複雜性、緊密連結與常態事故
◎複雜性──金融危機的導因
複雜性，是當今不同市場相互影響所產生的副作用。它並不好對付，時常成為金融危機的導因。尤其在花旗集團之類既龐大又混亂的組織，和占據遼闊財務市場領土的衍生商品的連手推動下，複雜的程度更是節節高升。因應不同的需求而被創造出的衍生商品，往往帶來預想不到的後果。這類的例子多不勝數，信孚銀行（Bankers Trust）推銷一種號稱對沖利率風險的低成本衍生商品，沒人發現它是披著羊皮的狼。在低成本的面具下，如果利率突然跳升，損失立刻倍數成長，寶鹼（Procter &Gamble）就因此賠了一億五千萬美元。
一個霸菱銀行（Baring Bank）新加坡分行的年輕僱員未經授權從事衍生商品交叉交易，累積超過十億美元的虧損，讓銀行不得不宣告破產。當所羅門的外幣交易部賣出選擇賣權，賭日圓已經漲到頂點時，沒人留意到選擇賣權的非線性特點會在日圓上升十個基準點，而非只是一兩個準點時，將損失放大五十倍。
格蘭尼避險基金（Granite Partners）以祕密抵押貸款衍生商品，賺入比同類企業或相關機構債券（Agency Bond）高許多的利息，但不管是格蘭尼或是負責資它的投資銀行都無法預測在利率急劇變動時，衍生商品會有什麼樣的反應。
事後孔明容易當，我們大可搖頭表示怎麼會有人忽略這麼大的風險。兩次太空梭意外和車諾比爾（Chernobyl）、三哩島（Three Mile Island）核能事件，其實也符合這樣的說法。失敗是有原因的，之後解釋通常比事前發現容易。問題追根究柢就是太過複雜。我們無法為每件事引起的互動做完善的準備，尤其發生過程快如閃電，讓大家措手不及，根本沒有做出任何調整的時間。
◉財務市場的緊密連結又是如何？
複雜性，是近年來許多市場危機發生的主因。但是，如果市場沒有另一個我們內建的特質，也許還有避開危機的可能。工程界以「緊密連結」（tight coupling）稱呼這個特質。緊密連結的意思，就是流程中，環節和環節之間極端的相互依賴，環環相扣，一旦出錯，根本沒有時間重新校準或調整。太空梭的升空過程就是一種緊密連結，因為每一步（點火、發射、清除煙霧）都要照預先設好的間隔速度進行，只要其中一個出錯，就是全盤失敗。緊密連結的過程即使不複雜，也很容易發生意外。想想卓別林（Charlie Chaplin）在滑稽片《機械時代》（This Mechanical Age）裡的那一排派餅；不過是一個小失誤，但輸送帶一直將後面的派送進來，於是愈堆愈多，終至不可收拾。裝配線上的每一個環節都緊密連結著下一個環節，每一個動作馬上觸動下一個動作，中間沒有任何停下修正的空間。錯誤一旦發生，立刻開始繁殖，從起點到終點全受影響，在這兒，不能設一按就停的緊急按鈕。
財務市場的緊密連結來自不停的資訊流動和必然趨勢的即時買賣。資訊刺激交易，接著交易被鍵入系統、獲得執行。沒有停下腳步，全是一口氣進行。在財務槓桿上，緊密連結格外重要，因為財務槓桿本身就是個流動性的產物。簡單來說，財務槓桿和融資是以有價證券為擔保的貸款。借款機構之所以願意拿出錢來，是因為一旦客戶在融資追繳時未能將比率提高到要求水準，他們就能馬上斷頭。這也是為什麼證券的流通性愈高，融資的條件就愈好的原因。換句話說，緊密連結代表了更高財務槓桿操作的潛在可能。
在財務市場中，流動性所導致的緊密連結讓複雜度立刻再增三分。流動性是衍生商品的生命泉活，和它所依附的證券不同，可持續避險為衍生商品創造時的必要前提，因此它的流動性要求也就從不間斷。沒有流動性二m生商品市場馬上死亡。
衍生商品和財務槓桿結合後所帶來的流動需求，讓複雜性和緊密連結不停的相互影響，成為金融風暴起因的大溫床。如果不能事先預見所有的事件（複雜性），加上如果在錯誤繁殖前沒有足夠的時間修正過程（緊密連結），只要一出錯，災難便無可避免。事情遲早會有狀況，原本的小失誤很快便惡化成大問題，接下來危機就像瀑布般直線下落，無法停止。
長期資本管理公司的崩塌就是個典型的例子。一開始，不過是避險基金的小損失，因為這個損失，LTCM必須賣掉部分資產以達到融資要求的比率。賣出有價證券套取現金，本來很單純的舉動卻因為出清導致價錢驟跌，拖累整個投資組合，造成價值大幅減少。投資組合的價值下降誘出了進一步融資追繳的現金需求。只好再賣掉更多資產。市場以跌價作為對每一波賣出的反應，於是再引發融資銀行的現金要求。最後如果不是聯準局介入，破壞了借款銀行的循環，有效解除緊密連結的環扣，危機一定還會如漩渦似的將一切往下捲。
