失败的逻辑

> 失败的逻辑

德尔纳
上海科技教育出版社2010-12

塔纳兰的切尔诺贝利

到目前为止,我们一直在考察游戏。我们分析了有些人如何在有些熟悉又有些陌生的计算机世界找到出路。当然,现在提出的问题是这种游戏结果对现实世界有何意义。在假想为格林韦尔市市长或者塔纳兰开发独裁者的角色时,这些游戏参加者的行为与他们在实际情况下的行为有什么关系?他们几乎不可能有朝一日(有幸)成为市长或独裁者。参加者在对他们来说是异国他乡的条件下所表现出来的行为模式,是否反映出普遍的行为倾向,就是说,我们把人们置于以不确定、复杂性和不明朗为特征的环境中,总可以发现这些行为倾向吗?或者,这些行为模式是否条件独特,完全是一个我们强加于参加者的外星函数?这里,我将只讲一个例子,其优越性是它发生在现实世界中而不是计算机程序中。

1986年4月26日,乌克兰切尔诺贝利原子能发电厂的4号反应堆爆炸了,炸毁了(数千吨重的)混凝土屋顶,放射性粒子污染了周围及整个欧洲领土,激化了人们关于原子能利弊的讨论,关于西方和东方反应堆技术的讨论,以及关于这类灾难是否会再次发生的讨论。这些问题的确属于最为重要的,但是这里我想考虑切尔诺贝利大灾难的直接原因,因为心理因素完全可以对其进行解释。这不是由于更成熟或不够成熟的技术造成的差别,而是—别无他说——人的失败。

切尔诺贝利怎么了?这里我不去详细追述灾难的过程,而仅仅集中在一些关键的方面,用以强调它所包含的重要的心理因素。

在切尔诺贝利反应堆,中心的核反应由211根控制棒来调节。要减弱反应,就插入一些控制棒;要加剧反应,就抽出一些。为安全起见,至少有15根控制棒始终插在反应堆中心。切尔诺贝利反应堆的中心由重达1800吨的石墨块组成,1600多条通道横切石墨芯,供核燃料棒和水从中通过。核燃料棒产生大量的热,而水则吸收热量,从而冷却石墨芯(冷却也减弱反应)。如果热量没有被吸收,中心温度会迅速升高到数千摄氏度,引起爆炸或被称为熔化的核反应失控,此时放射性物质完全熔化金属和混凝土并进人大地。如果水吸收了热量,就会沸腾变为蒸汽。蒸汽由管道输送去推动汽轮机发电,它是反应堆的主要产品。蒸汽通过汽轮机后,又冷却成水,并再一次开始整个循环。只要系统被关闭,辐射就被遏制。除了这一主要循环系统之外,还有一个紧急冷却系统。

发生事故时,反应堆恰逢年度维修检查。维修前,工程师们想做一项实验以帮助他们改进一种安全系统。计划整套实验要在五一节放假前完成。因此,1986年4月25日星期五下午1:00,工程师们开始减小反应堆的功率,打算降到机容量的25%,实验将要在这一运行水平上进行。1小时后,下午2:00,紧急冷却系统被关闭。这样做大概是为了防止在实验期间有人不当心踢到系统。但是,也是在下午2:00,基辅的调度员请求不要拿走反应堆的栅格,因为他们面临一个意外的供电需求。当晚11:10之后,才把栅格取出反应堆。工程师们开始把反应堆降低到25%的容量,以便能够进行既定的一系列测试。

但是,实际上反应堆不是降低到所要求的25%的容量,当夜12:30已降至1%。操作员已经关掉自动控制,而改用手动控制,努力使指针达到25%的读数,但是,他没有给反应堆的自身衰减行为以足够的余量,所以,最终反应堆降低到1%而不是25%的容量。

这种“过度转向”倾向是人与动力系统相互作用的特征。我们使自己不被系统中的发展所左右,也就是说,指导我们的不是相继各阶段之间的时间微分,而是每一阶段,的状态。我们调节状态而不是过程,其结果是系统固有的行为与我们驾驭它的尝试相结合,使得指针超出了所要求的读数。(在第五章“时间序列”里,我们还要遇到这一类例子。)

一个切尔诺贝利型的反应堆,低容量运行是危险的。在较低容量的范围,反应堆运作不均匀,就像柴油发动机空转时会出现的情形那样。反应堆运行不稳定,其结果是核裂变异常,可能发生局部的爆破反应,而这是危险的,因为它可以触发整个反应堆发生突然性的核裂变。操作员完全了解这些危险,因此严格禁止反应堆在20%容量以下运行。

所以,当时操作员集中提高反应堆的容量,使其脱离不稳定的危险带。半个小时后,他们使之达到了7%,但这仅仅是通过从中心抽出大量控制棒的办法达到的。接着,他们决定继续实验。这可能是他们最为严重的错误。这一时刻之后,过程不再能被中断了。在7%开机容量下继续实验的决定意味着,所有后来的活动都将在反应堆处于最不稳定的状态区间发生。操作员显然错误判断了反应堆的工作状态。为什么?有人提醒过他们,他们是应该知道不稳定会带来危险的。操作人员决定继续测试,更可能是由于其他一些原因。一种原因可能是他们感受到的时间压力。他们想尽快完成这项测试计划,这是莫斯科电气工程师们要求的。他们感到一开始就遇上了麻烦,基辅方面让他们保留栅格的要求已经使实验耽误了近10个小时。别的原因或许是,虽然操作员在“理论上”可能对反应堆不稳定性的危险了解颇多,但他们不能具体地设想这种危险。理论上的认识和实践中的认识不是一回事。

违反安全规程的另一个原因可能是操作员过去已屡有所犯。但是,正如学习理论告诉我们的,违反安全规程通常是积少成多的,就是说它要算总账。其直接后果仅仅是违章者摆脱了规章的束缚,行动更加自由。安全规程的设计,往往不会使违章者立即被炸上天、受伤或以任何其他方式受到危害,他们反而会觉得日子更好过了一些。这恰恰引导人们走向这条享乐之路。违反安全规程的实际后果,加强了我们违章的倾向,导致发生灾难的可能性增加。而一次灾难真正发生的时候,安全规程的违章者将来可能不会再有机会改正其行为。