祝融说。

分析时钟走到第二十四日，偏差开始越过最初的发生位置。时钟不能替我们宣布“崩塌已经到来”，却迫使判断者说明传播到了哪里。一处服务中断，不一定说明整个系统崩塌；许多位置同时报告正常，也不一定说明系统仍能兑现承诺。局部与系统的区别不由故障数量自动决定，而取决于各位置怎样连接、还有什么替代、损失多快越过边界，以及信息能否在扩大前返回决定者。

设想一套虚构公共借阅网络。三个社区分馆共享目录、调拨车辆和一座存放部分书籍的中心库，各馆也保留现场藏书。一天，东馆读者无法领取已预约图书；工作人员看到系统显示“可取”，库房却找不到书。西馆和南馆当时仍可正常借阅。这可能只是一本书放错位置，也可能是调拨状态没有更新，还可能暴露共享目录与实际库存之间的系统性断裂。借阅网只是一张传播压力图，不用来判断真实图书馆，也不提供信息系统或物流操作方案。所有节点、人物和故障均为思想实验，用于建立传播判准，而不是模拟可以照做的破坏路径。

前一章说明分歧可以提供修正信号，但报告与模型不一致还不是系统失败。本章继续追问：什么条件让一项局部差异停留在局部，什么条件让它穿过多个节点；以及“只是个案”和“全系统危机”这两种说法怎样被权力位置利用。

失效首先相对于一项承诺

东馆的一名读者没有拿到书，是一次不利结果。要判断哪里失效，先要说明网络承诺了什么。若页面只表示中心记录中有可借副本，现场缺失说明记录需要修正；若页面明确通知读者在东馆领取，服务承诺还包括调拨和交接已经完成。

系统边界随问题改变。判断“这本书是否在架”时，东馆库房是主要对象；判断“预约服务能否把可借副本送到指定地点”时，目录、中心库、运输和通知都在边界内。不能先选择最小边界，再用边界外的原因免除整体责任。边界也不应无限扩张。车辆受天气影响，不表示天气本身属于借阅系统的可控部件；但系统如何表示延迟、是否保留替代、怎样通知读者，仍属于设计与承诺。外部原因可以解释触发事件，不能自动回答内部准备。

结果严重与传播范围是两个维度

一本关键资料未能按时取得，对某位读者可能造成重大影响，但仍可能是局部事件。十本普通图书在不同馆短暂延迟，涉及位置较多，也可能没有共同原因。严重性、数量和系统性需要分别记录。

把严重个案称为系统失败，有时是为了让问题得到资源；可若概念只按情绪强度使用，就难以判断修复应落在哪一层。承认个体损失不要求夸大传播范围。局部不等于轻微，更不等于可以忽略。

相反，系统性问题在早期可能只产生一个可见后果。若三个分馆都依赖同一状态字段，而只有东馆当天触发相关流程，东馆是首个显影位置，并非唯一受影响结构。等待更多读者失败才承认共同原因，会把数量门槛当作因果判断。因此至少需要两句话：发生了什么后果，以及哪些共享关系可能让它再次发生。前者保护已经受损的人不被统计稀释，后者防止一个尚未扩散的问题被当作已经结束。

节点不是组织图上的一个方框

一个分馆可以被看作节点，目录服务、调拨环节和通知环节也可以。节点不是天然单位，而是为了分析某种输入、输出和责任暂时划出的边界。划分太粗，会看不见内部失效；划分太细，则每个步骤都能把问题推给相邻位置。

东馆工作人员说“中心系统显示错误”，中心人员说“馆员没有确认入库”，双方都可能指出真实环节。若分析只寻找唯一坏节点，多步形成的后果会被拆成互不负责的局部。

节点划分需要保留关系：谁提供状态，谁据此行动，谁能更正，谁向读者作出承诺。组织隶属不是全部。外包运输可能在机构之外，却位于服务链内；馆内某人虽然属于同一组织，未必控制相关决定。这也约束本章的系统语言。称某事“系统性”不能用来取消具体行为责任，称某人“操作错误”也不能取消使同类错误可反复传播的条件。两种解释可以处在不同层次，同时成立。

节点还可以从使用者一侧划分。网络内部把目录、运输和分馆看作三段，读者只面对“预约后领取”这一项服务。内部仍有部分环节正常，不能直接推出对外承诺正常；同样，对外一次失败也不能证明每个内部环节都坏了。分析要在两种边界之间建立对应，而不是选择对自己最有利的一边。若组织只按部门统计，跨部门缺口容易没有所有者。每个节点完成了自己的局部指标，端到端结果却无人确认。系统失效有时并非某个方框停止工作，而是方框之间的承诺没有被任何位置完整看见。

