维护者是否也应拥有改变系统的权力？

Geoffrey Chen

研究与版本说明 本文属于《世界依靠谁来维护？》第 0.1 版研究稿，作为本季的综合判断。它以工作健康安全和安全报告为部分案例，不构成澳大利亚任何司法管辖区的法律意见。具体停工、代表和协商权利应查阅当地现行法律与监管机关资料。

《世界依靠谁来维护？》· 第 12 篇

快速阅读

维护者经常比管理层更早知道系统正在怎样失效。技术人员听见异常噪声，照护者看见正式流程没有容纳的需要，清洁和卫生工人接触被组织移出视野的风险，前线员工则发现指标与现实开始分离。但知道故障不等于拥有改变资源、设计和目的的权力。

这种分离有合理一面。维护知识通常深入局部，最终决定还要考虑其他场所、预算、法律与公共目的。让任何一位专家因掌握技术便取得无限决定权，会把知识权威误当作政治正当性。可是另一种极端同样危险：机构要求维护者承担可靠性，却不给他们资料、时间、暂停工作或改变程序的能力。

权力需要按决定性质分层。面临迫近且严重危险时，现场人员应有清楚、受保护的停止或撤离路径；一般缺陷可以通过报告、调查和临时控制处理；反复出现的结构问题则需要维护者参与重新设计。不可逆且影响广泛的公共决定还应经过更广授权，不能只由维护部门完成。

澳大利亚 model WHS 框架说明了这种分层思路。企业或事业经营者须就风险、控制措施和影响健康安全的变化与工人及 health and safety representatives 协商；受过规定培训的 HSR 在特定条件下可指示停止不安全工作并发出 provisional improvement notice。实际权利因司法管辖区而异，但其制度逻辑很清楚：接近危险的知识需要某种能够产生后果的权力。

权利写入政策还不够。报告若没有反馈，使用停工路径会遭报复，或承包人员无法进入相同渠道，正式授权便没有实际作用。参与也应发生在重要方案仍可改变的时候，而不是决定完成后的说明会。

本文的结论不是“维护者应统治系统”。更可靠的原则是，权力应与风险的紧迫性、行动的可逆性、维护知识的相关程度和决定影响范围相称。维护者必须能看见、报告、被回应并在需要时阻止伤害；系统目的与代价的最终选择则需要合法而可问责的共同决定。

一、最早知道的人，常常不是有权行动的人

维护工作发生在系统与现实接触的地方。工作人员打开设备，进入管道，处理投诉，观察患者，核对记录。他们看到的不是季度平均，而是零件怎样磨损、程序在哪一种处境下失败，以及为了维持表面正常，人们每天使用了多少临时补救。

管理层拥有另一种视野。预算、合规、整体能力和其他地点的比较通常在这里集中。两种知识都不完整。问题出在组织只让信息向上移动，却让决定和解释停留在上方；报告者不知道结果，前线不断重复同一补丁。

这种结构使维护者承担了结果，却不一定拥有条件。设备继续运行时，临时修复被当作证明系统可行；发生事故后，现场人员又可能因没有“及时处理”而被追问。权责的不对称在平静时期不明显，在失败时才突然显现。

二、维护知识并不自动产生全面统治权

承认前线知识，不应滑向另一种简单答案。维修某台设备的人可能最了解它的状态，却未必知道全组织的替换优先次序。临床或照护人员掌握个案需要，公共预算还要在许多人之间分配。网络安全人员提出最严格控制，服务可及性和权利仍需考虑。

专业知识提供关于后果、可行性和风险的理由。它不能独自决定社会愿意承担何种代价，也不能代替受到影响者的声音。知识权威与决定的正当授权有关联，但不是同一个概念。

维护者内部也并非意见一致。班次、专业、承包关系和经历不同，会产生不同判断。资深人员的经验可能珍贵，也可能固化过去做法。制度需要让经验接受证据和异议，而不是把“最接近现场”变成新的不可挑战权威。

因此，本题不是在管理者与维护者之间转移一整块权力。要先把“改变系统”拆成不同动作。

三、维护者需要哪些不同的权力

第一层是知情与接近。工作人员应取得完成任务所需的风险资料、历史记录、变更通知和系统边界。若供应商或管理部门掌握关键信息，前线只能在黑箱旁承担责任。

第二层是报告、记录与获得回应。报告不只是允许发送表格，还包括保密或保护选项、调查责任、反馈时限与升级路径。没有回路，组织收集的是数据，不是学习。

第三层是操作裁量。程序无法预见所有例外，合格人员需要在许可范围内调整顺序、采取临时控制或调用小额资源。裁量的边界和记录要求应与风险相称，不能要求每个微小动作等待遥远批准。

