2005年3月29日，37歲的伊萊恩要進(jìn)醫(yī)院了。她患鼻竇疾病已經(jīng)有幾年，今天要去動(dòng)手術(shù)徹底治愈。這種手術(shù)醫(yī)院已經(jīng)進(jìn)行過(guò)很多次，從來(lái)沒(méi)有出過(guò)問(wèn)題，主刀醫(yī)生有三十多年的經(jīng)驗(yàn)，麻醉師也有十六年的經(jīng)驗(yàn)。看起來(lái)，一切都應(yīng)當(dāng)會(huì)很順利。

手術(shù)開(kāi)始，麻醉順利進(jìn)行。伊萊恩進(jìn)行麻醉之后，身體的許多機(jī)能會(huì)停止運(yùn)作，為保證呼吸不停頓，醫(yī)生需要把一個(gè)設(shè)備從病人口中插入，固定在呼吸道上方，這樣氧氣就可以直抵肺部。

可是這一次，主刀醫(yī)生發(fā)現(xiàn)，伊萊恩的下頜肌肉太緊張，設(shè)備塞不進(jìn)她的嘴里。在嘗試了幾分鐘無(wú)果之后，醫(yī)生換了個(gè)辦法，給病人注射松弛劑，于是嘴松開(kāi)了。不幸的是，伊萊恩的軟腭擋住了呼吸道，醫(yī)生完全看不到呼吸道在哪。

因?yàn)橐恢辈荒茌斔脱鯕猓寥R恩的血氧飽和度已經(jīng)降低到了40%，通常來(lái)說(shuō)，這個(gè)值低于90%就很危險(xiǎn)了。40%，已經(jīng)是儀器能夠測(cè)量的最低值。情況危險(xiǎn)，于是另一位麻醉師也來(lái)幫忙了。現(xiàn)在，一共有一名醫(yī)生、兩名麻醉師，外加三名護(hù)士。

不過(guò)，醫(yī)生們?nèi)匀粵](méi)法把氧氣輸送設(shè)備插進(jìn)伊萊恩的呼吸道。事關(guān)緊急，按照規(guī)定，此時(shí)應(yīng)當(dāng)采用氣管切開(kāi)手術(shù)救命，于是一名護(hù)士飛快地拿來(lái)了設(shè)備，并向醫(yī)生建議應(yīng)當(dāng)進(jìn)行氣管切開(kāi)。

但是，醫(yī)生們似乎沒(méi)有聽(tīng)見(jiàn)護(hù)士的建議，他們?nèi)匀粓?zhí)著地嘗試，一次又一次把設(shè)備插到病人的呼吸道中…… 

最終，醫(yī)生們成功了，血氧飽和度也恢復(fù)到90%。然而為時(shí)已晚，大腦和機(jī)體的嚴(yán)重?fù)p傷已經(jīng)造成。伊萊恩在重鎮(zhèn)監(jiān)護(hù)病房躺了13天之后，遺憾地離開(kāi)了人世。

故事到此告一段落。美國(guó)沒(méi)有那么緊張的醫(yī)患關(guān)系，也沒(méi)有醫(yī)鬧，所以醫(yī)生很迅速也很直接地告訴了伊萊恩的丈夫馬丁，表達(dá)了遺憾：對(duì)不起，麻醉過(guò)程中出現(xiàn)了一些意外。發(fā)生這樣的事情，我們無(wú)能為力。我們已經(jīng)盡力了，非常抱歉。

看起來(lái)，雖然有遺憾，也不會(huì)以鬧劇結(jié)束。大家應(yīng)當(dāng)互相信任，互相體諒。

然而這次，醫(yī)生們遇到的情況不一樣。伊萊恩的丈夫馬丁是一名飛行員，身為飛行員，他非常清楚航空業(yè)是如何對(duì)待事故，保證安全的。對(duì)于妻子的逝世，他沒(méi)有憤怒，因?yàn)樗浞窒嘈裴t(yī)生的經(jīng)驗(yàn)。但是出于飛行員的職業(yè)習(xí)慣，他忍不住想要知道，到底問(wèn)題出在什么地方。

