祝融说。

第十七章区分程序参与与实质影响。居民意见即使真正改变方案，执行仍要经过预算、排班、采购、数据和申诉。每个环节的人可能遵守自己的规则，最终结果却偏离共同目标。共同失误最容易被两个相反故事遮住：一个故事寻找统一策划者，另一个故事因为无人统一策划便宣布无人负责。城市保留最低夜航，但预算系统按平均客流削减船员，承包商依合同减少维护，调度软件优先准点率，客服把无法登船归为个体迟到。各部门都有局部依据，也没有证据显示他们共同计划排除夜班乘客；三个月后，夜航名义存在，实际可用性持续下降，报告仍显示参与承诺已经兑现。

本章不把复杂系统中的每次失败都称为服从机器，也不免除故意隐瞒、利益输送或报复在证据充分时的责任。它要说明更严厉而常见的可能：无需中心阴谋，权限分散、信息损耗、指标适应和成本转移就能稳定生产同一种不利结果；组织还可能利用“大家都只是按程序”保护这种结果。批判必须把责任匹配给能够改变的节点，而不把结构写成没有主体的命运。

接口、分类与层级中的失误

预算部门控制支出、承包商按约履行、调度员追求准点、客服按分类处理，这些目标支撑公共服务。问题不是局部目标存在，而是它们是否共同覆盖最初承诺，冲突时由谁排序。若没有总体接口，合理目标会把未计入的损失推到系统边缘。反对局部优化不能要求每个人理解全部系统。组织应让关键依赖、冲突和异常有明确接收者，使专业分工保持有效而不成为责任分割。

第十二章已经画出纵向报告链上摘要如何逐级删除不确定，本节关注另一件事：同一次缩减发生在组织边界上时，责任如何随之断开。居民关于夜间到站受医院交班影响的说明，先被咨询会议压缩成一句迟到记录，再进入预算部门的需求表，最终落进承包商合同的平均乘客数条款。三次交接分属三个互不隶属的主体，每次压缩在当时都有局部理由，但没有任何一方觉得自己改写了事实：会议认为自己在做纪要，预算部门认为自己在填表，承包商认为自己在履约。原后果不是被谁删掉的，是在三次各自合法的转写之间蒸发的。

跨组织交接的特殊风险在于缩减常常不可自动返回。合同按平均乘客数签订后，修改需要重新谈判；预算锁定后，回看原始异议要先证明例外资格。可返回点因此成为责任问题：谁有义务在交接时检查原材料还够不够下游反悔。合理的分配是，接收方在把材料转成具有约束力的形式——合同、锁定预算、公开指标——之前，核对高风险例外是否保留；转出方说明哪里做了压缩、原始记录在哪里。两项义务都应写进交接文件，否则每个接口都成为只进不出的单向阀，事后追查只能找到一连串都按规矩办事的人。

客服只能退票，便把无法登船理解为票务问题；调度员无权改预算，便不记录排班结构。工作人员按自己能改变的范围描述现实，系统于是只看见可处理对象。跨部门问题需要一个能接收而不立即改类的入口。入口也不能成为新的全能中心。它负责分派、汇总和升级，最终决定仍由有授权部门承担并留下理由。

预算按目标下降，准点率提高，客服结案加快，每个部门都达标；夜班人员却无法稳定乘船。指标分别真实，不足以说明公共目标实现。总体评价应返回服务对象、基本功能和分布后果，检查局部成功之间是否存在被转移的成本。总体指标也可能遮住局部。多层评价不是不断增加数字，而是让每层只回答自己的问题，并在冲突时有责任主体。

错误可以在分类中变得不可见

客服系统只有“迟到”“停航”和“退款”，乘客无法登记“船开但无可用协助”。选择最近类别后，统计显示主要问题是个人迟到。分类方便汇总，却把制度不认识的经验改写为已认识对象。开放附注、定期审查无法分类材料，可以发现边界。新类别不能为每个个案建立，否则信息无法协调。是否新增要看重复性、损害、机制和决定用途，并给旧记录适当重分机会。

未能进入系统的人不产生工单，报告便把空白当作无需求。缺失可能来自入口困难、疲惫、数字排斥或问题确实不存在。主动抽样、现场观察和不同渠道帮助区分，不从沉默直接推出任何一个解释。完全覆盖也不现实。制度需要说明观察范围和未知，让决策者不能用精确表格隐藏不可见区。

“迟到”标签进入预算模型、绩效和公开报告，后来每个环节都引用前一层。引用次数增加，独立证据没有增加。更正需要通知主要下游、重算相关决定，而不只修改客服备注。来源图能识别重复共识。下游不必每次重新调查原始事件。高后果或异常出现时才返回，普通事项可合理依赖合格上游；依赖关系必须可见并有错误通知。

