第三章　叠裕

论未病作为一份被各单位分别计入的余量

提要

“治未病”的落地困难，通常被归为“未病”太玄。本章主张困难出在一个更技术性的地方：判定是按单位做的，而余量是不按单位存在的。 三门成熟的学问各自处理“还没出事的那个东西”，做法互不相容：细胞学主张一个单元是好是坏由它所处的邻域相对判定（同一个细胞单独培养完全正常，置于更强的邻域中即被清除），工程学的损伤容限范式主张缺陷始终存在、要紧的是从可检出尺寸到临界尺寸的剩余路径，管理学的结果导向主张组织的健康可由其产出与事故记录读出。本章指出三者共同假定了一件从未被说出的事：“会不会出事”这个问题可以对一个事先划定的单位提出并回答。 工程学自己的备用荷载路径法推翻了它——每根构件的安全系数都是在“其他构件都在”的前提下算出来的，移除一根之后，其余构件的裕度不是减少而是重算，可以瞬间为负。据此本章提出：未病不是尚未被邻域淘汰的状态，也不是缺陷尚未扩展到临界尺寸的状态，也不是结果尚未变坏的状态，而是一个实体在每一种现行划分单位下都被判为合格，而这些合格所依据的余量来自同一份不可分割的储备、被各单位分别整份计入、且没有任何一本账做过这次加总的状态。本章把这份被重复计入的余量命名为叠裕，给出一张四格辨别表（靶格是“各单位全合格而余量共享”）、一句不含情态词的判据、一个四领域量纲不同而比率相同的读数（叠计比），三处由三家反过来强加的削弱，十二处兑现，与十二种既有说法及本书另两章的分界，四条证伪条件与一条写死日期的制度扩散赌注。结论一句：未病不是“每一处都没病”，而是“各处的没病不是同一份余量算出来的”。

一 · 问题从哪里来

有一种临床场面，几乎每个医生都见过，而没有一本病历记得下来：一位老人在心内科、内分泌科、肾内科、骨科各看过一轮，每一科的检查都在可接受范围，每一科开出的方案都完全符合本科的指南，每一科的结论都是“你这一块问题不大”。然后他在某个平常的下午跌倒、感染、或者突然衰竭。

事后回看，找不到哪一科做错了。每一份处方单独看都合规，每一项指标单独看都达标，每一次判断单独看都称职。没有人犯错，而这个人出事了。

同样的场面在别的行当里也有。一栋楼的每根柱子都满足规范的安全系数，而移除其中一根之后整栋楼连续倒塌；一个组织的每个部门的项目计划都通过了评审、人员配置表都显示无人超过百分之百，而那位关键工程师同时被四个项目各排了六成；一片组织里的每一个克隆各自都有正常的增殖能力，而它们要用的生长因子是同一份。

这些场面的共同形状，本章认为可以说得很干脆：

判定是按单位做的，而余量是不按单位存在的。

每一个单位——一个科室、一根构件、一个部门、一个克隆——在自己的账上合法地、准确地记下“我这一块还有余”。这些记录没有一条是假的。而它们所指的那份余，是同一份。同一份储备被各单位分别整份计入，而没有任何一本账做过这次加总。

本章把这份被重复计入的余量称为叠裕，把加总之后的倍数称为叠计比。

值得先说清楚这个问题为什么不是显而易见的。它显然不是“资源不足”——上面每一个例子里，出问题的都不是绝对量太少，而是分账方式使得同一份量被算了几次。它也显然不是“某个单位失职”——恰恰相反，每一个单位越是严格按规范把自己那一份裕度用足（这正是精细化管理、临床路径、精益生产所要求的），重复计入就越严重。优化本身在制造它。

它也不是一个新发现的现象。工程规范里有备用荷载路径分析，金融监管里有关于抵押品重复使用的规则，碳核算里有防止重复计入的整套方法。这些都说明这件事可以被记账。本章要问的是另一个问题：在临床、在组织、在一切按单位建账的判定制度里，为什么这一栏至今没有？

路线如下：第二节摆出三个领域各自处理“还没出事”的成熟做法，第三节说明它们互相取消前提；第四节指出三者共同站着而从未说出的那一句，第五节从其中一家自己的规范里取出推翻它的材料；第六至八节给出承重命题、两根轴、四格表与靶格；第九、十节给出一句不含情态词的判据与一个可清点的比率；第十一节是三个领域反过来削掉本章原本要说的话；第十二节是十二处兑现；第十三、十四节与十二种最接近的既有说法及本书另两章划清界线；第十五节写不适用的边界，第十六节写一处无出口的反噬，第十七节写伦理，第十八节写证伪条件，第十九节把本章自己放进它自己的表里，末节是一条写死日期的制度扩散赌注。

二 · 三种现行读法，各自站得住

2.1 细胞学：看邻居把它判成什么就够了

细胞学在过去半个世纪里得到过一个反直觉的结论：一个细胞是好是坏，不是它自己的属性。

最经典的材料来自果蝇。携带某类核糖体蛋白单倍不足突变的细胞，其分裂速度略慢于野生型。如果整个胚胎都由这类细胞组成，果蝇能正常发育、能活、能繁殖——这类细胞单独完全够用。但如果把它们与野生型细胞做成嵌合体，它们会被邻居系统性地识别并诱导凋亡，最终从组织中被清除干净。同一批细胞，换一个邻域，判定结果完全相反。

后续的工作把这条读法推得更远。过表达某些促生长基因的细胞会变成“超级竞争者”，主动淘汰周围完全正常的细胞；反过来，上皮组织中出现的携带致癌突变的单个细胞，在正常邻居包围下会被挤出上皮而清除，而在同类突变细胞成片时就长成肿瘤。同一个突变，是被清除还是长成瘤，取决于它周围是谁。

翻成中医的话：所谓未病，是这一处还没有被它所处的整体判为多余。要判断它，必须看它周围。单看这一个单元读不出任何东西；换一个邻域，结论就翻。

2.2 工程学：看从可检出到临界还剩多长的路就够了

工程学在结构安全上经历过一次范式转换。早期的做法是安全寿命设计：算出一个寿命，到期更换，假定期间内构件无缺陷。若干次事故之后，这条路被放弃了——因为无缺陷是做不到的，检测总有下限，而假定不存在的东西恰恰是最危险的。

取代它的是损伤容限：假定构件里从一开始就存在一条不大于检测下限的裂纹，用断裂力学算出它在服役载荷谱下扩展到临界尺寸所需的循环数，再把检查周期安排成这个数的若干分之一。于是安全不再来自“没有缺陷”，而来自“缺陷从可检出长到致命，中间至少要经过两次检查”。

这条读法的力量在于它对现状的态度：当下有没有缺陷、缺陷多大，本身不构成判断。 一条五毫米的裂纹在一种载荷谱下是灾难，在另一种下可以带着飞十年。要紧的是剩余路径的长度。

翻成中医的话：所谓未病，是从已经能查出来的那一点，到真正出事的那一点，中间还剩足够长的一段，且这一段里还安排得下两次复查。当下的读数不重要，剩余路径的长度才重要。

2.3 管理学：看它做出来的结果就够了

管理学处理“还没出事的组织”，主流做法是看结果。绩效指标、事故率、可记录工伤率、交付准时率、客户投诉数——一个组织的健康状况被认为可以由这些产出读出。这条读法的制度化程度极高：从目标管理到平衡计分卡，从零缺陷到各类安全绩效考核，其共同的骨架是用已经出现的结果来推断尚未出现的风险。

它有很扎实的理由。结果是客观的、可审计的、不依赖判断的；相比之下，任何“过程健康度”的评估都容易变成印象与话术。一个连续五年零事故的工厂，凭什么说它不安全？

翻成中医的话：所谓未病，就是还没有出现坏结果。要判断它，把产出和事故记录读准就够了。内部怎么样不必猜，看它做出来的东西。

三 · 三种读法为什么不能同时成立

细胞学与工程学不能同真。 细胞学那一读法的全部力量来自“判定是相对的”——同一个单元换个邻域，结论就翻。工程学那一读法的全部力量恰恰来自“判定是绝对的”——裂纹长度是一个物理量，断裂韧性是一个材料常数，临界尺寸由公式算出，与这根构件周围站着谁无关。若细胞学对，工程师算出的那个临界尺寸只在某个特定的邻域配置下有效；若工程学对，细胞学所说的相对性只是尚未找到正确的绝对判据。两者对“判定是否可以脱离邻域给出”作答相反。

