第九章　功债

预防不是消除风险，是把它转成一笔没有到期日的负荷

提要

“治未病”两千年居于医道之首而实践量最小。本书给出两个机制：预防兑换的是非事件，账本无科目容纳它（回报侧）；阈下风险总量确定而归属未定，介入无处落点（落点侧）。两者本章均接受，但两者都把预防当成一件中性的、只是得不到回报的事。本章的判断方向相反：预防有累积成本，而且这份成本由做预防的人独自承担。 一次成功的预防不是把扰动消除了，是把它转成一个被停住而未被清除的残留物——细胞停止分裂以防癌变，留下一个不死不分裂、持续分泌炎症因子的衰老细胞；一次偏差被现场拦住，留下一条此后必须永远执行的核对；一件事被按住没有上升为议题，留下一个此后必须一直占用的注意力。这类残留既不进“发生了”栏，也不进“没发生”栏，而它需要持续供养，供养成本随成功次数单调上升。本章把它命名为功债，并指出三家共同缺失的那一步：清除。由此得到一个可查的读数——续养率：一个周期的总投入中，用于维持既有预防成果的部分所占的比例。判据是一句不含评价词的问话：上一次为这类问题加上的那一样东西，是什么时候、由谁、按什么条件撤掉的？ 答案通常是：从未撤掉，也没有人负责撤。

一、第三个入口

同一个背离已经从两处进过。

第一处在回报的那一侧：预防兑换的是一件没有发生的事，而账本只能记事件，因此一次成功的预防不产生下一轮的资源。第二处在落点的那一侧：症状出现之前，风险的总量确定而归属未定，而一切介入都必须落在一个具体对象上，因此阈下的介入只能落在一个被构造出来的对象上。

两处本章都接受。但两处有一个共同的形状：它们都把预防写成一件中性的事。 做了没人记，做了不知道往哪儿做——听上去像一件很好的事被环境亏待了。若真是如此，那么在一个既有账本、又有落点的场合，预防应当自然而然地繁荣起来。

有这样的场合。民航的维修体系有极完备的账本，每一次预防性动作都被记录、被审计、被计入适航；它也有相当好的落点，状态监测把对象指得越来越准。按前两个机制，这里的预防应当接近它的上限。

它确实很强。而它同时呈现出另一样东西：这个体系越安全，维持它所需要的工时、文件、复核与培训就越多，而新增安全的空间越来越小。 一个从未出过事的成熟机队，其维修工时中绝大部分不是用于发现新问题，是用于执行历次事故之后留下来的那些永久性检查。

这不是账本的问题，也不是落点的问题。这是第三样东西：

一次成功的预防，留下了一个必须被一直供养下去的东西。

同样的形状在一个认真养生的人身上更容易看见。他戒了烟，很好；他此后每一次社交都要处理“为什么不抽”。他改了作息，很好；他此后每一次出差、每一次加班、每一次家庭聚会都要重新安排一遍。他加了一条忌口，很好；三年之后他有十七条忌口，而这十七条从来没有一条被撤销过——因为没有人、也没有任何机制，负责撤销一条已经生效的预防措施。

到某个时刻，维持这一整套的成本超过了他能付出的，于是他一次性放弃全部。旁人的解释是“意志力不够”。本章认为那是错的解释：他不是败给了诱惑，是败给了他自己历年成功的总和。

问题因此可以第三次重问：

一次成功的预防，它挡下来的那份东西，去哪儿了？

本章的回答是：没有去哪儿。它被转成了系统内部的一个持久残留，而这个残留既不算发生，也不算没发生，因此不在任何一栏里；它需要持续供养，而供养的负担落在做预防的那一侧。

选来并置的三个领域是细胞学、工程学与管理学。选它们不因为它们相似，而因为它们在“什么驱动什么”上互不相容：细胞学那一支坚持决定组织命运的只是清除能力，损伤量不起决定作用；工程学那一支坚持决定系统会不会出大事的只是实际操作点相对于安全边界的位置，任何单个部件与个人的失误都不算数；管理学那一支坚持决定组织实际做什么的只是注意力的分配，资源与激励只有通过注意力才起作用。三家各自认定只有自己那条是决定性的，因此不可能同时对。而正因如此，它们脚下那条谁也没说出口的共同假定才会露出来。

路线：第二节交代前两个机制各自管到哪儿、共同没管哪一半；第三至五节让三家把自己那条驱动说完整，并各交出一处自己撑不住的地方；第六节指出共同的地基；第七节用细胞学自己的一件材料把它拆掉；第八、九节给出本章的判断与那句最实用的推论；第十至十二节给出分辨工具与读数；其余各节处理兑现、分界、约束、边界、证伪与自我定位。

二、前两个机制管到哪儿

回报侧的机制说：预防兑换的是非事件，账本只能记事件，因此成功的预防不产生下一轮的资源。它解释了为什么预防在制度里长不大。它管不了的是：在完全不涉及账本的场合，预防同样会退回去。

落点侧的机制说：阈下风险的归属未定，而介入必须落在具体对象上，因此系统只能按类别构造一个落点。它解释了为什么阈下的介入常常落错、常常无效。它管不了的是：在落点非常明确的场合，预防同样会退回去。

第二个反例值得写清楚，因为它是本章的入口。一条已经确诊的高血压，落点毫无疑问——就是这个人、这个指标、这套药。这不是治未病，是治已病的延长；但它在预防的意义上完全成立：它要防的是十年后的中风。落点在，账本也在（药费可报销，随访有记录）。

而这样的长期用药，一年内自行停药的比例在多个人群中都很高。

两个现成的机制在这里都失灵。不是没账，不是没落点。是这件事本身随时间变重了。 每天一次的服药、每季度一次的复查、每一次出门要带的药盒、每一次感冒时要考虑的相互作用、每一次别人问起时要给的解释——这些在第一年是小事，在第十年是一个人生活结构里固定的一块。而它带来的收益，按定义是不可见的。

于是形成了一个方向明确的不对称：收益不可见且不增长，成本可见且单调增长。 前两个机制只说了前半句。本章说的是后半句。

要看清后半句，医学内部同样看不清，因为医学几乎不研究“一个成功的预防措施何时应当被撤销”——它研究的是何时应当被启动。要看清它，需要去一个“清除”被当作独立课题的地方。

三、细胞学的那条驱动：清除是独立的第三步

细胞学里有一支立场极硬的传统，它主张：决定一个组织会不会老化、会不会癌变的，不是它受了多少损伤，而是那些被停下来的细胞有没有被清除掉。

这一支的强硬处在于它拒绝把损伤量当成决定性因素。它的完整链条是四步：损伤发生；检查点识别；细胞被永久停在细胞周期之外；被免疫系统清除。它主张只有第四步是决定性的。 前三步在任何一个健康组织里每天都在发生成千上万次，而组织并不因此老化——只要第四步跟得上。

细胞衰老这个概念最早来自海弗利克与莫尔黑德对培养细胞分裂次数上限的观察。后来的工作把它的功能定位得很清楚：这是一道抗癌屏障。一个 DNA 受损的细胞若继续分裂，就可能成为肿瘤的起点；把它永久停住，风险就被挡住了。这是一次成功的预防，而且是生物体内最基本、最古老的一种预防。

问题在停住之后。被停住的细胞不死。它继续代谢，继续分泌，而且分泌得很凶——一整套促炎因子、蛋白酶与生长因子，统称衰老相关分泌表型。这套分泌物有它的用处：它是给免疫系统发的信号，招募巨噬细胞与自然杀伤细胞前来清除自己。分泌是为了被清走。