一线客服选择类别，设计选项、培训规则和使用数据的部门也参与结果。录入者明知不符仍随意选择可能有责任，系统不给其他入口则主要问题在设计和管理。责任随权限、知识与可替代分配，不因最后点击者最可见便全部下移。问责目的不是寻找一个替罪者，而是为修复匹配能够改变界面、规则、数据和后果的人。

层级会放大好消息并损耗坏消息

第十二章已经说明纵向报告链为何奖励确定与完成：句子越向上越确定，好消息比坏消息更容易完整到达。本章要补的是横向的对应现象：没有任何部门说谎，总体成功叙事却由各自真实的好消息拼接而成。预算部门报告支出按计划下降，调度报告准点率提高，客服报告结案时长缩短，采购报告合同履约达标，四句话都为真，拼在一起却得出“夜航承诺已经兑现”，而这句话没有任何部门说过，也不由任何部门负责。拼接发生在汇报材料的汇集层：谁把四份独立报表合成一份总体陈述，谁就生产了这句不存在的话。

拼接的隐蔽在于它是加法而不是改写。汇集者不觉得自己在作判断，只觉得在汇总；可是选择哪些达标项进入总述、省略哪些相互制约——比如取消航次如何抬高准点率、结案加快如何依赖把复杂事项推出系统——本身就是判断。因此总体评价层承担拆开的责任：合成陈述必须附上各分项的口径与边界，标出分项之间的依赖和交换关系，并写明谁对总体成功这一表述负责。做不到时，诚实的做法是只报告分项，把合成留给有权限为价值排序的层级。

管理层说“在预算内保留夜航”，到排班层只剩“不得超支”，服务承诺的优先级消失。命令应包含目标、限制、冲突处理和可升级情形。执行者无需阅读全部会议史，仍需知道遇到不可兼得时向谁报告。过度详细又会使一线无法适应。有限裁量与反馈路径比无限规则或完全自由更可靠。

调度主管既要准点、节支、安全又不得拒载，却没有增加资源或排序权限。其选择容易被事后按未完成目标处罚。相互冲突的要求若不公开，系统会诱导表面合规和隐瞒代价。上层必须说明优先与例外，并承担取舍。中层也可能利用含混扩大个人裁量。决定记录和横向核对让背景压力不能成为任意处分的借口。

负责人没有看到夜班问题，不一定是个人冷漠；报告链可能只传递指标。掌权者仍有责任建立能接收坏消息的结构，尤其在其据好消息公开承诺时。“我不知道”需要继续问是否应当知道、是否有能力知道、谁阻止了知道。无法知道的事实不产生同等过错，但发现盲区后拒绝改变会提高责任。

外包、指标与责任分配

承包商只能按航次、人员和维护次数履约，无法承担完整交通公平。合同需要有限对象，但采购方不能因交付达标便把公共责任转走。未能合同化的价值仍由授权机构负责，并通过监督、例外和修订进入。承包商也不是纯工具。它掌握现场知识，应报告明显风险，不能用合同沉默为可预见伤害免责。

预算压力向下传，现场异常向上传；每层保留管理费用并缩减信息，最末端人员承担时间与安全。结果不证明各方协同剥削，却说明结构稳定地分配风险。公开链条、最低劳动条件和总体责任可以限制。现实合同法律需具体核证。本章只建立责任关系，不替任何现实争议裁定。

报价较低可能来自创新，也可能来自减少培训、冗余和交接。采购只看短期价格，会选择难以立即观察的风险。全生命周期成本、异常报告和最低标准能改进，但也可能提高进入门槛，需要允许新供应者用等价方式证明能力。保护质量不能成为既得承包商排除竞争的借口。标准仍需任务证据和复核。

合同写明承包商承担责任，若其没有资金、数据或权限修复，条款只把失败留给一个空壳。采购方需检查保险、交接、数据可携带和替代方案。惩罚主体存在不等于公共服务已经恢复。反过来，政府兜底也不能让承包商无后果。追偿、整改与服务连续分别处理，避免公众在责任争议中等待。

指标会使被测对象合理适应

调度系统把取消航次排除在准点分母，指标改善而服务减少。规则设计者可能只是沿用行业口径，不必然有欺骗意图。公开分母、补充取消率和主体后果，使一个指标不能垄断结果。指标过多会增加噪声。关键不是收集一切，而是防止最主要的规避路径和损失没有位置。

客服先处理退款，结构性无障碍问题长期转介，平均时长下降。人员在绩效下作出合理选择，个案却无人拥有。复杂案件需要单独资源、责任人和暂停普通时限，不让难度成为被放弃的理由。复杂不表示可以无限处理。阶段回应、转介和停止条件保护服务与工作人员余量。

