据 Wikimedia Commons 的说明，这是美军第 398 轰炸机大队的一架 B-17，1944 年 10 月 15 日轰炸德国科隆时机头被高射炮弹炸毁，仍飞回了基地。图：美国空军（National Museum of the U.S. Air Force），来源 Wikimedia Commons，许可：公有领域。
1943 年，哥伦比亚大学统计研究组（SRG）的亚伯拉罕·沃尔德写下一组备忘录，讨论怎样只凭返航飞机上的弹孔，估计飞机各部位中弹后坠毁的概率。流行故事把它讲成“哪里没弹孔就加固哪里”的一句妙语；对照原始备忘录和 Mangel 与 Samaniego 1984 年的解读，真实的推理更精细，流传的不少细节也查无实据。
哥伦比亚大学的统计研究组
统计研究组（Statistical Research Group，SRG）于 1942 年 7 月 1 日成立，设在纽约哥伦比亚大学，经费来自美国科学研究与发展局（OSRD）下属国防研究委员会（NDRC）的应用数学小组（AMP）。担任研究主任的 W. Allen Wallis 在 1980 年的回忆文章中记录：小组先后有 18 名主要成员、共 78 名工作人员，同时在岗最多约 50 人，其中约 30 名年轻女性专门负责计算；战争期间共产出 572 份报告、备忘录和信函。弗里德曼、萨维奇、莫斯特勒、沃尔福威茨等后来的名家都在其中。
沃尔德 1902 年生于今罗马尼亚的克卢日，早年在维也纳研究纯数学，三十年代中期转向数理统计，后因犹太身份失去在奥地利的职位，辗转赴美。Wallis 回忆，1939 年秋沃尔德刚到哥伦比亚大学任教，他和沃尔福威茨常去听沃尔德的傍晚讲座。在 SRG，沃尔德是兼职成员，前后参与约 30 个月，最出名的成果是 1943 年在这里诞生的序贯分析。按 Wallis 的说法，序贯分析被列为机密还带来一个副产品：沃尔德的入籍申请很快获批，成了战时少数获得美国国籍的“敌国侨民”之一。
飞机脆弱性是 SRG 从空战研究中延伸出来的课题之一。Wallis 在 1945 年撰写的 SRG 最终报告里写道，这个问题促使小组设计出一种“根据我方飞机所承受的损伤来判定脆弱性”的方法。Mangel 和 Samaniego 把当时的作战问题概括为：指挥官要决定采用什么战术、给飞机哪些部位加强防护，而加装防护会增加重量、削弱飞机执行任务的能力；真正的难处在于，没能返航的飞机身上弹孔怎么分布，谁也看不到。
备忘录里的推理与算例
沃尔德的成果是一组技术备忘录，总题为《基于幸存飞机损伤估计飞机脆弱性的一种方法》（A Method of Estimating Plane Vulnerability Based on Damage of Survivors）。据美国国防技术信息中心的条目，这是 SRG 1943 年为国防研究委员会撰写的八份备忘录，战时没有对外发表，1980 年 7 月才由海军分析中心（CNA）以 CRC 432 号重印。前几部分不区分部位，只用出击架数、返航架数和每架返航飞机的中弹数，推算飞机被第 i 发命中击落的概率及其上下界；第五部分把飞机划成若干“等脆弱性区域”，估计各部位的脆弱性；第六部分处理抽样误差，给出 95% 和 99% 的置信限。
第五部分的数值例子最能说明思路。沃尔德假设一次轰炸任务出动 400 架飞机，359 架返航；返航飞机中 240 架未中弹，68、29、12、10 架分别中 1 至 4 发，共 202 个弹孔。在“每发命中击落飞机的概率相同、不受此前命中次数影响”等简化假设下，先解出单发命中后飞机幸存的概率约为 0.85。接着把飞机分成发动机、机身、燃油系统和其他部位，并假定一发命中落在某部位的概率等于该部位迎着敌方攻击方向的投影面积占比：发动机 26.9%，机身 34.6%，燃油系统 15.4%，其他部位 23.1%。