共享依赖决定故障能走多远

西馆和南馆拥有不同建筑、员工和现场藏书，看起来是三条独立路径。但预约状态来自同一目录，部分调拨依赖同一车辆。空间分散不等于依赖分散。只数分馆数量，会把共享入口误认成真实冗余。若东馆问题源于本馆一本书放错，其他馆不必受影响；若源于共享目录把“已装车”提前写成“可取”，其他馆在相同条件下可能重复失败。共同原因不要求所有节点同时中断，它只需要让一个判断错误能够被多处继承。

RC 的稳定性延续把路径多样和持续修正列为持存条件。本章借此提出分析问题，不把哲学概念当作可靠性工程定律。现实传播仍要由实际依赖、时序和记录说明。

表面替代可能仍经过同一入口

东馆可以建议读者去西馆领取，表面上提供替代。若西馆也必须依赖同一错误状态确认书籍，地点变化没有绕开故障。替代路径是否真实，取决于它能否在当前失效条件下独立完成目标。完全独立通常代价很高。各馆各建目录、各备车辆并不必然更可靠，数据冲突和维护负担也会增加。系统可以共享资源，但要知道共享带来哪类共同失效，并为重要承诺保留相称的校验或人工返回路径。

替代也可能只对部分人可达。西馆确有图书，读者却需要更长交通时间；对能灵活移动的人是可用路径，对时间、身体或照料安排受限者未必。把名义替代写成服务已恢复，会把转换成本移出系统画面。替代能力因此包含资源、信息和主体条件。它不是“还有另一个按钮”，而是目标能否在可接受时限和代价内由另一条关系完成。可接受仍含价值判断，需要公开说明，不能由系统单方面宣布。

一种可能的黑暗推论会把路径多样改写成责任分散：既然读者理论上可以去别处，每个节点都只需提供选项，不必对选项是否可达负责。体系关于余量的规范愿望被倒转为机构免责，而转换成本由余量最少的人承担。

恢复时限改变同一故障的性质

东馆若在几分钟内发现状态错误、联系读者并改约，故障可能停留在一次可修复偏差。若错误状态持续数日，新的预约不断进入，原本局部的记录问题会积累为多节点承诺失真。时间不仅衡量不便，也决定传播。恢复慢于新任务进入，未处理事项会增加；反馈慢于决定更新，旧判断继续被复制。本章只建立相对关系，具体速度留给下一章讨论。

同一恢复时限对不同承诺意义不同。休闲借阅可以等待，某项有明确期限的资料未必。系统不能只公布平均恢复时间，还需识别哪些任务在等待中发生不可逆损失。平均值对总体有用，不能替每类后果发言。

快速恢复也不证明原因已经修正。工作人员临时找到另一本书，读者获得服务，错误状态仍可能保留。恢复结果与修复机制应分别记录，否则成功补救会让共同依赖继续不可见。

恢复过程中还会形成积压。旧任务尚未关闭，新预约继续进入，工作人员把时间用于解释和补录，原有服务能力随之下降。初始故障可能很小，附带的协调劳动却占用其他节点。传播不只通过技术依赖，也通过共享人员、注意和决定时间。

积压并不必然意味着系统即将崩溃。组织可以暂时降低其他活动、增加说明或调整承诺，使任务重新稳定。判断重点是恢复安排是否真实减少未完成事项，还是只把它们改名、延期或移到统计边界之外。若中心只计算当前成功率，已经放弃、改去别处或未再询问的读者可能从分母中消失。指标看似恢复，损失由退出完成。这里需要保留一个反事实问题：如果没有额外个人成本，原承诺是否真正兑现？

故障树是一组问题，不是确定答案

面对东馆事件，可以画出若干可能路径：书籍未入库、状态提前更新、调拨遗漏、通知错误、现场查找失败。所谓故障树在这里仅是问题清单，帮助区分哪些条件单独足以造成后果、哪些需要共同出现。本章不提供真实技术设计。

列出路径能防止第一种解释过早成为唯一解释。系统显示错误不一定由软件造成，现场缺书也不一定是工作人员失误。每条路径需要相应材料，未知应保持未知。树形图也会误导。现实反馈可能形成循环：错误状态让工作人员停止查找，停止查找又减少更正信息，目录于是继续显示原状态。若只画单向原因，行为对信息的反向影响会消失。

同时发生不等于共同原因

同一天，东馆预约书缺失，西馆门禁短暂中断，南馆因现场活动暂停部分区域。三个故障同时发生，却可能彼此独立。把时间接近当作系统崩塌，会创造超过材料的共同叙事。

共同原因也可能没有同步后果。共享目录错误先影响预约量大的东馆，数日后才影响南馆。要求同一时刻出现，反而会漏掉依赖传播。相关性需要通过具体共享关系解释，不能只靠数量或时间直觉。

