Diane Vaughan：事故不是一次发生的
2003 年，华盛顿。哥伦比亚号事故调查报告发表后不久，NASA 办了一场午餐会。黛安·沃恩坐在一张餐桌旁，有点怕。屋里坐着的人，有些喜欢她的书，有些不喜欢。
「我坐在桌边，有点害怕。」她后来对哥大的校刊说，「不是所有 NASA 的人都喜欢我的书。可后来有人走过来，向我道谢，或者拿书来签名。一个女人哭了出来，说：『我不敢相信我们又做了一次。』」
沃恩是一个社会学家，不在 NASA 工作。1986 年挑战者号失事后，她花了近十年研究那次发射决策，写了一本书。书里说，那场灾难没有某个人按下错误的按钮。
这句话让一些人感激她，也让一些人难受。要理解为什么，得回到 1986 年那个寒冷的早晨。
三十六度
1986 年 1 月 28 日上午 11 点 38 分，佛罗里达州卡纳维拉尔角，挑战者号升空。发射前一夜，莫顿·蒂奥科尔公司（助推器的制造商）的工程师警告，天气太冷，助推器两节之间的橡胶密封圈（O 型环）会变硬，可能封不住高温燃气。他们建议，气温低于 53 华氏度就不要发射。那天早晨，发射场的气温是 36 华氏度。
公司高管在 NASA 的压力下推翻了工程师的意见。闭门讨论时，负责工程的副总裁鲍勃·伦德被上司杰里·梅森要求，把工程帽子摘下来，换上管理帽子。NASA 点了头。
升空 73 秒后，挑战者号在空中解体。七名宇航员遇难，其中包括准备在太空给全国学生上课的中学教师克里斯塔·麦考利夫。
沃恩和很多美国人一样，在电视上看到了那团火球。她的兴趣也是职业上的。她一直在找组织违反规则的案例，NASA 看起来正合适。调查事故的总统委员会（后来被称为罗杰斯委员会）的结论指向生产压力和决策失误。那份报告在她看来，像一群冷酷的管理者把谨慎扔出了窗外。
「这看起来是一个典型的渎职案例。」她后来说。
她去了国家档案馆。
一个名词
罗杰斯委员会留下的材料堆在国家档案馆里。她一份一份读。读到委员会成员和一位推动发射的 NASA 管理者的对话时，她发现了一件奇怪的事：两边说的不是同一种语言。
委员会的人反复问：「你为什么要 waive 一个发射限制？」在他们的语气里，waive 就是「不理它」「把它放过去」。她翻规则文件，发现 waiver 在 NASA 是名词：一份签过字、存了档的正式文件。它说明额外的复核做完了，风险评估做了，这个例外被正式批准了。
发射限制也不是「禁止发射」的命令。它是一道程序：某个部件有问题，发射前必须再复核一次。复核完了，限制就可以解除。NASA 的人没有把规则扔到一边。他们把规则走完了。
她还找到一份 1981 年的文件，标题叫《The Acceptable Risk Process》，直译是《可接受风险流程》。文件写得很清楚：航天飞机是实验性技术，本来就带着剩余风险；发射前，工程师要判断这些风险是否「可接受」。所以「可接受风险」「可接受的侵蚀」这些词，出现在每一份工程风险评估表上。那套语言并不说明 NASA 在耍流氓。它只是他们的官僚语言。
物理学家理查德·费曼也是委员会成员。他在报告附录里看到这些词，写 NASA 在玩俄罗斯轮盘赌。沃恩发现，委员会只调看了固体火箭助推器的图表；其他部件的图表里，也全是「可接受风险」这几个字。这不是某一批人的托词，是整个机构的日常语言。
费曼看见的是风险本身。她看见的是风险在当事人的语言里长什么样。两件事都真。费曼的比喻有一个前提：持枪的人知道枪里有一颗子弹，还是扣了扳机。她在档案馆里看到的那些人，并不觉得自己在扣扳机。
材料越读越多：12.2 万页 NASA 文件，2500 页听证证词，160 份委员会调查员的访谈记录，约 9000 页。她用《信息自由法》拿到每次发射前的工程风险评估。她还去访谈 NASA 和承包商的关键人物、一位委员会成员、三位调查员，还有安全监管者、记者、秘书、航天史学者。
她请两位工程师帮她补技术课：NASA 的利昂·雷和承包商的罗杰·博伊斯乔利。博伊斯乔利就是那个在事故前写备忘录警告 O 型环问题的人。向她解释助推器接头怎么工作的人，正是后来被这场灾难改变一生的人。
