AI自动化时代的盲区：人的疲惫才是系统最大风险

一则军事新闻引发的技术思考

近日，一则关于美军林肯号航母（USS Lincoln）水兵疲惫不堪、士气低落的报道在Hacker News社区引发讨论。虽然这本质上是一则军事与人力管理的新闻，但在以技术极客为主的Hacker News上获得关注，恰恰折射出一个被科技行业长期忽视的核心命题：在自动化、AI和系统效率无限提升的时代，人的极限与心理承受能力却始终是那块最短的木板。

这条帖子获得了29个点赞和6条评论，讨论热度不算爆炸，但其出现在技术社区本身就值得玩味。它提醒我们，无论军事系统还是软件系统，最终的可靠性都取决于操作它的人。

高压系统中的"人的因素"：疲劳如何摧毁可靠性

部署时长与人员透支

据报道，长期在伊朗附近海域执行任务的水兵们正遭受身心透支。现代航母是一个高度复杂的技术系统——林肯号属于尼米兹级航母，是人类历史上建造的最复杂的单一机器之一，舰上搭载超过5000名船员，运行着数百个相互关联的技术子系统。

尼米兹级航母是美国海军现役主力航母，满载排水量超过10万吨，由两座A4W核反应堆驱动，可持续运行超过20年无需更换核燃料。舰上的技术系统层级包括：推进系统、电力分配网络（相当于一座小城市的电网）、航空作战管理系统、雷达与电子战系统、损害管制系统等数百个子系统。这些系统之间存在复杂的依赖关系和反馈回路，任何单一系统的异常都可能通过级联效应影响整体作战能力。这种"系统之系统"（System of Systems）的架构特征，与现代超大规模分布式计算系统（如微服务架构）高度同构——都面临着局部失败如何被隔离、全局状态如何保持一致、以及降级策略如何设计等核心挑战。

从核反应堆动力系统到宙斯盾作战系统，从电磁弹射器到航空管制网络，任何一个环节的失误都可能引发连锁反应。宙斯盾作战系统（Aegis Combat System）是美国海军最核心的舰载防空与导弹防御系统，由洛克希德·马丁公司开发，其核心是AN/SPY-1相控阵雷达，能够同时追踪数百个空中目标并引导多枚导弹进行拦截。整个系统的软件代码量超过数百万行，实时处理来自多个传感器的数据流并做出毫秒级的威胁评估。然而，最终的武器释放决策仍需人类操作员确认——1988年文森尼斯号巡洋舰误击伊朗民航客机（IR655航班，290人遇难）的悲剧，就是在高压环境下操作员对系统信息做出错误判断的典型案例，深刻说明了人在复杂技术系统中的认知脆弱性。

这种系统复杂度与大型互联网公司的基础设施具有高度相似性。Google的全球基础设施包含超过30个数据中心区域、数百万台服务器，通过自研的B4网络互联；Amazon AWS在全球运营超过30个可用区，每个可用区本身就是一个包含数万台服务器的独立数据中心集群。这些系统的共同特征是：永远不能完全停机进行维护，必须在持续运行中完成升级、故障修复和容量扩展——这与航母在部署期间必须保持战备状态、无法"停下来休息"的约束条件完全一致。但支撑这些系统持续运转的，依然是需要休息、需要心理支持的人类操作者。

当部署周期被无限拉长、轮换机制失灵时，即便是最精密的装备，也会因为操作者的疲惫而面临风险。这与软件行业中"on-call疲劳"（值班疲劳）的现象惊人地相似——工程师们被要求7×24小时响应告警，长期处于高压待命状态，最终导致判断力下降、离职率攀升。

On-call制度起源于医疗行业，后被软件运维领域广泛采用。工程师在值班期间需要随时响应系统告警，即使在深夜或周末也不例外。研究表明，持续的on-call状态会导致睡眠碎片化、慢性压力荷尔蒙（皮质醇）升高，以及决策质量在72小时后出现显著下降。PagerDuty等告警管理平台的数据显示，高频告警团队的工程师平均任职时间比低频告警团队短40%以上。认知负荷理论（由教育心理学家John Sweller于1988年提出）为理解这一现象提供了理论框架：当工程师面对告警风暴时，需要同时维持对系统当前状态的心智模型（内在负荷）、在多个监控界面间切换获取信息（外在负荷）、并将异常现象与历史故障模式进行匹配（关联负荷）。当这三种负荷之和超过工作记忆容量（通常为4±1个信息块）时，决策质量就会急剧下降。无论是军舰上的水兵还是屏幕前的工程师，长期透支的结果都是系统性风险的无声累积。

士气：无法被量化却决定成败的关键指标

士气（morale）是一个难以用KPI衡量的软性指标，却直接决定了组织的实际战斗力。在军事领域如此，在技术团队中同样如此。一个士气低落的工程团队，代码质量、事故响应速度、创新意愿都会显著下滑，但这些损失往往在灾难发生前难以被察觉。