细胞学与管理学不能同真，而且这一对最烈。 细胞学把淘汰当作机制：竞争性清除是组织维持质量的正常手段，被清除的细胞不是受害者，清除它们是健康的表现。管理学的结果导向把每一次淘汰都记为损失——人员流失率、废品率、项目终止数，全都是负向指标，越低越好。一门学问的健康标志，是另一门学问的病征。 这不是不同的偏好，是对同一件事的相反归属。

工程学与管理学不能同真。 损伤容限的第一句话就是缺陷始终存在，目标不是消除缺陷而是控制扩展；零缺陷管理的第一句话是缺陷的可接受数量为零。两者互为病理：损伤容限会把零缺陷目标判为必然导致瞒报——既然缺陷客观存在而目标是零，那么被报上去的数字只能靠不报来实现；零缺陷管理会把损伤容限判为制度化的纵容——你从设计阶段就承认里面有裂纹，那么现场就没有理由把任何一条裂纹当回事。

三者化解不了。你不能既主张判定相对于邻域、又主张临界尺寸是绝对的；不能既把淘汰当机制、又把淘汰当损失；不能既承认缺陷常在、又把缺陷数量的目标定为零。

正因为化解不了，才值得问：它们在什么事情上是一致的？

四 · 三家共同站着而从未说出的那一句

把三者的争论压成一句，形状是这样的：

三家争的是“还没出事”这个判定该由什么做出——由邻域的相对比较、由剩余路径的长度，还是由已出现的结果。

争这个，就意味着三家都默认了另一件事：

“会不会出事”这个问题，可以对一个事先划定的单位提出，并且对它作答。

细胞学会说，当然是对这个细胞提问，否则“细胞死亡”这个词没有意义；工程学会说，当然是对这根构件提问，它有图号、有材质单、有独立的验收记录；管理学会说，当然是对这个部门提问，它有编制、有成本中心、有独立的考核表。三家都会说“这还用说”——这正是一句共有前提的标志。会引起争论的是第四家的立场，不是共有前提。

这句话有一个非常具体的后果，藏在记录制度里而不在理论里：每一本账都是按单位建的，因此凡是不可分割的共享物，只能被各单位各自整份计入，或者整份忽略，没有第三种记法。

一位老人的肝肾清除能力是一份，而心内科、内分泌科、肾内科各自开方时，都把它当作“这位病人的清除能力”来评估用药安全——每一科都是对的，每一科算的都是同一份。一栋楼的备用承载能力是一份，而每根柱子的安全系数都是按“其他柱子都在”算的——每一根都合规，每一根算的都是同一份。一位关键工程师的可用工时是一份，而四个项目的排程表各自把他排进去时，每一张表单独看都不超编。

三家都不是不重视共享，是它们的账本结构上不给“这份余量同时被谁算着”留位置。账本的字段是“本单位的余量”，不是“本单位的余量与谁重叠”。

站在同一块地上的人，看不见这块地。

五 · 推翻它的那件材料，就在其中一家自己手里

要推翻这条假定，不能从外面搬理由——从外面搬只是加入争论。必须用三家自己已经掌握、已经写进规范、只是从来不往这个方向用的事实。

5.1 工程学：每一根构件的安全系数，都是按“其他构件都在”算出来的

这是三件材料里最硬的一件，因为它不是一个理论推论，而是一套强制性规范。

若干次连续倒塌事故之后，结构工程界发展出了备用荷载路径分析：假想移除一根主要承重构件，重新计算剩余结构能否把载荷传下去而不发生不成比例的连续破坏。 这套方法今天已经写进多国的抗连续倒塌设计规范。

它的前提让人不安，而工程界从不回避：日常设计中每一根构件的安全系数，都是在“其他构件都在其位”这个隐含条件下算出来的。 移除其中一根之后，剩余构件的裕度不是按比例减少，而是按新的载荷路径重新计算——某些构件的裕度可能瞬间变为负数，尽管它们自己一克材料都没少、一条裂纹都没多。

于是工程学自己用规范承认了一件事：

单元的裕度不是单元的属性。它是在一个给定的划分与配置下算出来的数；划分或配置一变，这个数就重算，而且可以重算成负的。

工程学把这件事归在“极端事件设计”这个题目下——它只在假想移除的工况里被使用，从不用来讨论一个结构在日常状态下是不是健康的。没有任何一份日常检验报告里有一栏写着：本构件的合格结论，与其余若干构件的合格结论，共用同一份备用承载力。

5.2 细胞学：同一个细胞，换一个边界就换一个结论

细胞竞争提供了第二件材料，形式与第一件相同而更极端。

前面已经说过：某类分裂稍慢的突变细胞，在纯合个体里能长出完整而健康的成体；在与野生型嵌合时被全部清除。这里要强调的是它对边界的意义：

若把边界画在单个细胞上，它是健康的——它能分裂，能分化，能行使功能。若把边界画在“细胞与它的邻域”这一对上，它是被判定为多余的。两种画法都合法，都有实验支持，而它们给出相反的结论。 细胞学并不认为其中一种是错的，它同时使用两种。

也就是说，细胞学早就承认：“是不是有病”这个问题的答案随边界画法而变，而且不存在一个特权的边界。 它把这件事归在“发育中的质量控制”这个题目下，从不用来讨论“该对谁提问”。

5.3 管理学：关键资源的多重承诺是被知道的，只是不被合计

第三件材料在项目组合管理里。

任何一个同时运行多个项目的组织都知道资源过度承诺这件事：同一位关键人员被多个项目各自排入计划，每一张排程表单独看都合规，加总起来远超其可用工时。约束理论与多项目排程研究几十年来反复讨论它，处方也很清楚——设置组织级的资源池、限制在制项目数、保护瓶颈资源。

而这件事在实践中的记账状况是这样的：每个项目的计划书里都有这个人的投入比例，没有任何一份文件把这些比例加起来。 加总动作要么不存在，要么由某个人凭记忆在会上提醒一句。管理学把它归在“排程与资源冲突”这个题目下，从不用来讨论“这个组织现在健不健康”。

5.4 三件材料指向同一件事

三件材料在各自领域里回答的都是别的问题。但它们的形式是同一个：

N 个单位各自合法地、准确地把同一份不可分割的储备整份计入自己的可用余量；每一笔记录都是真的，而它们的和不是真的；且没有任何一本账做过这次加总。

一旦承认这一点，第四节那句“可以对一个事先划定的单位提问并作答”就不成立了。对单位提问永远能得到一个答案，而这个答案的有效性依赖于别的单位同时在做什么——那件事不在这个单位的账上。

六 · 承重命题

未病不是尚未被邻域淘汰的状态，也不是缺陷尚未扩展到临界尺寸的状态，也不是结果尚未变坏的状态，而是——一个实体在每一种现行的划分单位下都被判为合格，而这些合格所依据的余量来自同一份不可分割的储备、被各单位分别整份计入、且没有任何一本账做过这次加总的状态。

三个被否定的项各对应一家的判界标准：细胞学以邻域相对适应度为界，工程学以剩余路径长度为界，管理学以已出现的结果为界。三家各自都能读出某些东西，而它们共同读不出的是同一样东西：各单位的合格结论之间，有没有重叠，重叠多少。