第十三个月
她一开始的假设是渎职。她挑了委员会报告里最有争议的三处「违规」，逐一分析。结果，她以为的违规，完全符合 NASA 的规则。
「我的假设进了垃圾桶，我从头开始。」
那是研究的第十三个月。
她后来把这段经历写进一篇讲研究方法的文章。她一开始把报告第一卷当成原始材料。后来才发现，那只是委员会对原始文件的概括和解释。她的错误，和委员会的错误，叠在了一起。
她开始重建 1977 到 1985 年所有关于固体火箭助推器的决策。她要回到当事人还不知道结局的时刻，看他们怎么理解手上的事。
O 型环的侵蚀第一次出现时，工程师分析后认为，设计能承受这点侵蚀。他们加了耐热腻子（一种填充接缝的耐高温材料），继续飞。第二次出现，又分析，又解释，又继续飞。每一次飞行都回来了，每一次回来都成了证据：看，没事。侵蚀一点点加重，工程经验的边界像一条松紧带，一点点被撑大。到后来，「可接受的侵蚀」成了一个固定说法，写在表格里。
1985 年 1 月，一次飞行后，工程师发现高温燃气已经烧穿了第一道 O 型环，烧到第二道，腻子被熏黑。这是一次近乎失效的警告。但分析之后，它被重新定义为「弱信号」：第二道环没坏，佛罗里达这么冷的天气概率又低，迹象弱到可以不理会。于是，关于低温与侵蚀关系的研究被放到了后面。
一年后，挑战者号在 36 华氏度的早晨升空。
1986 年 3 月，从大西洋打捞上来的挑战者号右舷固体火箭助推器接头。密封圈留下的痕迹还在，纸签上写着样本编号
这段过程，她后来起了个名字：偏差的正常化（normalization of deviance）。没有人决定「我们要冒险」。每一次单独看，决定都合理；合起来，风险被推到了一个没人打算去的地方。
错误，不是渎职
1996 年，挑战者号失事十周年，她出版了《The Challenger Launch Decision》，书名直译是《挑战者号发射决策》。五百多页。她的结论是：
「NASA 并没有做出一个存心作恶的根本决定；相反，是一系列看起来无害的决定，一点一点把航天局推向了灾难性的结果。」
她还说，关键不在某个员工犯不犯错；错误本身有它的社会组织方式，是被系统生产出来的。
她后来用一句话总结这次研究：「从挑战者号，我学到我们所处的组织也住在我们身上。」
挑战者号上有 748 个部件被列为「一级关键」：一旦失效，飞行器和乘员都保不住。在挑战者号之前的 25 次飞行里，131 个技术缺陷严重到要发「发射限制」，其中 66 个在一次飞行后解决，其余的像 O 型环一样被反复放行。
《纽约时报》的书评人亚历克斯·罗兰写道，在她的叙述里，个人责任几乎消失了；她替管理者辩护的方式，是说系统让他们这么做的。这个批评有它的道理。那通电话会议是真的，「摘下工程帽子」那句话，听起来就是生产压力。
沃恩没有否认这一层。她否认的是「换掉几个人，问题就解决了」。个人的选择是真的，系统的塑造也是真的。
催泪瓦斯
要理解她为什么会这样看问题，得回到 1970 年春天。
那时她是俄亥俄州立大学的新生。枪击案发生在肯特州立大学，不在她的学校。那之后，抗议烧到各地校园，国民警卫队进了她的学校，戴着防毒面具，向抗议的学生投催泪瓦斯。她记得自己在一间历史教室里考第一次期中考试，催泪瓦斯从校园中央的椭圆草坪飘进来。
她当时没有专业。一门「社会变迁」课留住了她。讲课的伊娃·塞博是匈牙利人，在哥伦比亚大学读博士，论文研究社会学家齐美尔，还没答辩，是她遇到的第一位女教授。课上读四位社会学家的理论：布劳、布鲁默、科塞、齐美尔。塞博让他们把每个理论套到一篇社会问题文章上，写四篇论文。
「我学会了像社会学家那样思考，怎么用经验材料做理论。」
她当时已经在带孩子。她说，自己根本没想过读研。这不是一个神童一路读到博士的故事。一个成年学生被一门课点亮了。1971 年秋天，纽约州阿提卡监狱的囚犯暴动，州警镇压，几十人死亡。那之后，她选了一门刑罚学课，跟着课程参观俄亥俄州的监狱；第二年夏天，她在俄亥俄州女子感化院工作，每天写日记。教授读了日记，鼓励她读研。
