灾难只有在发生后才能得到研究，而短期内我们也没有能力建立起一种关于灾难的实验科学。灾难一词的范围很广，你老婆告诉你，她要和邮差跑了只会对你产生打击，而你的国家错误入侵他国则可能造成全球范围的灾难。毫无疑问，灾难也同自欺紧密相关，而因为你对现实缺乏认识而造成灾难，由此遭受的痛苦懊悔可谓无与伦比。在本章中，我们将集中讨论一种特定类型的灾难——航天航空事故。为了避免重蹈覆辙，人们在航天航空事故发生后深入调查并分析成因，这就为我们深度研究自欺造成的损失提供了一个条件高度控制的范本。航空航天灾难是一个定义明确的灾难类别，其成因分析已经颇成体系且非常细致，我们将会看到它同自欺存在多重层面的紧密联系：个人层面、双人层面（机长和副机长）、机构层面（美国航空航天局），甚至是国家层面（埃及）。
不过，航空事故和航天事故之间可有一个很大的区别，在美国，航空事故之后紧接着的是专家团队的深入调查和24小时不间断、绝对免受外界干扰的调查通告，其中的大功臣就是美国国家运输安全委员会（NTSB），NTSB通常来说非常称职，能洞察事故的关键因素，提出恰当建议，并迅速发布调查结果，这帮助航空事故率在30年间稳步下降，让飞机成为迄今为止最安全的出行方式。我所知道的就只有一次调查报告延迟（晚了三年），不过那是国际层面的不配合，即埃及坚决不肯承认那次事故的真相。
相比之下，美国航空航天局（NASA）对灾难的态度就敷衍得多，只是任命一个灾难委员会来进行调查，这个委员会缺乏专业知识，有时还不可避免地充当为NASA脱罪的帮凶。NASA对“挑战者”事故的研究根本没有避免“哥伦比亚”号灾难的发生，而且这第二次灾难的大多数成因实际上早在第一次事故后就已经调查清楚，完全可称得上是头一次事件的复刻。不用说，当面临生命危险的既不是广大乘客也不是航空公司人员，只是几个宇航员的时候，安全因素就这样被他们轻易地抛之脑后了。
航空灾难通常由多重因素导致，其中之一就是一个或多个关键参与者的自欺。而在参与者多于一名时，我们还可以研究群体自欺的形成发展过程。其中一个相对简单的例子是1982年的佛罗里达90号航班坠毁事故，一次因为机长和副机长“无意识合谋”造成的灾难。
佛罗里达航空90号航班：毁于自欺欺人
1982年1月13日下午，一个暴风雪迷眼的天气，佛罗里达航空90号班机从华盛顿特区的国家机场起飞前往佛罗里达州的坦帕市，但是它的羽翼永远没有飞出华盛顿，而是撞上了一座大桥，坠毁在波托马克河中——74人死亡，5人得以从飞机尾部救出存活。大概是因为死者之一是我在哈佛的故人（罗伯特·希尔伯格列德），所以我已极大地关注了夜间新闻中播出的起飞阶段中的驾驶室对话记录，我们能听到当时是副机长在驾驶着飞机，而实际上在他读出仪表盘度数时（而这本当是机长的工作）声音中透露着恐惧。以下是事件的始末：
在跑道上助跑10秒后，副机长发现仪表盘显示飞机的速度过快：“上帝！快看这个！”4秒钟后：“这不太对劲，对吧？”又3秒后：“啊，这不对劲。”2秒后：“好吧……”
而机长以一种自信的口吻合理化了错误读数：“是啊，是80！”很明显他指的是80海里的空速。但是这并没有说服副机长，他说，“不，我觉得这有问题。”9秒钟后他又动摇了：“啊，可能没什么问题。”而这是飞机坠落前我们最后一次听到他讲话，在飞机坠落前一秒他说：“拉里，我们在下坠！”而拉里回答，“我知道。”
在这个过程中拉里都干了什么？除了刚才说到的对速度读数的狡辩，他只在犯下错误、飞机已无路可返的情形下才说了话——准确来说是在飞机的熄火警报响起的时候。然后他好像开始同飞机讲话：“往前飞，往前飞。”3秒后：“我们只需要500。”两秒后：“拜托，前进啊！”2秒后：“爬升不起来。”而在那之后的3秒内，他们都丧了命。
在这起酿成了74人死亡（包括两位驾驶员）的人为灾难发生的数秒之前，我们能观察到一个明显的对比：其中一个关键参与者（机长）对现实的逃避和另一个关键参与者（副机长）对前者的不彻底抵抗。在此之上，还存着传统角色的调换：表面上的机长实际上在干着副机长的活儿，为什么副机长在读到矛盾的仪表读数时机长却只是辩解这没问题？为什么在要紧时候是副机长在发言，而机长却在为时已晚的时候才开尊口？
我们要做的第一件事情是思考这种对比是否只存在于临终时刻或是在更早的时候就已经出现了？答案是明确的。在起飞前最后45分钟两位飞行员的交谈中，两人之间就已经出现了一个明显的分歧：副机长着重于事实，机长却并非如此。来看看他们关于机翼积雪的讨论，这是很关键的一点。机长：“我这边有一点点积雪。”副机长：“满是积雪，大概有1/4~1/2英尺厚。”实际上两侧机翼上的积雪量相等，机长做出的估计既不精确又明显偏少，而副机长却给出了详细的说明。
