综述：一种关于社会技术系统安全性的进化模型

《Theoretical Issues in Ergonomics Science》：An evolutionary model of sociotechnical system safety

　　摘要：近年来，采用系统方法来分析社会技术系统的安全性已成为一种普遍趋势。这种基于分层反馈控制模型的通用方法未能充分认识到不断演变的社会系统所带来的分析挑战。本文提出了从有机体角度出发对社会技术系统进行分析的方法，并构建了一个与进化群体选择理论相一致的模型。反馈控制模型与进化有机体模型之间的区别在于多层级系统内部及层级间的过程差异：反馈控制模型强调通过目标进行自上而下的管理，而进化模型则强调自下而上的涌现过程，这种过程通过自下而上的处理与自上而下的约束之间的相互作用来实现各层级之间的互惠性。此外，进化理论还关注信息传递过程中细节的选择性丢失以及子模块的模块化特性。这些观点揭示了影响社会技术系统安全性的社会力量——那些导致程序性偏差的力量，以及促进适应、学习和组织意识的力量。虽然反馈控制模型侧重于自上而下的控制，但有机体方法将关注范围扩展到了团队内部、团队之间以及组织层级之间的相互作用。

关键词：安全性；一般系统理论；分层系统；进化群体选择；社会技术系统；有机体系统

引言：当前关于社会技术安全性的研究经常声称遵循系统方法（例如Canham等人2018年、Goncalves Filho和Waterson 2019年、Kee等人2017年、Kim、Nazir和?verg?rd 2016年、Kwon 2016年、Lee等人2017年、Leveson 2011年、Leveson等人2020年、Salmon、Cornelissen和Trotter 2012年的研究）。系统方法与非系统方法的主要区别在于是否以分层反馈控制作为核心理论框架（Leveson 2011年、Vicente和Christoffersen 2006年、Woo和Vicente 2003年）。在分层视角中，控制过程是自上而下的（Leveson等人2009年）。这种观点认为系统安全性是一种涌现属性（Leveson 2011年），所有层级在系统中都扮演着关键但不同的角色（Vicente和Christoffersen 2006年）。系统是一个由相互关联的元素或部分组成的实体，这些元素或部分以某种模式或结构有机地组织起来，以产生特定的行为（Meadows 2008年）。系统方法关注社会技术系统这一特殊类型的系统，其中的社会关系和组织结构很大程度上受到管理、协作、专业知识和能力等社会过程的影响。尽管技术要素和社会实体相互依存，两者都在产生涌现属性中起着关键作用，但人类的发展过程、社会过程（如教育、培训和经验学习）带来了额外的分析需求。此外，尽管社会技术系统最初被设计为理性构建的分层结构，但它们会随着运营压力的变化而演变（Snook 2000年）。有些演变可能会损害安全性，而有些则可能建立高效且稳健的工作流程（Lintern 2003年、Rasmussen 1997年）。本文认为，强调分层自上而下控制的控制模型为社会技术系统安全性的理论提供了不足的基础。实际上，难以解决的社会技术挑战往往源于社会因素而非技术因素。因此，对社会技术安全性的系统方法需要进行深入分析，特别是那些与自上而下的管理或控制无关的社会要素。一般系统理论（Bertalanffy 1950年、1968年）和进化群体选择理论（Wilson和Sober 1994年）提供了关于人类社会系统如何运作和演变的见解。这些进化视角促进了组织层级之间相互因果关系的认识，认为涌现主要是自下而上的过程。本文以新建设的发电厂为例，说明管理系统和控制通常是基于自上而下的控制设计的。在运行过程中，系统在进化（适应）力量的作用下逐渐演变为自上而下控制与自下而上涌现的混合体。这种分布式管理形式看似混乱且难以管理，但实际上源于可解释且规律的社会过程，可以为社会技术系统的设计提供指导。