清得走，四步走完，组织毫发无伤。清不走，第三步的产物就留在那里，一直分泌下去。阿科斯塔等人的工作显示，衰老细胞的分泌物能把邻近的正常细胞也拖进衰老状态——旁分泌衰老。一个未被清除的成功，会制造更多需要被清除的东西。

贝克等人用可诱导清除特定衰老细胞的小鼠给出了这一支最强的证据：清除这些细胞，多种老化相关病变延迟，健康寿命延长。关键在于——损伤并没有减少。 减少的只是残留。

这一支的时序读数因此很具体：先动的是清除能力。 清除能力随年龄下降在先，衰老细胞堆积在后，组织微环境的炎症化再后，可见的病变最后。最后动的、也是唯一被临床记录的，是那个病变。

这一支自己撑不住的地方。

它自己知道一件从不往这个方向用的事：衰老细胞不总是废物。

胚胎发育中有程序性的衰老，它参与组织塑形，不是损伤的产物。伤口愈合中，衰老的肌成纤维细胞限制纤维化的过度进行——把它们提前清掉，疤痕反而更糟。克里扎诺夫斯基等人在肝纤维化模型中给出的结果正是这一类。

也就是说：清除本身不是越多越好，它必须被调节。 而这条在细胞学里回答的是“清除治疗的安全边界在哪里”，从来没有被拿来回答一个更前面的问题：在一个把“停住”当作成功的系统里，谁负责第四步？

第七节会指出，这正是本章的枢纽。

四、工程学的那条驱动：操作点在压力下向边界漂移

工程学里有一支与细胞学正面不容的立场，它主张：决定一个复杂系统会不会出大事的，既不是哪个部件坏了，也不是哪个人错了，而是这个系统的实际操作点相对于安全边界的位置。

它不容在哪里：细胞学那一支说驱动来自系统内部的清除能力，外部损伤量无关紧要；工程这一支说恰恰相反，驱动来自外部持续施加的压力梯度——成本压力与工作量压力，它们不断把实际做法往边界上推，而内部的清理能力不是决定因素。

拉斯穆森在《动态社会中的风险管理》里给出了这一支的经典图像：任何一个工作系统都在三条边界之间活动——经济上不可承受的边界、工作量上不可承受的边界、以及功能上不可接受的边界（即事故）。管理层的成本压力持续把操作点推离第一条边界，个体的省力倾向持续把它推离第二条边界，而这两个方向合起来，正好指向第三条。每一步都是局部合理的，而合力是系统性的漂移。

这一支的强硬处在于它取消了“根本原因”这个问题。一次事故发生时，操作点早就在边界附近了；触发它的那件事没有任何特殊之处，正如压垮骆驼的那根稻草没有任何特殊之处。德克尔后来把这写成一句更硬的话：灾难不是由异常引起的，是由正常的一步步累积引起的。

它的时序读数：先动的是压力。 预算收紧、人手减少、周期压缩在先；实际做法在几周到几个月内改变——省一道核对、并两个步骤、把双人复核变成单人；而规程文件往往几年之后才追认这个变化，或者永远不追认，于是形成了“文件上的工作”与“实际的工作”之间的持久落差。文件是最后动的，而且经常不动。

按这一支，治未病的图像是：不是没人想做，是做预防的那道边界正在被成本与工作量两侧同时挤压，而挤压是连续的、无声的、每一步都合理的。

这一支自己撑不住的地方。

它自己知道一件很不舒服的事，而且这件事直接顶着它自己的处方。

阿马尔贝蒂在关于超安全系统的分析里指出了一个悖论：一个系统的安全水平达到极高之后，进一步提升安全的手段几乎只剩下标准化与限制自主——把每一个动作写死、把每一次判断变成流程。而这样做的代价是，系统应对未曾预见的情形的能力反而下降。极安全的系统在它设想过的范围内近乎不可摧毁，在范围之外异常脆弱。

也就是说：防御层的累积本身，成了新的脆弱性来源。

这在工程学里回答的是“我们还能不能更安全”，答案是“再往上走要付不同的代价”。它从来没有被拿来回答本章的问题：那些一层一层加上去的防御，是谁在养着它们？

五、管理学的那条驱动：注意力是唯一真正稀缺的东西

第三支来自组织与管理研究，而它与前两支都不容。它主张：决定一个组织实际做什么的，既不是它有多少资源，也不是它设了什么激励，而是它的注意力被结构性地分配到了哪里。

奥卡肖的注意力基础观把这条说得很直接：决策者做什么，取决于他们把注意力投向了哪些议题与哪些答案；而注意力投向哪里，不是个人选择，是由组织的注意力结构决定的——议程怎么排、会开在哪一层、报表上有哪几栏、信息从哪条渠道上来。资源与激励只有先转换成注意力，才可能影响行为；转换不了的，再多也不起作用。

这一支的强硬在于它把资源与激励降级为条件。一个部门可以有充足的预算与明确的奖金，而如果它要处理的事从来不出现在任何一次会议的议程上，它就不会被处理。反过来，一件完全没有预算的事，只要每周被问一次，就会有人去做。

它的时序读数：先动的是注意力结构。 加一栏报表、加一次例会、把某个数字放进周报，行为在数周内改变；资源与编制的调整最后才跟上，通常滞后一到两个预算周期。

按这一支，治未病做不动的原因是：它从来不出现在议程上。 而它不出现在议程上，不是因为没人在乎，是因为议程的入口是事件——有事才有议题。

这一支自己撑不住的地方。

它自己有一份关于规则的长期研究，而这份研究的结论它从不往这个方向用。马奇、舒尔茨与周雪光对一所大学一百多年的规则演变做了系统的追踪，其中有几条结果与本章直接相关：规则的产生率与既有规则的存量正相关——规则催生规则；而规则的废止率极低，且几乎不随存量变化。规则被修订的次数远多于被废除的次数。

管理学在自己的语境里，用这份材料回答的是“制度如何演化”，通常归因于制度惯性、路径依赖与合法性需求。它没有被拿来问：这些规则是从哪里来的？

答案在多数情况下很朴素：它们来自一次被成功处理掉的问题。 出了一件事，或者差一点出一件事，于是加一条规则防止它再发生。这条规则此后一直在。规则的存量，是历次成功的沉积。

六、三家共同站着的那块地

三支的主张摆在一起，互不相容：

细胞学说，驱动来自内部的清除能力，损伤量不起决定作用。 工程学说，驱动来自外部持续的压力梯度，内部的清理不是决定因素。 管理学说，驱动来自注意力的分配，资源、压力与能力都必须先转换成注意力才起作用。

三家都主张只有自己那条是决定性的，因此不可能同时对。但它们可以同时错，而且确实同时错在同一处——三家都站在同一条从未说出口的假定上：

一次被成功挡住的扰动，它的代价随扰动一起消失。

也就是说：“没有出事”是零点。 它是基线，是默认状态，是不需要解释的东西。三家的研究纲领全部建立在这条上：细胞学研究的是癌变与老化的发生，不是“这个组织今天又没癌变”；工程学研究的是事故的成因，不是“这条产线今天又没停”；管理学研究的是危机、变革与失败，不是“这个季度又没出事”。没有出事，在三家那里都不是一个需要被解释的事实。

你把这条念给三家听，三家都会说“这还用说吗”。而这正是它作为共同地基的标志。

这块地还有更宽的一层，几乎所有关于风险的思想都站在上面：

风险的账只有两栏——发生了，或者没发生。

保险这样记，安全统计这样记，流行病学这样记，质量管理这样记。凡是没有落进“发生了”那一栏的，一律归入另一栏，而另一栏被当作零。两栏之间没有第三栏。

而恰恰有一类东西落在两栏之间。它不是发生了——没有事件、没有伤亡、没有停机、没有病变；它也不是没发生——有东西被停住了，有东西被留下了，而且它在持续消耗。

三家里有一家，早就把这一类东西研究得很透，只是它没有把它当作“关于预防的证据”。

七、细胞学交出的那件材料：一个成功的产物

回到第三节。

细胞衰老在细胞生物学里的地位很稳固：它是一道抗癌屏障。一个受损细胞被永久停在细胞周期之外，癌变的风险就被挡住了。按任何一种记账方式，这都是一次成功——没有肿瘤发生。

