极端情景模拟：测试系统会在哪里断裂

它不以猜中某个灾难为目标。它回答的是承受力问题：如果现实明显偏离基准计划，我们还有多少时间、现金、产能和选择？

先区分事前验尸与压力情景

Gary Klein 提出的事前验尸，要求团队假设项目已经失败，再独立列出可能死因。它擅长释放隐而未说的担忧，为情景设计提供候选变量。

极端情景模拟从这些变量中选择高影响因素，进一步设定幅度、持续时间和联动关系，再推演损失。前者发现“可能从哪里出事”，后者测试“出到什么程度会断”。两项工具可以连续使用，但不能混成同一流程。

变量。 选择真正影响结果的驱动因素，例如销量、价格、回款、利率、供应周期或关键人员。

幅度。 写清变化多少。只说“需求下滑”无法计算；“订单量降至基准的六成”才允许继续推演。

持续时间。 短时冲击与长期变化会触发不同反应。现金可以覆盖一个月断供，未必能覆盖两个季度。

联动。 危机中原本独立的变量常会同向变化。收入下降时，客户回款可能更慢，融资也可能更贵。只让一个变量变坏，会低估压力。

参数不必声称“最可能”。它们是测试条件，应说明来自历史、合同边界、专家判断还是管理层假设。

第一步建立基准情景，记录正常情况下的现金、产能、债务约束和关键依赖。没有基准，就无法知道压力改变了什么。

第二步施加冲击，逐期计算直接影响。销量下降先改变收入，回款延迟再改变现金；两者不能只在年末利润里合并。

第三步加入参与者反应。客户会不会取消订单，供应商会不会缩短账期，银行会不会要求补充担保，员工会不会离开？极端状态下，行为反馈常比静态损失更快。

第四步寻找断裂点：最低现金何时出现，哪项契约先被触发，哪个单点故障使业务无法交付，管理层还有哪些可逆动作。

最后才是应对。削减支出、增加备用供应商、延长债务期限或预留流动性，都要说明启动时间和副作用。若应对措施需要危机发生后才获得别人同意，就不能当成确定资源。

1998 年长期资本管理公司的多个头寸在市场共同转向安全和流动性时一起亏损。纽约联储事后指出，要理解相关杠杆风险，压力测试应覆盖多种资产关系同时远离历史观察范围的情况，而当时并未进行充分测试。

问题不只是模型没有预测俄罗斯债务危机。高杠杆、拥挤头寸、流动性和交易对手反应形成了损失链。极端情景若只调大历史波动，却不改变相关性和市场行为，仍然看不见真正的断裂方式。

太温和的情景只会再次确认计划，纯粹幻想世界末日又无法指导行动。可以从四处取值：历史上的严重区间、合同或工程极限、同行近失事件、事前验尸发现的关键死因。

至少设计两类情景。一类是单变量断点，用于测出承受范围；另一类是多变量组合，用于检查反馈与共同恶化。结果用区间呈现，不给未知灾难伪造精确概率。

模拟质量受能力圈限制。团队不了解供应链、技术或法规时，参数再细也只是格式完整。此时应邀请领域专家，或通过小型实测校准模型。

压力测试也不能证明系统安全。它只覆盖想得到的情景，因此还需要冗余、安全边际和实时监测来承受遗漏。

准备：确定基准、关键变量、资源和硬约束。

施压：为变量设定幅度、持续时间和联动；分别测试单点断裂与组合冲击。

追踪：按时间推演现金、产能、契约和参与者反应，找到最早断点。

处置：为断点设置领先信号、触发阈值、负责人和已能获得的应对资源。

Gary Klein, “Performing a Project Premortem”, Harvard Business Review, September 2007：用事前验尸发现潜在失败原因。
Federal Reserve Bank of New York: LTCM testimony：共同不利变化、杠杆、流动性与压力测试不足。