一般系统理论：Bertalanffy（1950年、1967年、1968年）提出了一般系统理论，该理论涵盖了所有系统的原理。他采用有机体方法来解释生命系统中的过程，超越了仅关注信息和反馈的控制策略。他的许多见解对分析社会技术系统具有重要意义。尤为重要的是，Bertalanffy（1950年）指出生命系统处于持续变化的状态。Snook（2000年）在分析一起重大社会技术系统事故时提出了类似的观点。他观察到，尽管社会技术系统的初始设计可能是合理的，但实际运营中的压力会导致非正式的变化，这些变化可能在局部有效，但在全局上可能不一致。Bertalanffy的理论进一步阐述了生命系统通过渐进性分化发展出新功能的过程（图1）。生命系统中的现有功能会得到完善，有时会产生多个新功能，这些新功能通常比原始功能更详细、更具体。在人类系统中，适应、学习和经验促进了这些新能力的发展，不同个体在完成任务时变得更加专业化。主流认知科学往往忽视了新功能可以通过分化产生的观点，而通常将其归因于组合、重组或关联链接。

多层级组织结构：Bertalanffy（1967年）强调需要组织法则来解释各部分和过程的秩序与组织结构。多层级组织结构在组织中起着核心作用；较高层级的功能是通过较低层级子系统之间的相互作用实现的。一旦较高层级的功能被激活，它就会对较低层级的活动产生约束，从而形成一种循环因果关系。由于较高层级的功能是由较低层级系统过程之间的关系建立的，而非任何计划或指令的结果，因此它是涌现的（Lintern & Kugler 2023年，见框1）。多层级组织结构是对生物复杂性增加的进化响应（Pattee 1973a；Simon 1962年、1981年）。在人类社群系统中，多层级组织结构可以自然演化，例如社区对共同挑战的响应。例如，“公地悲剧”（Meadows 2008年）描述了一种情况：共享的有限资源（Ostrom 1990年称之为公共资源）使许多社区成员受益，但过度使用可能导致资源退化甚至无法再生。解决这一问题的方法是建立管理机制来监控资源使用情况（Ostrom 1990年）。这种多层级组织结构是对问题的一种涌现性适应，它并非预先设计好的，而是随着问题在社区中显现而自然形成的。需要注意的是，情境压力（如资源稀缺）更可能激发合作行为（Ostrom 1990年）。然而，这也存在不可避免的矛盾：资源稀缺可能引发竞争，也可能促进合作共享（Bertalanffy 1950年）。根据组织结构中信息传递的选择性丢失原则（Pattee 1973b），较高层级的约束仅涉及较低层级部分约束。例如，在使用公共资源时，较高层级的约束决定了资源的可用容量；其他使用时间和方式的约束则由较低层级单独确定。由于团队内部及团队之间的沟通也很重要，我将这一原则推广到同一层级或不同层级之间的信息传递。

Simon（1962年、1981年）认为，强大的组织由一组相互作用但相对独立的模块组成。模块内部元素的相互作用频繁且响应时间短，而模块之间的相互作用较少且响应时间较长。然而，这些模块间的弱相互作用对系统的持续运行至关重要。Simon（1962年、1973年、1981年）认为，模块化（几乎可分解）系统比非模块化（完全可分解）系统演化得更有效，对外部干扰的抵抗力更强。将这些原则（模块化、选择性丢失细节）应用于社会技术系统，可以得到如图2所示的框架。该框架大致基于Rasmussen和Svedung（2000年）图3.7中的信息流图。工作界面的团队（模块）处理有时具有危险性的物理过程。同一团队内的成员之间频繁互动，响应时间短；尽管不同团队之间的互动较少且响应时间较长，但它们对系统的正常运行仍然至关重要。

图2：一种通用的模块化工作结构（灵感来自Rasmussen和Svedung 2000年的InfoMap）。该图展示了包含三个主要部分的组织层级结构：公司、管理和危险过程。顶部有一个“执行”节点，连接到“意图声明”，向下连接到两个“团队领导”。这些领导向执行层提供“简报”，并向四个“工作模块”提供“指导”，这些模块详细说明了“日程安排”和“产品交接”等流程。“工作模块1”的插图展示了三个工人进行协作讨论和任务协调的过程，说明了责任和信息在危险过程中的流动。信息流动通常是双向的，形式多样，包括指令、命令、建议等。在模块化社会中，这些互动塑造了团队内部、团队之间以及不同层级之间的态度和理解。团队成员从同伴那里获得新的理解和态度，尽管这种塑造作用较弱，但仍可能影响系统性能。图2中未展示的是等效性的可能性，即不同的工作单元可能以不同的方式产生功能上等效的结果；以及多效性的可能性，即特定的个人或团队可能会根据情境的需要承担不同的角色。对于社会技术系统而言，模块化原则的更广泛含义在于，工作小组内部、同一组织层级内的工作小组之间以及不同层级之间的互动，尽管性质不同，但对系统的整体运作至关重要。同样，选择性省略细节以促进信息传递的原则的更广泛含义在于，这些多样化互动中的信息交换需要被有选择地管理，以满足互动的功能需求。