馬丁找到了重癥監(jiān)護(hù)室的負(fù)責(zé)人，希望還原事情的來(lái)龍去脈，找出到底有哪些問(wèn)題，這些問(wèn)題該如何改進(jìn)。為了讓對(duì)方放心，他還介紹了航空業(yè)的普遍做法。可惜，他得到的答復(fù)是：對(duì)不起，我們醫(yī)療衛(wèi)生行業(yè)不是這么做事的。如果你執(zhí)意要調(diào)查，可以去法院起訴。

馬丁覺(jué)得無(wú)法理解。在他所在的行業(yè)，2014年以來(lái)，每100萬(wàn)次飛行的事故率僅有0.23，創(chuàng)下歷史新低。而對(duì)于國(guó)際航空運(yùn)輸協(xié)會(huì)成員公司來(lái)說(shuō)，這個(gè)數(shù)字更是低到了0.12。也就是說(shuō)，每飛行830萬(wàn)次，才會(huì)出現(xiàn)一次事故。這背后當(dāng)然有航空業(yè)時(shí)刻緊繃的神經(jīng)，更重要的是，航空業(yè)堅(jiān)持對(duì)事故和潛在事故進(jìn)行細(xì)致周密的復(fù)盤，勇于曝光事故，習(xí)慣對(duì)問(wèn)題深挖，甚至對(duì)尚未造成事故的隱患，也要曝光和深挖。

相比之下，醫(yī)療行業(yè)的事故率要高得多。據(jù)美國(guó)《患者安全季刊》統(tǒng)計(jì)，每年死于可預(yù)防傷害的患者多達(dá)40萬(wàn)人——相當(dāng)于每24小時(shí)就有兩架波音747墜毀。即便如此，無(wú)論在哪個(gè)國(guó)家，對(duì)于醫(yī)療事故的調(diào)查仍然困難重重。醫(yī)生們總是覺(jué)得：被調(diào)查表達(dá)的是不信任、不尊重。

幾周以前我在文章里提到了《黑匣子思維》，這本書開(kāi)篇就講了上面的故事，凸顯出不同行業(yè)對(duì)事故的不同態(tài)度和處理方式。航空業(yè)的處理方式，作者稱為“黑匣子思維”。或者換種說(shuō)法，就是“形成閉環(huán)”：對(duì)事故和潛在事故進(jìn)行細(xì)致的分析，不斷找到可以改進(jìn)的點(diǎn)，加以完善，確認(rèn)問(wèn)題得到解決，各項(xiàng)指標(biāo)變化如預(yù)期。

在平常人看來(lái)，面對(duì)事故時(shí)，“黑匣子思維”當(dāng)然要更好。那么這么簡(jiǎn)單的道理，為什么在航空領(lǐng)域可以落地，在醫(yī)療行業(yè)施行起來(lái)卻困難重重呢？

我相信，并不是醫(yī)療衛(wèi)生行業(yè)的每一個(gè)人，都排斥事后進(jìn)行詳細(xì)周密調(diào)查的。我也相信，不是航空業(yè)的每一個(gè)人，都樂(lè)于坦然接收調(diào)查，進(jìn)行詳細(xì)分析的。許多人是身不由己，被習(xí)俗、慣例“裹挾”著這么做的。看來(lái)，真正重要的是建立這樣的習(xí)慣和共識(shí)。

那么，在其他行業(yè)培養(yǎng)這樣的習(xí)慣容易嗎，比如IT行業(yè)？可以想見(jiàn)，很不容易。

我曾經(jīng)嘗試在一些的軟件開(kāi)發(fā)團(tuán)隊(duì)里推行這種“勇于曝光自我問(wèn)題，勇于剖析其他人問(wèn)題”的工作習(xí)慣。雖然之前設(shè)想過(guò)可能有阻力，但是無(wú)論如何，程序員的接受難度應(yīng)當(dāng)比醫(yī)生小吧，畢竟程序員處理的不是“人命關(guān)天”的事情，“系統(tǒng)”也比病人更容易背鍋。

