《多系统韧性——变化中的适应与转型》之五：
人类韧性的社会生态发展系统研究
不同维度和时间尺度的韧性规划和建设是社区有效应对气候变化与其他风险最强有力的工具。技术正以前所未有的速度发展，以应对快速变化和相互竞争的社会需求。工作的技术、人力、程序和组织方面的相关动态互动增加了纯技术系统的内在复杂性。其中，系统分析包括三个维度：系统所运行的世界、所涉及的元素以及观察系统时所使用的表征，这些都会导致复杂性。本章节的韧性工程（resilience engineering）探究处理微观与宏观之间的关系，并解释微观（即局部行为）如何产生宏观影响。
社会技术安全管理的韧性工程
Patriarca, Riccardo, ‘Resilience Engineering for Sociotechnical Safety Management', in Michael Ungar (ed.), Multisystemic Resilience: Adaptation and Transformation in Contexts of Change (New York, 2021; online edn, Oxford Academic, 18 Mar. 2021), https://doi.org/10.1093/oso/9780190095888.003.0010.
1.导论
2004 年 10 月，一批经验丰富的研究人员聚集在瑞典索德尔科平，思考如何进一步改进安全管理领域的工作。当时，人们意识到，现代企业的工作性质需要重新考虑“风险”和“安全”的含义。技术以一种前所未有的速度发展，以应对快速变化和相互竞争的社会需求。工作的技术、人力、程序和组织方面的相关动态互动增加了纯技术系统的内在复杂性。纯粹的技术系统与人和组织的共生关系更加密切，对安全管理产生了严重影响。
安全通常被认为是一个系统的特征，它能防止对人的健康（即受伤或死去）、财产造成损害，或对环境造成不良后果。根据词源学，英文单词safe来自拉丁文salvus，意为完好无损或完整。在组织过程中，"安全 "一词指的是没有伤害或损伤，甚至没有相关风险（Hollnagel，2018）。风险可被视为一种情况或事件，在此情况或事件中，具有人类价值的东西（包括人类自身）处于危险之中，结果存在不确定性（Rosa，1998 ）。
基于这种对安全的理解，2004年在索德尔科平举行的第一届韧性工程协会研讨会期间，韧性工程的概念从最初的共识走向了更有条理的知识生产阶段。为更好地在安全管理的背景下理解韧性的科学含义和相关性，有必要在概念上后退一步。
从形式上讲，安全科学的发展是为了提供在认识论上最有依据、最可靠的论述，其反映了跨学科的优秀研究成果（Hansson，2013）。因此，安全科学可视为由两个科学组成部分构成：关于安全相关现象的既有知识，和用于理解、评估、描述、沟通和管理安全的概念工具。
与此同时，安全管理中的韧性概念是指在概念和实践两个层面的知识产品基础上，为理解、评估、沟通和管理一个系统、一个组织甚至一个社会的安全而开展的活动。这些知识产品结合起来可称为韧性工程，其目标是考虑系统的社会技术复杂性，并理解这种复杂性如何影响系统的行为和性能。这些系统包括飞机、医院、船舶、火车，或任何以技术、人类和社会元素之间的共生互动为特征的系统。
本章将首先介绍社会技术系统分析的复杂性概念，这是提高系统安全性的韧性研究的起点。接下来，将介绍韧性工程中用来提高安全性的两种方法：韧性分析网格 (Resilience Analysis Grid, RAG)和功能共振分析 (Functional Resonance Analysis）方法。本章将举例说明这两种方法及其在工程问题中的应用。本章最后一部分总结了韧性工程对系统安全的贡献以及可能的研究议程。
2.关于复杂性
