเบิดในคืนนั้น acute radiation syndrome ยืนยันใน 134 คนจาก 237 ที่วินิจฉัยเบื้องต้น และ 28 คนในนั้นตายภายในไม่กี่สัปดาห์ รวม 30 ตัวเลข 31 ที่ยกกันทั่วไปนับเพิ่มอีกหนึ่งราย เล่มนี้ยืนยันรายนั้นไม่ได้
ส่วนเผื่อที่ผู้ควบคุมใช้คือ Operating Reactivity Margin หรือ ORM จำนวนแท่งควบคุมเทียบเท่าที่ยังเสียบอยู่ในแกน ขีดล่างคือ 15 แท่ง ผู้ควบคุมดูจะเชื่อว่าถ้าไม่ต่ำกว่า 15 ก็ปลอดภัย แต่ความหมายของ ORM ขึ้นกับตำแหน่งของแท่งและรูปกำลังตามแนวแกน ตัวเลขเดียวกันจึงแปลว่าคนละอย่างได้ ขึ้นกับว่าแกนอยู่ในสภาพไหน มันเป็นตัวแทน ไม่ใช่ตัวเลขเดี่ยว
สิ่งที่โจมตีเตาคือคุณสมบัติสองอย่างของ RBMK ที่ทำงานร่วมกัน อย่างแรก positive void coefficient RBMK ใช้กราไฟต์หน่วงนิวตรอนและใช้น้ำหล่อเย็น เมื่อน้ำเดือดเป็นไอ ตัวดูดกลืนนิวตรอนหายไปแต่กราไฟต์ยังหน่วงอยู่ reactivity จึงขึ้น และกำลังที่ขึ้นทำให้น้ำเดือดมากขึ้นอีก วงจรนี้แรงที่สุดที่กำลังต่ำ และเตาถูกรันที่กำลังต่ำพอดี
อย่างที่สอง ปลายแท่งควบคุมเป็นกราไฟต์ เมื่อแท่งเลื่อนลงในช่องที่เต็มด้วยน้ำ ปลายกราไฟต์ไล่น้ำออกก่อน แทนตัวดูดกลืนด้วยตัวหน่วง การเสียบแท่งจึงเพิ่ม reactivity ที่ก้นแกนก่อนจะลดมัน ด้วยแท่งส่วนใหญ่ถอนออกจนสุด การกด AZ-5 ใส่ reactivity ก้อนใหญ่ลงก้นแกน และผ่านไปกว่าห้าวินาทีก่อน boron carbide จะเบรกอะไรได้
ปุ่มที่เขียนว่าหยุดทำงานถูกต้องตามแบบของมันทุกประการ และสิ่งที่แบบของมันทำในวินาทีแรกคือเร่ง ในสภาพแกนแบบนั้น ปุ่มดับเตาคือตัวจุดชนวน
ฉบับที่ว่าผู้ควบคุมประมาทและแหกกฎคือคำตัดสินทางการ INSAG-1 เดือนสิงหาคม 1986 และ IAEA แก้มันเองใน INSAG-7 ปี 1992 ที่ย้ายน้ำหนักไปที่แบบเตา INSAG-7 ระบุสามสิ่งที่เกิดพร้อมกัน ฟิสิกส์ของเตา แบบของแท่งควบคุม และการที่เตาถูกพาไปยังสภาพที่ไม่มีในขั้นตอนใดและไม่มีหน่วยงานอิสระเคยตรวจสอบ
ข้อสามคือประเด็นของภาคนี้ ผู้ควบคุมไม่ได้อยู่นอกส่วนเผื่อที่คำนวณแล้วพบว่าพอ พวกเขาอยู่นอกบริเวณที่ไม่มีใครเคยคำนวณส่วนเผื่อเลย และเครื่องมือวัดในห้องควบคุมไม่มีทางบอกพวกเขาเรื่องนั้นได้
สิ่งที่กรณีนี้สอน: ก่อนรันการทดสอบที่ต้องปิดระบบป้องกัน ให้เขียนก่อนว่าสภาพที่มันจะพาระบบไปนั้นมีใครวิเคราะห์ไว้แล้วหรือยัง — ถ้ายัง การทดสอบคืออุบัติเหตุที่นัดเวลาไว้
Therac-25 · 1985–1987
เครื่องฉายรังสีรักษาเครื่องหนึ่งทำสองอย่างด้วยลำอิเล็กตรอนลำเดียวกัน ยิงลำกำลังต่ำเข้าตัวคนไข้โดยตรง หรือยิงลำกำลังสูงเข้าใส่ target แล้วให้ target เปลี่ยนมันเป็น X-ray ความต่างระหว่างการรักษากับการฆ่า อยู่ที่ชิ้นโลหะชิ้นหนึ่งอยู่หรือไม่อยู่ในแนวลำ