有意行为更不能从同步直接推出。多个节点同时失败可能来自共同更新、同一外部条件或相似但独立的压力。若要认定有人协调制造，需要额外证据。结构性可能与意图判断必须分开。反过来，“没有统一策划”也不能终止系统责任。若共同规则让多个位置稳定重复同一错误，即使每个人善意执行，仍需要修改共享条件。制度后果不以找到中心意图为存在前提。

反馈耦合决定错误能否自我加强

东馆找不到书，却因系统显示可取而被要求继续查找；每次未找到被登记为本地执行异常，中心看到的仍是目录总体正常。局部报告没有修改共享状态，错误便通过反馈结构维持自己。若评价又奖励“按时完成率”，馆员可能临时关闭异常记录以避免本馆数据下降。短期指标改善，中心更少收到问题。评价不是外部附加，它改变了反馈是否愿意传递。

这时，一个初始偏差通过两个回路扩张：状态指导行动，行动记录又验证状态；评价决定什么记录值得上报，上报数量再被用来判断稳定。共同依赖与反馈耦合结合，局部事件才具有系统传播力。

耦合并非越弱越好。共享状态可以让其他馆迅速避开同一问题，集中反馈也可提高修复速度。关键是信息能否包含反例，而不是所有节点都各自沉默运行。

RC 关于预期、现实和再预期的循环提供了概念入口。若预期偏差能够修改共享判断，耦合支持学习；若偏差只被重新解释成局部执行问题，耦合会扩大僵化。这里仍是条件性推论，不能替真实材料证明某套系统属于哪一种。

反馈还可能只向一个方向快速。中心的新规则能立即到达各馆，分馆异常却要经过多层汇总才可能返回。表面上所有节点连接紧密，实际耦合具有方向差异。命令传播速度和错误返回速度不对称，系统会迅速复制预期，缓慢吸收反例。这种结构可以被有意利用，也可能只是分工累积。中心若以统一为由压缩上报类别，便能维持整齐视图；分馆若为保护自己隐藏问题，也会使共同判断失真。不能预设唯一操控者，需要查看谁能改变通道、谁从延迟中获益、谁承担迟到修正。

修复反馈不等于让所有原始信息涌向中心。过量报告会占用处理能力，重要信号反而更难辨认。合理汇总应保留异常的对象、范围和来源，并允许被压缩的信息在后果变化时升级。

“只是局部”怎样误画系统边界

中心人员说东馆事件属于本地管理，理由是其他馆仍正常。这可能是正确初判，也可能用结果分布替代依赖分析。若东馆无权修改共享状态，把责任留在本地就要求最少权限的位置修复共同条件。

局部标签还有资源后果。被归为个案的问题获得较少核查，只能由受影响者反复提交；报告少又证明问题罕见。分类、资源和可见性相互加强，使早期系统信号保持局部外观。不能因此要求每个个案都升级为全网事件。全面响应有成本，也可能中断仍有效的服务。分级处理合理，前提是升级标准查看共享依赖、替代和恢复，而不只查看已经失败的节点数。

局部化可以掩盖共同收益与共同设计

网络平时因统一目录节省成本、扩大调拨，收益被描述为整体能力；出错时却把后果分回单馆或读者。共享结构只在成功时存在，在失败时消失。这种不对称叙述会让中心保留规模收益，把修复负担下移。黑暗用法不必主动制造故障。它可以利用分类权，把相同机制产生的损失切成许多个案，使每名受影响者都缺少证明系统性的材料；中心掌握汇总数据，却只按单件回应。受损主体无法横向比较，系统便以缺少共同证据拒绝共同责任。

也可能出现更强的推论：既然局部冲击有时能增强整体韧性，就可以让边缘节点反复承担试错，使中心从其失败中学习。原理论对错误和容错的承认被改写成损失分配许可。冲击是否可接受，必须检查谁选择、谁受损、能否拒绝及收益是否返回，不能只看整体后来学到了什么。

某些试验确实需要局部进行，因为可逆范围更小。批判不能把所有有限试行都写成牺牲。区别在于风险是否事前说明、承担者是否有实际选择、停止条件是否存在，以及失败后是否获得修复而非只提供数据。“系统需要承受局部损耗”也可能指普通磨损，而不是让特定群体反复失去基本服务。系统语言把对象放大后，个体后果容易变成抽象成本。负责任的分析必须把总体学习与具体损失同时留在记录中。