以下是两人之间最为关键的对话，发生在起飞前7分钟。副机长：“天啊，想要除干净这里的冰雪是不可能的，而且会给你一种安全的错觉。”机长：“这个啊，大概很能讨好联邦调查局吧。”副机长：“是啊！空气又干净又透明，绝对没有我们这么笨重，我觉得……”此处是副机长怯生生地提出自己的起飞策略，即不要起飞——完全正确的应对策略——但是机长半路打断了他，说：“铲冰车就在下面，他们应该弄两辆，往右走。”然后正副机长一起进入了起飞前飞机已经得到了充分除冰的幻想中。
需要注意的是，一开始副机长对现实进行的是真实的描述——除冰工作并没有做好，所以他们的安全靠不住，机长说这么做能满足高层，但是马上又把话题转换到工作系统应当如何工作上。尽管这么说可能有一些长远的价值，但是却分散了对手头面临问题的注意力——正是在这个时候副机长又提出了抗议。然后他又努力了一次，副机长：“跑道太泥泞，你是否希望我采取一些措施，或者就直接出发？”机长：“除非你有什么具体要做的。”毫无帮助。
飞行对话记录表明，这次事故完全是可以避免的。试想一下，如果先前关于机翼积雪的发问和跑道太过泥泞的情形能够在两者脑中激起足够的警觉的话，那么在发现助跑速度不够的时候，机长就能果断弃飞而不是执意起飞了。一位著名的地质学家曾经在研究这个事例时说：“也许大家觉得坠机都是机长的错，但是你可能没有意识到，真正的祸根是他对副机长的质疑和小心翼翼而含蓄的求助的视而不见。机长作为两者中经验更为丰富的飞行员，却只是无动于衷地坐在那里，完全没有意识到副机长是在绝望地请求友善的建议和专业的帮助。就算他（机长）粗声粗气地哼一声，说‘你要搞不妥就让我来’那也会给副机长注入无比的勇气，让他得以成功完成飞行任务或者果断地中止飞行以避免惨剧发生。”给这次灾难盖章的，却正是那可怕的、不敢说出口的犹豫：副机长的发问太小心翼翼，同时又试图掩盖自己的疑惑。他本该勇敢质疑的，这样就不至于命丧波托马克河上。
地质学家继续谈到在他有限的山地和废弃矿井援救经验中，最让人懊恼的就算那些身强力壮、总是在炫耀自己的迟钝混球。“他们看不出在悬崖上挂着的人害怕得都冻僵了。”等这种人也过去帮忙的时候，就轮到他们自己也在半空冻僵了，通常这部分人又是最难营救的。而在90号班机的例子中，被冻住的不仅仅是机翼，还有副驾驶的心，然后机长也冻僵了，他最后只好不断地和飞机说话。
而机长之前的某些盲目决定也该对灾难负责，他授权允许“反推”操作来让飞机起飞，这样做不但没有帮助起飞，反而把冰雪推到了机翼前部，而冰雪累积在这个部位是非常危险的，同时他关闭了一个关键的过滤器，以致仪表显示出来的读数要比实际速度高。机长被单独描述为过度自信、轻视安全细节的人，这种性格在日常生活中表现为更具自信，这种自信平时是占便宜的吧，特别是涉及人际交往的时候。有趣的是，90号班机上这种机长/副机长的设置（掌舵的是副机长）其实是比较安全的。尽管大于一半的时间由机长来掌机，但是多于80%的事故同样发生在机长掌舵的情况下（就美国1978~1990年的数据而言）。同样，在机长和副机长首次合作时，事故的发生率也更高（占所有事故的45%，而在无事故飞行记录中，只有5%是这种首次合作飞行）。这表明，比起机长能随意指出副机长的错误，副机长比较不敢去挑机长的毛病，特别是在两人还不熟的情况下。在我们的例子中，由于机长完全没有意识到现实情况，所以他也没再挑任何人的刺；而副机长却在和自己战斗，只不过因为没有得到机长的肯定鼓励，他最终退缩沉默了。
现在来看看另一种文化当中的例子。1988~1999年，韩航的事故死亡率比普通的美国飞机要高17倍，以至于达美航空和法国航空暂停了与韩国空军的飞行合作伙伴关系，而美国军方也不允许自己的军队和韩航同飞，加拿大甚至考虑拒绝韩航的降落权。韩国方邀请一个外部顾问组来研究这个问题，最后专家们得出结论：撇开其他因素，由于韩国是一个非常讲究社会等级和上级权力导向的国家，以至于韩国的副机长们通常不敢采取果断行动。有几起事故本来是可以避免的，前提是察觉到了问题的副机长能够同机长进行有效沟通、纠正对方的错误。而韩航驾驶舱中的等级文化大概可以从一个例子中充分体现出来：机长因为一点小小的错误就扇了副机长一耳光。在这样森严的等级之下，副机长是无法在机长的错误面前采取强硬姿态的。顾问们主张增强副机长的自主性和判断权力。甚至是学好英语——先不论它在和地面控制交流中起到的关键作用——也能提高机长和副机长之间的平等性，因为韩语本身有很多身份敬语，在使用时会体现出机长和副机长的地位差别，但是英语就不会这样。而自从干预措施生效后，韩航的飞行安全实现了无瑕的记录。关键的一点是，地位差别会阻碍信息的交流——尽管坐在驾驶舱里的是两个人，但是在彼此地位差别太大时，和只坐着一个人没有区别。