这里提出的不是一个更灵敏的指标，也不是一个更早的时点，而是一样新的东西。判据只有一条：把这个读数删掉之后，它是不是就不存在了？

“这位病人的肝肾清除能力”删掉本章照样存在，它有化验值。“心内科开的药”删掉本章照样存在，它有处方。而“这三科各自评估时所依据的清除能力，是同一份，被算了三次”——这不是一个存在而难测的量，这是一个在现行的记录制度里根本没有被构成为一样东西的东西。三张处方在三个系统里，一份化验单在第四个系统里，没有任何一步把三科各自默认的可用份额加起来与化验值相比。它不是分散，是没有被当作一样东西。删掉这个读法，它不存在。

这也是本章与“多病共存”“多重用药”“资源不足”这类说法的根本不同：那些说法记的都是数量（几种病、几种药、多少资源），而数量是账本上已有的那一栏的一种统计；本章造的是一栏原来没有的账——各单位余量声明之间的重叠。

七 · 两根轴与四个格

7.1 第一根轴：各单位是不是各自都合格

这是现行一切判定制度唯一记录的那一维。每一科的结论、每一根构件的检验结果、每一个部门的考核结果，逐个记录、逐个归档、逐个审计。

7.2 第二根轴：这些合格所依据的余量，是各自独立的，还是同一份

这是本章要加的那一维。它的数据同样存在，只是分散在别处：化验单、结构计算书里的载荷路径、项目管理系统里的人员排程、生长因子的供给量。这些数据从不与各单位的合格结论合看。

判定这一维只需要问一句：如果某一个单位真的把它声明的余量整份用掉，其他单位的余量会不会因此改变？ 会，就是共享的；不会，就是独立的。

7.3 四格辨别表

读法的纪律：这张表读的是“这一组判定之间的关系”，不是给某个单位贴的标签。同一个实体在某一份储备上可能落在第二格，在另一份储备上落在第一格：一位老人的肝肾清除能力可能被三科重复计入，而他的关节负荷不与任何一科共享。格是一组判定的属性，不是任何一个单位的属性，更不是任何一个人的属性。 这一条在第十七节里会被写成一条硬的伦理约束。

八 · 靶格：第二格为什么危险，而第四格不是

四格里必有一格是要打的。它必须满足一个条件：它通过全部形式审查。一眼就能看出的坏不需要一张新的表。

第四格是一眼看得出的。连锁已经在发生，事故已经在扩散，事后总有调查。它规模巨大、后果严重，但它不需要本章——它需要的是调查报告。

第二格不同。它三条签名齐全。

签名一：它在短期指标上表现为改善，而且是被专业地做出来的改善。 每一个单位越是严格地按本单位的规范把裕度用足，账面越漂亮。临床路径要求用药达到指南推荐剂量，精益生产要求消除在制品与闲置产能，项目管理要求人员利用率不低于某个水平，结构优化要求把富余材料省下来。这些全都是对的——单位内部的每一条都对。而它们同时把各自留给“万一”的那一份压缩到规范下限，而那些下限是各自独立算出来的。优化得越彻底，重叠越接近满值。

签名二：它的失效不产生任何信号。 第二格与第一格在任何一次单位内部的审查中都读不出差别，因为二者的每一条记录完全相同：都是合格，都是有余量，都有据可查。差别只在第一个单位真正动用它那份余量的那一刻显现，而那时显现的不是渐变，是同时失效——其余单位的合格结论在同一瞬间全部作废，尽管它们一个字都没改。老人在一次感染中肝肾负担骤增，三科的用药安全性同时失效；一根柱子被撞掉，相邻柱子瞬间超载；关键工程师病休两周，四个项目同时延期。前面没有预兆，不是因为预兆微弱，是因为预兆的位置不在任何一个单位的账上，它在单位之间。

签名三：它自我加固，而且是以精细化和责任明确的形式加固的。 分账越清楚，责任越明确，考核越到位，每个单位就越有理由只对自己那一栏负责，也越没有立场去过问隔壁那一栏。“这不是我科的事”在第二格里是一句完全正确的话。 更彻底的一层是：任何试图做加总的人，都不属于任何一个单位——他没有数据权限，没有考核指标，也没有一份表单可填。做加总这件事在组织结构上是无主的。

三条签名合起来说明第二格不是一个错误，也不是任何人的失职。它是一个分工清晰、责任明确、各单位都尽职的判定制度的常态产物。危险的不是它存在，是它与第一格在账面上完全无法区分——而一切关于“这个人现在没病”“这栋楼安全”“这个组织运转正常”的判断，都建立在这个无法区分的账面上。

中医那句“治未病”，若有一个可以落地的所指，最合适的落点正是这一格。《难经》说“见肝之病，则知肝当传之于脾，故先实其脾气”——这句话的要点从来不是“肝病会传染给脾”，而是拒绝把肝和脾当作两个可以分别结算的单位。而现行的一切分科诊疗、分项体检、分单位考核，读不出第一格与第二格的差别，因为它们只记各单位自己的那一栏。

九 · 一句不含情态词的判据

一张辨别表若不能被拿去问记录，它只是一个说法。判据的要求因此是硬的：它必须是一句可以拿去问处方系统、结构计算书、排程表、调度记录的问话，而不是一句拿去问人的判断。 “应当”“有意义”“实质性”“充分”“真正”“恰当”“合理”这些词一个都不许出现。

本章的判据是这一句：

这一次判定所依据的那份余量，还有哪几个单位正在把它算作自己的余量？把各单位算进去的份额加起来，是那份余量的几倍？

它不问严重程度，不问谁的责任，不问某一个判定对不对。它只问两件可清点的事：还有谁在算同一份，以及加起来是几倍。

把它在五个场景里跑一遍，答案必须互不相同，且至少有两个是查出来的而不是想出来的。

场景一 · 一位在四个科室各自“用药方案合理”的老人。 问：四科在评估用药安全性时，各自依据的肝肾清除能力，加起来是他实际清除能力的几倍？答案要把四张处方的代谢负担分别折算，再与一份估算肾小球滤过率和肝功能指标相比。数据全部现成——处方在医嘱系统里，化验在检验系统里——而这两个系统之间没有这一步计算。

场景二 · 一栋每根柱子都满足规范的建筑。 问：各柱按规范声明的承载裕度之和，与结构在移除任一根柱之后的备用路径冗余相比，是几倍？答案在结构计算书与抗连续倒塌分析里。这一条必须去查，想不出来，而且多数既有建筑根本没有做过第二项分析。

场景三 · 一个同时跑六个项目的部门。 问：这六份排程表里，那位关键工程师的投入比例之和是多少？答案是一个可以从项目管理系统里直接导出的数字，而多数组织从未导出过——因为报表是按项目出的，不是按人出的。

场景四 · 一个电网的旋转备用。 问：各机组各自申报的备用容量之和，与系统在最不利单机故障下实际可调度的容量相比，是几倍？答案在调度记录与机组申报数据里。这一条也必须去查。

场景五 · 一片组织里的多个克隆。 问：各克隆当前的增殖速率所隐含的生长因子需求之和，与该微环境的实际供给量相比，是几倍？答案需要专门的测定，多数研究不做。

五个答案互不相同。场景二与场景四不能从命题推出来——必须去翻计算书和调度台账。这正是判据与命题复述的分界：判据是拿去查的，命题是拿来说的。

十 · 叠计比：一个四领域量纲不同而比率相同的读数

判据给出的是一份清单。清单要能进制度，需要压成一个数。

定义：叠计比 = 各单位各自声明为“本单位可用”的那部分共享储备之和 ÷ 该共享储备的实际容量。

它是一个纯数。等于一，说明各单位的声明恰好瓜分了这份储备，没有重叠；大于一，说明存在重复计入，其值就是重复的倍数；小于一，说明还有未被任何单位声明的余量。

四个领域里它的量纲完全不同，而比率的形式相同：

• 临床：多科处方所隐含的代谢与排泄负担之和 ÷ 该患者的实际清除能力。数据来源：医嘱系统 + 检验系统。
• 结构工程：各构件按规范声明的承载裕度之和 ÷ 备用荷载路径分析给出的实际冗余。数据来源：结构计算书 + 抗连续倒塌分析。
• 组织：各项目计划中占用的关键人员工时之和 ÷ 该人员的实际可用工时。数据来源：项目管理系统。
• 电力调度：各机组申报的备用容量之和 ÷ 最不利单机故障下实际可调度容量。数据来源：调度台账。