complex 一词源于拉丁语 complexus，意思是“交织在一起的东西”。在科学界，复杂性一词首次出现在热力学第二定律中，与时间和分子运动固有的不可逆性有关。从那时起，关于复杂性的研究带有跨学科视角，其共同点是分析各种相互影响、相互交织的元素，这些元素能够适应或应对它们所参与或促成的过程（Arthur，1999）。在一个社会技术系统中，各种过程是彼此依存和相互作用的，它们通过多种难以识别的模式，可能产生动态、非线性和不可预测的行为。以阿拉斯加航空公司261号航班为例，2000年1月，这架从墨西哥巴亚尔塔港起飞飞往西雅图的MD-80飞机遇到了一个严重问题：用于控制飞机巡航时节点姿态的水平稳定器似乎被卡住了。这个问题导致了一场灾难：2名飞行员、3名机组人员和83名乘客在飞机撞击时丧生。尽管调查发现了一个损坏的部件（固定水平稳定器的千斤顶螺母组件），但最终的事故报告包含了与组织实践、战略决策、监管漏洞和缺乏适当冗余策略有关的复杂因素。多年来，这些现象逐渐被视为正常现象，形成了一些模式，而这些模式演变为灾难的基础。Dekker（2011）对这一事件进行了批判性的详细分析。
从认识论上讲，complex并非complicated的同义词：如果借由一套规则（或多或少难以定义和理解）能够捕捉到一个系统的功能，那么这个系统最终是可知的，则该系统是complicated；而complex的系统永远不可能完全被认识，难以固定地、全面彻底地描述。为说明这些差异，图24.1展示了两个系统：系统A的紧密连接使其成为一个complicated的系统，而系统B的复杂性（complexity）归因于多重的自由程度（multiple degrees of freedom），这使得我们无法精确预测系统的行为和演变。概括而言，系统B比系统A更为复杂，因为系统A的某些自由度受到了限制（Goldratt，2008）。韧性工程科学领域认为，复杂性不是一种事物，而是一种待研究的情况（Rasmussen，1979）。
从更大的视角来看，社会技术系统可以被理解为一种复杂的适应性系统，我们可以从复杂性管理的观点来分析它。可以根据三种不同的视角来管理复杂性：算法复杂性（algorithmic complexity）、确定性复杂性（deterministic complexity）和总体复杂性（aggregate complexity）（Manson，2001）。算法复杂性指的是解决问题所需的计算工作。确定性复杂性以混沌和灾难理论为基础，用于确定一组初始变量的微小变化对输出变量产生的重大影响。对大型系统而言，这种影响极有可能导致崩溃。确定性复杂性依赖于数学方程和对系统行为方式的严格假设，以使方程可信。
相反，总体复杂性旨在获得系统的整体表征，不强求严格的数学关系。在此情况下，以复杂性为导向的视角更注重关系而非构成要素（Hollnagel，2012a）。在确定总体复杂性概念的范围时，系统分析包括三个维度：系统所运行的世界、所涉及的元素以及观察系统时所使用的表征，这些都会导致复杂性。系统表征是一种从本质上捕捉到当前系统的动态性和交织性的模型。
图 24.1 complicated的系统A与complex的系统B的对比。
由此定义复杂社会技术系统的一系列共同特征（Pavard & Dugdale, 2006）。这些特征包括:
• 有限的功能可分解性：社会技术系统本质是相互交织的，这意味着被分解不同部分的系统无法保持与整体系统相同的特性。
• 非确定性：即使完全了解复杂系统各组成部分的功能，也难以准确预测其行为。
• 信息和表征的分布特征：系统的某些认知属性是分布于不同行动者，导致数据不确定、模糊、不完整或不可用。
• 涌现与自组织（emergence and self-organization）：如果无法通过系统组成部分的功能来预测某一系统属性，那么该属性就是涌现。它可能产生于个体或集体社会技术行动者的局部互动。
这些关于复杂性和安全管理性质的假设是韧性工程科学领域定义的理论基础（Patriarca, Di Gravio, & Constantino, 2017）。
3.韧性工程是一种范式转变
