HERO CASEBOOK

本案例集把《Hero 宣言》（The Hero Manifesto）、《Hero Foundation》（基础理论）和《Hero Constitution》（宪章）用于分析现实事件。它使用 Hero 识别促使伤害形成、使干预失效，或阻止事故进一步恶化的治理与问责条件。

Hero 根因诊断不取代工程调查、法律判断或官方事故原因认定。官方结论仍是事实基线。在此基础上，Hero 对价值承诺、权限、能力、证据、后果、问责、挑战和组织记忆提出独立的因果判断。该判断必须能够追溯到已报告记录，并持续接受挑战。

每个案例先用一个简短的虚构情境提出问题。该情境仅用于说明，不具有规范效力。随后是有来源支持的现实案例、Hero 根因诊断，以及降低同类事故复发风险所需的条件。

Hero 使用以下诊断命题：

当一项价值承诺通过某些能力来追求，而这些能力所需的权限、证据、挑战路径、问责或学习义务缺失、不可用，或与可能后果不相称时，重大失败更容易发生。

这一命题可用于分析，也可以接受检验。它不能替代物理、技术、医学、法律或监管层面的因果认定。Hero 诊断提出五个问题：

1. 哪一项价值承诺和重大后果支配了这次决定？
2. 哪些能力参与行动，实际权限是否与已接受的范围相匹配？
3. 决策时点已经具备哪些证据、不确定性、异议和失败边界？
4. 问责在哪里保持清楚，又在哪里变得名义化、碎片化或被转移？
5. 在再次接受类似承诺前，判断、治理、能力或组织记忆必须发生什么改变？

1. 开场情境：用一个虚构、非规范性的场景帮助读者看清问题。
2. 背景：发生了什么，谁参与其中。
3. 官方结论：负责调查、审查或监管的机构正式认定了什么。
4. 已报告事实：引用材料在正式结论之外还能够支持什么。
5. Hero 根因诊断：Hero 从案例中识别出的治理与问责失效，或有效的保护条件。
6. 宪制边界：涉及哪项权利、义务、限制、挑战或补救（Remedy）。
7. 防止复发的条件：再次接受类似承诺前必须完成的最低改变。
8. 反例：案例不能证明什么，或较弱的解读会遗漏什么。
9. 学习问题：未来的判断或组织记忆（Organizational Memory）应改变什么。

一次常规部署意外启用了支付平台中的旧发布路径，系统开始重复转账。值班工程师能够看到异常流量，却必须取得高管批准才能暂停网关。问题在于，机构在让团队承担发布责任之前，是否建立了真实可用的干预路径。

背景

2012 年 8 月 1 日，Knight Capital Americas LLC 发生交易事故，扰乱了市场。美国证券交易委员会（Securities and Exchange Commission，SEC）在 2013 年 10 月 16 日的公告中表示，Knight 同意支付 1,200 万美元，以解决其违反市场准入规则的指控。S1

由于 SEC 页面可能限制自动化抓取，SEC 公告通过公开法律资料库转载件进行了核对。主要引用仍指向 SEC 页面；转载件列在研究来源登记中。S2

官方监管结论

SEC 调查认定，Knight 缺少足以限制市场准入风险的安全控制，因此未能阻止数百万笔错误订单进入市场。SEC 还认定，公司没有充分审查控制措施是否有效，代码部署和测试控制不足，也没有为重大技术和合规事故提供足够的书面处理程序。

已报告事实

• 事故涉及市场准入、软件部署、风险控制和监督程序。
• 引用材料同时描述了错误订单和周边控制体系的缺陷。
• 执法对象是公司，而不是软件内部某个虚构的自主问责中心。

Hero 根因诊断

根据 Hero，本案根因并不只是软件运行过快。Knight 让一个高速能力单元（Capability Unit）承担重大价值承诺，却没有提供有效的部署证据、经过验证的控制边界和可靠的干预结构。系统下单的速度超过了机构发现、治理和停止后果的能力。

问责仍属于公司及其人类决策结构。失败在于，部署发生时，这项问责没有得到相应权限和证据的支撑。

宪制边界

本案涉及获得充分权限（Authority），以及拥有可信的拒绝、干预或升级路径的权利。如果治理能力仍停留在名义上，或尚未经过实际验证，团队就不应被要求接受会带来重大后果的承诺。

防止复发的条件

• 必须识别每一条仍然可执行的部署路径，并完成审查、资格确认或移除。
• 发布前证据必须覆盖真实生产配置，不能只覆盖计划修改的代码。
• 实时限制和经过验证的停止机制必须快于故障传播速度。
• 具名的人类和机构问责中心必须有权暂停市场准入，无须等待事故变得无可争辩。