组织行为学研究将这种现象称为"沉默的降级"（Silent Degradation）——团队成员并未明确表达不满或抵抗，但其投入度和主动性已经悄然下降。在软件工程中，这表现为代码审查变得敷衍、技术债务被默许积累、本可避免的bug因为"没人多看一眼"而流入生产环境。这些微小的质量滑坡在统计图表上几乎不可见，直到某天它们汇聚成一场重大事故。这一模式在安全工程中被称为"正常化偏差"（Normalization of Deviance），由社会学家Diane Vaughan在研究1986年挑战者号航天飞机灾难时提出——组织逐渐习惯于接受越来越大的风险偏离，直到灾难性失败不可避免地发生。

从军舰到数据中心：自动化的两面性

技术能替代多少人力？

这则新闻背后隐藏着一个更宏大的问题：为什么在自动化技术如此发达的今天，我们依然需要让人承受如此高强度的持续劳动？

答案在于，自动化解决了重复性、可预测的任务，却无法完全替代需要判断、应变和责任承担的岗位。 无论是航母上的关键决策，还是运维一个大型分布式系统，最终仍需人类在环（human-in-the-loop）。

Human-in-the-loop（人在环中）是控制论和人机交互领域的核心概念，指在自动化系统的决策或执行链路中，保留人类参与和干预的节点。这一设计模式广泛存在于自动驾驶（L3级别仍需驾驶员随时接管）、军事打击链（武器发射需人类授权）、金融交易（大额交易需人工审批）等场景。其核心矛盾在于：系统设计者希望人类在极少被需要时仍能保持高度警觉和快速反应能力，但认知科学证明这几乎不可能——长期处于"监督而非操作"状态的人类，警觉度会急剧下降，即所谓的"自动化讽刺"（ironies of automation）。这一悖论由英国认知科学家Lisanne Bainbridge在1983年的经典论文《Ironies of Automation》中首次系统阐述。她指出了一个深刻的矛盾：设计自动化系统的原因通常是因为人类不可靠，但自动化系统越成功，就越需要人类在极端情况下做出关键干预——而此时人类因为长期缺乏实践，反而变得比没有自动化时更不可靠。这一悖论至今仍是人机系统设计中最核心的未解难题之一。

技术的进步在很多时候并没有减轻人的负担，反而通过"效率提升"的名义，让单个人承担了更多的系统复杂度。

AI时代的新命题：80/20陷阱

随着AI Agent和自动化运维工具的普及，行业普遍宣称将"解放人力"。但现实往往是：自动化处理了80%的常规工作，却将剩下20%最棘手、最需要即时反应的问题全部压在少数值守人员身上。这些人反而承受着比过去更集中的认知负荷和精神压力。

这一现象在学术上被称为"自动化悖论"或"最后一英里问题"。当自动化系统处理了大部分常规情况后，留给人类处理的都是系统无法识别或应对的异常情况——这些往往是最复杂、最紧急、最高风险的场景。更棘手的是，由于人类平时缺乏处理这些问题的实践机会（常规情况已被自动化接管），当异常真正发生时，操作者的技能可能已经因为缺乏练习而退化。这在心理学中被称为"技能衰退"（skill decay），研究表明精细运动技能在6个月不使用后可衰退20-40%，而复杂认知技能（如异常诊断和多系统协调）的衰退速度更快。

特斯拉Autopilot的多起致命事故就呈现了这一模式：驾驶员在长时间无需操作后突然需要接管，反应时间远超正常水平。2018年Uber自动驾驶测试车在亚利桑那州撞死行人的事故同样印证了这一点——安全员在事故发生前正在观看手机视频，因为长时间无事发生导致其注意力完全脱离了监控任务。在航空领域，FAA（美国联邦航空管理局）已经多次警告飞行员过度依赖自动驾驶导致手动飞行技能退化的问题，并在2013年发布了专门的安全警示，要求航空公司增加飞行员手动操控训练的频次。

林肯号水兵的困境，某种程度上是所有高度自动化组织的隐喻——机器可以不知疲倦地运转，但操作和监管机器的人不能。

技术社区为何关注此事：SRE视角的解读

系统可靠性的共通逻辑

Hacker News用户对这则新闻的关注并非偶然。在SRE（站点可靠性工程）领域，人的疲劳被明确列为系统故障的重要诱因。Google的SRE手册专门讨论过值班压力、认知负荷预算等问题，强调必须为人类设定可持续的工作节奏。