关于社会技术系统安全性的许多文献都是建立在Rasmussen（引用1997）的组织模型基础上。他指出，参与控制危险工作过程的社会技术系统是通过多个层级组织的（见图3）。操作员直接控制危险过程，而管理者、高管和监管机构则通过发布指令、规则、法规和法律来塑造工作环境。这一观点是Rasmussen在安全研究领域中最常被引用的概念性贡献之一。尽管其他人（例如参见Leveson引用2011；Vicente和Christoffersen引用2006）认为Rasmussen将这种组织结构视为层级的，但并不清楚他是否确实如此（参见Rasmussen引用1997；Rasmussen和Svedung引用2000）。

图3显示了一个典型的社会技术系统结构，该系统由多个组织层级组成（改编自Rasmussen和Svedung引用2000，并经第二作者许可）。这个详细的流程图描绘了一个从政府到危险过程的安全管理系统，展示了自上而下的权力和指令流动，同时也说明了自下而上的反馈循环。顶层的“政府”部分通过“判断”和“法律”与“监管机构”相连。后续层级包括“法规”、“公司政策”，一直到“员工”，展示了信息流动和决策过程。最低层级专注于“危险过程”，显示了基于早期判断和反馈机制采取的行动，箭头指示了信息和权力的流动方向。

Rasmussen（引用1997）和Leveson（引用2011）都描述了这种组织结构，其中相邻层级之间有通用形式的指令和指导向下流动，以及通用形式的报告和分析向上流动。虽然Rasmussen和Svedung（引用2000）指出我们对层级之间的垂直整合知之甚少，但Leveson（引用2011）将这些层级间的信息交换视为闭环反馈控制。关键的是，这种控制是基于目标而非规定性规则的详细规范（Leveson引用2011；Vicente和Christoffersen引用2006；Woo和Vicente引用2003）。然而，这种结构显然是层级的（Leveson引用2011），并且是自上而下的（Leveson等人引用2009），高层的目标对低层级的活动施加了约束。

在这类文献中，目标的性质相当模糊。不过，Woo和Vicente（引用2003）提到在其层级结构中存在不遵守规定的文化，这表明遵守规定的文化将是一个理想的目标，并且这种目标在不同层级会有不同的表现。值得注意的是，Woo和Vicente（引用2003）认为，不遵守规定的文化不应归因于系统内部未能提供足够反馈、资源、监督和能力的问题。这种系统安全方法依赖于明确安全相关目标（见图4），然后制定自上而下的策略来主动监控这些目标。如果没有这样的目标，系统就会退回到基于规定的管理方式，而这在动态且竞争激烈的环境中是不可行的（Leveson引用2011；Rasmussen引用1997）。目前尚不清楚那些支持社会技术系统安全层级方法的人是否普遍认识到在每个层级确定安全相关目标的挑战。此外，即使基于目标的反馈控制策略也需要一个参考点。除了生产力之外，如何主动评估图4中的目标以及如何确定理想的价值观（参考点）并不显而易见。

图4展示了从本文引用的来源中推测出的通用社会技术系统目标（这些目标既与生产力相关也与安全性相关；请注意，有些目标跨越多个层级，而有些则特定于单个层级）。该图包含一个两列表格，列出了六个“系统层级”类别：政府、专业协会、公司管理、运营管理、运营人员和设备。每个类别都列出了相应的“社会技术目标”，包括“立法”、“倡导”、“预算”、“培训与入职监督”等。总体目标的关键短语——“生产力”、“安全”和“组织意识”——在另一列中显示。这种有序的网格格式有助于理解系统层级及其目标之间的联系。

