关键基础设施失效的跨边界治理困境与对策

马 永 驰

(山东大学 政治学与公共管理学院，山东 青岛 266237)

关键基础设施系统是由电力、通信、交通运输、能源、供水系统、金融及公共卫生和政府应急服务等构成的动态巨型系统[1](P11-25)[2](P87-92)，该系统关联了社会—技术—管理的三个层面，具有高度的复杂性、广泛的社会嵌入性、紧密的耦合性和多重的相互依赖性等特征，被称为“系统的系统”。现代社会中，该巨型系统已成为支撑社会运转、传递公共服务以及提高公共福利水平不可或缺的载体，在公共管理及日常生活中发挥着越来越重要的作用。然而，随着全球化、互联网等新型信息技术的发展，关键基础设施系统面临着越来越不对称的内外部失效风险。一方面，某单个系统内部或局部故障失效，很容易通过系统间的相互依赖关系形成级联效应，引发大范围跨边界关键基础设施运作失效；另一方面，极端天气与恐怖袭击等外部因素也极易导致关键基础设施系统的关联失效。总之，任何微小的内部或外界的扰动都可能导致系统产生跨越地理边界和功能边界的服务中断，造成严重的社会影响，进而形成跨边界的危机事件[3](P16-41)，如美国的巴尔的摩隧道大火、加州能源危机、中国的松花江污染事件、1998年中国南方雪灾中的多重基础设施跨区域失效、中石化青岛东黄输油管道泄漏爆炸等。

当前，国内外许多学者对关键基础设施失效的危机管理进行了相关研究。[4](P50-59)[5](P107-115)概而言之，多数研究都以单个关键基础设施系统失效为主要研究内容。如突发性危机事件中，单系统关键基础设施内部失效应急管理研究[6](P168-176)；定量化保护关键基础设施系统的建模仿真研究[7](P183-204)；在有限资源条件下对关键基础设施的攻防策略性研究[8](P121-126)；关键基础设施服务缺失与当前应急响应关系研究[2](P87-92)[9](P44-53)。然而，无论是实践上的经验总结还是理论上的探讨和反思都表明，现代社会危机演化传播往往伴随着大规模的关键基础设施系统失效为主要特征[10](P367-377)，传统的着眼于单个系统的优化管理方式已无力应对跨边界关键基础设施失效的治理。因此，有必要重点关注关键基础设施失效引发的跨边界危机与跨边界治理困境，通过分析治理困境的形成因素，探讨突破当前治理困境所需能力构成与治理策略，为关键基础设施的跨边界治理提供对策建议。

一、关键基础设施失效的跨边界治理困境

当关键基础设施失效的原因与响应措施并不明朗时，极易沿着关键基础设施系统网间的关联通道形成大规模连锁失效。[2](P87-92)此类危机在管理上易沿纵向边界、横向边界及外部边界扩散，并涉及多层级政府、各类公共或私人组织及决策者，波及产生的持续时间也难以界定，具有跨地理边界、跨组织功能边界和跨时间边界三个方面特征。[11](P195-207)因此，当发生关键基础设施的跨界连锁失效时，关键基础设施系统的复杂性与跨界特征极易导致系统内和系统间的多重治理困境，使得跨边界关键基础设施治理效率低下。具体说来，关键基础设施失效的跨界治理中存在以下三种困境。

(一)关键基础设施系统间的相互依赖困境

随着现代社会的发展，新型技术已经不可避免地应用于各种管理活动，成为各社会系统的主要推动力，但同时也增加了系统的复杂性和脆弱性。换句话说，新型技术会产生科林格里奇困境，即技术应用初期由于人们认知局限性，难以预测新技术带来的不良后果，即便想控制也不知道该控制什么；而当系统不断变大，不良后果开始凸显时，社会已经难以摆脱对新技术系统的依赖，不良后果变得难以被消减和控制。因此，各类关键基础设施系统的发展在改进了社会运行效率的同时，系统间的耦合性也在增加跨边界连锁失效的风险，使得系统变得难以管理和控制。关键基础设施系统之间大多存在空间上及功能上直接或间接的联系。如电力系统为通信、交通、金融等提供动力，交通为能源提供运输支持，而能源系统为电力系统提供原材料；电力系统又包括电网、电厂等多个有形或无形的组件。当电力系统出现故障时，可能会引发交通中断，造成政府服务等应急响应无法跟进。在系统的紧密耦合与相互依赖作用下，小故障通过滚雪球效应演化升级，最终形成大规模跨边界危机事件。如2003年北美发生了历史上最大规模的全面停电事故，事情诱因是一截树枝导致输电线路损坏，进而引发关键基础设施产生多重连锁失效，最终波及了美国8个州和加拿大的部分地区。

