思维模型 Wiki

首页 / 系统

级联失效 Cascading Failure

一个部件倒下，整个系统陪葬

伊恩·多布森（电力系统学者，用 OPA 仿真模型证明大停电的规模近似服从幂律分布） · 本杰明·卡雷拉斯（物理学家，与多布森合作提出电网自组织临界模型，把停电当成相变来研究） · 纳西姆·塔勒布（在《黑天鹅》和《反脆弱》中警告，互联程度越高，系统性崩溃越猛）

场景钩子 · 一根树枝放倒了五千万人的电网

2003年8月14日下午，俄亥俄州FirstEnergy公司的一条345千伏高压线碰到未修剪的树枝，跳闸了。按设计，这只是一次局部事故。但该公司控制室的警报系统在下午2点54分失效，调度员对随后的一切毫无察觉。负荷涌向相邻线路，下午3点02分起，第二条、第三条线路接连过载跳闸。下午4点05分，萨米斯至斯塔线跳闸成为引爆点，故障在几分钟内席卷美国东北部和加拿大安大略省，约5000万人陷入黑暗，265座电厂的508台机组停机，损失负荷6180万千瓦，美国方面经济损失估计在40亿到100亿美元之间。事后调查发现，没有任何一个部件被同时击穿，被击穿的是部件之间的连接和余量。

原理图

级联失效的核心是一个自我加速的回路：每一次跳闸都把负荷推给邻居，余量越薄，回路转得越快，直到把整个网络拖下水。

数据证据 · 大停电波及人口：互联电网的崩塌半径 可靠二手

起因常常只是几条线路，波及人口却动辄五千万以上，互联把局部故障放大成了系统性灾难。
来源：美加电网停运调查组最终报告（2004）；各国公开报道汇总，数字为约数

交互演示 · 余量与耦合，决定小扰动会不会引爆全局

把余量调大、把耦合调弱，引爆点都会向右移动。防级联就是在做这两件事。

怎么用

  1. 画出依赖图，标出单点列出系统里谁依赖谁，找出失效后会拖垮别人的关键节点和关键链路。
  2. 给关键链路留出余量算清正常负载与极限负载之间的差距，余量低于警戒线就主动减载或扩容。
  3. 预设解列点，练习可控牺牲提前设计好断开位置，出事时宁可放弃一部分也要保住整体，例如电网的自动解列装置。
  4. 监测接近临界的信号线路负载率、排队长度、库存水位，这些指标逼近阈值时就是系统最危险的时刻。
  5. 把每次小故障当成演习小故障没有演变成大事故往往只是运气。复盘它为什么会传下去，而不是庆祝没出事。

失效边界

情境模型的说法现实
系统之间本来就没有多少依赖任何小故障都可能滚成灾难没有传导路径就没有级联，到处设防只会浪费资源。
为了防级联把系统彻底拆散连接越少越安全适度互联本身就是互为备份，过度解列会让局部小故障直接变成断供。
想预测下一次崩溃的具体时间和导火索找到那条线就能避免级联失效给出的是结构脆弱性和概率，不是时间表，导火索每次都不一样。
用结构问题解释组织里的一切连锁反应都是系统设计的错有时就是个人失误甚至恶意行为，过度系统化会掩盖该负的责任。

关联模型

出处