結(jié)果，遇到的阻力遠(yuǎn)遠(yuǎn)超出我的想象。盡管再三重申不追究責(zé)任，只做客觀探討，結(jié)果仍然很不樂(lè)觀——當(dāng)事人默不作聲，其他人顧慮重重，會(huì)場(chǎng)只剩空蕩蕩的煎熬。唯一“敢于”發(fā)言的反而是新人。不過(guò)，除非新人有足夠的技術(shù)素養(yǎng)，講的話讓人挑不出毛病，否則很容易被不友好的反問(wèn)和質(zhì)問(wèn)給嚇到，下次也不敢作聲了。

說(shuō)句題外話，如果你“有幸”一直身在大廠，或者在技術(shù)氛圍很不錯(cuò)的環(huán)境里，估計(jì)不會(huì)遇到這種困難。但是在“大廠”和“小而美團(tuán)隊(duì)”之外，還有大量的團(tuán)隊(duì)都存在這樣的問(wèn)題。

這引起了我的好奇，航空業(yè)是如何實(shí)現(xiàn)黑匣子思維的？航空事故是如何調(diào)查的，我一直沒(méi)看到詳細(xì)的資料。不過(guò)，最近我在一部關(guān)于航天的紀(jì)錄片里看到了有趣的細(xì)節(jié)。雖然航空和航天不是同一回事，“黑匣子思維”卻是可以借鑒的。

這部紀(jì)錄片是2008年的When We Left Earth，講述的NASA（美國(guó)宇航局）成立50周年來(lái)對(duì)太空持續(xù)不斷的探索。其中有一集，花了不少篇幅講解1986年“挑戰(zhàn)者”號(hào)航天飛機(jī)的事故。今天許多人大概都知道，1986年1月28日，“挑戰(zhàn)者”號(hào)航天飛機(jī)在升空73秒之后爆炸，是航天史上的一大悲劇。

在紀(jì)錄片中我看到，“挑戰(zhàn)者”號(hào)航天飛機(jī)爆炸之后，地面指揮中心立刻對(duì)所有現(xiàn)場(chǎng)人員發(fā)出了這樣的指令。

站立者為時(shí)任美國(guó)宇航局局長(zhǎng)（NASA Director）Gene Kranz，之前在多次航天任務(wù)中擔(dān)任飛行總指揮（Flight Director）。

原來(lái)，即便是極為在乎降低事故率的航天領(lǐng)域，“黑匣子思維”也不是完全靠自覺(jué)進(jìn)行的，明確的指令、嚴(yán)格的規(guī)范，都是不可或缺的。在航天飛機(jī)爆炸這么大的事故面前，沒(méi)有面面相覷或者亂成一團(tuán)，而是第一時(shí)間下達(dá)明確指令，這明顯不是“靈機(jī)一動(dòng)”能做到的。

NASA做得還不只這些，為了確定事故的原因，碎片搜索的范圍達(dá)到了1600平方千米，最深處是在370米深的海底。整個(gè)搜索過(guò)程持續(xù)三個(gè)多月，直到判斷基本可以定位問(wèn)題的根源，碎片搜索行動(dòng)才告結(jié)束。

看到這里，我想起自己經(jīng)歷過(guò)不少IT系統(tǒng)的災(zāi)難，它們的嚴(yán)重程度當(dāng)然趕不上“挑戰(zhàn)者”號(hào)失事，處理過(guò)程卻沒(méi)有NASA的規(guī)范：IT災(zāi)難更多仍然靠高手來(lái)力挽狂瀾，現(xiàn)場(chǎng)數(shù)據(jù)的保存并沒(méi)有明確的要求，事后的分析和還原工作，也因?yàn)樽C據(jù)不足或者成本太高無(wú)疾而終。最終，或許有一個(gè)形式上的結(jié)論，卻不是“根本原因”。

NASA做得這么好，是不是應(yīng)當(dāng)稱為學(xué)習(xí)的榜樣？非也，根據(jù)調(diào)查結(jié)論，NASA仍然受到大量的批評(píng)。

事后美國(guó)成立了總統(tǒng)調(diào)查委員會(huì)，主席是前國(guó)務(wù)卿威廉·羅杰斯（所以也稱為“羅杰斯調(diào)查委員會(huì)”），成員還有宇航員尼爾·阿姆斯特朗（第一個(gè)登上月球的人）、物理學(xué)家里查德·費(fèi)曼（大名人）等等。可以說(shuō)，沒(méi)有讓NASA自行調(diào)查，而是包含了那么多“局外人”的潛臺(tái)詞之一就是：信不過(guò)。