反例

本案不能证明每一次软件故障都是宪制违规。较窄的主张是：重大后果的自动化执行，必须有明确的人类和机构问责结构，并且在接受承诺之前已经证明相关控制可用。

学习问题

当能力单元的失败传播速度超过普通审查速度时，人类 Hero 接受责任之前必须具备哪些证据？

一台安全关键设备的各个组件分别通过测试，却没有审查者能够解释两个传感器发生冲突时的整体行为。认证工作分散在多个团队，最终批准者收到的是合规记录，而不是仍有争议的系统假设。

背景

在两起 Boeing 737 MAX 致命事故之后，美国联邦航空管理局（Federal Aviation Administration，FAA）于 2019 年 6 月 1 日成立 Boeing 737 MAX 飞行控制系统联合机构技术审查组（Joint Authorities Technical Review，JATR）。该跨国审查组检查飞行控制系统的认证工作，重点关注机动特性增强系统（Maneuvering Characteristics Augmentation System，MCAS）。JATR 于 2019 年 10 月 11 日提交报告，讨论认证、系统集成、人因、委托、沟通和认证后的活动。S3 S4

官方审查结论

JATR 并没有作出事故原因的 probable cause 裁定。其认证审查认定，当复杂系统以规则未充分覆盖的方式发生交互时，遵守所有适用法规和标准并不必然等于安全。报告建议加强故障安全设计，使假设可见并接受挑战，加强人因整合和沟通，并审查委托认证工作中受到的压力。

已报告事实

• 审查对象是复杂的集成飞行控制系统，而不是孤立的软件组件。
• 报告识别出系统集成、假设、人因、沟通和委托认证方面的问题。
• 报告建议现代化认证流程，并加强对安全本身的关注，而不只是形式合规。

Hero 根因诊断

根据 Hero，本案根因位于组合飞行控制系统层面的问责与证据失效。认证工作可以分散，但价值承诺不可分割：飞机必须在真实系统行为下安全运输。系统假设、飞行员响应、委托审查和交互性故障模式没有保持足够可见，因而不足以支撑这一承诺。

形式合规在一定程度上替代了对完整系统负责的判断。委托分配了工作和权限，却没有保留一个对组合系统安全承担清晰答责的中心。

宪制边界

本案涉及独立审查、证据可见性，以及不得把形式合规当作可问责判断的替代品。当委托流程制造压力或隐藏不确定性时，适当回应应是升级、审查、重新设计或暂停，而不是默默接受。

防止复发的条件

• 跨越委托认证边界的整体安全承诺必须有可识别的问责中心。
• 重大假设和人因主张必须保持可见、可追溯，并能接受反证。
• 当系统层面的行为仍未解决时，独立审查者必须能够暂停接受。
• 合规证据之外，还必须有组合系统在可信故障条件下运行的证据。

反例

JATR 报告并没有证明所有委托认证安排都不合法。它支持的是较窄的主张：只要实际后果层面的假设、证据、独立性和升级路径仍然可见且可用，委托才具有正当性。

学习问题

当一项能力由多个机构共同组成时，谁仍能解释系统的重大失效模式？当解释不完整时，谁拥有停止接受的权限？

工资系统报告严重差额，一名员工在交易日志得到审查前即被停职。申诉渠道可以接收材料，却不能暂停处分，也无法把问题送达有权限审查系统输出的人。

背景

英国邮局 Horizon IT 系统调查（Post Office Horizon IT Inquiry）是一项独立的公共法定调查，负责调查该系统的实施和失效。材料记录了 226 天听证、298 名提供口头证据的证人，以及约 274,604 份披露文件。调查范围包括系统开发与部署、技术错误、差额报告的处理、起诉、人身影响和补偿方案。S5 S6

调查关于补救的材料把补偿、申诉以及受影响家庭的后果视为持续公共回应的一部分。因此，本案仍然包含尚未完成的制度学习和补救问题。

官方调查结论

调查发布的速读版（Rapid Read）说明，由于 Horizon IT 系统存在故障，数百名邮政主管、经理和助理被错误指控盗窃和欺诈。材料把技术错误、差额报告处理、起诉做法、机构文化、政府监督、人身影响和补救是否充分列为调查范围。

已报告事实

• 争议涉及自动化会计系统和反复出现的短款指控。
• 调查审查了差额报告如何被处理，以及系统证据如何用于法律程序。
• 官方速读版将人身影响和补救列为调查工作的不同部分。