(二)关键基础设施失效与应急响应间的互锁困境

有效危机治理的关键在于应急响应的顺利开展，然而，关键基础设施服务与应急响应之间却存在互为前提的关系。应急响应的顺利实施离不开关键基础设施系统的基本服务(如通讯和交通的畅通)，但跨边界危机蔓延过程中，很容易造成灾区内关键基础设施服务的中断(如电力通讯中断、交通中断阻止了外界救援等)，使得应急响应难以顺利实施，而应急响应困顿又使得关键基础设施无法快速得以恢复，从而出现应急响应与关键基础设施系统之间的“互锁困境”[2](P87-92)[12](P295-301)。这种互锁困境是跨边界危机治理低效率的重要原因。如2008年南方雪灾中，交通的运输依赖于电力的恢复，电力的恢复依赖于电煤的运输,而电煤的运输又依赖于交通的恢复，电力、交通与能源之间形成了致命互锁，使得整场救灾活动步履维艰。再如“9·11事件”中，应急响应指挥中心由于关键基础设施的连锁失效被迫三异其址，应急响应与关键基础设施系统服务恢复曾一度陷入到了的互为前提的僵局之中。[9](P44-53)

(三)跨界危机局势的快速演变与应急响应迟滞间的“刻舟求剑”困境

传统的应急管理体系在面对危机时，通常以行政区域政府为核心，采取自上而下的行政管理方式，关注于调动系统内的备用资源进行应急响应。上述组织方式在应对跨边界危机时，往往由于科层制固有的弱点(如行政分割、官僚之间的冲突、层层汇报审批授权、标准流程下的柔性缺失)而显得力不从心，效率低下。由关键基础设施连锁失效引发的跨边界危机，其危机局势与危机边界往往具有快速演变性和不确性的特征，使得其应急响应工作，极易陷入“刻舟求剑”的困境(寓意解决方案落后于事态的发展越来越远)。如2005年松花江水污染事件中，从一个化工厂的爆炸事件快速演变成一个省的水污染事件、一个跨流域的水危机事件，乃至中俄之间的环境污染外交事件。期间由于行政分割的政府体系动作迟缓与“碎片化”的响应，致使整场危机的应对总是落后于危机的蔓延一拍，导致了危机不断扩大升级。

二、关键基础设施失效跨边界治理困境的形成因素

高可靠性组织理论(HRT)认为，增强组织自身可靠性可以降低事故风险，并强调对安全威胁早期征兆事件的预警，征兆事件显露后的专家研判和快速行为，以及安全预警机制与有效管理机制的结合。高可靠性组织将安全视为组织的首要价值，通过培养一种无所不在的安全文化来保证个人和组织持续广泛地从多个维度提升系统的可靠性[13](P1-26)[14](P19-58)，包括：重视对事故的深入分析；在深入分析的基础上识别系统灾变征兆的集合与条件，并明确灾变征兆与其它信号之间的区别；识别规避系统灾变的正确操作与程序，形成规范集合并持续更新；强调在紧急条件下，组织能迅速转换成一种分布式的、以团队为单位的应急工作模式，并具体明确问题处理流程、角色、职责与汇报关系。[15](P160-176)

然而，Perrow认为高可靠性组织理论具有一定的应用局限性，新技术的运用增加了社会系统的高度复杂和高风险，各系统的交互复杂性和紧密耦合性使得系统间依赖性不断增加。小故障在耦合因素的作用下也会演变成大灾难，因此，大型技术系统的事故是不可避免的。[16](P62-100)同时，高可靠性组织是否贯穿于组织生命周期尚未有定论。正常意外事故理论认为，由于社会—技术系统的复杂性与耦合性并存，社会系统已经被嵌入风险。因此，致力于将安全作为公共管理首要理念并控制组织规模是实现组织安全最重要的两个方面，此外，还应将管理日常操作规范化作为完善组织管理程序的焦点。