經(jīng)過(guò)幾個(gè)月的調(diào)查，調(diào)查委員會(huì)不但指出了技術(shù)原因是發(fā)射時(shí)溫度太低導(dǎo)致密封圈失效，還進(jìn)一步挖出了宇航局工作文化中的問(wèn)題：與供應(yīng)商溝通不夠，決策流程有重大缺陷…… 費(fèi)曼并且非常直白地指出：要想在技術(shù)上獲得成功，必須把事實(shí)放在公關(guān)之上，因?yàn)榇笞匀皇遣豢善垓_的。美國(guó)總統(tǒng)里根更是直接下令，宇航局必須在三十天內(nèi)落實(shí)全部整改措施。

這種“打破砂鍋問(wèn)到底”的追尋，最終取得了什么結(jié)果？32個(gè)月之后，宇航局才進(jìn)行了下一次航天飛機(jī)發(fā)射，檢查更嚴(yán)格，后續(xù)發(fā)射的頻率更低，花里胡哨的任務(wù)也沒(méi)有了——要知道，正是之前持續(xù)發(fā)射成功導(dǎo)致了盲目的樂(lè)觀情緒，“挑戰(zhàn)者”號(hào)搭載女中學(xué)教師的一部分考慮正是吸引公眾的注意力。結(jié)果，之后的航天飛機(jī)任務(wù)確實(shí)沒(méi)有再出現(xiàn)事故。

然而，17年后悲劇再一次發(fā)生，“哥倫比亞”號(hào)航天飛機(jī)在返航時(shí)解體。“哥倫比亞”號(hào)事故的調(diào)查委員會(huì)毫不客氣地指出：“NASA未能從挑戰(zhàn)者的事故中學(xué)到足夠多的教訓(xùn)，特別是未能真正的設(shè)立獨(dú)立作業(yè)的安全監(jiān)督小組”，“NASA對(duì)羅杰斯委員會(huì)的回應(yīng)并沒(méi)有達(dá)到委員會(huì)的初衷”。“造成對(duì)挑戰(zhàn)者號(hào)（事故）負(fù)有責(zé)任的制度失效原因并未消除”。

這個(gè)故事說(shuō)明了什么？在我看來(lái)，它說(shuō)明了：即便對(duì)于有開(kāi)放精神的行業(yè)和團(tuán)隊(duì)，“黑匣子思維”的建立和維持也不是件容易的事情，時(shí)常需要借助外力來(lái)刺激，否則就容易退化。

前段時(shí)間我和一位做開(kāi)發(fā)的朋友聊天，他講了個(gè)很有意思的故事。他供職于一家以溫暖、人性化的文化著稱的大廠，大家都很認(rèn)同自己公司的企業(yè)文化。前不久，公司從某講究“狼性”的公司引進(jìn)了一名技術(shù)人才，這名新同事說(shuō)話做事都不太講究，與公司文化不太合拍，不過(guò)大家也還能忍。更麻煩的是，新同事的“狼性”十足，遇到問(wèn)題根本不顧及面子，也不怕得罪人，“挖地三尺”也要把根源找出來(lái)。

一開(kāi)始，大家都特別不適應(yīng)這種方式。無(wú)可否認(rèn)，大家的職業(yè)素養(yǎng)本來(lái)就很高，但也要顧忌同事關(guān)系和團(tuán)隊(duì)配合，所以許多問(wèn)題和故障的分析“適可而止”了。新同事來(lái)了之后，就再?zèng)]有發(fā)生過(guò)“適可而止”的事情，牽連出來(lái)的變量、挖出來(lái)的關(guān)系鏈條都比之前大大增加。大家表面上不說(shuō)，內(nèi)心都相當(dāng)不屑，認(rèn)為是小題大做。

