去請教真正做清單的人#
那次慘敗的初次嘗試之後，作者做了他一開始就該做的事：去圖書館，找出幾篇關於「飛行清單是怎麼做出來的」的文章。
營建界的清單雖然很棒，但它們被用在動輒耗時數月的專案上。在手術中，分秒必爭。 時間問題看似是個嚴重限制——但航空業也有同樣的挑戰，而飛行員的清單不知怎地應付了它。
他找到的文章中，有一篇作者是華盛頓州西雅圖波音公司的丹尼爾・布爾曼（Daniel Boorman）。作者打了電話給他。
布爾曼是一位資深飛行員，過去二十年都在為波音自 747-400 以降的機型開發清單與飛行甲板控制系統，最近則是新款 787 夢幻客機飛行甲板設計（含飛行員控制、顯示與清單系統）的技術領導者之一。
他是波音「飛行哲學」的守護者之一。 當你登上一架波音客機，有一套理論在支配你的駕駛艙組員如何飛這架飛機——他們的例行程序是什麼、什麼手動做、什麼交給電腦、以及當意外發生時該如何反應。
他是四分之三個世紀前想出 B-17 第一張清單那批飛行員的直系後裔。 多年來他研究過數千起墜機與幾乎墜機事件，把「避免人為錯誤」做成了一門科學。
一本兩百頁的手冊，裡面是數十張清單#
布爾曼給作者看了一本清單手冊：螺旋裝訂、約兩百頁、貼滿黃色標籤。
航空清單顯然已從「滑行、起飛、降落共用一張卡」的時代演化了，作者一度懷疑有誰真能使用這麼厚重的一本。但當布爾曼帶他讀過，他才明白：這本手冊不是由一張清單構成，而是由數十張構成。
- 「正常」清單：日常飛機操作用的例行清單——啟動引擎前、離開登機門前、滑行至跑道前等等。全部加起來只佔三頁。
- 「非正常」清單：手冊的其餘部分，涵蓋飛行員可能遇到的每一種可想像的緊急狀況——駕駛艙冒煙、各種警示燈亮起、無線電失效、副駕駛失能、引擎故障，不勝枚舉。它們處理的是大多數飛行員終其職業生涯都不會遇到的狀況。但萬一需要，清單就在那裡。
DOOR FWD CARGO：一則 1.5 秒的教訓#
布爾曼給作者看了「飛行中 DOOR FWD CARGO 警示燈亮起」的那一張。這代表前貨艙門未關閉固定，極度危險。他講述了自己研究過的 1989 年一起正是如此的案例。
延伸案例：檀香山起飛的聯合航空 747
一次電路短路導致一架聯合航空波音 747 的貨艙門在飛行中脫閂。該班機從檀香山飛往紐西蘭奧克蘭，機上載有 337 名乘客。飛機正爬升越過兩萬兩千英尺，客艙加壓以維持乘客所需的氧氣濃度。
檀香山那班機上，爆炸幾乎瞬間把貨艙門炸飛，並帶走了數扇上層甲板窗戶與五排商務艙座椅。九名乘客墜海失蹤。 鄰座乘客僅靠安全帶固定住。走道上一名空服員也差點被吸出去，幸而一位機警的乘客抓住她的腳踝把她壓住，距離那個大洞只有幾吋。
組員完全沒有時間阻止這場災難——從脫閂到爆開、到九條人命消失，不超過 1.5 秒。
後續改良：波音隨後重新設計了貨艙門的電路系統，並且——因為沒有任何門閂是萬無一失的——加裝了額外的門閂。如果一個失效，DOOR FWD CARGO 燈就會亮起，組員便有更多時間反應。存在一個阻止爆開的機會之窗。清單就是在這裡派上用場。
那一天的駕駛艙語音記錄（貨艙門炸飛的瞬間開始）：
機長：那是什麼鬼東西？
副駕駛：我不知道。
飛行員通知飛航管制出了狀況。兩秒後，客艙壓力與氧氣都沒了。
副駕駛：戴上你的面罩，Dave。
