系統失靈的陷阱︰杜絕風險的聰明解決方案

不該發生的意外

那是六月下旬一個溫暖的禮拜一，下班尖峰時刻之前。安和大衛．惠爾利參加醫院志工說明會結束準備返家，坐上往華府的一一二號地鐵的第一節車廂。一名年輕女子讓出了前座的位子，惠爾利夫婦比肩而坐，兩人從高中開始就一直這樣形影不離。六十二歲的大衛最近剛退休，夫妻兩人準備慶祝結婚四十週年，到歐洲玩一趟。

曾任空軍軍官的大衛是獲勳戰鬥機駕駛。事實上，九一一恐攻發生時，就是由他坐鎮指揮戰機飛抵華盛頓特區，並命令飛行員自行判斷射下任何對該市造成威脅的客機。不過，即使他當過司令官，但仍拒絕坐車，他喜歡搭地鐵。

下午四點五十八分，司機突然急踩煞車，規律的喀喀輪響被刺耳的尖嘯聲中斷，當下時空交織著破碎的玻璃、彎曲的金屬和尖叫聲，一一二號列車撞到東西了：那是一輛不知為何停在軌道上的火車。巨大的撞擊讓13英尺厚的車體擠壓成殘骸，扭曲變形的座椅、天花板和金屬桿擠入車廂內，造成大衛、安和其他七人死亡。

這樣的意外根本就不該發生。總長100英里的大華府地鐵系統中，所有列車都受到嚴密監控。若兩車太靠近，就會自動減速。可是，那一天，當一一二號列車過彎時，另一輛火車就已停在前方，因此未能偵測到，於是一一二號列車自動加速，畢竟，感應器顯示軌道是淨空的。等到司機看到前方靜止的列車、而踩下緊急煞車時，已經來不及了。

救難人員將傷者從火車殘骸中拉出，地鐵工程師得加把勁，他們需要確保其他乘客安全無虞。要做到這一點，他們得先解開謎團：一輛有兩個足球場長的火車，怎麼會在雷達上消失？

系統崩潰

失事的一一二號列車所遇到的這類警示系統失常屢見不鮮。請看以下新聞標題，這些事件都發生在同一個禮拜內：

◎巴西發生礦災慘劇

◎又發生駭客入侵：連鎖旅館遭植入信用卡偷竊惡意程式

◎現代汽車召回有煞車瑕疵的問題車

◎弗林特水源災難，華府揭露「政府失靈」真相

◎「重大情報失誤」導致巴黎恐攻事件

◎溫哥華男子冤獄近三十年獲賠

◎伊波拉應變：科學家爆「弱到危險的全球系統」

◎審訊七歲女孩遭謀殺案，變成歸咎系統失靈的連續劇

◎開墾之火燎原不可收拾，造成印尼生態浩劫

◎奇波雷餐廳爆大腸桿菌疫情，食品藥物管理局在華盛頓州和奧勒岡州展開調查

看起來這一週似乎特別倒霉，其實不然，每個禮拜總會發生幾次災難。一個禮拜是工業意外、另一週是企業破產，還有一次是可怕的醫療錯誤。即使是小問題也會造成重大災害。例如，好幾家航空公司因為技術系統的小差錯，便決定全面停飛，讓旅客受困好幾天。這些問題讓我們生氣，但卻不令人意外。要在二十一世紀生存，得倚賴一個又一個對我們生活造成重大影響的複雜系統——從供電系統、淨水處理廠、交通系統和通訊網路，到醫療保健和法律等等。可是，有時候這些系統卻讓我們失望。

這些失敗——甚至包括英國石油公司（BP）的墨西哥灣漏油事件、福島核災和全球金融危機等大規模的系統崩潰——似乎肇因於不同的問題。但其實其潛在成因卻出乎意料地類似。這些事件有個共同的DNA，研究人員才剛開始認知到這一點。擁有同樣的DNA，意味著某一產業的失敗經驗足以提供其他領域借鏡：牙醫可以向飛行員學習，而行銷團隊可以記取特種部隊的教訓。徹底了解諸如深水鑽油和高海拔登山這類高風險特異活動的失敗原因，對於避免普通系統的失敗也能有所幫助。其實，日常的系統崩潰——不成功的專案、差勁的用人決定，甚至是徹底失敗的晚餐派對——都和漏油與登山意外有諸多共同之處。幸好，過去幾十年來，全球研究人員已找到解決方案，能協助我們做出決策、組織團隊、設計系統，以預防這類常見的系統崩潰。