而这次成功的产物，是一个不死、不分裂、持续分泌促炎因子的细胞。它需要被清除。清不掉，它就一直在那儿分泌；分泌久了，它把邻居也拖成同样的状态；组织的微环境慢慢炎症化，而这个炎症化是多种老化相关疾病的共同土壤。

于是有一句可以直接写下来的话：

一个组织的老化程度，不由它受过多少损伤决定，由它有多少次成功地挡住了损伤、而没有把挡下来的东西清走决定。

这句话推翻共同地基的方式是直接的。代价没有随扰动一起消失。它被转成了一个持久的、需要供养的存在物。 而且更麻烦的一层：这个存在物是成功的产物，不是失败的产物。失败的产物（癌变、坏死）会被记账——它们是事件。成功的产物不被记账，因为按两栏记法，这里“什么都没发生”。

三个领域立刻各得到一个不同的说法。

在工程上：每一次被现场拦住的偏差，事后通常留下一条新的核对、一个新的双签、一次新的培训要求。这些是这次成功的产物。它们此后必须永远被执行下去，而执行成本每天都在发生。一个“从未出过事”的成熟系统，其日常工时中大部分不是在防新的风险，是在养历次成功留下来的那些东西。

在管理上：每一件被按住而没有上升为议题的事，都留下一个持续占用的注意力——某个人此后要一直盯着它，某条渠道此后要一直保持通畅，某个非正式的补位此后要一直有人做。这些不进任何报表，因为报表只记议题。而注意力是这一支自己认定的唯一真正稀缺的东西。

在医学上：每一条被加上去的养生禁忌、每一种被启动的预防性用药、每一项被安排的定期复查，都是一次成功的产物，且此后一直存在。一个认真治未病二十年的人，携带的约束数量单调上升。而他获得的收益，按定义是不可见的。

到这里，共同地基塌了。“没有出事”不是零点，是一笔正在计息的余额。

八、功债

现在可以给出本章的判断。

先写成一句最紧的话：

治未病之所以在纲领上最高而在实践中最少，不只是因为它得不到回报（回报侧），也不只是因为它在阈下无处落点（落点侧），还因为：一次成功的预防不消除扰动，它把扰动转成一个被停住而未被清除的残留物；这个残留既不进“发生了”栏，也不进“没发生”栏，而它需要持续供养，供养成本随成功次数单调上升，且全部落在做预防的那一侧。预防因此不是一件中性地得不到奖励的事，而是一件做得越成功、继续做下去越难的事。

本章把这一类残留物命名为功债——由成功产生的、必须被一直供养的负荷。

三件事要说清楚。

第一，它由成功产生，不由失败产生。 这一条是全篇的分水岭，也是本章与几乎全部相近说法分开的地方。失败留下的东西有名字、有账、有责任人：事故、损失、赔偿、整改。成功留下的东西没有。而在一个运转良好的系统里，成功的次数比失败多几个数量级，因此成功留下的总量也大几个数量级。

第二，它是真实的负荷，不是一个比喻。 衰老细胞消耗真实的能量、占据真实的空间、分泌真实的分子。一条核对占用真实的工时。一个被长期占用的注意力，会真实地挤掉别的东西——这正是管理学那一支的全部主张。这些是可以清点的。

第三，它没有到期日。 这一条决定了它的性质。一笔普通的负债有还款期，一次成本有摊销年限，而功债没有。没有任何机制规定一条已经生效的预防措施何时应当被撤销，也没有任何岗位负责撤销它。 细胞学是三家中唯一为这一步准备了专门机制的——免疫清除；而免疫清除本身随年龄衰减。

三件合起来，产生了本章最关心的那个后果：

预防的成本随它自己的成功而上升。

这是一条正反馈，方向指向放弃。一个系统或一个人开始认真做预防，早期很顺——扰动少了，指标好了。而每一次成功都添一层，层数只增不减，维持总量单调上升。到某个时刻，维持既有的已经占满全部余力，新增能力归零；再往后，维持本身开始挤压正常功能。此时通常发生的不是渐进的削减，而是一次性的整体放弃——那个人不再养生了，那个部门把整套流程“简化”了，那家工厂做了一次“减负专项”，把十年积下来的检查砍掉一半，而砍的依据往往是“哪些最麻烦”，不是“哪些最没用”。

放弃之后，系统回到起点，而清除的能力并没有变好。于是下一轮重来。 两千年的稳定，不是一条平线，是无数条这样的小周期的叠加。

这条判断为什么不能从三家中任何一家单独推出来，要说清楚，而且不能写成三家的缺陷。

细胞学到不了，不是因为它疏忽。 它有清除这一步，甚至是唯一有这一步的一家。但它的问题结构是“生物体内发生了什么”，而不是“一个必须自己决定加什么减什么的系统会怎样”。免疫清除不需要有人决定去清除它——它是自动的。恰恰因为它自动，细胞学不必追问“谁负责这一步”。

工程学到不了，也不是因为它粗心。 它的核心问题是“怎样不出事”，这个问题使“多加一层”永远是安全的答案，而“撤掉一层”永远需要举证。举证责任的不对称是它的伦理，不是它的疏漏——在安全关键系统里，这个不对称是对的。

管理学离得最近，它已经把规则只增不减这件事测出来了。 但它把这归给制度惯性与合法性需求，也就是归给组织的自我保护倾向。它没有往回追一步去问这些规则的来源。因为在它的问题结构里，规则是治理的工具，不是历次成功的沉积。

九、没有人负责减一层

上一节的判断有一个直接的推论，而这个推论比判断本身更容易用。

在任何一个组织里，都可以找到负责“加一层”的人。出了事，有人牵头整改；差点出事，有人提出改进；一个新风险被识别，有人写进规程。这条链条完整、有主体、有奖励——发现问题并解决它，是可以被记功的。

而“减一层”这条链条，在多数组织里根本不存在。没有一个岗位的职责是“定期审查现有措施并撤销不再必要的”；没有一份文件规定一条措施的撤销条件；没有任何一种绩效，会因为成功地取消了一项无用的核对而增加。

更糟的是举证责任的方向。 加一层，只需说明“这样更安全”；减一层，需要证明“取消它不会出事”——而这是一个否定性命题，在事前无法证明。于是加与减在成本上完全不对称，而这个不对称与措施本身有没有用无关。

由此得到本章最实用的一句判据，第十二节会展开：

上一次为这类问题加上的那一样东西，是什么时候、由谁、按什么条件撤掉的？

这句话可以拿去问任何一份操作规范、任何一个科室、任何一份养生计划。它不含任何评价词，不问该不该，只问事实。而在绝大多数场合，三个问题的答案都是空的：没有时候，没有人，没有条件。

这也重新解释了中医内部一件长期被误读的事。中医不是不知道“过用”有害——《内经》讲久视伤血、久卧伤气、久坐伤肉，讲的正是任何一样东西持续下去都会成为负担；“是药三分毒”也是同一个意思。但中医把这一类归入用错了：辨证不当、剂量过度、不知常变。

本章说的是另一件事：用对了也留下东西。 一条完全正确的忌口，在正确的那一刻是对的；三年之后它可能已经不必要，而没有任何机制会去检查它，也没有任何人有权取消它——包括开出它的那个医生，因为取消一条正确的建议，在他那里只有风险没有收益。

