边界侵蚀在事故前不可见
别名: 安全余量漂移 · 风险迁移 · drift into failure
概念解释
不可见的安全余量侵蚀（invisible safety-margin erosion）指系统的运行状态在逐步逼近一个未知或没有被显式测量的失效边界，而常规的产出与事故指标仍然显示一切正常。"不可见"不是说这个过程原理上无法观察，而是组织日常测量的是产出和是否发生事故，没有把缓冲余量、防护屏障的健康状态和恢复能力当作独立的、持续追踪的对象。
机制
安全边界很少是单一变量的一条硬限值（像"温度不能超过某个值"那样容易显示），它通常由多个变量和当时的具体情境共同决定——同一个操作在这次的负荷、人员配置、设备状态下是安全的，换一种情境组合就未必。这种多变量、情境依赖的性质使边界本身难以被压缩成一个能放在仪表盘上的数字。
Rasmussen 的漂移模型进一步指出，每一次局部调整——跳过一个这次看起来不影响结果的检查、把维护窗口再压缩一点——当事人都能给出充分的、针对当时具体情境的理由，单独看都是对局部条件的合理适应，不是失职。累积起来的漂移路径只有在事后把一长串这样的局部适应串联起来才能看出方向性；身处其中的人只看得到"这一次"的调整，看不到"这一系列"调整正在往哪个方向走。
更关键的是，在事中，系统持续正常运行这个事实本身会被当作"目前的做法是安全的"的证据，反过来强化下一次继续朝边界方向调整的信心——如果这么做真的危险，不是应该已经出事了吗？这是一种自我强化、自我掩盖的过程：不是有人刻意隐瞒漂移的发生，而是漂移的存在恰恰依赖于这种"运行正常即证明安全"的错误推理，推理本身就是漂移得以继续的机制，不需要额外的隐瞒动作。反馈的不对称加剧了这一点：越界失败会立刻产生强烈信号，而余量持续变薄本身不产生任何信号，只有真正触底才会被发现。
怎么研究
构建随时间变化的余量代理变量，例如备用能力占用率、检查与维护的延期时长、旁路启用的频率与持续时间、异常状态的滞留时间、系统从扰动中恢复所需的时间，并把这些代理与运行情境（负荷、人员配置、外部压力）联合分析，观察代理是否随情境压力单调变化。
每个代理都需要单独验证它与某个具体防护功能之间的关系，不能因为一个变量容易采集就默认它代表风险——"容易数"和"有信息量"是两回事。做事故前后对比研究时要特别警惕事后偏差：很容易在事故发生之后回头挑出几个"早就该发现"的指标，但这些指标在事故发生前的大量正常运行期里可能同样出现过却什么都没发生，只有先验证这些指标在未出事的样本里也具有区分度，才能说明它们真的提前给出过信号。
边界
有一部分边界可以由物理模型和联锁系统清楚定义并直接显示（压力、温度这类有明确物理限值的变量）；另一部分边界只能用不确定的代理变量去估计，代理和真实边界之间总有误差。给系统装上更多仪表并不能消除"未知的未知"——有些失效模式在被仪表化之前根本没有被想到过，不在任何代理变量的覆盖范围内。把多个代理合成一个单一的"安全分数"还可能制造虚假的精确感，让人误以为一个数字就能代表一个多维、情境依赖的状态。
怎么落地
- 展示缓冲和屏障的趋势线以及数据的不确定区间，而不是一个非红即绿的单一指示灯——趋势比瞬时值更能反映漂移方向。
- 为多项各自看起来微小的退化设置组合触发的评审机制（例如旁路上升、检查延期、加班增加同时出现时主动触发复核），并让评审者能拆开看每一项具体构成，而不是只看到一个综合分数。
- 用历史近失事件和主动的压力测试（在可控条件下刻意推高压力，观察代理变量的反应）反向检验：只有代理变量在事故发生前的真实数据里能提前给出可用的行动窗口，才说明它们有效；拿不出这种回溯验证的代理不能直接上线使用。