陈砚舟把空教室的投影关掉，只留下黑板上那棵越来越大的树。树的最上方写着四个字：任务失败。 沈则盯着那四个字看了半天：“咱们刚正式开工，就把失败写这么大，合适吗？” “合适。”陈砚舟把粉笔折成两截，“把失败写在黑板上，总比等它写在机体残骸上好。”
这间教室是何敬山临时借给他们的，桌椅有些晃，投影仪偏色，窗外还能听见晚归学生的笑声。对毕业设计来说，它已经算不上理想条件；对一个还没有公司、没有产线、没有正式团队的工程项目来说，一块能把责任写清楚的黑板，已经足够。
许知夏接上电脑，把飞控接口草案投到墙面。她站在黑板旁边，先写下三个分支：飞行安全事件、任务失败、试验数据无效。沈则看着那三行，立刻问：“载荷坏了，飞机还能飞回来，算不算任务失败？”
“如果任务目标是拿到巡检数据，载荷坏了就是任务失败。”陈砚舟在第一行后面补上说明，“但它不等于飞行安全事件。三种结果要分开记录，否则复盘时所有问题都会被一句‘飞机回来了’盖过去。” 许知夏点头：“地面站记录也要能分辨这三个状态。飞行安全优先级最高，任务失败可以接受，数据无效要追查原因。” 沈则抱着手臂：“你们这样写，最后一架飞机可能没摔，报告却先摔了。” “报告摔了还能重写，飞机摔了要先问谁承担。”陈砚舟把粉笔递给他，“结构分支，你来拆。”
沈则接过粉笔，先写下机翼折断，犹豫后又补上连接松脱、载荷安装偏心、起落架损坏和快拆件失效。陈砚舟没有立刻评价，而是把每个底层事件都加上同样的三个问题：怎么检测、怎么处置、谁负责。 “机翼折断怎么检测？” “目测。” “谁目测？装配完成后还是起飞前？检查结果记在哪里？”
沈则卡住了。学生项目里一句“加强检查”很容易写，真正执行时却要知道检查人、检查时机、判定标准、记录位置和异常处理。沈则看着黑板上被拆开的五个问题，慢慢把“装配检查表”写到结构分支下面。 “连接松脱呢？” “按扭矩检查，做轻微振动后的复检。” “扭矩标准从哪儿来？” “按材料和连接件规格查手册，再通过样件验证。” “载荷重量没冻结怎么办？” 沈则终于反应过来：“结构方案只能按包络做，不能按一个理想重量算死。”
陈砚舟点头，在黑板上写下“接口未冻结”。结构设计不是一个漂亮外壳，它要把飞控、电池、载荷和线束一起带上天，再把它们带回地面。任何一项重量、重心和固定方式发生变化，都可能把原来的试验结论推翻。
许知夏接过粉笔，开始拆飞控分支。她没有从灾难词写起，先列传感器异常、执行机构异常、控制律不适配和任务指令冲突，随后在旁边加上电源掉压、时间戳错位和地面站版本不一致。
陈砚舟看见“时间戳错位”几个字，指尖在桌面上停了一下。C—939事故最后那几分钟像一根藏在记忆深处的刺，供电、时间同步、反馈和自动修正最终连成了事故链。他没有把那段经历说出来，只把统一时间源和日志同步字段写到飞控分支底部。 许知夏抬头：“飞控板、地面站和载荷各自有时间，全部对齐会增加工作量。” “增加。” “本科项目可能用不上这么细。” “摔机复盘用得上。”
两人隔着一排课桌对视。许知夏没有被他的语气压住，低头在接口草案上增加了时间同步字段：“第一版不保证精度很高，至少要保证记录可以对齐。” “够了。”陈砚舟说，“先把能复盘的骨架留下。”
任务载荷下面很快出现摄像头断电、云台卡滞、存储失败和图像时间戳缺失。数据无效下面则有航线偏离、姿态超限、传感器漂移和地面站丢包。每个底层事件后面都必须接检测方法、处置策略和责任人，黑板空间不够，沈则只好把桌面上的白纸也铺开。 “载荷坏了要不要返航？”许知夏问。
“先看飞行安全和剩余任务阶段。”陈砚舟说，“载荷故障不得影响飞控，任务失败可以记录；如果故障会影响供电、重心或结构，就进入安全策略。” “如果地面站还在提示继续任务？” “飞行器端的失效保护优先。地面站只能给任务建议，不能在链路异常时强行覆盖机上保护。”