这个比率齐了四条性质，因此可以放心用：

• 无量纲，四个领域可以并排比较；
• 可事后清点，靠的全是既有记录，不需要新增任何测量；
• 它把一个印象变成一个数——“这个人看了太多科”“这个人被排得太满”此前只能靠语气传递；
• 它与既有主要指标正交。

第四条最要紧也最容易漏：一个与既有指标高度相关的新数会被立刻读成那个指标的代理，白造。所以必须举一个“既有指标最好看、而这个数最难看”的真实例子。

这个例子是一位被照护得极好的多病共存老人：四个科室全部按最新指南规范用药，每一项单病种质量指标都达标，处方合理性审核一次不合格记录都没有，病历质控评分优秀。在任何一套现行的医疗质量指标下，这是一份模范档案。 而他的叠计比可以到三——三个科室在评估各自方案的安全性时，各自把同一份清除能力当作可用。反过来的例子同样容易找：一位只在一个科室随访、指标多项不达标、用药不足的老人，叠计比是一。

现行的一切质量评价会把前者判为优秀、把后者判为医疗质量不足。本章的读数在这两人身上给出的排序恰好相反。

还有一层更锋利的正交性：单位内部越合规，叠计比越高。 因为规范的作用恰恰是让每个单位把自己的裕度用到规定的边界；每个单位都用足自己那一份，重叠自然逼近满值。这不是相关，是结构上的反向关系。能举出这一层，这个比率就不可能是既有质量指标的影子。

它必须配一个第二字段：动用的相关性。 第十一节第一处削弱会说明为什么——重复计入本身不是隐患，隐患在于各单位可能同时动用。因此这个读数的完整形式是一个比率加一个相关性估计（各单位动用峰值是否倾向于同时出现），单独的比率不足以判定。

十一 · 三处削弱：三个领域反过来给本章加的约束

一个跨领域的判断若只从各领域取好处，它多半是在做修辞。以下三处，是三个领域反过来削掉了本章原本打算主张的东西。

11.1 管理学削掉了“叠计比大于一即隐患”这整套价值排序

本章原本会写下的更强的一句是：叠计比应当被压到一，各单位应当各自备足自己的裕度。

这句话很顺，而管理学与保险的基本原理不允许它成立。风险共担的全部效率正来自重复计入：一支消防队服务整座城市，它的能力被每一个街区都算作“我这里有消防保障”，叠计比远大于一——这不是浪费，这是共担的定义。若要求每个街区自备一支消防队，社会成本会高到不可承受。同样，一家医院的备用血源、一个电网的旋转备用、一支应急抢修队伍，它们的价值全部建立在“多个单位共用同一份、而它们不会同时需要”这个假设上。

于是本章的价值排序必须改写：危险的不是重复计入，是重复计入而各单位不知道自己在共享、因而其动用峰值可能同时到来。 关键变量因此从比率本身转移到动用的相关性：叠计比为五而各单位需求高度不相关，是高效的保险；叠计比为一点五而各单位需求高度同步，是一次等待发生的连锁。

这一处削掉的是本章最容易滑进去的那种“多储备就是好”的直觉，而且它改的是价值排序，不是补充条件。

11.2 细胞学削掉了“每个单位都应保住自己的裕度”，并缩小了适用范围

本章原本会写下的第二句更强的话是：共享储备被重复计入时，受损的是那些被挤掉的单位，因此应当保护每一个单位的份额。

细胞竞争不允许。它给出的图景恰好相反：竞争性清除是组织维持质量的机制，被淘汰的单元不是受害者，清除它们是健康的表现。 一个不进行细胞竞争的组织，反而更容易积累劣质细胞。也就是说，在单元高度可替换的系统里，让各单元去争夺同一份共享储备并淘汰弱者，是设计意图而非缺陷。

于是适用范围被削掉一大块：本章的读法只对那些单位不可替换、失效后无法再生的系统有诊断意义——一个人的肝肾功能、一栋楼的关键构件、一个组织里的独任专家。对于单位高度可替换的系统（可互换零件、通用工时、可再生的细胞群），高叠计比是正常且高效的，此时这个读数只能用于容量规划，不能用于风险判定。

这一处削掉的是范围，不是补充条件。

11.3 工程学削掉了量纲本身

本章原本会写下的第三句更强的话是：叠计比可以算成“各单位声明之和 ÷ 共享池容量”。

备用荷载路径法不允许。它揭示的正是：裕度不是一个标量池。 移除不同的构件，载荷重分配的结果完全不同——移除某根边柱可能毫无影响，移除某根转换柱会导致大片区域失效。因此“实际共享容量”不是一个数，是一个随所设想的动用对象而变的向量。

于是叠计比的计算方式必须改写：它不能算一次，必须对每一种“某一个单位整份动用”的情形各算一次，取其中最不利的一个。 在临床上，这意味着要分别设想“若肾功能急性下降”、“若肝功能急性下降”、“若容量状态骤变”各会使哪几科的方案同时失效，取最坏的一组；在组织里，意味着要对每一位关键人员分别做一次“若此人两周不在”的推演。

这一处削掉的是本章提出的那个量纲的计算方式，是三处里最贵的一处——它把一个可以自动导出的数，变成了一组必须逐项设想的分析。

三处削掉之后，剩下的主张比原来窄得多，但它站得住：在单位不可替换的系统里，各单位合格结论之间的重叠、以及这些重叠被同时动用的可能性，必须被记账；比率本身不是罪状。

十二 · 十二处兑现

跨领域的说法若只是“像”，那是比喻。兑现的判据是：在那个领域里能据此预测出一件具体的事。

• 临床（可回溯，成本最低）：在同一家医院的既有数据里，取估算肾小球滤过率与用药总数相匹配的两组老年患者，按开方科室数分组。本章预测：科室数多的一组，其急性肾损伤与药物不良事件发生率更高，且这一差异在控制用药总数与总剂量后仍然存在。若差异在控制总剂量后消失，则本章在临床上被“总量过大”完全解释。

• 临床（第二条，与第 1 条方向不同）：本章预测这一差异在急性应激事件发生后的窗口内被显著放大——因为共享的清除能力在那时被整份挤占。若差异在平稳期与应激期同等大小，则“共享储备”这个机制没有起作用。

• 结构工程：在同一设计年代、同一规范版本下建成的一批建筑中，各构件安全系数越接近规范下限（即优化越充分）的那些，其抗连续倒塌分析的裕度越低。这条可以在设计院既有的计算书档案里回溯验证，不需要任何现场工作。

• 结构工程（反向）：对于构件高度冗余、传力路径多重的结构（如密柱框筒），叠计比高而连续倒塌风险不高。若发现二者仍强相关，则第 11.2 节的适用范围削弱是多余的，本章的范围可以放宽。

• 组织：在项目管理系统里，取关键人员被排入的项目数。本章预测：某人被排入的项目数越多，其非计划性缺席后同时延期的项目数越多，而这一关系不能由该人员的总工作量解释——同样工时被排进一个项目与排进四个项目，后者的连锁范围更大。

• 组织（顺序预测）：叠计比的上升，早于任何一个项目出现进度偏差的时点。因为排程表在项目立项时就已完成，而偏差要到执行中期才显现。中位提前量应不小于一个报告周期。

• 电力调度：在备用容量申报数据里，各机组申报之和与最不利单机故障下实际可调度容量之比越高的时段，在遭遇非计划停运时的负荷削减量越大，且这一关系独立于总装机容量。调度台账里有完整的历史数据。

• 供应链：多个产品线各自声明“我们有第二供应商”，而这些第二供应商指向同一家上游厂。本章预测：在该上游厂中断时，同时受影响的产品线数量远超各产品线风险评估之和所预期的数量。二〇一一年之后的多次断供事件为这一条提供了大量可回溯案例。