如果系統既複雜又是緊密連結，常態事故發生的可能性便會大幅提高。光聽它的名字，你很容易對「常態事故」產生誤解。常態事故指的是預想中會發生的意外，是過程結構裡不可避免的結果。系統愈複雜、緊密連結愈多，常態事故的發生頻率就愈高。減少複雜程度和在環節中放點喘氣的時間，是避免事故的唯一方法。然而，不管是在太空梭的升空過程或核能發電廠的運作，這兩個選項都不可能。卓別林的裝配線當然可以，金融市場其實也行。只不過必須犧牲一點即時反應的時間，讓市場的運作比學術模型講求的速度慢一些。
◎法令的陷阱
面對財務市場危機，最自然的反應是加上一層又一層的法令，以增加對社會大眾的保護。但試著在已經夠複雜的金融市場再綁上更多的法令規範，往往會帶來意想不到的後果。不但無法消滅現有危機，反而幫助它更加肆虐，因為防範法令使複雜度更上層樓，換句話說，為失敗增加了更多的變數。愈努力嘗試，就愈快被流沙淹沒。法令規範和主管機關看見潛在危機時，當然不能袖手旁觀；預防是一定要的。他們也許不知道金融危機背後的原理，也不能未卜先知下一場風暴會在何地何時發生，但他們可以從錯誤中學習，發展出一套全新或改良的法令規定和防護措施，在一個日漸複雜的世界，這些防護法令讓事情又更加複雜。不折不扣的惡性循環。
舉例來說，為了預防銀行破產，第一個想到的防護法令就是以資本額為基準，設下一個允許銀行承受的風險上限。本來是想藉此控制危機規模，因為當銀行遭遇投資損失或發現借款風險增加時，它就必須賣掉部分資產或追回貸款以將風險降到法令範圍之下。同時大幅降低未來損失的機會。
問題在於，賣掉資產或追回貸款並非獨立事件。如果那個區域已經處在緊張狀況中，銀行的行動無異火上加油。它不僅會導致價錢進一步下滑，也會讓銀行資本再度受損，點燃另一波流動需求。除此之外，市場的上下幅度會因多出來的賣壓而加劇，增加銀行投資的風險，亦可能引發流動需求。於是，本意在控制風險的措施，反而成了流動危機的起源。
如果銀行選擇在其他區域賣出資產，可能將當地市場一併拖下水，讓地區性危機擴展成全球危機。那個區域的銀行會看見他們的市場下跌，卻不知道原因是什麼。不過是因為這家承受壓力的銀行剛巧持有那個區域的資產，就會造成危機像瘟疫似的擴大。大多數銀行投資的資產和放貸都十分相似，每家銀行的行動會經由互相影響而放大，上述這種完全和經濟無關、預料外的結果幾乎肯定難以避免。
◉全球化讓何處遭到波及變的不可預測
一九九七年，亞洲金融風暴從泰國起頭，延燒全亞洲的主因就是法令規定銀行必須減低暴露的風險。沒人料到它會一路燒到巴西。為的不過是這些銀行剛好在巴西持有大量的投資。全球化讓何處會遭到波及變的不可預測；全視當那個國家有財務危機時，有什麼銀行在哪個國家有投資，而那些銀行同時還在什麼其他地區擁有資產。
理想市場的第一個條件：所有的市場運作全面透明化，不相互影響。但實際往這個方向努力時，卻遭遇了不少問題。現實和理想狀態不同，個人並不能真的掌控完全資訊，相關機構也無法對每件事為每個人做出最快最好的處理。想在現實市場應用理想狀態的理論，就像在野外的泥土路上駕駛賽車一樣，是行不通的。
表面上，科技進步的確讓交易前線和財務市場更加穩定，讓管理和評估經濟風險更容易，但也同時發展出一個更危險的架構。諷刺的是，這個架構看起來確實擁有人人想要的特點，許多方面包含了理想模型裡的運作要素。學術界討論這些理想要素已經超過五十年，「完美市場模型」（perfect market paradigm）是它在財務經濟學裡的正式名稱。
為了進一步了解架構和相互影響會造成怎麼樣不可避免的危機，我們來看兩個損失慘重的例子：核能電廠和航空公司。在這兒，損失的不只是巨額金錢，還有更多無價的人命。
◎三哩島事件：危險的安全系統
核能電廠的功能只有一個：將水加熱釋放蒸汽。然後蒸汽推動渦輪發電機，一如兩千年前希羅（Hero of Alexandria）發明的蒸汽動力裝置一樣。核能發電複雜的地方在於如何將水加熱。幾千顆提鍊過的鈾被放在核子反應爐裡，經中子撞擊後會產生連鎖反應，在核分裂的過程中製造熱能。雖然單一過程裡產生的熱能不多，但累積起來十分可觀。一個棒球大小，不到半公斤的鈾，可以產生相當於一百萬加侖汽油燃燒的熱能。
反應產生的熱能被聚集引導，用來製造蒸汽。但反應會一直持續下去，溫度會升高到將所有的鈾和一切接觸到的物質完全融化。融化過程會吸入愈來愈多的鈾，更多的鈾融化在一起，更多的熱能和放射線就被釋放出來。最後的產物是個能融化任何物質的白熱化球體，不管是防禦器的鋼板或發電廠的水泥牆都擋不住它。老電影《大特寫》（The China Syndrome，直譯為中國併發症）裡描寫漏出的鈾穿過地心，一路燒到中國，和真實狀況相去不遠。然而，問題不是在它的鑽洞能力，而是它夾帶出的放射物質，釋放出大量隨空氣飄散的有毒氣體，以三哩島上的核子反應爐大小為例，它所使用的鈾原料，融化時放出的放射量，可比投在廣島的原子彈還要高的多。
