十起软件灾难：AI本可拦住的人为失误

1996年6月4日，法属圭亚那库鲁发射场。阿丽亚娜5型火箭升空37秒后，两台固体助推器突然脱离，火箭在400米高空自毁。造价5亿美元的载荷坠入大西洋。事故原因令人错愕：一段从阿丽亚娜4继承的16位整数代码，在新火箭更快的加速度下溢出了。

这不是什么不可预见的宇宙级难题。这是一个"没人重新验证旧假设"的故事。

DevOps领域有句信条：万物皆溃，时时皆溃。但软件史上最昂贵的失败，往往并非源于极端边缘案例，而是源于那些从未被重新审视的假设——继承自遗留系统的变量类型、缺失的边界检查、单位混淆、静默的告警失效、本该十年前删除的功能开关。这些不是"没人能预见"的事故，是"没人肯问 obvious 问题"的事故。

这正是我主张"增强意图验证"（Augmented Intent Validation, AIV）的原因：将AI驱动的对抗性审查嵌入DevOps工具链。不是让AI写代码，不是取代工程师，而是像飞机近地警告系统（GPWS）那样——一个永远不会厌倦提问的审查者。

人类会停止问这些问题。机器不会。

以下十起灾难，每一起都本可被AIV拦截。

1. 千年虫——两位数年份的全球恐慌

DevOps失效模式：长期运行的系统携带着未经审视的假设。

两位数年份本是存储优化策略，却在设计预期之外多活了30年。全球修复耗费数千亿美元。

AIV本应标记："纪元翻转将在1999年后引入歧义状态。"

2. 阿丽亚娜5——摧毁火箭的整数溢出

DevOps失效模式：重用遗留代码却未重新验证不变量。

16位整数在阿丽亚娜4上运行良好，在阿丽亚娜5更快的飞行剖面下溢出。火箭自毁。

AIV本应标记："新运行参数下，数值超出16位可表示范围。"

3. Therac-25——安全关键系统中的竞态条件

DevOps失效模式：移除硬件互锁却未设置补偿控制。

操作员输入命令的速度超过软件安全处理能力。患者死亡。

AIV本应标记："快速操作输入下可能发生不安全状态转移。"

4. 火星气候轨道器——公制与英制的致命混淆

DevOps失效模式：团队间接口契约漂移。

一个子系统输出磅力秒，另一个预期牛顿秒。航天器在火星大气层中解体。

AIV本应标记："生产方与消费方单位不匹配。"

5. Knight Capital——死代码与糟糕部署管道的组合

DevOps失效模式：静默部署失败 + 休眠代码路径。

一台服务器未收到更新。遗留功能"Power Peg"重新激活，在45分钟内执行数百万错误订单，造成4.6亿美元损失。

AIV本应标记："部署状态不一致；检测到未标记为活跃的可执行代码路径。"

6. 丰田意外加速——栈溢出与内存损坏

DevOps失效模式：未经验证的实时操作系统假设。

任务栈溢出导致内存损坏，引发不可重现的加速事件。数十人死亡。

AIV本应标记："递归深度无界；栈使用接近极限时无防护。"

7. 波音737 MAX——单一传感器依赖

DevOps失效模式：未建模的传感器失效模式。

机动特性增强系统（MCAS）依赖单一迎角传感器。传感器故障导致两次坠机，346人死亡。

AIV本应标记："安全关键决策依赖未交叉验证的单一数据源。"

8. Cloudflare——正则表达式灾难性回溯

DevOps失效模式：输入规模假设未经验证。

一个正则表达式在特定输入下引发灾难性回溯，CPU耗尽导致全球服务中断27分钟。

AIV本应标记："正则表达式存在多项式时间复杂度路径；建议设置计算预算。"

9. 英特尔奔腾FDIV——硬件层面的精度缺陷

DevOps失效模式：数学不变量在实现中未验证。

浮点除法单元在特定操作数组合下返回错误结果。召回成本4.75亿美元。

AIV本应标记："除法算法未覆盖完整输入空间；建议形式化验证。"

10. 比特币溢出——货币系统中的整数边界

DevOps失效模式：经济不变量未纳入代码审查。

区块184的coinbase交易产生1840亿比特币（设计上限为2100万）。漏洞数小时内被修复，但暴露了经济模型与实现之间的鸿沟。

AIV本应标记："铸造函数未验证总量约束；经济不变量可被违反。"

模式总结

这十起灾难跨越40年、涵盖嵌入式系统到分布式云原生架构，却共享同一套失效模式：假设一旦建立，便再无人问津。类型系统本可捕获单位错误，静态分析本可标记死代码，模糊测试本可暴露正则灾难，形式化方法本可验证除法正确性。

但人类审查者会疲劳、会遗漏、会假设"前人已经检查过"。AIV的核心价值不在于发现人类找不到的bug，而在于永不停止地询问那些 obvious 的问题——那些灾难发生后人人都会问、却没人事前问过的问题。

这不是关于AI取代工程师。这是关于把"质疑假设"变成基础设施，而非依赖个人习惯。