這節(jié)課我們面對的問題是，怎么運行一個超大項目。

我們先來界定一下，我們這節(jié)課講的超大項目，符合哪幾個特征：

第一，超大規(guī)模，牽涉的人員多，領(lǐng)域廣，沒有一個人能知道和理解所有的事。

第二，唯一性，它即便跟別的項目相似，你也沒有辦法完全復(fù)制之前的經(jīng)驗。

第三，復(fù)雜性，復(fù)雜導(dǎo)致意外情況出現(xiàn)的概率大大增加，而且運行過程中一旦出現(xiàn)嚴(yán)重失控，后果不可逆，損失巨大。

從建造一個國際空間站，到做一場大型戶外電視直播，或者是調(diào)整一家公司的組織架構(gòu)，都可以算是我們說的超大項目。

在你的職業(yè)生涯和生活里，如果有機會，我強烈建議你要主動去組織一個超大項目，或者參與這樣的項目。為什么？因為一個項目足夠大，才能夠集成更多的資源、發(fā)生更加復(fù)雜的分工協(xié)作，這樣，項目的護城河也才更寬，你在這個過程中建立的認(rèn)知和能力才格外稀缺。

請注意，超大項目是相對于你的能力和資源而言，對于一個剛畢業(yè)的大學(xué)生，操辦一場公司年會也是超大項目。

所以，超大項目不見得是辦奧運會這樣規(guī)模的事。如果一個項目需要你調(diào)動多方資源，同時建立起多個協(xié)作系統(tǒng)，它對你來說，就是一個超大項目。

今天我們要拿來跟你講的案例，是核電站。在世界上的所有工程里，核電站絕對是最大、最復(fù)雜的項目之一。要建設(shè)一個核電站，光是涉及的專業(yè)就有60多個，設(shè)計隊伍會達到好幾千人，設(shè)計文件就至少會產(chǎn)生10萬份。

我們?nèi)ゲ稍L了國內(nèi)某核電工程設(shè)計院的總體設(shè)計工程師，余斌。因為工作的敏感性，我們不能透露他的具體工作單位。但是，他所積累的那套跟超大復(fù)雜系統(tǒng)打交道的寶貴經(jīng)驗，我們幫你挖出來了，并且把它們總結(jié)成了一套方法，在這節(jié)課里，分享給你。

這節(jié)課是由核電站總體設(shè)計工程師余斌和我一起研發(fā)的，下面就由我本人來給你講。

核電站到底有多復(fù)雜

在一開始，我們先介紹一下核電站大致的工作原理，這不是為了做科普，而是幫你理解，核電站的復(fù)雜性到底在哪里。

簡單說，核能發(fā)電，就是通過核裂變產(chǎn)生熱能，吸收了熱能的水推動汽輪機做功，然后再帶動發(fā)電機發(fā)電，也就是把熱能最終轉(zhuǎn)化為電能。這個過程，你可以理解為，就像是一個鍋爐燒水的過程。它的原理，跟火電差不多，最后都是把熱能轉(zhuǎn)化成電能。

但是你要注意了，核電站的復(fù)雜性，就在熱能的來源是核燃料。

首先，核燃料有放射性，那么流經(jīng)反應(yīng)堆的水就帶有放射性，不能直接進入汽輪機，所以核電站比普通電廠多了一套復(fù)雜的動力回路系統(tǒng)。

另外，就是最重要的安全問題。核反應(yīng)堆的燃料塊，每一個大概就是孩子用的橡皮那么大，圓柱形的。若干個燃料塊摞在一起，大概有3、4米長，外面包裹上一層鋯合金外殼。這里解釋一下，鋯合金是一種耐高溫、耐高壓、耐腐蝕性都非常好的材料，被鋯合金包裹起來的這個東西，就是我們說的燃料棒。整個反應(yīng)堆，就是由這樣一根根的燃料棒組成。你可以把它想象成燒水壺里的熱得快。

