芒格原话
第一手出处 · 逐字引文"告诉我我会死在哪里，这样我就不去那个地方。"（"Tell me where I'm going to die, so I'll never go there."）
查理·芒格（本页引文出自芒格第一手出处）
原典解读
忠于原典 · 卡片化定义：正常事故（Normal Accidents）——查尔斯·佩罗提出的一个反常识判断：当系统同时具备"复杂交互"与"紧耦合"两个特征，灾难性事故就不再是"会不会发生"的问题，而是"什么时候发生"的问题。复杂交互指部件之间会以设计者没料到的方式互相影响；紧耦合指环节之间没有缓冲地带，一个小故障会瞬间传遍全网。两个特征叠加，等于给事故装上了"必然发生"的引擎——再完善的安全措施，也只能推迟它，不能取消它。
核心论述：把"交互"和"耦合"做成坐标轴，得到四种系统：简单+松散（装配线）——出事也好收拾；简单+紧密（水坝）——传导快但路径清晰；复杂+松散（大学、实验室）——经常出怪事，但有时间消化；复杂+紧密（核电站、航天、现代金融）——正常事故的高发区，故障在你看懂之前就已蔓延。芒格的应对是选边站：不碰看不懂的复杂系统，把伯克希尔建成反例——结构简单、环节松散、现金充裕、不用杠杆。杠杆正是"紧耦合"在金融里的化身。
定义：安全措施的悖论——正常事故理论里最扎心的一条：用来防事故的装置，本身可能制造事故。多一套备份，就多一批零件、多一堆新的交互、多一个"谁来监督监督者"的死结。在紧耦合系统里，安全阀有可能把一场本来能局部熄灭的小火，一路输送成燎原之势。
核心论述：悖论有三副面孔。第一，添砖加瓦式风险：每加一层备份、监控或审批，系统就膨胀一圈；三里岛控制室上千盏指示灯本是安全配置，事故当晚却成了压垮判断的信息海啸。第二，幻觉式风险：华尔街的 VaR 模型让银行家们相信风险已被"精确计量"，于是放心地加了更大的杠杆——模型对真正的尾部一无所知，安全感却是十足的。第三，堰塞湖式风险：小危机被一次次压住，不代表消失，而是攒成大危机；2008 年前十几年的"大缓和"低波动，攒出的正是一场系统性决堤。
场景：判断一个行业、一家公司值不值得重仓之前，先给它做"事故体质"体检（投资者清单，见本页 §07）。
步骤：1. 先定位象限——这家公司的系统处在佩罗矩阵的哪一格？落在"复杂+紧耦合"，就要按"事故必至"来定价，安全边际往厚了留；2. 别信"多年无事故"——去查这几年它的复杂度和耦合度是升是降，上升期的"平安无事"多半是运气；3. 说不清就绕行——如果管理层三句话讲不清商业模式，这家公司大概率藏在危险象限里；4. 投"做减法"的管理层——主动拆复杂、松耦合的团队，才是和正常事故理论站在同一边的。
避坑："零事故纪录"是最贵的幻觉——太平日子越久，人越敢加注、缓冲越薄，事故的当量反而越大。
场景：亲手管系统、搭组织、配组合时，把"事故一定会来"当作设计前提（管理者清单见 §07，跨模型见 §08）。
步骤：1. 出事后先做减法——本能是加审批、加监控，但复杂本身就是病灶，有时最好的补丁是拆掉一层；2. 把目标从"零事故"换成"不致命"——死磕零事故会逼大家隐瞒小错，等于自废预警系统；3. 建"有惊无险"档案——大事故动手前，总有几次"差点出事"，航空业就是把这些侥幸挨个复盘才换来今天的安全纪录；4. 给一线留直达通道——让最接近风险的人的警告，不被层层修饰地送到拍板人桌上；5. 每年给系统"称体重"——解决一个问题加一个流程，几年下来风险体质可能已面目全非。
避坑：别拿"事故难免"当躺平的理由——佩罗是要你挑值得运行的系统，不是让你放弃让系统变好。