养生的禁忌只增不减。 这不是养生者的性格问题，是这类建议的产生方式与撤销方式在结构上不对称。

十、一张分辨表

一个名字不够用。要能用，它必须把两件看上去一样的事分开。所以需要第二根轴。

第一根轴问：这次扰动被处理掉了没有？ 第二根轴问：处理留下的残留被清除了没有？

四格的读法：

第①格是唯一真正完成的一格，而它在三个领域里都少见。它的特征是有一个明确的清除动作，且这个动作有主体、有条件、有时点。免疫清除是自动的，所以生物体做得到；人造系统必须专门设计这一步，而多数没有设计。

第②格不是失败。运行到失效在特定条件下是最优策略——这一点在维修工程里已成共识。明知而放过与不知而放过，从结果上看一样，从系统上看完全不同：前者是一个决定，后者是一个疏漏。第②格之所以在实践中稀少，是因为它需要一个人签字承认“我决定不处理”，而这个签字的风险全部由签字者承担。

第③格是全部事故调查、全部质量管理、全部临床急救的所在。它有名字、有账、有责任人、有整改。它是四格中唯一被完整制度化的一格。

第④格是本章要打的那一格，下一节单独说。

这张表最有用的地方，是它把两件长期被混为一谈的事分开了：第①格与第④格从外面看一模一样。

两者都没有事件，都没有损失，都通过全部形式审查，在任何一份统计上都记为“正常”。差别只在一处：残留清了没有。 而三家的账本上都没有“残留”这个字段，因此这两格在账面上不可区分。

一个从未出过事的科室，可能处在第①格——它的措施被定期审查，无用的被撤掉，负荷维持在稳定水平；也可能处在第④格——十年的每一次成功都添了一条，全部还在。两者的事故率都是零，而它们离崩溃的距离完全不同。

十一、结清与挂账，从外面看一模一样

第④格值得单独说，因为它是本章的靶子，而它是四格中最难被看见的一格——它不长得像问题，它长得像优秀。

它有三个签名，三条都能写满，这一格才算成立。

签名一：它在短期指标上表现为改善。

一个处在第④格的系统，其可见指标全线优秀：事故率零、差错率零、合规率百分之百、审查全过、评级最高。它不是在装样子，它确实很少出事——那些一层层加上去的措施确实在起作用。这是功债最强的保护：它是真的有效，只是它的账没结。

签名二：它的失效不产生任何信号。

负荷的上升不产生事件。它表现为一些完全不像信号的东西：大家越来越忙；新人培训周期越来越长；一个简单变更需要会签的部门越来越多；例会越开越长而议题越来越少是新的；某个老员工离职时发现有七件事只有他知道。

这些在任何一份报表上都不出现，因为它们不是事件。 它们通常被归因为人手不够、效率不高、沟通不畅——归因为管理问题，而不是预防的代价。归因错置是这一格最关键的一环：负荷确实进入了议程，但它以“人力不足”的形式进入，于是解决方案是加人，而加人在短期内有效，在长期内提高了下一轮的维持成本。

签名三：它自我加固，越正规化越严重。

这一条最要紧。一个组织越是重视安全、质量与合规，它加一层的门槛就越低，减一层的门槛就越高。每一次成功的预防都为下一次加层提供了正当性——“你看，我们的措施是有效的”；而每一次没出事都为撤销提供了反对理由——“现在没出事，正说明这条措施有用”。

这里有一个逻辑上的封闭：一条措施在有效时不能撤（它有用），在无效时也不能撤（撤了万一出事）。 撤销的条件在结构上不可满足。

于是有一句可以直接写下来的判断：

一个系统的措施存量，记录的不是它面对过的风险，是它成功过多少次。

一份长达三百页的操作规范，读起来像是对危险的清点，实际上是对胜利的清点——每一条背后都是一次“当时差点出事，我们防住了”。它是一部功劳簿，而这部功劳簿必须被每天执行一遍。

一个可以直接去查的读数：任取一份成熟的操作规范，逐条追溯它的来源，看有多少条来自一次真实的事故（第③格的产物），多少条来自一次未遂事件或一次审查发现（第④格的产物）。本章预测：后者占绝大多数，且比例随组织的成熟度上升。

十二、一个跨四个领域同构的读数：续养率

要检验，需要一个数。

本章提出的读数是续养率：

一个周期内的总投入中，用于维持既有预防成果的部分所占的比例。

分母是这个周期投入的全部资源（工时、能量、注意力、预算）；分子是其中用于执行、复核、培训、记录、维持那些因历次成功而设立的措施的部分。它不包括处理当下正在发生的问题（第③格），也不包括建立新的预防能力。

它在四个领域里量纲不同，比率相同。

在细胞学里：组织的能量与免疫资源预算中，用于清除与处理已产生残留（自噬、免疫监视、清除衰老细胞）的比例。这个数随年龄上升，而清除能力同时下降——两条曲线的交叉点是老化加速的位置。

在工程学里：维修与运行工时中，用于执行历次事件之后留下的永久性检查、复核与记录的比例，相对于用于识别新风险与改进设计的比例。一支成熟机队的这个数可以很高。

在管理学里：管理层与骨干的时间中，用于处理“已经被规定过的事”（会签、审批、汇报、合规检查）的比例，相对于用于处理新问题的比例。

在医学与个人养生里：一个人的日常安排中，用于维持既有健康措施（服药、复查、忌口、锻炼计划、监测记录）的时间与心力，占其可支配总量的比例。

四条性质，缺一条这个读数就不能用。

其一，无量纲。 四个领域的资源单位完全不同——ATP、工时、注意力、可支配时间——而比例可以并排比较。

其二，可事后清点。 它不要求判断每一条措施该不该存在。翻工时表、翻会议记录、翻日程，逐条归类“这一项是维持既有的，还是应对当下的，还是建立新的”。它测的不是措施的价值，是投入的结构。

其三，它把一个印象变成一个数。 “我们太忙了”是一个说法；续养率零点七八是一个数，可以逐年比、跨单位比、看它有没有动。

其四，也是最容易漏的一条：它与既有的主要指标正交，而且是负相关。

必须举一个“既有指标最好看、这个数最难看”的真实例子，举不出来这个读数就白造。

例子：一家连续十年零事故的工厂，其续养率可以接近一。 原因是结构性的——十年里每一次未遂、每一次审查发现、每一次同行事故的举一反三，都留下一条永久性的措施；没有一条被撤销过。到第十年，它的全部可用工时被历年的胜利占满，新增安全能力为零。它的安全记录最漂亮，而它离下一次崩溃的距离最短——因为它已经没有余力应对任何未曾预见的事。

同样的形状在别处重复：从未发生给药差错的病区，其护士时间中用于核对与记录的比例最高；治理最规范的组织，管理层议程中新议题的占比最低；养生最认真的人，日常受约束的时段最多；代码质量最高、缺陷率最低的系统，其测试套件的维护成本占开发总成本的比例最高。

这就是正交：它不是既有指标的另一个算法，它测的是既有指标看不见、而且越好看就越看不见的那一段。

这个读数不能做什么，也要写清楚。 续养率高不必然是坏事。有一类防御层必须永久维持——安全关键系统的冗余、传染病的基本卫生措施、结构件的强制检查。对这些，高续养率是正确的代价，不是浪费。这个数是一个诊断量，不是一个目标量；它只在与“实际风险是否同步下降”并读时才有意义。 第十九节会说明它被当成目标量之后会发生什么，那一节的红线必须先于这个读数被读到。