她最早研究的，是被关起来的人，是被组织处理的人。后来研究组织越界、研究事故，底层的问题没变：人在一个系统里，怎么做出了自己事后也说不清的事。
1983 年，她的第一本书研究俄亥俄州一家连锁药店的医疗补助（Medicaid）双重账单案。公司用电脑生成双重账单，让州和联邦政府多付了 50 万美元，而公司认为这笔钱本来就该是自己的。她的结论有点反直觉：要减少组织的不法行为，更多的监管不一定有用，更需要一个更敏感、更有回应的官僚系统。
第二本书叫《Uncoupling》，写亲密关系怎么结束。她访谈了 103 个人。她发现，关系不是在某一天突然断的。一个人先在心理上、社交上一点一点地离开，另一个人还在原地；等意识到的时候，对方已经走了很远。
她关心的是「怎么结束」。至于「为什么结束」，很多人自己也说不清。
这两本书隔了三年。一本写组织怎么越界，一本写关系怎么散掉。看起来不相干，底下是同一个问题：一件事是怎么一点一点变成这样的。
窗帘后面
2003 年 1 月 16 日，哥伦比亚号升空。起飞约 82 秒时，一块泡沫绝缘材料从外挂油箱脱落，击中左翼；16 天后，它在返航途中解体，超高温气体进入机翼。七名宇航员遇难。
和 1986 年一样，这次也有一个调查委员会。不一样的是，这次委员会读过她的书。主席哈罗德·格曼上将在事故后两周读了《挑战者号发射决策》，看到了哥伦比亚号与挑战者号的经验类比，相信她的社会学视角对调查有用。书和一篇发在管理期刊上的简写版（去掉了术语），在委员会的办公室里传阅。
媒体先来找她，她接着去作证，然后以顾问和研究人员的身份加入委员会的工作组。她不是委员会的成员。她所在的第二组（Group II）负责调查 NASA 的泡沫决策和组织问题，后来她被加到委员会的工作人员名单和工资单上。
2003 年 4 月 23 日下午，休斯敦，公开听证会。会场在酒店宴会厅，蓝色天鹅绒幕布，巨大的投影屏上是哥伦比亚号的任务徽章，两排长桌成直角相对，一边是证人，一边是七位委员，两位穿全套军装。她在后台的休息室里临时抱佛脚。委员们中场休息时出来拿三明治，有人戴上别人的军帽敬礼。一位委员回头对她说：「现在你看到我们这套花架子了。」
她后来写，那是她经历过的最字面意义上的「前台」和「后台」时刻。社会学家欧文·戈夫曼用这两个词，说的是人在人前表演、在人后准备。手心发凉，穿过天鹅绒帘子，走进灯光，坐到自己的位置上。
作证快三个小时。她讲挑战者号与哥伦比亚号的平行之处，讲组织系统的三个层次，也讲政策决定怎么一层层落到具体工作上。她把这叫「涓滴效应」。委员们没有敌意，问题都朝着「怎么变成政策建议」去。快结束时，委员约翰·洛格斯登换了个轻松的问题：这本书出版后，NASA 有没有请她去讲、去咨询？
她回答：很多关心风险和失误的组织都找过她。好像所有人都打来了电话，连她高中时的男朋友都打了，NASA 从来没打来过。
全场笑了。
第二天，这句话成了新闻标题。她原本想推的「涓滴效应」没人引用。NASA 的首席飞行主任给她发了一封邮件，标题是「Sound Bite」（能被剪进新闻的一句短话）：「我高中男朋友打电话来了，NASA 从来没打来过……很廉价的一击。你本来让我很感兴趣，直到这句……太可惜了。」
NASA 局长肖恩·奥基夫在记者会上被反复问到她，酸了一句：「书应该卖得不错吧。」
然后 NASA 打来了。一位高级官员跟她谈了两个小时，否认挑战者号和哥伦比亚号有任何相似之处，耐心解释挑战者时代做了哪些改变，那些改变正是他负责的。她后来才知道，NASA 很多人直接拒绝接受「挑战者号类比」，但她的书开始出现在约翰逊、肯尼迪、马歇尔三个航天中心和 NASA 总部的办公桌上。
报告发表后，就是开头那顿午饭。她记得那个哭着说「我们又做了一次」的女人。
历史是不是原因