用库恩的话来说，韧性工程是安全管理模式的转变。它侧重于系统持续应对日常工作中权衡生产率与安全所产生的复杂性的能力（即韧性；Hollnagel，2006 ）。人们很早就认识到，韧性工程学科具有系统性，必须关注系统作为一个整体的复杂性，而不是对系统各组成部分进行简单的单独分析。自20世纪70年代以来，人们越来越重视安全的系统性问题，这一现象一直延续到20 世纪80年代。监管机构的兴趣日益浓厚，其重点从技术性问题转移到决策和管理问题上。当时的一些重大事故报告开始强调与人和组织活动有关的参与性问题（Hale、Heming、Carthey 和 Kirwan，1997）。例如，1979年的三里岛核电站事故、1986年的挑战者号航天飞机爆炸事故以及同年的切尔诺贝利灾难。到20世纪80年代末期，风险开始被作为系统的结构性问题来解决，正如正常事故理论（normal accident theory）（Perrow，1984）所指出的，由于系统之间的紧密耦合和非线性互动，这些系统本身就存在风险。由于存在多个行动者和多个紧密、甚至相互冲突的目标，风险也被视为一种在安全、经济和工作量范围内保持系统性能的可控问题（Rasmussen，1997）。
根据总体复杂性视角，社会技术系统中的安全不能被视为“一个系统的社会和/或技术视角“的“产物”或“存在于”这些视角中（Hettinger, Kirlik, Goh, & Buckle, 2012）。鉴于社会技术系统的动态性质，安全并非系统的常态或永久属性，而是从系统与环境组成要素的交互中产生的（Yang, Tian, & Zhao, 2017）。
在此背景下，韧性被证明与适应概念相关（Amalberti，2006 ）。韧性有四大基石：应对（responding）（知道该做什么）、监测（monitoring）（知道该寻找什么）、预测（anticipating）（知道该期待什么）和学习（learning）（知道发生了什么；Hollnagel，2011）。最近，人们意识到不可能解决韧性的某些一般特征，因此提出了另一种理论观点，其重点是反弹、稳健性、从容的可扩展性（graceful extensibility）和适应性（Woods, 2015）。
所有这些定义大多认为韧性定义是一种系统特征，它能使系统本身对意外干扰做出反应，迅速恢复正常运行，并将对系统性能的损害降到最低。因此，从形式上讲，韧性被定义为系统在发生变化和干扰前后调整其功能的内在能力，以便在面临持续压力或重大事故时继续工作。因此，韧性工程学可以作为一门以复杂性为导向的综合学科来建设，目的是为系统提供管理、体验和增强韧性的手段，以应对外部和内部的动荡。这门学科认为，管理韧性和安全意味着管理可能导致系统崩溃的风险动态和风险演变。在这个意义上，韧性工程学与其他韧性模型一样，需要考虑风险暴露，以充分了解增强系统韧性的机制。
在传统的安全管理中，通常可以为事故分析或风险评估预测确定一条典型的灾难路径，从单个故障开始，通常与人为行为（即人为错误）有关。这种想法植根于对风险的一种解释，这种解释的重点是系统的能量（即危险的能量积累、意外转移或失控释放）。这种能量必须通过物理和非物理的屏障加以控制，以阻止或至少限制其散播。障碍的例子有：程序、有效的管理决策、规定、自动反馈系统或培训行动（见图24.2）。
然而，能量并不总是一种威胁，障碍甚至会产生意想不到的副作用，增加系统的复杂性，从而增加系统的非智能性和潜在的突发风险。对于现代社会技术系统而言，这种线性视角已逐渐成为问题。由于系统本身固有的复杂性，要确定一条灾难路径的起源变得极其困难，甚至不可能。
图 24.2 瑞士奶酪模型是基于障碍的模型的一个例子（Reason 等，2006）
此外，系统的行为通常是动态的，因此对系统的描述本质上也应是动态的，不应过于简化，仅以建构主义观点为导向。后者指的是WYLFIWYF原则（你所寻找的就是你所发现的）：原因不是被发现的，而是被选择的（Lundberg, Rollenhagen, & Hollnagel, 2009）。组织视角无法全面反映系统的复杂性，但可以与考虑人与技术互动的局部分析相结合。系统固有的复杂性意味着，我们不能在流程和活动之间定义静态的因果关系，因为这些流程和活动本身就是多变的，可以应对不同的运行场景。
