第三章
预防决策错误

信息错误、风险管理错误和选项选择错误是导致失策错误的重要因素，但是预测错误却是导致许多大规模灾难的主要因素。

我还是麻省理工学院的博士生时，上过一堂风险概率分析课。在那堂课上，我们分成几组做项目报告，要针对操作员控制的各个复杂系统算出失效率。项目的复杂度让我们不知所措，甚至从哪里开始都没有头绪。

我们的教授诺曼·拉斯穆森（Norman Rasmussen）被誉为核能安全之父，也是将人为错误的决策事故概率量化的先驱。他告诉全班同学，项目开始之前，要想想法国哲学家笛卡儿在1637年提出的方法论，才能解决这个复杂问题。

他简单阐述笛卡儿解决问题的4个步骤。他说要解决复杂的问题，得从简单到复杂。接着把问题分解成独立的小问题，再逐一解决。解决问题的过程中，笛卡儿告诫人们要时时怀疑假设和结果，并检验遗漏的地方。

拉斯穆森教授是对的。我和詹姆、杰森、曼尼、德越被分在一组，要研究辅助给水系统的失效率。辅助给水系统是一套复杂的紧急供水系统，核灾发生时可以用来移除反应炉的衰变热。这套系统有3个泵浦、3个马达、1个水泵、许多管线和1个控制多个仪器的电子系统。即便有一个马达泵浦失效，系统也能运作。核电站控制室的操作员可以通过远程来操作整套系统。

课后我们5个人集中讨论，试着开始进行这个项目。我们都很困惑，不知道该从哪里着手。

“不如用笛卡儿的方法，先从简单的地方开始，再解决困难的部分？”我说。

“我们要不要简单看一下这套复杂的系统是怎么运作的？哪些原因会导致系统失效？”我又说。

詹姆很快就发现，只有5个原因会导致系统失效，包括两个马达泵浦同时失效、备用马达泵浦操作错误、控制系统失效、管线破裂，以及水泵破裂。

我们画出简易图表列出失效原因，再把系统失效与5种失效原因分别联结起来。最年长的曼尼说：“不如我们每个人负责一种失效模式，把下个层级的次要失效模式建构出来，完成后再一起讨论。”

我们都同意这样做。不到两个月，我们就把几个较低阶的次要失效模式图画出来。

我们总共找出上千个次要失效模式。低阶的失效模式和子组件有关，例如电容、电晶体、运算放大器等。碰面讨论后，我们交换彼此的次要失效模式图表，进行交叉比对。

我们又花了一个月时间比对，并修正各自找到的错误。在这些错误中，75％的错误是漏掉次要失效模式，25％是思考逻辑出错。解决所有错误后，我们把辅助给水系统的失效模式整合成一张巨大的失效模式表。

我们后来在一个周末碰面，一起把系统的失效率算出来。不过失效模式和次要失效模式太多了，我们无法计算每一种次要失效模式的失效率。这样一来，我们就无法计算整个系统的失效率，因此我们只好把系统失效的统计资料拿来用，算出整体失效率。

完成这个项目后，大家都好高兴。我们把所有次要失效模式整理成一本200页厚的报告，詹姆在拉斯穆森教授和全班同学面前汇报我们的成果，汇报得很棒。其他组的资料很少，我们很确信这门课可以拿到高分。不过快到期末时，曼尼跟我说：“拉斯穆森教授找我们，说要给我们意见。”

曼尼很快约到拉斯穆森教授，我们坐在办公室里等他。

教授对我们说：“这个失效模式图表很棒，计算很详尽，代表你们很认真，而且合作得很好，尤其是操作员疏忽的次要失效模式涵盖‘操作评断错误’。这个概念很新，我很喜欢。”

教授停顿了一下，继续说：“虽然你们很努力，做出一份厚厚的报告，但如果你们要把这份报告交上来，我会把你们都挂掉。”

曼尼很惊讶，马上接话说：“为什么？我们做错了什么？您刚刚不是说很喜欢这个图表吗？”

