“火星之眼”交付后，苏清颜难得有了几天喘息的时间。她给自己放了两天假，在家睡了整整一天，又拉着林默去郊外的温泉泡了半天。林默泡在温泉里，闭着眼睛，脑子里还在转着天问三号导航系统的参数。苏清颜用脚趾踢了他一下。“别想了。放松。”
“放松不了。火星着陆的导航精度要求太高了。8米，在地球上很容易，在火星上很难。”
“为什么？”
“因为火星的大气密度只有地球的1%，减速效果差。降落伞的尺寸要比地球大好几倍。而且火星表面地形复杂，到处都是陨石坑和斜坡。8米的精度，稍微偏一点就可能掉进坑里。”
苏清颜沉默了一会儿。“你太焦虑了。你的导航系统已经测试了无数次，精度稳定在8米以内。相信自己的设计。”
林默睁开眼睛，看着她。“苏清颜，你知道吗？我每次做新项目，都会有一个阶段——怀疑自己。怀疑自己的设计能不能行，怀疑自己的方案是不是最优的，怀疑自己是不是漏掉了什么。”
“以前没听你说过。”
“因为以前不说。现在说了。”
“为什么现在说？”
“因为现在有你在旁边。说出来，心里好受一点。”
苏清颜握住他的手。“以后每次怀疑，就跟我说。我不一定能帮你解决问题，但可以听你说。”
林默点了点头。
温泉回来后，林默继续投入到导航系统的优化中。他总觉得自己漏掉了什么，但又说不清楚。他让周明重新跑了一遍火星着陆的仿真，结果和之前一样——着陆误差8米，成功概率99.2%。他又让方远检查了一遍硬件，没有问题。让赵宇检查了一遍软件，也没有问题。
“林工，你太紧张了。”周明说，“99.2%的成功概率，已经很高了。航天项目的成功概率能做到95%就算优秀。”
“那0.8%的失败概率，是什么场景？”
周明调出仿真数据。“主要是几种极端情况。比如大气密度异常，比正常值低20%以上，降落伞减速不够，着陆速度偏高。比如地形匹配失败，导航系统找不到预设的地标，切换到纯惯性导航，误差累积。比如传感器故障，某个关键传感器失效，系统降级运行。”
林默看着那些极端场景，脑子里突然闪过一个念头。“如果大气密度异常，同时地形匹配失败，同时某个传感器故障——这种情况，成功概率多少？”
周明愣了一下。“那种情况概率极低，几十万分之一。”
“但可能发生。仿真一下。”
周明设定了组合故障场景——大气密度比正常值低20%，地形匹配失败，一个陀螺仪漂移超差。运行仿真。着陆误差——150米。
林默盯着那个数字，沉默了。“150米，是设计值100米的1.5倍。”
“150米。”周明重复了一遍，“但这种情况发生的概率极低。”
“不是概率的问题。是万一发生了，我们的导航系统能不能应付。”
林默调出了火星表面的高分辨率地形图，在着陆区附近寻找。着陆区选在火星北半球的一处平原，地形相对平坦。但在150米的范围内，有几个不大的陨石坑，直径几十米，深度几米。如果着陆器落在陨石坑里，可能会倾斜，甚至损坏。
但林默注意到，在150米误差的落点附近，有一个小斜坡，坡度约5度。斜坡上有一个陨石坑，但坑的直径只有20米，深度2米。如果着陆器刚好落在那个坑里，确实危险。但如果落在斜坡上，5度的坡度，着陆器可以适应——设计允许的最大着陆坡度是15度。
他又仔细看了地形图，发现了一个有趣的现象——在150米误差范围内的所有可能落点中，只有一个陨石坑是危险的，其他都是安全的。而那个危险的陨石坑，位于误差范围的边缘，概率很低。
“林工，你在看什么？”周明凑过来。
“看陨石坑。150米的误差，会不会正好掉进坑里？”
“概率很低。”
“不是概率。是万一。”
林默盯着地形图看了很久，然后指着一个位置说：“这里，有一个小斜坡。如果导航系统把目标点定在这里，误差150米的情况下，落点会分布在这个斜坡周围。斜坡上的陨石坑只有一个，在边缘。其他落点都是平地。”
“你想把目标点定在斜坡上？”周明惊讶地问。
“对。目标点定在斜坡上，实际落点可能分布在周围。误差150米的情况下，大部分落点都在平地上，少数在斜坡上，极少数在陨石坑里。在斜坡上的落点，5度坡度，可以接受。在陨石坑里的落点，概率极低，可以忽略。”
“但目标点定在斜坡上，意味着正常误差情况下，落点也在斜坡上。8米的误差，落点就在斜坡上。5度坡度，虽然可以接受，但不是最优。”
“不是最优，但可以避免更坏的情况。”林默说，“这叫‘风险对冲’。用一点性能的牺牲，换取极端情况下的安全性。”