类似的问题出现在医院里。病人在手术中会受到新的感染，并且死亡率颇高，而预防的方法很简单，那就是坚持外科医生洗干净他（有时是她）的双手。其中的关键是医院里悬殊的阶级差别——外科医生们高高在上，而护士们是执行命令的最底层。外科医生会存在自欺欺人的情况，否决不净手的危险性，并且用他的资历来让其他人闭嘴。而解决的方法其实很简单，那就是在外科医生没有净手的情况下授权护士中止所有操作（在此之前，65%的情况下做不到这一点）。在那些执行了这个方法的医院中，手术中感染死亡率都极大缩减。
亚马孙上空三万七千英尺的灾难
另一个可怕的飞行员操作失误发生在2006年9月26日17：01分，巴西境内的亚马孙河上空。一辆飞行在错误高度的小型私人飞机从下方撞上了一辆波音737（格尔航空公司1907航班），后者因此头朝下地垂直坠毁在丛林之中，机上154人全部遇难。而那辆美国的小型飞机虽然受到了损伤，却安全地降落在附近的机场，上面九人全部存活。再一次地，小飞机上比较缺乏知觉的是机长而非副机长，但是在犯下致命错误时，似乎两人都没有注意到问题的发生，甚至在事后很久都没有意识到发生了什么。
关键的事实已经得到查明。大飞机循规蹈矩、按章办事，它飞在正确的海拔高度和准确的方向（自动驾驶模式），机上的巴西飞行员清醒警觉，并且按时与地面飞行控制人员联系，此外，他们也对这架飞机非常上手，而且也使用本地语言进行沟通，这几位飞行员所犯的唯一错误，就是在那天早上起床罢了。相比之下，那些美国飞行员是第一次驾驶这种机型，而且他们居然边飞边摸索驾驶方法。尽管他们已经接受过一些针对此类机型的训练，但是他们却不晓得怎么读仪表盘，而且就像他们自己承认的，飞机的飞行管理系统还在跟他们“闹别扭”呢。在试图解开这些“别扭”的时候，他们没法计算抵达所需的时间，也不清楚前方的天气状况，更没有注意到他们的应答器已经关上了，而且是起飞没多久就关上了。他们一边学习操作飞机的显示系统，一边还在摆弄一个新的数码相机，并且还三心二意地琢磨着第二天起飞的计划。他们进进出出驾驶舱去和乘客聊天。他们啥都干遍了，除了当时需要专注的任务——从其他飞机会经过的航空空间安全飞过。
实际上，他们飞的高度根本不对，和他们两次对话的内容（而且他们飞行的方向也不对）以及他们提交的飞行计划中提到的数值（巴西利亚-玛瑙斯航线，36000英尺高）都不相符。但是在巴西的地面控制员批准了错误的飞行方向后，他们犯下了更多的错误。他们居然设法关掉了应答器（或者应答器是自己关掉的），所以这架飞机从其他飞机的视野里隐身了——应答器的作用是在另一架飞机接近你时互相提醒彼此的存在——而他们对此一无所知。和他们保持联系的只有地面控制，就算是这样，飞行员也完全不想去弄清楚控制员说的外国话是什么意思（“我不知道他在讲什么鬼”）。对巴西工作人员交代他们的飞行任务，例如要在玛瑙斯降落，他们也嗤之以鼻。
他们的飞行任务很简单，就是飞。他们应该从圣保罗附近起飞，以37000英尺的高度直飞到巴西利亚，然后他们要把高度降到36000英尺，调转西北方向去玛瑙斯，因为从反方向飞来的飞机正是飞在37000英尺的高度，最后他们应该在玛瑙斯降落。自动驾驶模式会搞定一切问题，但是整个过程中包含不可或缺的一步：在经过巴西利亚时要先把飞机下降1000英尺。而这正是他们提交的飞行计划里要做的事情，这是在那个方向飞行的全世界的飞机都必须遵守的规则，而且这俩即将飞往玛瑙斯的飞机本来也必须这么做。
但是，他们并没有照做。实际上，相反在掉头的时候，他们在忙活更遥远的事情——尝试测量飞到玛瑙斯的距离以及计划第二天的飞行任务，而这是掌握新飞机和操作技术这个大任务里的一部分。随后的20分钟里，不管是飞机上的飞行员还是批准他们的操作的巴西地面控制员都没能注意到飞行高度的错误，而这个时候飞机上的应答器又被关掉了，现在连地面控制都无法掌握他们的身份和位置了。此处并不能发现欺骗的证据，只不过我们发现这些人好像是在拿当时的情况开玩笑，同时却彻底忽视了实际问题。而这正是自欺和人类灾难中一个反复出现的主题：过度自信和无知无觉。顺便说一句，副机长应该是第一个注意到哪里不对的，然后他控制了飞机的飞行，但是随后又为自己的武断不停地向机长道歉，而也是他在抵达后第一个否定了事故的肇因，并且还试图掩盖真相。
