引言
停车场里不小心蹭一下，下车看看掉了块漆，人没事。飞机要是出事呢？大多数人脑子里浮现出来的，大概就是残骸、黑烟、无人生还。而高铁呢？近些年来好像从来没听说过有什么大事。
但事实是这样吗？
后台和私信里经常被问到一个问题，问法不一样，但意思差不多，飞机、高铁、汽车，到底谁最安全？
有人觉得高铁最稳，有人觉得飞机最快但最不让人放心，还有人觉得开车自己来操作所以最安全。
这个问题问得好，但是要回答它，需要先说清楚一件事，我们说的“安全”，到底是什么意思。
今天我们就把数据摊开来看看。
一、统计的艺术：数字是怎么骗人的？
第一种算法：按距离算
航空业最喜欢用的安全指标叫“旅客公里”，简单说就是每运送一名乘客飞行一公里，死亡的概率有多大。根据欧盟委员会和欧盟铁路局整理的 2019 年 EU-27 交通安全数据，按“每 10 亿旅客公里的死亡人数”排序，结果很明显：
商业民航，每 10 亿客公里死亡 0.08 人，基本就是基准线。铁路 0.09 人，跟民航差不多。长途大巴 0.24 人，是民航的 3 倍。私家车和出租车 2.52 人，是民航的 31.5 倍。而摩托车，36.41 人，是民航的 455 倍。
这组数字意味着什么？坐飞机要飞够 125 亿公里，大概相当于地球到太阳跑42个来回，平均下来对应约 1 名遇难者。而按汽车的死亡率，大约每 3.96 亿旅客公里就对应 1 名遇难者。
图注：按旅客公里计算，商业民航与铁路处在同一低风险档；摩托车高出两个以上数量级。
按这组欧盟数据，航空和铁路都处在最低风险一档，而汽车和摩托车的风险高出一到两个数量级。
但是就单纯这样看，存在一个问题。
飞机一飞就是上千公里，单次行程长，按里程算天然占优势。如果按这个逻辑，近十几年载人航天没有宇航员死亡，观察到的死亡率接近 0。那国际空间站岂不是宇宙最安全的交通工具？
这显然是荒谬的。不过它也说明了一件事，比较的基准选得不对，结论可能完全反过来。
不光比法有讲究，数据本身也存在陷阱。
举个例子：全球铁路每年公布的死亡人数看起来不低。但是我们仔细一看，这些数字里有很大一部分不是坐火车的乘客，而是横穿铁路、闯道口、站台失足的其他人。真正在车厢内因事故遇难的旅客，占比其实很小。
但是只要把这些人全算进“铁路事故死亡”，铁路呈现出来的风险率就会被抬高不少。相比之下，航空统计通常能较清楚地区分机上乘员与地面人员。
数字背后藏着太多可以动手脚的地方，那有没有一种更公平的比法？
麻省理工学院（MIT）的阿诺德·巴内特教授（Arnold Barnett）花了几十年时间来专门研究这个问题。他在 Journal of Air Transport Management 等学术期刊上发表的系列论文，提出了一种更接近普通人真实感受的比较指标。
第二种算法：按“每次登机”算
巴内特采用的指标叫“每次登机死亡风险”。他的问题只有一个，不管这趟航班是飞 2 小时还是 12 小时，只要买了这张票登上了这架飞机，这一趟旅程中遇难的概率是多少？
他追踪了全球半个世纪的数据。在2018—2022年的统计区间内，全球商业航空的每次登机死亡风险是：
约为 1370 万分之一。
如果只看巴内特划分的低风险市场，前两个梯队在 2018—2022 年都约为 8000 万分之一，风险只有全球平均水平的六分之一左右。
这个数字有多小？如果一个人每天坐一次飞机，按数学期望，需要连续飞 3.7 万年才会遇到一次致命空难。我经常跟朋友说坐飞机真正危险的，可能是去机场路上的那段车程。
再看美国国家安全委员会（NSC）的统计。按 2024 年数据，美国居民一生死于机动车事故的概率约为 1/101。至于作为飞机乘客遇难，因为当年死亡样本太少，NSC 已经无法给出稳定的终生概率估计。
图注：“一生死于车祸”和“单次登机死亡风险”不是同一种统计量，不能直接计算倍数。
这两组指标不能直接相除，一个计算一生累计风险，一个计算单次登机风险。但是它们共同说明了一件事，就是日常道路风险远比空难更常见。
那高铁呢？
这个问题必须认真说。对于经常出差或者跑长途的人来说，真正需要比较的一般是飞机和高铁，不是飞机和汽车。
