How Complex Systems Fail

Cook 的 18 条命题把事故从“某个人犯错”拉回系统层：复杂系统本来就危险，却靠多层防御把大多数故障轨迹挡住，灾难要等多个潜伏缺陷联结才发生。系统因此长期以 degraded mode 运行，现场人员同时承担生产和防御两种角色；复盘若执着 root cause 和 hindsight，往往会增加耦合而不是提高安全。