01 · 场景
扑灭所有小火之后，黄石烧掉了三分之一
1910 年，美国西北部，一场大火，烧掉了大约 300 万英亩的森林，夺走了 87 条人命。美国林务局随后立下了铁律：发现火情，第二天上午十点之前，必须扑灭。此后几十年，黄石公园的小火，几乎全被扑灭，木材的产出和游客的安全，都达到了历史最好的水平，系统看起来，又高效，又稳定。但生态学家逐渐看清，火，本来就是许多森林的代谢方式，小火烧掉枯枝落叶，成年的大树，安然无恙。压制所有的小火，结果是燃料一年一年地堆积。1988 年夏天，黄石遭遇大旱，雷击引燃的火，再也无法控制，烧掉了大约 79 万英亩，超过了全园面积的三分之一。大火之后，公园管理局改了规则，符合条件的自然火，允许烧。森林反而稳了下来。
02 · 原理
一张图看懂它怎么运转
韧性，看两件事：离临界线有多远，回弹有多快。霍林强调的是前者，回得快的系统，未必扛得住大冲击。
03 · 练习
练一练：3 道题，看你会不会用
04 · 证据
1988 年大旱，物种越多的草地保住的生物量越多可靠二手
物种越少，旱灾之后，剩下的越少。多样性不是装饰，是系统的减震器。
来源：Tilman 与 Downing，Biodiversity and Stability in Grasslands，Nature 第 367 卷（1994），数值为原文图 1 的近似读数
05 · 用法
照着做，一共 5 步
- 画出系统的正常区间选定两三个关键的指标，写下它们平时波动的范围，比如现金流、库存周转、员工流失率。
- 盘点现有的冗余现金储备、安全库存、备用供应商、能顶岗的多面手，逐项列出，标出哪几项已经薄到接近零了。
- 找出单点失效的环节问一个问题：哪个环节断了，全盘就停？答案往往只有一两个，先加固它们。
- 定期做小规模的扰动演练主动断网一天，换备用供应商试跑一周。小的扰动，既是测试，也是训练，还能顺便暴露隐藏的依赖。
- 警惕效率，悄悄吃掉冗余每个季度，回头看一次冗余清单。降本增效最先砍掉的，往往是那些看起来闲置的缓冲。
06 · 边界
什么时候它会坑你
竞争极端激烈，冗余意味着更高的成本
模型会说留足缓冲，才安全。
现实是冗余本身有代价，缓冲留得太多的公司，可能死在对手前面。韧性，要和生存放在一起权衡。
冲击来自行业被颠覆
模型会说尽快恢复原状。
现实是有些冲击，是升级的信号，一心回到旧状态，等于拒绝进化。柯达把数码化，当成要扛过去的扰动，结果错过了转型的窗口。
只用恢复的速度，来衡量韧性
模型会说回得快，就是韧性强。
现实是霍林提醒，回得快的系统，临界点可能很近。过度捕捞的渔场，平时恢复很快，但崩溃，只要一次。
给关键环节加上备份
模型会说有了备份，就稳了。
现实是备份，常常和主系统共享同一个隐患，同一个机房里的主备服务器，会一起断电。备份必须单独检查独立性。
08 · 出处