ระหว่างวันที่ 3 มิถุนายน 1985 ถึง 17 มกราคม 1987 เครื่องฉายรังสี Therac-25 ให้รังสีเกินขนาดกับคนไข้หกรายในโรงพยาบาลสี่แห่งใน Georgia, Ontario, Washington และ Texas อย่างน้อยสามคนตาย — คนไข้ที่ Tyler รัฐ Texas ทั้งสอง และคนไข้ Yakima รายสุดท้ายที่ตายเดือนเมษายน 1987 บางแหล่งนับสี่ เล่มนี้ยืนยันรายที่สี่ไม่ได้ เดือนกุมภาพันธ์ 1987 FDA สั่งเรียกคืนระดับ Class I
ส่วนเผื่อของเครื่องรุ่นก่อนถูกถอดออกทั้งชุด และเหตุผลที่ถอดคือเหตุผลที่ฟังขึ้นที่สุดในเรื่องนี้ Therac-6 และ Therac-20 มีประวัติใช้งานสะอาด และพึ่งฮาร์ดแวร์เป็นหลักในการคุมความปลอดภัย interlock ทางกายภาพทำให้จ่ายลำอิเล็กตรอนกำลังสูงไม่ได้ถ้า target กับ collimator ไม่อยู่ในแนวลำ Therac-25 ย้ายการตรวจสอบเหล่านั้นไปไว้ในซอฟต์แวร์และถอด interlock ฮาร์ดแวร์ออก ซอฟต์แวร์ที่ย้ายไปนั้นสืบทอดมาจากเครื่องที่ไม่เคยทำร้ายใคร จึงถือว่าพิสูจน์แล้ว
มันไม่ได้ถูกพิสูจน์ มันถูกบัง ข้อบกพร่องเดียวกันอยู่ในโค้ดของ Therac-20 มาตลอด ไม่มีใครรู้เพราะ interlock ของ Therac-20 จับสภาวะที่ผิดไว้ได้ทุกครั้ง interlock ไม่ได้ซ้ำซ้อนกับซอฟต์แวร์ มันคือสิ่งเดียวที่ความจริงเคยทดสอบ ถอดมันออกคือถอดส่วนเผื่อทั้งหมดที่เคยพิสูจน์ได้ เหลือไว้แต่คำอ้าง
อุบัติเหตุที่ Tyler ทั้งสองครั้งเกิดจาก Malfunction 54 race condition ในโค้ดควบคุมบน PDP-11 ถ้าผู้ปฏิบัติงานป้อนใบสั่งฉาย แล้วเลื่อนเคอร์เซอร์ขึ้นไปแก้โหมดลำจาก X-ray เป็นอิเล็กตรอนเร็วพอ งานป้อนข้อมูลกับงานตั้งค่าเครื่องจะเห็นสภาวะเครื่องไม่ตรงกัน เครื่องจึงยิงลำอิเล็กตรอนในโหมด X-ray กำลังสูงโดยไม่มี target อยู่ในแนว กระแสเต็มลงบนตัวคนไข้
หน้าต่างเวลานั้นแคบพอที่มีเพียงผู้ปฏิบัติงานที่คล่องเท่านั้นเข้าถึงได้ ตัวเลขแปดวินาทีที่ยกกันทั่วไป เล่มนี้ยังไม่ได้ตรวจกับต้นฉบับของ Leveson ข้อที่ควรอ่านช้าๆ คือข้อนี้ ทุกอุบัติเหตุมีความชำนาญนำหน้า ไม่ใช่ความสะเพร่า คนที่พิมพ์เร็วกว่าคือคนที่ไปถึงสภาวะที่ไม่มีใครเคยนับ
ฉบับที่เล่ากันว่าบั๊กตัวหนึ่งฆ่าคน ผิดที่คำว่าตัวหนึ่ง Malfunction 54 ทำให้เกิดอุบัติเหตุที่ Tyler ส่วน Hamilton และ Yakima ทั้งสองครั้งเกิดจากข้อบกพร่องคนละตัว Nancy Leveson และ Clark Turner เขียนใน IEEE Computer เดือนกรกฎาคม 1993 ว่าการไล่จับบั๊กทีละตัวไม่ใช่ทางสร้างระบบที่ปลอดภัย ความปลอดภัยของซอฟต์แวร์เป็นคุณสมบัติของระบบ ไม่ใช่ของซอฟต์แวร์ AECL หาสาเหตุหนึ่ง แก้ แล้วประกาศว่าเครื่องปลอดภัย หลังอุบัติเหตุทุกครั้ง
