1997年2月1日凌晨4时18分，日本爱知县刈谷市，爱信精机刈谷一号工厂起火。到上午8时52分，比例阀生产线已几乎完全烧毁，专用机床和钻具也毁了。重新订购这些设备，可能要等上几个月。

比例阀是一种很小的制动零件，负责分配前后轮的刹车油压。当时丰田的车型都要用，一只只值770到1300日元。零件便宜。少一只，车就装不了。更麻烦的是，丰田几乎所有比例阀都由爱信这家工厂生产。

丰田给自己留下的缓冲很短。两份常被引用的材料放在一起看，数字并不一致。西口敏宏和博德的研究写的是两三天库存，《华尔街日报》报道多数丰田工厂只有约四小时库存。无论采用哪一个数字，留给丰田的时间都不多。

2月3日，12家工厂停产。次日又停7家。丰田当时共有20家工厂，只有大发工业池田工厂还在运转。

这场火来得很不是时候。日本消费税将在4月从3%升到5%，不少消费者赶在3月底前买车。丰田每天约生产1.4万辆汽车，工厂每停一天，都意味着大笔产值和销售机会消失。

2月7日，受影响的工厂已经全部重新开工，起初采用单班生产。从大火烧毁生产线到恢复作业，还不到一周。

丰田和爱信在火灾当天成立了危机处理小组，统一目标，调配资源。现场却没有一本应急手册，逐项写明谁负责哪种零件、在哪生产、用什么设备生产。许多具体办法，是供应商边干边找出来的。

恢复靠的不是一本应急手册，而是一张供应商网络平时织出来的能力网。爱信首先把比例阀的图纸、技术资料和专用刀具交出去，让其他企业知道要做什么。刈谷当地一家工具贸易公司连夜从日本各地收集专用刀具，解决设备问题。一批从没做过比例阀的企业拿到图纸以后，用通用机床甚至手工设备摸索着生产。它们的效率当然赶不上爱信的专用生产线，但合格零件很快就送了回来。爱信在最后环节统一组装和检查这些临时生产的零件，确保质量不出问题。

这些企业愿意迅速加入，当然有现实考虑，未来订单和同行声誉都会影响选择。它们还能把事情做成，靠的是平时解决生产问题练出来的本事。丰田和爱信长期要求供应商磨炼技术，大家也逐渐形成了一套共同的质量语言。火灾发生后，这些平日散在各家企业里的能力，被临时拼成了一条替代生产线。

上一篇自组织讨论分散的企业怎样形成协作秩序，这一篇换一个问题：供应商网络受损以后，功能还能不能维持，能不能恢复。自组织提供了一种恢复机制，韧性描述的是这套网络最后的表现。

丰田在库存上缺少缓冲，在供应商网络中却保留了很强的恢复能力。只看其中一层，很容易把整个系统判断错。

人们说一个系统有韧性，常常在说两件事。冲击来了，它能扛住。已经受损，它能很快恢复。

前一项通常叫抗性，后一项是恢复速度。两者都会影响韧性，却回答不同的问题。抗性决定功能会掉到多低，恢复速度决定低谷会持续多久。

还要先说清楚，我们究竟在看哪个系统。一扇防火门被烧坏，单看这扇门，它没有恢复能力。把整栋建筑作为系统，情况就变了。防火门挡住火势，为人员疏散争取时间，即使自身损坏，也保护了建筑更重要的功能。系统边界一换，同一个部件的意义也会变。

1973年，加拿大生态学家克劳福德·霍林发表《生态系统的韧性与稳定性》。他把两个容易混淆的问题分开讨论。稳定性关注系统偏离正常状态后多快回复，韧性关注系统能吸收多大扰动，又能否继续维持原有的运行状态。

1996年，霍林进一步讨论了工程韧性和生态韧性。工程韧性同时考虑抵抗扰动的能力和恢复速度。生态韧性关注另一条边界，系统在改变结构、进入另一种状态以前，最多能吸收多大的扰动。

