01 · 场景
一根树枝放倒了五千万人的电网
2003 年 8 月 14 日下午，俄亥俄州的 FirstEnergy 公司，有一条 345 千伏的高压线，碰到了没修剪的树枝，跳闸了。按设计，这只是一次局部的事故。但这家公司控制室里的警报系统，在下午 2 点 54 分失效，调度员对随后发生的一切，毫无察觉。负荷涌向相邻的线路，下午 3 点 02 分起，第二条、第三条线路，接连过载跳闸。下午 4 点 05 分，萨米斯至斯塔线跳闸，成了引爆点，故障在几分钟之内，席卷了美国东北部和加拿大的安大略省，大约 5000 万人，陷入黑暗，265 座电厂的 508 台机组停机，损失负荷 6180 万千瓦，美国方面的经济损失，估计在 40 亿到 100 亿美元之间。事后调查发现，没有任何一个部件，被同时击穿，被击穿的，是部件之间的连接，和余量。
02 · 原理
一张图看懂它怎么运转
级联失效的核心，是一个自我加速的回路：每一次跳闸，都把负荷推给邻居，余量越薄，回路转得越快，直到把整个网络拖下水。
03 · 练习
练一练：3 道题，看你会不会用
04 · 证据
大停电波及人口：互联电网的崩塌半径可靠二手
起因常常只是几条线路，波及的人口，却动辄五千万以上，互联把局部的故障，放大成了系统性的灾难。
来源：美加电网停运调查组最终报告（2004）；各国公开报道汇总，数字为约数
05 · 用法
照着做，一共 5 步
- 画出依赖图，标出单点列出系统里谁依赖谁，找出失效之后，会拖垮别人的关键节点和关键链路。
- 给关键链路，留出余量算清正常负载和极限负载之间的差距，余量低于警戒线，就主动减载，或者扩容。
- 预设解列点，练习可控的牺牲提前设计好断开的位置，出事的时候，宁可放弃一部分，也要保住整体，比如电网的自动解列装置。
- 监测接近临界的信号线路的负载率、排队的长度、库存的水位，这些指标逼近阈值的时候，就是系统最危险的时刻。
- 把每一次小故障，当成演习小故障没有演变成大事故，往往只是运气。复盘它为什么会传下去，而不是庆祝没出事。
06 · 边界
什么时候它会坑你
系统之间，本来就没有多少依赖
模型会说任何小故障，都可能滚成灾难。
现实是没有传导的路径，就没有级联，到处设防，只会浪费资源。
为了防级联，把系统彻底拆散
模型会说连接越少，越安全。
现实是适度的互联，本身就是互为备份，过度解列，会让局部的小故障，直接变成断供。
想预测下一次崩溃的具体时间和导火索
模型会说找到那条线，就能避免。
现实是级联失效给出的，是结构的脆弱性和概率，不是时间表，导火索，每次都不一样。
用结构问题，解释组织里的一切连锁反应
模型会说都是系统设计的错。
现实是有时就是个人的失误，甚至是恶意的行为，过度系统化，会掩盖该负的责任。
08 · 出处