在燃料棒外面，是高溫高壓的循環(huán)水，這是發(fā)電的必要條件，也是安全的必要條件。無論什么情況，都不能斷水，如果水位下降，燃料棒裸露，不能冷卻，就會發(fā)生堆芯熔化，燃料棒就會熔化為一個不規(guī)則的球體，這個球體的體積會越來越大，到了一定程度，就沒辦法冷卻了。反應(yīng)堆外面還有一層保護，就是混凝土安全殼。但是，如果不能及時冷卻，堆芯熔穿這個安全殼，就會導(dǎo)致嚴(yán)重的核泄漏事故。

說到這里，你應(yīng)該能理解，核電站之所以是個超大項目，不只在于它投資高、周期長，還有一個原因，就是它對安全性的要求非常高。做這樣的項目，你就不能想著一邊干，一邊學(xué)，在運行中發(fā)現(xiàn)問題，再去解決問題。而是在設(shè)計階段就盡可能把各種因素考慮進去，這就導(dǎo)致這個系統(tǒng)必然非常復(fù)雜。

人們可以原諒科學(xué)家搞不出發(fā)明，但無法原諒工程師錯判了未來。

模塊化

好，我們已經(jīng)知道了核電站大概是怎么一回事了。接下來，我們先來討論一個問題：這么大一個核電站，究竟是怎么造出來的？

一個核電站，包括400多個系統(tǒng)，光是閥門，就超過1萬個，管道長度超過6萬米，所有的零部件來自幾千家供應(yīng)商。

其實，不只是核電站，幾乎所有工程領(lǐng)域都是這樣。比如說，能裝下500名乘客的空客A380，由超過400萬個獨立零部件組成，這些零件在30個國家的1500家公司生產(chǎn)。

再拿我們熟悉的手機來說，零件數(shù)量沒那么多，但復(fù)雜度一點都不低。如果問一個手機制造商，一臺手機是怎么制造出來的？他能告訴你的，可能只是幾個模塊怎么拼接在一起。但如果你要問他，華為手機芯片集成了69億顆晶體管，技術(shù)是怎么實現(xiàn)的？他一定會告訴你，這個問題啊，你只能去問芯片設(shè)計工程師。

這也就是說，因為工程項目的龐大，每一個參與者，只能生存在某個模塊的層面上，只能掌握整個項目其中一個部分的內(nèi)在規(guī)律。沒有誰能吃透整個項目所有的細(xì)節(jié)。

其實， 當(dāng)一個項目大到一定程度，你要想把它做成，靠的一定是模塊化的工作方法，把項目拆成一個個模塊，分而治之，利用人類的分工協(xié)作網(wǎng)絡(luò)來解決每個局部任務(wù)，直到完成整個項目。

那么，到底什么才能叫“模塊”呢？你可以把它理解成“有成熟的解決方案的局部”。在工程領(lǐng)域，一個技術(shù)方案如果被驗證有效，它就成為了一個模塊。

我們其實可以把建造一個核電站這樣的大項目，簡單地理解成為搭積木，底層的標(biāo)準(zhǔn)工業(yè)產(chǎn)品、成熟解決方案，就是這些積木。一個核電總體設(shè)計工程師，他的工作，不是去研發(fā)和創(chuàng)造積木，而是去找到合適的積木，然后把這些積木拼接起來，實現(xiàn)核電站需要的功能。

對核電站這種對安全性要求很高的項目來說，這種模塊化的工作方式，還衍生出來兩條心法：

第一個心法，是能用成熟方案就優(yōu)先采用成熟方案。

要干成一個超大規(guī)模項目，其中最核心的模塊，要盡可能采用已經(jīng)定型的技術(shù)方案。比如，核電站里面涉及到核安全的模塊，就盡量采用成熟方案，因為試錯的成本實在太高了，而且模塊之間牽一發(fā)而動全身，一個模塊變了，還會影響其他模塊。

注意，工程師并不是反對創(chuàng)新，如果有了新的設(shè)計思路，而且經(jīng)過充分的安全計算和有效驗證，當(dāng)然可以采用。另外，創(chuàng)新可以先從輔助系統(tǒng)展開，比如現(xiàn)在的核電站在設(shè)計階段，都在考慮引入工業(yè)傳感器，來監(jiān)控設(shè)備的運行狀態(tài)，這對整個系統(tǒng)的效率提升非常有價值，而風(fēng)險卻很低。

