《Frontiers in Digital Health》：From emergence to recoverability: a sociotechnical control trajectory theory of HIT-related risk
编辑推荐：
健康信息技术（HIT）深深嵌入当代临床实践，但基于事件的研究持续表明，数字系统可能引入新的、有时广泛的患者安全风险。虽然先前研究在分类HIT相关问题类型方面有效，但它们对这类风险如何涌现、保持未被注意、跨社会技术系统传播以及最终导致伤害或成功被遏制提供的解释有
健康信息技术（HIT）深深嵌入当代临床实践，但基于事件的研究持续表明，数字系统可能引入新的、有时广泛的患者安全风险。虽然先前研究在分类HIT相关问题类型方面有效，但它们对这类风险如何涌现、保持未被注意、跨社会技术系统传播以及最终导致伤害或成功被遏制提供的解释有限。该研究提出了社会技术控制轨迹理论（Sociotechnical Control Trajectory Theory），这是一个理论驱动的框架，将HIT相关风险概念化为常规临床实践中控制退化和恢复的动态过程。该理论不将HIT事件视为孤立事件或静态失败，而是解释风险如何通过数字系统、临床工作流程和组织响应之间的交互随时间演变。该框架指定了四个反复出现的阶段，即风险涌现（risk emergence）、风险隐藏（risk hiddenness）、风险传播（risk propagation）以及可恢复性或失控（recoverability or loss of control），并确定了四个在每个阶段影响结果的跨层次控制能力：可观测性（observability）、可解释性（interpretability）、协调响应（coordinated response）和系统余量（system margin）。该框架的贡献在于将现有的社会技术、韧性和系统控制视角整合到一个时间结构化的解释模型中，该模型特别关注数字互联临床环境中HIT相关风险的演变。为支持实证应用，该研究推导出一组可检验的命题，并提出了间接的社会技术指标，这些指标可能通过事件报告、系统日志、民族志方法和混合方法设计促进对新兴控制退化的早期识别。通过将注意力从事后事件描述转向HIT相关风险发展和展开的动态机制，社会技术控制轨迹理论为日益复杂的数字健康环境中更主动的安全监控、系统设计和组织治理提供了基础。
健康信息技术（HIT）已深度融入当代临床实践，但基于事件的研究持续显示数字系统可能引入新的、有时广泛的患者安全风险。现有研究虽能有效分类HIT相关问题类型，却对风险如何涌现、保持不被察觉、在社会技术系统间传播以及最终导致伤害或成功被遏制提供有限解释。针对这一空白，研究人员在《Frontiers in Digital Health》上发表了该研究，提出了社会技术控制轨迹理论（Sociotechnical Control Trajectory Theory, CTT），将HIT相关风险概念化为常规临床实践中控制退化与恢复的动态过程。该理论整合了社会技术、韧性和系统控制视角，通过四个反复出现的阶段（风险涌现、风险隐藏、风险传播、可恢复性或失控）和四个跨层次控制能力（可观测性、可解释性、协调响应、系统余量）解释风险随时间演变机制，并推导了可检验命题与间接社会技术指标。其重要意义在于将分析焦点从事后事件描述转向风险发展的动态机制，为数字健康环境中的主动安全监控、系统设计与组织治理奠定基础。
在技术方法上，该研究主要通过理论综合与文献分析构建框架，未涉及实验操作或样本队列。研究人员基于已有事件研究的模式（如系统升级、配置变更后的延迟识别和跨工作流传导），融合社会技术理论、韧性工程（Resilience Engineering）和系统控制思维，通过概念推导提炼出控制轨迹的阶段与能力。为支持实证应用，研究提出利用事件报告、系统日志、民族志方法（Ethnographic Methods）和混合方法设计（Mixed-Methods Designs）来观察间接社会技术指标（如变通做法流行度、跨工作流依赖），从而在风险大规模暴露前识别控制退化信号。这些方法不依赖特定试剂或培养步骤，而是依赖于已有安全和组织管理数据的系统性再解读。
研究结果部分按论文结构呈现如下：