我们有三个篮子：进入、退出、太难。大多数东西都应该进入"太难"的篮子。（"We have three baskets: in, out, and too hard. Most things should go in the 'too hard' basket."）
扩展阅读
真实案例 · 与 L1 隔离三里岛——在细节中看见理论 历史事件
摘要（120–150 字）：三里岛是"正常事故"教科书：单点故障可应对，但它们同时爆发、经未预见路径关联、叠加超人类诊断。凌晨4:00:36主泵停机，辅给水启动——两周前维修关的阀忘重开，标签挡住指示灯。泄压阀卡住，灯只显示"指令已发"，操作员认定阀已关。两小时数百报警，心智锁定"水过多"（实际相反），每次"修正"加重病情。
挑战者号——偏差正常化 历史事件
摘要（120–150 字）："偏差正常化"——沃恩给挑战者号的诊断：多次O型圈侵蚀未酿灾，偏离标准久而变"可接受"。发射日佛罗里达零下2度，低于NASA最低标准；O型圈低温失弹性，73秒后燃气喷出，七人遇难。工程师博伊斯乔利前夜强烈反对，警告在决策链中被过滤。商业同理：反复违规却无恙，规则被悄悄放松，直到黑天鹅降临。
2008 年——金融系统的"三里岛" 历史事件
摘要（120–150 字）：2008年最像三里岛的一幕：监管者见海量报警，却判不出真危险——伯南克2007年3月还说"次贷不会扩散"。非无能，是认知困境。2000年代中期金融集齐条件：交互复杂（CDO、CDS层层打包）；紧耦合（衍生品、同业拆借互联，市值计价瞬间传导）。2006年底房价止涨的"小故障"沿复杂路径扩散，引爆系统。
跨模型互见：关联模型节 13 条链接 跨模型互见
摘要（120–150 字）：本卷坐标：逆向思维（先假设失败再倒推）、能力圈（不进看不懂的系统）、安全边际（为意外留缓冲）、紧/松耦合（核心维度）、容错设计（结构性回应）、单点故障（触发点）、断裂点（越过难恢复）、故障模式分析（系统识别）、复杂适应系统（更广框架）、脆弱与反脆弱、涌现性（负面涌现）、检查清单、自组织临界性（灾难内
设计者的三个选择，比"如何防事故"更根本：哪些复杂性是必要的？哪些耦合可以松开？哪些技术的风险收益比根本不值得承担？佩罗把这套写进学术论文，芒格把它活进伯克希尔的组织架构——两个人用不同语言说同一件事：在看不懂的复杂世界里，最深的智慧不是学会控制系统，而是学会与系统的不可控性共存：简化、留白、承认无知。更好的培训、更严的监管、更精密的安全措施，都清零不了结构性风险；能做的，是更诚实地承认它，然后在设计层面做根本选择。
别拿"正常事故"当管理失职的挡箭牌——理论有三条护栏。第一，它只覆盖"一切都做对了、事故还是发生了"的情形，源于草率管理或明显违规的不在此列；第二，复杂+紧耦合不等于不可管理——航空业靠标准化程序、强制报告和持续学习，把事故率压到极低，"正常"不等于"束手无策"；第三，不许躺平——"事故不可避免"推不出"不用努力"，理论的正用是帮你重想"哪些系统值得运行"，不是发放弃抵抗的许可证。
四个反直觉，挨个打破"人祸"叙事：其一，加安全措施可能加事故——挑战者号的层层审查，让每层都默认"别人已检查过"，关键信息在"人人负责"里稀释成"无人负责"；其二，操作员的"错"往往是设计的果——三里岛那两小时，同样的信息换谁上都一样，追责个人掩盖的是该修的系统设计；其三，老手可能比新手更危险——过度自信于心智模型，更难接受"系统正在以从未见过的方式失败"；其四，冗余不总等于安全——复杂交互系统里，每套备份都新增组件与交互，有时反而开辟新故障路径。责任不在人，在结构。点睛：中文语境里"层层加码保安全"的执念并不陌生——审批链条越长，每一环越默认"上一环已经把过关"，责任在传导中被稀释殆尽。佩罗的矩阵不分国界，它只问设计者一个问题：敢不敢承认，这个系统已经复杂到超出了你的理解半径。