在佛罗里达航空90号班机的事故中，害死他们自己的是机长的自欺欺人和副机长不敢与之抗争的懦弱，但是在格尔航空1907航班的事故中，两个粗心大意的肇事驾驶员都活了下来，但是却搭上了154条无辜的人命。自欺和大型灾难特别令人心痛的一点在于：肇事者通常都不会因此被自然选择淘汰，我们会看到，造成“挑战者”号和“哥伦比亚”号事故的并非是那些宇航员们的错误或自欺，相反，原因出在那些做出了影响他人生死决议、自己却安然无恙的人身上。这一点在战争中也如此，不管战争结局如何，也不管战争发动者的决定是否会在不可预知的地方造成惊人的伤亡，这些发动战争的人的广义适合度并不会因此受到影响（至于长期的广义适合度，则是另外一个话题）。
艾尔达在指挥——俄罗斯航空593班机事故
很难给1994年从莫斯科飞往韩国首尔的俄罗斯航空593次班机空难下个准确的定义，因为这件事实在太荒谬了，导致俄罗斯方面足足把真相捂了好几个月。机长把他的小孩带到了驾驶舱，并且违反规定地让他们坐到了座位上，并且玩起了开飞机的过家家，而飞机那时正处于自动飞行模式。机长11岁的女儿很享受这个过家家游戏，但是他16岁的儿子艾尔达却真的把飞机掌控住了，这个少年很快以足够的力量扳偏了方向盘，关停了自动驾驶模式，然后按自己的心情把飞机随意地转来调去。
自动驾驶模式的停用让驾驶舱中的一盏灯亮了起来（但是机长也没注意到），但更要紧的是，机长自己也陷入了一个幻想世界，他鼓励自己的孩子把飞机开向这边那边，并且也相信这产生了实际效果，而实际上飞机理应是处于自动模式。而当他儿子真的控制了飞机的走向的时候，机长也没能很快意识到这并不是在过家家，实际上，第一个指出飞机真的在左转右转的是他儿子（因为艾尔达掌控了方向盘），但是因为飞机突然大幅度急转倾斜，所有人都被加速度压到了座位和墙上，飞行员没办法从儿子手里夺回飞机的控制权。在一段令人吓破胆的垂直爬升后，副机长和艾尔达设法让机头调转向下，重新掌控了飞机，但是已经太晚了。这架飞机坠落地面，机上75人全部死亡。机长不仅违背了所有驾驶舱的标准行为规范，还很不幸地缺乏对自己当时举动的正确意识，还陷入了他为自己孩子构筑的童话世界里。当然，大人们很容易低估小孩子乱动机电设备的本事。
是机长的操作失误还是疲劳驾驶惹的祸
我们现在来看更高的一个层面——组织层面的自欺，这里的组织可以指某个公司或是更广大意义上的社会，而这种自欺也会阻碍航空安全。也就是说，飞行员的过失会因为上层的失误而进一步深化。绝大多数的致命坠机事故被归咎到飞行员身上，占到2004年和2005年总和的80%。但是实际上这个比例偏高太多，而能从这样的高比例中得到好处的正是航空公司本身。但是，我们手上并没有太多坠机原因是飞行员过失的证据，而且这点通常只是造成坠机的若干原因之一。我们也不知道这种失误在多大程度上是由自欺造成的，但是我们之前也讨论了飞行员失误当中的一个明显共同点：过度自信的同时对所面临的危险毫无知觉。正是这一点导致了小约翰F.肯尼迪和他两个同伴的死亡。经验丰富的副机长不太愿意起飞，但小肯尼迪执意如此。他们飞入了西北灰色昏暗的危险迷雾中，然后失去方向，把上升误作下降，飞机失去控制，最终坠入了死亡螺旋。
来看看一个商业航班的实例，这次事故的过程被飞行记录器记录了下来。那是2004年10月一个阴天的晚上，7：37分，一架双引擎涡轮螺旋桨飞机正在接近密苏里州科克斯维尔市的机场，但是它下降高度太低，速度太快，直到下降到300英尺高度时飞行员才看到跑道灯。飞机撞到了树冠上，2位飞行员和13名乘客中的11人丧生。飞机在下降到1000英尺后要执行美国联邦航空局（FAA）的机舱静默规则，此时只允许飞行员间进行和任务有关的交流，但是当时两位机长都在互相开玩笑，并且不停地咒骂。他们说起讨厌的同事，说非常想吃费城奶酪牛排。他们没有留心那些通常应当遵守的有关飞行速度和下降时机的规则，也没有理会飞机的预警系统发出的降落速度过快的警报。
当然，自我增强（self-enhancement）是人类的一个共性，在这种自以为是的影响下飞行员更加放松了警惕：“对普通飞行员适用的规则才不适用于我这样的优秀飞行员呢。”本该在当时负责读数的机长压根就没看仪表盘，只是因为他自己看见了地面就允许下降。而负责盯住降落跑道的副机长回答说他什么都没看到，但是他却没有挑战机长的权威，因为按照规则，他不可以这么做。机长在很可能什么都没看到的情况下不断地降低飞行高度，直到他最后看到了跑道灯，紧接着就是树冠。这里我们可以看到非常熟悉的东西：在佛罗里达航空90号航班中起飞阶段毫不相干和分散注意力的谈话，此时在降落阶段出现了，还有过度自信的机长，以及留心事实但是唯唯诺诺的副机长，再有就是机长疏忽了自己读表的责任。
值得一提的是，我们可以听到两个飞行员在下降过程中打哈欠，他们在不长不短的睡眠休息后已连续飞了14小时，那已经是他们当天第六次着陆了。如果他们能遵守正确的流程，那么仍然可以安全着陆，疲劳导致了他们的违规，也导致他们无法意识到自己正面临巨大的风险。