機長：好。
副駕駛：檀香山中心，Continental One Heavy，你剛才是要我們左轉嗎？
無線電：Continental One Heavy，確認。
副駕駛：現在轉向。
機長：我拿不到氧氣。
飛航工程師：你現在要我做什麼？
不明人聲：（髒話）
副駕駛：你還好嗎？
機長：還好。
副駕駛：你有氧氣嗎？我們這裡沒有氧氣。
飛航工程師：沒有，我也沒有氧氣。
調查後來發現，爆炸扯斷了氧氣供應管路。純粹靠運氣，駕駛艙組員維持了足夠的飛機控制，得以下降到氧氣充足的高度，然後折返檀香山機場。全部 18 名組員與剩下的 328 名驚恐乘客全數生還。
為什麼這個教訓很複雜#
如果你正在三萬英尺高空巡航，DOOR FWD CARGO 警示燈亮起——是的，消除內外壓力差以阻止門被炸開是個非常好的主意，但用「按下緊急洩壓開關」的方式去做、讓所有人缺氧，則不是。
飛機確實有簡便的洩壓方式：按下緊急覆蓋開關，約三十秒內排出客艙空氣、解除加壓。但這個解法有兩個問題：
- 突然失壓對乘客極不舒服，尤其是它造成的耳痛。嬰兒最慘——他們的耳咽管尚未發育到足以適應這種變化
- 在兩萬或三萬英尺高度為飛機洩壓，等於把乘客丟到聖母峰峰頂。空氣稀薄到無法為身體與大腦供應足夠氧氣
聯合航空那班機生動地示範了會發生什麼：貨艙門爆開瞬間讓飛機失壓，而一旦最初的爆炸性減壓結束，缺氧就成了乘客與組員的首要危險。被吸進虛空已不再是問題（所有人都能遠離那個十乘十五英尺的破洞），但溫度驟降到近乎冰點，氧氣濃度低到組員頭暈、擔心失去意識。感測器自動放下氧氣面罩，但飛機上的氧氣供應預期只能維持十分鐘——更何況它可能根本不管用，而那班機上正是如此。
好清單與壞清單#
DOOR FWD CARGO 清單詳列了所有這些步驟。而布爾曼強調，它是為了讓組員在緊急狀況中使用而被謹慎設計的。
波音所有的航空清單——公司每年發布超過一百張新增或修訂的清單——都是一絲不苟地組合出來的。布爾曼的飛航作業小組就是一座清單工廠，其中的專家多年來學到了不少關於「如何讓清單真的管用」的心得。
- 含糊而不精確
- 太長、難用、不切實際
- 由對部署現場毫無認識的辦公室人員做出來
- 把使用工具的人當笨蛋，試圖把每一個步驟都寫出來
- 它們關掉人的腦袋，而不是打開它
好清單：
- 精確
- 有效率、切中要點，即使在最困難的情境中也易於使用
- 不試圖把每件事都寫出來——一張清單不能開飛機
- 只提供最關鍵、最重要步驟的提醒——那些即使是使用它的高技能專業人員也可能漏掉的步驟
- 最重要的是：務實
清單的力量是有限的#
布爾曼強調：清單能幫助專家記住如何管理一個複雜流程、或設定一台複雜機器；能讓優先順序更清楚、促使人們作為團隊更好地運作。
但清單本身無法讓任何人去遵循它。
舉例來說：當駕駛艙裡 DOOR FWD CARGO 燈亮起，飛行員的第一直覺未必是去抓清單手冊。
畢竟，閃爍的警示燈有多少次最後只是誤報？飛行原本應該一路順暢——沒有異音、沒有爆炸、沒有奇怪的撞擊聲，只有這盞討人厭的燈亮了起來。地勤在起飛前檢查時已經檢視過艙門，沒發現問題。何況，每五十萬次飛行才會發生一次任何形式的事故。
所以人是會被誘惑去「先排查一下」的——也許先讓誰去檢查一下電路，再決定是不是真的出了什麼事。
