纠错悖论：代价越惨重，越没人敢说真话
先看一句话。它出自 Google 的《SRE Workbook》第十章，被当作复盘文化正在崩坏的典型样本收录：
"I know we are supposed to be blameless, but this is a safe space. Someone must have known beforehand this was a bad idea, so why didn't you listen to that person?"
译文：我知道我们应该对事不对人，但这里是安全空间。肯定有人事先就知道这是个坏主意，那你们为什么不听他的？
说这话的是一位副总裁，场合是一次线上事故的复盘会。这句话之所以被写进教科书当反面教材，是因为它把话说得很客气，前半句还主动重申了原则，但后半句已经在找人了——而且是在暗示"有人本来可以阻止，却被无视了"。会议室里所有人都听得懂：这次要有人负责。
我想从这句话出发讲一个被回避的问题：无责复盘（blameless postmortem）在小事故上人人都会用，因为那时候它几乎是免费的；一旦损失足够大、责任链条足够清楚，它就会立刻失灵。 我们把它当成一项文化，但它更像一份只在低代价区间生效的合约。
那么高代价区间怎么办？我想找一个足够极端的样本来回答——极端到损失大得没法用"系统问题"糊弄过去，责任明确到指着名字就能说出是谁。
1935 年 1 月的遵义会议正是这样一个样本。而它的处理方式，和几乎所有人的直觉相反。
一、一个损失到极限、责任到个人的样本
先把账本摊开。
红军长征出发时八万六千余人，湘江之战后锐减至三万余人。这不是"用户延迟略有上升"，是几万条命。责任链条也不模糊：1934 年 6 月成立的最高三人团——博古主管政治决策、共产国际军事顾问李德主导军事指挥、周恩来负责督促执行——是这一时期的最高领导核心，第五次反"围剿"的失败与长征初期的被动挨打，账都记在这套指挥体系上。
按任何组织的常规反应，这种量级的失败后面跟着的都是清算。何况开会的时机糟糕到极点：几十万敌军仍在合围，与共产国际的无线电联络几近中断，队伍刚从血战里爬出来。这种时候动最高领导层，稍有不慎就是分裂。
但遵义会议的处理结果是这样的：取消三人团，博古交出负总责，却仍保留中央政治局常委、中央军委委员，后来做红军总政治部代主任；李德剥夺军事指挥权，随军走完长征全程，到延安后在抗大教书，1939 年由共产国际召回，全程不做人身清算；会上当众挖苦毛泽东"你懂得多少马列主义，无非是看了点《孙子兵法》罢了"的凯丰，一度被撤销红九军团中央代表职务，态度转变后即恢复原职，后来做到中宣部代部长。
这套方针后来被概括成一句话：打倒两个主义，把人留下来。
这个样本的特殊性值得强调。多数讲"对事不对人"的案例其实是简单模式——规则升级了、旧标准失效了，但没有人真的做错什么，此时不针对个人几乎不需要付出代价。
遵义会议是困难模式。错误是真实的，代价是几万条命，责任人有名有姓，而且就坐在会场里。在这种条件下还能只否定判断、不清除人，才是真正需要解释的事。
它靠的不是宽宏大量。往下拆，能看到两条相当冷静的判据。
二、判据一：归因落到机制，不落到条件
第一件事发生在归因环节，而这一步决定了后面所有处理的正当性。
会上博古为第五次反"围剿"的失败作了客观辩护，核心论证是敌强我弱——国民党军队的兵力和装备摆在那里，失败是形势使然。这个说法有个特点：它听起来极其客观，也确实部分为真，但它同时终止了一切追问。如果失败源于双方实力对比，那么没有任何人做错，也没有任何事需要改进。
毛泽东的反驳没有绕圈子。他用的是前四次反"围剿"的事实：同样是敌强我弱，同样是那支红军，运动战、诱敌深入，四次都赢了。如果同样的敌我对比曾经能赢四次，那么第五次输掉的原因就不可能是敌我对比。
这个思路在现代安全科学里有个对应的正式工具，叫替代测试（substitution test）。英国国家医疗服务体系（NHS）用它来判断一起医疗事故该不该追究个人责任，问法是：换另一个从业者，放在同样的情境、同样的系统环境下，他会不会犯同样的错？如果答案是会，那问题就在系统，不在这个人。
遵义会议做的是它的时间版本：不换人，换时间。同样的系统环境（敌强我弱、根据地条件、部队素质）在前四次得到了完全不同的结果，那么被替换掉的那个变量——军事指挥路线——才是真正的原因。
这一步为什么关键？因为归因的落点直接决定了组织还剩下几种选择：