在这种层级结构中，安全性被认为是一种涌现的属性（Leveson引用2011；Vicente和Christoffersen引用2006）。尽管各层级的安全贡献有所不同（Woo和Vicente引用2003），但确保社会技术系统的安全性主要是管理层的责任（Leveson引用2011）。由于通常认为涌现是从下而上产生的（Lintern和Kugler引用2023），因此这两个观点（涌现和自上而下的控制）在理论上如何一致尚不清楚。

Wilson和Sober（引用1994）发展的进化群体选择理论将多层级社会系统的每个层级视为一个独立的有机体。在上述“公地悲剧”的例子中，群体选择理论将社区成员视为个体有机体，而更高层级的资源管理被视为另一种类型的有机体。因此，不同的适应压力塑造了每个层级的行为。在这种框架下，资源管理被视为一个群体实体。

与标准进化理论中的“适者生存”不同，社会技术系统中的适应压力产生的优势是有效性（见框2）。此外，这种优势并不属于最有效的个体或组织，而是属于实施了有效策略的组织，与没有实施这些策略的反事实情况相比。例如，在“公地悲剧”的例子中，资源管理的适应压力是保持对牧场承载能力的准确评估。未能做到这一点将对社区产生负面影响。然而，一种考虑到预测天气模式及其对牧场生长影响的预见性管理策略可能比每日评估牧场承载能力更具适应性。

对于进化群体选择理论应用于人类系统的一个常见反对意见是，当低层级的个体为了自身利益而损害群体利益时，高层级的资源管理将会失败。随后，作弊行为将会泛滥，系统可能会面临崩溃的风险。在社会技术系统中，这种问题源于追求局部效率而牺牲全局一致性（Lintern引用2003）。这一论点表明需要一种层级化的反馈控制策略来监督低层级的个体行为。

Wilson和Sober（引用1994）重复了Bertalanffy（引用1950）关于竞争与合作潜力的观点。他们认为，仅从自身利益出发的视角过于简化了人类动机的复杂性，忽视了真正亲社会行为的积极作用。我们不应假设对资源的竞争必然会击败追求更高层次、涌现目标的合作。Wilson和Sober回顾了证据，表明人类行为者会在个人利益与集体利益之间取得平衡；个体可以以促进亲社会行为的方式组织起来。我的“公地悲剧”例子正是为了说明这一点。更多证据可以在Ostrum（1990, 2006）的民族志和实证研究中找到（见框3）。

Wilson和Sober（引用1994）的论点的一个含义是，在适当的指导和激励下，社区成员会将群体利益（在这种情况下是牧场健康）视为自身利益；成员会意识到纯粹自私行为对社区福利以及他们在社区中的地位的长期影响，这两者都会影响他们自身的福祉。这表明组织系统的目标应该是满足（而不是优化）工人的个人目标，同时也要满足系统目标。为此，以目标为导向的安全管理必须促进一种既能提高生产力又能保障安全性的组织文化（Weick & Sutcliffe引用2001），同时也要促进员工福利和满意度（见图4）。

每个进化中的多层级系统的层级都是从下层层级中涌现出来的（Bertalanffy引用1967）；上层层级的结果是由下层实体之间的局部互动自发产生的。如上所述，“公地悲剧”例子中的监督功能源于许多依赖该资源的个体的关切。此外，需要注意的是，涌现的属性不仅仅是其各个部分的总和，上层级的监督并不监控下层级的个体行为（控制不是规定性的）。相反，它监控资源的日常状态（即作为涌现状态的目标）。通过这种方式，只需关注少数几个维度（在这种情况下是一个维度）就能管理一个高维度的系统。

因此，牧场健康是监督层级的目标。不可接受的牧场退化应该触发调查。任何可观察到的退化可能是由于环境条件（如降雨量有限或土壤养分耗尽）造成的。另一方面，也可能是社区成员的行为造成的，有些成员可能超出了他们的使用限额。可观察到的退化也可能是由于不当行为，但也存在其他可能性，例如指导方针混乱或不一致、某些成员对指导方针理解不足、个体在平衡放牧动物数量与允许消耗量方面的能力不足等。正如Woo和Vicente（引用2003）所提到的不遵守规定的文化，不应自动将责任归咎于用户的不当行为。毕竟，这是一个处于多样化且不断变化的环境中的有机系统，充满了等效性和多效性的可能性。