夜航因投诉少获得更少预算，服务下降使更多人放弃使用，低客流再证明削减合理。预测与资源形成自证循环。评价需记录干预怎样改变对象，并比较通用入口、临时支持或相似线路的有限反事实。反事实不可能完全观察，结论强度应相称。不能因模型有反馈就反向认定所有低需求虚假。

第十二章已经指出补位劳动必须能返回正式资源，否则影子流程会替制度维持假象。本章进一步问：执行者余量本身如何被看见、如何在耗尽之前发出信号。船员私下协助乘客、延后休息、替缺勤同事顶班，这些劳动不出现在任何工单里；指标看到准点与结案，看不到余量的净流出。计量不必也不应变成新的考核表：让协调与照料以最轻的方式进入记录，例如交班时一分钟的主观负荷标注、每周一次的团队余量回顾，记录的目的是触发资源决定，而不是给余量再打一个会被优化的分数。一旦余量本身成为排名指标，最诚实的人会学会隐瞒疲惫，计量就重新生产了它要防止的失真。

轮换与正式接管需要时间表而不是原则声明。补位连续发生多少次、覆盖多少个班次之后必须转为正式安排，应事先写明；超过阈值而无人接管时，触发的是预算层的强制审议，而不是对补位者的一次感谢。耗尽的预警信号同样应事先明确：同一批人承担几乎全部非正式劳动，补位从偶发变成排班的隐含前提，有经验的船员请假或调离突然增加。这些不是士气故事，而是资源缺口即将公开化的前兆。制度在信号出现时不行动，等于选择让缺口最终以服务中断或人员退出的方式结算；此时再追究谁的责任，答案已经包含在此前的每一次沉默里。

共同行动会稀释也会分配责任

预算者、合同设计者、调度者和客服对不同节点有不同权限。把失败叫作集体责任若没有分解，常等于无人承担。责任图要列出谁知道、谁决定、谁执行、谁获益、谁能补救，为每项修复指定主体。系统结果可能超过任何人单独控制，这意味着需要协调责任，不意味着个体义务消失。

夜班排除可能由惯例和接口累积，没有人希望伤害。实际损失仍需恢复、补偿和规则改变。故意程度影响处分，不决定受影响者是否值得修复。把责任只理解为道德谴责，会使组织用善意免检。无过错安排也可能需要公共风险分担，因为制度选择并管理了服务。

若有人明知投诉被错分仍删除、以报复为由改排班，结构复杂不能替其免责。调查要保留个体决定与同期材料，避免“系统问题”成为保护高权限者的概括。个体处分也不能替代造成机会的指标和层级修复。结构与意图是可以同时成立的解释层，不需互相取消。

承包商因维护减少获利，管理层因指标改善获声誉，值得审查；后来受益不能单独证明早期合谋。合同、指令、隐瞒和选择性规则才支持更强归因。即使没有策划，过度收益与风险转移也可按公平和制度职责处理。批判利益关系，不需要把组织写成单一人格。

共同授权与错误发现

管理者说居民已经同意保留最低夜航，便把执行失败称为共同选择。参与者授权的是方向，不是所有合同和排班细节。权限未移交的部分仍由行政主体负责，不能用一次会议吸收未知后果。居民提出的方案若确实造成问题，也应按其信息与授权承担说明。共同参与不等于共同有罪。

大多数乘客接受削减，夜班者高度依赖。多数可以授权资源方向，最低服务、相称替代和复核仍保护少数。未被采纳的意见应保存触发条件，结果出现后能够返回。少数也不能以受影响身份无限冻结公共预算。事实、损害、替代和权限共同决定。

项目被命名为“共同方案”后，工作人员更难承认失败，仿佛批评等于反对公众。共同承诺应提高说明义务，而非降低。公开版本、异常与修订证明制度能学习，不要求维持零错误形象。

所有部门共同反思，表达可以修复关系；若没有谁改分类、合同和资源，平均承担只让实际权限继续不可见。道歉、处分、补偿和制度整改承担不同功能，应分别验证。公开羞辱一个最接近公众的员工同样不能代替上游改变。

发现共同失误需要跨越组织边界

将会议承诺、预算修改、合同签订、排班和投诉放在同一时间线上，可见信息在哪一层消失。时间接近不自动证明因果，仍需检查权限和材料。时间线提供问题地图，不是阴谋图谱。时间线自己的失效方式是被误作因果图：一列按日期排开的决定，天然暗示前后相续就是影响关系，而真正要找的是材料到达之前哪些决定已经做出。跨组织汇集也有现实门槛——不同主体保存记录的期限和格式不同，会议纪要、合同版本和排班表散在各处，时间线需要有人负责维护版本并说明哪些日期来自推断。它还不能只收对批判有利的节点：削减前的客流警告与削减后的改善迹象应同样入线，否则调查本身就是在挑选证据。