飛行員之所以仍會轉向清單，有兩個原因：
- 他們被訓練如此。 從飛行學校一開始他們就學到：自己的記憶與判斷是不可靠的，而生命繫於他們認清這個事實。
- 清單已經證明了自己的價值——它們管用。
無論飛行員被教導要多麼信任程序甚於直覺，那不代表他們會盲目照做。航空清單絕非完美，有些被發現令人困惑、不清楚、或有瑕疵。儘管如此，它們贏得了飛行員的信任。面對災難時，他們驚人地願意轉向自己的清單。
檀香山那班機的駕駛艙語音記錄，最令人震撼的正是飛行員倚賴程序的意願。
當時的處境令人恐懼：碎片橫飛、噪音巨大、心跳想必狂奔。而且他們有太多事要處理——除了眼前的氧氣問題，噴出的機身碎片已飛入右翼三號引擎使其失效，更多碎片擊中四號引擎並使其起火，外緣襟翼受損。而坐在前面試圖釐清該怎麼辦的駕駛艙組員，仍然不知道究竟發生了什麼——他們以為是炸彈爆炸了，不知道損害的全貌，也不知道會不會再爆一次。
他們仍必須關閉毀損的引擎、通知飛航管制進入緊急狀態、下降到安全高度、判定飛機還有多少操縱性、分辨儀表板上哪些警報可以忽略哪些不行，並決定要迫降海面還是折返檀香山。
組員把信任放在哪裡——直覺還是程序——最大的考驗就是他們如何處理這樣一場災難。
那麼他們做了什麼？他們抓起了清單手冊：
機長：你要我唸清單嗎？
飛航工程師：好，我已經拿出來了。你準備好就開始。
機長：準備好了。
依循他們的規程，他們降低高度、安全關閉兩具受損引擎、測試飛機在機翼受損下的降落能力、拋放燃油減輕重量，成功返回檀香山。
對飛行員來說，清單已證明值得信任。而這要歸功於布爾曼這樣的人——那些學會了「做出好清單而非壞清單」的人。 顯然，手術清單還有一段路要走。
做一張清單的關鍵決定#
布爾曼解釋，做清單時你有幾項關鍵決定：
一、定義清楚的暫停點#
你必須定義一個清楚的暫停點，讓清單在那時被使用（除非那個時刻本身就很明顯，例如警示燈亮起或引擎失效）。
二、選擇 DO-CONFIRM 或 READ-DO#
| 類型 | 運作方式 |
|---|---|
| DO-CONFIRM（先做後確認） | 團隊成員憑記憶與經驗各自完成工作，然後停下來，暫停跑一次清單，確認該做的事都做了 |
| READ-DO（邊讀邊做） | 人們一邊勾選一邊執行任務——比較像食譜 |
任何從零建立的新清單，都必須選擇最適合該情境的類型。
三、必須短#
有些人用的經驗法則是控制在五到九個項目，那是工作記憶的極限。布爾曼認為這一點不必奉為教條：
「全看情境，」他說，「有些狀況你只有二十秒，有些你可能有好幾分鐘。」
但在一個暫停點停留約六十到九十秒之後，清單往往就開始變成對其他事情的干擾。人們開始「抄捷徑」，步驟開始被漏掉。
所以你要把清單保持得短，方法是聚焦在他所謂的「殺手項目（killer items）」——那些跳過最危險、卻仍不時被忽略的步驟。（在航空業，「哪些步驟最關鍵、人們漏掉的頻率有多高」的數據極為搶手，儘管不總是拿得到。）
四、措辭與外觀都重要#
- 措辭應簡單而精確，並使用該專業熟悉的語言
- 理想上應該放得進一頁
- 不應有雜訊與不必要的顏色
- 應同時使用大小寫以便閱讀（布爾曼甚至建議使用 Helvetica 之類的無襯線字體）
五、必須在真實世界測試#
