芒格原话
第一手出处 · 逐字引文"All I want to know is where I'm going to die so I'll never go there."（"我只想知道我会死在哪里，这样我就永远不去那个地方。"，中文转述）
查理·芒格（本页引文出自芒格第一手出处）
原典解读
忠于原典 · 卡片化定义：故障模式分析（FMEA）——工程学贡献的思维模型，专治“侥幸心理”。核心动作就一句：在事前系统性地回答“什么可能出错、出错了会怎样”。
核心论述：为什么工程师比投资人更懂风险？因为 1940 年代末美国军方发明 FMEA 时，面对的是“炸了就死人”的场景，逼出了一套笨办法：①把每个零件、每个环节可能栽的方式穷举出来；②每种栽法后果多严重；③每种栽法概率多高；④现有检测靠不靠谱。最要命的是第四步——“沉默型”故障灾难前零征兆，纸面风险低得骗人，真实风险高得吓人。四步乘出一个 RPN（风险优先数）= 严重性 × 概率 × 不可检测性，RPN 最高的先处理。NASA 和汽车工业后来把它发扬光大。它的魔力不在公式，在认知转换：把“担心出事”的模糊焦虑，压成一张具体、可执行的清单。
推导：FMEA 和芒格“死在哪里”是同一枚硬币——工程师问“哪个零件会炸”，芒格问“什么会杀死这家企业”。问法一转，被动担心变主动排查。这是 L2 挑战者号的理论地基：工程师其实做过 FMEA，但组织把它架空了。
定义：芒格的“杀死这家企业”实验（页面 §03）——FMEA 的投资版：先假设企业会死，再倒查死因。
核心论述：芒格为什么长期绕开科技股？因为 FMEA 一跑，科技股的“技术颠覆”项直接爆表——核心技术五到十年内被连根拔起的概率高且不可预测。反观可口可乐、See's Candies、BNSF 铁路，这项风险接近零。完整的“杀死企业”检查有四项：技术颠覆（会被替代吗）、监管毁灭（一纸法规能让商业模式归零吗，烟草是前车）、管理层道德（薪酬在奖励短期行为吗——“给我看激励机制，我就能告诉你结果”）、资产负债表（一次衰退、大客户流失、一场官司会断资金链吗）。芒格最不能忍的是最后一项，因为破产不可逆。逻辑和正式 FMEA 同源：不问“最可能发生什么”，问“最惨会发生什么”，按严重性×概率×不可检测性排优先级。
推导：四项的权重是“3+1”——前三项决定赚多赚少，最后一项决定生死。芒格把最不能忍的放最后讲，不是它不重要，而是它是底线：底线问题，一票否决。
推导2：注意“杀死企业”实验的心理学价值——人脑天生乐观，让人列“成功因素”会越列越嗨，让人列“死因”才会冷静。FMEA 不是悲观，是用“向死而生”骗过大脑的乐观偏误。
定义：FMEA 的能力圈（页面 §04 评价性内容）——先讲它哪里会失灵。
核心论述：第一，别指望它抓“黑天鹅”——低概率、高冲击、事前不可预见的事件是 FMEA 的盲区。2008 年华尔街模型对系统性崩溃失明，因为模型假设风险各自独立，现实高度勾连；它对已知风险火眼金睛，对未知风险近视。第二，别事事用——为买杯咖啡做 FMEA，这辈子别想干成事；它只配给后果严重且不可逆的决策，否则就是分析瘫痪。第三，别信它的数字——RPN 看似精确，底下的严重性、概率、可检测性全是主观判断；芒格拿它当思维纪律，从不搞成打分系统。第四，别逐项单挑——标准 FMEA 一次看一项，但最致命的灾难往往是多个小故障组队（Charles Perrow 的“正常事故”）。
推导：四个边界合成一句话——FMEA 是“探照灯”不是“水晶球”：照得见已知暗礁，照不见未知海域；用它来 disciplined 地思考，别用它假装精确。知道何时不用，比知道何时用更重要。
"反过来想，总是反过来想。"（Invert, always invert.）
"对于一项成功的技术而言，现实必须优先于公共关系，因为大自然是不可能被欺骗的。"（For a successful technology, reality must take precedence over public relations, for Nature cannot be fooled.）
场景：下重注之前，先走一遍这个流程（§05“在投资决策中”）。