2003 年 6 月，委员会从休斯敦搬到华盛顿特区。第二组请她过去待几天。她被安排和肯·赫斯少将的空军安全中心团队一起工作，那个团队负责「组织原因」一章。他们的草稿偏向社会心理学、偏向「个人领导力」，她则坚持结构和文化的解释。她和赫斯辩论了很久。
她注意到，草稿里已经嵌入了挑战者号的概念：微弱信号、混合信号、常规信号、被错过的信号，还有组织文化和「偏差的正常化」。报告的框架也在变。传统的事故报告只讲技术；这一份加了「扩展因果模型」，第一部分技术原因，第二部分社会原因，第三部分建议。
她和编辑一起改章节标题。原来的三个社会原因章节按「因果重要性递减」排列，她觉得这些标题会让读者困惑，也不符合她的分析：挑战者号的三个社会原因同等重要、互相连接。她提了一个新框架，把三章改成同等重要的实质标题，并显示它们的因果连接。
格曼同意了大框架，但不同意「历史是原因」这一章。他说：「历史是布景，不是原因。」
她举了两个例子。一是 NASA 外部的政治与预算环境，那些历史决定改变了机构的结构与文化，最终影响风险决策。二是 NASA 自己的工程决策史：第一次带着异常飞，就设了先例；反复这样做，积累了「可接受风险」的经验基础和文化信念。格曼还是怀疑。她提议做一个「写作实验」：她写一章，用不用由委员会决定，展示政治环境、组织、决策三章之间的因果链。
格曼问：「你怎么知道你能做到？」
她答：「我受过这个训练。」
7 月 21 日，她把《历史作为原因：哥伦比亚与挑战者》初稿交上去。格曼当即接受为第 8 章。
这一章被读得比她的任何一份草稿都细：13 位不同学科的读者，四小时逐行审读。委员会的反对意见主要是风格和长度。他们说她的初稿「浮夸、诗意」，她把 25 页单倍行距删到 18 页，删掉了「本章将把线索连起来」这样的句子。审读者会问：「她写『委员会坚信……』。委员会真的『坚信』吗？委员会到底信不信？」每一个字都要对得上委员会的共识。
她的核心论点没有丢：两次事故的理论解释、三部分之间的因果链，都完整保留。
报告付印前，格曼在每日例会上介绍她时，会先把在场的委员一个个念过，再介绍她，这是其他工作人员没有的待遇。后来开全体会，他让她坐到桌边，而不是像以前一样和工作人员坐在外围。她很清楚，他这样安排，是为了向委员会示意：社会科学框架是他认可的，报告的社会学解释不会被改掉。
她执笔的第 8 章里，有一段写得很清楚：关注决策的背景，不意味着个人没有责任；恰恰相反，个人始终要为自己的行为负责。但 NASA 的问题，不是靠退休、辞职或者调走几个人就能解决的。
那一章里还有一句话：「历史不只是背景，也不只是布景。历史是原因。」
只有一个人报名的参观
写完三本关于「事情怎么一点点变坏」的书，她想找一个「大部分时候做对」的案例。
「我职业生涯的大部分时间都在看组织里的事情怎么出错。」她在 2022 年的一次访谈里说，「挑战者号之后，我想进入一个可以看人工作的现场，工作涉及技术，有风险。我想要一个他们大部分时候做对的案例。空管是唯一我能想到的地方：工作足够标准化，我可以走进去，坐在他们旁边，看他们做什么，也可以访谈。」
1998 年，她报名参加波士顿中心的公众参观。波士顿中心在新罕布什尔州纳舒厄，是一座高空雷达管制中心。那天只有她一个人到场。她跟着讲解员走了一圈，然后开始谈研究。
一个写过三本书、拿过大奖的教授，用最普通的方式敲门：报名参观。
2000 年，她正式开始在新英格兰四座空管设施做实地研究：波士顿中心、贝德福德塔台、波士顿终端区管制中心（TRACON）、波士顿塔台。
她后来回忆：「2000 年，我戴的还是 1960 年代的头戴耳机，和他们一样。所有电脑和键盘也是 60 年代的型号。在我研究的四座设施里最小的那座塔台，他们用脚踏板连接和断开麦克风，脚踏板得用胶带粘在一起。」
她也听见他们怎么谈这份工作，和公众想象的很不一样。几位管制员在不同的时候说过：
「这份工作不危险。」 「99% 是无聊，1% 是纯粹的恐惧。」 「这份工作的压力不是飞机，是和你一起工作的人。」