危机化也能扩大中心权力

另一种黑暗路径把任何局部异常宣布为系统危机，由此暂停正常申诉、集中信息和扩大临时权限。问题尚未证明传播，危机叙事已经改变谁能决定。批判局部化不能自动支持全面集中。

有些风险确实需要在证据未完整时先采取有限保护，因为等待可能造成难以撤回的损失。关键是行动与确信分开：可以说明“尚未确认共同原因，但先暂停相关承诺并核查”，不必把预防措施写成系统崩塌已经证实。

临时集中还需要结束条件。若每个新异常都延长危机状态，中心可以由不确定性持续获得权限。行动记录应保留当时材料，使事后能够检查响应是否相称，而不是只因没有扩大损失便证明所有措施正确。反对者也可能夸大系统性以取得话语优势。若任何独立故障都被拼成同一崩塌故事，解释会吸收所有事件而不承担改变条件。谁批判系统，谁同样需要说明连接路径和反例。

用多尺度记录判断失效在哪里扩散

东馆事件可以同时有三类记录：读者层记录未获得预约书及实际后果；节点层记录查找、交接与本地状态；网络层记录共享目录、调拨和其他馆是否存在相同条件。三类记录回答不同责任问题。

多尺度不是把数据无限上收。读者不必公开与借阅目的无关的信息，中心也不需要接管每次现场操作。最小必要共享应围绕传播判断：什么状态被共同使用，异常是否可能复制，现有替代是否真实。若核查发现书只在东馆放错，本地修复并向读者补救即可；共享系统不必因一次错误全面重建。若发现状态更新规则使多馆都可能提前通知，修复就需返回共同环节，同时保留东馆具体后果。系统责任不会吸收个体补救。

记录还应容许暂时无法归类。调查早期可以写“当前只在东馆发现，尚未确认是否共享原因”，并说明下一次更新依据。未知不是推卸责任，只要它有核查对象、负责位置和时间边界。过早写成局部会压低调查，过早写成系统性则可能让结论先于材料。

接近失败但最终被人工纠正的事件也有信息价值。它不应被当成已经发生的同等损失，却能显示哪条承诺依赖偶然补位。若每次补位都把记录改成成功，系统会把维护者的额外劳动误认成设计本身可靠。补位者也可能夸大自己的不可替代性，以接近失败为理由要求更多权限。看见隐形劳动不等于免除复核。需要区分其实际修复、形成脆弱的上游条件，以及他是否控制知识和交接。

四项传播判准

第一是共享依赖：不同节点是否使用同一资源、信息或规则，局部错误能否由此被继承。共享本身有价值，判断只要求看见共同失效面。

第二是替代能力：其他路径是否绕开当前故障，并在资源、时间和主体条件上真正可达。名义选项不能自动算作恢复。第三是恢复时限：修复速度相对新任务进入和后果累积是否足够。一次可迅速校正的偏差，与持续复制的错误属于不同风险。

第四是反馈耦合：局部反例能否改变共享判断，还是只被评价为本地执行问题。反馈越集中，修正可能越快，封闭时扩散也可能更强。四项不是一个可以相加的系统分数。它们帮助提出下一步问题，真实判断仍需领域材料。试图把它们压成单一指数，反而会重新制造前章批判的指标盲区。

介入层次应跟随可改变条件

谁能改变共享目录，谁就应接收相关反例；谁负责本地交接，谁应说明现场过程；谁向读者承诺，谁应确保补救有入口。责任不必集中给一个主体，也不能因分工而蒸发。修复还要验证后果。修改状态字段不等于读者已获得替代，向读者道歉也不等于共同错误不会重复。机制修复和具体补救分别完成，才能避免一方替另一方作结。

系统最终也可能决定接受某类低后果局部错误，因为完全消除成本过高。这个选择需要说明频率、承担者、替代与申诉，不能用“任何系统都有损耗”代替分配判断。不可避免仍然需要证据，也不自动等于公正。

本章得到的中心判断是：系统失效不是局部失效的简单总和，而是承诺通过共享依赖、有限替代、恢复时限和反馈耦合失去可持续兑现的能力。一个后果可以很严重但不传播，一个早期个案也可以暴露共同结构。因此，判断局部与系统不是为问题选择更响亮的名称，而是决定材料应走到哪一层、谁有能力修正、损失是否还在扩散。拒绝危机夸张与拒绝系统责任同样重要；二者都必须让连接关系接受核查。

下一章将把时间变量单独展开。传播路径相同，变化速度不同，观察、协商和恢复的窗口也会完全不同。本章只保留必要接口：时限必须相对于承诺和反馈来判断，不能由“快”或“慢”的价值偏好预先决定。