ส่วนเผื่อถูกคิดกับประวัติสะอาดของเครื่องรุ่นก่อน สิ่งที่โจมตีคือสภาวะเครื่องที่ไม่มีใครเคยนับ เข้าถึงได้ผ่านหน้าต่างเวลาระหว่างสองงานที่รันพร้อมกันกับมนุษย์ที่เร็ว และประวัติสะอาดนั้นก็หมุนเป็นวงกลม ส่วนเผื่อถูกถอดเพราะสิ่งที่มันกันไม่เคยถูกเห็น และมันไม่เคยถูกเห็นเพราะส่วนเผื่ออยู่ตรงนั้น
สิ่งที่กรณีนี้สอน: ก่อนถอดตัวป้องกันที่ไม่เคยทำงาน ให้ถามว่าประวัติสะอาดนั้นเป็นหลักฐานของโค้ดหรือของตัวป้องกัน — แล้วรันโค้ดโดยไม่มีมันบนโต๊ะทดสอบก่อนบนตัวคนไข้
ฟุกุชิมะ ไดอิจิ · 11 มีนาคม 2011
โรงไฟฟ้าบนชายฝั่งทุกแห่งต้องตอบคำถามเดียวกัน น้ำจะขึ้นมาได้สูงสุดเท่าไร คำตอบมาจากบันทึกที่มีอยู่ และบันทึกก็มีอยู่เท่าที่มันมี ปี 2002 TEPCO ประเมินสึนามิใหม่โดยสมัครใจด้วยวิธีของ Japan Society of Civil Engineers แล้วตั้งค่าออกแบบไว้ที่ 5.7 เมตร
วันที่ 11 มีนาคม 2011 สึนามิสูงราว 15 เมตรมาถึงโรงไฟฟ้า Fukushima Daiichi โรงไฟฟ้าที่ออกแบบรับสึนามิ 5.7 เมตร บนพื้นที่สูงจากระดับน้ำทะเลราว 10 เมตร
ตัวเลขที่มาถึงในปี 2011 TEPCO คำนวณได้เองในปี 2008
ไม่มีใครตายจากรังสีเฉียบพลัน ปี 2018 รัฐบาลญี่ปุ่นรับรองว่าคนงานอายุห้าสิบกว่าที่ตายด้วยมะเร็งปอดหลังรับรังสีราว 195 mSv ตายจากรังสี เพื่อจ่ายค่าชดเชย และคำรับรองนั้นถูกโต้แย้งบนหลักระบาดวิทยา คนที่ตายจำนวนมากคือจากการอพยพ ราว 2,200 คน ตัวเลขต่างกันตามวิธีนับ
ส่วนเผื่อมีสองชั้น ชั้นแรกคือค่าออกแบบ 5.7 เมตร ชั้นที่สองคือความสูงของพื้นดินเอง พื้นหลักของหน่วย 1–4 อยู่สูงจากระดับน้ำทะเลราว 10 เมตร ถ้าน้ำข้ามชั้นแรกได้ ก็ยังมีอีกสี่เมตรกว่ารออยู่ ใต้พื้นนั้นคือชั้นใต้ดินและอาคารต่ำที่วางเครื่องกำเนิดไฟฟ้าดีเซลฉุกเฉินกับสวิตช์เกียร์ไว้
น้ำที่มาถึงสูงสุด 15.7 เมตรที่ปลายด้านใต้ของพื้นที่ตามการประมาณ ตรงกับระดับน้ำท่วม 15.5 เมตรที่วัดได้ที่โรงไฟฟ้า ฝั่งภูเขาน้ำท่วมถึง O.P. +14 ถึง +15 เมตร คลื่นใหญ่สุดราว 13–14 เมตร ข้ามพื้น 10 เมตรไป
น้ำท่วมชั้นใต้ดิน ทำลายเครื่องดีเซลกับสวิตช์เกียร์ DC และโรงไฟฟ้าเข้าสู่ station blackout ส่วนเผื่อทั้งสองชั้นถูกกินหมดด้วยเหตุการณ์เดียว สองชั้นที่นับแยกกันบนกระดาษ เป็นชั้นเดียวกันในน้ำ นี่คือความล้มเหลวตามนิยามของ defence-in-depth ที่ชั้นป้องกันสัมพันธ์กัน