关键基础设施的跨边界治理难度不仅在于无法准确预测失效的来源以及造成的后果，而且在关键基础设施系统保护上也存在技术、管理方法、制度、文化等方面的差异，使得关键基础设施系统的评估与跨界管理的问题更加复杂化。因而，系统分析关键基础设施治理困境模式产生的模式与原因，是制定有效措施以保证系统正常运行的前提。关键基础设施系统失效诱因可分为内因和外因两大类(如图1所示)，内因主要指系统自身产生的失效，外因则包括ICT技术、自然灾害和人为的恐怖袭击。一方面，在内外致灾因子的作用下，关键基础设施的局部失效极易沿着系统间的关联关系进行跨界传播，形成大规模的跨界连锁失效。另一方面，传统的应急管理模式中，无论是着眼于调用系统内部自身备用资源的方法[6](P168-176)，还是自上而下的危机应对模式，都极难跟上关键基础设施系统失效传播的速度，以上不足与行政系统在处理跨界问题上的天然弱点(如行政分割、模糊的责任、信息部对称等)交织在一起，将导致连锁失效困境、刻舟求剑困境和互锁困境的产生(如图1所示)。具体而言，关键基础设施失效跨界治理困境的形成因素主要有以下三个方面。

图1 关键基础设施失效的跨边界治理困境与形成因素

(一)关键基础设施系统失效演化的不确定性

一般而言，关键基础设施系统失效的不确定性主要表现为三类：首先，失效风险来源的不确定。[11](P195-207)危机产生的内外诱因很多，难以预知其产生根源，如忘关冷却系统阀门而引发的三里岛核泄漏事件，以及2008年南方雪灾中，由于郴州供电厂的电网没能预留与国家电网连接的高压端口，导致郴州全城停电超过10天而无力改变；其次，失效问题演化的不确定。[17](P18-24)危机发生时，决策者个体和组织层次水平上的认知有限，不能准确预知其引发的其他后果，如美国2001年巴尔第摩隧道大火事件中，一辆载有化学危险品的火车在隧道内脱轨起火，一线响应人员期待火熄灭以后再进入隧道中处理事故，不料大火烧爆了隧道上方的自来水主干管线，数十万加仑的水喷涌而出，又淹没了地势低洼处的变电站，导致了进一步的停电事故。第三，应对方案的不确定。当危机跨界蔓延及危机走向不确定的时候，对危机事件的诊断变得复杂化，加之不同地区不同部分的决策者对危机的解读和诊断不相同，会进一步导致应对方案的不确定性。此外，当跨界危机涉及不同辖区的协同响应时，由于某些应急环节上的次序依赖，一个辖区必须等待另一个辖区减少其不确定性之后才能降低自身应对的不确定性。

(二)分散化的危机管理制度

Boin认为，在各国政府组织应对跨边界危机治理中面临的挑战主要来自于制度方面，传统的应急响应体系大多针对辖区内的常规应急事件与危机而构建，一旦危机跨越多个行政区域，往往会导致一个涉及多方模糊责任归属的局面，加之不同的政策机构分散了管理效率，使得常规制度产生的政治推动力和程序难以满足系统跨边界治理的管理需求。[13](P1-26)在我国，关键基础设施的建设、管理、维护等任务都是基于行政区域划分下放到各级政府，各级决策者大多依据自身资源进行规划，条块管理。这种人为的行政管理体制、分散化的权力及碎片化的公共管理方式，使得系统管理者在地域上和层级上分散化，无法形成系统化、整体的管理意识，导致跨边界关键基础设施失效管理过程中容易出现集体行动困境。[18](P5)在跨边界失效危机发生时，各方出于不同的目标达成与责任规避，往往形成各自为政、行动迟缓或疲于应付的治理局面。