第十二章已经说明同一材料重复十次不会成为十个独立来源；来源图首先要做的就是把这件事画出来：五份说需求低的报告，若都源自同一份错分的客服数据，独立确认只有一条。共同来源仍可能正确，但结论强度应回到采样和分类层重新计算，而不是靠报告份数累积。单张来源图只能防止把回声当合唱，发现共同失误通常需要时间线、来源图、后果图和权限图四图配合使用。组合本身也有失效方式：跳过来源图直接用时间线讲故事，最接近阴谋叙事，因为未经检查的引用链会把回声铺成合谋的外观；只用后果图不用权限图，批判停在控诉，损失有目击者而修复无人认领；只用权限图不用后果图，修复失去优先级，一切都被列为同样紧急；四图齐备却不标注各自的空白，调查报告又变成新的权威版本。图是调查工具不是结论格式，每张图都应说明哪些线还没有画、哪些材料拿不到，让使用者知道结论的边界在哪里。

预算节省进入城市账本，等待、误工和照料进入家庭。将收益与损失并列，局部成功不再等于总体成功。并非所有体验都能货币化，仍可描述主体、时间、可逆性和替代。后果图的失效方式是把不可货币化的项目当作不存在的项目：账本能精确到小数的节省，与只能描述的夜间等待，在同一页上天然不对等，并列之后仍需要解释为何不能直接相减。损失材料也不应从受影响者身上免费反复提取——同一段夜班经历被咨询、审计和调查各采集一遍，本身就是后果图应当计入的损耗。图应明确标注未计入项和取材范围，让读者知道哪些损失只是尚未有人有力气报告。

客服能改记录，调度能临时安排，采购能修合同，管理层能重分预算。要求错误层层上报而没有人有暂停权，会让发现无效。每个高后果信号需要接收、临时保护和最终决定主体。权限图的失效方式是照抄组织架构图：头衔上有权限的人可能从不实际行使，真正能改合同附件或临时加开航次的可能是中层某个不起眼的位置。权限还会随时间变化——预算窗口、谈判节点和考核周期都会打开或关闭行动可能，因此权限图需要标注行使条件和期限，并由一个跨部门位置负责维护。只画一次而不更新的权限图，会像过期地图一样把修复者引向已经不存在的门。

修复为何不只是增加监督

新增审计部门若仍读取相同指标和摘要，只增加名称。独立性看来源、权限和能否改变后果。外部审计也有知识与利益边界，需要方法公开和申诉。

为防错要求更多审批，可能延长服务并使责任更分散。高风险事项采用较强复核，普通事项保留裁量；流程强度与后果相称。每加一环都应说明它发现什么错误、谁使用结果。

统一数据平台可以减少重复录入，也可能让错误更快跨域。算法能提示异常，不能决定效率、公平与安全权重。最终决定者仍需可见，技术供应者对数据和已知限制承担相应责任。

发布新规则、完成培训和成立小组只是投入。夜航是否可达、错分能否更正、补位是否下降、少数是否保有入口，才显示结果。没有改善时应允许缩小、替换或终止方案，而不以已投入为由继续。

从共同失误返回可修正协作

河岸联合体把居民承诺、预算、合同、排班与工单连接成责任图。客服增加无法分类入口，复杂案件有接收者；调度的目标冲突由授权者排序；承包商报告现场异常，采购方保留公共总体责任；参与意见的范围不再被用来追认未知执行。每个环节仍保持专业分工，错误能够跨环节返回。这套安排不会发现所有问题，也会增加协调成本。共同失误没有一个可以彻底清除的中心，因为它来自有限知识、局部任务和动态适应。制度能够做的是保留来源、明确交接、保护坏消息、分配暂停权，并在后果出现后让真正有权限者修复。时间线、来源图、后果图和权限图不应是事故后才拼装的调查工具，而应作为常设的最低账目由一个跨部门位置维护；执行者余量的回顾同理，它的价值不在记录本身，而在阈值触发时预算层必须真的开会。

无须阴谋的结论不是温和化批判。一个系统可以没有统一恶意，却长期让同一群体承担损失；参与者可以真诚，却从服从局部规则中共同生产不公。反过来，结构说明也不能吞掉已经得到证据支持的欺骗与报复。责任从总体道德标签返回具体权限，才既不会凭想象制造敌人，也不会让程序成为无人负责的牢笼。下一章将把第四层推进到标准的时间边界，为标准建立有效期：当规则曾经合理，环境、对象和后果改变以后，谁有责任重新证明它仍适用。