เรื่องปี 2008 เป็นแบบนี้ ระหว่างทบทวนความปลอดภัยด้านแผ่นดินไหว TEPCO ทดลองใช้แบบจำลองแหล่งกำเนิดคลื่นของแผ่นดินไหว Meiji Sanriku ปี 1896 กับร่องลึกนอกชายฝั่ง Fukushima ผลคือ 15.7 เมตร บริษัทตั้งคำถามกับแบบจำลอง ขอให้คำนวณด้วยวิธีอื่น ได้ผลเกือบเท่าเดิม แล้ววางผลนั้นไว้เพื่อสั่งศึกษาทางวิศวกรรมเพิ่ม
ผลลัพธ์ไม่ได้หาย ไม่ได้ถูกเข้าใจผิด มันถูกจัดประเภทใหม่จากข้อกำหนดทางวิศวกรรมเป็นคำถามวิจัย ข้อกำหนดมีวันครบกำหนด คำถามวิจัยไม่มี
ฉบับที่ว่านี่คือภัยธรรมชาติที่คาดไม่ถึง ถูกคณะกรรมการอิสระของรัฐสภาญี่ปุ่นเองปฏิเสธ NAIIC รายงานวันที่ 5 กรกฎาคม 2012 ว่าอุบัติเหตุนี้ไม่อาจถือเป็นภัยธรรมชาติ แต่เป็น "profoundly manmade disaster" ที่คาดการณ์และป้องกันได้และควรทำ คณะกรรมการใช้คำว่า "collusion" ระหว่างรัฐบาล ผู้กำกับดูแล และอุตสาหกรรมนิวเคลียร์ และเขียนว่าความเสี่ยงสึนามิถูกเพิกเฉยทั้งหมด
ส่วนเผื่อถูกคิดจากหน้าต่างบันทึกประวัติศาสตร์ที่ไม่มีเหตุการณ์นี้อยู่ แล้วแปลงเป็นความสูงตัวเดียว แต่ความล้มเหลวที่ลึกกว่านั้นไม่ได้อยู่ที่ความสูง มันอยู่ที่ว่าองค์กรที่คำนวณส่วนเผื่อ เป็นคนตัดสินเองว่าจะเชื่อตัวเลขที่ตัวเองคำนวณซ้ำหรือไม่
สิ่งที่กรณีนี้สอน: เมื่อการคำนวณซ้ำให้ตัวเลขที่ทำลายค่าออกแบบเดิม ให้ส่งมันไปคนที่ไม่ได้เป็นเจ้าของค่าออกแบบ — อย่าให้ผู้เผื่อเป็นผู้ตัดสินว่าจะเชื่อส่วนเผื่อใหม่หรือไม่
โบอิ้ง 737 MAX · 2018–2019
เครื่องยนต์ LEAP-1B ใหญ่กว่าของเดิมและถูกเลื่อนไปข้างหน้า ผลที่ตามมาไม่ได้อยู่ที่เครื่องยนต์ ของที่เปลี่ยนไปคือโมเมนต์ก้มเงยที่ angle of attack สูง แรงคันบังคับที่การรับรองต้องการจึงไม่เป็นไปตามนั้นอีก ทางแก้ของ Boeing ชื่อ MCAS มันสั่ง stabiliser ปรับหัวลงเพื่อดันแรงคันบังคับกลับเข้ารูป มันไม่ใช่ระบบกัน stall
วันที่ 29 ตุลาคม 2018 Lion Air เที่ยวบิน 610 ทะเบียน PK-LQP ตกลงทะเลชวาหลังออกจาก Jakarta ไม่นาน ตาย 189 คน วันที่ 10 มีนาคม 2019 Ethiopian Airlines เที่ยวบิน 302 ตกหลังออกจาก Addis Ababa ตาย 157 คน ภายในไม่กี่วันเครื่อง MAX ทั้งโลกถูกสั่งจอด นาน 20 เดือน
Boeing ไม่ใส่ MCAS ในคู่มือปฏิบัติการของนักบิน ลูกเรือ Lion Air จึงไม่มีชื่อเรียกสิ่งที่กำลังสู้กับพวกเขา
ส่วนเผื่อที่ยื่นให้ FAA คือ 0.6 องศา การวิเคราะห์ความปลอดภัยของ Boeing ประเมิน MCAS เป็นฟังก์ชันอำนาจต่ำ ที่ความเร็วต่ำมันสั่ง stabiliser หัวลงได้ 0.6 องศาต่อครั้ง และบนตัวเลขนั้น การประเมินก็ถูก 0.6 องศาบน stabiliser ที่ trim ได้คือความรำคาญที่นักบิน trim ออกได้