作者原以為這些他們起草手術清單時大致都覆蓋到了——確實需要一些修剪，許多項目可以更銳利、更不令人困惑，他覺得應該不難修好。
無論我們多謹慎、無論我們投入多少思考，一張清單都必須在真實世界中被測試——而真實世界必然比預期更複雜。
「初稿永遠會垮掉，」 他說。人必須研究它是怎麼垮的、做出修改、繼續測試，直到清單能一致地運作。
作者指出，這在手術中不容易做到。布爾曼反駁：在航空業也不容易——你不能在飛行中把貨艙門解閂，然後觀察組員怎麼處理後果。 但那正是他們有飛行模擬器的原因。他提議帶作者去看一台。
延伸體驗：作者「開」了一趟 777
作者努力不表現得像個剛被邀請去看駕駛艙的小孩。「好啊，」他說，「聽起來挺酷的。」
走了一小段路，他們進入隔壁建築，穿過一扇看起來很普通的金屬門，來到一個奇怪的、盒狀的太空艙前，架在三支巨大的液壓腿上。布爾曼領他進去——裡面是一具完整的波音 777-200ER 駕駛艙。他讓作者爬上左側的機長座，自己坐右側，示範怎麼繫上安全帶。擋風玻璃是三片黑色電漿螢幕，直到助理把它們打開。
「你想要哪個機場？」布爾曼問，「我們資料庫裡幾乎載入了世界上每一個機場。」
作者選了他前一天降落的西雅圖-塔科馬機場，柏油道面隨即浮現在螢幕上。太驚人了。 他們停在登機門，行李車工人在他面前來回穿梭，遠處還能看見其他飛機進出各自的登機門。
檢核流程：作者左側的壁板內建了放清單手冊的插槽，他隨時可以抓起來，但那只是備份——飛行員通常使用出現在中央控制台的電子清單。布爾曼示範怎麼從螢幕上讀著跑一遍。
「氧氣，」他說，並指出作者可以確認供應的位置。
「已測試，100%，」作者被要求這樣回答。
「飛行儀表，」他說，並示範哪裡可以找到航向與高度表讀數。
初始駕駛艙檢查只有四個項目。啟動引擎前，另有六個項目，外加一個提示，要求確認已完成「滑行與起飛簡報」——正副駕駛之間談論滑行與起飛計畫及顧慮的討論。
布爾曼帶著作者跑了一遍。就作者所能跟上的，他的計畫是在 16L 跑道做一次「正常」起飛，在時速一大堆節的時候拉起、往東南「飛標準離場程序」、爬升到兩萬英尺——他想是這樣。布爾曼還說了些關於無線電設定、聽起來很重要的事。然後他提到一堆瘋狂的東西——比如如果起飛中引擎失效，還在地面就減推力、剩一具引擎就繼續爬升、都沒有就找附近的好降落點。作者睿智地點了點頭。
「你有任何顧慮嗎？」他問。
「沒有。」作者說。
他啟動引擎——雖然並沒有真的引擎，但你聽得見它們轟鳴起來，兩人得提高音量才能蓋過它。滑行到跑道前，他們又暫停做了五項檢核：是否需要且已完成除冰、自動煞車已設定、飛行操縱面已檢查、地面設備已淨空、無警示燈亮起。
這種簡短絕非偶然。 布爾曼說，有人花了數小時觀看飛行員在模擬器中試用早期版本、為他們計時、精煉它們、把它們削減到最有效率的本質。
起飛：確認準備就緒後，他讓作者把飛機推離登機門。（信不信由你，作者是這趟飛行的飛行員。）他指導作者用雙腳用力踩下踏板煞車來鬆開它。作者感到一陣顛簸，飛機向前一衝。他用左手邊的轉向盤控制前輪方向——一個旋轉的金屬把手，往前繞是右轉、往後繞是左轉——用中央控制台三根推力桿控制速度。他一開始像醉漢一樣蛇行，但到達跑道時已抓到訣竅。
他把推力收回怠速、雙腳鎖住煞車等待起飛順位。布爾曼叫出「起飛前」清單。
「襟翼。」他說。
「已設定。」作者說。
