复杂性与大崩溃：系统性风险时代在特斯拉自爆后悄悄到来

我们生活在一个脆弱的世界里，稍有不慎，就会崩溃。...

我们生活在一个脆弱的世界里，稍有不慎，就会崩溃。

2019年4月21日晚，上海一辆停在车库里的特斯拉Model S电动汽车当着监控的面，突然自燃，迅速爆炸，还引燃了旁边的车，监控的录像触目惊心。

没过24小时，22日，一辆一辆蔚来ES8电动汽车又发生了自燃。

不论是燃油车还是电动车，其实都会发生自燃现象，对于电动汽车而言，自燃基本上都是因为电池出了事故，特斯拉是把电芯拼成电池组来用的，基本上一辆车就要七八千枚电池，而且电动车还在追求更高的能量密度。这么多电池挤在一起，自然容易出事。当然，设计不好单独一枚电池也会出事，比如三星的note7手机。而能量密度与汽车安全是一个顾此失彼的问题，并不好解决。

燃油车的自燃原因就更多了，电路故障、燃油泄漏、车上易燃品点燃车内燃油、轮胎摩擦起火、制动片抱死之类的原因，都会导致燃油车自燃。

燃油车的结构比电动车复杂太多，自然问题也比电动车要多，特别是燃油车漏油的时候，一个火星，一个不注意，就可能会引起事故。但是电动车就好多了，只有一个电池组的问题。

但不论是电动车还是燃油车，都是这个脆弱的世界的一个注脚。

这样的注脚还有很多

安迪·格林伯格正以每小时70英里的速度驾车沿一条高速公路行驶，突然他那辆2014年出产的吉普切诺基的油门失灵了。他重重踩下油门，但一点作用也没有。他的吉普车以爬行的速度在最右侧的车道上行驶，货柜车在他身边呼啸而过。他对着自己的手机高声喊道：“我需要让油门运转起来。认真地说，这他奶奶的太危险了。我需要汽车动起来！”但回应他的是吉普车的立体声音响，音量被调到最大，在刺耳的嬉皮士音乐声中，电话另一端的黑客显然不想听他说话。

但是不要惊慌！格林伯格是为了写一个杂志故事才驾驶那辆吉普车的，而且黑客也没有想要伤害他的意思。格林伯格为《连线》杂志撰写有关科技与安全的故事。这两位黑客是查理·米勒和克里斯·瓦拉塞克，他们俩在好多英里外，坐在米勒家的客厅里。他们嘻嘻哈哈地看着格林伯格在步履艰难的吉普车里苦苦挣扎。经过多年的研究，他们找出了利用吉普车的手机网络攻击汽车计算机的方法。汽车计算机控制汽车中的一切，从车前窗的雨刷到速度计和刹车。格林伯格就是他们的测试对象。他们攻击了他的变速器。

两年前，这两个家伙曾经邀请格林伯格驾驶另一辆他们黑过的车。当时他们的攻击还需要一根数据线来连接他们的便携式计算机和汽车内部网络。他们坐在汽车后座上，把汽车转入自动停车模式、让汽车的方向盘无法控制地抖动，然后又让刹车失灵。然而，当他们把这些攻击的细节发表在2013年的黑帽大会上之后，汽车制造厂商却对此不以为意。因为，不管怎么说，黑客需要与汽车有实际接触才能控制汽车。

但米勒和瓦拉塞克找出了远程攻击汽车的方法。重达两吨的吉普车拥有最高水平的娱乐系统，它控制了从收音机到汽车导航和空调的一切设备。它也与互联网连接在一起，管理着各项应用，这些应用能够搜索到便宜汽油、显示附近的餐馆情况等。

连接到互联网的这些设备和应用，让米勒和瓦拉塞克能够从米勒家的沙发上入侵这辆吉普车。首先，他们弄清了应该如何通过手机网络进入娱乐系统，然后利用它为跳板，侵入这辆汽车的其他30多个计算机。当汽车高速行驶时，他们可以让变速器失灵；当汽车低速行驶时，他们可以让刹车失灵，并控制方向盘。

在下一个出口坡道上，格林伯格把车停下并重新启动了吉普车。他本来以为，他们俩会做一次几年前的那种无害表演给他看。但这次的情况不同。两位黑客没有坐在车后座上。他们也不知道，当他们让传动装置失灵时，格林伯格在高速公路上找不到停车的地方。

尽管他被吓坏了，但格林伯格也获得了一个绝妙的故事。他在《连线》发表故事三天后，克莱斯勒汽车公司承认了安全隐患，召回了140万辆车，给车主提供了一个U盘，用来插在控制面板上更新软件，关闭后门。但车辆还存在其他易受攻击的地方。几个月之后，米勒和瓦拉塞克又找出了控制方向盘、制造非驾驶员意愿的加速和刹车的方法，这些都是在高速行驶的情况下完成的。

格林伯格解释道：“真正的危险来自把不同的几样东西连接到一起的恶意行为者。他们利用一连串软件缺陷，从一个系统跳到另一个系统，直到他们成功控制全部代码执行权。”换言之，他们利用了复杂性：他们利用系统内部的连接，从控制收音机和全球定位系统的软件进入控制汽车本身的计算机。格林伯格告诉我们：“当汽车加入更多的特色，也就增加了黑客滥用它们的机会。”汽车还会有更多的特色：在无人驾驶汽车中，计算机将控制一切，有些型号的汽车或许连方向盘或者刹车板都没有。