十三、在各领域里的兑现

一条判断如果只是像，就还是比喻。要成立，它必须在每个领域里预测一件具体的、可以去查的事。下面十二处。

一、清除与损伤的分离：在动物模型中，选择性清除衰老细胞可改善多种老化表型，而累积损伤量不变。这是本章链条的核心证据，已有发表工作支持；本章进一步预测：清除干预的效果与该组织的历史损伤暴露量正相关——挡住过越多次的组织，清除后的改善越大。

二、发育与愈合中的例外：在需要衰老细胞行使功能的窗口内（胚胎塑形、伤口愈合早期、纤维化限制），提前清除会使结果变差。本章因此预测存在一个非单调的最优清除时点，而不是“越早越好”。

三、成熟机队的工时结构：一支服役二十年的机队，其定期维修工时中来自历次适航指令与服务通告的比例，高于来自原始设计要求的比例，且随服役年限单调上升。这是可以从维修大纲直接清点的。

四、措施撤销率：任取一个成熟的安全管理体系，统计过去十年新增的措施条数与正式撤销的条数。本章预测两者相差一个数量级以上，且撤销的那些多数是因为被上位法规取代，而不是因为被评估为不再必要。

五、规则存量与产生率：新规则的产生率与既有规则存量正相关，而废止率与存量几乎无关。这一条在长时段的组织史研究中已有测量；本章的补充预测是：新规则中，源于未遂事件与审查发现的比例，高于源于实际事故的比例。

六、软件系统的测试维护：缺陷率最低的模块，其测试代码的维护工时占该模块总工时的比例最高。而当维护占比越过某个阈值后，该模块的重写概率急剧上升——重写正是那次“一次性整体放弃”。

七、临床路径与核对表：一个从未发生特定差错的病区，其针对该差错的核对步骤最完整，且这些步骤的执行时间占护理直接时间的比例最高。本章预测：该比例与该病区的护士离职率正相关。

八、长期用药的停药：长期预防性用药的自行停药，在时间分布上不是均匀的，而是集中在生活结构发生变动的节点（搬迁、换工作、家庭变故）。本章的解释是：这些节点使全部既有维持项同时需要被重新安排，总负荷在一瞬间显性化，于是发生整体放弃而非逐项削减。这可以从处方续配记录中直接检验。

九、养生禁忌的累积：随访一组坚持养生的个体，记录其自我施加的约束条目数随时间的变化。本章预测：条目数单调上升，几乎没有主动撤销；而中断养生的事件，在时间上紧跟条目数的一次跃升。

十、组织的减负专项：运动式的减负行动中，被砍掉的措施与“最麻烦”的相关性，高于与“最无效”的相关性。这可以从减负清单与原措施的执行成本、有效性评估之间的相关分析直接得出。

十一、注意力的隐形占用：一个组织中被非正式承担的“一直盯着某件事”的工作量，只在承担者离职时才显性化。本章预测：关键岗位离职后暴露出的“只有他知道”的事项数，与该组织的续养率正相关。

十二、超安全系统的脆弱性：安全水平最高的系统，在面对其设计设想之外的情形时，恢复速度最慢。这一条在超安全系统的分析中已有论述；本章的补充是给出机制——不是因为自主性被限制，而是因为可用余力已被历年的维持占满。 两种解释的分离见第十四节。

第十二处点出了一条贯穿全部的规律，值得单独写下来：

一个系统的脆弱，不来自它防住了多少，来自它防住之后留下了多少没有清走。

这句话把安全的直觉整个翻了一遍。通常的直觉是：防住得越多越安全。本章的判断是：防住得越多越安全，同时越重；而重量不进任何一份安全报告。

十四、与几种相近说法的分界

这条判断最容易被读成某个既有概念的改名，而且有一位邻居近到几乎重合。逐一分开，每条给出可判定的对照：若观察到甲，则本判断对而该说法不足；若观察到乙，则反之。

其一，技术债（Ward Cunningham, 1992）。这是最危险的一位，必须先处理。

技术债的比喻已经被用了三十多年：为了尽快交付而走的捷径，会在未来以更高的成本被偿还。本章说的“由成功产生的、必须被供养的负荷”，读起来几乎就是它。

分界落在债的来源上，而且方向相反。技术债是妥协产生的债——你为了快，少做了一件该做的事；功债是不妥协产生的债——你为了稳，多做了一件该做的事。 一个从不走捷径、每一个边界情况都加了防护、每一条路径都加了断言、每一次故障都加了监控的系统，其技术债最低，而其功债最高——那些防护、断言与监控，全部必须永远被维护。

判定：若一个系统的维护负荷与它的“欠下的该做而未做之事”的数量正相关，则是技术债；若维护负荷与它“做过的该做之事”的数量正相关，而与前者无关甚至负相关，则是功债。 这在软件工程里可以直接测：把维护工时按“修补历史妥协”与“维持既有防护”两类拆开，看哪一类随系统成熟度上升。本章预测第二类上升更快。

这条分离线是本章最重要的一条，因为两者的处方完全相反：技术债的处方是“该做的补上”，功债的处方是“做过的清掉”。对一个功债缠身的系统执行技术债的处方，会加速它的崩溃。

其二，成功陷阱与学习的近视（March 1991；Levinthal & March 1993）。这是模板层的邻居，必须点名。

把本章的命题剥掉全部专业名词，只剩“越成功越糟”这个形状的话，这个模板早有名字：成功陷阱、伊卡洛斯悖论（Miller 1990）、能力刚性（Leonard-Barton 1992）、内卷化（Geertz 1963）。它们都说：成功使组织加倍投入已有的做法，从而丧失应变能力。

分界：这一族说的是成功改变了组织的偏好与注意力分配——它想做的事变了；本章说的是成功制造了一笔必须被供养的存量——它想做也没有余力。 前者是意愿问题，后者是余量问题。

判定：若给予额外资源之后，探索性活动恢复，则是成功陷阱；若额外资源在一到两个周期内被既有维持吸收殆尽、探索性活动不恢复，则是功债。 这一条可以直接做：在一个组织内定向增拨一笔不与任何既有职责挂钩的资源，追踪它的实际去向。本章预测多数被吸收进维持。

其三，超安全系统的悖论（Amalberti, 2001）。这是最接近的一位。

它说的是：一个系统达到极高安全水平后，进一步的安全手段主要是标准化与限制自主，而这会削弱它应对未预见情形的能力。

分界：它把代价定位在自主性——人被规程绑住了，不会随机应变；本章把代价定位在余量——人没被绑住，但他的时间已经被历年的措施占满。

判定：若在完全不限制自主性的前提下累积预防措施（例如只增加监测与记录，不限制判断权），系统应对未预见事件的能力仍然下降，则本章对；若能力不下降，则代价确实在自主性上。 这是可以设计的对照。两者可以同时成立，但处方不同：前者要求“给一线松绑”，后者要求“给一线减量”。松绑而不减量，只会让被绑的人自己去省略——那正是漂移。

其四，漂移到边界（Rasmussen 1997；Dekker）。

它说的是：在成本与工作量的压力梯度下，实际操作点持续向危险边界迁移。

分界：漂移说的是边界固定而操作点在动；本章说的是操作点不动而可用余量在收缩。 两者在现象上很像——都表现为“离出事越来越近”——而机制相反。

判定：若观察到实际做法逐步偏离规程（省略步骤、合并环节），则是漂移；若实际做法完全依从规程而完成同样任务所需的资源逐年上升、余力逐年下降，则是功债。 这可以从依从率与工时两组数据的走向直接分开：漂移表现为依从率下降，功债表现为依从率不降而工时上升。