管理者最容易在这里看走眼。一个系统平时波动很小，恢复也很快，仍可能离状态转换的临界点很近。在生态管理中，长期压制小波动还可能让系统的应对能力长期闲置，短期产出变得平滑，下一次大扰动却更难承受。

简单说，看韧性就是画一条线：系统正常时在什么水平，冲击来时掉到什么程度，多久能回来。霍林的生态韧性还补了一条提醒：有些系统越过一条线就回不来了。浅水湖一旦变成浑水，原来的清水生态很难恢复。

正常时期，冗余总显得有点碍眼。库存从一周压到一天，三个供应商缩成一个，成本会下降，周转也会加快。报表通常很好看。

这些备选项平时很少用，出事时却决定系统还能不能继续运行。供应商断供以后，没有第二条采购路径。设备坏了，也没有备用产能。系统平时贴着最高效率运行，冲击一来，功能就可能直接掉到底。

丰田案例里有两个常被混在一起的选择。准时制把库存压得很低，单一采购则让比例阀集中在爱信一家工厂。它们可以同时出现，却没有必然关系。丰田的许多零件当时已经采用平行采购，比例阀是一个特殊情况。

低库存和单一供应在这次火灾中叠到了一起，19家工厂很快停产。可准时制也有另一面。供应商长期在这种环境里解决日常问题，积累了快速调整生产的能力。丰田的库存缓冲很弱，协作网络的恢复能力很强，这两种特征同时存在。

增加冗余也不能只看数量。两台设备放在同一间机房，共用一根电源，设备多了一台，机房停电时仍会一起失效。备用供应商如果依赖同一个上游工厂，也可能同时断供。

有用的冗余需要避开共同故障点。先找出哪些功能不能长时间中断，再检查这些功能有没有独立的替代路径。多留一套只是开始，出事时能否启用才算数。

事故发生后，系统的功能会随时间走一条曲线。只看它有没有当场垮掉，或者最后有没有恢复，都容易漏掉中间那段最困难的过程。实际检查时，可以依次看吸收、适应和恢复三类能力。

吸收能力决定冲击发生以后，功能会掉到哪里。建筑结构要撑住地震，医院仍要保留最低接诊能力。稳健性提供硬支撑，隔离措施则阻止故障继续扩散。备用路径如果能立即接上，也会减少最初的功能损失。

适应能力在原来的工作方式失效以后接手。爱信的供应商改用通用机床和手工设备，医院把常规接诊改成批量分诊，数字服务也可以在流量暴增时切到只读模式。这些做法都在寻找一种临时运行方式，让关键功能先继续工作。

恢复能力决定临时状态能维持多久，以及系统何时回到可接受水平。如果环节一个接一个地排队等，最慢的那个会拖住整体。系统若有替代路径或并行能力，原来的瓶颈也可以绕开。丰田跳过了等待原生产线修复这条慢路，直接把分散产能重新组合，恢复时间因此从数月缩短到几天。

三类能力会重叠，也未必每次都完整出现。小幅冲击可能直接被吸收，无须改变运行方式；有些临时办法后来会留在系统里，成为新的常态。换一种扰动，同一个系统调用的能力也会跟着变。

2003年，米歇尔·布吕诺等人研究社区地震韧性时，提出稳健性、快速性、资源调度能力和冗余四个要素。他们把稳健性和快速性视为希望达到的结果，冗余和资源调度能力则是改善结果的手段。本文把这四个要素和前面三类能力放在一起方便检查——说明一下，这是本文的编排方式，不是布吕诺论文原来的结构。

韧性和反脆弱经常被放在一起，两者衡量的事情不同。

韧性看的是功能损失和恢复过程。冲击后掉多深，低谷持续多久，系统何时回来。反脆弱看的是另一件事：系统能不能从波动中占到便宜。塔勒布管这叫凸性反应——冲击越大，收益反而越大。