ระหว่างทดสอบบิน วิศวกรเพิ่มอำนาจความเร็วต่ำเป็น 2.5 องศาต่อครั้ง โดยไม่ทบทวนการวิเคราะห์ความปลอดภัยกับตัวเลขใหม่ และครั้งเดียวไม่ใช่ขีดจำกัด MCAS รีเซ็ตทุกครั้งที่นักบิน trim ด้วยไฟฟ้า แล้วสั่งหัวลงใหม่ราวห้าวินาทีถัดมา ไม่จำกัดระยะสะสม ทุกครั้งที่นักบินแก้ เขาก็ให้สิทธิ์มันสั่งใหม่ไปด้วยพร้อมกัน
รายงานข่าวจากรายงานเบื้องต้นของ Lion Air 610 ระบุมากกว่า 24 ครั้ง ตัวเลขนี้เล่มนี้ยังไม่ได้ตรวจกับรายงานฉบับสุดท้ายของ KNKT
อำนาจจริงจึงไม่ใช่ 0.6 ไม่ใช่ 2.5 แต่คือ 2.5 องศาซ้ำไม่จำกัด เท่ากับระยะหัวลงเต็มของ stabiliser ต่อลูกเรือที่แรง elevator หมดก่อน ตัวเลขที่ผ่านประตูรับรองกับตัวเลขที่ขึ้นไปบินจริง เป็นคนละตัว และไม่มีใครเอาสองตัวนั้นมาวางข้างกัน
MCAS อ่านจากเซนเซอร์ angle of attack ตัวเดียว ไม่เทียบ ไม่โหวต ของ Lion Air เพิ่งถูกเปลี่ยนเมื่อวันก่อนด้วยชิ้นที่ปรับเทียบผิด แบบที่แก้หลังจอดบอกรูปร่างของแบบเดิมได้ชัดที่สุด ตอนนี้ MCAS เทียบเซนเซอร์สองตัว ไม่ทำงานถ้าต่างกัน 5.5 องศาขึ้นไปตอนเก็บ flap รีเซ็ตไม่ได้ และรวมทั้งหมดไม่เกิน 2.5 องศา ทุกข้อในรายการนั้นคือชื่อของสิ่งที่ขาดไปก่อนหน้า
ฉบับที่ว่าสัญญาณเตือน AOA DISAGREE ล้มเหลว ไม่ถูก มันถูกผูกไว้กับตัวแสดง AOA ที่เป็นตัวเลือกเสริม จึงทำงานเฉพาะสายการบินที่ซื้อตัวเลือกนั้น ทั้งที่ข้อกำหนดออกแบบของ Boeing เองให้มันเป็นมาตรฐาน วิศวกร Boeing พบเรื่องนี้ในปี 2017 ตัดสินว่าไม่จำเป็นต่อความปลอดภัย และไม่บอกทั้งสายการบินและ FAA จนหลัง Lion Air ตก
ฉบับที่ว่านักบินตะวันตกจะเอาอยู่ ขัดกับบันทึกการรับรอง JATR รายงานต่อ FAA เดือนตุลาคม 2019 ว่า MCAS "was not evaluated as a complete and integrated function" ในเอกสารที่ Boeing ยื่น การเปลี่ยนแปลงถูกหั่นเป็นชิ้น แต่ละชิ้นผ่านประตูของตัวเอง ไม่มีใครดูทั้งก้อน
สิ่งที่กรณีนี้สอน: ทุกครั้งที่ตัวเลขอำนาจของฟังก์ชันเปลี่ยน ให้รันการวิเคราะห์ความปลอดภัยใหม่บนตัวเลขที่ส่งไปเครื่องจริง — และคูณด้วยจำนวนครั้งที่มันรีเซ็ตได้
ท่าที่เอาไปใช้ได้: เขียนชื่อของแรงที่ค่าความปลอดภัยของคุณหารอยู่ให้เป็นคำนามหนึ่งคำ แล้วถามว่าสิ่งที่จะฆ่าระบบนี้เป็นคำนามเดียวกันหรือไม่ ถ้าไม่ใช่ ตัวเลขนั้นไม่ได้เผื่ออะไรเลย
จะพลิกคำตัดสินของภาคนี้ได้เมื่อ: ผู้อ่านชี้ได้ว่ารายงานสอบสวนหลักของกรณีใดในเก้ากรณีนี้สรุปว่าแรงที่ทำลายโครงสร้างคือแรงชนิดเดียวกับที่แบบตั้งชื่อไว้ และมีขนาดเกินค่าที่เผื่อ กรณีนั้นออกจากภาคนี้ทันที และถ้าเกินสามกรณี ชื่อภาคนี้ผิด
