公元前12世纪的一个夜里，特洛伊城的一道门被从里面打开了。到清晨，这座抵挡了希腊人多年的城市不复存在。公元190年的一个白天到夜里，董卓下令，洛阳——当时东汉帝国的首都——被烧成废墟，皇帝被裹挟着西迁。两件事，一个共同的诡异之处：倒下的速度，远远快于建立的速度。一座城、一个王朝，是几代人、几百年攒起来的；毁掉它，只用了几个小时到几天。
这一章要问的，就是这个"快"字。为什么一道门被打开、一个皇帝被劫持，不会停在"损失一道门""换一个当家的"这种局部麻烦，而是几乎立刻滚成了全城陷落、全国大乱？
先说清楚：什么叫"级联失效"
级联失效（cascading failure），说人话就是：一个东西倒下，会推倒它旁边的东西，旁边的东西倒下又推倒更旁边的，像多米诺骨牌，也像冬天的电网——一条线路过载跳闸，它原本扛的电流被甩给邻居线路，邻居也过载跳闸，再甩给下一个，几分钟内整片城市黑掉。没有人下令"全城停电"，停电是自己滚出来的。
关键在于：每个节点原本不是独立站着的，它靠邻居撑着，同时也撑着邻居。抽走一个，不是少了一个，而是让承重重新分配到本就没有余量的其他节点上。这和"你踢倒一堵墙、墙就少一块"完全不同——那是线性的、可控的。级联是非线性的：一个小裂缝，可能什么事都没有，也可能整栋楼下来，取决于结构里有没有余量。
损坏 = 你砸掉多少，就少多少，砸一块少一块。级联失效 = 你砸掉一块，这块原本帮着扛的重量全压到别处，别处扛不住又塌，塌了又压别处。前者是减法，后者是连锁反应。
正反馈：为什么它停不下来
光有"会传染"还不够快。真正让崩塌加速的，是正反馈——结果反过来加强原因，越倒越容易倒。（注意别被"正"字骗了，这里"正"不是"好"，只是数学上"同方向"的意思。它常常是坏事。）
反面是负反馈，那是让系统稳下来的机制：偏了就往回拉。比如恒温空调，热了就制冷、冷了就制热，围着一个温度晃悠。一个健康的秩序里到处是负反馈——有人越权，就有制度把他拉回来；有谣言，就有官方澄清把认知拉回来。崩塌的本质，是负反馈失灵、正反馈接管。拉回来的那只手没了，于是偏离自己喂养自己：越乱越没人信秩序还在，越没人信就越乱。
特洛伊：门一开，撑城的不只是那道墙
先诚实交代：特洛伊这条线，卡在神话和考古之间。荷马史诗（古希腊流传下来的两部长诗，讲特洛伊战争和之后的漂流，成文比战争本身晚了几百年）里的木马、神仙下场，是文学；但土耳其西北那个叫希萨利克的土丘，确实挖出过一座反复被毁又重建的青铜时代城市。所以下面讲机制，我只用"城破之夜大体会发生什么"这个结构，不当它是逐条信史。
木马的把戏（我们前面讲过，那是一次骗守方自己开门的社会工程攻击）成功之后，城里的连锁是这样滚的：
- 物理防线的意义是"全有或全无"。城墙的价值不在砖，在于它把里外分成两个世界：外面进不来。一旦有一段被从内部打开，"进不来"这个前提对整堵墙同时失效了——敌人已经在里面，剩下九成完好的墙一米没塌，却一米没用。防御的价值是不可分割的。
- 协调靠的是"大家都以为还没破"。守城要有人指挥、有人补位。可夜里、城内、火起，每个守军看到的都只是自己眼前那一小块。他不知道全局，只能靠"别人应该还在守"这个默认假设行动。而这个假设一旦有一处被戳穿，恐慌就是最快的传染病——你看见身边的人跑，你不会去核实到底破没破，你直接跟着跑。跑本身又制造了更多"看见别人跑"的人。这就是正反馈。
- 指挥中枢是单点。青铜时代的城邦，命令从王和贵族那里出。一旦王宫先被端、首领先死，不是"少了个领导"，是整个协调网络的信号源没了。底下再勇的兵，也从"有组织的军队"退化成"各自逃命的个人"。
注意这三条是咬在一起的：墙破 → 触发恐慌 → 恐慌让人不再补位守墙 → 更多墙段实质失守 → 更多人看见更多人跑。裂缝没有停在裂缝那里，它把撑着邻近节点的两样东西——物理阻挡和"秩序还在"的共同信念——同时抽走了。