Hero 根因诊断

根据 Hero，本案根因在于，机构把系统输出直接转化为指控，没有保留输出、证据、判断和后果之间的区别。Horizon 成为默认解释，受影响者却没有同等有效的途径去挑战系统、暂停不利行动，或触达独立问责中心。

机构把自身的判断负担转移给了被其能力系统指控的人。正是这一倒置，使不确定的技术记录产生了严重的人身后果。

宪制边界

本案涉及理解价值承诺、挑战会带来重大后果的决定、拒绝无充分依据的接受、获得独立审查和获得补救的权利。它也说明，延迟纠正不能消除最初保存不确定性和保护受影响者的义务。

防止复发的条件

• 任何重大不利判断都不得只依赖自动化记录，必须同时具备来源、限制说明和独立核验。
• 挑战必须到达有权暂停后果的人，而不只是能够接收材料的渠道。
• 在起诉或采取同等不可逆行动前，机构必须保存系统日志、矛盾证据和不确定性。
• 申诉、记录纠正、赔偿和终止持续伤害，必须属于原有问责结构的一部分。

反例

本案不能证明自动化会计本身不正当。它说明的是：自动化不能在没有来源、挑战、独立审查和实际纠正路径的情况下，把不确定信号转化为最终指控。

学习问题

当自动化记录与个人陈述冲突时，机构在施加重大后果之前必须具备哪些证据、挑战路径和补救机制？

工程师在审查一项公共基础设施启用计划时，发现天气条件超出了既有运行经验。由于工程师无法证明故障必然发生，管理层把担忧视为日程异议。启用窗口关闭前，没有独立审查者能够介入。

背景

航天飞机“挑战者”号事故发生于 1986 年 1 月 28 日的 51-L 任务。美国总统航天飞机“挑战者”号事故委员会（Presidential Commission on the Space Shuttle Challenger Accident，通常称 Rogers Commission）调查了事故、发射前事件、技术原因、促成因素、组织压力和安全安排。美国国家航空航天局（National Aeronautics and Space Administration，NASA）技术报告系统记录了委员会的工作、结论与建议；完整委员会报告也可通过公开转载件取得。S7 S8

委员会材料描述了低温条件下的发射决策、工程人员此前对温度影响的关注，以及围绕发射计划形成的组织压力。

官方调查结论

委员会认定，Challenger 的损失由右侧固体火箭发动机下部两个节段连接处的密封失效造成。委员会同时认定，发射决定存在缺陷。决定者没有掌握此前的 O-ring 问题、承包商反对在华氏 53 度以下发射的初始书面建议、工程人员持续的反对意见，以及对发射台结冰的担忧。委员会还发现沟通失败、信息不完整或具有误导性、工程数据与管理判断冲突，以及使飞行安全问题绕过关键管理者的管理结构。

已报告事实

• 发射前曾讨论低温及其可能影响。
• 调查同时检查了物理故障和作出决定时的组织条件。
• 报告提出了关于航天飞机项目、安全、沟通和决策权限的建议。

Hero 根因诊断

根据 Hero，本案根因是一个把尚未解决的安全不确定性转化为日程判断的决策结构。工程异议确实存在，却无法通过受保护的路径到达能够停止发射的人和权限。机构因此在重大证据仍有争议且不完整时，接受了不可逆后果。

正式签署发射决定并不能弥补这一失效。问责要求重大异议仍有能力改变最终决定。

宪制边界

本案涉及理解重大不确定性、挑战价值承诺、使用独立升级路径，以及在权限或证据不足时拒绝接受的权利。比例原则不能把不可逆后果降格为普通的日程安排问题。

防止复发的条件

• 必须以最完整、最有力的形式记录重大安全异议，并把它送达独立决策路径。
• 面对不可逆风险，无法完整证明故障会发生，不能被当作安全已经得到证明。
• 日程压力和管理激励必须作为决策证据的一部分被披露。
• 在问责中心能够说明争议条件为何处于已接受边界之前，发射或同类接受决定必须暂停。

反例

本案不能说明每一次分歧都必须取消发射。它说明，关于重大安全条件的分歧，必须在后果不可逆之前保持可见、可审查，并有可能改变决定。

学习问题

最了解安全风险的人，能否在不必与机构日程进行单方面对抗的情况下暂停或升级这项承诺？

一名操作员同时监督多辆自主仓储车辆。告警到达较晚，停止控制分散在多个画面中，这个人却仍被称为安全兜底者。职位名称分配了责任，但运行设计未必提供了真实可用的干预能力。