在一个群体利益常常牺牲个人利益的社区中，共同命运的感觉（Wilson和Sober引用1994）会鼓励成员优先考虑群体利益。这样的社会规范和惯例源于涉及沟通模式、进化压力以及个体成员内部认知过程的局部互动（Hawkins, Goodman和Goldstone引用2019）。平等主义的社会规范有助于建设性的社区规范的产生。Ostrom（引用2006）的实验工作表明，能够沟通（即使是非正式的）并自行制定与共享资源相关规则的群体成员在集体行动中会更可靠地合作。在需要监督的情况下，成员轮流担任监督角色可以加强他们对社区规范的承诺（Ostrom引用1990）。

正如平等主义社会规范所倡导的，共同命运的感觉通过一种对他人和共同利益的真诚关怀的心理态度来促进个体的亲社会行为。在我的“公地悲剧”例子中，共同命运的感觉应该鼓励不负责监督牧场健康的成员保持积极关注，并在必要时进行干预。层级之间的循环因果关系原则得到了体现。

即使在少数社区成员的行为导致牧场退化的情况下，也需要评估这是个人失败还是群体失败。如果旨在增强共同命运感的社区活动忽视了某些成员或不够有效，那么纠正性干预可能是必要的。在社会技术系统中，这与组织意识或安全文化（Weick & Sutcliffe引用2001）是一致的。调查甚至可能指向监督层级的失败。早期预警信号（Vaughan引用1997）或社区成员表达的相关关切是否被忽视或忽略了？此外，对牧场健康的日常监督可能未能预见未来几周或几个月内会发生什么。随后，作为牧场使用者的牧民可能会面临限制放牧量的要求，为此他们可能不得不在商业上不利的时机出售牲畜。可以制定一种前瞻性策略，该策略会考虑预测的天气模式以及增加或减少畜群规模的最佳商业机会。这样的策略相对于仅以每日评估为唯一指导标准的情景而言，可能会建立竞争优势。与反馈控制模型不同，进化模型包含了社会技术系统安全性的关键问题。进化群体选择理论关注信息质量、培训质量、社区建设、共同命运以及与情境因素相关的问题。纠正性干预将促进自上而下和自下而上影响之间的微妙平衡，并实施通过增强系统涌现属性来提高安全性的自下而上的策略。

系统的本质是一个实体（例如一个身体、一个经济体、一个市场、一个社会），而系统性则是该实体的一个属性（一个描述性术语）。系统属性分布在系统中，影响大多数（如果不是全部）系统元素。在安全文献中，这种区别并不总是明确的。特别是，系统属性的本质通常没有具体说明。共同命运的感觉（Wilson和Sober引用1994）是一种系统属性；它约束或塑造了所有（或至少大多数）社区成员的行为。这种感觉也是涌现的，因为它源于社区成员之间的互动。由于社区成员产生了这种共同命运的感觉，从而约束了他们的行为，这种双层耦合在自上而下和自下而上的过程之间建立了一种循环因果关系（参见框4中的系统涌现属性的简单示例）。

Weick和Sutcliffe（引用2001）所描述的组织意识是一种系统属性。当个人对支持安全、生产力和效率的工作流程和优先级的复杂性保持敏锐而丰富的认识时，他们就是有意识的。当组织中的所有（或至少大多数）成员（在所有层级上）都对组织和工作流程有意识时，可以说这个组织是有意识的。组织的多样化成员在履行个人工作职责的同时，也遵守组织的核心价值观和优先事项。他们不仅有意识地完成自己的任务，还关注并适应对他人的压力。管理层在促进组织价值观和优先事项的同时，提供必要的资源，使一线工作人员能够运用他们的经验和专业知识来确保安全、生产力和效率。

几乎任何大型组织中的事故都涉及某种形式的人为错误。主要问题是，涉及的人是否在无法预见的情况下存在独特且不可挽回的缺陷（非系统性问题），或者是否存在系统性弱点导致了系统性风险。在工业系统中，生产压力和财务限制可能带来系统性风险（Leveson引用2011）。关键在于，系统性弱点并不局限于故障点，而是贯穿整个组织。适当的系统响应将确保不仅在当地，而且在整个系统中识别和纠正系统性问题。问题在于，从表面观察来看，系统性故障往往看起来像非系统性故障。这需要解决。系统性问题可能会通过参考目标来纠正，而非系统性问题则可能通过参考规则来纠正。最重要的是，我们不应用部分解决方案来解决系统性问题，也不应用系统解决方案来解决部分问题。