• 金融：同一份抵押品被多笔融资重复使用时，各笔融资各自的抵押覆盖率都合规，而在集中赎回时覆盖率同时失效。这一机制在监管上已被识别并有规则约束，本章引它是为了说明同样的记账缺口在另一个行业已经被补上过。

• 细胞与组织：在一个生长因子供给受限的微环境中，多个克隆各自的增殖速率之和超出供给时，本章预测淘汰不是均匀发生的，而是在供给出现一次短暂波动时集中发生——也就是说，波动而非平均供给决定了清除的时点。这一条可以用可控灌流的类器官系统检验。

• 公共服务：一支应急队伍被多个辖区各自计入保障能力时，本章预测：在多辖区同时发生事件的情形下，实际到达时间的分布远长于各辖区各自演练所得的时间分布。演练记录与实际出警记录在多数应急管理部门里都存在。

• 中医诊法本身：中医的判断历来不以脏腑为独立结算单位——“见肝之病，知肝传脾”，“虚则补其母，实则泻其子”，都是明确拒绝分账。本章由此预测：以整体状态为判据的诊断，其对多系统同时失代偿的预测力，在叠计比高的人群中显著高于分科指标的预测力；而在叠计比等于一的人群中，两者预测力应无差别。这是一条可以设计对照研究的预测，也是本章对中医整体观最实质的一处支持——它的价值不在哲学立场，在它的账本不按单位分。

十二处里有两处（第 1 条的否证分支、第 4 条）反过来限制了本章的主张，二者都要求与正面结果同时报告。

十三 · 与最近的几种说法的分界

本章的判断有许多长得很像的邻居。逐个划清，是为了让读者能判定它是不是某个既有说法的改名。判定的形式固定：若观察到 X，则本判断对而该说法错；若观察到 Y，则反之。 “更强调”“更深入”“更系统”“视角不同”“层次更根本”这些话一句都不算数——它们不可判定，说出来就等于承认被覆盖。

在逐条之前，先做一个动作：把本章的判断剥掉一切本领域的名词，只留下“什么对什么做了什么，导致什么”。剥完是这样一句：

N 个独立账户各自把同一份不可分割的储备整份记为自己的可用余额；每一笔记录都是准确的，而它们的和超出了实际；没有任何一个账户有义务、也没有任何一本账有字段去做这次加总。

这个纯形式的结构在上游有名字，必须先点出来。

上游之一 · 抵押品的重复使用。 金融体系里同一份抵押品被多笔融资连续使用，每一笔融资单独看都有合规的抵押覆盖率，而在集中赎回时覆盖率同时失效。二〇〇八年之后，这一机制被监管正式识别，并通过对再使用比例的限制与披露要求加以约束。分离线：金融领域的解决方式是限制重复次数并强制披露，它默认可以通过监管在中央层面看到全貌；而临床、结构、组织三类判定制度里没有一个中央账户能看到全貌，各单位的记录分散在互不连通的系统里。因此这条上游不是本章的竞争者，是本章的可行性证据——它证明“把重复计入记账”是一件已经被另一个行业做成过的事。判决性对照：若某个判定制度里已经存在一个中央账户，能对共享储备的各单位声明做加总，则该制度不在本章的批评范围内；若不存在，则在。

上游之二 · 核算中的重复计算。 国民经济核算与温室气体核算都有成熟的防止重复计入的方法：中间产品不计入增加值，同一份减排量不得被两方同时声明，并为此建立了登记与注销机制。分离线：核算领域处理的是同一笔已发生的量被两方声明，是事后统计问题；本章处理的是同一份尚未动用的储备被两方预先声明，是事前的可用性问题。前者的错误在总量统计里显现，后者的错误只在动用时显现。判决性对照：把所有已发生的量做完重复计算校正之后，若“多个单位对同一份未动用储备的重复声明”这个问题随之消失，则本章被核算方法覆盖；若各单位的事后统计毫无重复而事前声明仍然重叠（这是常态），则本章说的是另一件事。

上游之三 · 公地悲剧与它的反驳。 哈丁一九六八年的公地悲剧描述多个主体理性地过度使用共享资源；奥斯特罗姆随后用大量田野证据说明，共同体可以通过自主治理规则避免它。分离线：这一系文献的核心是激励与产权——每个主体都知道资源是共享的，问题在于它有动机多用。本章的那一格里，每个主体都完全按规则行事，而且往往不知道自己在共享；问题不在激励，在记账字段的缺失。判决性对照：给共享资源划定明确配额之后，公地悲剧消失；而给各科室、各构件、各项目划定配额之后，叠计比仍可大于一——因为配额是按各单位自己的规范分别制定的，从来没有被加总校验过。这一条极锋利：产权清晰不解决重复计入，因为重复计入不是抢占，是各自合法地引用同一份数。

以下逐条。

其一 · 共因失效。 可靠性工程里最接近的一位。它处理的是多个冗余单元被同一个原因同时击倒，并发展出了整套定量方法与设计对策——物理隔离、多样性设计、独立供电。分离线：共因失效假定各单元的裕度是真实独立存在的，只是被同一个事件同时消耗；本章说的是裕度从一开始就不是 N 份，是同一份被算了 N 次。判决性对照：共因失效可以通过隔离与多样性消除；叠计比不能，因为共享的是储备本身而非致因。取一个做到完全物理隔离、无共同致因的系统，若其各单元的备用容量仍来自同一批备件、同一组值班人员或同一个电网，则叠计比仍大于一而共因失效分析给不出任何警示——那时本章对。

其二 · 备用荷载路径与抗连续倒塌设计。 这是本章第五节的推翻材料本身，也是最容易被误认为已经解决了问题的一位。它说到哪一步：它把“移除一根看看”制度化了，有规范、有算法、有验收。分离线：它只在极端事件工况下使用，是一次假想演算，其结果不回写到任何一根构件的日常检验记录里。一份构件检验报告上永远不会写“本构件的合格结论与其余若干构件共用同一份备用承载力”。判决性对照：若某地的日常结构检验记录中存在“本次合格所依赖的邻近构件”这一字段，则该地已经做了本章主张的事；本章预测在所有既有的检验表单里都没有。

其三 · 多重用药与处方级联。 临床上最接近的一位。处方级联描述的是一个药的副作用被误认为新问题而加开另一个药，形成链条。分离线：处方级联是因果链问题——药与药之间有因果关系；本章的那一格里，各科的药之间可以完全没有因果关系、也没有已知的药物相互作用，它们只是各自把同一份清除能力算作可用。判决性对照：取一批没有任何已知相互作用、也没有级联证据的多科处方病人，处方级联理论预测无特殊风险；本章预测其风险随开方科室数上升。这一条是可以直接从既有病历里做的。

其四 · 约束理论与瓶颈。 高德拉特一系的工作指出，系统的产出由最慢的环节决定，应当围绕瓶颈组织一切。分离线：瓶颈理论是流量概念——它关心单位时间通过多少；本章是存量概念——它关心那份储备被声明了几次。二者正交：一个各环节产能完全均衡、没有任何瓶颈的系统，仍然可以有极高的叠计比（各环节的应急备件来自同一个仓库）。判决性对照：若消除瓶颈之后叠计比随之下降，则本章被约束理论覆盖；若消除瓶颈后叠计比不变（这是本章的预测，因为它们是两个维度），则本章说的是另一件事。

其五 · 细胞竞争。 本章第五节的第二件材料，同时也是一位邻居。分离线：细胞竞争解释的是为什么弱者被淘汰，其机制在于相对适应度的比较与信号交换；本章关心的是在淘汰发生之前，多个单元各自声明的可用份额之和是多少。二者可以独立成立：一个不发生任何竞争性淘汰的组织（各克隆和平共处），其叠计比仍可以大于一。判决性对照：本章预测淘汰集中发生在供给出现短暂波动之时，而非稳定供给不足之时；细胞竞争理论对波动没有特殊预测。第 10 条兑现是这条的检验。