背景

2018 年 3 月 18 日，Uber 先进技术集团（Uber Advanced Technologies Group）在亚利桑那州 Tempe 使用一辆改装 Volvo 车辆测试开发中的自动驾驶系统。系统处于启用状态，车辆撞击了一名在人行横道外过街的行人，造成其死亡。报告记录，操作员在事故前已驾驶车辆约 19 分钟。美国国家运输安全委员会（National Transportation Safety Board，NTSB）调查了事故。S9 S10

报告把自动驾驶系统、操作员、测试项目和周边安全管理视为一个运行系统，而不是把事故简化为最后一秒的人类动作。

官方调查结论

NTSB 认定，事故的可能原因（probable cause）是操作员因为持续看手机而没有监控驾驶环境和自动驾驶系统。NTSB 还把 Uber 先进技术集团的风险评估程序不足、操作员监督无效，以及缺少应对自动化自满的机制列为促成因素，并认为这些问题源于不充分的安全文化。行人的行为和州政府对自动驾驶测试监督不足，也被列为促成因素。

已报告事实

• 自动驾驶系统仍处于开发阶段，并在公共道路上运行。
• NTSB 同时审查了系统行为、操作员监控、安全文化和风险管理。
• 调查向公共机构、安全组织和 Uber 先进技术集团提出了建议。

Hero 根因诊断

根据 Hero，本案根因是把安全问责交给一名操作员，却没有证明这名操作员在真实测试条件下拥有可用的干预能力。“安全操作员”只是对责任的描述，并不能证明其具备足够的注意力、信息、反应时间、控制手段、训练和权限。

机构把名义上的“人在回路中”当作系统级风险治理的替代品。结果是，注意力集中在最后一刻的人类动作上，而运行设计和安全文化仍未得到充分治理。

宪制边界

本案涉及充分权限、已知失败边界、有意义的干预和独立审查的权利。它也检验了这样一种安排是否合乎比例：让一个人对速度和不确定性超过其实际响应能力的系统承担责任。

防止复发的条件

• 测试项目必须证明，人类能够在现有时间内发现、理解并中断相关故障。
• 操作员工作负荷、告警设计、停止控制、训练和监督必须作为能力组合的一部分完成资格确认。
• 在公共道路上测试开发中的自动化系统，需要独立于操作员最后一刻反应的风险问责决定。
• 如果无法证明现实可行的干预能力，就必须先改变运行边界，再继续测试。

反例

NTSB 报告没有证明人类永远不能监督自动驾驶车辆。它支持的是较窄的主张：当运行设计没有给人类现实的发现和纠正机会时，“人在回路中”这一标签并不足够。

学习问题

在让人类监督能力单元之前，什么证据能证明这个人确实可以在现有时间、信息和权限内完成干预？

医院部分供电中断，指定的设施负责人无法联系。距离现场最近的合格工程师切断非必要负载，把重症设备转接到容量有限的备用电源。行动保护了生命，却不授权永久改造医院系统，也不会赋予工程师对医院运营的一般权限。

背景

Apollo 13 于 1970 年 4 月 11 日发射，原定执行登月任务。飞行约 56 小时时，服务舱的一个低温氧气罐在压力异常升高后突然失压。氧气和主电源的损失迫使任务立即中止。机组启动登月舱，由登月舱在返航期间提供电力和生命保障。S11 S12

任务报告说明，紧急配置下的消耗品余量极为有限。机组与地面团队利用登月舱的推进和保障系统恢复自由返回轨道、缩短返航时间，并把指令舱保留到再入阶段使用。

官方任务报告结论

NASA 的任务报告记载，任务因服务舱低温氧气损失及氧气罐相关火灾而中止。报告指出，登月舱维持了安全返航所需的最低运行条件，并持续提供电力和生命保障，直到机组在再入前不久返回指令舱。

已报告事实

• 重大伤害风险正在发生：飞行器不断失去氧气和主电源。
• 原定任务目标被放弃，行动转向机组生存和安全返航。
• 紧急配置以有限的消耗品和系统承担比原定登月任务更窄的目的。
• 任务报告保存了异常、决定、系统使用、剩余约束和返航过程，供后续审查。

Hero 根因诊断

Apollo 13 展示了 Hero 命题中保护性的一面。技术故障造成即时威胁，却没有演变成问责失效。原有登月价值承诺被明确放弃，保护机组并安全返航成为新的、更窄的承诺，现有能力也围绕这一目标重新组合。