(三)跨边界危机中组织间信息共享机制缺失

高可靠性组织理论强调管理者对信息的分析、处理及共享的重要性，任何关乎风险与威胁的信息都应该成为深入分析的线索，任何侥幸或忽视行为都可能产生错误的决策。跨边界危机中，决策者需要了解系统运行状态以及对周围系统影响，获取及时准确的系统信息至关重要。然而，跨界系统通常会涉及不同的组织部门和功能系统，它们具有不同的逻辑系统和操作系统，分化的政治利益、专业化分工、松散的组织间连接及相对独立的组织功能设置使得组织间信息共享能力不足。同时，由于制度原因产生了碎片化的辖区管理，不同部门的管理权力冲突或自身利益驱动下，容易造成跨边界治理中的信息传递障碍和交易成本的增加，相关部门很容易从个体理性的角度被动地共享有限信息，形成个体理性与集体理性之间的矛盾。此外，在跨界危机的治理中，互惠式的组织协调与协同得益于及时透明地沟通，这对日常并不频繁交互的组织构建组织间的高度信任提出了考验。

三、关键基础设施失效跨边界治理能力构成与策略

在关键基础设施大规模连锁失效中(如大面积停水电、交通混乱、通讯失灵、应急响应服务失效等)，各种复杂微妙的局势对管理者的能力提出了更高的要求，因此构建关键基础设施失效的跨边界治理能力至关重要。依据关键基础设施失效的跨界治理困境与形成因素，相应的治理能力构成与策略应包括以下几个方面。

(一)提高关键基础设施系统风险评估与风险管理能力

系统风险评估是预防大规模关键基础设施失效的重要前提，风险预警管理在一定程度上降低了潜在危机的发生概率。[19](P911-915)高可靠性组织理论认为，对系统进行全面的风险评估是降低风险的重要方法，但评估不是对系统安全自身的评估，而是通过系统评估来了解风险，识别不确定性和误差。通过设置多重评估标准对风险情景进行识别、优先排序和管理，对系统的脆弱性、鲁棒性及潜在风险进行检验，为管理者提供决策标准和程序。

一般而言，强化单个关键基础设施系统的稳固性、降低系统间的级联耦合、或是使基础设施系统在地理空间上更加分散，都可以增强关键基础设施网络的鲁棒性。[20](P42-49)在危机管理的事前阶段，需要对关键基础设施系统进行有序地规划、管理和风险评估，并通过对风险情境的优先排序和针对性准备来改进系统的可靠性。同时，要加强对关键基础设施系统复杂拓扑结构的分析，识别系统的脆弱性，通过改善系统连接的拓扑结构来提升系统可靠性与韧性。针对关键基础设施系统不同层面上的相互耦合关系，采取多种分析方法(如系统动力学、建模仿真等)，模拟关键基础设施系统失效情况下的运作状态，分析关键基础设施系统的级联反应路径并识别其中的脆弱节点，通过仿真对系统的可靠性及结构功能进行优化。

(二)提升一线应急人员与组织的危机响应能力和公众参与能力

一线应急人员与中层管理者是有效应对关键基础设施失效的关键依靠力量。在危机发生时，外界公共组织及人员无法立马投入救援，只能依靠一线组织与人员对危机的直接参与和决策，以保证现场处置及时有效，同时发布灾难信息并与外界保持联系，协助外界资源的输入。当危机切断灾区内外联系时，一线应急响应组织与人员在公众疏散、保护生命财产、信息沟通等方面决定了关键基础设施失效的修复水平，以及下一步危机的发展趋势。因此，对应急人员应该提供必要的应急响应培训及模拟演练，学习国内外政府及相关组织对灾难处理的实践，总结分析演化机制及决策方式，提高一线应急人员对危机响应的认知能力和决策能力。

此外，任何设计严密的响应机制和管理程序都无法有效应对所有的危机情形，尤其面对复杂的跨边界危机时，有效的应急响应措施以及与外界的信息交流还需要依靠公众参与作为有效补充。[4](P50-59)[18](P5)同时参与各方对关键基础设施系统失效信息的共享水平也至关重要，直接影响着应急响应决策水平的高低。在危机应对后期，灾区的重建与社会秩序恢复都需要基层组织与公众参与其中。因此，提升公众参与能力，是提高关键基础设施失效跨界治理绩效的重要途径。

(三) 构建关键基础设施完善的管理监督体系

传统观念认为政府组织是应对关键基础设施失效的主体，但事实证明，公共组织作为单一管理主体,无论是资源调配还是管理方面都难以有效应对关键基础设施失效带来的跨边界危机。尤其是近年来随着各国政府对“新公共管理”理念的推行，私有化产生的高效率使得关键基础设施的供给及管理逐渐的由公共部门转向私人部门。这种改革趋势使得公私部门合作管理关键基础设施系统成为可能，该模式不仅可以利用私人部门的资源，也在一定程度上为关键基础设施系统失效的合作治理提供了条件。