本書規劃

本書分為兩個部分，第一部分探索系統為何失敗，並揭露表面上極不相同的事件其實都有一樣的成因，像是星巴克社交媒體災難、三哩島核災、華爾街系統漏洞和英國小鎮郵局一宗奇怪的醜聞等。第一部分還探討進步的矛盾：我們的系統變得更能幹，但同時也變得更複雜、更沒有轉圜餘地，創造出一個小隙沉舟的環境。以往無害的系統如今卻意外置人死地、讓企業破產、令無辜者入獄。本書第一部分並指出，那些讓系統容易出錯的改變也助長了國際犯罪事件，像是駭客或詐騙等等。

第二部分——占本書絕大部分——審視你我都能採用的解決方案，探討人們是如何從小錯學習、找出大威脅可能正在醞釀之處，接待人員勇於違抗老闆而救人一命，飛行員最初斥之為「禮儀學校」的訓練計畫是如何變成讓飛行更安全的 原因之一。同時檢視為什麼多元化能幫助我們避免鑄下大錯，以及聖母峰登山者和波音工程師如何展現簡單的力量。我們將看到電影工作人員和急診室醫護人員如何處理意外——以及他們的做法如何能用來拯救管理不當的臉書首次公開發行股票（IPO），以及塔吉特百貨（Target）進軍加拿大失利。我們會回到消失的地鐵列車之謎，驚覺到工程人員原本幾乎就要能阻止這場悲劇的發生。

我們各自從完全不同的背景來合著這本書。克里斯最初擔任衍生性金融商品交易員，2007年到2008年的金融危機期間，他在崗位上親眼看見雷曼兄弟公司（Lehman Brothers）垮台、全球股票市場崩盤。就在那個時候，他開始接受飛行員訓練，對於避免災難性故障也逐漸感興趣。安德拉斯則來自於研究界，專門探究為何組織受複雜性所苦。幾年前，他開了一門課，名為「組織災難性故障」，吸引各領域的管理者一起研究重大事故，並分享他們自己的日常失靈經驗。

本書的參考資料包括意外報告、學術研究，以及廣泛訪談各領域人士，從企業執行長到首次購屋者都包括在內，我們整理出的觀念能夠解釋各種故障原因，並提供任何人皆可採行的實用見解。在這個系統崩潰的時代，這些見解有助於在公私領域做出優良決策、管理成功的組織，並對付重大的全球挑戰。

五箱「空的」氧氣罐

我們撰寫本書早期訪問了班．伯曼（Ben Berman）。擁有哈佛大學經濟學學位的伯曼是美國太空總署（NASA）研究員、民航機機長，也曾當過事故調查員。他表示，航空學可視為了解小改變能避免大災難的理想實驗室。

雖然飛機發生事故的機率微乎其微，但每天有上萬架商業航班起降，仍不免有許多非災難性的故障發生，幸而會有清單和警告系統等偵錯裝置，在情況失控之前發現錯誤。

可是，意外還是會發生。當意外發生時，有極其豐富的數據資源可看出是哪裡出錯。駕駛艙錄音和黑盒子提供飛機撞擊前機組員採取的行動和飛機資訊，這些紀錄對於伯曼這樣的調查人員至關重要，他們到墜機地點深究人類災難，以防止未來意外再度發生。

西元1996年一個美麗的五月下午，伯曼與家人待在紐約市，此時，他的叩機響了。他是國家運輸安全委員會（National Transportation Safety Board）的「行動團隊」組員，專門負責在重大意外發生時到現場進行調查。他收到消息，載有一百多名乘客的瓦盧杰航空（ValuJet）五九二班機在邁阿密起飛十分鐘後，便在雷達上消失，墜毀在佛羅里達州的大沼澤地國家公園。機艙起了火——從機長對塔台的廣播中可清楚聽到——但至於起火的原因是什麼，則令人費解。

伯曼隔天抵達現場，空氣中還殘留飛機燃油的氣味。殘骸散布在茂密的草本沼澤，但看不到機身或其他任何像飛機的形體。飛機碎片被掩埋在及腰的泥水和一層層的鋸齒草與沼澤腐泥裡。球鞋和涼鞋散浮在表面。

