不同维度和时间尺度的韧性规划和建设是社区有效应对气候变化与其他风险最强有力的工具。技术正以前所未有的速度发展，以应对快速变化和相互竞争的社会需求。工作的技术、人力、程序和组织方面的相关动态互动增加了纯技术系统的内在复杂性。其中，系统分析包括三个维度：系统所运行的世界、所涉及的元素以及观察系统时所使用的表征，这些都会导致复杂性。本章节的

　　2004 年 10 月，一批经验丰富的研究人员聚集在瑞典索德尔科平，思考如何进一步改进安全管理领域的工作。当时，人们意识到，现代企业的工作性质需要重新考虑“风险”和“安全”的含义。技术以一种前所未有的速度发展，以应对快速变化和相互竞争的社会需求。工作的技术、人力、程序和组织方面的相关动态互动增加了纯技术系统的内在复杂性。纯粹的技术系统与人和组织的共生关系更加密切，对安全管理产生了严重影响。

　　安全通常被认为是一个系统的特征，它能防止对人的健康（即受伤或死去）、财产造成损害，或对环境造成不良后果。根据词源学，英文单词safe来自拉丁文salvus，意为完好无损或完整。在组织过程中，安全 一词指的是没有伤害或损伤，甚至没有相关风险（Hollnagel，2018）。风险可被视为一种情况或事件，在此情况或事件中，具有人类价值的东西（包括人类自身）处于危险之中，结果存在不确定性（Rosa，1998 ）。

　　基于这种对安全的理解，2004年在索德尔科平举行的第一届韧性工程协会研讨会期间，韧性工程的概念从最初的共识走向了更有条理的知识生产阶段。为更好地在安全管理的背景下理解韧性的科学含义和相关性，有必要在概念上后退一步。

　　从形式上讲，安全科学的发展是为了提供在认识论上最有依据、最可靠的论述，其反映了跨学科的优秀研究成果（Hansson，2013）。因此，安全科学可视为由两个科学组成部分构成：关于安全相关现象的既有知识，和用于理解、评估、描述、沟通和管理安全的概念工具。

　　与此同时，安全管理中的韧性概念是指在概念和实践两个层面的知识产品基础上，为理解、评估、沟通和管理一个系统、一个组织甚至一个社会的安全而开展的活动。这些知识产品结合起来可称为韧性工程，其目标是考虑系统的社会技术复杂性，并理解这种复杂性如何影响系统的行为和性能。这些系统包括飞机、医院、船舶、火车，或任何以技术、人类和社会元素之间的共生互动为特征的系统。

　　本章将首先介绍社会技术系统分析的复杂性概念，这是提高系统安全性的韧性研究的起点。接下来，将介绍韧性工程中用来提高安全性的两种方法：韧性分析网格 (Resilience Analysis Grid, RAG)和功能共振分析 (Functional Resonance Analysis）方法。本章将举例说明这两种方法及其在工程问题中的应用。本章最后一部分总结了韧性工程对系统安全的贡献以及可能的研究议程。

　　complex 一词源于拉丁语 complexus，意思是“交织在一起的东西”。在科学界，复杂性一词首次出现在热力学第二定律中，与时间和分子运动固有的不可逆性有关。从那时起，关于复杂性的研究带有跨学科视角，其共同点是分析各种相互影响、相互交织的元素，这些元素能够适应或应对它们所参与或促成的过程（Arthur，1999）。在一个社会技术系统中，各种过程是彼此依存和相互作用的，它们通过多种难以识别的模式，可能产生动态、非线性和不可预测的行为。以阿拉斯加航空公司261号航班为例，2000年1月，这架从墨西哥巴亚尔塔港起飞飞往西雅图的MD-80飞机遇到了一个严重问题：用于控制飞机巡航时节点姿态的水平稳定器似乎被卡住了。这个问题导致了一场灾难：2名飞行员、3名机组人员和83名乘客在飞机撞击时丧生。尽管调查发现了一个损坏的部件（固定水平稳定器的千斤顶螺母组件），但最终的事故报告包含了与组织实践、战略决策、监管漏洞和缺乏适当冗余策略有关的复杂因素。多年来，这些现象逐渐被视为正常现象，形成了一些模式，而这些模式演变为灾难的基础。Dekker（2011）对这一事件进行了批判性的详细分析。

　　从认识论上讲，complex并非complicated的同义词：如果借由一套规则（或多或少难以定义和理解）能够捕捉到一个系统的功能，那么这个系统最终是可知的，则该系统是complicated；而complex的系统永远不可能完全被认识，难以固定地、全面彻底地描述。为说明这些差异，图24.1展示了两个系统：系统A的紧密连接使其成为一个complicated的系统，而系统B的复杂性（complexity）归因于多重的自由程度（multiple degrees of freedom），这使得我们无法精确预测系统的行为和演变。概括而言，系统B比系统A更为复杂，因为系统A的某些自由度受到了限制（Goldratt，2008）。韧性工程科学领域认为，复杂性不是一种事物，而是一种待研究的情况（Rasmussen，1979）。