说实话，我们和日本的高铁系统，安全记录已经非常接近民航水平。前面的那组欧盟数据里，民航和铁路的旅客公里死亡率本来就很接近（0.08 对 0.09）。而我们的高铁自大规模运营以来，车内乘客因运营事故遇难的情况屈指可数。
从数据上看，两者已经属于同一个量级，可以说我们的高铁非常安全。
不过有两件事需要说清楚，全球铁路和我们的高铁完全是两回事。
我们的高铁是全封闭线路、列车运行控制系统（CTCS）、司机权限严格受限的现代化系统。但如果放到全球，不同国家铁路的安全水平差了好几个数量级。拿全球铁路平均数据去评价我们的高铁，对高铁不公平；拿我们高铁的数据去代表全球铁路，那也说不过去。
另外一件事是时间。我们的高铁大规模运营才十几年，而商业民航的安全数据已经经过了半个世纪、有数百亿人次的检验。数据积累时间不同，直接来进行比较还是需要谨慎。
不过说到底飞机和高铁都很安全，开车反倒是比这两个都要危险得多。
具体飞机和高铁谁更安全？看你怎么算、具体算哪个国家、算哪个时间段。
数字是不会骗人的，但是选这些数字的人会。
不比谁出事的概率低了，就看一件事，如果已经出事了，生还率到底能有多高？这部分主要拿飞机来说，因为严重事故的数据最完整。我们的高铁样本太少，没法做同类统计，所以还是只能说我们的高铁现阶段太过安全了。
二、已经出事了，生还率到底有多高？
先看飞机的整体数据。
根据美国国家运输安全委员会（NTSB）跨度 35 年（1983—2017）的统计，联邦航空法规第 121 部（主要规范大型航空承运人运行）下的全部事故，涉事机上人员共 108701 人，遇难 2973 人。航空事故后的整体生还率是 97.3%。
97.3% 把所有航空事故混在了一起。大部分航空事故是严重颠簸中旅客受伤、冲出跑道但无人死亡之类的事件，跟大多数人脑海里空中浩劫的画面完全是两回事。
要看那些真的冲击公众直觉的那类事故，需要把结构损毁、火灾和人员重伤的子样本单独拿出来。
严重事故里，到底有多少人能活下来？
NTSB 在生还率研究中，筛出了同时满足三个条件的事故子样本，分别是飞机严重损坏或全毁、机舱起火（撞击前或撞击后）、且有人员重伤或死亡。
NTSB 追踪了 1983—2017 年这 35 年间的数据。在这段时间里，符合上述三个条件的严重事故共 35 起，涉及 3823 名机上人员。
结果是 59% 的人活了下来。
其中超过一半（52.7%）只受了轻伤或者毫发无损，还有 6.3% 的人虽然受了重伤，但是最终存活下来了。这 35 起是从同期全部航空事故中按上述条件筛出的子样本，不是另一套总体事故率。
飞机结构损毁、机舱起火这种级别的事故，还是有超过一半的人生还了。这个比例远超我们大多数人的想象。
但也得说万米高空解体、近乎垂直撞击地形等灾难性事故，生还空间通常非常小。遇到这种事故，谁也没有办法。
不过，这种事故在现代民航中少之又少。绝大多数航空事故，哪怕看起来触目惊心，实际上并不是全机损毁。
图注：Part 121 事故总体生还率为 97.3%；在 NTSB 筛选的严重事故子样本中，生还率仍为 59%。
两个案例可以直观说明这一点。
2013 年，韩亚航空 214 号班机。一架波音 777 在旧金山机场进近过程中高度和空速持续偏低，机组复飞过晚，机尾撞上海堤，尾翼和两台发动机当场断裂脱落，机身在跑道上旋转滑行后停下，随后起火，中部机舱顶部被大火烧穿。
机上 307 人，304 人生还。
图注：韩亚航空 214 号航班事故现场。机身严重损毁，但主体客舱仍保留了可供大量乘员撤离的空间。
2024 年，日航羽田机场事故。一架 A350 降落时与海上保安厅的飞机在跑道上相撞，客机机身被大火彻底烧毁。
客机上 379 名旅客和机组，全部安全撤离。
从这里可以看出就算飞机出事，也不等于说就是机毁人亡。
图注：2024 年 1 月 2 日，日航 516 号航班在羽田机场起火。客机上的 379 人全部撤离。
三、飞机凭什么让人活下来？
上面那些数字不是天上掉下来的。每提高一个百分点的生还率，背后都是事故调查、适航标准和结构设计这些一点点磨出来的。