步骤：1. 先列“致死清单”——写出至少五种让这笔投资永久性归零的路径（不是股价短期下跌那种可逆风险）；列不出来，说明你对这笔投资的理解还不够深；2. 再分“受伤”和“致死”——股价腰斩是疼但能活，永久性资本损失是死了，把火力集中在后者；3. 最后盯“沉默型”——爆发前零预警的风险（比如会计造假），比报表上能看见的风险危险得多。
避坑：别把 FMEA 做成打分表——芒格拿它当思维纪律，不当计算器。
推导：三步的顺序是“先穷尽、再分类、后聚焦”——穷尽防漏，分类防错配火力，聚焦防被沉默型偷袭。多数人只做第一步，漏掉了后两步的精度。
推导2：注意“致死清单”的数量要求——至少五种。为什么是五不是三？因为大脑在第三个之后就开始偷懒，逼到第五个才能挖出真正的盲区。数量是质量的保证。
场景：人生大事、职业转折点上用（§05“在职业和人生决策中”）。
步骤：1. 先做“事前验尸”——Gary Klein（心理学家）的方法：假设这个决策已经搞砸了，倒推它最可能是怎么死的；换个时间视角，大脑找风险的能力会显著提升；2. 再查生活中的“O 型环”——有没有什么东西你明知在退化，却因为“到现在还没出事”就假装看不见？健康的小毛病、关系的裂痕、技能的过时——都是生活里的 O 型环。
避坑：别让“过度分析”本身变成故障——FMEA 只配给大事，琐事上纠结就是另一种故障模式。
推导：“事前验尸”和“O 型环”是同一枚硬币的两面——前者看未来（还没发生的失败），后者看现在（正在发生的退化）。一前一后，把“时间盲区”堵死。
场景：手头有重要决策，动手前过一遍（页面 §09“实践检查清单”）。
步骤：1. 沉默型扫描——有没有爆发前零预警的风险？给了额外关注吗？2. 致死路径——能不能列出至少五种通往灾难性失败的具体路径？3. 可逆性分类——哪些风险只是“疼”（可恢复）、哪些是“死”（不可逆）？4. 偏差正常化——有没有异常信号因为“之前也没出事”就被当成了正常？5. 事前验尸——假设一年后证明决策失败，最可能死在哪？6. 火力匹配——FMEA 式的深度分析，有没有留给真正重大的决策，而非耗在鸡毛蒜皮上？
避坑：页面未单独列出避坑项。
推导：六项调过顺序——把最容易漏的“沉默型”放第一（挑战者号的教训），把“火力匹配”放最后（防分析瘫痪）。中间四项是标准动作。顺序即优先级。
扩展阅读
真实案例 · 与 L1 隔离挑战者号——已知故障模式被架空 历史事件
偏差正常化——组织如何压制 FMEA 的结论 历史事件
跨模型互见——关联模型节 9 条链接 跨模型互见
“我只想知道我会死在哪里”（页面 §06 评价性内容）FMEA 的本质不是悲观，而是一种硬核的乐观——它相信多数灾难可防，前提是你肯在事前直面它们。挑战者号的七名宇航员不是死于意外，而是死于已知风险被组织性地压制。芒格一生做的，就是拒绝这种压制：“我只想知道我会死在哪里”——潜台词是：多数人其实不想知道，因为知道了就得面对不舒服的现实；但不想知道，不等于不会死在那里。O 型环不关心你的感受，物理定律不参加你的投票。真正的智慧不是预测未来会发生什么，而是诚实面对未来可能发生什么——然后要么远离那个地方，要么为它做好准备。推导：这套思维最狠的用法是“组织化”——个人做 FMEA 防的是自己的盲区，组织做 FMEA 防的是“偏差正常化”。挑战者号的教训不是工程师不聪明，而是组织让聪明人的警告失效。所以关键问题不是“你做了 FMEA 吗”，而是“你的组织允许 FMEA 的结论推翻进度吗”？北京看政策红线、深圳看供应链断点、硅谷看技术范式转移——三地是三张不同的“死亡地图”：政策一纸令下商业模式归零（监管毁灭），供应链单点断裂全线停摆（单点故障），范式转移时旧船票作废（技术颠覆）。一张地图都不画，就等于闭眼开车。
反直觉与边界（页面 §04 评价性内容）FMEA 对已知风险火眼金睛，对“黑天鹅”式未知风险近视；事事做完整分析会瘫痪——这工具只配给后果严重且不可逆的决策；RPN 的精确数字底下全是主观判断，芒格拿它当思维纪律不当打分系统；标准流程逐项单挑，防不住多个小故障组队搞出的“正常事故”。推导：四个边界其实在回答同一个问题——“什么时候不用 FMEA”：未知风险用冗余和期权对付（黑天鹅防不住，只能扛得住），小事用直觉和清单对付（别拿牛刀杀鸡），数字用纪律对付（精确是幻觉），交互风险用系统思维对付（别只盯单点）。知道不用，比知道用更重要。