◉一個燈號的失靈
為了預防這種災害發生，人類運用了複雜的配管工程來達到單純的加熱目的。系統以及備用系統將水引進反應爐，吸收熱量後流出。另一個系統以及它的備用系統再利用這個熱量製造蒸汽，並將任何多餘的熱能引到冷卻塔。每個系統都有一列控制鈕，由控制中心監看所有的功能。當某個功能運作不正常時，代表的燈就會在控制台上亮起來。其中一個燈號的失靈就是三哩島事件發生的主要原因。
三哩島核能電廠二號機的冷卻水每隔一段時間就要進行除污清理，以去除雜質。除污器上的樹脂固定四個星期換新一次。這個清理手續是例行維修的一部分，甚至不夠格算進安全系統，但它卻一直有個無法解決的漏水問題。一九七九年三月二十八日早上四點，清理時漏出的水跑進了氣壓系統，使得凝結水幫浦跳脫，也使飼水幫浦和汽機停止運轉。主要幫浦停機後，輔助幫浦自動啟動，將水從儲存水塔藉由輔助飼水系統送進反應爐，以確保溫度不過熱。不幸的是，從水塔送水出來的管路上的一閥門，在幾天前維修後沒有依照規定打開。輔助系統裡，根本沒有一滴水。
這個問題並沒有立刻被發現。控制台顯示幫浦正在運轉，卻沒指出水未被送到蒸汽機。等操作員在幾分鐘後發現時，一連串的反應已經發生，導致功能失常，終於釀成大禍。
人為疏失加上機械故障讓事情一發不可收拾。在主要幫浦和輔助幫浦雙雙停機的短時間內，爐心的壓力快速上升，觸動了釋壓閥開啟洩壓。這個釋壓閥的原理和家裡的壓力鍋類似，當壓力太大時，它會開啟放出部分水和蒸汽，然後再關上。但有時候，釋壓閥可能會關不起來。這是在設計時就知道的事，發生機會大概是二％。因此，在控制台上就有個指示燈專門顯示釋壓閥的開關狀態。偏偏就這麼巧，釋壓閥關不起來，而指示燈居然也壞了（也有人說，燈有亮，但被一個黃色的維修標籤擋住了）。三萬兩千加崙的水，相當於核心三分之一的容量，在問題被發現前已經外洩。
控制室裡的人一方面對爐心的溫度持續升高感到不解，一方面被控制台上不停增加的警示燈弄的心煩意亂。散布在控制室各個角落的警示燈，有七百五十個閃閃爍爍，大部分和他們正在監控的主要功能無關。一些警示燈設在操作鈕的上方，一些設在下方，一些設在旁邊，還有一些則在房間的另一頭。主要的警告燈和輔助的資訊燈混在一起，連顯示電梯是否正常運轉的燈，也在控制台上占了一席之地。
幾百個儀器開關的指示燈和警示燈混在一起，大多數的標籤只以簡單的數字和縮寫標示。其中一部分以顏色區別，這樣做一開始時看起來滿有道理，只是有點讓人搞不清楚。紅色表示儀器在運行，閥門開著，迴路關閉。綠色表示儀器沒在運行，閥門關著，迴路開著。除了要記得什麼顔色代表什麼意思之外，還有另一個問題存在：正常的運作過程中，有些閥門應該開著，有些閥門應該關著；如果操作人員沒有事先背熟，即使面對著控制台上的亮燈，也無法知道是不是出了意外。第一個問題發生後幾分鐘，反應爐的冷卻水幫浦發生嚴重振動。更多警示燈開始閃爍。三種不同的警報器開始鳴笛，讓場面更加混亂。操作員雖然覺得警報聲刺耳，卻不敢將它們關掉，因為一動手，連警示燈都會一併關閉。
他們確認了好幾次代表釋壓閥的燈沒亮，也確定其他主要控制沒有問題。如果釋壓閥的警示燈有亮起來，操作員就會立刻啟動釋壓閥備用閥門，阻止水繼續外流，這場災難就不會發生。如果釋壓閥的警示燈有個測試開關，讓他們能看看燈是不是壞了，至少操作員會知道警示燈壞了，他們必須另外想辦法確定問題是不是就出在閥門上。
操作員向緊急爐心冷卻系統求助，將高壓硼水注入爐心。然而超高溫的爐心無法承受突然注入的冷水，結構開始產生裂痕。這樣做的效果卻無法在第一時間確認，一個儀表指出反應爐內的壓力下降了，但是另一個儀表卻說壓力上升到危險的程度。一個儀表衡量系統壓力，另一個衡量反應爐壓力，既然反應爐和系統是連接在一起的，兩個的壓力應該要差不多才對。其中一個可能壞了，問題是，哪一個？卡住的釋壓閥是這些混亂的主因，因為水從釋壓閥流出去了，剩下的水不能將爐心完全包住，所以反應爐的壓力便持續上升。
不管是控制室或反應爐的設計都只考慮到正常運作，而沒想到緊急狀況發生時要怎樣應變。最關鍵的問題在於意外發生後的幾小時內，反應爐的溫度和爐心裡的反應路徑。幸運的是，反應爐內剛好有一組工程師實驗用的熱電偶。不過，它們本來的目的是用來監看爐心的正常運作，所以當溫度掉到七百度以上或六百度以下，不在正常運行的溫度範圍內，或熱電偶壞掉時，儀器讀表只會跳出「？？？？？？？」而當操作員還在為高壓硼水注入爐心是否生效煩惱時，賓州州長則忙著計畫要怎樣撤離附近哈利斯堡（Harrisburg）的居民。