其五，Safety-II 与效率——彻底性权衡（Hollnagel）。这是方法学上的一位。

它主张日常的成功来自一线持续的适应，因此应当研究成功而不只研究失败。看上去本章正是在“研究成功”。

分界：Safety-II 研究成功是为了把成功的适应识别出来并加以支持；本章指出被识别并固化下来的适应，会立刻变成一条必须永远执行的措施——也就是一笔功债。 判定：若把一线的成功适应系统地记录并固化，负荷下降、灵活性上升，则 Safety-II 的处方成立；若固化之后负荷上升而灵活性下降，则本章对。 这一条尤其值得做，因为它指向 Safety-II 自己的一个尚未解决的问题：“支持适应”与“把适应写死”之间没有清晰的界线。

其六，规则膨胀与官僚制（Merton 1940；March, Schulz & Zhou 2000）。这是最强的竞争解释。

那句最朴素、最难反驳的话是：其实不就是官僚主义吗？规则总是只增不减，这是权力与免责的产物。

分界：官僚解释把规则的来源归给权力扩张、责任规避与合法性需求；本章把它归给历次成功的沉积。 两者预测不同的相关结构。

判定：若规则增量与组织的层级数、问责压力、监管强度的相关，强于与“被成功处理的扰动数”的相关，则官僚解释足够；若控制前三者之后，后者仍有独立的解释力，则本章对。

而本章有一件官僚解释无论如何拿不到的证据：细胞。 衰老细胞的堆积不可能用权力扩张或免责需求解释——组织里没有科层，细胞不写文件。同一个结构在一个完全没有官僚的系统里独立出现，这是本章相对于官僚解释的独有支持。 跨领域的同构在这里不是修辞，是证据。

其七，慢性炎症与老化（inflammaging, Franceschi 2000）。

它把低度慢性炎症当作多种老化疾病的共同土壤。

分界：这一支把炎症当作老化的原因；本章把它当作历次成功防癌的残留物在未被清除时的表现，因果链多一步。 判定：若在不减少损伤的前提下清除残留即可改善老化表型，则本章的链条对。 已有工作支持这一步；本章的补充预测在第十三节第一条。

其八，注意力基础观（Ocasio 1997）本身。

它说组织做什么取决于注意力分配。本章用了它，也必须与它分开。

分界：注意力基础观处理的是注意力如何被分配到不同议题；本章处理的是注意力被历史存量占用而不进入任何议题。 被一条老规矩占掉的注意力，不表现为“关注了议题 A 而非 B”，它根本不出现在议题清单上。判定：若把全部注意力占用做一次完整清点，其中不对应任何现行议题的部分占比可观，则本章对。 这是一个从未被做过、而成本很低的清点。

其九，本书另外两章。 见下一节单独处理。

其十，中医内部关于“过用”与“药邪”的既有认识。

《内经》讲久视伤血、久卧伤气，讲的是任何一样持续下去都会成为负担；“是药三分毒”讲的是干预自带代价。

分界：中医把这一类归入用错了——辨证不当、剂量过度、不知常变；本章说的是用对了也留下东西。 判定：若一条完全正确的养生建议，在其正确性的适用条件消失之后仍被继续执行，则本章对。 这不需要实验，只需要问一句：谁负责在条件变化时取消它？答案通常是没有人。一个正确的建议一旦发出，就没有回收渠道。

最近的一位是哪一位。 是第一位，技术债。两者共享“负荷累积”这整个形状，只在债的来源上相反。本章之所以不能被它吸收，只有一个理由：技术债预测“做得越糙负荷越重”，本章预测“做得越好负荷越重”。 若哪一天有干净的数据表明维护负荷只与妥协量相关、与既有防护量无关，本章的独立性就没有了。

最后，把这几位各自看不见的东西并排看一次。

技术债把“该做的做了就没有后续成本”当作给定；成功陷阱把“资源足够就能探索”当作给定；超安全悖论把“代价一定表现为自主性受限”当作给定；漂移理论把“离危险更近一定表现为行为偏离”当作给定；Safety-II 把“识别出来的适应可以被安全地固化”当作给定；官僚解释把“规则来自权力”当作给定；注意力基础观把“注意力总是被分配给某个议题”当作给定。

这几行背后是同一件被当作给定的事：

风险的账只有两栏——发生了，或者没发生。

凡是没落进第一栏的，一律归入第二栏，而第二栏被读作零。所有这些说法——包括互相批评的各派——都站在这条两栏记法上，因此谁也不能回头看它。“未被任何学科辨识”的真正来源，不是没有人看，是看的人都站在它上面。 功债正是从这两栏之间的缝里掉下去的那一类东西。

十五、与本书其余各章的分界

本书两章处理同一个对象，读者最容易把三章读成一件事的三种说法。它们是三个可以独立发生的机制，叠加时后果相乘。

与《无事对价》（第七章）的分界。

那一章处理的是回报侧：预防兑换的是非事件，账本只能记事件，因此成功的预防不产生下一轮的资源。本章处理的是残留侧：预防的成功产生一个必须被供养的残留，而供养成本随成功次数上升。

一句话分开：那一章说“做成了没有收入”，本章说“做成了还要付出”。

判定：若把账本科目补上——真正为非事件结算——之后，预防的实践量与可持续性随之上升，则本章的机制多余；若科目补上、钱付了，而做预防的一侧仍然逐年变重、直至一次性放弃，则两个机制各自独立。 本章预测后者，理由是：结算解决的是收入侧，而功债在成本侧，且它的增长与收入无关。

两者叠加不是相加：收入侧为零而成本侧单调上升，两者合起来给出的不是“缓慢的不划算”，而是一个必然到达的放弃时点。单有前者，预防只是长不大；单有后者，预防只是变重；两者合起来，预防会周期性地被整体推倒重来。两千年的稳定，是这个周期的重复。

与《悬量》（第八章）的分界。

那一章处理的是落点侧：阈下风险的总量确定而归属未定，介入必须落在具体对象上，因此系统只能按类别构造落点。本章处理的是残留侧。

一句话分开：那一章说“想做没处下手”，本章说“下了手就放不下来”。

判定：若把落点问题解决——每一次介入都由该对象自身的实测偏移触发——之后，负荷不再累积，则本章多余；若落点变准了、无效介入减少了，而每一次有效介入仍然留下一条永久措施、总负荷仍然上升，则两者独立。 本章预测后者：落点变准只减少了错误的功债，不减少正确的功债。

三者的相乘关系可以写清楚。 没有落点，使介入按类别铺开，于是一次成功产生的措施覆盖面被放大——因为它必须写成一条适用于整个类别的规则；没有科目，使清除这一步永远排不进任何人的职责——清除既不产生事件也不产生收入；而负荷上升又使落点的精细化更加做不起，因为精细化需要余力。三者互相供给对方的成因，因此是相乘的。

三章的靶格也构成一个序列：一个替掉了成果（用动作数冒充），一个替掉了对象（用类别冒充），一个替掉了完成（用停住冒充结清）。同一种替代在三个环节上的三次出现。 一个系统若三者兼有，它会呈现出一种极其完整的样子：有对象、有动作、有指标、有科目、有零事故记录，而这一切与真实的因果链条都不相连，且每年更重。

十六、三处反过来的约束

有三处，是这三个领域反过来削弱了本章原本要说的话。逐处写清削掉了什么。

其一，细胞学削掉了本章的价值排序，这一处最伤。

本章原本会写下一句很自然的处方：应当尽量清除残留。 细胞学不允许这句话成立。

胚胎发育中有程序性的衰老，它参与组织塑形，不是损伤的产物；伤口愈合中，衰老的肌成纤维细胞限制纤维化的过度进行，提前清掉它们反而使结果更糟。也就是说：有一类残留在特定窗口内是必需的，它的功能恰恰依赖于它暂时不被清除。