| 归因落点 | 典型说法 | 后果 |
|---|---|---|
| 落到运气或条件 | "敌人太强""形势不好""大环境如此" | 无人可问责，也无事可改进，思考到此为止 |
| 落到个人品质 | "某某能力不行""责任心不强" | 可以问责，但改不了任何东西，换个人还会重演 |
| 落到机制与路线 | "进攻冒险、防御保守、转移逃跑" | 既能改进，又能定责，且责任指向可修正的判断 |
Google 那本手册在讲行动项时引过 Dan Milstein 一句很妙的话："Let's plan for a future where we're all as stupid as we are today."（我们就按"未来我们还是像今天一样蠢"来做规划吧。）意思是把赌注押在改变人的行为上，远不如押在改变系统和流程上可靠。这和遵义会议把失败归到军事路线而非个人品质，是同一个方法论。
洞见一：归因质量决定纠错的正当性。 归到条件上，纠错失去了必要性；归到人品上，纠错变成了清洗。只有归到机制上，"改正错误"和"保全犯错的人"才第一次变得可以兼容——因为被否定的是一套可以更换的判断，不是一个人的品格。
三、判据二：去留看可纠正性，不看错误大小
第二条判据藏在三个人的不同结局里，而这三个结局的排序，恰恰不符合直觉。
先看事实。把"在错误中的角色"和"最终去留"并排放，会发现两者对不上：
| 当事人 | 在错误中的角色 | 面对批评的反应 | 最终处置 |
|---|---|---|---|
| 周恩来 | 三人团成员、军委负责人，责任不轻 | 主动作副报告承认失误，完全同意洛甫及毛、王的意见 | 留在核心，会后仍是最高军事首长之一 |
| 博古 | 中央负总责，责任最重的党内干部 | 先为第五次反"围剿"辩护，但听得下批评，最终服从决定 | 削权不打倒；1941 年整风深刻检讨，七大当选中央委员 |
| 凯丰 | 未直接指挥，但会上激烈反对纠错 | 当众挖苦，会后仍说"谁正确谁错误，走着瞧" | 一度撤职，态度转变后即恢复原职，后委以宣传重任 |
| 李德 | 实际主导军事指挥，责任最重 | "完全坚决地不同意对于他的批评" | 剥夺指挥权，不再起用于指挥，1939 年被召回 |
周恩来是三人团成员，军委负责人，按责任排他绝不轻，可他留在了核心。李德受到的处置最重，但如果只看"谁造成的损失大"，博古与他难分伯仲，处置却完全不同。
真正把这四个人区分开的，不是他们在错误中的份额，而是被指出错误之后的反应。周恩来主动认领，博古辩护过但接受了，凯丰嘴上不服却在会理会议后真的转了，李德从头到尾没认——他到 1973 年写《中国纪事》，仍在系统地为自己辩解。
于是分界线清晰了：可留与不可留的判据，是可纠正性，不是错误大小。
这一条其实有现成的理论呼应。航空与医疗安全领域有个叫公正文化（Just Culture）的框架，由 David Marx 提出，把导致事故的行为分成三类，分别对应三种处理：
| 行为类别 | 定义 | 应对方式 |
|---|---|---|
| 人为失误（human error） | 无意的行为，做了不该做的，属于失手、疏漏 | 安慰与支持（console），并改造系统使其不易出错 |
| 冒险行为（at-risk behavior） | 有意的选择，但风险未被识别，或被误认为可接受 | 辅导（coach），让当事人重新看见风险 |
| 鲁莽行为（reckless behavior） | 明知存在重大且不合理的风险，仍有意识地漠视 | 惩戒（punish），可包括解雇 |
这个框架里有一条原则，几乎是为遵义会议量身定做的：任何惩戒都应当依据行为的性质，而不是造成损害的严重程度。 在公正文化被提出之前，行业的普遍做法恰恰相反——出了坏结果就得有人负责，没出事就一切好说。这种倾向有个名字，叫后果偏见（severity bias）。
遵义会议在损失极端惨重的条件下没有按后果定人，这在 1935 年是相当罕见的组织理性。
但我更想指出的是，公正文化这套三分法分不了遵义会议真正分的那一维。
Marx 的框架处理的是犯错当时的行为性质：你是失手，还是明知有风险还上。它回答"这一次该怎么处理"。而遵义会议区分的是被指出之后的反应：你认不认，改不改。它回答的是另一个问题——"这个人还能不能继续用"。
这是两条不同的轴，而且缺一不可。只看第一条，你能公正地处理这一次事故，却无法判断这个人是否值得留；只看第二条，你会变成只看态度不看事实的表演型组织。把两条轴交叉起来，才构成完整的判据：