其六 · 正常事故理论。 佩罗一九八四年的论证是：紧耦合加交互复杂性使某类事故在统计上不可避免，因而某些技术系统不该被建造。分离线：正常事故理论是关于系统类型的判断，它的结论是悲观的、结构性的、不可操作的；本章给出的是一个可清点的比率，而且它可以被降低——通过合并账本、留出未分配储备、或错开动用峰值。判决性对照：正常事故理论预测松耦合系统安全；本章预测一个松耦合但叠计比高的系统（各部门互不干涉，但都依赖同一位专家、同一批备件）仍会在单点动用时连锁失效。取一个公认松耦合的组织做一次关键人员缺席推演，即可分辨。

其七 · 偏差的常态化与虚惊事件。 沃恩关于挑战者号的研究说明，一次次没出事使原本被视为异常的偏差逐步被接受为正常；后续研究进一步指出，管理者倾向于把虚惊读成成功的证据，从而提高风险容忍度。分离线：这一系说的是判据被结果侵蚀——线在移动；本章说的是余量被重复计入——账在重叠。二者可以独立发生：一个判据从未松动、每一条规范都严格执行的组织，其叠计比照样可以是三。判决性对照：若在规范未曾松动的时间段内，连锁失效仍随叠计比上升，则本章说的是另一件事；若连锁失效只在规范松动之后出现，则偏差常态化足够。

其八 · 韧性工程与安全二型。 霍尔纳格尔一系主张，安全应当从“避免出错”转向“理解日常成功如何被达成”，强调一线人员的持续适应性调整。分离线：韧性工程关注的是为维持正常而持续发生的调整动作；本章关注的是各单位对同一份储备的声明重叠。二者可以叠加，但一个高度依赖一线适应性调整的系统，其叠计比可以很低（每个班组自备资源），反之亦然。判决性对照：本章预测在叠计比高的系统里，一线的适应性调整在多单位同时需要时会同时失灵，而这一失灵不会出现在任何一个班组的记录里。

其九 · 衰弱与生理储备。 老年医学用衰弱表型与储备概念处理“看起来还行但扛不住事”。分离线：衰弱读的是这个人总储备的多少，是一个总量读数；本章读的是这份总储备被几个科室各自算作可用，是一个分账读数。二者正交：两个衰弱评分完全相同的人，一个只在一个科室随访，一个在四个科室随访，本章预测后者在应激事件后的失代偿范围更大。判决性对照：若在衰弱评分匹配后，开方科室数对不良事件没有增量预测力，则衰弱框架已经足够；若有增量预测力，则本章读的是另一样东西。

其十 · 零缺陷与质量成本。 克罗斯比一系主张缺陷的可接受数量为零，质量是免费的。分离线：零缺陷讲的是单位内部的合格率；本章讲的是多个合格结论之间的重叠。一个所有单位都做到零缺陷的系统，其叠计比可以最高——因为零缺陷要求每个单位把自己的裕度用到规范允许的边界。判决性对照：若推行零缺陷之后叠计比下降，则本章被质量管理覆盖；本章预测它上升。这是本章与主流质量管理最直接的一处冲突，也是最容易被检验的一处。

其十一 · 结果导向的安全绩效指标。 以可记录工伤率一类结果指标衡量安全，在工业界极为普遍，也早已被批评——个人伤害指标优异的工厂完全可能正在走向一场重大过程事故。分离线：这一批评说的是指标选错了（用个人安全指标代替过程安全指标）；本章说的是即使选对了每一个单位的指标，它们之间的重叠仍然无处可记。判决性对照：若把所有单位的指标都换成正确的过程安全指标之后，“多单位共用同一份应急能力”这件事随之可见，则本章被这一批评覆盖；若换完之后每个单位的指标都更准确而重叠依旧不可见，则本章说的是另一件事。

其十二 · 系统思维与整体论。 一种常见的反应是：“这不就是要整体地看问题吗？”分离线：整体论是一种态度，它不给判定形式；本章给出的是一个可清点的数与一句可以拿去问系统的问话。判决性对照：一个明确奉行系统思维、每年做整体评估的机构，其病历系统里若仍然没有一栏记录各科对同一份储备的声明，则整体论没有解决这件事。说不出判定形式的整体论，在本章的判据下与不做整体论无法区分。

划完之后再问一句：这些邻居各自看不见什么

逐个问“它把什么当作给定，因此结构性地看不见什么”，判据只有一条：一旦承认那样东西，它自己就塌了。

• 共因失效把“各单元的裕度真实独立存在”当作给定，因此看不见裕度从未被分开过的情形。一旦承认，它那套以隔离和多样性为核心的对策就失去着力点。
• 抗连续倒塌规范把“这是极端事件工况”当作给定，因此看不见日常判定中同样的依赖关系。一旦承认，日常检验的合格结论就必须附带条件。
• 处方级联把“科室之间的问题是药理相互作用”当作给定，因此看不见无相互作用的重复计入。一旦承认，处方审核的边界就必须从药理扩展到储备分账。
• 约束理论把“系统的限制是流量意义上的”当作给定，因此看不见存量的重复声明。一旦承认，“围绕瓶颈组织一切”就不再是充分的处方。
• 衰弱与储备把“储备是这个人身上的一个总量”当作给定，因此看不见这个总量被几方分别声明。一旦承认，储备这个读数就必须带上分账信息才有意义。
• 零缺陷把“合格是单位内部的属性”当作给定，因此看不见合格结论之间的重叠。一旦承认，“每个单位都合格”就不再蕴含“整体合格”，而这正是它全部说服力的来源。

六行背后是不是同一个“被当作给定的东西”？是。

余量可以按单位分账。

这句话没有任何一派需要论证，因为所有互相批判的各派都站在它上面。它不是某个理论的主张，它是账本的形状：账按单位建，字段是“本单位的余量”，因此凡是不可分割的共享物，只能被各单位各自整份计入或整份忽略，没有第三种记法。想记“这一份与隔壁那一份是同一份”，需要一个跨单位的字段，而跨单位的字段不属于任何一个单位，也就没有任何一个单位负责填。

“未被任何学科辨识”的真正来源不是没人看，是看的人都站在它上面。

十四 · 与本书其余各章的分界

本书处理的是同一个问题——何谓未病——并且都落在“账本缺一栏”这个结构上。三章必须划清，否则读者有理由认为后两篇是第一章的变体。

三章要打的地基各不相同，可以一句话摆开：

• 《撑平》（第一章）打的是“状态属于它的载体”。它的靶格是：读数没变，而维持它不变的工作由体外持续承担且不被记账。追问的是——是不是有什么一直在做，才使得什么都没发生？
• 《阈前距》（第二章）打的是“判定线是工具，不是事实构成的一部分”。它的靶格是：结论没变，而对象在滑落、线在放宽，账面读不出各自的贡献。追问的是——这次判定的变与不变，有多少来自这个人，有多少来自那条线？
• 本章打的是“余量可以按单位分账”。它的靶格是：每一单位都合格，而这些合格依据的是同一份储备的重复计入。追问的是——这一次合格所依据的余量，还有谁在同时把它算作自己的？

三者的差别可以用同一份材料显出来。取一份“各科检查均正常、连续十二年如此”的老年体检档案，三章给出三条互不相同的追查路径，且三条路径查的是三份不同的文件：

• 《撑平》（第一章）去查维持动作日志——用药记录、家属备餐、非本人发起的就医。
• 《阈前距》（第二章）去查判定线的版本历史——这十二年里参考区间调过几次、指南改过几次。
• 本章去查各科的余量声明与那份共享储备——四科处方所隐含的清除负担之和，与一份肾功能报告相比。

三条路径的结果可以互相独立地为真或为假，因此三章可以被同时检验，也可以被分别推翻。若这份档案的维持动作稀少、判定线十二年未动、而四科处方的叠计比是三，那么这份档案只属于本章。

