Skip to main content
类别: 思维
类型: 实践习惯
来源: Matthew Syed，《Black Box Thinking》，John Murray，2015；可传递的记录更早，见于 NTSB-AAR-75-16（1975）与 NASA 的航空安全报告系统（1976）
别名: 打开失败记录
快速回答 — 黑箱思维（Black Box Thinking）是一种习惯：把失败留成还能找回的记录，在指责把记录封上之前先读它，并改下一套做法，让后来的人用得上记录里的事实。Matthew Syed 在 2015 年由 John Murray 出版的 Black Box Thinking 里给这个习惯起了这个名字。要点不是“勇于认错”的心情，而是一份别人还能读到的记录。

​
什么是黑箱思维？

黑箱思维是一种习惯：找回失败的记录，在指责把它封上之前先读，然后改下一套做法。
事后看来，委员会认为最不幸的是，这类事件在发生当时，并未经过不受阻碍的报告以及随后的调查；而那样的过程，有可能使航空公司发给自己机组的安全提示得到广泛、及时的传播。
美国国家运输安全委员会（NTSB）把这句话写进环球航空 514 航班的事故报告。报告于 1975 年 11 月 26 日通过，编号 NTSB-AAR-75-16。一次险些出事的经历留在一家航空公司内部。下一组机组没有收到那份提示。黑箱思维就是把这个缺口变成习惯，而且不限于驾驶舱。 日常的画面是一口差点烧起来的锅。写在炉灶上的条子，能改变下一个做饭的人。走廊里的一番话做不到，如果下一个人根本没听见。记录必须能传出去。 反思性实践 在事情还没做完时检查自己的行动，做完后再看一次。黑箱思维问的是，记录能不能离开这间屋子。事前验尸思维 是设想计划已经失败。这个习惯从已经发生的失败或险情开始。成长型思维 是相信能力可以成长。你可以持有这个信念，仍把记录锁在一个团队的抽屉里。逆向思维 在事情发生前问：这个计划会怎样失败。这个习惯读的是已经发生的事。 W. Ross Ashby 1956 年的 An Introduction to Cybernetics（Chapman & Hall）用 black box 指一个不打开内部机制、只从输入和输出去看的系统。那是同一组词的另一种用法。黑箱思维打开的是记录。2017 年简体中文版书名是《黑匣子思维》。2025 年繁体中文版书名是《黑盒子思维》。两个书名指的都是这一习惯，不是 Ashby 那种不打开的黑箱。

​
黑箱思维的三层理解

  • 入门: 线索是一次失败或一次险情。故事定型之前，写下时间、条件和随后发生了什么。只有一个人的名字，没有这些事实，就还不是记录。
  • 实践: 把记录送给下一个可能遇上同样条件的人，包括团队以外的人。改一个条件，写上负责人和日期。一张永远不出团队的条子，就是 1975 年那份报告写过的缺口。
  • 进阶: 报告上来的失败变多，先问是不是侦测变了。报告变多，可以是人们现在肯说，也可以是事情更糟，也可以两者都有。这个数字本身不回答是哪一种。打开记录不是赦免。把记录藏起来，本身是另一次失败。

​
起源

作为这个习惯的公开名字，黑箱思维来自 Matthew Syed 2015 年的书。他指向的做法更早：找回失败留下的记录，并让记录跨过“已经知道的那个团队”的边界。 John Murray 在 2015 年出版 Black Box Thinking: The Surprising Truth About Success。这一版的 ISBN 是 9781473613775。书把这个习惯讲给不在驾驶舱里工作的读者。它不是一次试验。本页不把书中的轶事当成测得的结果。 工程里的黑箱是对照。Ashby 1956 年的书研究的是你不打开的机制。航空记录器做的是另一件事。NTSB 对 514 航班的调查包含飞行数据记录器和驾驶舱语音记录器，叙述里引用了语音记录。读记录器是这个习惯的机器一半。它本身并不把教训带给下一家营运者。 传递的那一半有自己的日期。1975 年报告的一条脚注记下美国联邦航空管理局（FAA）一份通告，题为 “Aviation Safety Reporting Program”，日期是 1975 年 5 月 9 日。NASA 的 CALLBACK 第 317 期（2006 年 3/4 月）写下随后那套系统的时间。1975 年 8 月的一份谅解备忘录规定：FAA 出钱，并提供免责规则；NASA 制定政策并负责运行。航空安全报告系统于 1976 年 4 月 15 日开始日常运作。公报把这套设计称为自愿、保密、非惩罚，并说明 FAA 的执法角色会让人不愿报告。这些是设计选择。它们不是“避免了多少空难”的计数。

​
核心要点

黑箱思维用在失败或险情已经留下事实、而当时不在场的人以后可能遇上同样条件的时候。条子出不了团队，或者“学习”这个词代替了记录，它就停住。
1

在故事定型前写下记录

趁事实还在，写下时间、条件和随后发生了什么。厨房里的一次险情需要炉头、锅和那一分钟，不只是对做饭的人下判语。1975 年的报告之所以能重建下降过程，是因为记录器和无线电留了痕迹。只有诚实的心情，没有痕迹，就还不是这一步。
2