返航飞机上的弹孔却没有按这个比例分布：发动机只占 19.3%（39 个），机身占 38.6%（78 个），燃油系统占 15.4%（31 个），其他部位占 26.7%（54 个）。某部位在幸存飞机上的弹孔占比低于按面积“应得”的占比，说明打中那里的飞机有更多没能回来。按沃尔德的公式，某部位单发命中后的幸存概率等于 0.85 乘以“实际占比 ÷ 应得占比”：发动机约 0.61，机身约 0.95，燃油系统 0.85，其他部位约 0.98。备忘录据此写道，就这个假设例子的数据而言，发动机区域最脆弱，机身的脆弱性相对较低。
沃尔德备忘录第五部分的假设算例：发动机在返航飞机上的弹孔占比低于按面积应得的占比，估计的单发击落概率最高。数据出自 Wald（1943）备忘录，CNA 1980 年重印本；本文用代码绘制。
幸存者偏差的含义与前提
这就是后来常说的幸存者偏差：一个对象能否进入样本，本身取决于我们想研究的结果。返航飞机不是全部出击飞机的随机样本，而是“中弹后还能飞回来”的那一部分；在它们身上数弹孔，弹孔最多的地方往往正是最经得起打的地方。Wallis 在 1980 年回应读者评论的短文里把这层意思说得很直白：军方倾向于给返航飞机上中弹最多的部位加防护，而沃尔德有充分理由假定作战中的命中大致均匀地分布在机身各处，于是要害部位的命中在返航飞机上会偏少，因为这些部位中弹的飞机更难回来提供数据。
不过，“没弹孔的地方更该加固”只是一句缩写，成立还要靠一个前提：必须先知道，假如没有飞机被击落，命中本该怎样分布。沃尔德在第五部分特意指出，单凭返航飞机的损伤，无法同时估出命中分布和各部位的脆弱性。他举的例子是：如果返航飞机的弹孔全落在区域一，既可能是区域二根本打不到，也可能是区域二一中弹飞机就坠毁，两种解释在数据上无法区分。所以他要求命中分布事先已知——可以依据敌方火炮的散布推断，也可以用“假子弹”射击试验测得；算例里则用投影面积的比例代替。
换句话说，沃尔德比较的不是“有没有弹孔”，而是“弹孔比预期少了多少”。在他的算例里，发动机上照样有 39 个弹孔，只是比按面积应得的少；如果某处弹孔少只是因为它面积小、很少被打中，就不能据此认定它更致命。Mangel 和 Samaniego 在 1984 年的文章中用现代统计理论重新审视这组备忘录，把它放在缺失数据和近似方法的框架下讨论，结论是沃尔德对这些问题的处理“是决定性的”。
流传版本中的夸大与无据细节
流行版本大致是这样讲的：军方拿着返航轰炸机的弹孔分布，准备加固弹孔密集的机身，沃尔德当场指出该加固的是弹孔稀少的发动机，建议被采纳。数学家 Bill Casselman 2016 年在美国数学会的专栏中逐项核对过这个故事。对照原始材料，可以分三类来看。
有据可查的部分：沃尔德确实在 SRG 写了一组从幸存飞机损伤推断脆弱性的备忘录；Wallis 1980 年的回应短文说过军方倾向于加固返航飞机上中弹最多的部位，并称这些方法后来被海军和空军使用；海军分析中心的重印说明和 Mangel、Samaniego 的文章都提到，这套方法在朝鲜战争和越南战争的数据分析中仍在使用。
被夸大的部分：备忘录是严谨而高度技术化的数学推导，Casselman 指出其中并没有就军方应当怎么做提出建议。“发动机最脆弱”来自第五部分的假设数据，原文明确说这是“这个假设例子”的结论，不是某场战役的实测发现。把它讲成一眼看穿的灵感，也略去了沃尔德为解决识别问题所做的假设，以及他对抽样误差的专门处理。
查无实据的部分：沃尔德与军官的对话和会议场景，以及网上流传的所谓“沃尔德手绘弹孔图”，目前都没有原始记录支持。Casselman 起初统计，关于这项工作的可靠材料只有 Wallis 回忆文章里两处不提沃尔德名字的简短记述和备忘录本身，后来在补记中又补上了 Wallis 的回应短文。网上常见的红点飞机示意图都是后人绘制，有的甚至画成了很少参加实战的 C-47 运输机。
这些备忘录晚了近四十年才公开，也带点偶然。据 Casselman 引述海军分析中心 Phil DePoy 的说法，Wallis 搬家时翻出一箱 SRG 1946 年结束时留下的散页交给他，DePoy 从中只保留了沃尔德的一包材料，稍作编辑后于 1980 年 7 月以沃尔德之名出版。沃尔德本人已于 1950 年在印度南部山区的一次空难中去世，没有留下自己对这段工作的回忆。