這開始變得有趣了。 塔台通知他們獲准起飛，作者再次鬆開煞車，布爾曼示範推力該推多遠。他們開始沿跑道加速，起初緩慢，接著感覺像在飛彈上。作者踩著左右方向舵踏板努力保持在中線上。然後，在布爾曼下令時，他拉回駕駛桿——他原本以為那是方向盤——感覺到飛機升上了天空。
「我不知道模擬器是怎麼辦到的，但真的很像我們已經在空中了。」
然後燈亮了：他們升入雲層，城市在下方遠去，緩緩爬升到兩萬英尺。而就在這時，DOOR FWD CARGO 燈亮了。 作者已經忘記這才是整場演練的重點。電子清單的頭幾行出現在螢幕上，但他抓起紙本，這樣才能看到整張攤開的樣子。
他注意到，那是一張 READ-DO 清單——邊讀邊做——只有七行。頁面說明了前貨艙門未關閉固定，而我們的目標是降低艙門分離的風險。
他很清楚這只是模擬，但仍感覺到自己的脈搏加快。
- 清單說要部分降低客艙壓力。實際的寫法是：「LDG ALT 選擇器」——布爾曼指出那是頭頂面板上的客艙壓力控制——「拉出並設定為 8000」。他照做了
- 接著清單說下降到最低安全高度或八千英尺，取較高者。他推前駕駛桿讓機頭下降，布爾曼指出該看的儀表，幾分鐘後他們在八千英尺改平
- 現在，清單說把出氣閥開關切到手動並按住三十秒以釋放剩餘壓力。他也照做了
就這樣。飛機沒有爆炸。他們安全了。
「我想跟布爾曼擊掌。開飛機這種事很簡單嘛，我很想這麼說。」
清單刻意不寫的東西#
模擬中還有各式各樣清單沒有指定的步驟——通知塔台我們進入緊急狀態、對空服員做簡報、判定附近最安全的降落機場以便檢查貨艙門。作者一項都還沒做，但布爾曼做了。
布爾曼解釋：儘管這些都是關鍵步驟，經驗顯示專業飛行員在必要時幾乎從不會漏做它們。所以它們不需要出現在清單上——而事實上他主張，它們不該出現在上面。
人們普遍誤解了清單在複雜工作中的運作方式。
它們不是全面的操作指南，無論是蓋一棟摩天樓還是讓飛機脫離險境。
它們是快速而簡單的工具，用來支撐專家專業人員的技能。而正因為保持迅速、可用、且堅決地謙遜，它們才拯救了成千上萬條生命。
英航 38 號班機：一個新的未知#
還有一則相對晚近的航空清單故事。
2008 年 1 月 17 日，英國航空 38 號班機在飛行近十一小時後從北京接近倫敦，機上 152 人。這架波音 777 正做最後進場、降落希斯洛機場。時間剛過中午，雲層稀薄零散，能見度超過六英里，風力輕微，儘管是冬季但氣溫溫和——華氏 50 度。到此為止，這趟飛行完全平淡無事。
然後，在距機場兩英里、住宅區上空 720 英尺處，就在飛機本該略微加速以拉平下降時，引擎熄火了。先是右引擎推力退到最低，接著是左引擎。負責降落操縱的副駕駛無論怎麼試圖增加推力，引擎都毫無反應。沒有任何明顯原因，飛機詭異地安靜了下來。
他放下襟翼讓飛機盡可能滑翔、試圖維持在原本的進場線上。但飛機失去前進速度太快了——它已成為一塊 35 萬磅重、從空中掉落的石頭。 英國空難調查局（AAIB）事後判定它以每秒 23 英尺墜落，撞地時（在跑道前約四分之一英里處）時速 124 英里。
延伸細節：奇蹟般的無人死亡
純粹靠運氣，機上與地面都沒有人喪生。 飛機以毫釐之差沒有撞穿附近住宅的屋頂。希斯洛周邊道路上車內的乘客看見飛機落下，以為自己就要沒命了。
