#272 1998 · Pixar · Film production / technology operations
一个误删命令抹掉了《玩具总动员2》九成文件，皮克斯高层决定唯一不想查的事，就是这句话是谁敲的
问题
一次灾难性的技术故障带来巨大压力，人人都想找出并追究某个人
背景
1998 年《玩具总动员2》制作期间，一条在错误目录里运行的 Unix 删除命令在皮克斯的网络上蔓延，几分钟内抹掉了影片约九成文件——角色模型、场景、动画，两年的心血。救援团队去动用本就为防这种局面而建的备份系统时，发现它已静默失效了大约一个月；本该兜住这次事故的安全网，自己先无声地坏了。
面对代价如此惨重的灾难，组织的本能反应是查出是谁造成的——敲下那条命令的人，就成了这家顶着巨大财务和工期压力的工作室需要追究的对象，既是为了向上面交代，也是为了让自己觉得问题已经解决。皮克斯面对同样的压力，手上也有同样现成的靶子。
换别人会怎么做
找出并追究跑掉那条破坏性命令的人——这是巨大财务和工期压力之下面对灾难性故障的本能反应，也能满足管理层「问题已解决」的需求。它之所以失败，是因为惩罚那个恰好触发故障的人，根治不了真正的病根：一个静默坏了整整一个月、却无人察觉的备份系统。
他们看到了什么
Catmull 看到，找一个背锅的人是在解决错误的问题——真正的失败是系统性的（备份悄悄失效）和组织看不见的（若非大祸临头，没人有理由去检查它）。他意识到，这种看似「问责」的找替罪羊冲动，恰恰会教人把非正式的做法和擦肩而过的险情藏起来——而这些恰恰是能在系统害你倾家荡产前把它暴露出来的东西。
那一手
这部影片最终能救回来，只因为主管技术指导 Galyn Susman 在产后部分时间居家办公时，一直在家用电脑上保留着一份自己私下的、未经授权的制作文件副本——同事们开车去把机器取回来，用它重建了丢失的工作。事后的处理中，联合创始人 Ed Catmull 明确把「找责任」排除在恢复流程之外：据他本人回忆，皮克斯「从未追查是谁的责任」，理由是找出并惩罚那个人，无助于任何人从失败中学到东西；他优先恢复影片、修好备份系统、再补上防重演的保障。
为什么管用
不去追究敲命令的人，就等于拿掉了所有参与者隐瞒信息的动机，这一点直接关系成败：这部片子能救回来，只因为 Galyn Susman 一直悄悄留着一份未经授权的私人备份，而她对这种偏离正式流程的行为既没有理由隐瞒、也没有理由销毁证据——因为皮克斯的文化不会惩罚这种无声的自保。把力气放在修系统上——重建带自动化测试的备份体系、做分布式存储、限制破坏性命令——才是直接对准真正的故障点，而不是搬走一个人、却把同一个坏掉的安全网原样留着，等下一个人去踩雷。
值了多少
《玩具总动员2》完整抢回，并按时上映；工作室重建了备份体系，加入自动化测试、分布式存储和对破坏性命令的访问限制——围绕系统修复，而不是围绕任何一个人的行为。
什么时候会失灵
无责处理要管用，必须配上真正的结构性修复——嘴上说失败是系统性的、身体却什么都不改，只是卸掉了问责、并没有卸掉风险；在纯粹无责的文化下一次次重演失败，反而会侵蚀人们对这套做法本身的信任。它还要依赖一个前提：失败确实是系统性的，而不是个人疏忽、恶意、或明摆着违反已知安全规程的过错；把无责延伸到真正的失职上，会拆掉一个有时真在起作用的威慑，混为一谈还会削弱无责复盘在真正管用的场合的可信度。
后来呢
Catmull 在《创新公司》里对这件事的记述，成了无责复盘被广泛引用的经典案例，如今已是软件工程和运维文化的标准理念（现代无责事后复盘背后的同一套原则），也常被拿来解释 Susman 那份非正式备份为何存在——一个不惩罚偏离正式流程的文化，正是那种会有人悄悄留一张个人安全网、而不是隐瞒「官方那张可能不可靠」的文化。
资料来源
- [1]How Pixar recovered Toy Story 2 after a Unix command deleted nearly the entire film in 1998TechSpot, 2025techspot.com
- [2]How Pixar Accidentally Deleted (& Recovered) Toy Story 2ScreenRant, 2024screenrant.com