　　从更大的视角来看，社会技术系统可以被理解为一种复杂的适应性系统，我们可以从复杂性管理的观点来分析它。可以根据三种不同的视角来管理复杂性：算法复杂性（algorithmic complexity）、确定性复杂性（deterministic complexity）和总体复杂性（aggregate complexity）（Manson，2001）。算法复杂性指的是解决问题所需的计算工作。确定性复杂性以混沌和灾难理论为基础，用于确定一组初始变量的微小变化对输出变量产生的重大影响。对大型系统而言，这种影响极有可能导致崩溃。确定性复杂性依赖于数学方程和对系统行为方式的严格假设，以使方程可信。

　　相反，总体复杂性旨在获得系统的整体表征，不强求严格的数学关系。在此情况下，以复杂性为导向的视角更注重关系而非构成要素（Hollnagel，2012a）。在确定总体复杂性概念的范围时，系统分析包括三个维度：系统所运行的世界、所涉及的元素以及观察系统时所使用的表征，这些都会导致复杂性。系统表征是一种从本质上捕捉到当前系统的动态性和交织性的模型。

　　由此定义复杂社会技术系统的一系列共同特征（Pavard & Dugdale, 2006）。这些特征包括:

　　• 有限的功能可分解性：社会技术系统本质是相互交织的，这意味着被分解不同部分的系统无法保持与整体系统相同的特性。

　　• 信息和表征的分布特征：系统的某些认知属性是分布于不同行动者，导致数据不确定、模糊、不完整或不可用。

　　• 涌现与自组织（emergence and self-organization）：如果无法通过系统组成部分的功能来预测某一系统属性，那么该属性就是涌现。它可能产生于个体或集体社会技术行动者的局部互动。

　　用库恩的话来说，韧性工程是安全管理模式的转变。它侧重于系统持续应对日常工作中权衡生产率与安全所产生的复杂性的能力（即韧性；Hollnagel，2006 ）。人们很早就认识到，韧性工程学科具有系统性，必须关注系统作为一个整体的复杂性，而不是对系统各组成部分进行简单的单独分析。自20世纪70年代以来，人们越来越重视安全的系统性问题，这一现象一直延续到20 世纪80年代。监管机构的兴趣日益浓厚，其重点从技术性问题转移到决策和管理问题上。当时的一些重大事故报告开始强调与人和组织活动有关的参与性问题（Hale、Heming、Carthey 和 Kirwan，1997）。例如，1979年的三里岛核电站事故、1986年的挑战者号航天飞机爆炸事故以及同年的切尔诺贝利灾难。到20世纪80年代末期，风险开始被作为系统的结构性问题来解决，正如正常事故理论（normal accident theory）（Perrow，1984）所指出的，由于系统之间的紧密耦合和非线性互动，这些系统本身就存在风险。由于存在多个行动者和多个紧密、甚至相互冲突的目标，风险也被视为一种在安全、经济和工作量范围内保持系统性能的可控问题（Rasmussen，1997）。

　　根据总体复杂性视角，社会技术系统中的安全不能被视为“一个系统的社会和/或技术视角“的“产物”或“存在于”这些视角中（Hettinger, Kirlik, Goh, & Buckle, 2012）。鉴于社会技术系统的动态性质，安全并非系统的常态或永久属性，而是从系统与环境组成要素的交互中产生的（Yang, Tian, & Zhao, 2017）。

　　在此背景下，韧性被证明与适应概念相关（Amalberti，2006 ）。韧性有四大基石：应对（responding）（知道该做什么）、监测（monitoring）（知道该寻找什么）、预测（anticipating）（知道该期待什么）和学习（learning）（知道发生了什么；Hollnagel，2011）。最近，人们意识到不可能解决韧性的某些一般特征，因此提出了另一种理论观点，其重点是反弹、稳健性、从容的可扩展性（graceful extensibility）和适应性（Woods, 2015）。

　　所有这些定义大多认为韧性定义是一种系统特征，它能使系统本身对意外干扰做出反应，迅速恢复正常运行，并将对系统性能的损害降到最低。因此，从形式上讲，韧性被定义为系统在发生变化和干扰前后调整其功能的内在能力，以便在面临持续压力或重大事故时继续工作。因此，韧性工程学可以作为一门以复杂性为导向的综合学科来建设，目的是为系统提供管理、体验和增强韧性的手段，以应对外部和内部的动荡。这门学科认为，管理韧性和安全意味着管理可能导致系统崩溃的风险动态和风险演变。在这个意义上，韧性工程学与其他韧性模型一样，需要考虑风险暴露，以充分了解增强系统韧性的机制。

　　在传统的安全管理中，通常可以为事故分析或风险评估预测确定一条典型的灾难路径，从单个故障开始，通常与人为行为（即人为错误）有关。这种想法植根于对风险的一种解释，这种解释的重点是系统的能量（即危险的能量积累、意外转移或失控释放）。这种能量必须通过物理和非物理的屏障加以控制，以阻止或至少限制其散播。障碍的例子有：程序、有效的管理决策、规定、自动反馈系统或培训行动（见图24.2）。

　　然而，能量并不总是一种威胁，障碍甚至会产生意想不到的副作用，增加系统的复杂性，从而增加系统的非智能性和潜在的突发风险。对于现代社会技术系统而言，这种线性视角已逐渐成为问题。由于系统本身固有的复杂性，要确定一条灾难路径的起源变得极其困难，甚至不可能。

　　此外，系统的行为通常是动态的，因此对系统的描述本质上也应是动态的，不应过于简化，仅以建构主义观点为导向。后者指的是WYLFIWYF原则（你所寻找的就是你所发现的）：原因不是被发现。