16g 座椅：撞了之后，人不能离开座位
这个规定的起因是在更早的空难中，NTSB 发现了一个反复出现的问题，有很多旅客不是死于撞击本身，而是座椅在猛烈减速时断裂脱落，人被甩出去互相磕撞挤压，这种二次碰撞会显著增加伤亡。
1988 年，联邦航空条例正式修订：新设计型号的客机座椅，必须通过 16 倍重力加速度（16g）的动态撞击测试。
16g 是什么概念？我们在地面站着，承受的是 1g。过山车的极限大概也就是 4～5g。战斗机飞行员穿上抗荷服能扛到 9g， 16g 意味着身体在撞击瞬间承受相当于自身重量 16 倍的载荷。 但是也确实有看到我们居然有女飞行员能仅凭肉身承受12g，没穿抗荷服也没带氧气面罩还能有说有笑，确实有点打破我的认知了。
图注：16g 动态座椅测试以滑车和假人复现高减速度冲击，验证座椅、约束系统与地板连接的生存空间。
在这个载荷下，座椅的支架和滑轨不能断也不能松。座椅结构本身允许变形来吸收撞击能量，原理和汽车的溃缩区差不多，通过结构变形吸收碰撞能量，但是人必须被牢牢固定在座位上。
汽车座椅当然也有碰撞安全标准，但不会按照 FAA 这套 16g 航空动态测试完成审定。
防火：撞击之后，还要抢出撤离时间
火灾和浓烟是航空事故中必须单独防范的第二重威胁。在早期的航空事故中，很多的遇难者不是死于撞击，而是在撤离前就被有毒浓烟给呛到窒息的。在 NTSB 统计的 1983—2017 年这 35 起严重事故中，死于火灾或浓烟的占全部涉事人员的 4.1%，而撞击致死占 27%。
为了压低火灾带来的风险，适航标准从材料和撤离两个方向同时下手：
客舱壁板、天花板和行李架内饰，必须通过热释放速率测试，也就是把材料点燃之后，看它每秒释放多少热量，数值越低越安全。高阻燃材料和热释放限制用于延缓火势发展。座椅海绵垫外面包裹了专用的阻燃层，延缓客舱内发生轰燃（flashover，也就是火灾迅速发展到客舱内大量可燃表面普遍卷入燃烧的阶段）的时间。
这些设计的核心目标只有一个，就是给旅客争取尽可能多的清醒逃生时间。
图注：航空座椅垫油燃烧试验，用于验证阻燃层能否限制火焰蔓延和燃烧损失。
黄金 90 秒：拿不到这张入场券，飞机就不能拿出来卖
图注：客机应急滑梯部署测试。
新机型必须证明，在规定条件下能够在 90 秒内完成撤离。实际演示是方法之一，部分构型也可以使用经批准的分析方法证明。
在 1967 年，FAA 把撤离演示的时限从 120 秒收紧到 90 秒，这个时限一直沿用至今。
测试条件：客舱满载旅客，模拟夜间条件（仅依靠应急照明），并且只有一半的紧急出口可以使用。
在这种条件下，全体旅客和机组必须利用规定开放的出口和应急撤离设备，在 90 秒内 全部到达地面。通不过，飞机拿不到适航证，不能卖。
90 秒不是客舱从起火到必然被浓烟吞没的倒计时，而是一条统一的，可验证的审定门槛。它逼着出口数量、滑梯能力、应急照明和客舱程序能在同一个时间约束下工作。
浓烟积聚之后，头顶的出口标识很快就会被遮住。
这时候旅客找出口靠的是地板上的发光逃生带，蹲低身子沿着这条光带往前爬，就能慢慢摸到最近的紧急出口。
羽田那架 A350 最终被烧成空壳，客机上 379 人全部撤离。出口判断、客舱材料、应急照明和乘务组处置共同争取出了这段时间。那次撤离中，客舱广播系统无法使用，乘务组靠便携扩音器并直接喊话指挥撤离。
关于黄金 90 秒背后的故事，其实还有很多值得单独拿出来说的东西，后面我会专门写一篇专题。
系统冗余：关键功能不能压在一个部件上
最后来说说冗余。
对双发客机（比如 737、A320）来说，超过决断速度后，即使一台发动机失效，剩余发动机也必须满足继续起飞、爬升和返场或备降的性能要求。巡航阶段发生单发失效，飞机同样能够保持受控飞行。
图注：现代 A320 系列驾驶舱。两套操纵位置背后，是分层监控、冗余与程序化交叉检查。
即便发生了两台发动机同时熄火这种极端情况，客机也不会直接坠落。
