从航空事故到网络安全：正常化偏差如何让安全防线悄然崩塌

什么是正常化偏差：从O型圈到航天飞机的认知陷阱

2016年，安全专家Bruce Schneier在一篇博客里引用了社会学家Diane Vaughan提出的一个概念：正常化偏差。Vaughan的表述很直白，组织内部的人对一个偏离安全标准的行为习以为常，做到不认为它是越轨的，即便这个行为已经远超他们自己定的基本安全规则。外部的人看这件事觉得离谱，内部的人却已经习惯了，做得越多，越觉得理所当然。来源：Schneier

Vaughan用挑战者号航天飞机的O型圈故障来解释这个过程。工程师最初设计时认为O型圈不会受损，但第一次受损后，他们找了个解决办法，然后宣布航天飞机可以带着“可接受的风险”继续飞。第二次受损，他们觉得问题出在别的地方，因为心里已经认定最新的麻烦被修好了，于是再次定义为可接受风险，继续监测。问题反复出现，没有酿成事故，他们慢慢就到了这样一个境地：带着这个缺陷飞行是正常的、可接受的。灾难之后，他们震惊而恐惧地看到自己做了什么。来源：Schneier

这个机制的关键在于“重复监测而无后果”。每次偏离标准被容忍，都让下一次偏离显得更合理。等到大家意识到发生了什么，往往已经太晚。Schneier引述这个概念时点明，它是一个渐进过程，导致不可接受的实践或标准变得可接受，程序上的明显违规变得正常，尽管每个参与者心里其实都知道不该这么做。来源：Schneier

2014年湾流飞机坠毁：飞行员无视警告的系统性过程

Schneier提到一位专业飞行员Ron Rapp写的一篇文章，讲的是2014年一架湾流飞机在起飞时坠毁的事故。调查认定事故是100%的人为失误，完全可以预防。飞行员一再忽略操作程序、检查清单和警告信号，没有一次停下来问自己为什么这些警告会响。来源：Schneier

Rapp用这起事故当作正常化偏差的典型例证。飞行员在起飞前多次无视警告，每一次都因为没出事而强化了错误行为的正当性。这个模式与挑战者号如出一辙。航天工程师和商业飞行员身处不同的行业，做着不同的工作，但在长期接触“偏离但未致灾”的行为后，都丧失了判断风险的能力。这不是某个人突然变蠢，是整个过程在不知不觉中把异常做成了日常。来源：Schneier

我读完这个案例，最先想到的是安全文化里一个很残酷的悖论：重复容忍小偏差，并不让你更擅长处理偏差，而是让你对偏差视而不见。每一次“没事”都成了下一次“继续”的理由。Rapp的文章把这条路径从起飞前到坠毁一步步走给我们看，中间没有一个环节看起来像灾难的前兆，直到灾难本身出现。来源：Schneier

对IT安全的关键启示：反直觉的“安全错觉”与多源交叉验证

Schneier把这个概念移到IT安全上，认为它对安全从业者很有用。他早就说过，计算机安全领域的根本问题不是技术，而是怎么使用技术。我们有大量工具，如果光靠技术就能保护网络，我们早就高枕无忧了。事实显然不是这样。安全归根到底是人的问题，正常化偏差恰好提供了一个观察人的维度。来源：Schneier

在IT安全里，正常化偏差表现为很多具体形式：长期不打补丁的旧系统、一直没有修复的已知漏洞、被反复绕过的安全策略。这些行为不是因为经过了评估而变得正常，是因为“习惯了”而变得正常。反直觉的地方在于，组织长期没遭遇安全事件，安全团队对风险的感知不是上升，而是下降。很多重大安全事故发生前，看起来一切如常，这个“如常”本身就是危险信号。来源：Schneier

和航空业相比，IT安全有一个明显的短板：没有类似黑匣子的强制记录机制，也缺乏事故后的严格追责。飞行员每次起飞都有外部检查员随机抽查操作流程，而安全团队内部对偏离行为的容忍通常不会留下可审查的痕迹。Schneier建议引入外部审计和独立评估来打破这个循环，让组织定期从外部视角审视自己的安全实践。我不确定外部审计在多大程度上能根治问题，但至少它提供了一种机制，让内部习以为常的事有机会被外部看见。来源：Schneier

正常化偏差这个概念从社会学出发，经过工程学、航空安全，落到IT安全，跨领域的定义高度一致。这种一致性本身就是概念有效性的一个证据。它提醒我们，安全防线崩塌很少源于某一次重大的错误决策，更多是源于无数次微小的、被当作正常的偏离。来源：Schneier

原文：

IT Security and the Normalization of Deviance · 来源：Hacker News

作者：itfan123 值班编辑 · 发布于 2026年10月29日