还有一处必须写明：三个机制可以在同一个人身上叠加，而叠加时后果不是相加。一位既被外部持续托举、判定线又在同期放宽、且四科各自把同一份清除能力算作可用的老人，他的“一切正常”同时依赖三件不被记账的事。要紧的是这三件事倾向于同时终止——一次住院、一次照护中断、一次指南换版、一次急性应激，往往落在同一个季度里。这时他会同时失去托举、被移动的线迎面撞上、并且四科的方案在同一天全部失效。这不是三倍陡，是三本互不相通的账在同一天同时结清。 这是三章合看才能看到的一件事，单看任何一章都看不到。

十五 · 不适用的边界

一个判断若不说清哪里用不上，它的适用范围就会被读者自行放大到荒谬，然后连同它本来站得住的部分一起被丢掉。以下五处，本章明确不适用。

其一 · 单位高度可替换的系统。 若失去一个单位可以由同类单位无成本替补（可互换零件、通用工时、可再生细胞群），高叠计比是正常且高效的。此时这个读数只能用于容量规划，不能用于风险判定。这一处是第 11.2 节留下的硬边界，而且它由细胞学自己划出。

其二 · 各单位动用峰值高度不相关的系统。 保险、应急队伍、备用血源、旋转备用，其效率的全部来源就是重复计入。在这些场合，叠计比大于一是设计意图。只有当动用峰值有理由同时到来时，这个比率才转为风险读数。 这一处是第 11.1 节留下的边界。

其三 · 储备可分割且已分割的场合。 若共享储备已经被物理分割并分配到各单位（各自的备件柜、各自的资金账户、各自的专属人员），本章的读数恒等于一，没有信息。它只在储备不可分割或未被分割时有意义。

其四 · 单一单位的系统。 只有一个判定单位时，没有重叠可言。本章的读数至少需要两个单位，而有意义的分析通常需要三个以上。

其五 · 把它用于追究单位的责任。 叠计比高不说明任何一个科室、任何一个部门、任何一位医生做错了什么。在本章所描述的那一格里，每一个单位的每一条记录都是准确的、合规的、尽职的。任何把这个数用作某个单位失职之证据的用法，都直接违反本章的主张——因为本章的全部论点正是：这件事在单位内部无从发现。这一条是硬约束，见下一节与第十七节。

十六 · 一个没有出口的反噬

把叠计比降下来，最省事的办法是让各单位互相削减自己声明的份额：“你少算一点，我少算一点，加起来正好一份。”

这个办法看上去无懈可击，而它会摧毁共享储备的全部意义。

共享储备之所以被多个单位同时计入，正是因为它本来就该被重复“备用”。一支消防队服务整座城市，一份急救血源覆盖全院，一位专家支持多个项目——这些安排的效率恰恰来自“多方共用一份、而它们不会同时需要”。把叠计比强制降到一，等于要求每个单位只能声明总储备的 N 分之一，也就是说：当某一个单位真的遇到那件万分之一的事时，它只被允许动用它那 N 分之一。 而真实事件从不均匀分布——需要的时候，需要的是整份。

我看不到出口。 一个用来揭示重复计入的指标，一旦进入考核，最自然的达标方式就是把重复计入取消，而重复计入正是共担机制本身。三条退而求其次的路只能缓解，不能解决：

一是只记不改：在各单位的判定结论旁加一个字段，记录本次判定所依据的共享储备标识与本单位声明的份额，不做任何份额调整。这条路成本最低——它只是把已经存在于各处的数据挂上一个共同的标识——而且它不触碰任何一个单位的权限。它给出的不是控制，是可见性。这也是本章真正主张的最小版本，第二十节的赌注押的正是它。

二是只在动用推演里做：不做常态考核，只在定期的“若某单位整份动用”推演中计算一次，用于发现哪几组判定会同时失效。这条路避开了考核扭曲，代价是它依赖于有人愿意做这件在组织上无主的工作。

三是把未分配储备单列一栏：不去压缩各单位的声明，而是要求共享储备中有一部分不被任何单位计入，作为明确的公共余量。这条路在电力调度与医院床位管理中已有雏形，但它需要一个跨单位的持有者，而多数组织没有这个位置。

还有一层更麻烦的反噬，必须写在这里：这个读数一旦被用于问责，它会立刻停止被计算。 因为计算它需要各单位如实报出自己的声明份额，而只要报出来可能被追究，报上来的就会是经过修饰的数。第十七节第一条因此不是一句客套的伦理声明，它是这个读数能否存在的前提条件。

写下这个死结而不假装解决它，比给一个漂亮的收尾更诚实。

十七 · 伦理与证据边界

本章提出的是一个可以被拿去考核单位、也可能被拿去追究个人的读数。凡是这一类产物，都必须写死三条，缺一条则不可发表——与它的学术价值无关。

第一条：这个读数指的是一组判定之间的关系，不是任何一个单位的属性，更不是任何一个人的属性。 叠计比是多个合格结论之间的重叠，它不得被写入任何单位或个人的考核、不得用作某科室用药不当或某部门排程失误的证据、不得进入医疗质量排名、绩效分配、责任认定的输入。在本章所描述的那一格里，每一个单位都做对了。 违反这一条不仅不道德，而且在技术上会立刻使这个读数失效（见第十六节末段）。

第二条：不得为了把这个数做好看，而削减共享储备的可动用份额。 在任何安全关键或健康关键的领域里，降低叠计比与压缩单位可动用份额是两件事，前者不得以后者的方式实现。具体地说：不得因为“账面重叠”而规定某科室在急性事件中只能动用清除能力的四分之一，不得因为同样的理由削减应急队伍对某一辖区的响应承诺。正确的降低方式只有两种——错开动用峰值，或者增加实际储备。

第三条：已经按这个读数做出不利安排的，必须公开编码规则并给出复核通道。 什么算作“同一份储备”、份额如何折算为可比单位、跨机构的声明如何合并、缺失数据如何处理——这些编码规则决定最终的比率，而它们全都有裁量空间。编码者之间的一致性未经检验的比率，不得用于任何个体或单位的决策。 本章特别指出：本章自己没有做过这项一致性检验，这是本章最薄弱的一处，见第十九节。

此外一条关于证据的边界：第十二节所列十二处兑现全部是预测，不是已完成的验证。其中第 1、3、5、7 条可以在既有记录里回溯，成本很低；第 2、10 条需要前瞻设计。在这些检验完成之前，本章的地位是一个待检验的读法，不是一个可以据以改变临床、结构或组织处置的结论。

十八 · 证伪条件

18.1 先写出最强的那个竞争解释

对本章全部预测，最朴素也最难反驳的另一种说法是：“其实不就是负担太重、储备不够吗？” 看四个科室的人本来病就多、用药就多、储备就少，出事是因为绝对量不足；被排进四个项目的人本来工作量就大，延期是因为累。重复计入这个说法是多余的一层解释。

不排除这一条，本章的所有证据都是它的证据。

18.2 四条证伪条件

条件一（主条件，控制掉竞争解释后仍须成立）：在同一省内、同等级别、同一医保支付方式下的六家以上医院中，取用药总数、总剂量、估算肾小球滤过率与衰弱评分四项均匹配的老年患者，按开方科室数分组。控制总负担之后，若开方科室数与急性失代偿事件之间不存在剂量-反应关系，则本机制为伪——届时应把困境归因于绝对负担，而非分账结构。

样本纪律：样本至少六个单元，且在医院级别、支付方式、患者构成上同质。严禁用两个国家或两个地区的对比充数——那类比较在医疗体系、分科方式、记录习惯上处处不同，所谓“控制掉某变量”在方法上不成立。

条件二（低成本可实做，数据在多数机构的既有记录里已经存在）：抽查十家以上医院、设计院或工程公司的常规记录系统，检查其判定结论字段旁是否存在“本次判定所依据的共享储备标识”或等价字段。若多数机构存在该字段，则本章第三层主张（见 18.3）当场为伪。这一条一个下午可以做完，不需要任何统计。