关键基础设施系统是一个涉及社会—技术—管理的复杂结构体系，地理上分布广泛，涉及诸多利益相关者，因此应当构建一个以公共部门主导、私人部门协同、社会成员共同参与的关键基础设施管理监督体系，以充分发挥公共部门的政策主导权，私人部门管理的专业化和社会公众的监督权效用。同时，强化政府部门应对关键基础设施系统失效的响应能力，不仅能降低灾难带来的经济损失，提升公共服务的可靠性，而也可以提高公众对公共组织的信任与支持，降低行政成本。

(四)提升关键基础设施的网络化管理机制

由于当前社会—技术系统的相互关联性，单个关键基础设施系统的稳定性与可靠性管理并不能保证局部层次及整体层次上的系统安全。某一系统或某地区中不重要的设施节点可能会引发其他系统的失效或崩溃。由于制度分割往往会导致跨边界危机的治理低效，因此管理者需要对关键基础设施系统进行局部甚至整体层次上统筹安排，强化网络化管理意识，并建立有效的跨部门跨区域响应机制。可通过模拟仿真优化关键基础设施的网络管理，制定有效的应急预案，做好危机出现时快速应急响应的准备。

从项目安全和风险管理的视角分析，在规避危机损失方面，跨边界危机的治理更依赖于良好的组织沟通网络及完善的预警系统，而非大规模的应急物资储备与管理。[18](P5)通过建立信息沟通平台，尽可能降低危机扩散过程中的信息不对称(如山西苯胺泄漏危机由于当地政府隐瞒不报，导致跨地区大面积停水事故)。同时建立跨界应急响应组织，改进当前制度在响应关键基础设施跨界治理中的不足。例如，可充分利用关键基础设施系统具有多方利益相关者且相互之间具有互动经历的特点[21](P439-444),调动地理或官僚层级中多方利益代理人与决策者，建立邻近区域的应急互助组织，制定跨边界失效应急预案，提升决策者在组织协调合作、信息分享、物质调配及决策优先性等方面的响应效率。

(五)营造组织安全文化环境并提升安全文化意识

高可靠性组织理论认为，高可靠性组织与其他组织的主要区别在于是否将安全文化视为首要价值理念，通过一种无所不在的安全文化，培养组织对于系统潜在脆弱性和风险的共同意识，进而提升组织预防事故的能力，以及快速定位并分割处理发展中事故的能力。因此，可通过培养组织的安全文化，营造组织管理的安全文化环境，来提升关键基础设施安全管理与跨边界失效治理的能力。[13](P1-26)

正常事故理论从社会—技术系统复杂性视角指出，系统复杂性与耦合性是突发事故的主要原因，二者构成了小错误升级为大灾难的孵化温床，而培养并强化组织人员的安全意识能在一定程度上降低小错误的发生概率并阻断小错误的升级过程。因此，应注重培养组织的安全文化，将安全理念渗入到组织的管理实践中，培养组织成员共同认可的安全价值观及行为规范，通过良好的安全文化环境培养操作人员关于系统潜在脆弱性与安全风险的意识。同时，管理者应该注重构建与安全文化相符合的组织结构，从制度上保证贯彻系统安全管理所需的环境，从源头上降低跨边界危机事故的风险。

四、结语

现代社会跨界危机演化传播通常伴随着关键基础设施系统的大规模跨界失效，因此现代跨界危机的治理必须着眼于关键基础设施失效跨界治理这一重要议题。由于现代社会关键基础设施的日益庞大与相互关联，关联性带来的复杂性和脆弱性极易导致关键基础设施失效的跨界治理困境。文中所分析探讨的三重困境、三方面形成因素和五种能力构建，还属于对关键基础设施失效跨界治理的一个初步探索和简单梳理。鉴于关键基础设施失效的跨界治理已成为现代风险社会危机治理无法绕开的议题，下一步的纵深化研究与横向交叉研究将十分重要而且非常必要，例如探讨关键基础设施复杂性、脆弱性与可靠性的基础理论，关键基础设施失效跨界治理能力的顶层设计、关键基础设施失效跨界治理的精细化案例研究等等。