教授回答：“这份厚厚的报告里，你们假设所有失效模式都一样重要，这个假设是错的。危机之中，通常90％的事故来自10％的失效模式，而且所有假设都要经过大数据统计的验证，但你们的报告没有把可能失效模式和可信失效模式分开。这样一来，你们就没有办法用次要失效模式的失效率来计算整个系统的失效率。而且，要怎么知道这些次要失效模式都是对的？”

和教授谈完后，我们很慌张。接下来两天晚上我们非常认真地搜集系统子组件的真实失效案例，用数据和系统运作次数来计算每个子组件的实际失效率。我们也从实际的失效数据中发现，我们漏掉了好几个可信失效模式，例如因疲倦和分心引发的人为错误。根据这次发现，我们删掉可能但不可信的次要失效模式，把报告简化到只剩75个可信的失效模式。简化过后，我们计算出整个系统的次要失效模式失效率和统计数据要求的失效率大致相符。这证明我们的分析是正确的。修正过的项目报告厚度只有原来的三分之一。

这个事件给我留下深刻的印象，清楚记得在分析决策事故时，只需要把重点放在可信失效模式就够了。此外，大数据分析可以找出遗漏的失效模式。

决策思维的步骤

后来，我又遇到用笛卡儿方法论来解决复杂问题的机会。这次的问题是：如何预防决策相关错误。当时，零错误公司才刚通过一项预计耗时3年的研发项目，准备开发一套全面性预防决策相关错误的方法。

我们将第二章提到的决策管理制度涵盖的10个要素组成决策的思维流程，如图3-1所示。这个思维流程包含做决策的所有步骤。

接着我们用笛卡儿的方法，分别制作出失策错误和无决策错误失效模式的图表。10个月之后，失策错误与无决策错误的失效模式基础框架完成了，并通过了独立审查（见图3-2）。这些年来，随着公司不断在这个领域进行研发，持续搜集更多决策失效案例，将这张失效模式图不断优化，但整体而言，10+1模型并未改变。

从这两个第一级的失效模式图中，总共确认出11种独特的失效模式，我们称为10+1失效模式，包括不当心态、情况警觉错误、决策启动错误、目标策略不一致、信息错误、预测错误、选项形成错误、选项选择错误、风险管理错误、质量检查错误、后续管理错误。后来，我们继续将这11种失效模式进行细分，找出第二级与第三级次要失效模式。

之后，我们对这些失效模式进行大数据分析。2020年时，我们检查失策错误和无决策错误的统计数据，发现无决策错误比失策错误要多，其中60％的错误来自无决策错误，40％来自失策错误。

图3-3是失策错误原因的占比图。图中不包含不当心态和质量检查错误，因为失策错误百分之百都和这两者有关。我们发现每一种失策错误都可以归因于一种或多种不当心态。我们也发现以定义来说，每种失策错误都存在质量检查错误。

如图3-3所示，占比最高的3种失策错误原因是信息错误、风险管理错误和选项选择错误。因为这3种错误是失策错误中的重要因素，所以我们针对这3个原因做了更深入的研究。值得注意的是，即便预测错误并不在前三名，却是导致许多大规模灾难的主要因素。典型案例是2005年卡特里娜飓风登陆美国新奥尔良，因为对于飓风引发洪水的预测错误，导致堤坝和防洪墙倒塌，短短3天内带走至少1800条人命。

在无决策错误中，有62％是情况警觉错误，38％是信息错误。信息错误主要来自没有搜集信息而导致的错误。无决策错误中占比最高的不当心态是无知，例如不知道启动决策的时机。举例来说，大部分人倾向忽略机会或潜在威胁，只有遇到麻烦的时候才会做决策。

图3-4是不当心态导致失策错误的比例图。可以看到造成失策错误最主要的不当心态为过度自信，其次是不知道自己的无知。

从第四章开始，我们会详细说明10+1失效模式对决策造成的影响。了解这11种决策失效模式之后，我们会在第十五章谈一谈预防决策错误的10+1零错误决策法则。

本章练习

✽决策相关错误的11种失效模式有哪些？

✽无决策错误中，占比最高的失效模式是什么？

✽失策错误中，占比最高的失效模式是什么？ TznJJKNMY7S4l1HragSqYwPjMT+xSJwXUNFqVpzcz5zjFo3gG0kZeEQwiipenJx4