1974 年 12 月 1 日上午 11 点 09 分，环球航空 514 号航班的机长说：「加点油门。」两秒钟后，驾驶舱录音器录下了撞击声。飞机在云里朝华盛顿郊外的杜勒斯机场下降，机组提前降到了 1,800 英尺，撞上了弗吉尼亚的一座山。机上 92 人全部遇难。
调查人员查到了一件他们自己都称为「讽刺」的事。大约六周前，美联航的一组机组在同一条进近航线上也提前降了下去，「差一点撞上同一座山」。
美联航能知道这件事，只是因为那年 1 月它答应过飞行员：报告安全问题可以不署名，也不会受罚。那组机组报告了，美联航随即给自家所有飞行员发了警示。
环球航空的飞行员从没见到这份警示。
调查人员问了什么
美国国家运输安全委员会没有停在「飞行员失误」上。报告里问了两个问题：机组为什么明知地形几乎高到那个高度，还是降到了 1,800 英尺？管制员为什么给了进近许可，却没给一个要保持的高度？
驾驶舱录音透露了机组当时的想法。机长说：「他一给许可，就是说你可以降到你的……」有人接了一句：「初始进近。」机长把话说完：「初始进近高度。」委员会追查了这个想法从哪来。雷达普及之后，管制员接手了越来越多设定飞机高度、航向和速度的活，飞行员也越来越依赖他们。机长相信，既然许可里没加高度限制，往下降就是安全的。六周前美联航的那位机长，想的一模一样。好几家机构多年来一直在提醒「可以进近」这句话有歧义，航空局一直没解决。
这些都没有替机组开脱。委员会仍然把机组决定下降列为可能原因，并指出机长看进近图本该明白，1,800 英尺在那里并不安全。不追责的复盘，不是假装没人犯错，而是问清这个错在当时为什么显得合理，好让下一组机组不再被同样的处境推着犯错。
听证会上有证人说，很多隐患没人上报，「因为当事人怕受处罚」。之后，联邦航空局建起一个全国性的报告系统，交给中立的美国航天局运营，好让收报告的不是管执法的那一方。航空安全报告系统 1976 年 4 月开始运转，报告保密；按法规，航空局不会把这些报告用于执法，事故和刑事犯罪除外。这份保护是有边界的：航空局从别的渠道查到的违规照样可以处理，免于处罚也只适用于无意、而非故意的违规，还另有其他条件。
追责为什么适得其反
罚了犯错的人，下一个犯错的人就更可能不吭声。
2012 年，电商平台 Etsy 的工程负责人约翰·奥斯帕在公司技术博客上讲过这个道理。觉得自己要挨处分的工程师，就没有动力把出事的细节说清楚，而搞不清事故是怎么发生的，「几乎就保证了它会再发生」。他写道，工程师觉得说出细节很安全时，「他们不光愿意担责，还很积极地帮公司其他人别再犯同样的错」。
可以把错误报告想成一扇看见系统的窗。罚站在窗口的人，大家就会把窗帘拉上。错误还在，只是你看不见了。
医院的数据里就能看见拉上的窗帘。哈佛的工商管理学者艾米·埃德蒙森研究过八个医院科室，管理风格从严厉惩罚到开放支持都有。严厉的那头，一位出错的护士说：「我被弄得像个做错事的两岁小孩。」据《哈佛杂志》报道，各科室查出的差错率，和团队的开放程度「几乎是直线关系」。越开放的科室，查出的错越多。没人提起的错，不会出现在任何统计里。
现在有些软件公司会把复盘公开发出来。2017 年 GitLab 的工程师删错了数据库，公司的复盘一路追问到没人负责的备份；同一年，一条输错的命令让亚马逊的 S3 存储服务停摆，亚马逊的说明点名的是工具，不是那位工程师。
不在通知名单上的人
AI 系统也在公开地出错。2025 年 Replit 的编程智能体删掉了用户线上数据库里的数据，CEO 列出的每一条补救，改的都是智能体周围的设置。
可一家公司修好自家的智能体，就像美联航只提醒自家的飞行员。2020 年，肖恩·麦格雷戈发表论文，推出了由行业组织「人工智能伙伴关系」支持的 AI 事故数据库。论文开头讲的就是航空业：成熟的行业会把失败收进共享的数据库，而 AI 系统「造成了现实中的伤害，却没有关于自身失败的集体记忆。结果，公司一再犯同样的错」。
按论文的描述，这个数据库收集公开报道过的 AI 事故，当时已有一千多份。这是共享的记忆。论文没有描述航空业 1976 年建起来的另一半：一个保密的地方，让离险情最近的人能把它报上来，诚实的失误也能得到实在的保护。