当稳定绩效产生误导：补偿依赖系统的形式化模型

《Safety Science》：When stable performance misleads: A formal model of compensation-dependent systems

　　

在医疗与航空等复杂社会技术系统中，安全绩效不仅取决于系统设计，更取决于工作者持续的适应性努力，即预期中断并闭合设计遗留缺口的过程。韧性工程（resilience engineering）与安全-II（Safety-II）将此种适应识别为复杂系统成功的机制，但治理层仅衡量死亡、事故与延误等结果，而忽视其背后的努力。随着系统缺口持续扩大，工作者强化补偿性努力以维持产出，同时消耗支撑未来绩效的有限储备。此种补偿依赖状态被研究人员定义为持续补偿投入（Persistent Compensatory Engagement, PCE）。为使该分歧可显式化且可检验，研究人员建立形式化动态模型，关联结构缺口（G）、补偿努力（C）、适应储备（R）与观测产出（O），四者依序变动，故产出最后偏移且仅在储备下降后偏移，从而收窄安全操作裕度。独立研究与此序列一致，记录了在长时段稳定产出背后缺口扩大、努力上升与储备耗竭。该框架亦规定了前瞻监测的上游指标、其伦理使用保障，以及在源头修正缺口而非强化个体应对或进一步向劳动力转嫁。因此，稳定绩效并非安全证据，而是成功补偿努力的证据。通过使补偿努力可测、储备耗竭可预测，PCE将安全治理从量化系统成功转向量化该成功之成本。

研究背景方面，在高后果社会技术系统中，安全不仅由系统设计产生，更由系统内工作者的适应性努力生成。效率与生产压力使系统向安全边界迁移，可靠绩效依赖工作者持续预期扰动、吸收变异并恢复稳定。韧性工程、安全-II与高可靠组织理论将适应视为常态机制，但当代治理仍监测死亡、事故、延误等适应产物，而非适应工作本身，导致相同产出可对应充足结构能力或持续劳动力补偿两种观测量等价却脆弱性迥异的状态。成功补偿反而遮蔽脆弱性，结构劣化静默累积，直至补偿能力耗尽方突发失效。医疗与航空领域独立证据表明，人员紧张、倦怠、疲劳等上游指标恶化而常规产出长期稳定，近期才随缓冲枯竭现出劣化。既有安全模型（STAMP、FRAM）未将适应表述为可耗竭有限容量，系统动力学虽有耗竭存量但缺适应机制整合。为此，研究人员开展本研究，提出持续补偿投入（PCE）框架，形式化结构缺口G(t)、补偿努力C(t)、适应储备R(t)与观测产出O(t)的动态关系，区分需求驱动与设计生成两类结构缺口，嵌入战略管理层级，并推导可证伪时序预测。研究结论指出，稳定产出不是结构韧性的证据，而是劳动力以递减储备维持产出的证据；测量补偿努力可在结构仍可修正、储备未竭、失效可免的窗口暴露劣化。该文发表于《Safety Science》。

关键技术方法上，研究人员采用形式化动态建模，定义运营需求D(t)与结构容量S(t)，将总结构缺口分解G(t)=G_d(t)+G_x(t)+γ·(G_d(t)G_x(t)/G?)（γ≥0），其中G_d为需求驱动缺口、G_x为设计生成缺口；补偿努力C(t)作为G(t)的单调响应函数，适应储备R(t)以恢复流与耗竭流差分演化，观测产出O(t)为R(t)与C(t)的滞后饱和函数，使G→C→R→O依序偏移。研究整合韧性工程、STAMP控制论、FRAM功能共振与系统动力学存量耗竭逻辑，并以Rasmussen动态安全模型为空间参照；上游指标选取倦怠、疲劳、 staffing instability等劳动力储备代理变量，未涉及实证队列采样，属概念形式化与文献综合研究。

研究结果部分，按原文小节叙述如下。2.1节从偶发适应到持续补偿投入：研究人员指出适应本为复杂系统可靠运行常态机制，当结构缓冲、冗余与恢复裕度被压缩，前线工作者吸收他处失效成为基线要求， episodic adaptation转为continuous，可靠性的组织嵌入转为人类适应努力供给，PCE即此转型后状态，稳定产出隐蔽结构脆性的机制在Rasmussen边界压缩图示中显式化。2.2节需求驱动与设计生成结构缺口：研究人员区分两类缺口，前者为负荷超容，后者为工作流碎片、报警负荷、文档转嫁等设计强加负担，二者招募同一适应机制但治理干预不同——需求缺口配资源，设计缺口需再设计；误辨则资源投错位。2.3节补偿工作与储备耗竭：研究人员归纳补偿工作三属性——外部生成、结构未决、组织不可见，其消耗认知情绪生理储备而不产生识别与恢复；储备耗竭在个体倦怠前已上游累积，PCE将个体层级发现升为系统层级构念。2.4节战略管理层级：研究人员置于结构条件与前线间，管理者以协调再优先化吸收缺口，但其自身储备同源有限，被拉入前线则监督衰退；当激励奖短期产出，管理层反复选转嫁而非源修正，落入能力陷阱（Capability Trap）自增强环，该层亦为组织韧性执行点，需公正文化与心理安全使补偿可见。

讨论与结论翻译部分，研究人员强调稳定产出在PCE状态下丧失诊断价值，传统安全治理（Safety-I）仅反应式追踪下游事件，而监测C(t)与R(t)使Safety-II前瞻姿态可行。区分G_d与G_x决定干预是加人还是再设计，在资源受限部门消除设计生成负担可同步降压、复储、增效。形式化模型给出可证伪序列：G先升，C次升，R降，O末降；若观测到O未变而C升R降即判为PCE。伦理上上游指标须防个体归责，用于源修正而非绩效惩罚。结论重申：稳定绩效非安全证据而为补偿成功证据；PCE把治理从数系统成功转为数成功之成本。