阅读时间：7分钟
安全边际是另一个植根于工程和质量控制的概念。让我们从这里开始，然后看看我们的模型在实际生活中还可以应用到哪里，最后看看它可能存在哪些限制。
考虑一个高度工程化的喷气发动机部件。如果零件出故障，发动机也会出故障，也许是在最糟糕的时刻——与乘客一起在飞机上。和大多数喷气发动机零件一样，让我们假设零件是可以随时间更换的——虽然我们不想经常更换（造成高得令人望而生畏的成本），但我们并不期望它能够持续发动机的使用寿命。我们设计的零件平均飞行时间为10000小时。
这就引出了一个中心问题：在服务了多少小时之后，我们要替换这个关键部分？容易得到的答案可能是9999小时。为什么要比必须的更早更换呢？那不是浪费钱吗？
第一个问题是，我们对任何单个零件所经历的10000小时的组成一无所知。那是否是一万个特别艰苦的时刻，充满了动荡的天空？一切都比较顺利吗？中间的什么地方？
同样重要的是，我们有多自信这部分能持续一万个小时？如果在制造过程中有轻微的缺陷怎么办？如果我们假设它的可靠性不够保守呢？如果材料在恶劣的天气下降解到我们没有预料的程度怎么办？
挑战是明确的，其含义是显而易见的：我们不会等到该部件已经服务了9999小时。也许在7000小时，我们认真考虑更换零件，在7500小时时我们进行了严格的停止。
等待最后一分钟和舒适地尽早更换之间的差别给了我们安全的余地。我们越快更换零件，我们就越安全——不推边界，我们就留给自己一个垫子。（你有没有注意到你的油箱指示器在你真正空出来之前是如何工作的？）是同样的想法。）
这一原则在桥梁建设中至关重要。比方说，我们计算，平均每天，建议的桥梁将需要支持5000吨在任何时间。我们的建筑能承受5001吨吗？我对在那座桥上开车不感兴趣。如果我们一天的交通比平时拥挤，怎么办？如果我们的计算和估计都差一点怎么办？如果材料随时间以比我们想象的更快的速度减弱怎么办？考虑到这些，我们建造这座桥来支撑20000吨。只有现在，我们才有安全余地。
这个基本的工程原理在生活的许多实际领域都是有用的，甚至对于非工程师也是如此。让我们看一个我们都面对的问题。
***
以年收入10万美元的夫妇为例，税后收入大约为每月8300美元。在设计他们的生活时，他们必须决定享受什么样的生活水平。（不管怎么说，这部分是可以量化的。）他们应该允许自己积累什么样的月度开支？
一个众所周知的方法是将每月开支增加到接近8000美元。4000美元的抵押贷款，1000美元的汽车付款，1000美元的私立学校……等等。这对夫妇辩解说，他们已经“赚”了正确的生活大。
然而，如果出现一些意想不到的巨额支出怎么办？如果其中一人失业，他们的月收入总计下降到4000美元怎么办？
这对夫妇必须问自己，随之而来的痛苦是否值得大手大脚地花钱。如果他们在失去收入后仍保持每月8000美元的消费习惯，他们将不得不在两条艰难的道路之间做出选择：迅速消耗他们的储蓄或者大幅缩减他们的生活。这两种情况都可能因长期持有的奢侈品的损失而造成极端的痛苦。
反过来思考，我们如何避免潜在的痛苦？
通常的做法是告诉这对夫妇确保他们在紧急情况下存了一些钱，以提供缓冲。通常情况下，我们被告知，储备中的当前支出会有一个特定的倍数，可能是6-12个月。在这种情况下，节省48000-96000美元就足够了。
然而，有没有一种方法可以建立它们更大的错误余地？
比方说，这对夫妇决定通过拥有更小的房子、驾驶更便宜的汽车和信任他们的公立学校，来永久地限制他们的月支出到4000美元。发生什么事了？
我们的安全边际现在复合了。显然，超过50%的储蓄率会迅速积累起来，对他们有利——第一个月存4300美元，第二个月存8600美元，等等。仅仅有计划地减少他们的收入就给了他们一个缓冲，而不需要太多的努力。如果出现意外支出，他们几乎肯定会准备好。
如果配偶中的任何一方失去收入——或者由于选择（也许是为了照顾孩子）或者由于运气不好（健康问题），那么这种选择就会带来看不见的好处，以及额外的安全余地。在这种情况下，他们不仅积累了有利于他们的高储蓄率，而且因为他们的支出系统性地低，他们能够完全避免利用它！当他们靠一份收入生活的时候，他们的储蓄只是暂时停止增长。这种“皮带和吊带”解决方案是安全边际思想的精髓。
（附注：让我们再往前走一步。）比如说他们以前每月8000美元的消费率意味着，考虑到他们目前的储蓄率、投资选择和退休后的理想生活方式，他们可能要到70岁才能退休。将他们的需求减少到4000美元不仅为他们提供了急需的储蓄，迅速加快了他们的退休日期，而且他们现在需要的退休金甚至更少。70岁退休看起来就像45岁匆匆退休一样。
***
显然，安全模型的余量是非常强大的，我们明智地使用它来避免任何可能的失败。但它也有局限性。
工程界最突出的一个明显问题是如何权衡时间和金钱。考虑到时间的无限制和人类所知的最昂贵的材料，我们很有可能“防故障”许多产品到如此荒谬的程度，以至于在现代世界是不切实际的。
例如，可以设想波音公司设计一架飞机，其故障率与零无法区分，零件被替换10%进入使用寿命，用稀有但超强力材料等建造，只要世界愿意花25000美元购买从波士顿到芝加哥的教练座位。鉴于这种情况的不可行性，我们的折衷方案是接受不是“防故障”的飞机，而仅仅是极不可能发生故障的飞机，以便以负担得起的成本为世界提供足够安全的空中旅行。这种权衡对于世界来说是非常明智和有益的。简单地说，安全边际的观念可以在没有仔细判断的情况下被推向闹剧。
这给我们带来了模型的另一个限制，即未能参与“全系统”思维。我想起了一句话：
“重要的可靠性不是系统的一个组件的简单可靠性，而是整个控制系统的最终可靠性。”
-加勒特·哈丁在《反愚蠢的过滤器》
让我们回到波音的比喻。比方说，我们确实设计了可以想象的最安全和最可靠的喷气式飞机，在地球上可以想象的最恶劣的天气条件下，这些部件在十亿个小时的飞行时间内不会失效，然后让一个高度服用止痛药的瘾君子驾驶它。
问题是整个飞行系统不仅仅包括飞机本身的可靠性。仅仅因为我们在一个地区建立了安全裕度并不意味着系统不会失败。这说明的不是模型本身的故障，而是应用模型的常见错误。
这给我们带来了最后一个安全模型的余地——对过去数据的天真外推。让我们看一个常见的保险场景来说明这一点。
假设我们有一家具有100年历史的再保险公司PropCo，它在加州发生灾难性财产损失时为主要初级保险公司再保险，最令人担忧的是地震及其余震。纵观其整个（漫长的）历史，PropCo从未经历过这种覆盖面超过10亿美元的年度亏损。大多数年份没有亏损超过2.5亿美元，事实上，许多年份都没有亏损——给他们带来了舒适的利润空间。
PropCo的董事们像工程师一样思考，坚持公司拥有如此强大的财务状况