三哩島事件雖然由一連串令人雖以置信的巧合引發，但是它的本質其實就是常態事故。可能發生的意外不計其數，任何一種都會導致嚴重災難。只是在統計上，單一事故發生的機會微小到可被合理忽略，但將所有的可能加在一起，就有非常多的變數和無窮盡的組合，發生的機會自然就高了。核能發電廠可以說是常態事故最具代表性的原型。
◎瓦盧杰航空：人為疏失
一九九六年五月十一日下午，邁阿密機場航務員將貨物送進瓦盧杰航空公司（Valujet Airlines）五九二客機的貨艙。旅客行李先被放進二號貨艙，等二號艙放滿了，剩下的行李便和六十磅的郵局郵件和公司要運回亞特蘭大總部維修部門的材料，包括了三個飛機輪胎（其中兩個還有氣），還有五個標示著「空氧氣罐」的大箱子，放入一號艙內。航務員先把其中一個大輪胎平放在地板上，再把比較小的一個直立在它的內圈裡。接著他將每個大約五十磅的箱子放在小輪胎兩旁，將小輪胎夾在中間。然後再把第三個輪胎直立在牆邊，靠在其他的輪胎和那五個箱子上。當航務員在堆放箱子時，他覺得好像有東西在晃動，而且聽到了一個金屬喀嚓聲。
目的地亞特蘭大的五九二客機在下午一點四十分離開登機門，兩點三分起飛。離地七分鐘後，機長聽到了唧唧聲，同時擴音裝置也開始嗶嗶作響。事後閱讀飛航記錄器的資料，發現它是由壓力突然升高所造成的，推測可能是其中一個輪胎發生爆炸。幾乎在同一時間，儀表板顯示出電力系統故障的訊號。機場向控制塔台報告，「我們的電力系統出了問題。」過了五秒，塔台聽到她緊張的聲音。「事情很不對勁。」兩秒鐘後，她又說，「我們必須返回邁阿密。」又過了三秒，塔台聽到背景中有人在大叫，「失火了，失火了，失火了。」接著一個男聲對著傳呼器大叫，「飛機失火了，飛機失火了。」五九二客機掉頭回邁阿密機場，但一分鐘後就在雷達上失去蹤影。在大沼澤國家公園（Everglades）釣魚的兩名目擊證人事後描述，這架雙渦輪引擎的DC—9快速往右岸墜落，愈接近地面角度愈垂直，到最後根本是以機頭直接撞進沼澤裡。當他們趕到事故現場，只見到散落一片的引擎零件、燒剩的紙片，還有為數不多的殘骸，飛機的其他部分全被大沼澤吞噬了。
那五個大箱子裡裝的全是已經過期的製氧機。它們是從瓦盧杰最近剛買來，還在整修的三架麥道MD—80飛機上拿下來的。每個製氧機在緊急時經由化學作用將氯酸鈉（sodium chlorate）轉成氯化鈉（sodium chloride），產生氧氣，經過幾層過濾送到面罩，供應飛機上兩到三位乘客使用。化學作用只有在一根安全栓被拔起來後才會進行，彈簧上的撞針敲到有小量炸藥的蓋子上，啟動化學作用。就像每次上飛機時的安全說明都會講的，當面罩從上面掉下來時，必須把安全栓拔起來。
◉一個製氧機的失靈
在化學作用的過程中，製氧機會產生熱能，製造出的氧氣就是它釋放熱時的副產品。製氧機如果沒有受到妥善保護，放出氧氣消散熱能，溫度很快就會升高到華氏五百度以上。要是被放置在密閉空間，又沒有製氧散熱，溫度可以達到一千度以上。事後調查，至少有一個製氧機的安全栓掉了，引發悶燃，在周遭厚紙箱、郵件、輪胎等易燃物的幫忙下，很快燃燒起來。接著製氧機造出的純氧更是火上加油，讓情況一發不可收拾。
製氧機的危險在航空業無人不知，安全標準程序設立了許多相關的規定和行動，以防止火災發生。麥道MD—80飛機的保養手冊上光是如何移除過期的製氧機就有六道步驟。在移除製氧機的維修進行時，必須簽名以示負責的流程卡上的步驟甚至多達七項。兩邊的第二步驟都是，「如果製氧機並未淨空，在安全栓上加置保護蓋。」製氧機可能造成火災的警示也都清楚的印在保養手冊和流程卡上。新型的製氧機在瓶身上還有大寫字母印著，「警告。移除時需在導管上加置保護蓋。禁止拉開安全栓，在不會燃燒的表面上啟動。」
流程卡由一個剛上班的技工簽了名，他移了十個製氧機，剩下的三十多個則是由前一班的人移除的，但他還是為整批製氧機簽了名。接著他開始找保護蓋，但領班告訴他目前沒有。技工和領班都忙著飛機繼續航行的準備，認為處理舊儀器沒那麼重要。技工於是將製氧機平放，一個疊著一個的堆在厚紙箱裡，先去忙別的事了。流程卡需要其他三個人的簽名，在「最後檢查」項目簽名的是維修領班。他知道製氧機還缺幾個保護蓋，簽名後，他通知了當時輪值的技工工頭。
在任何人把保護蓋裝上去前，這些厚紙箱就被送到了收發處，沒有標示的被放在一旁好幾天。五月八日，一個比較閒的搬運員問後勤主管，「要不要我把箱子封起來，準備運上飛往亞特蘭大的飛機？」「好啊！就這樣做吧！」後勤主管回答。搬運員將製氧機一一拿起，用氣泡紙裹起來，再放回箱子裡，用膠帶封上紙箱蓋後，在箱子上標示「飛機零件」。第二天早上，他將箱子送去收發處。搬運員告訴他，在每個箱子上寫下「空氧氣罐」，並貼上瓦盧杰航空公司亞特蘭大總部地址。收發員就照他說的寫下「空氧氣罐」，雖然他覺得空罐子的重量應該不到五十磅才對。因為搬運司機太忙，箱子在收發處又多待了兩天。五月十一日，司機將箱子放上卡車，載到瓦盧杰航空的停機坪，照他們指示將箱子放在行李車上。瓦盧杰的員工簽了他的運送單後，司機就開著車走了。