第二個心法，是能分解的功能就不要重合。

很多產(chǎn)品，會追求在一個模塊上集成更多的功能，比如手機外殼，既要防水性能好，還要保證信號好。但這是民用產(chǎn)品，它追求的是用戶體驗的完美。而核電站就要反其道而行之，能拆開的功能就拆開，把有難度的問題拆分成多個容易處理的問題，目的就是為了充分利用現(xiàn)有的成熟技術(shù)。

舉個例子，反應(yīng)堆外面的混凝土安全殼。它的功能是主要為了防止內(nèi)部核廢料泄露。后來有了新的安全要求，安全殼還要防止大型物體從外部的撞擊。這就帶來一個難題，原來的設(shè)計主要應(yīng)對內(nèi)部壓力，新設(shè)計還要應(yīng)對外部傷害，這兩個功能需要承受的力的方向是相反的，要設(shè)計出一個安全殼，同時完成兩個功能，難度很大，成本也很高。

那么工程師的解決辦法，就是干脆把功能分解，做兩個殼就妥了：內(nèi)層殼負(fù)責(zé)防止氣體泄露，把氣密性做好。外層殼負(fù)責(zé)防撞，把堅固性做好。這樣的做法，解決了技術(shù)上暫時無法突破的難題，還降低了成本。

這種利用工程知識庫中的現(xiàn)有的功能組件，盡快搭建出合理可行的解決方案的能力，可以說是總工程師的核心能力。

所以，當(dāng)你面對一個超大項目的操作，可以先去考慮一下，這里面有哪些局部，是已經(jīng)有成熟解決方案的。 一個解決方案如果被驗證有效，它就成為了一個模塊，你可以直接把它嵌入到你的整體方案中，它可以幫你簡化設(shè)計過程，降低項目的整體風(fēng)險。

面對未知，如何解決問題

模塊化是個很好的方法，但是，還不能解決所有問題。在核電站這樣的項目中，還有一個難題，就是不可知性。

比如，有些場景你不能現(xiàn)實模擬。你總不能說：我們來搞一次真實的核燃料泄露，來驗證一下我們應(yīng)對災(zāi)害的手段是不是奏效吧。

再比如，有些復(fù)雜你無法判斷。復(fù)雜系統(tǒng)是非線性的，像是一張網(wǎng)。系統(tǒng)的各個部分相互作用的方式很隱蔽，哪些地方會出錯，出錯了會導(dǎo)致什么后果，都不可能準(zhǔn)確預(yù)測。在核電站控制室，有5000多個故障報警燈，一個燈亮了，背后的故障原因都很難一下子判定，要是多個燈同時報警，出現(xiàn)疊加故障，這個數(shù)量級就會超出任何人的識別能力。

還有更麻煩的情況，可以稱之為“有些原理你不知道”。

比如，核電工程師一直都要面臨一個難題：湍流。就是“水流湍急”的那兩個字，著名物理學(xué)家費曼，把湍流形容為“物理學(xué)中最重要的未解問題”。一座核電站里，有幾萬米長的管道，液體的流速、在管道拐彎地方形成的漩渦，這些參數(shù)在每一座核電站都不一樣。湍流跟能量轉(zhuǎn)換的效率，還有反應(yīng)堆的冷卻效果，都有關(guān)系。但這么重要的參數(shù)，現(xiàn)在還沒有確定的數(shù)學(xué)模型來精確計算。

但是，就算無法弄清事物的內(nèi)在發(fā)生機制，總工程師依然有一套方法去處理問題，實現(xiàn)目標(biāo)。這種能力，你可以把它稱之為 結(jié)構(gòu)化的想象力 。

這種能力，有點類似建筑設(shè)計師，要把那么多材料、圖形、色彩，在頭腦中組合出一個模型，還要充分考慮到跟周圍環(huán)境相協(xié)調(diào)。這種能力還有點像雕塑家，比如米開朗基羅，他面對一塊大理石，就能想象出來最終作品的樣子，接下來的事情，只是一錘錘鑿掉那些不需要的部分。