脆弱的不只是汽车。巴纳比·杰克利用一根天线和一台便携式计算机，创造了一台仪器，能够在几百英尺外对胰岛素泵采取黑客行为。他可以控制药泵注射全部的备用胰岛素，这对病人来说是潜在的生命威胁。他的黑客行为甚至能够阻止开始注射的警示振动。

杰克还入侵了植入式心脏除颤器。他找到了方法，可以远程控制这些类似起搏器的仪器，并向一位病人的心脏发出830伏特的电击。电视连续剧《国土安全》曾表现了这种攻击，恐怖主义者侵入副总统的心脏起搏器，刺杀了他。批评者认为这种情节靠不住。但杰克认为，这部连续剧反而给这种攻击增加了难度。也有其他人认真地看待这种威胁。在《国土安全》播放之前好多年，迪克·切尼副总统便曾指示他的心脏病医师，关闭植入式装置中的无线功能，以防止这类攻击。

将汽车和起搏器从离线设备转变为复杂连接在一起的机器不啻于一场革命。而这只不过是冰山上露出的一尖角。从喷气式发动机到家用恒温器，数以十亿计的新装置如今组成一个叫作物联网的网络。这个网络是一个庞大的复杂系统，易遭受事故和恶意攻击。

例如，有几家制造厂商已经制造了“智能”洗衣机与烘干机，它们能够与互联网无线连接。这些家用电器带有智能功能，如自动预订清洁剂、监控用电量，能够自动选择在电价较低时运行。但考虑一下风险吧。如果我们的智能烘干机有安全隐患，黑客或许能够远程进入，对软件重新编程，让马达过热而引起火灾。即使在一个中等规模的城市中，只有1000个家庭拥有易受攻击的烘干机，黑客也能够在其中肆虐。当然，黑客能做的还有更多，面对着智能家居全家桶，黑客会不会操纵着扫地机器人听随着智能音箱的命令背着着火的高压锅去点燃你家的床，与此同时还让智能空调吹着大风助燃呢？

不论是汽车自燃还是黑客通过物联网攻击汽车和医疗器械，这些都不是突发的事故。这些东西被我们创造得越来越复杂，汽车的零部件越来越多、联系越来越紧密，不论哪个环节出问题，最后都会导致悲剧的诞生，紧密联系的环节，紧密联系的网络，每一个环节都可能导致崩溃。

不仅仅是汽车，我们的世界也是一样，我们创造了一个复杂的世界，飞机的自动驾驶系统让整个飞机变得难以操纵，金融系统的一点点风吹草动都会导致金融危机的爆发，化工厂的每一个环节变得紧密联系，当一个环节出现问题的时候整个工厂都会出现问题，比如爆炸。在过去几十年间，我们对于复杂性的理解已经打开了一扇窗口，让我们看到了小失误如何一步步发展，最后铸成大错。我们不仅理解了这类事故是如何发生的，而且也知道了如何利用小的步骤来避免这些事故。这些方法并不需要先进的科技或者百万美元的预算。比如，我们可以将系统变得更加安全，比如给电动车的电池多加几层防护壳，让汽车可以轻松脱离互联网；我们可以作出更好的决策，更加注意警示信号，比如在飞机出现问题的时候多加几个传感器；我们可以在多元化和异见者的建议中学习，在较小的失败中吸取教训，避免大的失败；建立多元化的团队，倾听怀疑者的声音；建立透明的系统，让其中带有大量松动空间。

听起来这些建议没啥惊人之处，对吧？

但是，这些解决办法很少用于实际工作，甚至面对巨大的挑战，我们也依然忽视它们。正如我们已经看到的，我们的汽车该起火的还是起火，天上飞行的飞机依然会脱离飞行员的操纵，连接复杂的化工厂，依然会出其不意的爆炸，而面对恐怖袭击的时候，我们依然会对警告视若无睹。单一化的团队管理着我们最重要的金融机构、政府机构和军事组织。那些在缔造我们家庭的团队也是单一化的，毫不在意中间可能存在的隐患。甚至在最危险的系统内，比如我们如何管理和储存核武器，这些复杂性和紧密耦合也让出事的概率大为增加。

事实上，防止崩溃是我们能把握的事情。

人类在中世纪面临过一次严重的威胁。1347年10月，一大队商船来到了西西里岛。船上大部分水手都死了，没死的人也不断咳嗽、吐血。还有些商船在进港之前在海上兜圈子，因为船上所有人都死了。这就是黑死病的开始。这是一种传染病，它将继续传播，杀死几千万人。这种疾病起源于亚洲，沿着丝绸之路，随着商人和蒙古铁骑向西传播。蒙古军队利用它作为武器，用弩炮把染病者的尸体越过他们围困的商业城市的城墙弹射进去。这种传染病很快便传播到了非洲和中东。

世界已经成熟到了足以让这种疾病四处传播的程度。新的贸易通道连接了城市，鼓励人类四处活动。人类居住的地区从来没有如此接近。而此后好多个世纪中，人类都没有发展出抗生素、流行病学、卫生设备或者疾病细菌理论。这就是一位历史学家口中的“细菌的黄金时代”。面对流行病我们十分脆弱，而我们理解它们的能力远远落后，更遑论防止它们的能力了。

过了几百年，我们已经有能力把病菌们控制住，但是越来越多的地方正变得危险，我们现在的危险已经不仅仅是病菌，而是复杂的系统，落后的管理能力让我们的世界四分五裂，但时代在改变。我们现在知道如何让系统性崩溃的黄金时代走向末路。我们只需要有信念去尝试。

    关注 后浪