大型客机在合适的速度和姿态下，通常每下降 1 公里可以向前滑翔十几公里。在 1 万米高度失去全部动力，理论上还能滑翔一百多公里。在这段距离内，飞行员有时间去找跑道或者平整地面迫降。“哈德逊河奇迹”就是双发熄火后成功滑翔迫降的经典案例。
客机的供电、液压和飞行操纵等关键功能，通常设有备用电源、独立回路或降级工作方式。有的故障会触发自动切换，有的需要机组按程序处置。工程师保护的是关键功能，不是简单地把每个部件复制三遍。而延程运行批准（ETOPS）对发动机的空中停车率（IFSD）有严格的监控标准，不同改航时限对应不同的门槛值，越远要求越严。
相比汽车，客机在动力、操纵和供电层面投入了更多相互独立的备用路径。
四、为什么我们的直觉在骗我们？
说了这么多数据和工程方面的东西，但我也知道很多人下次坐飞机遇到颠簸，心还是会揪一下。
这就是我们的大脑在作怪。
可得性偏差（Availability Heuristic）
我们的大脑判断一件事危不危险，靠的不是数据，是脑子里能想起几个相关的画面。
空难一出，连续几周铺天盖地的报道，画面全是残骸、黑烟、遇难者家属痛哭。这些画面被深深刻进了我们的脑子里。
车祸呢？除非是几十辆车连环撞，否则连地方新闻都上不了。
所以我们脑子里塞满了空中浩劫的情节，却几乎没有飞机安全着陆、全员从滑梯撤离的印象。我们的大脑就拿这些印象来评估风险，自然觉得空难好像经常发生，而且一出事就全完了。
但在 NTSB 统计的 1983—2000 年美国 Part 121 事故中，569 起事故有 498 起没有造成机上人员死亡，占 87.5%。
这些事故很少形成公众熟悉的“空难画面”，却构成了航空事故样本的大多数。
控制错觉（Illusion of Control）
开车的时候，手握方向盘，脚踩刹车，我们会觉得命运在自己的手里。
坐飞机的时候，被安全带固定在座位上，什么都做不了，只能听天由命。这种丧失主动权的被动感，会让恐惧放大好几倍。
但是事实是坐在汽车里的我们，刚好是车祸里最大的不确定因素。根据 NHTSA 的调查，绝大多数碰撞事故中，人为因素都是事故链里的关键环节：分心、疲劳、酒驾、路怒。
而在民航的驾驶舱里，两名飞行员交叉检查、标准操作程序和自动化监控，会在一个人的判断失误与事故结果之间增加多道拦截层。它不能消灭错误，但能尽量阻止一个错误直接穿透整个系统。
我们自以为的“掌控感”，反而可能是最大的风险源头。
图注：空难更容易占据我们的记忆，日常道路风险却更容易从新闻和直觉中消失。
对失控过程的想象
还有一层更深的原因。
想象万米高空失控坠落：密闭的机舱、失重感、等待撞地的那几十秒。比起车祸中瞬间发生、可能当场就失去意识，前者更让人本能地感到恐惧。
真正放大恐惧的是失去控制后对过程的想象。这种恐惧太强烈了，大脑会本能地把它提炼翻译成一个判断告诉我们现在的飞机不安全。
但这是情绪在说话，不是事实。
最后回到开始的那个问题：“飞机是最安全的交通工具”算是一个谬论吗？
如果最安全指的是“出事概率最低”，在中长途出行中，民航按旅客公里和每次登机计算，风险都处在很低的水平。在现有的可比数据里，商业民航和现代高铁都算处在最低风险一档，汽车明显是更高的。至于飞机和高铁谁排第一，答案取决于地区、年份还有采用的统计分母。
而就算已经出事了，情况也比我们以为的要好得多。飞机结构损毁、机舱起火这种级别的严重事故里，还是有超过一半的人生还了。
16g 座椅、防火内饰、90 秒撤离标准、多层的冗余系统，这些规矩不是谁拍脑袋写的，是用一起又一起事故和背后血淋淋的事故换回来的，民航的安全向来不是靠运气。
巴内特教授在他的研究中发现了一个规律，在过去 50 年里，商业飞行的死亡风险大约每年下降 7%，安全性大约每 10 年翻一倍。
他把这个叫做“空中摩尔定律”。
图注：1968—2022 年，全球商业航空每次登机死亡风险大致每十年减半。
这场持续了半个世纪的改进，没有终点。
但它也不是免费的，每一条规矩背后，都有一张写着具体金额的账单。这笔账怎么算的，谁在买单，后面有机会来单独写。
握紧扶手的恐惧是人之常情，没什么不好意思的。概率不会替我们消除恐惧，但是至少不该由恐惧来替我们来算概率。
热门跟贴