แหล่งของภาคนี้:
- ทาโคมาแนโรวส์ — ประวัติทางการของ WSDOT · https://wsdot.wa.gov/tnbhistory/bridges-failure.htm
- ทาโคมาแนโรวส์ — Billah & Scanlan, American Journal of Physics 59(2), 1991 · https://pubs.aip.org/aapt/ajp/article/59/2/118/1053909/Resonance-Tacoma-Narrows-bridge-failure-and
- ทาโคมาแนโรวส์ — Billah & Scanlan, PDF · https://www.aapt.org/store/upload/tacoma_narrows2.pdf
- คอเม็ต — Aerossurance, Comet misconceptions · https://aerossurance.com/safety-management/comet-misconceptions/
- คอเม็ต — FAA Lessons Learned, Comet 1 · https://lessonslearned.faa.gov/ll_main.cfm?TabID=1&LLID=28&LLTypeID=2
- คอเม็ต — รายงานศาลสอบสวน CAP 127 · http://lessonslearned.faa.gov/Comet1/G-ALYP_Report.pdf
- คอเม็ต — รายงานอุบัติเหตุ G-ALYY · https://asn.flightsafety.org/reports/1954/19540408_COMT_G-ALYY.pdf
- ไททานิก — รายงาน Wreck Commissioner ส่วน Board of Trade's Administration · https://www.titanicinquiry.org/BOTInq/BOTReport/botRepBOT.php
- ไททานิก — คำให้การของ Chalmers · https://www.titanicinquiry.org/BOTInq/BOTInq23Chalmers01.php
- ไททานิก — คำให้การของ Archer · https://www.titanicinquiry.org/BOTInq/BOTInq25Archer01.php
- ไททานิก — McLean, "Regulation run mad" · https://www.nuff.ox.ac.uk/Users/McLean/Titpaper.PDF
- Hyatt Regency — NIST · https://www.nist.gov/el/walkway-collapse-kansas-city-missouri-1981
- Hyatt Regency — NBSIR 82-2465 · https://nvlpubs.nist.gov/nistpubs/Legacy/IR/nbsir82-2465.pdf
- Hyatt Regency — สรุปข้อสรุปของ NBS, UPI 26 กุมภาพันธ์ 1982 · https://www.upi.com/Archives/1982/02/26/Here-is-a-summary-of-conclusions-by-the-National/6635097243860/
- Hyatt Regency — การเพิกถอนใบอนุญาต, UPI 1986 · https://www.upi.com/Archives/1986/01/22/The-two-engineers-who-designed-the-Hyatt-Regency-Hotel/5084506754000/
- แชลเลนเจอร์ — รายงาน Rogers บทที่ IV · https://www.nasa.gov/history/rogersrep/v1ch4.htm
- แชลเลนเจอร์ — รายงาน Rogers บทที่ V · https://www.nasa.gov/history/rogersrep/v1ch5.htm
- แชลเลนเจอร์ — Feynman, ภาคผนวก F · https://calteches.library.caltech.edu/3570/1/Feynman.pdf