紧急应对之所以有效，是因为判断、权限、证据和后果仍然相互连接。临时行动始终限于保护目的，稀缺资源按照新承诺受到治理，决策记录也重新进入机构审查。

宪制边界

本案直接涉及宪章第四条。可信的重大伤害正在发生，延误会加重风险，保护目的清楚，行动也限于生存与返航所需。它还说明，行动者必须保存判断、不确定性、所采取的措施和剩余风险，以供审查。

防止复发的条件

• 当通常权限无法及时到达时，紧急规则必须允许距离现场最近且具备能力的人采取最低限度的保护行动。
• 条件允许时，必须记录保护目的、不确定性、所采取的行动和剩余风险。
• 当即时保护不再需要时，紧急权限必须终止。
• 机构必须复核事件、补回紧急期间延后的保护，并把证据纳入未来能力和计划。

反例

Apollo 13 不能证明任何紧急问题都允许绕过正常治理。宪制上的正当性取决于风险是否紧迫、保护目的是否更窄、是否没有及时且限制更少的替代方案，以及危险过去后能否尽快恢复可答责的审查。

学习问题

当通常权限无法及时到达时，距离现场最近且具备相应能力的人能否识别最低限度的保护行动、保存决定记录，并在危险过去后把承诺交回正当审查？

一项化工流程的启动在换班时中断。离岗操作员只记录“启动进行中”，没有说明哪些阀门已关闭、哪些报警失效、哪些步骤已经完成。接班者取得了控制台的运行保管，却没有得到足以作出新接受判断的情境信息（Context）。

背景

2005 年 3 月 23 日，BP Texas City 炼油厂发生爆炸和火灾，造成 15 人死亡、180 人受伤。事故发生在异构化装置（ISOM）的抽余油分馏塔（raffinate splitter）启动期间。美国化学安全与危害调查委员会（U.S. Chemical Safety and Hazard Investigation Board，CSB）调查了事故，并于 2007 年发布最终报告。S13 S14

启动工作由夜班开始，中途停止，随后由下一班继续。既有程序只覆盖连续启动，没有覆盖这种中断后续作的情况。

官方调查结论

CSB 认定，主管和操作员在换班时没有有效传递关键启动信息，BP 也没有针对运行人员的换班沟通要求。报告还指出监督薄弱、培训不足、程序过时、设备与报警故障、疲劳，以及过程安全管理和安全文化中的严重缺陷。

已报告事实

• 夜班主操作员在向抽余油区段（raffinate section）设备注料时，没有使用启动程序，也没有记录已经完成的步骤。
• 下一班因此没有可靠的启动状态记录。
• 日班控制台操作员只得到很少的信息，并误解了此前已经注料的设备范围。
• 有 ISOM 经验的日班主管迟到一个多小时，也没有与夜班人员进行交接。
• 装置的运行保管发生了变化，但重要情境、已知限制和未解决状态没有有效转移。

Hero 根因诊断

根据 Hero，本案根因是在危险且中断的启动过程中，问责转移失败。下一班取得了控制台的运行保管，但当前流程状态、已完成步骤、已知控制故障和未解决风险没有随之转移。接班操作员因此无法作出有效的接受判断。

这一失效既涉及个人，也涉及结构。BP 控制人员配置、程序、报警设计、监督、培训、疲劳暴露和交接制度。这些机构条件始终位于因果链之中。

宪制边界

本案直接涉及宪章第五条对有效转移和失败转移的要求，也支持第七条规定的机构剩余问责（institutional residual Accountability）。如果交接遗漏了重要状态、已知限制、未解决挑战和过渡风险，那么下一班已经到岗这一事实，不能自行建立新的问责中心。

防止复发的条件

• 危险操作在中断后，不能只通过班次变化或控制台保管完成转移。
• 交接必须说明当前流程状态、已完成和未完成步骤、失效报警或控制、未解决指令以及即时风险。
• 接任 Hero 必须在审查这些情境后，明确接受、暂停或升级操作。
• 机构必须为启动和交接提供充分的人员、监督、程序和疲劳控制。

反例

本案不意味着每次交接都需要完整信息或冗长仪式。转移可以在不确定性下有效发生，但重要不确定性、未完成步骤、失效控制和即时风险必须保持可见，接收的 Hero 也必须有真实机会作出判断。

学习问题

在班次、角色、供应商或领导层边界发生变化时，至少有哪些证据和情境必须完成交接，机构才能声称问责已经转移？

来源链接均列在相关事实出现的位置。工作研究登记记录了来源状态、获取说明，以及一手记录与公开转载件的区别。