现在该进行接下来一个层面的自欺干预了。针对这一事故，NTSB要求FAA修改工作规则，给飞行员更多的休息时间，这是12年间NTSB第二次提出这个要求，因为上一次FAA并没有理会。而以游说组织航空运输协会为代表的航空业则认为这一事故不过是一次孤立事件，不需要因此改变FAA的规定。（如果事故都不是孤立事件的话，那我们就根本不敢登上飞机了。）“FAA目前的规定能保证提供给我们工作人员和广大乘客一个安全的飞行环境。”当然，并没有这样的事情，航空公司要省钱，必须减少在机组人员身上的开销。注意到“我们的工作人员”这几个亲切的字眼是放在第一位的——我们才不会让我们自己人暴露在危险里呢——所以所有人都被自动降级到了“广大乘客”中了。不过管理层和游说组织都不属于机组人员，所以可以想象会支持这个计划的只有航空公司驾驶员协会了。真正的改变发生在2009年3月，七家航空公司向联邦法院起诉要求推翻FAA最近要求在24小时连续飞行（比如从纽瓦克飞香港）后强制飞行员进行48小时休息的规定，而这个规定是在达美航空率先尝试这一举措，即给一天内长飞的飞行员提供足够睡眠间隔之后才得到执行的。不要相信FAA说的他们代表广大乘客利益的鬼话，真相是它只代表航空公司的经济利益，只有在面临频频失误时才偶尔不情不愿地为大众代言一下。
冰雪压沉了飞机，航空公司打败了FAA
对于飞机来说，结冰（freezing）是一件非常危险的事情。积累在机翼上的冰雪不但会增加飞机的重量，还将改变主翼和后方两个小控制翼表面的气流模式，这样会导致升力下降，有时还会导致迅速失控，这体现为机头突然抬升以及猛烈侧翻。自动驾驶装置有时会抵抗飞行员试图夺回控制的尝试，而通勤机在这方面尤其脆弱，因为它们通常飞在较低的高度，比如10万英尺，而在这个高度毛毛冰雨是非常常见的。飞机由于结冰失控后，就会侧翻并坠向地面。
举个例子，在1994年的10月31号，美国之鹰4184航班从印第安纳波利斯起飞后，在除冰罩张开的情况下在10万英尺高度的毛毛冰雨地带飞行了32分钟，当时芝加哥空中航空管制已经批准它从8千英尺的高度开始准备着陆。但是飞行员并不知道机翼上已经结起了冰脊，所以在飞机鼻部下沉后马上就失去了控制。飞机切换到自动控制模式，但是只有右翼得到了控制，所以飞机立刻侧翻，几乎垂直于地面。飞行员试图抬升机头，但是头重脚轻的飞机却彻底倒转，笔直地摔了个粉碎，遇难的68人通通死无全尸。
这场事故完全没有必要发生。此种机型（ATR42或者ATR72涡轮螺旋桨飞机）在结冰情况下发生险情早就有史可循，其中21次飞机几乎失控，1次彻底坠机（1987年，阿尔卑斯山，死亡32人）。但是问题还是在不断重复，因为修改方案总会遇到来自航空公司的强烈抵制，因为它们必须要为相应的设计变更埋单，而且事实证明FAA的表现就是个带有偏见的裁判，它只是审批了一些相对来说非常廉价的补丁措施，这些措施稍微地可以预防坠机，但是却没有从根本上解决这个问题。正如一位专家所说的：“这群人倾向于忽略问题，或者凑合着和问题一起过日子，直到他们见够了棺材。”在又一次坠机后才去采取一些微不足道的安全改进措施，就是所谓的墓碑技术。而实际上监管机构和航空公司高官对于成本非常敏感，强制维修费用和监管的行政开销对航空公司来说是非常不利的——但是他们对由此造成的乘客们的损失却格外迟钝。
在美国，NTSB会根据机舱和飞行记录、机身损伤等一系列客观数据来分析飞机事故的原因，做出真正的结论并给出明确建议，理论上来说，只要在前期为安全投入一笔并不夸张的数目，那么在未来的飞机设计和飞行员培训当中都能最大限度地降低事故，进而收回成本。但是实际操作时，一切都很顺利，只不过在建议执行阶段就一定会碰钉子，因为经济利益会拦住道路。这充分地体现在FAA缺乏应对小型通勤机的结冰问题上，我们已经知道这么个问题存在20年了，而且每八年都会夺取另外一些人的生命。最近的例子发生在2009年的纽约州布法罗市，死了50人。
FAA更深层的一个问题在于它根本不愿意去重新制定结冰条件下的飞行标准，尽管飞行员工会早就要求它这么做了。FAA的标准都基于20世纪40年代的研究工作，当时认为造成问题的主要是小液滴，而不是冻雨（大液滴），但是科学并没有止步于20世纪40年代，现在有大量证据证明冻雨也是一个巨大的威胁。但是这是最难改变的地方之一：你需要改变你分析问题的方法和思考问题的逻辑，并且需要全方位的整改，这会给一些人带来巨大的开销。谁呢？当然是航空公司。所以最后的方法不过是一路打补丁。我们还可以将之类比到个体身上：深层的改变更可怕，因为造成的成本更大，需要我们深入剖析本身，改变行为和逻辑，这样是需要消耗大量资源的，并且会造成痛苦的体验，还得支付巨大的代价。