巧合到具有國際意義的是，其中一輛車正載著英國首相戈登・布朗（Gordon Brown）前往他的專機，準備展開對中國的首次正式訪問。一位隨行助理告訴倫敦《每日鏡報》：「它就在我們頭頂幾碼上方，飛機進來時又快又極低，幾乎擦過一根燈柱。」
飛機以一名目擊者形容為「巨大的一聲砰」撞上周邊道路外的一片草地。前輪撞擊時折斷；右主起落架與機身分離，其兩個右前輪脫落、擊中右後機身，貫穿了第 29 與 30 排的客艙；左主起落架向上頂穿機翼。1,400 公升的航空燃油傾洩而出，目擊者看見火花，但燃油不知怎地沒有點燃。
儘管飛機因撞擊的鈍力而全毀，乘客卻大多毫髮無傷——飛機進入了一段一千英尺的地面滑行，減緩了動量、緩和了衝擊。只有十來位乘客需要住院，最嚴重的傷是一條斷腿。
一份充滿挫折的調查報告#
AAIB 調查人員在一小時內抵達現場試圖拼湊真相。他們在墜機後一個月、四個月發表的初步報告，是充滿挫折的文件。
他們拆下引擎、燃油系統與數據記錄器，逐件分解，卻完全沒找到任何引擎缺陷。數據下載顯示引擎的燃油流量因某種原因減少了，但用內視鏡檢查燃油輸送管路顯示無缺陷、無阻塞；控制燃油流量的閥門與線路測試顯示功能全部正常；燃油箱中也沒有可能堵塞管路的碎屑。
注意力於是轉向燃油本身。測試顯示那是正常的 Jet A-1 燃油。但調查人員考慮到這趟航線越過北極圈，開始懷疑：燃油會不會在飛行中結凍、造成墜機，然後在他們找到痕跡之前又融化了？
這班英航班機的航線經過中蒙邊境地帶，那個隆冬日記錄到的環境氣溫是華氏零下 85 度；越過烏拉山脈與斯堪地那維亞時，記錄溫度降到零下 105 度。
這些對極地飛行來說並不算異常溫度。儘管 Jet A-1 燃油的凝固點是零下 53 度，這些危險被認為已經解決了——飛越北極航線的飛機被設計成能保護燃油抵抗極寒，而飛行員也持續監測燃油溫度。商用飛機的跨極航線於 2001 年 2 月開通，此後數千架次飛越而無事故。
事實上，這班英航班機記錄到的最低燃油溫度是零下 29 度，遠高於燃油凝固點。更何況引擎失去動力時，飛機是在氣候溫和的倫敦上空，不是烏拉山脈。
一個近乎荒謬的理論#
儘管如此，調查人員仍認為航線扮演了某種角色。他們提出了一個精緻的理論：
航空燃油中通常含有微量水分，每加侖不到兩滴。冷空氣飛行中，這些水分照例會結凍，以微小冰晶懸浮的形式漂浮在燃油裡——這從未被認為是重大問題。
但也許在一趟漫長、極為平穩的極地飛行中（這趟正是如此），燃油流動變得如此緩慢，以至於冰晶有時間沉澱、或許在燃油箱某處累積。然後，在一次短暫的加速爆發中（例如最後進場時），燃油流量的突然增加可能釋放這些累積，造成燃油管路阻塞。
調查人員對這個想法沒有任何確鑿證據。
作者的形容：這有點像發現一個人窒息死在床上，然後主張「所有氧氣分子都隨機跳到房間另一端去了，讓他在睡夢中死去」——可能，但荒謬地不可能。
儘管如此，調查人員測試了「在結凍條件下直接把水注入燃油系統」會發生什麼。他們發現形成的冰晶確實能堵住管路。
一個違反直覺的處置#
墜機將近八個月後，這就是他們能提出的全部解釋。所有人都急於在類似事故發生前做點什麼。姑且假設這個解釋是對的，調查人員設計了一些飛行中的操作來解決問題：
但如果冰晶已經累積，增加燃油流量只會把更多冰晶沖進燃油管路。