製氧機雖然有引起火災的潛在危險，卻是飛航安全裡不可或缺的關鍵儀器，因此法令規定它們必須定期更新。在保養手冊和流程卡上，引起火災的警告也都被清楚的標示出來。流程卡需要的四個簽名一個不缺。在製氣機被移除，準備運送的過程中，它們經過了十幾個人的檢視，包括兩個技工、一個工頭、一個領班、一個檢查員、一個流程經理、數個技師和封箱前的後勤主管。除了最後幾個，其他所有的人都知道製氧機的潛在危險，也都知道保護蓋的需要，但沒有人採取進一步行動。
飛機的航行本質上就是一個接著一個的緊密連結。如果有什麼問題，你不能將飛機暫停在空中以便修理。而造成瓦盧杰班機失事的原因，則是物理作用的緊密連結，由製氧機引發的大火吞噬了整架飛機。過程的複雜性則造成人為疏失，一層又一層的檢查超過了人力所能負荷的範圍，導致大家無法確實做到每項要求。這為常態事故下了最好的例子：複雜為常態事故之母，為了減少意外所額外增加的安全要求，最後讓複雜度更高，產生的可能是反效果。
◎意外就等在轉角：交互複雜性和緊密連結
交互複雜度（interactive complexity）指的是系統裡的構成元件（component）之間的連接和相互關係。一個交互複雜度高的系統，內部元件之間會產生預期之外的相互影響，也可能產生變動的相互影響。所謂變動的相互影響，就是後面的結果會回過頭來改變元件現有狀態，或在不同的時間點上，讓元件和系統其他部分的關係產生變化。會產生什麼過程和相互影響沒人知道，在事前也無法預測。
聽起來很混亂，是吧？既不確定，又無法預測，再怎麼說也應該不會套用在核能發電廠上吧？令人難以置信的是，核能發電廠就是講到交互複雜系統時，非提不可的典型範例。為什麼？因為它大部分的操作系統都看不見，許多重要的元件僅靠儀器監控，尤其是監控時觀測的甚至還不是直接的元件，往往還是熱能之類的副作用或副產品。系統零件被包在各式容器、水管、閥門內。過程充滿了非線性的相互影響和回饋迴路（feedback loop），最重要且最有名的一個就是裂變物質（fissionable material）到達臨界值時產生的連鎖反應。即使在這麼多年的研究發展後，人類仍然不能百分之百掌握核能發電廠的原理，尤其對災害發生時的應變和理想治療方法，至今還在摸索階段。
交互複雜度高的系統在出狀況時，往往不知道問題點在哪兒、解決方法是什麼。系統裡移動的構成元件太多，相互影響也太多，加上變動的相互影響可能發生的事又不確定，於是日常作業中的某一小步驟犯了錯，可能就會演變成滔天巨禍。它的起因可能無關緊要，在三哩島的例子裡，只是一張標籤遮住了警告燈，而在瓦盧杰的空難中，不過是製氧機的標示錯誤。這兩個案例明白的告訴我們，想試著以增加備用系統和安全檢查來降低交互複雜系統的風險是沒用的。在三哩島事件和瓦盧杰五九二班機空難中，安全措施本身就是造成災難的原因之一。
並不是所有的大型系統或有很多構成元件的系統，就一定是交互複雜系統。郵政業務的系統很大，組成的環節數都數不清，但它的交互複雜度就很低。郵件投遞可能發生錯誤，卻不會因此造成什麼大災難。後頭的郵件還是可以照樣被送達。就像軍隊一樣，只有幾個組織，但下面移動的元件，如：僱員、分局、待處理的郵件卻很多。偶發的投遞失誤不會變成郵局大災難，主要原因是它的線性過程。任何郵件的移動，以處理的觀點來看，都是直線的。在過程中，它們從一個地點被移到另一個地點，等著被領取、送達。
如果一封信被送錯地方，受影響的只有那封信；錯誤不會增生繁殖，不會回饋到系統造成更多的信被送錯。最糟的結果，不過是遺失了一封信。而在大多數時候，單一的錯誤很容易被發現、改正。郵件從一個箱子移到另一個箱子，從一個員工移到另一個員工，後手會發現前手的錯誤，順手將它放回正確的箱子裡。於是，一切又回復正常。
如果只是看日常交易量，金融市場和郵局系統有很多相似之處，但在本質上卻有極大的不同。撇開交易量的大小或金融產品的多元化不談，許多金融市場的構成元件本質就已經非常複雜。選擇權和其他衍生商品的獲利曲線和相關證券的關係並非線性。觀察它們每日的交易，對市場發生大變動時它們會有什麼反應，一點幫助也沒有。
交換合約和其他使用高度財務槓桿的金融商品的複雜性更高，因為財務槓桿緊密依賴著市場表現，而市場卻可能因與經濟無關的原因大起大落。市場可能因為某集團被迫變賣出清，就不合理的將一切往下捲。這些相互影響在事前沒辦法預測，一旦發生，規模大小全靠運氣和投資者／投機者對當時市場的興趣決定。