把它送到已经知道的团队之外

514 航班这份记录里的那家航空公司，确实给自己的机组发了提示。下一家航空公司没有收到。指出团队以外、可能遇上同样条件的人，并把记录送出去。如果写上姓名会挡住下一次报告，就不附姓名。教训停在团队边界上，这个习惯还没有做完。
3

改一个条件，并保留责任

挑出记录让人看见的一个条件，写上负责人，定一个日期。系统思维 问的是各部分如何相互作用。这一步改的是其中一个部分，例如一张图、一句放行，或一次交接。记录也可以显示一个人的决定。打开它，并不抹掉那个决定。把它藏起来，是第二次失败。
4

把更高的计数先当成问题

报告上来的失败变多时，先问侦测有没有变，再判断事情是不是更糟。保密的系统本来就是为了让更多报告能够到来。同一次上升，也可以表示危险更严重。黑箱思维让你在读完记录之前，不把这个数字当成任一方向的判决。

​
应用场景

一次失败或险情之后，如果当时不在场的人以后可能再遇上，就用黑箱思维。写下记录，指出还有谁需要它，并改一个条件。

把错过的那一步留给下一轮

一道题做错，或一份稿被退回之后，写下出错的那一步，以及你漏掉的条件。下一轮学习时把这张条子带上，让另一个学习者能读到。一句“下次更努力”不会把那一步交给下一个人。

让事件离开你自己的团队

工作中出了事件，在这一周结束前写下记录显示了什么。把它送给使用同一交接、同一工具或同一时段的下一个团队。改一个条件，写上负责人。只在一个团队里讲一遍，重复的就是 1975 年报告里那份没有传出去的提示。

把险情留在下一个人站的地方

锅、锁、药或车道差点出事时，把条件写在下一个人会看见的地方。写明下一次要改什么，略过对人的判语。只讲给当时在场的人听，保护不了同一间厨房里的下一班。

把危险分享给另一组志愿者

一次社区轮值、门诊时段或本地活动之后，如果写上姓名会让下一个人不敢报告，就不写姓名，只写危险。把它送给做同一件事的邻近小组。一次私下复盘可以教会这一班人，仍让下一班人暴露在外面。

​
经典案例

1974 年 12 月 1 日上午 11 时 10 分（美国东部标准时间），环球航空 514 航班在 Dulles 国际机场西北约 25 海里处坠毁，地点靠近弗吉尼亚州 Berryville。飞机是波音 727-231，注册号 N54328。它正在仪表条件下，为 12 号跑道的 VOR/DME 进近下降。NTSB 于 1975 年 11 月 26 日通过的报告写道：机上 92 人遇难，其中乘客 85 人、机组成员 7 人，飞机损毁。 多数意见的可能原因，是机组决定下降到 1,800 英尺，而飞机尚未到达适用这一最低高度的进近航段。报告列出促成因素。FAA 对进近用语的混淆已经知道数年，却没有及时解决。进近许可是在飞机距离机场 44 英里、位于一条未公布航路、又没有清楚最低高度的时候发出的。进近图的剖面没有把高度限制画清楚。委员 Francis H. McAdams 与 William R. Haley 持异议。他们会把原因写成：管制员没有发出高度限制，以及飞行员没有保持图上的最低扇区高度，或没有请求澄清。这份报告不是一个声音。两种读法都在记录里留下一个决定。两种读法都没有说“没有人需要负责”。 大约 六周以前，一次相关的险情已经被写下来。1974 年 1 月，美国一家航空公司启动了飞行安全意识项目。报告可以不写姓名。公司表示，不会因项目收集到的信息惩罚当事人，也不会把可识别身份的细节交给外部机构。1974 年 10 月，这个项目收到一份飞向 Dulles 的机组报告。飞过 Front Royal 之后，他们获准做 12 号跑道的 VOR 进近。机长下降到 1,800 英尺，距 VOR 约 25 海里，还没到 Round Hill，然后着陆。他后来说，当时以为进近许可允许立刻下降到最后进近定位点的高度。公司做了调查，与 Dulles 塔台谈过，又和本公司几名飞行员一起看了图，那些飞行员读对了。公司判定，不必向 FAA 提出建议，也不必改自己的程序。它确实给自己的机组发了一份提示。提示说，“cleared for approach”通常把机组交给他们自己，而且在看过其他最低高度之前，不要开始下降。 报告附录把那架险些撞上同一座山的飞机写为联合航空（United Air Lines）的飞机。NASA 的 CALLBACK 第 317 期也点名 United，写的是同一个六周间隔，并说警示只发给了那家公司的飞行员。当时没有办法把它分享给环球航空。上文引用的那句话说，更广的调查有可能把这家公司自己的提示传开。用词是“有可能”。它没有说那份提示本来会阻止这场空难。 更大的报告缺口当时已经在记录里。除了导航设施或地面设施异常必须报告之外，FAA 当时没有正式系统，供飞行员或管制员报告航站仪表飞行中的不安全状况。证人说，人们因为怕受罚而不报告，并要求给报告人免责。到最终报告通过时，FAA 已经建立一套事件报告系统，用意是在事故发生前抓住不安全状况。报告还记下其他行动，包括要求航空公司飞机在 1975 年 12 月前配备近地警告系统。这些是报告记下的行动。它们不是后来挽救了多少生命的测量。 NASA 的公报把航空安全报告系统的日常运作定在 1976 年 4 月 15 日，在 1975 年 8 月的协议之后。到这套系统的第 30 年，同一份公报计数：向决策者发出的安全警报超过 4,000 份，为航空界完成的数据库检索请求 7,100 次，CALLBACK 出到第 317 期，寄往超过 70,000 个地址。同一份清单还计数：专题研究的出版超过 70 项，这一行里包括超过 124 项快速回应工作。接收量表显示，2006 年 2 月和 3 月共有 6,634 份报告。一位私人飞行员在公报刊登的来信里说，可惜没有人能测量 CALLBACK 负责了多少次“救回来”。这些数字数的是报告和产品。它们不数避免了的空难，也不测量一个人用一个下午读笔记的效果。