具体而言，Google在其开创性的《Site Reliability Engineering》一书（2016年出版，由Betsy Beyer等人编辑）中明确规定了多项保护人力可持续性的原则：on-call工程师每次轮值不超过12小时，每个季度的on-call总时长不超过25%，每次事故响应后必须有足够的恢复时间，以及"错误预算"（error budget）的概念——当系统可靠性指标超标时，团队不仅不会被惩罚，反而被鼓励放慢节奏、偿还技术债务。错误预算的核心逻辑是：如果一个服务的SLO（服务水平目标）设定为99.9%可用性，那么每个季度就有0.1%的"允许不可用时间"（约8.7小时）作为创新和变更的空间。这个机制巧妙地将"追求创新速度"和"维护系统稳定"之间的永恒矛盾转化为一个可量化的权衡框架。此外，书中还提出了"认知负荷预算"的理念，将工程师的注意力和判断力视为有限资源进行管理，就像管理CPU和内存一样。这一框架后来被Netflix、Meta等公司广泛借鉴，形成了现代运维管理的行业共识。

军事系统与大型技术系统在这一点上完全相通：任何忽视人力可持续性的高压运转，最终都会以事故的形式偿还债务。 一次因疲劳导致的误判，无论发生在军舰指挥室还是生产环境的控制台，代价都可能是灾难性的。

历史上不乏这样的案例。2017年8月21日，美国海军阿利·伯克级驱逐舰"约翰·麦凯恩"号在新加坡海峡附近与利比里亚籍油轮发生碰撞，导致10名水兵死亡、5人受伤。美国海军随后的调查报告揭示了多层次的系统性失败：船员在高强度部署中累积了严重的睡眠债务，关键岗位人员对舰桥操控系统的操作训练不足，以及指挥链中的沟通断裂。值得注意的是，同年6月另一艘驱逐舰"菲茨杰拉德"号也发生了类似的碰撞事故（7名水兵丧生），两起事故促使美国海军进行了全面的作战节奏和训练制度改革，包括强制规定最低睡眠时间和增加训练认证要求。

而在科技领域，2017年2月28日Amazon S3在美东区域（us-east-1）发生了长达近4小时的严重中断，影响了互联网上大量依赖S3的网站和服务。根据Amazon的事后报告，一位工程师在执行例行的计费系统调试时，运行了一条用于移除少量服务器的命令，但由于输入参数错误，移除的服务器数量远超预期，导致了两个关键子系统的级联故障——一个在充分休息和低压环境下极不可能发生的人为失误。这一事件的教训不仅在于操作流程缺乏足够的安全护栏（如二次确认、影响范围预估），更在于它揭示了即使在世界上最成熟的云基础设施中，单个人类操作者的一次失误仍然可能引发全球性影响。

对科技行业的警示

这则看似与技术无关的新闻，实则为整个科技行业敲响警钟。当我们狂热地追求系统的自动化程度、部署频率和运转效率时，是否为其中的人类留下了足够的喘息空间？

当前科技行业正经历一轮显著的"效率至上"浪潮——大规模裁员后，幸存的工程师被要求以更少的人力维持甚至扩展同等规模的系统。AI工具被引入以弥补人力缺口，但这也意味着每位工程师需要监管更大范围的自动化流程，承担更广泛的职责边界。这种"用技术杠杆放大单人产出"的模式，在短期内可能显示为效率提升，但其对人员可持续性的侵蚀正在暗中累积。Gartner的研究数据显示，2023-2024年间经历裁员的科技公司中，留任工程师的工作量平均增加了30-50%，而倦怠（burnout）报告率上升了近60%。这种模式与军事领域"用更少的人做更多的事"的压力异曲同工——当冗余被视为浪费而非安全边际时，系统距离崩溃就只有一次意外事件的距离。

结语：真正可持续的系统必须尊重人的边界

林肯号水兵的疲惫与低落士气，是一面镜子，照出了所有高压系统的共同软肋。技术可以不断进化，系统可以持续优化，但人的极限是相对恒定的。

在AI和自动化被寄予无限期望的当下，我们更应该记住：真正可持续的系统，不是压榨人到极限的系统，而是尊重人力边界、为人的恢复留出余地的系统。 无论是航母还是数据中心，忽视这一点，都是在透支未来。

正如复杂系统理论所揭示的：一个系统的韧性（resilience）不仅取决于其组件的性能上限，更取决于在压力下保持功能的持续能力。韧性的概念源于生态学领域，由加拿大生态学家C.S. Holling于1973年首次系统提出，后被Sidney Dekker、David Woods等安全工程学者引入组织管理领域，形成了"韧性工程"（Resilience Engineering）学派。该学派的核心主张是：安全不是"没有事故发生"的静态属性，而是组织在面对意外和压力时持续适应和恢复的动态能力。在这一视角下，人的冗余——充足的休息、心理健康支持、技能多样性、以及允许犯错和恢复的组织文化——不是"成本"，而是系统韧性的关键投资。

而人，作为这些系统中最灵活但也最脆弱的组件，其恢复能力和心理韧性的边界，才是真正决定系统长期可靠性的终极约束。