一个塔台管制员看着窗外的飞机说，他从来不去想那上面有人，就是他和飞行员；有时他假装那些飞机是他小时候的火车模型。
她问到「你犯过的错」，他们会记得每一个细节：当时和谁一起值班、天上有哪些飞机、其他飞行员在做什么、自己当时的情绪。「我的心停了」「我的心跳到嗓子眼」「我说不出话」「我从座位上站了起来」。多年以后还记得，说明这件事有多重。
但他们不把这份工作叫「危险」。「只要你遵守所有规则，就不危险。」「觉得危险、有压力的人，早就走了。」他们把「心提到嗓子眼」说成一种兴奋，「像滑雪冲下坡」。恐惧被说成一种正常的、可承受的体验。
「我们没时间感受情绪，因为要处理紧急情况，有规则。」事情过后，他们会感受。
2001 年 6 月，她离开那些设施，准备写作。9 月 11 日，从波士顿洛根机场起飞的两架被劫持飞机，撞向世贸中心。这两架飞机，由她研究过的四座设施中的三座管制。
她后来写：「我没有在场，但我看到了历史怎样冲击这个系统。我知道，劫机者被发现后，管制员完成了不可思议的壮举：在两个多小时里让天上所有飞机落地。他们处理了从未处理过的飞机，没有发生事故。」
那天，全国 650 多座设施里，四千多架飞机要找到地方落地。她记得的数字是 4,395 架，两小时十五分钟。
一位管制员这样解释那天的从容：「结构和常规，结构和常规……如果要临时应变，我们也是在原来的底子上变。」
她本来想写一两篇文章。9/11 之后，她又回到那些设施，文章变成了一本历史民族志（用档案和长期观察写成的研究），最后成了 640 页的《Dead Reckoning》。
书名来自早期航海的「航位推算」（dead reckoning）：没有观测证据，靠对位置、时间、速度的推算，预测物体在哪。管制员的工作就是一种现代的 dead reckoning。他们要在心里预测飞机下一步在哪，隔壁设施的同事下一步会做什么，因为飞机要在他们之间交接。
飞机要穿过天空中看不见的边界，也要穿过管制员与管制员之间的系统边界。每个空域的规则都不一样，交接飞机是一场持续的协商。她坐在他们旁边，看一架飞机从一个人的空域交到下一个人的手里。她发现，管制员有一套共享的文化知识，让他们能在边界之间协调。她还看见另一种东西：当技术或组织创新带来新问题时，管制员在底部做「修复」。很多非正式的办法后来被正式化，成了新规则。
她并不认为空管完美。她看到的是：安全没有一劳永逸的设计，它靠人在日常里一遍遍修出来。
2017 年，她又回到那些设施。系统已经自动化，管制员搬进了新的合并设施。联邦航空管理局为了省钱，把小的和大的终端区管制中心合并，建了巨大的管制室。管制员跟她说：「这就像从鞋盒搬进飞机库。」房间变亮了，工作台变大了，人不再肘碰肘，也听不见彼此了。各个设施有自己的做法，合并后冲突很多。管制员重新组织工作，靠「重新设计」和「创造共同文化」来修复。
自动化并没有消除人的工作，反而制造了新的「修复」工作。
例外写进文件之后
2022 年 4 月 11 日，华盛顿海军船厂。美国海军「长尾鲨」号核潜艇（USS Thresher）失事 59 周年纪念会。1963 年，那艘潜艇在科德角以东海域沉没，129 人遇难。两个月后，海军建立了 SUBSAFE 项目，一套今天还在用的检查程序。
沃恩是那天的演讲嘉宾。她讲的还是那个问题：风险要当作一层一层的系统原因来看，要在问题变成灾难之前把它修好。
她研究了一辈子「例外」怎么被写进文件。
在 NASA，waiver 是一张把例外写下来的纸：签过字，存了档，规则走完了，这个例外可以放行。一次次放行，积累成一种文化信念：带着问题飞，是正常的。
在空管中心，管制员的很多临时办法，后来也被写进了规则。同样是例外被写进文件，这一次，系统记住的是「这里需要修」，下一次遇到，就有了准备。
区别不在纸。在写完之后，有没有人回来问一句：我们刚才放过去的，到底是什么。
很多年前，她一个人报名参观波士顿中心。那天没有别人来。她跟着讲解员走完一圈，然后开始问问题。