“一路打补丁”的安全策略具体体现在FAA为这些结冰情况下习惯性侧翻的飞机批准通过了一项补救方法，就是给重达数吨（还不包括乘客或者冻冰的重量）的飞机机翼粘上一块信用卡大小的金属片。据说这些小小的金属片足以改变机翼附近的气流，这样就能为飞机提供额外的稳定性。难怪飞行员工会（那些风险最高者的代表）把这项措施形容为“创可贴”并且正确地指出FAA“并没有彻底调查清楚这种飞机是否可以在每一种天气情况下安全飞行”。工会还指出，ATR航空公司的除冰系统“不够正规、居心不良并且设计得不全面”。FAA对此置之不理，结果整整六年后又发生了印第安纳州坠机事件，那架飞机可是配备有FAA批准的信用卡大小的稳定片哦。
顺便说一句，在印第安纳州空难前，要给全美的通勤涡轮螺旋桨飞机配备两倍大的除冰罩大概要花费200万美元。我们来看看为什么说这笔花销低得不可思议，假设把这笔费用平摊到那架倒霉的飞机上每个乘客头上，在中途对他们说：“你是愿意出5万美元给全美同样机型换上大除冰罩，确保它们的安全性，还是愿意下个钟头就去见上帝？”但是公益事业博弈却并不是这样玩的，那班芝加哥飞机上的乘客并不知道他们就是那10万分之一中招的，他们有0.9999的机会在什么都不做的情况下安全抵达目的地。那么就让其他人来出这笔钱吧。我打赌你们读到这里都在积极讨论怎么才能弄到这笔钱，当然，如果每位乘客都愿意升级自己所乘坐航班上的除冰罩的话，那么每人贡献300美元就够了。问题的关键在于，因为这小小的一笔钱，航空公司就对每位乘客的生命安全置之不理。当然他们不敢明目张胆地这么说，所以他们会给出一箩筐的断言和“证据”表明飞机都安全得很，每一个步骤的安全措施都充分到位。在这次空难的六年前，英国科学家测量了结冰机翼周围的气流，警告说这样将增加飞机的隐患，但是却遭到了狠狠的嘲笑，说这个发现非常不科学。但是随后NTSB在分析印第安纳波利斯-芝加哥空难原因时却完全证实了科学家所说。
最后，驾驶舱中被安装上了一些琐碎的相关设备，也规定了新的飞行员行为准则。比如说，有一个设备会在冰冻出现的初期就给出警告，比如说飞行员被要求不能在这个设备的灯亮起时使用自动驾驶模式，这样就是为了避免在自动驾驶解除的时候飞机突然侧翻。但是，这并没有解决在冰冻情况下飞机失控的问题。最早坠落在阿尔卑斯山的意大利飞机的飞行员在发现控制系统根本不听自己指挥时，开始不停地咒骂飞机设计师和他的祖宗十八代，从那时我们就知道就算人为地去掌控飞机也没法完全解决问题。而且飞行员们在紧急情况下是会出错的，在布法罗空难中，飞行员明显犯下了好几个错误，包括在放下起落架的时候还继续让飞机保持自动飞行模式，以及张开了会增加升力的襟翼。飞机突然抬头然后机身开始翻转，这明显是有冰的缘故，冰不但冻在了机翼上，还结在了挡风玻璃上遮住了视野。尽管NTSB鉴定这次空难是因为飞行员的失误造成，但是那熟悉的机头猛然抬升和机身翻转也意味着飞机在设计上存在较大缺陷。
总之，在飞行员不犯任何错误的情况下，设计出来的系统还是会导致飞机翻转失控。这真是讽刺啊，这本是个简单的设计缺陷，它剥夺了飞行员掌控飞机的权利，但是后来解决这个致命缺陷的方法却是不断给飞行员的行为挑刺！而飞行员按照章程的操作，比如说，解除自动飞行模式，却又被认定是事故的原因。飞机才没问题，有问题的是飞行员！这难道不也是自欺的一个基本特征吗？也就是不断地否认和推卸责任，在这个过程中，FAA陷入了不断修正飞行员行为而非修正飞机设计的误区之中。就这样，自欺为灾难奠定了基础。
现在来看看一个跨国的例子。
美国在航空安全上的疏漏是“9·11”的帮凶
造成“9·11”事件的原因很多，但是在劫机预防工作不到位的意味上，航空公司自己就是一个帮凶，而“9·11”的惨剧正是由于飞机被劫持导致的。这是典型的美国工业：一提任何安全改进，好像就要搞得他们马上破产似的。所以，汽车行业会说给汽车加上安全带会拖垮他们，然后是安全气囊，再然后是儿童安全门锁，都会害他们喝西北风。而航空业的游说团航空交通协会（ATA）在反对安全改进方面的名声不可谓不臭，特别是在这些改进需要航空公司埋单的时候。光是1996~2000年的四年间，这个协会为了否决各种合理廉价的改进措施就花掉了7000万美元，这些措施包括对乘客和行李进行匹配（当时这在欧洲已经是惯例），或者提高航空工作人员的安全检查级别。他们还反对加固舱门，反对乘警偶尔搭乘飞机（因为乘警不用买票）。而且我们都知道，当时从事机场安检这一重要工作的人员只能拿到麦当劳水平的薪资，但是麦当劳的小时工好歹还接受过培训呢，可航空公司却宁愿花费数百万美元在抗拒改变现状上。诚然，“9·11”那样的重大灾难会产生严重的经济影响，因为那之后公众大面积拒乘这种危险系数过高的交通工具，但是航空公司呢，他们只不过转头跪求政府提供紧急援助，而且的确也把钱搞到手了。