再過(guò)一段時(shí)間，神奇的變化出現(xiàn)了。以前認(rèn)為過(guò)于復(fù)雜的問(wèn)題，現(xiàn)在逐漸有了分析的思路；以前認(rèn)為太過(guò)困難的問(wèn)題，現(xiàn)在發(fā)現(xiàn)不那么困難了…… 這時(shí)候，大家才終于意識(shí)到，原來(lái)挖得深一點(diǎn)，問(wèn)得緊一些，是真正能看到好處的。

聽(tīng)到這個(gè)故事的事后，我想到了兩點(diǎn)：

第一，許多人反感“狼性”，其實(shí)適當(dāng)?shù)摹袄切浴笔切枰模@種“狼性”應(yīng)當(dāng)是對(duì)事深挖三尺，而不是對(duì)人窮追猛打；

第二，許多團(tuán)隊(duì)即便已經(jīng)“足夠優(yōu)秀”，只要能夠容忍“對(duì)事不對(duì)人”的狼性，面對(duì)問(wèn)題勇于曝光、敢于深挖——尤其是面對(duì)新鮮血液時(shí)——仍然是能挖掘潛力，取得更大成績(jī)的。

如果團(tuán)隊(duì)還沒(méi)有那么多“黑匣子思維”，又沒(méi)有引入合適的新鮮血液？如何建立“黑匣子思維”的意識(shí)和習(xí)慣？我覺(jué)得，多提問(wèn)題是個(gè)好辦法。

以前我寫過(guò)《豐田生產(chǎn)方式的啟發(fā)》，其中沒(méi)有提的一點(diǎn)是，豐田生產(chǎn)方式要求“遇到故障一定要問(wèn)五個(gè)為什么”。比如車門出現(xiàn)了某種缺陷，提問(wèn)方式大概是這樣的：

為什么車門出現(xiàn)這種缺陷？因?yàn)槁萁z沒(méi)有擰緊。為什么螺絲沒(méi)有擰緊？因?yàn)楣と瞬桓矣锰蟮牧狻槭裁垂と藳](méi)有用太大的力氣？因?yàn)闆](méi)有扭力扳手，力度沒(méi)有明確指示。為什么沒(méi)有扭力扳手？因?yàn)槲鍌€(gè)人只配備了兩把扭力扳手，沒(méi)有機(jī)會(huì)使用。為什么五個(gè)人只配備兩把？因?yàn)榕ちΠ馐趾苜F，生產(chǎn)部門不知道會(huì)出現(xiàn)這種故障，從節(jié)省成本的角度考慮，沒(méi)有給每個(gè)人都配備。

最終的解決之道，就是明確向生產(chǎn)部門提出需求，要求給每個(gè)人都配備扭力扳手。在這之前，無(wú)論是要求工人擰緊螺絲，還是要求工人每次用適當(dāng)?shù)牧猓蛘呤且蟠蠹逸啌Q用扭力扳手，都沒(méi)有解決問(wèn)題的根源。

這種場(chǎng)景，相信許多程序員也不陌生。為什么沒(méi)有預(yù)料到故障的發(fā)生？因?yàn)槿狈ΡO(jiān)控。為什么缺乏監(jiān)控？因?yàn)椴涣私饩唧w情況，不知道要監(jiān)控什么。為什么不了解具體情況？因?yàn)閿?shù)據(jù)量太大了。為什么數(shù)據(jù)量太大是問(wèn)題？因?yàn)槿狈Ψ治鍪侄巍Ｄ敲矗瑸槭裁床怀闃诱{(diào)查？…… 所以，結(jié)論就是抽樣調(diào)查。許多問(wèn)題只要追問(wèn)到這個(gè)程度，就不再是“不可解決”的，就不再有抽象的困難。

為什么一定要這樣追問(wèn)才能解決問(wèn)題呢？坦白說(shuō)，最早看到豐田生產(chǎn)方式要求問(wèn)“五個(gè)為什么”的時(shí)候，我也有同樣的疑惑。后來(lái)我才明白了：“黑匣子思維”，探究問(wèn)題的根源，說(shuō)起來(lái)容易做起來(lái)難，許多時(shí)候甚至有悖于人性，所以當(dāng)事人很容易就給自己找個(gè)借口中止了。多問(wèn)幾個(gè)為什么，其實(shí)是逐個(gè)擊穿自我設(shè)置的障礙，努力接近最終答案的過(guò)程。