這是一種藝術(shù)能力，看似無法表述，但是也不是無跡可尋。舉個小例子，你就可以隱約地窺見結(jié)構(gòu)化想象力在核電工程里面的用法。

前面說過核電廠有5000多個故障報警燈，可能會出現(xiàn)的單一和疊加報警，有成千上萬種，再優(yōu)秀的工程師，也不可能了解所有的原因。但是，他可以依靠對整體結(jié)構(gòu)的理解，盯住主要矛盾，讓處理問題的復(fù)雜度指數(shù)級下降。

具體的方法，就是先別想著向后找原因，而是向前看，先處理出現(xiàn)的癥狀。比如，幾個燈同時亮了，提示管道的溫度和壓力下降，究竟為什么？暫時不知道。但是，它導(dǎo)致的后果，是能夠預(yù)料的，這種情況下，最優(yōu)先的處理方案可能是往鍋爐補水，確保安全運行不出問題。至于現(xiàn)象背后的原因，這是一個漫長的鏈條，可以留在以后去探尋。

這種方法，在很多工作中都能用得上。比如你組織一個年會，結(jié)果有兩個人早上排練沒到，你是去追究他們?yōu)樯稕]到呢？還是先拉兩個人頂上再說？自然是先找人頂上。前提是你能預(yù)料到這類事情可能發(fā)生，提前有準(zhǔn)備。

結(jié)構(gòu)化的想象力，是運行超大項目最重要的方法之一。在面對各種不確定的情況下，確保項目正常運行，需要我們建立對復(fù)雜系統(tǒng)整體的理解，也需要我們有總工程師一樣豐富的實踐經(jīng)驗。

越復(fù)雜，越脆弱

好，前面我們說的是怎么面對不確定性，但是每個超大項目，都會有一個不能被擊穿的底線，我們很難承受在底線這個問題上面臨不確定性帶來的風(fēng)險。比如，奧運會開幕式，不能延期；一個品牌的擴張，不能耗盡企業(yè)的最后一點現(xiàn)金；核電站的底線，就是不能發(fā)生核泄漏事故。

在工程上，保證安全一個通用的辦法，就是留出冗余。比如電梯標(biāo)出最大承載1500公斤，那么它的安全極限肯定是要高于這個數(shù)字。

核電站當(dāng)然也在使用留出冗余的方法。比如，反應(yīng)堆保護系統(tǒng)里有一個溫度壓力測量表，這個表顯示的數(shù)值，跟安全非常有關(guān)系。如果溫度壓力異常，系統(tǒng)可能會停止反應(yīng)堆工作，停止發(fā)電。

好，這么重要，如果只有一塊表，沒有備份肯定不行。那么兩塊呢？也不行，為什么？你想，如果一塊表讀數(shù)異常，而另一塊正常，你聽誰的呢？工程師設(shè)計出的冗余是四塊。那四塊表同時發(fā)生故障的概率就很低。如果出現(xiàn)報警信號，采用四取二的原則——四個里面有兩個讀數(shù)異常，就要采取措施。

但是，你很可能已經(jīng)發(fā)現(xiàn)這里面有個矛盾。建核電站的目的是發(fā)電，這是一個經(jīng)濟目標(biāo)，如果我們讓核電站的安全系統(tǒng)，都加上多重冗余，整個投資會增加數(shù)十倍，那么還有必要建核電站嗎？所以，靠不斷增加冗余來解決安全問題，似乎不是個好辦法。

還有一點，不是很容易想到：即使不考慮經(jīng)濟問題，冗余做得越多，意味著這個系統(tǒng)越復(fù)雜，這就會帶來新的不確定性，系統(tǒng)就會變得越脆弱，安全隱患就越多。

這可不是我們的無端猜測，法國就曾經(jīng)設(shè)計了一個超級冗余的核反應(yīng)堆方案，配置了4個安全系統(tǒng)。但這樣一來，整體造價就高了。為了平衡預(yù)算，它就提高了的單機功率，增大了堆芯體積，但是這樣一來，萬一發(fā)生堆芯熔毀，就意味著更大的危險。你看，為了安全加冗余，但最后冗余帶來了新的安全問題，抵消掉了安全系統(tǒng)的作用。所以，這個方案出來很多年，很難賣出去。