基于上述论点，社会技术分析应考虑系统的有机性质。为此，分析需要考察个人的表现、团队的表现、个人、团队和组织层级之间的互动，以及系统如何随时间演变和适应。此外，分析还应考察组织各个层级的问题，并明确区分系统性和非系统性问题。为了评估当前的层级分析策略是否有助于此，我回顾了对两个社会技术系统事故的多种分析。相关论文允许比较这两种层级导向的分析策略在这两个事故中的应用。

**案例研究1：Mangatepo峡谷**
2008年，六名学生和一名教师在新西兰Mangatepo峡谷参加一次有组织的徒步活动时因山洪暴发而溺亡。该活动由一个成熟的户外活动中心组织。中心经理负责总体责任、员工、安全预算和文化，特别是负责现场经理和培训官员的能力，这两者都对现场活动领导者的能力负有部分责任。Salmon、Cornelissen和Trotter（引用2012）使用两种层级系统方法分析了这一事故：Rasmussen的AcciMap（引用1997）和Leveson的Systems Theoretic Accident Modelling and Processes（STAMP）分析（引用2011）。这两种分析都发现了分布在组织、监督和操作类别中的40多个问题。许多问题与设备缺陷有关，而许多其他问题与人为缺陷有关。本文的总体结论是，该组织资源不足、人员配备不足、管理不善且组织混乱。显然，指导老师应该得到更好的管理和培训。此外，现场经理和培训官员应该更好地协调，并更加密切地确保指导老师具备相关能力和对天气和地形等情境因素的充分了解。最后，中心经理应该确保现场经理和培训官员具备相应能力。

目前尚不清楚本文作者将这些问题视为具体问题还是系统性问题；没有一个问题被明确且无歧义地与系统性效应联系起来。文中提到了财务和生产压力，但没有将其与任何具体问题建立因果关系。总体讨论倾向于认为操作失误是由于个人未能正确履行职责所致。显然，在培训和监督方面存在问题，也需要协调不同部门之间的沟通，但这些问题是特定于某些个人还是系统性的问题？是不幸地有一些疏忽大意的人担任了关键角色，还是存在某种系统性问题导致了普遍的功能障碍？

**案例研究2：Sewol客轮**
2014年，一艘韩国客轮Sewol在前往目的地的途中倾覆，导致300名乘客遇难。倾覆事件归因于装载和处理过程中的多重失误以及管理上的问题。此外，韩国海岸警卫队的应急响应也存在多处失误，这也加剧了人员伤亡。Kim、Nazir和?verg?rd（引用2016）以及Kwon（引用2016）在三篇期刊论文和一篇学位论文中独立分析了这一事故。他们的讨论强调了安全控制系统的问题（例如法规和指示不足、法规和指示执行不力、对控制活动反馈的监控不足）。Lee等人（引用2017）和Kee等人（引用2017）基于Rasmussen的管理结构进行了AcciMap分析（见图3）。他们的讨论指出了导致事故的一系列原因。与Mangatepo峡谷事故类似，这些分析都发现了大量问题。操作层的工作人员显然为了应对生产压力而采取了捷径。操作层和管理层之间缺乏有效的沟通。Kee等人（引用2017）指出，在事故发生前几个月，码头工人和船员就注意到Sewol存在不稳定迹象，但装载人员似乎没有将此与自己的工作联系起来。公司官员也没有对这些不稳定情况作出反应。此外，码头工人、装载人员和船员之间似乎也没有横向沟通。

Lee等人（引用2017）和Kee等人（引用2017）提到了国家文化和安全文化，但没有提出任何有意义的建议来评估和重塑这一社会技术系统中的组织文化。文中没有讨论如何加强或提升文化作为系统属性的作用，甚至没有对其定义。实际上，对文化的提及带有一种不可避免的感觉。文化被视为一种自上而下的、不可改变的力量，塑造了韩国的商业实践。文中没有提出通过文化塑造努力来使各级工作人员更加关注安全和高效系统的需求。在这些独立分析中，许多导致事故的因素被视作孤立的现象。例如，未能妥善固定货物是一个常见的问题。Kim、Nazir和?verg?rd（引用2016）建议船长应确保货物按照要求妥善固定，以保持船舶稳定性，这暗示这样的建议可以直接且单独解决货物固定问题。最值得关注的是，文中没有反思货物装载人员与船员之间的沟通或缺乏沟通的问题，也没有探讨为什么在海上工作环境中，船舶稳定性与重心之间的关系会被误解或系统性地忽视。