◉複雜成了瀆職者的庇護天堂
金融市場的複雜性比其他行業都要明顯。在金融市場中，許多參與系統的人都有切身利益。交易員根本不算公正的第三人。他們利用產品和組織的複雜來增加獲利的態度，提高了不可預期危機發生的可能性。如果法令嚴格規定可暴露的利率風險，卻允許利率中立利息曲線交易，那麼交易員就能在不觸法的情況下，以利率中立為掩護，還是在利率交易上下大賭注。最直接的做法，就是將一年期的利率曲線交易偽裝成是為長期公債做避險。因為有三十年期的公債在手上，系統會將利率曲線交易視為和公債抵消，利率暴露風險為零。實際上，聯準局調整利率對三十年期公債幾乎不會造成影響，但對一年期的利率曲線的影響可就大了。對比較敢誔而走險的交易員而言，系統的複雜性無疑提供了許多掩護。交易員和其他投資人的行為回饋會改變市場，進一步增加市場的複雜度；投資公司的結構也會因為交易員利用市場複雜性來掩護他們的行為，而變的更加複雜。簡單來說，複雜性成了瀆職者的庇護天堂。
交互複雜度高會產生無法預測，甚至想都想不到的意外，但不見得每個意外都會發展成災難。系統可以非常複雜，但在引發一連串瀑布般的災害之前，仍然有時間和機會改正問題，不會進一步釀成巨禍。只要有足夠的時間，可以進行觀察、調查、採取必要步驟修正程序，複雜性其實還是可以受到妥善管理。
◎緊密連結和交互複雜：X級的行為
兼具交互複雜度和緊密連結兩種特性的系統，潛在的危機最大。緊密連結其實相當普遍，在日常生活中隨處可見，並不只限於太空梭升空和企業流程。簡單的工作如製作麵包也是緊密連結，食材混合加入酵母後，接下來的時間和步驟如果不精準，麵包就會失敗。
連結較鬆的系統提供了改變問題的時間，緊密連結的系統卻得照著規矩一步一步確實做好。說的更明白一點，緊密連結的系統不容許任何懈怠，環節和環節間沒有預留任何時間，過程中也沒辦法進行修正，一旦啟動就不能回頭。緊密連結的系統必須照著規矩一步一步確實做好的特性，正是它和交互複雜系統的衝突點。預先設定的步驟絕對無法反應全部的狀況。交互複雜系統需要將決定權下放，讓操作員在突發狀況出現時，做出彈性處理。如果一個系統既交互複雜又緊密連結，管理者在系統設計上便會左右為難，到底該集中制度化的管理呢？還是該授權彈性管理呢？
◉大學系統雖然複雜，卻非緊密連結
舉例來說，大專院校就屬於交互複雜卻連結鬆散的組織。一所大學有很多個學院，每個學院裡的老師和職員雖然也歸校方管，但互動其實不多。學生們選課和安排活動時，往往橫跨好幾個學院。為了畢業，學生必須根據校方要求，在不同的學院修滿學分。過程還是不免有狀況發生：上課時間衝堂、課程被取消、老師離職、學生缺席或沒去考試。
但絕大多數的學生還是畢業了。也沒聽說過什麼人因為一堂課沒去上，引發連鎖效應，而被學校踢出來的。不能避免的問題不會惡化成災難，是因為大學系統雖然複雜，卻非緊密連結。校方有足夠的時間檢討規定是否不合理，有時間審查學生的訴願，而學生也有時間考慮改選其他堂課，甚至考慮要不要轉系。在上課或考試缺席時，補救方法有很多個。換句話說，即使有一段沒照規矩來，系統還是可以繼續運作。
航空公司的轉運點航線系統（hub-and-spoke）是另一個複雜卻非緊密連結的例子。也多虧它的連結鬆散，許多錯誤才不致演變成致命災難。理論上，這個集中分枝的系統應該會提高效率，但在現實的應用上，卻遭遇不少問題。因為許多結果回饋到系統後，繁殖出更多無法避免的錯誤（我指的是起降時刻表，而非飛行安全）。不過可以取代的方案非常多，而且考慮的時間也不少，乘客或許不情不願的被迫轉機或繞道而行，但終究還是會到達目的地。班機可能誤點，甚至取消，最糟不過是改變航線，降落到別的地方。雖然從萬里無雲的達拉斯要飛到天氣晴朗的聖地牙哥，只因為轉運點芝加哥有暴風雨而延誤看起來著實可笑，但它至少沒有造成任何進一步意外。
這些例子說明了鬆散的連結可以挽救複雜性引起的問題。相對的，單純的線性系統亦能消除緊密連結的失誤。在線性系統中，流程只有一個方向，沒有回饋、放大、效用增生，錯誤可以被改正而不至於惡化成危機。組裝生產線就是緊密連結的線性系統最直接的例子。不管是汽車或飲料的生產線設計一定都是緊密連結。過程中一個步驟的完成，立刻啟動另一個步驟的開始。連結愈緊密，效率就愈高。一眼望去，整條生產線的操作看起來似乎相當混亂。事實上，每一個操作台都是獨立的，通常只負責流程中一部分簡單而重複的步驟。就像卓別林在《機械時代》裡的那堆派餅，錯誤發生時，生產線必須暫停。損失製造時間成本或許不低，但錯誤能獲得解決，不會繁殖。最糟的情況不過是，錯誤沒被及時發現，製造出的產品有瑕疵，必須報廢或回收；或者機械失靈，擋住一堆半成品，必須加班清除。