搜救人員在黑泥水裡搜尋，而伯曼則在邁阿密機場集合組員，開始訪問曾處理這架班機的地勤人員。航務員輪流進入瓦盧杰航空航站經理辦公室裡、調查人員設置的臨時訪談處。多數面談內容如下：

伯曼：你是否注意到飛機有異常？

航務人員：沒有異狀，真的……

伯曼：你保養這架飛機時有任何不尋常之處嗎？將飛機拖離時？或其他時候？ 航務人員：沒有，一切正常。

伯曼：有任何事引起你特別注意嗎？

航務人員：沒有，真的，什麼都沒有。

沒有人發現任何不尋常之處。

伯曼趁空檔喝了一口咖啡，航站經理桌上的一疊文件引起他的興趣。最底下的一張紙露了出來，上面有個簽名，簽名的是坎達琳．庫貝克（Candalyn Kubeck），她是那班飛機的機長。伯曼拿起這疊文件翻閱，沒什麼特別之處，不過是瓦盧杰五九二班機的標準航班文件。

可是，其中有一頁引起了他的注意。

那是航空公司維修合約商薩博科技的運貨單，明列機上載有瓦盧杰「公司物品」。伯曼感到好奇，失事前飛機起火，而這裡又有文件顯示機上載有氧氣罐，另外還有別的東西：「『空的』二字還加上了引號，這令我費解，」伯曼告訴我們。

研究人員來到薩博科技公司在機場的辦公室，找到了當初簽這張運貨單的職員，這才知道，單子上寫的氧氣罐其實是化學氧氣發生器，該裝置就是機艙失壓時從艙頂置物櫃掉落的面罩的氧氣來源。

「所以，這些罐子是空的嗎?」伯曼問。

「它們已經報廢——不能用、過期了。」

這是一大警訊。化學氧氣發生器啟動後會產生極高溫，在錯誤的情況下，原本用來救命的氧氣會造成熾火煉獄。如果那些箱子裡是過期的氧氣發生器——安全使用期限已過——則它們並非空罐子，而是運進飛機的強力定時炸彈。怎麼會發生這種事呢？這批致命的貨物是怎麼運上客機的？

調查結果發現一連串的疏失、巧合和日常混亂。瓦盧杰買了三架飛機，並雇用薩博科技公司在邁阿密機場的機棚進行翻新。這三架飛機上許多氧氣發生器都已過期、需要替換。瓦盧杰航空告訴薩博科技，如果發生器裡的氧氣還未耗盡（也就是說，還能夠產生氧氣），就得裝上安全瓶蓋。

可是，人們對於耗盡的氧氣罐和過期的氧氣罐混淆不清，有些已經過期而且沒有氣體，有些沒有氣體但還沒過期，另外還有尚未耗盡又沒有過期的備用品。「如果分不清楚，不要在這上面花時間——薩博科技的技師沒有、也不該這麼做，」身兼記者與飛行員的威廉．蘭威奇（William Langewiesche）在《大西洋月刊》（Atlantic）裡寫道：

是的，也許有某位技師出示他的瓦盧杰工作證，拿到了超大本的MD-80維修手冊，並翻到35-22-01章節，裡面的第「h」行指示他要「存放或丟棄氧氣罐。」該技師努力查詢所有做法，也許還在手冊別處找到「所有可用和不可用（未耗盡）的氧氣發生器（罐）都要妥善儲存、不得暴露在高溫或可能損害之下」的指示。他仔細思考其言下之意，也許會推斷「未耗盡」的氧氣罐就是「不可用」的氧氣罐，而由於他沒有裝上安全瓶蓋，也許他應該依照2.D章節的指示，把這些氧氣罐放到安全區域，並將它們「啟動放氣」。

於是，這樣的程序繼續下去：出現更多細節、更多區分、更多專有名詞、更多警告、更多「工程師說」。

這些發生器沒裝上安全蓋，最後被放入紙箱，並於幾個禮拜後被帶到薩博科技公司的收發部門，直到有一天，收發部員工被告知要清理儲藏室。在他看來，把這些箱子運到瓦盧杰航空位於亞特蘭大的總部是很合理的做法。

氧氣罐上貼有綠色標籤。技術上來說，綠色標籤代表「可修理」，但不知技師貼上綠色標籤是什麼意思。收發部職員以為該標籤代表「不能用」或「報廢」。於是他推斷這些罐子是空的。另一位職員填寫運貨單，並寫上加了引號的「空的」和「五箱」。加引號只不過是個習慣。