洞见二：一次错误的处理和一个人的去留，是两个独立的决定，需要两套依据。 把它们混成一个，就会得到组织里最常见的两种病症——要么因为损失大就把人清掉（后果偏见），要么因为态度好就把事情放过（表演型宽容）。
四、纠错为什么还是会撕裂组织
判据对了，事情仍然可能坏掉。遵义会议之后还有一段更难的路，那里暴露出三个真正的泄漏点。
泄漏点一：纠错范围越界
遵义会议有一个容易被忽略的细节：它没有顺手解决所有问题。
会议解决的是军事指挥路线，此外几乎什么都没动。毛泽东被增选为常委进入核心，但党的负总责稍后交给了张闻天，而且是毛泽东本人推举的；军事上仍明确朱德、周恩来为最高军事首长，周恩来是"党内委托的对于指挥军事上下最后决心的负责者"；真正全权指挥的新三人团（周恩来、毛泽东、王稼祥）要到三月苟坝会议才成立。
这个安排里有清醒的计算：共识只到军事纠错为止，就不越界去解决其他问题。一旦纠错的范围超出了共识的范围，纠错就变成了权力斗争——而这正是绝大多数组织里"复盘会开着开着变了味"的机制。技术团队里对应的场景很具体：一次事故复盘，本该只讨论这次故障的成因和改进项，却顺势翻出了架构选型的旧账、团队协作的积怨、某人半年前的另一个决定。范围一旦扩大，被复盘的人只能转入防御，而防御一开始，真相就没了。
泄漏点二：把牢骚当成分裂
四渡赤水期间，队伍怨气很重。昼夜行军、连日阴雨、路线来回折返，"不走弓弦走弓背"的抱怨从基层一直传到军团长。这时候最容易犯的错，是把所有不满当成一类东西处理。
实际上它们的性质差得很远：
| 层级 | 意见内容 | 性质 |
|---|---|---|
| 基层部队（三军团为甚） | "怪话很多"，战士说"不要走了，打仗吧" | 疲劳引发的情绪，面广但不指向决策 |
| 黄克诚 | 土城一仗"打得不合算"，直接写信给中央 | 针对具体战役的专业意见 |
| 聂荣臻 | 联署过减少绕路的电报，但拒签换帅信："落在敌人口袋里，不声东击西如何出得来？" | 提意见但明确不同意换人 |
| 彭德怀 | 主张打一两个胜仗转入主动，拒绝林彪要他出来指挥 | 有不同判断，未主张换人 |
| 林彪 | 5 月 11 日电话要彭德怀出来指挥，并写信建议毛、周、朱不直接指挥 | 唯一正式提出换指挥的人 |
这张表最值得看的是聂荣臻那一行。他既提了意见，又拒绝在换帅信上签名——这两件事在他那里毫不矛盾。经济学家赫希曼在《退出、呼吁与忠诚》里区分过成员不满时的两种选择：呼吁（voice，留在组织内部表达异议以求改变）和退出（exit，直接离开或另立门户）。聂荣臻做的是前者，而组织若把呼吁当成退出来处理，就会亲手把提意见的人推成反对派。
当时的处理方式是：不清算牢骚，继续按既定机动打，等结果出来。三渡赤水示形北上、四渡东返、佯攻贵阳调开滇军，直到渡过金沙江把追兵甩在江北，五月十二日的会理会议才把这股情绪收口——把分歧摊开、把方向定下、把队伍带走。
但要注意后半句：情绪必须收口，不能无限期悬着。 分歧长期挂在那里不处理，同样会侵蚀根基。会理会议的意义不在于压制，而在于给争议一个明确的终点。
泄漏点三：把授权当成永久任命
最后一点最反直觉。遵义会议给毛泽东的，从来不是一份终身合同。
那次信任本质上是绩效授权——多数人把指挥权押给"刚刚被战局验证过的那套办法"：前四次反"围剿"是正例，第五次和湘江是反例，通道改向贵州的判断刚刚救了全军一次。这种授权的特点是有条件、可复核，所以它也必须用后续的结果不断续约。娄山关、再占遵义、渡金沙江，每一次都是一期续约；会理会议则是一次公开的复核。
技术团队里同构的场景是技术决策权。一个人因为在某个领域的判断被反复验证而获得话语权，这是健康的；但如果这份话语权在获得之后就不再需要接受检验，它就从绩效授权退化成了职位特权。授权可以给，但要给出期限和复核机制——不是不信任，而是让信任保持可解释。
顺带一提，这套授权后来还留下一个教训：彭德怀被误认为"鼓动林彪"，背了二十四年黑锅，直到 1959 年才由林彪当面澄清。对人的判断同样要允许被证据推翻，否则纠错机制本身也会变成新的错误来源。
五、放回你的复盘会
把上面几条收拢，对技术团队最直接的映射是这样一份判据。下次事故复盘，尤其是损失大、责任看起来很明确的那种，按顺序问：
第一步，先做替代测试。 换一个同等水平的工程师，在同样的告警质量、同样的文档完备度、同样的时间压力和权限配置下，他会不会做出同样的判断？如果大概率会，那这就是系统问题，讨论到此为止，行动项应该指向系统。这一步能拦掉绝大多数伪装成"个人失误"的组织缺陷。