發生意外或錯誤時，增加安全維護是自然的反應動作。可能是加強系統的安全檢查和法規，如飛機起航前的檢查清單或銀行放款前的簽名審核：也可能是增置備用系統的要求等等。
然而在既複雜又緊密連結的系統上增加安全措施，卻不是個適當的做法。系統本身背負的災難風險本來就高，新增的規定不見得能解決問題，但一定會提高系統的交互複雜度。裝上更多的導線、開關、碼錶，操作員看的更眼花繚亂，增加的安全系統反而讓流程更加不透明。在每一個增進安全或監控潛在失敗的步驟裡，這些導線、開關、感應器和系統互動，為系統失敗增添了新的變數。如果增加的是自動化的安全系統（幾乎所有緊密連結系統的安全設施都是），產生無法預測的結果和非線性影響的機會就又更高了。
◎太空梭爆炸：組織結構阻礙技術問題有效溝通
系統設計是常態事故最主要的發生平台，但在組織架構上也有可能發生。許多金融機構的流程本來就是緊密連結，從投資銀行的自營買賣到交易員的操作無一例外。所以只要再加上一點點複雜性為藥引，常態事故就會發生。如同我們在第七章討論過的，金融巨獸花旗集團就提供了一個這樣的環境。
如果三哩島事件和瓦盧杰空難是常態事故在系統設計問題上的代表範例，那麼美國太空總署（NASA）就是常態事故在組織架構問題上的最佳代言。
美國太空總署早就知道密封太空梭固態火箭推進器的O型環（O-rings）有失去彈性的隱憂，卻決定讓太空梭繼續出任務，終究導致挑戰者號爆炸的悲劇。太空總署在哥倫比亞號出發前，就已經曉得隔熱絕緣泡綿可能在航行中脫落擊中太空梭，但仍然照常進行，最後脫落的殘骸引發一連串的錯誤，太空梭終於解體墜毀。在挑戰者號升空的前一晚，太空總署的工程師們正在為發射時氣溫過低，可能導致O型環失效，而激烈討論著。一開始，大家同意應該將發射時間延後，直到氣溫升高，但是後來上級勸他們為管理階層想想，改變時間會讓太空總署臉上無光，一陣猶豫後，大家終於同意照計畫升空。太空梭在升空後七十三秒爆炸解體墜毀，七名太空人全數罹難。而在哥倫比亞號出發後的評估會議裡，證據顯示這次升空時脫落的泡綿比平時的都要大，但工程師講的話卻沒人聽進去。事實上，連他們要求國防部介入查看機翼的損壞到底有多嚴重的提議，都被上級打了回票。哥倫比亞號在返回地球時解體，另外七個太空人因此犧牲。
兩次太空梭事件的問題癥結都和操作或設計無關。雖然太空梭升空一定是緊密連結系統，但O型環和脫落殘骸的分析卻不需要等到升空時才進行。在事前，多的是時間去評估，而在哥倫比亞號的事件中，即使升空後幾天，還是有挽救的餘地。尤其是O型環和脫落殘骸的問題既不複雜，也不是非線性流程。它們的發生並非出乎意料或不可預見。氣溫不過是比過去低了幾度，讓O型環失去彈性的情況比過去更嚴重了一點。隔熱絕緣泡綿在航行中脫落擊中太空梭以前也發生過，只不過這次脫落的尺寸大了一些。這兩件事並不是突然惡化成一連串不可控制的失誤，以設計的角度來看，它們對太空梭命運的影響十分清楚，原因和結果根本是一條直線。
因為O型環和脫落殘骸引起的太空梭爆炸，並不能歸類成緊密連結的常態事故。它們的複雜和失敗關鍵來自於由美國太空總署和外界包商組成的架構。而太空梭升空為緊密連結的事實，讓一層層的組織再考慮進行／不進行的決定時間也不多。就像在哥倫比亞號失事調查報告中說的。「組織結構和階層阻礙了技術問題的有效溝通，症狀被忽略，人們不敢發言，技術上有用的消息和反對的意見無法傳到高層的耳朵裡。」
太空梭計畫的飛行安全評估和《升空準備審查報告》（Flight Readiness Review），曾在一九八六年對O型環、二〇〇三年對脫落殘骸做過分析，兩者的結論全是在安全範圍內。主管們相信O型環和脫落殘骸不至對太空航行造成威脅，而且有好幾年的成功任務為其撐腰。對那些站在反對立場的工程師們而言，《升空準備審查報告》只不過是參考資料，他們蒐集了許多前例展示在事情出錯時，後果將難以估計。但除非工程師們能馬上證明這些問題現在危及到航行安全，否則根本不被採信。隨著太空梭一次又一次的發射成功，這兩種風險也就愈來愈被當成是無關緊要的小事。更何況O型環失去彈性或殘骸脫落擊中太空梭，本來就不在設計的考量內，自然也就不包括在原始的升空設計中。沒有人能證明它們有問題，直到災難真正發生。
◎安全措施愈多，錯誤藏身地點就愈隱蔽
在原有的安全措施上再增添另一層防護，到最後的結果就是換來人們的敷衍行事。你絕對不會達到預期的安全程度，因為互動中有太多的點可以讓錯誤藏身。安全措施愈多，錯誤藏身的地點就愈隱蔽。理論上，只要在關鍵點上多加兩個安全鈕，在三個按鈕各自獨立的前提下，本來百分之一的失誤機會就只剩百萬分之一。但事實卻非如此，三個按鈕的設計和組裝可能相似、使用的零件可能重複、連接的電源可能一樣、指示系統可能共用。更糟的是，它們可能會互相干擾，到最後的失誤機會說不定還大過百分之一。