洛阳：劫走一个人，为什么全国失序
东汉这条线，史料清楚得多，但要分清演义和信史。《三国演义》是元末明初的小说，为了好看加了大量虚构；讲史实得看《后汉书》和《三国志》这类正史。下面说的都是结构，具体的对话、单挑、细节我不替它们背书。
背景：东汉是公元1到3世纪的中国王朝，首都在洛阳，名义上的最高权威是皇帝（天子，字面意思"上天的儿子"，代表一套"皇帝是天选的、所以该听他的"的合法性共识）。到了末年，皇帝年幼虚弱，实权在外戚和宦官手里争。董卓是当时手握凉州边兵的军阀，被卷进京城的权力真空后，控制了年幼的皇帝。
关键的机制是：在这套系统里，"发号施令的合法性"全部灌注在皇帝一个人身上。百官为什么听中央？因为命令盖着天子的章。郡县为什么给中央交粮交兵？因为那是"给天子"。这是我们前面讲过的单点故障——协调、正统、财富流向的记账，全压在一个节点上。
于是董卓控制了皇帝，理论上他就"合法"了。但这里正反馈开始反着咬他：
- 合法性靠共识，共识靠"大家都信别人也信"。一旦地方实力派普遍认定"皇帝已是傀儡、董卓的命令不算数"，皇帝这个节点的信号就作废了。此时中央发出的每一道命令，都在暴露它已经指挥不动——命令越发不动，越证明它没权威，越没权威就越没人听。这是一条向下的正反馈：权威一旦被普遍怀疑，就会自我加速地清零。
- 负反馈机制同时失灵。正常年头，谁想拥兵自重，会被别的力量制衡拉回来（这是负反馈）。但当"谁该说了算"本身悬空，制衡的那只手也没了依据——因为制衡靠的也是"以天子的名义"。裁判的哨子不响了，场上就没有犯规，只有谁拳头硬。
- 联盟只是临时对齐。各地起兵讨董，是因为有了共同威胁。但（前一章讲过）共同的敌人是联盟唯一的黏合剂。威胁一松，向量各指各的方向，讨董联军没打出个结果就散了——而它们散掉的过程，本身又抽走了"还有一个中央值得效忠"的最后共识。
火烧洛阳，是这条链上一个决定性的加速。董卓强迁都城、焚毁洛阳，把宫室、档案、宗庙——也就是这套合法性赖以运转的物理载体——一把火抹掉。这一烧的效果不是"损失一座城"，而是让"回到从前的秩序"这个选项本身消失了。没有了那个可以回去的中心，各方就只剩下一条路：自己占地盘、自己当家。级联至此不再是几小时的事，它滚成了往后几十年的分裂。
两条线，同一个骨架
把两边叠在一起，级联的配方就露出来了：
- 触发。一个局部事件：一道门被打开 / 一个皇帝被控制。单看它，损失有限。
- 抽走支撑。这个局部事件恰好命中了撑着邻近节点的东西——物理阻挡、指挥信号、合法性共识。邻居因此也开始倒。
- 正反馈接管。每一个节点的倒下，都在削弱"秩序还在"的共同信念；而这个信念正是别的节点还站着的唯一理由。越倒越没人信，越没人信越倒。
- 负反馈缺席。本该把系统拉回来的制衡、澄清、补位机制，要么被同一个事件打掉了，要么正好也依赖那个已经失效的中心。没有回拉的手。
- 不可逆的一烧。最后一把火烧掉档案与中心，连"回滚到从前"这个选项都删除了。崩塌从此不需要外力，靠自己就能走完。
一句话总结这一章：崩塌之所以快，不是因为敌人多强，而是因为系统里的每样东西都在替别的东西担保。平时这让它高效，出事时这让它连坐——你抽掉一根，塌的是一片，而且塌的过程自己会加速。
这里藏着一个反直觉的结论，对今天造系统的人尤其扎心：让一个系统平时跑得又快又省的那些东西——高度集中、彼此信任、大家默认秩序还在——恰恰就是它崩塌时跑得又快又狠的原因。效率和脆弱，常常是同一枚硬币的两面。特洛伊的墙和洛阳的天子，都不是被"打败"的，是被自己身上那套省事的默认假设反噬的。至于级联滚到最后那一把火，为什么烧掉的东西再也找不回来、连"回到从前"都成了奢望——那是下一章的事。