许知夏点了点头，把这条写到系统边界里。她发现陈砚舟在每个功能旁边都先写了“谁可以决定停止”，这和普通的毕业设计很不一样。普通方案喜欢列功能，工程方案必须先列责任。 凌晨一点，沈则已经趴在桌上，半边脸压着结构图：“我现在相信你真想造飞机了。因为飞机还没造，我已经感觉自己被飞机造了一遍。”
许知夏揉了揉眉心。她习惯算法推导和仿真曲线，不习惯把装配检查、数据归档、失败判据和责任签字一项项摊出来。这些工作不漂亮，也不适合放在答辩展示的第一页，却让项目第一次像一个真正能被别人接手的东西。
陈砚舟拍下黑板，按编号把内容录入电脑。未来窗口在他眼前短暂展开，几分钟后，沈则会把一张结构包络表放错版本，许知夏会在飞控接口里漏掉一个电压字段。他提前伸手，把两份文件分别压住。 “结构包络用最终版，别拿下午那份。” 沈则愣了愣：“你怎么知道我拿错了？” “文件名看见的。”
沈则低头看文件名，确实有两个几乎相同的版本，没再追问。陈砚舟没有依赖窗口替他完成工作，只用它减少眼前一处小错，然后仍然把版本编号、修改人和修改原因写入记录。 系统界面悄然浮出。 【检测到工程闭环雏形：故障树、接口责任、验证路径。】 【低空无人机最小验证包解锁：故障树样例可参照。】
文件夹出现在电脑桌面，里面只有顶事件定义、底事件编号、验证矩阵和问题关闭记录的目录。陈砚舟打开其中一份样例，内容并不超前，甚至比他前世用过的主机厂模板简单得多，价值在于它把每一个问题都逼回“谁知道、谁确认、谁关闭”。
他把样例当作参考，按自己的项目重新编号。系统可以给出方法，不能替他们理解载荷、焊点和飞控接口，也不能替他们承担数据不合格后的返工。故障树真正的价值也不在于把风险列得越多越好，而在于让每一个风险都有下一步动作：谁去复现，谁保留样件，谁决定停止，谁在确认关闭后修改版本。对现在只有三个人的临时团队来说，这些动作显得笨重，却能让他们在意见不一致时回到同一张表上，避免争论变成比谁声音更大的比赛。
“明早八点，分头干。”陈砚舟关掉投影，“沈则出结构包络和装配检查表，许知夏出飞控接口和异常状态机，我写总需求、采购明细和验证矩阵。” 沈则抬头：“八点是明天早上？” “现在已经是今天。” “那我还能睡几个小时？” “取决于你走路速度。” 沈则悲愤地收拾书包：“我现在退出还来得及吗？” 许知夏淡淡道：“你的名字已经在责任表里了。” 沈则回头看黑板，果然在“结构连接失效”后面看见了自己的名字：“我讨厌责任制。”
三人关灯离开。走到楼梯口时，陈砚舟的手机震了一下，是白天询价的供应商发来的短信：传感器和通信模块价格高于学生预算，交期延后，高配模块现货优先供企业客户，学生项目建议选择低配套装。 沈则凑过来看完，脸色立刻垮了：“这不就是看我们没公司、没订单、没信用？” 许知夏皱眉：“低配模块能不能完成验证？”
陈砚舟没有马上回答。他很清楚低配件也可能让飞机飞起来，甚至拍出一段不错的视频，但如果数据源不稳定、批次没有记录，后面的所有漂亮结论都会失去依据。钱可以让他们暂时选择少买几块板，不能让他们降低飞行安全和数据有效性的底线。 “明天去谈。”他说。 “拿什么谈？”沈则问。 “拿第一批现款、后续订单预期和他们听得懂的风险。谈不下来就换供应商，底线不能换。”
许知夏看了一眼身后的黑板。第一张故障树还留在墙上，顶端的“任务失败”比其他字都大。她忽然明白，陈砚舟坚持写这些内容，目的在于让他们真正接受工程的约束，报告只是留下这种约束的载体。楼道窗外，北航校园安静得像一张还没有落笔的图纸。故障树画完了，第一条供应链裂缝也跟着出现。它提醒三个人，工程底线写在黑板上还不够，下一步要在采购、装配和测试现场把这些字真正执行出来。