舉例來說，底特律愛迪生公司（Detroit Edison）的實驗增殖反應器（breeder reactor）裡被加裝了一片鋯（zirconium）金屬，以保護核能反應爐裡的鋼製核心。這是工廠領班的主意，覺得加了鋯片一定比較安全。結果鋯片經過一段時間後鬆脫，擋住冷卻劑的出入口，差點導致核能災變。而這片鋯是在設計完成後，組裝的最後一分鐘才裝上的安全裝置，工廠沒有將它標示在製造藍圖上，讓事後在探討為什麼冷卻劑出入口會堵塞時更加困難。還好反應爐在發現少量燃料融化時很快關閉，才沒有釀成大禍。
◉車諾比爾的教訓
底特律至今還在地圖上，但另外一件也是安全裝置引起的災難可沒那麼好運了。車諾比爾（Chernobyl）位於烏克蘭首都基輔（Kiev）北方八十哩處。和所有核能電廠一樣，在主要發電機有問題時，它的備用發電機就會接手。為了防患未然，它更打算增加第三個電力供給。在主要系統停止後，從發電廠的慢速渦輪機拉出一部分電力，直到柴油備用發電機可以接手。第四號反應爐要關閉進行例行維修，操作員想利用這個機會測試一下新的備用系統。測試的目的在看看新備用系統是否能在停電時，產生足夠的電力操作緊急儀器和爐心冷卻幫浦，直到柴油備用發電機產生的電力送達。為了測試新系統，操作員將部分關閉的開關切斷，好讓備用系統在運行時不會受到干擾。然後他們將緊急爐心冷卻系統關閉，反應爐的運轉也調成平常的一半。但在測試途中，反應爐的爐心溫度突然急速上升。在自動反應系統已經被刻意關閉的情況下，操作員試著以手動救災。但是他們既沒受過足夠的訓練，時間也太過緊迫，一直無法將系統關閉。反應爐開始變得極不穩定。
不穩定的原因出自反應爐裡蒸汽製造、燃料溫度和中子分裂三個過程產生複雜相互影響的設計。高功率運轉或減少水流都可提高蒸汽的產量。因為蒸汽的濃度比水低，不像水會吸收中子，所以蒸汽愈多，燃料分裂的中子就愈多。但這樣做會同時產生另一個相對作用：高功率運轉意味著溫度升高，而高溫會減少中子的產量。不同的火力產生不同的蒸汽和溫度。當火力全開時，高溫減少的中子產量遠比蒸汽增加的中子產量多。在低功率運轉時則相反，溫度減少的中子產量不夠抵消蒸汽的低吸收力，中子的產量於是跟著上升。
車諾比爾核能電廠在測試新系統時，功率運轉低到反應爐裡全是沒什麼吸收力的蒸汽。倒楣的操作員試著將功率運轉開大，好讓溫度和蒸汽回到溫度壓過蒸汽的平衡狀態。操作員將所有自動系統關上，以手動控制讓溫度上升。但由慢速渦輪機提供電力的幫浦在此時打進反應爐的水量變少，讓蒸汽的產量更大，更加惡化了反應爐不穩定的狀況。上升的溫度讓手動控制失去了效用，熱燃料的分子和水產生反應，造成蒸汽爆炸，摧毀了反應爐爐心。兩分鐘後，發生了另一次爆炸，摧毀了反應爐，造成大量的放射性物質外釋。
幾個月內，三十人因此喪生。根據保守的烏克蘭放射學會（Ukraine radiological institute）估計，在接下來幾年內，造成超過兩千五百人死亡。而西方研究機構發表的數字更高達十萬人。大多數死於癌症。
◉利用法規降低複雜度
這些災難帶給金融市場什麼樣的啟示？事後回想，的確很難理解為什麼會縱容這些意外失控。根本的問題是組織太過複雜，尤其在風險控管上更是如此，加上出乎意料的事故，還有人為疏失，終究一發不可收拾，錯誤像瀑布一樣不斷出現，而且程度一次比一次嚴重，很快超過了組織和流程所能負荷的程度。
至少我們可以從一九九七年亞洲風暴裡法令規範扮演的角色學到一個教訓。就像前面說過的，為了防止銀行倒閉，相關單位所做的第一個動作就是以資本額為基準，設下一個允許銀行承受的風險上限，它本來的立意是讓銀行在危機發生時，自行做出適當的處理。銀行如果因不當投資造成資本損失或發現它的放款變呆帳的可能增高了，它就得費掉資產或召回貸款以符合法令要求，減低額外損失的風險暴露。問題在於，賣掉資產或追回貸款並非獨立事件，如果那個區域已經處在緊張狀況中，銀行的行動無疑會火上加油，導致價錢進一步下滑，於是讓所有銀行的資本再度受損，點燃另一波流動需求。多出來的賣壓會使市場震盪加劇，表示銀行投資的風險再增加，亦可能引發流動需求。於是，要用來控制風險的措施，反而成了流動危機的起因。
我要說的重點很簡單，加上一層又一層的法規和組織控管所構成的風險控制，不但不能解決所有因金融市場設計中的複雜性和緊密連結引發的問題，反而會讓情況惡化。但這也不表示我們應該將所有的法令規定全數丟棄。比較好的做法應該是先利用法規降低複雜度，而不是放任發展之後，再試著回過頭來控制它。