因此本章只能主张一件弱得多的事：清除必须是一个被设计的独立步骤，有条件、有主体、有时点——而不是一个越多越好的方向。 “该不该清”这个问题本身需要判据，而本章提供不了那个判据，它只能指出这个问题从来没有被问过。少了很多气势，但那句更强的话确实站不住。

其二，工程学削掉了适用范围。

本章原本会写下：续养率高说明系统在退化。 工程学不允许。安全关键系统里有一类防御层必须永久维持——冗余、强制检查、结构完整性项目。对这些，高续养率不是浪费，是正确的代价；撤销它们就是撤销安全。

因此本章的适用范围必须缩到：续养率上升而系统实际风险未同步下降的那一类。 这个限制不是形式上的，它把本章从一条关于“负荷”的普遍主张，缩成一条关于“负荷与风险脱钩”的有限主张。而“实际风险有没有下降”在事前极难测——这使本章的判据比它看上去难用得多。本章承认这一处使它的可操作性大幅下降。

其三，管理学削掉了因果的直接性。

本章原本会写下一句更利索的话：负荷上升导致预防被放弃。 注意力基础观不允许这句话成立：客观上升的负荷若不进入议程，就不影响决策。

而负荷进入议程的方式几乎总是被改写过的——它以“人手不够”“效率低”“沟通不畅”的形式出现。于是解决方案是加人、上系统、开协调会，而这三样在短期内有效，在长期内都提高了下一轮的维持成本。 本章的因果链因此必须加一个中介环节：负荷不是直接导致放弃，是先被错误归因，错误归因的解决方案再进一步抬高负荷，如此若干轮之后才到放弃。

这个让步不是修辞上的。它意味着在放弃发生之前，系统会经历一段“看起来在解决问题、实际在加速”的时期，而这段时期从内部看完全正常。这削掉了本章关于可干预时点的全部乐观。

十七、不适用的边界

四种情形，本章的判断不适用或会给出危险的指导。

第一，安全关键的永久防御层。 见上一节第二处。凡是撤销即等于撤销安全的措施，不在本章的批评范围内。本章不主张削减它们，任何据本章削减它们的做法都是误用，第十九节会把这条写成红线。

第二，残留自动清除的系统。 本章的机制以“清除需要专门发生”为前提。在清除自动进行的系统里（健康组织的免疫监视、有明确失效期的临时措施、按法规自动到期的条款），功债不累积。这类系统的存在恰恰支持本章：有清除机制的地方，负荷不涨。

第三，措施本身几乎无维持成本的场合。 若某项预防措施一次性生效且此后不需要任何执行（一次结构加固、一次设计变更、一次不可逆的环境改造），它的功债接近于零。这解释了为什么改造环境类的预防最可持续——把水管接好之后，不需要每天有人去执行“喝干净水”这条规程。

第四，短周期、可重来的系统。 本章关心的是长周期、措施只增不减的系统。在一个每隔几年整体重建一次的系统里，功债被重建自动清零，代价是重建本身。本章的机制强度与“上一次整体清零距今多久”成正比。

十八、怎样才能证明这条判断是错的

第十四节第六条已经写出了最强的竞争解释：其实不就是官僚主义吗？

要把本章与它分开，必须找出一个只有本章的机制成立才会出现、而官僚膨胀预测不出的变量。那个变量是措施的来源结构——一条措施是源于一次被成功处理的扰动，还是源于问责、监管或权力扩张。

因此证伪条件写成：

控制组织规模、层级数、外部监管强度与问责压力之后，若“被成功处理的扰动数”与“续养率增量”之间不存在剂量－反应关系，则本判断为伪——届时应归因于官僚膨胀，而不是成功的残留。

样本要求。 至少六个单位，且在关键混淆变量上同质。可行的做法：同一集团内规模相近、监管口径相同的多个厂区；同一家医院内的多个病区；同一软件组织内的多个服务模块；同一学校的多个院系。不能拿两个国家或两个行业来充数——两边在监管密度、法律责任、文化上处处不同，所谓“控制掉问责压力”在方法上站不住。

成本最低、数据已经存在的那一条检验。 措施的来源结构不需要新采集。任何一份成熟的操作规范或安全管理体系文件，其每一条通常都可以追到一份会议纪要、一份整改通知或一份审查发现。一次回溯性的来源编码，一到两周可以完成。

另外六条可判决的读数。

一、新增与撤销之比：过去十年新增措施条数与正式撤销条数之比，本章预测大于十比一；且撤销的多数因被上位法规取代，而非因被评估为不再必要。若撤销率接近新增率，本判断为伪。

二、来源结构：措施中源于未遂事件与审查发现的比例，高于源于实际事故的比例，且随组织成熟度上升。若相反，本判断为伪。

三、定向增资的去向：向一个组织定向增拨一笔不与既有职责挂钩的资源，追踪一到两个周期。本章预测多数被既有维持吸收。若探索性活动显著恢复，则成功陷阱解释足够，本判断为伪。

四、依从率与工时的走向分离：功债表现为依从率不降而完成同样任务的工时上升；漂移表现为依从率下降。若观察到的只是依从率下降，本判断为伪。

五、减负专项的砍法：运动式减负所砍掉的措施，与“执行成本高”的相关强于与“有效性低”的相关。若相反，说明系统具备评估与撤销能力，本判断为伪。

六、正向的顺序读数（最重要的一条，顺序比相关难得多被巧合满足）：

观察一项新的预防措施上线之后的三年。预测的次序是：该类事件在三到六个月内下降 → 与该措施相关的例行核对与记录工时在十二到十八个月内稳定为固定负荷 → 而在三十六个月时，没有任何一次针对该措施的撤销或降级评审发生，且其维护工时不随事件率的下降而下降。

也就是说，前两步会按时发生，第三步不会发生。下一轮的负荷没有回落，负责回落的位置也没有出现。 若三十六个月内出现正式的撤销评审并实际执行，本判断为伪。

个人层面的对应观察：一位开始系统养生的人，其自我施加的约束条目数在三年内单调上升，期间没有任何一条被主动撤销；而中断养生的时点，紧跟一次条目数的跃升或一次生活结构变动。

这条判断若被推翻，我们会学到什么。 若来源结构与续养率增量无关，而官僚变量解释了一切，那么处方就完全不同了：不必设计清除机制，只需削减层级与问责压力。这是一条便宜得多的路，因为削减层级不需要为每一条措施建立撤销判据。证伪的价值在于它指向这条更便宜的路。

一条写死日期的制度扩散赌注。

到 2033 年 12 月 31 日为止，若中国大陆任一三级医院、或任一民航维修单位、或任一大型制造企业，建立起一个制度化的预防措施退役机制——即同时具备四件：明文规定的撤销条件、指定的责任岗位、定期强制复审的周期、以及在观察期内实际撤销过措施的记录——则本章的处方部分成立。

什么不算命中，必须写死：

• 一次性的“减负专项”“流程优化年”——运动式的不算，必须是常设；
• 只合并、只精简表述而措施实质仍在执行的；
• 因上位法规变更、监管要求取消而被动废止的——那不是本机构的撤销能力；
• 只在文件中写“动态调整”“定期评估”而无任何实际撤销记录的；
• 撤销决定由外部审计或上级检查发起的——必须由该机构内的常设岗位按既定周期发起。

本章解释不了的两个洞，交出来。

其一：为什么有些系统能长期维持极低的续养率而风险不上升？某些传统手艺的作坊、某些运行数十年的小型基础设施、某些家族性的长期管理——它们措施极少，出事也极少。本章的机制预测它们要么措施累积，要么风险上升，而它们两样都没有。可能的方向是：存在一种不以措施形式沉积的经验传承，它把成功转化成了人的判断力而不是规程条目。但这只是一个猜测，本章没有能力处理它。