韧性工程理论是为了非简单社会技术系统的安全管理提供方法，其中包含以下假设：人们对系统的理解不完整，描述可能很复杂，系统变化频繁且无规律，而非不频繁且有规律。这些假设产生了以下原则，它们是韧性工程的典型特征，也是复杂性科学的表现形式：
1. 无法对系统进行有意义的分解（这是复杂社会技术系统的主要特征）。
2. 系统功能并不是双模的（功能与非功能），其日常性能是灵活多变的。
3. 人类行为的多变性既会导致成功，也会导致失败。
4. 尽管有些结果可以解释为其他事件的线性结果，但有些事件是耦合性能变化的结果。
需要关注性能变化（performance variability），这促使人们对“工作即完成”（而非“工作即想象”）的安全性产生兴趣，并关注整个系统的性能如何变化（Morel, Amalberti, & Chauvin, 2009）。“工作即完成”代表了一个系统在正常情况和外部冲击情况下保持生产效率的内在适应性，也代表了一个系统在不同情况下保持不同性能的内在适应性（见图24.3）。从这个意义上说，系统的设计就是要在预期的使用条件下显示出韧性。
图 24.3 韧性工程承认双模视角对系统运行的局限性：成功和失败来自同一个源头，即性能的多变性。
4.韧性工程方法
韧性工程学提供了一种从不同角度看待流程的方法，其目的是系统地理解、提炼甚至工程化系统，使其与运行场景相匹配。就方法而言，文献中提供的方法包括个体建模、过程建模和系统建模，以逐步填补该学科理论方面与实际应用之间的差距。这些方法旨在探索系统韧性，揭示其优缺点，完善和加强适应战略。
要衡量社会技术系统的韧性，有几种方法可以从不同的概念层面来评估有助于提高韧性的要素，并按照时间维度、层次结构来组织这些要素。在此背景下，通过使用基于 Hollnagel（2011）韧性四基石（即响应、监测、预测和学习）的框架，RAG（见下文讨论）代表了一种最广泛使用的韧性评估方法。
在韧性建模方面，系统动力学和因果循环图已在多个工业应用中使用。其他特定模型的开发主要从技术逻辑方面的图论出发（Johansson & Hassel, 2010），或通过模糊认知图（Azadeh, Salehi, Arvan, & Dolatkhah, 2014），或效益-成本-赤字（BCD）模型（Ouedraogo, Enjalbert, & Vanderhaegen, 2013）。在定性方法方面，功能共振分析方法（FRAM）在复杂社会技术系统建模方面越来越受欢迎。功能共振分析法允许对流程进行多学科分析，同时考虑到工作的技术、人力和组织方面（Hollnagel，2012b）。
本节其余部分将详细介绍RAG和FRAM，这两种方法对于评估和建模社会技术系统中与其韧性相关的特征具有特殊意义。
4.1 韧性分析网格
将韧性视为系统在事件发生期间、之前或之后调整其功能的能力（在这种情况下，韧性指的是系统所做的事情），因此，韧性评估必须与基于事件计数的传统安全措施（传统上指的是系统所拥有的东西；Hollnagel，2009）有所区别。根据这一观点，RAG是一种基于问题的韧性潜力评估工具，评估系统在韧性四大基石方面的表现。RAG的应用分为四个阶段（Hollnagel，2011）：
• 第 1 阶段。定义并描述系统的结构、边界、时间范围、人员和资源。这一阶段是指将应用限制在与分析相关的范围内。
• 第 2 阶段。为所研究系统的项目选择相关问题。尽管在标准RAG理论中存在一些标准问题，但在这一阶段，仍有必要根据当前情况对其进行调整，以生成可管理的调查问卷。这种调整通常包括一个迭代程序，涉及对系统有实际了解的人。
• 第 3 阶段。对每个基石的问题评分。应确定一批在系统中工作的人员作为调查对象。一般来说，最好就调查和问卷的性质进行初步培训，以便为良性、非评判性地报告系统运行情况创造适当的环境。
• 第 4 阶段。合并评分结果。数据收集结束后，一般建议将信息以星形图的形式呈现出来，每个坐标轴对应了基石评级的变量。
RAG已应用于多个领域，根据领域本身的特点定制了一系列标准化问题。例如，它已被应用于铁路交通管理、空中交通管理以及医疗环境。传统的 RAG星形图本身并不是韧性的衡量标准，而是描述一个系统的韧性在某一特定时刻（其临时维度）是如何被评定的。星形图是特定条件下组织韧性的缩影。因此，RAG可用于确定最初的韧性潜力，然后探讨已达到的状态与理想状态之间的差距。最后，它还可用于了解系统如何在未来达到目标状态。