**3.2 HIT相关风险的核心属性**：通过综合事件研究发现，HIT相关风险具有四个核心属性：潜伏性（Latency，即风险条件存在而不被识别）、非局部性（Non-locality，即风险起源与影响地点可能分离）、可扩展性（Scalability，即单一条件可同时影响多患者或多部门）和时间位移性（Temporal Displacement，即风险引入与后果显现之间有时差）。这些属性源自数字系统共享数据对象、自动化和互操作性的特性。
**4.1 社会技术控制轨迹概述**：基于对HIT事件调查中反复出现的模式（延迟检测、跨工作流传导、组织恢复能力差异）的综合，研究人员提出控制轨迹理论。它认为安全取决于组织对数字表征（如患者数据、系统状态、警报）与临床现实之间对齐的控制能力，当对齐侵蚀时风险出现。
**4.2 风险涌现：HIT相关风险如何产生**：通过分析系统升级、配置变更、安全补丁等常规活动后的模式，研究发现风险涌现源于配置漂移（Configuration Drift），即系统配置与临床工作实践之间的逐渐偏离。这种漂移在正常操作中被掩盖，常被视为日常复杂性而非失败。
**4.3 风险隐藏：风险为何保持潜伏且未被识别**：基于事件报告和社会技术分析，研究揭示隐藏的三个机制：可观测性衰减（Attenuated Observability，系统内部状态不透明）、通过适应正常化（Normalization through Adaptation，变通做法掩盖风险）和组织碎片化（Organizational Fragmentation，责任分散导致局部视角）。这些机制使信号被减弱或正常化。
**4.4 风险传播：风险如何跨工作流和系统扩散**：通过追踪事件中的错误传播路径，研究发现数字系统因共享数据对象、自动处理和互操作性链接而特别容易传播。风险通过紧密耦合的工作流（Sociotechnical Workflow Coupling）和时间延伸（Temporal Extension）在患者、部门和时段间扩散。
**4.5 可恢复性与失控：为何某些风险被遏制而其他风险造成伤害**：基于对组织响应差异的比较，研究表明可恢复性取决于社会技术控制能力（如检测异常、解释信号、协调响应和系统余量），而非技术问题的严重性。组织具备稳健的应急计划和升级途径时更可能遏制风险，否则风险可能升级为不可逆损失。
**5.1 关于风险涌现的命题**：通过推导，研究提出HIT相关风险更可能在系统变更（如升级、配置更改）后涌现，且高可配置系统在局部决策未考虑下游依赖时更易出现涌现行为。
**5.2 关于风险隐藏的命题**：研究认为风险在低可观测性系统中更易保持潜伏，且随着一线人员对非正式变通做法的依赖增加，正式识别的可能性降低。
**5.3 关于风险传播的命题**：研究指出风险在具有高工作流耦合和广泛共享数据对象的系统中传播更快更广，且当数据验证机制薄弱时互操作性增加潜在风险的影响规模。
**5.4 关于可恢复性与失控的命题**：研究发现成功恢复的可能性与组织控制能力（如应急计划、升级路径、人员灵活性）的关联强于技术问题的严重性，且延迟识别会不成比例地降低可恢复性。
在讨论部分，研究人员总结了理论的三项主要贡献：将分析焦点从静态分类转向动态风险演化过程、将隐藏和传播提升为核心机制而非事件附带特征、将可恢复性确立为核心理论构念。理论对安全监控的启示是应关注变通做法流行度等间接指标；对系统设计强调可观测性和可解释性；对治理强调应急计划和跨职能协调。同时，理论旨在补充而非替代现有框架（如Swiss Cheese模型、FMEA、韧性工程等），并承认其局限性在于抽象程度高，需通过实证操作化，以及未直接纳入患者视角。结论部分翻译如下：
通过将HIT相关风险概念化为社会技术控制轨迹，本文为数字健康技术为何在系统设计和事件报告进步中仍持续产生意外安全挑战提供了统一解释。本文并非提出全新安全范式，而是呈现一个整合的、HIT特定的解释框架，汇集已有的社会技术、韧性、系统控制和患者安全视角，以解释HIT相关风险的演变。该理论将事件研究的实证洞见整合进一个动态、机制导向的框架，强调涌现、隐藏、传播和可恢复性。该框架特别支持理解数字中介和可互操作的临床环境，其中风险可能保持潜伏、跨工作流快速传播，并超出许多常规组织安全管理方法的解释范围。由此，它为日益复杂的数字健康生态中更主动、系统层面的风险管理奠定了基础。