第二步，检查归因的落点。 结论如果是"运气不好""业务压力太大"，那是没有归因；如果是"某某不够细心"，那是归错了地方。有效的归因必须落在可以修改的机制上——一个缺失的门禁、一条没有告警的路径、一个允许单次操作影响全局的接口。
第三步，把"这次怎么处理"和"这个人怎么办"分开问。 前者依据行为性质：是失手、是没看见风险，还是明知故犯。后者依据可纠正性：他认不认这个事实，接不接受改进方案。两个问题混在一起问，答案一定是错的。
第四步，划定范围并公开宣布。 明确这次只复盘什么，不复盘什么。范围之外的旧账另开场合，这句话要在会前说出口。
第五步，给争议一个终点。 复盘不能永远开放。到某个节点要收口：结论是什么、改什么、谁负责、什么时候复核。悬而不决比结论不完美更伤组织。
需要说明一点：无责不等于无人负责。Google 那本手册在强调 blamelessness 的同时，也明确写着"确立明确的归属会带来责任，而责任带来行动"，每一个行动项都必须有唯一的负责人和跟踪编号。Blameless 管的是归因环节——追问 what 而不是 who；accountability 管的是改进环节——每件事必须有人认领。 这两件事从来不冲突，混淆它们才是问题。
结论
四条，供带走：
无责复盘是一份有适用区间的合约。 它在低代价场景下几乎免费，高代价场景才是考场。当损失大到必须有人负责的舆论压力形成时，它是最先失效的东西——那位副总裁的话就是标准崩坏样本。
归因的落点决定纠错的正当性。 落到条件上等于取消纠错，落到人品上等于开启清洗，只有落到机制上，改正错误与保全犯错的人才可能兼容。替代测试是检验落点的最小工具。
一次错误怎么处理，和一个人还能不能用，是两个独立决定。 前者看行为性质（公正文化的三分法），后者看可纠正性（遵义会议的隐含判据）。后果偏见让人只按损失定罪，表演型宽容让人只按态度赦免，两者都是把两条轴压成了一条。
纠错撕裂组织，通常不是因为纠错本身，而是因为三处泄漏：范围越界让纠错变成权斗，把呼吁当成退出让提意见的人变成反对派，把绩效授权当成永久任命让信任失去复核机制。
最后留一个问题。上面这套判据里，最难执行的其实是第二条轴——判断一个人"是否可纠正"，本身就极易被主观感受污染。认错认得诚恳的人未必真会改，嘴硬如凯丰的人反倒在会理会议后真的转了向，而当时谁也无法预知。
那么在你的团队里，除了"态度好不好"，你还能用什么可观察的证据，来判断一个人是真的接受了纠正，而不只是接受了处分？
参考资料
- Daniel Rogers、Murali Suriar、Sue Lueder 等，《Postmortem Culture: Learning from Failure》，The Site Reliability Workbook 第 10 章，Google。https://sre.google/workbook/postmortem-culture/
- David Marx，《Patient Safety and the "Just Culture": A Primer for Health Care Executives》，哥伦比亚大学，2001 年。
- Philip G. Boysen II，《Just Culture: A Foundation for Balanced Accountability and Patient Safety》，Ochsner Journal，2013 年第 13 卷第 3 期。https://pmc.ncbi.nlm.nih.gov/articles/PMC3776518/
- ISMP（美国安全用药实践研究所），《The Differences Between Human Error, At-Risk Behavior, and Reckless Behavior Are Key to a Just Culture》。https://home.ecri.org/blogs/ismp-alerts-and-articles-library/
- Albert O. Hirschman，《Exit, Voice, and Loyalty: Responses to Decline in Firms, Organizations, and States》，哈佛大学出版社，1970 年。