第四层是暂停、撤离或停止不安全工作。它针对迫近风险，后果通常是暂时且可复核的。停工权不等于某位员工永久取消项目，而是防止在争议解决前让潜在伤害继续扩大。

第五层是参与重新设计和资源配置。反复缺陷表明问题不再是一次操作偏差。维护者应参与根因分析、技术选择、工作流程和可维护性设计，且能看到建议为何接受或拒绝。

第六层是公开、外部报告或受保护披露。当内部路径失效且问题具有严重公共影响时，外部监管和 whistleblowing 机制可能成为最后保护。具体条件必须由法律规定，不能用一般道德口号替代。

这些权力并不总由同一个人行使。个体可即时撤离，选举代表能发出正式通知，专业委员会参与设计，法定机构决定重大改变。分层比一句“赋能前线”更能说明实际制度。

四、紧迫性与可逆性如何改变授权

一项决定越紧迫，向上等待的成本越高。发现裸露电线、结构移动或严重临床异常时，现场暂停通常比继续等待更可逆。若后来确认没有危险，可以恢复；若继续运行造成伤害，损失可能无法恢复。

相反，关闭整个服务、永久更换技术或重新分配大量公共资源影响更广，也需要更充分授权和证据。现场知识仍应进入决定，但不能独自完成最终选择。

可以由此形成一条原则：风险越迫近，临时保护权越应靠近现场；行动越不可逆、影响范围越广，决定越需要多方知识和正式正当性。这里不是机械公式。它要求机构事前确定不同情境的权限，而不是在危机发生时让员工猜测。

“可逆”也要从受影响者角度判断。暂停机器可能造成成本，却通常可以恢复；继续一个错误资格系统一天，可能给许多人造成难以追补的损失。管理者不能只把组织支出视为不可逆，而把个人权利损害当作以后可以处理。

五、工作健康安全提供了什么制度例子

Safe Work Australia 对 consultation 的说明指出，person conducting a business or undertaking 应就识别危险、评估风险、决定控制，以及可能影响健康安全的变化，与工人及其 HSR 协商。协商的理由并非礼貌，而是工人对工作和风险拥有直接知识。

在 model WHS 安排下，HSR 代表相应 work group，就健康安全问题参与、取得某些危险资料并在特定情况下行使正式功能。Safe Work Australia 的 HSR 指引说明，受过规定培训的 HSR 在符合条件时可指示停止不安全工作或发出 provisional improvement notice。各州和领地的采纳与具体程序存在差异，不能把 model law 说明当作所有地点相同的法律建议。

国际劳工组织 Convention No. 155也包含一个重要原则：工人有合理理由相信存在迫近且严重的生命或健康危险并离开时，应依各国条件和实践受到免于不当后果的保护。

这些安排没有把全部企业决策交给维护人员。它们承认某些知识若只有表达权而没有保护和暂时制止能力，风险信息可能永远来不及影响行动。

六、报告制度为什么经常成为信息墓地

组织可以拥有先进工单或事故平台，却没有维护反馈。工作人员输入异常，系统生成编号，然后没有调查结论、临时控制或时间表。久而久之，低报告率被解释为问题减少，实际可能是人们不再相信报告有用。

航空安全文化提供了一组可借鉴但不能机械移植的原则。ICAO 的 Safety Culture材料强调，人员是否愿意报告经验和错误，取决于报告的利益与不利后果；信任、支持和公平对报告文化重要。ICAO 关于前线反馈的材料进一步指出，报告者看到有意义的反馈和行动时更愿意继续报告，前线人员不应只被当作数据提供者。

Just culture 不是 no-blame culture。无意错误、系统条件、重大疏忽和故意违规需要区分。若每个失误都惩罚，组织失去弱信号；若任何行为都免于责任，安全标准又失去边界。公平判断需要公开规则、独立性和申诉，而不能由管理层在事故后随意解释。

维护者取得反馈也具有认识意义。他们能判断调查是否误解现场、控制措施是否可执行。若分析永远停在总部，制度拒绝了修正自身模型的机会。

七、外包为什么容易切断维护权力

外包人员经常最接近设备、清洁、照护、软件或设施，却不属于主要组织的日常治理。合同把他们定义为服务提供者，现场发现的问题要经过雇主、主承包商和客户多层传递。

每一层都可能缩小信息。报告缺陷会影响服务指标，承包商因担心续约而延迟升级，客户则以为合同已经把风险转走。正式责任条款没有创造现场行动能力。

较可靠的制度把承包维护者纳入相关资料、会议、事件和变更协商，并明确谁能暂停、谁支付临时措施、怎样保护报告者。跨机构共同职责不能只在合同附件中存在，还需要演练信息和权力路径。

采购也应评价可维护性，而不只评价初始价格。一个只能由原厂访问、缺少文档或备件周期很长的系统，会在未来形成依赖。维护者参与设计与采购，能够在决定锁定以前发现这些问题。