Kee等人（引用2017）、Kim、Nazir和?verg?rd（引用2016）以及Lee等人（引用2017）指出生产和财务压力可能是导致许多问题适应和错误决策的系统性因素。然而，与Mangatepo峡谷分析一样，这些因素并未被明确与系统性问题联系起来。此外，即使识别出这些社会因果关系，也没有针对它们采取系统性的干预措施。

**案例研究回顾**
关于Mangatepo峡谷和Sewol事故的讨论表明，承担关键职责的个人表现不佳；这些事故是由各级别和各子群体中的个人失误造成的。这些个人因无能、疏忽或缺乏意识而应受到责备。大多数情况下，这些系统中的工人和管理者只关注自己的局部问题，力求尽可能方便快捷地完成任务，很少考虑他们的行为可能对系统中的其他工人产生的影响，或者他们的努力如何影响整个系统的性能。Salmon、Cornelissen和Trotter（引用2012）指出了监督层以及监督层和操作层之间的协调不足，但尚不清楚这种协调不足是由系统性还是非系统性问题引起的。培训和入职计划被认为不够充分，但证据仅限于现场活动领导者。没有尝试探讨这些问题在系统中是否普遍到足以被归类为系统性问题。这两起事件都涉及财务和生产压力，但没有提出解决方案。相反，文中只是暗示应减轻这些压力。Leveson（引用2011）至少在财务挑战方面观点明确。这是一个自上而下的问题。管理层需要认识到安全的重要性，并且从长远来看，安全措施的成本低于因安全措施不足而造成的损失（Leveson引用2011，第390页）。然而，这种关于安全收益的观点未经验证，基于一个可疑的假设，即管理者能够评估可避免风险的长期成本，以及一个可疑的动机假设，即大多数管理者会为了避免未来不确定的成本而放弃眼前的利益。更一般地说，在竞争性工业社会中，财务和生产压力是不可避免的（Rasmussen引用1997）。安全管理需要找到一种策略来应对这一问题。这些论文也没有提供关于多层次组织如何运作的见解。尽管在组织内部以及不同层级之间存在明显的沟通或协作失败，但这些论文并未探讨工作小组应如何进行内部互动，也没有根据模块化原则探讨同一组织内的工作小组之间应如何互动。此外，它们也没有讨论应该上下传递的信息类型和内容，只是指出这些信息应该是反馈控制类型的。这些论文没有考虑到信息应该是选择性的和经过筛选的（这是根据选择性细节丢失原则所要求的）。

对社会技术系统进行有机分析可以扩展研究范围。分析不仅应考察个体和作为工作单元的团队的表现，还应考察这些工作单元之间的互动方式，以及个体和团队在组织内部及不同层级之间的互动。这种分析会认识到不同层级的个体有不同的、有时甚至是冲突的目标。影响每个层级行为的许多因素都是该层级特有的。另一方面，有些因素可能会影响多个（甚至所有）层级。我们应该保持警惕，并准备好解决层级内部和层级之间的目标冲突。这不是一个自上而下的控制问题。一个有机系统将允许较低层级的员工参与到较高层级的成功中。安全和高效的组织会通过利用有机系统的特性来平衡财务压力与安全压力之间的冲突，因为在有机系统中，相互竞争的目标可以共存。

在分析Mangatepo峡谷和Sewol事故时，人们往往过分关注个别员工的狭隘关切。在这些系统中，似乎没有组织努力去培养一支专业的员工队伍。这样的努力应该能够培养一种社区意识（一种共同命运的感觉），从而对抗将局部需求置于全局需求之上的倾向，这对工作实践也有益处（参见Hordern 2016年的引用以及Wenger、McDermott和Snyder 2002年的引用）。