电网在地震后恢复供电，已经完成了韧性的任务。它是否因这次地震得到好处，属于另一个问题。大多数医院、供应链和交通系统首先需要可靠地恢复，并不以从灾难中获益为目标。

反脆弱没有天然高于韧性，两者服务于不同目标。把"越挫越强"当成所有系统的标准，会低估一件朴素却很难的事，即系统受损以后仍能把关键功能带回来。

现在把这个模型放回工作场景。一个团队可能依赖数据平台，也可能依赖一条供应链，某个无人能替代的岗位同样可能成为关键节点。检查韧性以前，先圈定系统边界和冲击类型，随后再问四个问题。

先圈定系统和冲击

供应链能应对一家供应商失火，不等于它也能应对地震、网络攻击或多家供应商同时停产。观察范围也会改变结论。平台恢复营业了，如果代价由员工、供应商或公共系统承担，平台与整个合作网络的韧性评价便会不同。

先说清楚四件事。检查哪个系统，针对哪种冲击，看多长时间，以及谁的损失要算进来。边界含糊，后面的判断也不会可靠。

第一问　哪些功能必须保住

系统里的功能重要程度不同。医院在地震后保持建筑完整，仍不代表医疗功能可以运行。电力、人员和药品供应都会影响急诊能否接诊。

关键功能还需要两条明确标准。冲击期间最低可以降到什么水平，最长允许中断多久。医院保留30%的急诊能力，电商暂时只允许浏览，工厂停两天后复产，都可能符合各自的韧性目标。没有最低水平和最长中断时间，"关键功能"就无法用来判断。

第二问　故障能否隔离，替代方案能否启动

先找共同故障点。两家供应商表面上独立，却都从同一家上游工厂采购关键原材料，冲击来时可能一起失效。

还要检查系统能否降级运行，谁有权启动替代方案。电商可以暂停交易，只保留浏览。医院可以改变分诊方式，把资源先给最紧急的患者。备用路径如果每次都要等待层层批准，往往来不及发挥作用。

丰田没有提前复制一条完整的比例阀生产线。它拥有的是分散产能、共享技术语言和现场调整权限。主路径失效以后，这些资源能够重新组合。这种可重构能力，有时比静态备份更管用。

第三问　什么卡住了恢复

如果环节一个接一个地排队等，最慢的那个会决定整体时间。系统有并行能力时，恢复瓶颈也可能被绕开。

爱信重新订购专用设备可能需要数月，丰田却没有把修复原生产线当作唯一道路。供应商先造出合格替代品，整车工厂便能复工。恢复计划要找当前最慢、同时又绕不过去的环节，资源才知道该投到哪里。

第四问　原来的状态还能否追回来

有些系统越过临界点以后，恢复成本会不断上升，原来的状态也越来越不稳定。浅水湖进入富营养的浑水状态后，原来的清水生态系统可能已经消失。此时继续追求原来的状态，未必还有意义。

这种情况已经不只是恢复的问题了。韧性看的是功能掉多深、多久能回来，走到这一步，你要重新决定的是系统到底该追求什么状态。

四问完成以后，最好做一次演练。先在会议室里推演核心岗位突然离职，看看谁能接手。再到测试环境切断主线路，记录备份切换和恢复需要多久。

生产环境里的演练要更克制。故障范围应当局部可控，操作必须能够回滚，同时明确授权人和停止条件。演练的用途很具体，提前找出那些看着有备份、出事时却接不上的地方。

一次恢复成功，只能说明系统应对过这一种冲击。爱信火灾烧掉的是一种零件的产能，供应商网络恰好能够补上。如果多个关键零件同时断供，或者受损的是合作关系，这套办法未必还能奏效。

恢复方式也要看能否再次调用。一个人连续工作48小时，把系统从故障边缘拉回来，当然解决了眼前的问题。可同样的事故再来一次，他可能已经撑不住了。恢复能力如果长期寄托在少数人熬夜上，系统仍然很脆弱。

还要看代价去了哪里。平台重新营业，员工却被长期透支，供应商承担全部亏损，损失只是换了一个地方。系统边界画得越窄，韧性越容易显得漂亮。

平稳运行也不能自动证明韧性。系统可能从未遇到足够大的扰动。历史记录、结构分析和模拟演练都能提供证据，单凭"这些年一直没出事"还不够。