表面看来，说客们和航空公司是“本着良心”做这些事情的，他们说服自己安全问题并没有那么严重，不然的话他们每天都要活在“为了追求利益而故意杀人”的良心负担中了。不过从一个局外人的角度来看，他们就是在杀人。关键的地方在于，他们为了利益而向别人——同时也向自己遮蔽了真相。
“9·11”事件刚刚过去四年后，航空公司又开始大声嚷嚷，反对一项把联邦安全费从2.50美元提高到5.50美元的法案，尽管多次调查显示乘客们是很愿意多支付这3美元以提高飞行安全的。航空公司不需要出这3美元，但是他们担心这小小的涨价会间接影响机票的销量。需要注意的是，此时企业巨头们好像为了圈钱宁可略微增加自己被摔死的概率，不过随着公务机的普及，到底是不是这样也说不清楚了。
我们再次看到了能够在机构和组织层面产生组内成员自欺的欺骗与自欺模式。经济利益单元即航空公司总在阻碍着对更大的经济单元“出行大众”而言至关重要的安全改进措施，但是后者却不是真的以一个整体的形式在行使权力。飞行员们拥有自己的组织，强大的航空公司也有自己的团体，但是出行大众实际上是以个体在行动，他们能够选择坐哪家公司的飞机，能选择舱位等级，能选择飞行目的地，等等——但是他们却无法对飞机的安全性做出选择，而且对此也一无所知。理论上来说政府应该对此有所作为，但是我们知道，它并没有做过什么。而其中两个团体中的个体又很容易欺骗自己——航空公司的人极力主张继续使用有缺陷的飞机，FAA虽然没有直接经济利益，但是却与势力强大的航空公司共谋，做帮凶给他们辩护。而在NASA的例子中，那些向公众兜售太空舱的人根本不会坐这玩意儿。
至于在“9·11”这个特定事件中，尽管美国向来对安全问题不太上心，但是小布什政府在事件发生前几个月的作为更是江河日下——首先是贬了恐怖袭击研究权威理查德·克拉克的职，而克拉克先生特别负责的对象正是本·拉登。布什政府声称比起“乱打苍蝇”（我猜苍蝇指的就是本·拉登），他们对直接有效的途径更感兴趣。在2001年8月的备忘录中，小布什总统本人更是开玩笑说本·拉登准备要袭击美国咯。实际上，他还诋毁了曾在他得克萨斯州家中毫不留情向他桌面摔简报（红色代码恐怖分子警报）的中央情报局（CIA）官员。“好吧，”等对方说完话的时候小布什说，“你现在倒是把屁股遮起来了。”是的，人家的确尽了职避免了尴尬，于是轮到小布什先生暴露自己屁股于众目睽睽之下。所以小布什政府只关注明面上的敌人，但是却错过了一些敏感的信号，也没有给予应有的注意。这是因为缺乏自我批评的意识而把精力从谨慎防御转移到了贸然进攻上。
“挑战者”号灾难
1986年1月28日，“挑战者”号航天器在佛罗里达州的肯尼迪航天中心起飞，73秒后在大西洋上空爆炸，七名宇航员全部遇难。著名的物理学家费曼被委托对事故原因进行调查和报告，费曼先生最后为公众呈现了一份精彩绝伦的分析。费曼素以独立思考而闻名，不会人云亦云。在一名空军将军的帮助下，费曼先生只花了一周多的时间就找到了发生故障的部件，即航天器的一个叫作O形密封圈（O-ring）的简单部件。在余下的时间里，费曼先生致力于研究为什么一个像NASA这样资金充足、高度精密的庞大组织竟然会生产出这种伪劣产品。
费曼先生最后得出结论说，答案的关键是NASA作为一个整体在欺骗着美国，而这导致了自欺在组织内部产生。20世纪60年代，NASA被委托了登月的任务并配给资金，而整个社会也全力支持着这个目标（不好说这点是好还是不好）：打败苏联，抢先登月。其结果是NASA凭借着理性和客观的态度成功制造出了航天器——自下而上，每个步骤中都有多个可选项，最大限度地保证了制造过程中的灵活性以解决任何突发问题。而在美国成功登月后，NASA摇身一变成为一个价值50亿美元、需要雇用大量人员的官僚机构。费曼说，NASA随后的日子就是需要不断增加雇员，然后就得不断鼓吹航空探索来维持这个系统的运行——而这个系统不可避免地将危害到安全。也就是前面说的道理，当一个机构开始欺骗社会这个大单位时，它就会在内部的个体中引发个体自欺。