条件三（判决性、方向明确，且与主流质量管理正面冲突）：在同一批设计院的既有计算书中，比较构件安全系数的优化程度与抗连续倒塌分析裕度。本章预测二者负相关——优化越充分（各构件越接近规范下限），备用路径裕度越低。主流的观点是二者无关（因为规范已经保证了安全）。若二者无关或正相关，则本章在结构工程上为伪。这一条完全在档案里，不需要任何现场工作。

条件四（正向读数，写成顺序而非相关）：在项目管理系统的历史数据中，叠计比跨过某阈值的时点，应当早于任何一个项目首次出现进度偏差的时点，中位提前量不小于一个报告周期——因为排程在立项时完成，而偏差在执行中期显现。若二者同时出现或叠计比滞后出现，本章的实用价值即被取消：它不提供任何提前量。顺序预测比相关预测难被巧合满足得多。

18.3 分层引用

本章的主张分三层，各有各的证伪条件，读者可以分层引用：

• 第一层（最强、最易倒）：叠计比作为一个独立读数，对连锁失效范围具有独立于总负担的增量预测力。条件一、条件四针对它。
• 第二层（分析工具）：那张四格表作为一种读法，能把“各单位全合格”这一栏拆成两种来路。条件三针对它。
• 第三层（最稳，也最容易检验）：一个不依赖前两层的经验主张——在多数按单位建账的判定制度里，各单位的合格结论旁没有字段记录它所依赖的共享储备。条件二针对它，翻表单即可证实或证伪，不需要任何统计。

第一层被推翻时，第二、三层仍站得住。明写这一点是诚实，也是保护。

18.4 若它被证伪，我们学到什么

若条件一显示控制总负担后开方科室数不再有预测力，那么我们学到的是：分账方式不重要，重要的只有总量。 这会把干预方向从“记账”改回“减负”——减少用药总数、降低总工作量、增加绝对储备。那是一个更省事、也更容易被接受的方向，值得知道它是不是对的。

18.5 本章解释不了的两个洞

其一：为什么有些高叠计比的系统长期稳定。 城市消防、区域电网、大型医院的会诊制度，其叠计比常年极高而极少发生同时动用。本章只能把它归给“动用峰值不相关”，而无法说明这种不相关是怎么被维持的——它究竟是运气、是需求的自然分布，还是某种未被记录的隐性错峰机制。

其二：共享储备的边界如何确定。 肝肾清除能力是一份储备，注意力是不是？信任是不是？组织的政治资本是不是？本章给不出判断某样东西算不算“一份不可分割的共享储备”的规则，而这个判断直接决定叠计比算出来是多少。

十九 · 本章自己落在哪一格

本章的判据必须能用在本章自己身上，否则它是一个只用来看别人的工具。

用它来读这篇文章：本章与本书另两章，各自声明了同一份东西作为自己的立论基础——那份东西是“账本按单位建”这个观察。 三章各自把它整份地当作自己的地基：一章用它推出状态与维持者的分离，一章用它推出判定线不被记账，本章用它推出余量的重复计入。三章的合法性各自成立，而它们依据的是同一份洞察被算了三次。本章自己就落在第二格里，叠计比至少是三。

这个定位有三个具体后果，不是一句谦辞。

后果一：若“账本按单位建”这个观察本身被推翻——比如某个领域证明其记录制度早已是跨单位的、字段齐备的——那么三章会同时失效，而不是依次失效。这正是本章关于第二格的全部主张：共享的那一份一旦被动用或被抽掉，所有依赖它的合格结论在同一瞬间作废。三章在读者眼里是三项独立的工作，而它们的储备是一份。

后果二：本章的核心读数依赖各单位如实报出自己的声明份额，而第十六节末段已经说明，一旦这个读数被用于问责，报上来的数就会失真。本章提出的这个量，其可测性依赖于它不被用于它最自然的用途。 这不是一个可以靠方法学解决的问题，它是这一主张的结构性依赖。

后果三：第十七节第三条要求“编码者一致性未经检验的比率不得用于决策”，而本章自己没有做过这项检验。什么算“同一份储备”，两个独立的编码者会不会给出同样的答案，本章不知道——而第 18.5 节的第二个洞正说明这个判断有很大的裁量空间。这使得本章提出的比率目前只能用于回溯性研究，不能用于任何面向单位或个人的判断。本章自己的伦理条款把本章的产物挡在了应用之外，这是应该的。

二十 · 一条写死日期的制度扩散赌注

到 二〇三四年十二月三十一日为止，至少有一份国家级或跨国的临床指南、工程规范或组织管理标准，要求在单位级的判定结论中，与结论并列地记入本次判定所依据的共享储备标识及本单位所声明的份额，且该字段为必填。

什么不算命中，一并写死：

• 仅要求机构“自行说明”“酌情记录”“鼓励填写”的，不算。必须是必填字段。
• 只在多学科会诊、联合评审、总体设计说明这类汇总性文件里体现的，不算——那是把跨单位的工作交给一个额外的会议，而不是让每一个单位的每一次判定带上这一栏。本章要的是这一栏出现在这一个单位的这一次结论旁边。
• 只记录“存在共享资源”这一事实而不记录标识与份额的，不算。有无是二值的，本章要的是可加总的份额。
• 只在研究项目、试点或专项检查中采集的，不算。必须进入常规记录。
• 以“限制各单位声明份额”的方式实现的，不但不算命中，而且构成对本章主张的违反（见第十七节第二条）。

若到期未命中，本章的实践主张即告失败，无论它的分析部分是否仍然成立。

结论

“未病”最难落地的地方，不在它太玄，在于判定是按单位做的，而余量是不按单位存在的。

未病不是尚未被邻域淘汰的状态，也不是缺陷尚未扩展到临界尺寸的状态，也不是结果尚未变坏的状态，而是一个实体在每一种现行的划分单位下都被判为合格，而这些合格所依据的余量来自同一份不可分割的储备、被各单位分别整份计入、且没有任何一本账做过这次加总的状态。

由此，“每一处都合格”分两种来路：各处的合格互不依赖，与各处的合格来自同一份余量的重复计入。四格之中，“各单位全合格而余量共享”这一格通过全部形式审查、失效前不产生任何信号、且以分工清晰与责任明确的形式自我加固。它就是“治未病”最合适的落点，也是现行的一切分科诊疗、分项体检、分单位考核读不出来的那一格——因为它们只记各单位自己的那一栏。

要读出它，需要的不是更灵敏的仪器，也不是更负责的单位，是一栏原来没有的账：这一次合格所依据的余量，还有谁在同时把它算作自己的。

于是那句被引用了两千年的话可以换一个读法：未病不是“每一处都没病”，而是“各处的没病不是同一份余量算出来的”。 《难经》说“见肝之病，则知肝当传之于脾，故先实其脾气”——这句话的要点从来不是脏腑之间有什么神秘的传导，而是拒绝把肝与脾当作两个可以分别结算的单位。中医整体观的价值不在哲学立场，在于它的账本不按单位分；而这一点，恰恰是它在标准化与分科化压力下最先被放弃的东西。

注释

〔一〕 本章所说的“单位”，指任何被独立判定、独立记录、独立考核的对象：一个科室、一根构件、一个部门、一个项目、一个克隆。本章不主张这种划分是错的——分工是必要的——只主张划分之后的合格结论之间的重叠无处可记。

〔二〕 本章所说的“共享储备”，指一份不可分割、且其被某一单位整份动用会立即改变其他单位可用量的资源：肝肾清除能力、结构的备用承载力、关键人员的工时、微环境中的生长因子。可分割且已分割的资源不在此列。

〔三〕 “叠裕”“叠计比”为本章所拟。命名的用意是结构性的：前者指的是同一份余量被叠加计入的那一部分，后者指的是叠加的倍数，二者都不指任何一个单位的属性。

〔四〕 第五节所引三件材料，在其各自领域中皆为写入规范的常规做法或反复被引用的经典结论，而非新发现。本章的用法是把它们从原本回答的问题上取下来，用于回答另一个问题，这一步的风险由本章承担。

〔五〕 第十三节所列各家说法，本章只处理其与本判断最易混淆的那一面，不构成对该说法的整体评价。