這個時候，杰出的工程師，拿出了非常開腦洞的方案。既然加冗余帶來新問題，那么就反其道而行之， 簡化系統(tǒng)的復(fù)雜性 。

美國一家公司近年來提出了一個全新的核電站施工方案，業(yè)內(nèi)叫AP1000，這個方案就體現(xiàn)了這種思想，非常精彩。

前面說過，核電站最怕斷水，冷卻水要是漏了，堆芯就可能裸露熔毀。為了應(yīng)對這一情況，多數(shù)核電站都使用了備用水泵，而且是雙重備份，一旦出現(xiàn)意外，就及時把冷卻水灌注進去。但是這里面有一個bug，就是水泵本身是需要電力的，設(shè)想一下，如果發(fā)生地震海嘯這樣的嚴(yán)重事故，導(dǎo)致電力全部中斷，那備用水泵就不起作用了。

AP1000采用的方法是，我不要電力了行不行？不要備份的水泵行不行？它的設(shè)計方案，是把兩個大水箱放在反應(yīng)堆上面，一旦出現(xiàn)意外，水箱的氣動閥門打開，水自然而然由于重力作用流下來，而那個氣動閥門，只需要普通電池提供電力就可以。你看，這個解決方案的精妙，就在于把安全交給了基礎(chǔ)的物理規(guī)律，這就比任何系統(tǒng)都可靠。

所以，當(dāng)你有機會去運行一個超大項目，你同樣應(yīng)該考慮的是，它本來就必然這么復(fù)雜嗎？有沒有可能對這個超大項目的運作機制本身去做改造、去做減法？有沒有可能依托現(xiàn)有的資源、依托最基礎(chǔ)可靠的方法，尋找解決方案？

總結(jié)

好，關(guān)于怎么運行一個超大項目，我們通過核電站的例子，分享了總工程師處理問題的三種能力，為了方便你記憶，我們把它概括為三個力：

第一，拆解力，盡可能使用成熟的模塊來解決復(fù)雜系統(tǒng)的問題，把期望變成可行。

第二，想象力，面對不確定性，能預(yù)判出項目潛在的結(jié)構(gòu)，進而找到解決問題的方案。

第三，化約力，一味地加冗余，可能會帶來新的復(fù)雜性，嘗試去簡化復(fù)雜系統(tǒng)，更基礎(chǔ)的原理，也可能是更有效的方法。

總工程師思維的內(nèi)容，遠遠不止上面講到的這些。在你的行業(yè)里，有哪些運行超大項目的經(jīng)驗和方法？歡迎你留言與我們分享。

答疑

得到高研院第一期的馬宇在學(xué)習(xí)這節(jié)課后，提出了一個問題：

本課主要描述了核電站設(shè)計階段的工作，并總結(jié)相關(guān)經(jīng)驗，得到結(jié)論。課程標(biāo)題為：“總工程師：怎么運行一個超大項目”，是否改為：“總設(shè)計師：怎么設(shè)計一個超復(fù)雜產(chǎn)品”更加準(zhǔn)確。

教研長鹿宇明的回復(fù)是：

您提的有道理，參與課件設(shè)計的核電專家，確實是總體設(shè)計工程師，我們在討論這個題目的時候，也確實想過“設(shè)計”是否更合適。最后，我們還是覺得“運行”好一些，主要有兩個理由：

1.這一講主要是構(gòu)建總工程師思維，設(shè)計是其中一個思考界面，但“運行”能涵蓋更多元的思考維度，我們強調(diào)的是在“設(shè)計”階段，設(shè)計工程師要有俯瞰項目整體運行的“上帝視角”；

2.“設(shè)計”一詞，可能會引起另一個想象——這一課要講跟創(chuàng)意有關(guān)的事，但其實這不是我們的初衷，核電設(shè)計一般不會天馬行空，設(shè)計師的立足點，要著眼于未來系統(tǒng)的安全運行、穩(wěn)定的價值輸出。

所以，可能“運行”也不是一個完美的選擇，但相較于“設(shè)計”，我們認(rèn)為它更貼合要達到的目標(biāo)。我們也再想想這個事情，如果有更合適的方案，會考慮迭代。

標(biāo)簽：