這些箱子在系統中過了一關又一關，從技師到職員，從航務人員到飛機貨艙。機組員沒有發現問題，機長庫貝克在班機文件上簽了名。「因此，乘客的最後防線潰決，」蘭威奇寫道。「他們運氣不好，是系統殺了他們。」

***

華府一一二號地鐵和瓦盧杰五九二班機的失事調查結果顯示，這兩件意外起因相同：日益複雜的系統。當一一二號地鐵撞毀時，國家公共廣播公司製作人潔思敏．賈斯德（Jasmine Garsd）正好開車行經現場。「撞擊就像快轉的電影突然急煞，」她回憶道。「事故當下你會體悟到兩件事情：在我們建造的這個巨大機器世界裡，人類有多麼渺小脆弱，以及我們對於這脆弱性是多麼無知。」

但還是有希望，幾十年來，對於複雜性、組織行為和認知心理學的理解，已能讓我們一窺小錯誤是如何造成大失敗。我們不僅了解這類意外如何發生，還了解到防微杜漸的道理。全球各地已經有企業、研究人員和團隊揭竿起義，找出防止系統崩潰的解決方案，而且不需要先進科技或百萬預算就可以做到。

2016年春天，我們安排班．伯曼來到爆滿的航空風險管理課堂上講課。學員來自各種背景：人力資源專員和公務員，企業家和醫生，非營利事業主管和律師，甚至還有時尚界人士。可是，伯曼的課不分專業領域全都適用。「系統故障，」他對學員說，「代價非常高昂，而且很容易被低估——你的職涯或人生遇到這種情況的機率非常大。」他停頓了一下、環顧觀眾。「我認為，好消息是，你可以做出實質貢獻。」

不該發生的意外

那是六月下旬一個溫暖的禮拜一，下班尖峰時刻之前。安和大衛．惠爾利參加醫院志工說明會結束準備返家，坐上往華府的一一二號地鐵的第一節車廂。一名年輕女子讓出了前座的位子，惠爾利夫婦比肩而坐，兩人從高中開始就一直這樣形影不離。六十二歲的大衛最近剛退休，夫妻兩人準備慶祝結婚四十週年，到歐洲玩一趟。

曾任空軍軍官的大衛是獲勳戰鬥機駕駛。事實上，九一一恐攻發生時，就是由他坐鎮指揮戰機飛抵華盛頓特區，並命令飛行員自行判斷射下任何對該市造成威脅的客機。不過，即使他當過司令官，但仍拒絕坐車，他喜歡搭地...

前言 尋常的一天
「『空的』二字還加上了引號，這令我費解。」
第一部分 隨處可見的故障
第一章 危險地帶
「哦，這會很有意思。」
第二章 深水，新地平線
「明明就是複雜電腦系統的錯，卻有人鋃鐺入獄。」
第三章 駭客入侵、詐騙，以及所有不宜刊登的新聞
「他們不需要說謊，光用複雜性就足以混淆視聽。」
第二部分 戰勝複雜
第四章 衝出危險地帶
「樂來樂愛你！」
第五章 複雜的系統，簡單的工具
「質疑你的直覺是個特別的練習。」
第六章 留意先兆
「是的，這讓我徹夜難眠。是的，這讓我激動難過。這些是我的孩子。這些是每個人的孩子。」
第七章 剖析異議
「你得低著頭、做好自己的工作，否則兩者都不保。」
第八章 減速丘效應
「他是黑人。我希望他能被選中，但難以如願。」
第九章 來自外地的外來者
「難道他們是魔術師嗎？」
第十章 意外狀況！
「你以為是走廊，結果是一道牆。」
結語 崩潰的黃金年代
「墜入墮落之境。」
誌謝
注釋

前言 尋常的一天
「『空的』二字還加上了引號，這令我費解。」
第一部分 隨處可見的故障
第一章 危險地帶
「哦，這會很有意思。」
第二章 深水，新地平線
「明明就是複雜電腦系統的錯，卻有人鋃鐺入獄。」
第三章 駭客入侵、詐騙，以及所有不宜刊登的新聞
「他們不需要說謊，光用複雜性就足以混淆視聽。」
第二部分 戰勝複雜
第四章 衝出危險地帶
「樂來樂愛你！」
第五章 複雜的系統，簡單的工具
「質疑你的直覺是個特別的練習。」
第六章 留意先兆
「是的，這讓我徹夜難眠。是的，這讓我激動難過。這些是...