八、维护者参与设计，不等于让维护需求阻止一切创新

设计者容易把维护看成上线后的事务。其实设备接近方式、软件日志、耗材标准、资料导出和人工接管都在设计阶段确定。后期维护困难往往是早期选择的结果。

邀请维护人员参与可以发现现实约束。零件是否能安全拆换，夜班能否取得支持，警报是否区分轻重，退出供应商后数据能否继续读取。这些并非保守阻力，而是系统生命周期的一部分。

维护意见仍需与其他目的协调。最容易维护的系统未必最节能、最可及或最适合用户。参与的意义在于让未来劳动和风险进入当前决定，而非赋予某个部门否决所有变化的权力。

如果方案最终没有采纳维护建议，决定者应记录理由和承担的风险。透明拒绝比邀请意见后完全无回应更尊重知识，也为后来检验判断留下依据。

九、谁来代表使用者与公众

维护者可能看见技术问题，却不必然看见所有受影响者。一个效率良好的服务仍可能排除残障使用者，数据团队识别性能下降，也可能不知道申诉者经历的程序压力。维护治理需要把使用者经验和公共价值放进同一结构。

重大系统改变通常涉及多个层次：专业人员说明可行性，维护者说明持续条件，使用者说明实际后果，管理者配置资源，法定或民主机关决定公共目的。任何一方都不拥有全部。

这也限制了“让专家决定”的诱惑。专家对事实问题应拥有相应权威，价值冲突和权利分配却需更广正当性。相反，民主授权也不能使技术事实任意改变。好的制度让两者相互限制，而不是让其中之一吞并另一方。

十、维护劳动本身也必须可维持

赋予职责而不给时间和人员，会把“参与”变成额外负担。HSR、质量人员、开源维护者、照护者和现场技术人员若只能在正常工作之外处理系统风险，组织实际上依赖他们的个人牺牲。

维护者需要培训、替补、心理与身体安全、稳定排班以及不因报告而受不利对待的保障。长期值守和持续应急会降低判断能力。一个靠耗尽维护者保持可靠的系统，只是把自身退化移到人的身体中。

权力也应伴随支持。停工决定可能面对巨大压力，受保护披露会带来职业风险，参与设计需要理解资料。正式条文若没有工会、代表、独立监管、法律渠道或管理承诺，个人很难单独使用权利。

维护者群体还需内部更新。学徒制、交接和跨岗位学习防止权力集中在少数不可替代人员。知识共享并非削弱专家，而是让系统不必通过个人过度负担才能延续。

十一、从维成论看维护与改变

在本系列的应用框架中，维护不是让一个结构永远保持当前形式。系统通过反复修正、替换、解释和关系协调维持相对连续。维护者正处在这种连续与差异的交界处：他们知道哪些改变可以吸收，哪些正在破坏结构继续运作的条件。

这种知识使他们成为制度认识的一部分，却不使他们成为唯一主体。Sustenesis 所揭示的分布结构反而提醒我们，没有任何位置拥有全貌。管理层、专家、现场人员和受到影响的人各自看见不同约束。

权力设计要做的是让这些局部知识在适当时间产生实际作用。若只有中央可以改变，结构对现场差异失去感受；若每个局部都可任意重写整体，系统又不能形成共同承诺。维成中的稳定不是压制改变，而是建立能够吸收、判断并对改变负责的关系。

十二、当前判断：给维护知识以相称的权力

维护者不应因专业知识而统治系统，也不能被当作只执行既定命令的手。合理分配取决于四个因素：风险是否紧迫，行动是否可逆，维护知识与问题有多直接，以及决定影响多大范围。

最低限度的制度应保证必要资料、受保护报告、明确反馈和升级。面对迫近严重危险，要有可以实际使用的暂停、撤离或停止路径。反复问题必须进入根因分析，维护者与受影响者应参与设计和资源讨论。最终的广泛、不可逆公共决定仍需合法授权和公开理由。

这些安排也需要审计。组织不能只统计报告数量，还要检查报告是否调查、反馈、产生行动，以及不同雇佣身份的人能否同样使用路径。权力若只写在政策中而使用会遭到惩罚，仍然不存在。

第 0.1 版的最终结论是：世界依靠维护者，却不能只依靠他们的善意、忍耐和临时补救。一个能够延续的制度，会让最早看见裂缝的人有能力阻止裂缝扩大，同时不把整个共同世界的方向压在他一人身上。维护成为公共能力，正发生在知识、权力与责任被重新连接的地方。

主要资料与进一步阅读

系列导航：《世界依靠谁来维护？》系列总览

了解 Geoffrey Chen 的更多信息

订阅后即可通过电子邮件收到最新文章。