图 24.3 显示了RAG结果的一个示例，是在神经麻醉科进行的研究。图中显示了两类受访者（工作人员和神经麻醉师住院医师）的得分区别。以李克特五点量表（无、不多、足够、多于足够、完全）评分的问题示例包括“您参与旨在改善围手术期患者管理的项目的频率如何？”
图 24.4 针对与系统韧性相关的七个问题的RAG结果。雷达图强调了两组受访者的不同得分：住院（黑色）和专职神经麻醉医生（灰色）。
以这种方式使用时，RAG提供了有意义的相对评估，有利于讨论和比较，以发现隐藏的关键问题，并激发受访者获得最佳实践的需求。从图24.4中可以看出，在参与研究活动的问题上，住院神经麻醉师的RAG得分高于专职医生，这证实了以下观点：神经麻醉师通常在试验和实验项目中扮演重要角色，但专职医生并不认为自己经常参与科室的此类职能。这种参与，包括不断更新相关研究的固有知识，是造成这种差异的原因。知识更新本身被认为能提高住院医师的韧性（即预见到在提供服务过程中可能出现的某些干扰）。
4.2 功能共振分析（Functional Resonance Analysis Method）
FRAM提供了一种利用功能共振概念对复杂的社会技术系统进行建模的方法，功能共振是由日常表现的多变性所产生的一种现象。与RAG一样，FRAM也基于与韧性工程理论一致的四项原则（Hollnagel，2012b）：
1. 失败与成功的等价性。失败和成功都源于日常绩效的多变性。多变性使得事情有成有败，其基础是紧密耦合的流程之间的复杂互动，这些流程克服了工作的双模表征。
2. 近似调适。在不同层面（个人、群体、组织），个人会调整自己的工作表现，以应对工作场景提出的要求。这些调整通常是不可避免的，因为社会技术工作条件是难以捉摸和不够明确的。
3. 涌现。每个事件都可以与一个（或多个）线性静态原因联系起来，这并不一定是正确的。事件可能是涌现的，而不是固定条件的特定组合造成的。
4. 功能共振。一个系统的功能共振代表了从多个信号的日常多变性的无意互动中产生的可检测信号。这种多变性根本不是随机的，而往往取决于参与分析的行动者的可识别行为，这些行动者根据局部合理性动态行事。
FRAM纳入了韧性工程的原则，特别是承认“工作即完成”（而非“想象中的工作”）的相关性，以及其不可避免的多变性，以适应复杂社会技术工作环境中的工作条件。FRAM的优势在于不设置严格的建模假设，从而限制了表述的偏差。这种观察表明，对日常系统功能的详细描述是理解实际或假设行动的具体发展并对其进行建模的必要基础。
FRAM模型的基本要素是一个六边形，它代表一种功能，由六个不同方面组成（每个角一个；Hollnagel、Hounsgaard 和 Colligan，2014 ）：
• 输入 (I)。启动功能。
• 输出 (O)。功能的结果是什么。
• 先决条件 (P)。功能执行前必须存在的条件。
• 资源 (R)。执行功能时所需或消耗的资源。
• 时间 (T)。功能关系的时间限制。
• 控制 (C)。控制或监控功能，有可能改变其输出。
大量社会技术系统评估都采用了FRAM，最初主要集中在航空领域。最早的FRAM模型涉及事故分析，用于研究导致飞机失事的系统社会技术相互关联性。后来，该模型已扩展到其他工作领域，如工业厂房、海上作业和医疗环境。
图24.4展示了FRAM模型在医疗保健领域的应用。为了将FRAM模型与RAG模型进行对比，本案例还涉及使用麻醉剂的情况，即围手术期的分娩。从大量连接和功能来看，该模型证实了所分析工作领域的复杂性。因此，FRAM有助于描述工作领域的性质，并支持确定职能和流程之间关系的重要性。
图24.5中的模型涉及神经外科围手术期病人的路径管理，主要包括麻醉师执行的操作。图中的六边形突出显示了示例功能的一些上游和下游连接：例如，“拔出病人气管”（麻醉师从病人气管拔出插管的操作）。后者产生一个输出，成为“填写手术后麻醉报告”功能（只有在拔管完成后才能填写报告）的前提条件，以及与其他下游功能相连的其他输出。