其二：为什么这条纲领两千年一次也没有被降级？按本章的机制，一件做得越好越难做下去的事，应当在话语上逐渐失去正当性。它没有。纲领的稳定与实践的稀少同时持续两千年，本章只解释了后半段。 这个洞与本书留下的是同一个洞，三章都没有补上。同一个洞在三条互不相同的机制之下重复出现，这本身可能是一条线索：纲领的稳定或许不由实践供养，而由别的东西供养。那是另一道题。

十九、这条判断被采纳之后，最省事的实现方式会毁掉它

先写红线，再写反噬，因为这一章比前两篇危险。

红线：本章不是在主张削减安全措施。

本章的判断是“成功的残留需要一个被设计的清除步骤”，不是“措施太多应当砍掉”。这两句在实践中极易被混淆，而混淆的后果不对称：清除机制建错了，损失是效率；把它读成“砍措施”，损失是人命。 任何据本章进行的措施撤销，都必须先满足两个条件：该措施的原始触发条件已被独立证据判定为不复存在；且撤销后有可观测的回退路径。两条不满足，宁可背着这笔债。

反噬。

本章的判断如果被采纳，最省事的落实方式是：设立一个措施退役评审机制。

而这个机制本身是一条新的措施：它需要周期、需要岗位、需要文档、需要记录、需要被审计。用来清理负荷的机制，本身是负荷。 更麻烦的是，它是一条永远不会被撤销的措施——因为撤销它意味着放弃清除能力，而这在本章自己的框架里是最不能做的一件事。

再往下一层：续养率一旦进入考核，最省事的达标方式不是清除措施，是改变归类。把一项维持性工作重新描述成“新增能力建设”，把例行核对写成“质量改进项目”，数字立刻好看，工作一点没变。一个依赖于对投入性质的自我归类的读数，进入考核之后会立刻失真。

我看不到出口。 任何把“清除”制度化的做法，都必须以增加一条制度为代价；任何把负荷变成可考核指标的做法，都依赖于对工作性质的自我陈述。本章能做的只是把这个位置说清楚，不能守住它。

因此三条限制必须写死，尤其因为续养率是一个可以被拿去考核机构与个人的比率：

一、这个读数指的是措施结构，不是执行者。 一个科室续养率高，说明它继承了历年的措施存量，不说明它的人效率低。最尽责的单位往往这个数最高，因为它最不肯漏做任何一条。

二、不得为把这个数做好看而在安全关键系统里撤销防御层，也不得为此把维持性工作重新归类。 这一条是三条里最重的一条，它同时封住了两个最省事的作弊口。

三、据此读数作出的任何不利安排，必须公开完整的归类规则——特别是“维持既有”与“建立新增”的判定标准——并提供复核通道。 整个读数的分量全部压在这条归类上。

三条缺一条，这个读数不该被使用。

二十、本章自己是一笔功债

按本章自己的分辨表，这篇文章落在第④格。

它给读者加了一样东西：又一个构念、又一张分辨表、又一个必须去清点的读数。这一样东西一旦被接受，就必须一直被携带下去——每读一份规范，都要多问一句“这条什么时候撤”；每看一个零事故记录，都要多算一次续养率。 而本章没有为自己规定任何撤销条件：它没有说在什么情况下这个构念应当被弃用，也没有指定任何人负责判断这一点。

一章主张“必须有清除机制”的文章，自己没有清除机制。 这不是一个修辞上的巧合，是本章实际的位置。

三个具体后果，必须说出来。

第一，本章的处方在被执行的那一刻会进入自己的靶格。 建立措施退役机制，就是新增一条永久措施。第十九节已经写了，本章找不到绕过去的办法。这意味着本章最好的结果不是“负荷下降”，而是“负荷的增长换了一种更慢的形式”。 如实说，这比本章原本想主张的东西弱得多。

第二，本章与前两篇合起来，正在构成一套小的功债。 三章各给一个构念、一张表、一个读数，三套都要求被一直携带。若一位读者认真接受了三章，他此后看任何一件事都要过三道判据。 三章里没有一章说过它们在什么条件下可以被放下。这正是本章所描述的那个结构，发生在它自己这一批文章上。

第三，本章最该被怀疑的地方。 第八节说功债“由成功产生”，而在现实中，一条措施的来源常常同时有成功、有问责、有权力扩张，三者纠缠。本章把来源结构当成一个可以干净分离的变量，而它未必是。 第十八节那条来源编码的检验存在的全部理由，就是把它分开；若来源在多数情况下无法被干净归类，本章的核心区分就退化成一个说法。这比它任何一处论证都更该被怀疑。

二十一、结论

“治未病”两千年高悬而少行，到此有三个机制，分处一件事的三侧。

一侧在做成之后：预防兑换的是非事件，账本只能记事件，因此成功的预防不产生下一轮的资源。 一侧在动手之前：阈下风险总量确定而归属未定，介入必须落在具体对象上，因此只能落在被构造出来的对象上。 第三侧是本章的判断，在做成之后仍然继续：一次成功的预防不消除扰动，它把扰动转成一个被停住而未被清除的残留物。 这个残留既不进“发生了”栏，也不进“没发生”栏，而它需要持续供养，供养成本随成功次数单调上升，且全部落在做预防的那一侧。本章称之为功债。

三家共同缺失的那一步是清除。细胞学是唯一为它准备了专门机制的一家——免疫清除；而人造系统必须专门设计这一步，绝大多数没有设计。在多数组织里，能找到负责加一层的人，找不到负责减一层的人；加一层只需说明“这样更安全”，减一层需要证明“取消它不会出事”，而后者在事前无法证明。

由此得到一句可以直接拿去问任何一份规范、任何一个科室、任何一份养生计划的判据，不含任何评价词：

上一次为这类问题加上的那一样东西，是什么时候、由谁、按什么条件撤掉的？

三个问题的答案通常都是空的：没有时候，没有人，没有条件。

也由此得到一个对预防的重新理解，它比前两篇更不客气：预防不是一件中性地得不到奖励的事，而是一件做得越成功、继续做下去越难的事。 收益不可见且不增长，成本可见且单调增长。一个认真做下去的人或系统，最终不是渐进地削减，而是在某个时点一次性整体放弃，然后从头再来。两千年的稳定不是一条平线，是无数条这样的小周期的叠加。

最后是一处必须重复的红线：本章不主张削减安全关键的防御层。它主张的是把清除变成一个有条件、有主体、有时点的独立步骤——而这件事本身也会成为一笔债。 本章看不到出口，只能把这个位置说清楚。

伦理与证据边界

本章最重要的一条边界，写在最前面：本章不主张削减安全关键的防御层。 第十七节第一类与第十九节的红线是本章的组成部分，不是附言。任何据本章撤销既有安全措施的做法，都必须先满足两个条件：该措施的原始触发条件已被独立证据判定为不复存在；撤销后有可观测的回退路径。两条不满足，宁可背着这笔债。把本章读成“措施太多应当砍掉”是误读，且是危险的误读。

本章提出的续养率是一个可能被用于考核机构与个人的比率，因此第十九节末尾的三条限制必须与它一并使用：该读数指的是措施结构而非执行者；不得为使该数好看而撤销防御层或对工作性质重新归类；据此作出的不利安排须公开归类规则并提供复核通道。

本章关于个人养生的部分不构成任何医疗建议。任何长期预防性用药的调整或停用，须经处方医师评估；本章关于“约束只增不减”的分析不适用于医嘱。

本章全部经验主张均以公开发表的文献与可查的制度记录为依据，未使用任何个体层面的医疗数据。文中关于负荷结构、来源比例与撤销率的陈述均以可查证的预测形式给出，而非作为已完成的实证结论。