COGNITION / J-SYSTEM15 SEP 2026
认知 67｜安全边际⑳｜错误要让人看见，而不是让流程停下
前面几篇讲的安全边际，大多是在「留余量」：给人留，给制度留，给身体留。这一篇讲另一种边际：错误出现时，系统怎么对待它。
一个系统怎么对待错误，比它犯多少错更重要。最危险的不是有错，是错被藏起来；第二危险的，是一有错就整个停下。
藏 01 错进了结果 |
停 02 逼人藏错 |
显 03 尽早被看见 |
小明哥这几天在看一个自动算账的系统设计，里面有一条规矩让我想了很久：错误怎么显出来，但不拦报告出门。 对不上的数，列在报告第一页，标「待确认」，报告照样按时送到。
COGNITION / 01
一、对待错误，有三种做法
第一种：藏起来。 发现对不上，悄悄填一个看起来合理的数，报告照常发出。表面上一切正常，错误被埋进了结果里。下一次、再下一次，都在这个错上继续算。
第二种：停下来。 只要有一处对不上，整个流程就停，等人处理完再继续。看起来最严谨，代价是：一个小错，就让所有对的部分也一起卡住。
第三种：显出来。 对的部分照常交付，错的部分单独标出来，放在最显眼的地方，等人确认。
很多人以为第二种最安全。其实它和第一种有一个共同点：都会让人慢慢学会把错误藏起来。
COGNITION / 02
二、为什么「一错就停」会逼人藏错
一个系统如果一有错就全停，每一次报错都意味着：整条线卡住、所有人等着、有人要被追问。
时间一长，大家就会学到一件事：报错的代价太高了。于是遇到拿不准的地方，人会倾向于先填一个差不多的数，让流程走下去，回头再说。回头往往就忘了。
所以「一错就停」的严格，最后常常换来的是更多的「藏」。这和安全边际① 讲的是同一个道理：规则不留余地，人就学会自保。
让报错变得昂贵的系统，最后收不到报错。
COGNITION / 03
三、「显出来」为什么是安全边际
「显出来」的做法，同时给了两样东西留余地。
给流程留余地。 一处错，不拖累其他九十九处对的。该送的照样送到，人照样能用。
给错误留余地。 错误不必马上解决，但必须马上被看见。它被放在第一页，写清楚「哪里对不上、差多少」，等人有空时来判断。
这样做的前提，是把「看见错误」和「解决错误」分开。看见要快、要显眼；解决可以慢一点，由该判断的人来判断。
COGNITION / 04
四、要让「显出来」真的起作用，有三个条件
第一，显眼。 待确认的东西放在最前面，不能埋在附录第十页。藏在角落里的提示，等于没提示。
第二，有人认领、有期限。 「待确认」如果没人管，会越攒越多，变成一块没人看的地方，最后和藏起来没区别。
第三，绝不替错误编答案。 对不上就写对不上，不许为了让报告好看，猜一个数填进去。猜出来的数，比空着的格子危险得多，因为它看起来是对的。
COGNITION / 05
五、这条道理不只适用于机器
人和组织也一样。
一个团队里，如果谁报出问题谁就挨骂，大家就会把问题捂到捂不住为止。如果报出问题的人能得到感谢，问题会在还小的时候就被看见。
一个人对自己也一样。犯了错，最容易的反应是要么假装没发生，要么一下子全盘否定自己、什么都不做了。更好的做法是把错写下来：哪里错了、错多少、怎么补，然后接着把其他事做好。
COGNITION / 06
六、这个判断也有它管不到的地方
—有些错必须马上停。 涉及安全、涉及钱已经动了、涉及收不回的后果，就该立刻停下。「显出来不停」适用于错了还能改的事。—显出来的错太多，人也会麻木。 如果第一页每次都有一长串待确认，人会习惯性跳过。这时候要回头查：是不是系统本身出了问题，而不只是一个一个地处理。—什么情况下这个判断算错： 如果一个系统采用「一错就停」，人们却从不藏错，报错一直很多、很早，那就说明它的文化或激励已经解决了这个问题，「显出来」就不是唯一的办法。
最后收成一句话：
错误不可怕，看不见的错误才可怕。好的系统不追求没有错，而是让每一个错都尽早被看见。