有机分析会批评那些较低层级无法对较高层级的行为产生实质性影响的层级制度，以及那些较高层级控制较低层级工作细节的层级制度。仅仅依赖反馈控制（即使是基于目标的反馈控制）也是不够的。分析需要认真对待自下而上出现的必然性，以及由此导致的不同层级之间的绩效指标差异。关键在于，较高层级的指标反映了来自较低层级活动的结果，而不仅仅是这些指标的简单组合。以“公地悲剧”为例，管理层关注的是牧场健康这一目标。对于Mangatepo峡谷和Sewol事故这样的系统，管理层需要关注生产力、客户满意度和安全风险等分布式属性的质量指标。任何这些指标上的不满意分数都应被视为早期预警信号。

有机视角不会将系统安全视为消除所有危险的简单过程。通常认为，整体效果总是大于各部分之和（参见Lintern和Kugler 2023年的引用）。因此，仅仅消除所有危险并不能定义系统安全这一整体属性。此外，尽管消除已知危险可以提高系统安全性，但大规模系统事故往往是由正常事件引发的（参见Perrow 1984年的引用），或者是由一系列意外事件共同造成的（参见Weick和Sutcliffe 2001年的引用）。因此，我们不太可能主动识别出所有危险。当然，对于一个既定且稳定的社会技术系统来说，如果它与情境 contingencies（特殊情况）隔绝开来，那么所有危险都是可以提前知晓的。在这种情况下，通过消除所有危险来确保的系统安全就不是一种整体效应。

关于意外事件的运营报告，有时被描述为潜在危险的迹象（参见Vaughan 1997年的引用），可以起到早期预警的作用。例如，在Sewol事故中，关于船舶不稳定的现场报告（参见Kee等人2017年的引用）应该触发调查。当组织认真对待这些报告时，悲剧有时是可以避免的（参见Donovan等人2018年的引用）。在Sewol事故中，对船舶不稳定报告的任何严肃调查都可能主动消除危险。

至关重要的是，全面分析需要考虑时间因素。例如，是什么社会压力促使Sewol的装载人员制定了减少压载物以补偿过载的策略？一个更有经验的船员团队怎么可能不知道超载会导致不稳定，而减少压载物会进一步加剧这种不稳定呢？任何社会技术系统都会在情境压力的影响下发生变化（参见Lintern 2003年和Snook 2000年的引用）。这种变化可能发生在组织的任何层级。识别这些情境压力是至关重要的。有时，这种变化会形成安全且稳健的工作实践（参见Lintern 2003年的引用），但如果变化导致了危险，仅仅关注危险而忽视了导致它的情境压力则是毫无意义的。

社会技术安全研究通常提倡系统方法。它拒绝单一的根本原因（参见Leveson 2011年的引用），这种强调是有充分理由的。然而，理论方法总是会对研究产生限制。社会技术系统在很大程度上是一个社会组织系统。强调自上而下管理和控制的控制模型，即使它包含了目标与规范规则，也会使人们忽视那些产生适应性、程序性变化、学习和对潜在危险迹象的关注的自下而上的社会力量。有必要扩大研究范围，以涵盖有机（生命）过程。这可以通过一个进化模型来实现，该模型能够解释社会过程如何进入社会技术系统的运作中。

基于群体选择的进化模型阐明了在层级系统中如何形成整体属性。从这个角度来看，目标是整体属性，而且通常是系统属性。尽管它们源自较低层级元素之间的互动，但整体属性不能用这些元素和互动来描述。必须用一种与底层元素无关的、具有明确选择性和全局描述范围的属性来描述它们。进化模型有助于将整体目标清晰地呈现出来，使其成为有机分析的核心。

进化论的基本假设是，它促进了多层次结构的发展，这意味着虽然社会技术系统是按照控制论的思路设计的，但它们不可避免地会按照进化群体选择理论所预测的方式发展。尽管设计的重点在于自上而下的控制，但进化后的系统仍然受到每个层级自下而上出现的影响。此外，进化后的系统遵循信息传递的选择性细节丢失原则和工作团队的模块化原则。这些理论观点可以指导对大规模社会技术系统的分析，使其考虑到其有机特性。

在有机模型中，分析范围包括团队合作和团队之间的互动。此外，它还关注共享命运和组织意识等社会过程，这些过程有助于安全文化的形成。从理论上讲，对这些社会过程的关注可以为加强大规模社会技术系统的安全性提供启示。