如图24.5所示，FRAM模型旨在支持分析一项功能（例如，“为病人拔管”）的多变性如何导致相关功能的多变性，这种多变性如何在整个系统中传播，并遵循一个紧密的强化或抑制关系网络。
图 24.5 神经外科围手术期路径的FRAM模型节选。六边形和边分别代表功能和功能之间的关系，遵循六个不同方面（输入、输出、先决条件、资源、控制、时间）。
因此，FRAM模型与韧性工程原则保持一致：它在本质上支持分析师进行前后分析，而不是线性单向关注（如传统的工程机械方法）。一旦建立，FRAM模型就能促进分析，重点是功能之间的耦合而非功能本身。因此，在分析可能涉及不同活动和多种交织关系的多种功能时，仍能保持系统视角的连贯性和一致性。
鉴于RAG、FRAM和现有研究证据，我们可以认为，即使两个模型都遵循韧性原则，RAG可能更适合衡量韧性能力，或至少衡量组织层面的能力偏差，而FRAM适于辅助分析流程细节、其与理想行动的偏差以及韧性和脆度的潜在来源。
5.结论
工程韧性与非线性和动态性有关；例如，了解初始条件的微小变化（如软件代码中的一个假设）如何对整个系统造成巨大影响（如导致航天器坠毁；Leveson，2002）。韧性提供了一种理解多变性和多样性的方法，承认它们带来的好处，并赋予系统中的人类组成部分处理这些多变性和多样性的能力。因此，韧性工程就是处理微观与宏观之间的关系，并解释微观（即局部行为）如何产生宏观影响，在动态环境中这些影响通常在局部层面上变得不可预测（Dekker, Hollnagel, Woods, & Cook, 2008）。
在探索微观与宏观之间的联系时，未来的研究应深入探讨在“尖”的一端接纳危险的伦理问题，以及在“钝”的一端减少规定性维度对官僚主义的影响（Bergström, Van Winsen, & Henriqson, 2015）。韧性工程的视角可以减少过度官僚主义造成的流程与实践之间的脱节，赋予人类权力，支持系统更安全的发展（Smith，2018）。
韧性工程文献认为，目前的方法在很大程度上仍未达到“从知识到行动”，停留于“从知识到知识”的学术研究。然而，越来越多人认识到，该领域正逐步将更多理论驱动的建模方法转化为实际应用。
为了制定该领域的研究议程，韧性框架应能够说明不同分析层面（从个人到组织）的韧性因素和机制，为提高组织内部和跨组织领域的整体绩效（不一定是安全）提供措施和指导。此外，该框架还应具有足够的灵活性，可用于不同的组织层面，结合并协调业务和管理方面的韧性。
就方法而言，值得注意的是，传统的RAG理论可以结合其他先进的分析方法，以更恰当地定义各种能力之间的关系，甚至考虑到它们之间相互关联的分析效果（Patriarca, Di Gravio 等，2018）。
传统上，FRAM是一种纯粹的定性方法。然而，对于大型系统而言，这种定性方法可能会失效，因为难以对大型系统的耦合和互动进行人工分析。在这种情况下，研究人员正在研究通过使用模拟技术（Patriarca、Falegnami等，2018）和模型验证工具（Zheng、Tian 和 Zhao，2016）将定性评估与定量评估相结合的可能性。
在数据收集方面，无论是FRAM还是RAG，都需要采用其他方式收集数据，例如采用游戏化技术，这反过来也可以提高知识产生过程的质量。本章通过多学科视角展示了韧性工程领域取得的科学进展。
关键信息
1.现代社会技术系统本身十分复杂，需要创新的管理方法。
2. 为复杂社会技术系统的风险和安全管理引入韧性工程（resilience engineering）学科。
3. 从“工作即完成（work-as-done）”的角度分析流程，是社会技术安全管理的首要关注点。
4. 本文从理论层面和两个实例讨论了FRAM和RAG两种方法。
本文由朱安淇和郑欢翻译编辑。朱安淇本科毕业于中山大学人类学系，目前在中国人民大学环境学院读研；郑欢毕业于德国弗莱堡大学全球研究硕士和澳洲国立大学环境研究和社会学学士，目前从事韧性城市发展、气候适应和灾害风险管理领域工作。
排版：刘曦桐
热门跟贴