於是調查人員判定飛行員應該反其道而行：暫時讓引擎怠速。這會減少燃油流量，並給管路中的熱交換器時間融化冰——只需要幾秒——讓引擎得以恢復。
至少那是調查人員的最佳猜測。
於是 2008 年 9 月，美國聯邦航空總署（FAA）發布了一份詳細通告，載明飛行員應遵循的新程序：如何在極地飛行中避免結冰累積，以及萬一結冰仍造成引擎失效時如何恢復飛行控制。
全世界的飛行員必須設法在三十天內得知這些發現，並順暢地把它們納入自己的飛行實務。
十七年 vs. 一個月#
這是怎麼做到的（當然牽涉一張清單）很有啟發性。但先想想大多數專業工作中，發生重大失敗時會怎樣。
首先，我們很少調查自己的失敗。醫學裡沒有，教學裡沒有，法律界沒有，金融界沒有，實際上任何「錯誤不會上有線電視新聞」的工作裡都沒有。單一類型的錯誤可能影響數千人，但因為它通常一次只碰到一個人，我們就傾向於不那麼努力去找解釋。
不過有時候，失敗確實被調查了，我們學到了更好的做事方法。然後呢？
發現可能出現在某門課或研討會裡，或登上專業期刊或教科書。理想情況下，我們會發布一疊一吋厚的指南或一份標準宣言。但消息能否傳出去遠非確定，而把改變納入實務往往要花上數年。
醫學界的一項研究檢視了九項重大治療發現之後的情況——例如「肺炎鏈球菌疫苗不只保護兒童、也保護成人免於呼吸道感染」（呼吸道感染是我們最常見的殺手之一）這項發現。
研究報告指出：新療法要被醫師採用到涵蓋至少一半的美國患者，平均需要十七年。
如果航空業對每一項可能影響飛機安全操作的新發現，唯一做的事就是發布密密麻麻、長達數頁的通告——那就等於讓飛行員承受臨床醫師必須應付的每年將近七十萬篇醫學期刊論文的洪流。資訊將變得無法管理。
清單工廠開工#
但實際發生的是：當空難調查人員發布通告時（其密度與細節與我們在醫學中所見的任何東西不相上下），布爾曼與團隊埋頭工作，把資訊蒸餾成它的實用本質。
他們起草了飛行員極地飛行標準清單的修訂版；他們銳化、修剪，並反覆推敲暫停點——例如，飛行員要怎麼知道引擎失效是因為結冰而不是別的原因？ 接著他的小組讓飛行員在模擬器中測試這張清單，找出問題、修正，然後再測試。
他們把它發給全世界每一位波音 777 的擁有者。有些航空公司直接照用，但許多（甚至可能是大多數）會做自己的調整。就像學校或醫院做事方式會略有不同，航空公司也是，而他們被鼓勵修改清單以融入自己慣常的程序。
正因為有這種客製化，當航空公司合併時，最激烈的戰役之一就是飛行員之間關於「用誰的清單」的爭鬥。
在建議發布後約一個月內，飛行員手上——或駕駛艙電腦裡——就有了新清單。而且他們用了它。
證明：11 月 26 日，蒙大拿上空#
我們怎麼知道？因為 2008 年 11 月 26 日，災難差點再次發生。
這次是達美航空從上海飛往亞特蘭大的班機，機上 247 人。這架波音 777 在蒙大拿州大瀑布市上空三萬九千英尺時，右二號引擎發生「非指令性推力回退」——換句話說，引擎失效了。
（後續調查顯示，是冰堵住了燃油管路——結冰理論是正確的，波音也隨即實施了機械變更以防它再度發生。）
但在當下，在蒙大拿群山上空以這種方式失去一具引擎、甚至可能兩具，本可能是災難性的。
因為他們這麼做了，引擎恢復了，247 個人得救了。
過程順利到乘客甚至沒有察覺。
在作者看來，這正是手術該去指望的東西。