费曼认为太空计划实际上是被赚钱的目的所主导，而在决定重要的设计方案时，比如到底是做载人飞行器还是无人飞行器，选择依据就是哪个贵就搞哪个。而所谓可重复使用航天器——也就是所谓的航天飞机这个概念，就是故意设计成更加实惠的样子，实际上刚好相反（事实上每次都用新的太空梭要比用航天飞机省钱）。此外，因为载人飞行更显吸引力，所以很能够激发政府花钱的热情。但是因为在太空中实在没什么科学研究好做（并不比利用特定设备进行或者仅在地球上做实验好到哪里去），大多数实验不过为了应付了事，比如展示给我们看在无重力条件下植物如何生长（零重力条件完全可以在地球上做出来而且开销少得多）。这是一个不断自我膨胀且后期会伴随各种负面影响的过程。因为NASA必须要向国会和美国人民兜售这些项目，这种刻意的不诚实必将引发其内部的自欺。他们为争取源源不断的现金流无所不用其极，并相应地设计了自上而下的机构运行，带来了可悲的后果，一旦像脆弱的O形圈这样的问题出现，相应的检验或专业知识根本无法介入以解决问题。所以NASA的选择是把问题大而化之，而它所成立的安全问题部门也沦为了一个专为它否认事实和寻找借口的机构，而非严谨地研究安全问题。可能这个部门的作用不过是在高层向他人和内部推销时提供一些话题罢了。
NASA安全部门口风的转变颇叫人匪夷所思，而这种心理转变服务于机构层面的自欺。在共计73次“挑战者”号飞行中，O形密封圈就出现了七次损毁，如果只是简单地把发射时的温度视作损毁函数的话，那么我们就会得到一个显著的负相关关系：温度越低，O形密封圈损毁的概率越大，比如说，有四次在65℉下的发射都出现了一定程度的O形圈损毁。为了不让他们自己或者其他人看到这一点，安全问题部门是这么建立起逻辑的：他们认为有16次飞行中没有检测到损毁，因此和这个问题不相关，不需要进行进一步分析。这个说法本身就非常让人费解，因为我们一般不会丢弃数据，特别是在费了九牛二虎之力才获得这些数据的时候。因为有些损毁出现在高温发射时，所以发射温度这个原因也被排除了。这个例子现在是初级统计教材中的一个经典案例，用来告诫学生不要这样做统计。数据优化呈现（或局部优化）也会引援这个例子，因为制造了O形密封圈的乙硫橡胶（Thiokol）公司曾反对那次发射，但是他们陈列证据的方式却激起了很多反驳。而原因的相关性也异常明了，体现在那一次“挑战者”号的发射温度（冰点以下）要比之前的最低发射温度还要低上20℉。
在之前的几次低温发射中（稍高一些的54℉），O形密封圈被吃掉了大约1/3，一旦它被全部吞噬，那么航天飞机就会爆炸，就像“挑战者”号那样。但是NASA却引援这个足足1/3的损毁说，这是设计优势，是“三重安全系数”。这根本就不是在说人话——法律规定，电梯的吊缆必须设计得能在完全负重、多次运行的情况下毫发无伤，因此吊缆必须做成11倍的结实，这就是所谓的11倍安全系数。而NASA呢，不但把电梯吊在一根头发上，还把这叫作“优势”。然后他们开始疯狂地陷入循环论证：因为载人飞行肯定比无人飞行更安全，所以载人飞行肯定比无人飞行安全得多。总之，为了满足整个组织行使欺骗和自欺，安全问题部门彻底地腐朽了，沦为了NASA的宣传工具，专注制造安全的假象。这在他们自欺心理加工的高级阶段起到了辅助作用：在兜售这件事的时候，对安全问题考虑得越少，内部心理冲突就越少，就越心安理得。
所以个体内部的自欺和组织内部的自欺其实是很相似的——两者的目的都是为了欺骗他人。在这两种情况中，信息都没有被彻底抹杀（那天早上乙硫橡胶的12个工程师都给发射投了反对票，有一位工程师更是在航天飞机发射后不久就吐在了自己的卫生间里），只不过事实却到达不了那些无法意识到事实的人或者组织那里（我们可以把负责NASA运行的那部分人视作意识到事实的人）。而在这两种情况中，主体与他人的关系决定了其内部的信息结构，在非欺骗的关系中，信息是合乎逻辑且连贯的；而在欺骗关系中，信息以扭曲的方式存在，以达到更好欺骗他人的目的——只不过这会产生巨大的潜在成本。但是，在这个例子中遭殃的是死掉的宇航员，而NASA的高层——或者说除了那些死者以外的全体——却能从这种疏忽大意又自欺欺人的安全处理方式中获益（比如能借此增加工作岗位）。费曼先生设想了各种发生在组织内部的对话情形，而正是在这些对话进行的过程中，信息逐渐地走偏了。比如你是其中一名工程师，你对安全有忧虑，然后把问题上报上级，可能会得到如下两种答复，“说详细点。”或者“你有没有试过B或者C方案？”但是如果他说，“嗯，你看着办呗。”听到这种答复几次之后，你可能就只能在心里大骂“见鬼去吧”。正是此类互动方式——即人对人（或者说细胞对细胞）互动——导致了组织内的自欺。不要怕，上头用权力向你施压，不听话的人会自然被惩罚，甚至丢了工作。当工程师们的头儿对上层管理者说他们要给发射投反对票时，上层对他说“放下你的螺丝刀，戴上你的管理帽。”就算没有发一顶真帽子，这句话依然奏效了，然后工程师们的头儿投了赞成票。