​
边界与失效场景

没有记录可打开时，把这个习惯当成赦免时，以及把报告计数当成它无法充当的结果时，黑箱思维都会失效。 第一道边界是痕迹不在。514 航班的叙述能够说出机组当时怎样理解 1,800 英尺，是因为一份报告、一台记录器和一场听证会留下了痕迹。如果没有人写下条件，也没有人愿意说，就没有东西可送。一番关于“开放”的讲话，重建不了一次下降。反思性实践仍可以检查你自己的下一步。它补不上一份从未留下的记录。 第二道边界是责任。多数意见把机组的决定写成可能原因。异议把管制员和飞行员写成另一种划分。那家公司自己的项目当时已经是非惩罚的，信息仍然停在它自己的机组那里。在一个团队内部取消惩罚，并不等于把记录送出去。记录显示一个决定、一次隐瞒，或一个还在继续的伤害时，这也不是略过后果的理由。一份还能找回的记录，不是赦免。 常见的误用，是把这些数字当成它们不是的证明。不要把 10 月那份提示写成本来会救下这 92 人。委员会说的是，共享的调查有可能把提示传开。不要把 2006 年的计数，或后来商业飞行的安全，写成这个习惯、一次工作坊或一张家庭条子的测得效果。这个设计是一次事故调查，加上随后建立的报告系统。采用这个习惯的公司、家庭和课堂，并不能从这段历史继承一个“挽救了多少生命”的数字。

​
常见误区

有三种混淆跟着这个名字走。人们会把它当成一个不打开的机器，当成邻近的一种心态，或当成关于挽救生命的证明。
Ashby 在 1956 年的用法，以及后来机器学习里的一种用法，是让内部机制保持关闭，只看输入和输出。黑箱思维打开的是失败记录，并把它交给下一个人。飞行记录器的外号，和不打开的系统的外号，用了相近的词。它们不是这个习惯。研究一个你无法查看内部的模型，是另一项任务。
成长型思维是相信能力可以发展。反思性实践在你还能改变的时候检查自己的行动，结束后再看一次。事前验尸思维在失败发生前先想象它。逆向思维问的是，怎样才会产生你想避开的失败。这些你都可以做，记录仍可以留在一个抽屉里。只有当当时不在场的人用得上记录，并且一个条件因此改变，这个习惯才算做完。
委员会的用词是“有可能”，说的是把该公司的提示传开，不是一次数得出来的挽救。两位委员对可能原因持异议。2006 年的公报数的是报告、警报和研究产品，并刊登了一位飞行员的话：挽救的次数无法测量。报告变多，本身既不能证明系统更安全，也不能证明系统更糟。

​
相关概念

邻近的页面分别讲你自己的下一步、一次想象中的失败、关于能力的信念、部分如何相互作用，以及事发之前倒过来问的那个问题。

反思性实践

在事情还没做完时检查自己的行动，做完后再看一次。黑箱思维问的是，记录能不能到达当时不在屋里的人。

事前验尸思维

设想计划已经失败，再问为什么。黑箱思维从已经发生的失败或险情开始。

成长型思维

相信能力可以经由努力发展。你可以持有这个信念，仍把记录藏起来。记录才是本页的习惯。

系统思维

看各部分如何随时间相互作用。黑箱思维用一份失败记录去改其中一个条件，并写上负责人和日期。

逆向思维

在事情发生前问计划会怎样失败、该避开什么。这个习惯读的是已经发生的事，并问还有谁需要这份记录。

​
一句话总结

事情失败时，写下别人还能读到的记录，并在下一次之前改一个条件。