- เชอร์โนบิล — IAEA INSAG-7 · https://www-pub.iaea.org/MTCD/publications/PDF/Pub913e_web.pdf
- เชอร์โนบิล — World Nuclear Association · https://world-nuclear.org/information-library/safety-and-security/safety-of-plants/chernobyl-accident
- เชอร์โนบิล — ลำดับเหตุการณ์ · https://world-nuclear.org/information-library/appendices/chernobyl-accident-appendix-1-sequence-of-events
- เชอร์โนบิล — UNSCEAR · https://www.unscear.org/unscear/en/chernobyl.html
- Therac-25 — Leveson & Turner, IEEE Computer, กรกฎาคม 1993 · https://www.cs.columbia.edu/~junfeng/08fa-e6998/sched/readings/therac25.pdf
- Therac-25 — Leveson, ส่วนที่ V บทเรียน · https://cse.msu.edu/~cse470/Public/Handouts/Therac/Therac_5.html
- Therac-25 — บันทึกอุบัติเหตุ Tyler 1986 · https://www.johnstonsarchive.net/nuclear/radevents/1986USA1.html
- ฟุกุชิมะ — รายงาน NAIIC · https://www.nirs.org/wp-content/uploads/fukushima/naiic_report.pdf
- ฟุกุชิมะ — TEPCO ว่าด้วยการคำนวณ 15.7 เมตรปี 2008 · https://www.tepco.co.jp/en/nu/fukushima-np/info/12042401-e
- ฟุกุชิมะ — Acton & Hibbs, Carnegie · https://carnegieendowment.org/2012/03/06/why-fukushima-was-preventable-pub-47361
- ฟุกุชิมะ — รายงานรัฐบาลญี่ปุ่นต่อ IAEA, ความเสียหายจากแผ่นดินไหวและสึนามิ · https://japan.kantei.go.jp/kan/topics/201106/pdf/chapter_iii-2.pdf
- ฟุกุชิมะ — NPR, การรับรองการตายจากรังสีรายแรก 2018 · https://www.npr.org/2018/09/05/644933882/japanese-government-acknowledges-first-fukushima-radiation-death
- 737 MAX — รายงาน JATR ตุลาคม 2019 · https://www.faa.gov/sites/faa.gov/files/2021-08/Final_JATR_Submittal_to_FAA_Oct_2019.pdf
- 737 MAX — รายงานฉบับสุดท้าย KNKT, PK-LQP · https://www.aaiu.ie/sites/default/files/FRA/2018%20-%20035%20-%20PK-LQP%20Final%20Report.pdf
- 737 MAX — Seattle Times, การเพิ่มอำนาจ MCAS · https://www.seattletimes.com/seattle-news/times-watchdog/the-inside-story-of-mcas-how-boeings-737-max-system-gained-power-and-lost-safeguards/
- 737 MAX — แถลงการณ์ Boeing เรื่อง AOA Disagree, พฤษภาคม 2019 · https://boeing.mediaroom.com/news-releases-statements?item=130431
- 737 MAX — Boeing, MCAS หลังแก้ · https://www.boeing.com/737-max-updates/mcas/