玻尔百科在现实世界中，设计任何系统——从桥梁到基因电路——都意味着要面对固有的不可预测性。传统设计通常追求一个针对理想条件优化的、单一完美的解决方案，这使其在现实中不可避免的波动面前显得十分脆弱。这就产生了一个关键的知识鸿沟：我们如何构建不仅性能优越，而且在面对未知时可靠且富有韧性的系统？
“考虑可变性的设计”提供了一个强有力的答案，它将工程理念从追求脆弱的完美转向打造鲁棒的功能性。本文旨在探讨这种现代方法的原理与应用。首先，在“原理与机制”一节中，我们将深入探讨核心概念，区分不同类型的不确定性，并审视用于驾驭这些不确定性的策略，如极小化极大优化和敏感性分析。随后，“应用与跨学科联系”一节将展示这些思想如何彻底改变从经典工程、计算设计到医学和生态学等领域，创造出不仅为功能而生，更为持久而建的系统。
要在现实世界中构建能正常工作的系统，就必须与未知进行搏斗。我们永远无法以完美的精度知晓一个系统的每一个参数，也无法预测其环境中的每一次波动。桥梁必须能抵御尚未刮起的大风，药物必须对生物特征有细微差异的患者有效，合成基因电路必须在细胞这个由分子构成的繁华而混乱的大都市中正常工作。为这个不可预测的世界进行设计的艺术与科学被称为“考虑可变性的设计”。这是一种理念上的转变：从寻求一个在理想化世界中完美运行的、单一而脆弱的“最优”设计，转向打造一个能在各种可能的世界中都表现可靠的鲁棒设计。
在我们驯服不确定性之前，必须首先理解它的本质。事实证明，并非所有的不确定性都是生而平等的。想象一下，你正在计划一次大型户外野餐。你面临两种未知。第一，天气会怎样？天气预报可能会告诉你下雨的概率是30%。这是一种关于未来的、固有的统计随机性。你无法消除它，但可以用概率来描述它。这被称为偶然不确定性（aleatory uncertainty），源自拉丁语 alea，意为“骰子”。这是宇宙在掷骰子。
第二，你发出了200份邀请，有150人回复“会参加”。到底会有多少人到场？这个数字不是随机掷骰子的结果；它是一个固定的数字，只是你不知道而已。你知识的缺乏是不确定性的来源。原则上，你可以通过给每个人打电话确认来减少这种不确定性。这被称为认知不确定性（epistemic uncertainty），源自希腊语 episteme，意为“知识”。这是我们知识上的一个缺口。
这种区分不仅仅是哲学上的；它是现代鲁棒设计的基石。在工程中，我们一直都在与这两种不确定性打交道。以锂离子电池的设计为例。制造商从供应商处购买材料，供应商只能保证某个特性，比如锂离子的扩散系数，位于一个给定的范围 内。这是认知不确定性——对于这批材料来说，真实值是固定的，但我们不知道它是什么。同时，制造过程本身存在微小、不可避免的波动——例如电极的厚度——这些波动表现为随机性，可以用统计分布（如钟形曲线）来描述。这是偶然不确定性。要设计出好的电池，我们必须同时对付这两个敌人，而且不能用同一种武器来对付它们。
经典的设计方法可能是为所有不确定参数假设一个“标称”或平均值，并为此特定情况创建一个完美的设计。这就像一个神枪手瞄准纸靶的中心。但在现实世界中，靶子是移动的。一阵风——一个意料之外的参数值——就可能让神枪手完全脱靶。
鲁棒设计则不同。它不是要正中靶心，而是要确保你的射击能落在靶子的可接受区域内，无论靶子在其边界内如何移动。其指导原则通常是一个简单而略带悲观色彩的美妙思想，称为极小化极大优化。这是一个分为两部分的策略：首先，对于你可能选择的任何给定设计，你想象一个对手，他会从不确定性范围内选择最坏的可能条件，让你的设计表现得尽可能差（“极大化”部分，即最大化损失）。然后，在你所有可能的设计选择中，你挑选那个能使这个最坏情况下的结果尽可能好的设计（“极小化”部分，即最小化那个最大的损失）。你是在最小化你的最大后悔值。
让我们看看实际应用。在合成生物学中，工程师构建基因电路以产生一定量的蛋白质。一个简单的模型告诉我们，蛋白质水平 与一个称为核糖体结合位点（RBS）的遗传部件的强度 成正比，即 ，其中 是细胞机制的一个效率因子。问题在于， 是不确定的；它位于某个范围 内。我们的目标是达到一个目标蛋白质水平 。
一种幼稚的方法可能会使用平均效率 ，并选择 。但如果细胞异常高效，真实值是 怎么办？我们会得到过多的蛋白质。如果细胞效率低下 ()，我们得到的蛋白质又会过少。鲁棒设计会问：选择什么样的 才能使与 的最坏可能偏差最小化？数学揭示了一个非常直观的答案。最优策略不是瞄准输入范围的中间值，而是选择一个 ，使得输出范围 完美地围绕目标 平衡。这发生在 时，从而得出鲁棒的设计选择 。这个设计接受它永远不会完全精确地达到目标，但它保证了无论大自然选择什么，都能获得尽可能小的误差。
当我们同时面对认知不确定性和偶然不确定性时会发生什么？我们必须采取一种混合思维模式，既充当悲观主义者，又充当统计学家。
对于认知部分——“我们不知道”——我们采取极小化极大的悲观态度。我们假设最坏的情况。对于偶然部分——“掷骰子”——我们不能为最坏的单一结果做计划，因为一个极其罕见的事件可能是灾难性的。相反，我们像精算师一样行事。我们管理结果的统计数据。一个常见的策略是优化均值性能和方差的组合。我们希望平均结果是好的，但我们也希望结果的离散程度小。
让我们回到电池设计的问题。目标是最小化电池的内阻，因为它对性能不利。电阻取决于认知性的材料属性（位于已知范围内）和偶然性的制造变异（遵循已知的概率分布）。一个鲁棒的公式分两个阶段来解决这个问题：
统计学家的步骤： 对于任何固定的材料属性集（假设我们知道它们），我们考察随机制造变异的影响。我们不只是计算平均电阻；我们计算一个风险调整后的指标，比如 ，其中 是一个“风险规避”因子。高的 意味着我们非常害怕可变性，会严重惩罚那些性能不一致的设计，即使它们的平均性能很好。
悲观主义者的步骤： 现在，我们承认我们并不知道真实的材料属性。我们的对手登场了。对于我们正在考虑的设计，他们会从其允许的认知范围内挑选特定的材料属性组合，使得我们的风险调整后指标（来自步骤1）尽可能大。
设计师的最后一步： 我们作为设计师，审视这整个两步博弈。然后我们选择设计参数（孔隙率、压力等），以最小化这个最终的、最坏情况下的、风险调整后的电阻。这个优美的嵌套逻辑 ，为创建一个能抵御两种不确定性的设计提供了一条严谨的路径。
在任何复杂的系统中，从喷气发动机到人体新陈代谢，都有几十甚至几百个不确定的参数。让一个设计对所有这些参数都具有鲁棒性，其成本将高得不可思议。我们需要一种方法来找到我们设计的“阿喀琉斯之踵”——那些其不确定性对性能影响最大的参数。这就是敏感性分析的作用。
最简单地说，敏感性分析是一个“如果……会怎样”的游戏。你“摆动”一个输入参数，看看输出会摆动多少。如果一个参数的微小摆动导致输出的巨大摆动，那么该参数就是高度敏感的。但这个简单的图景有其微妙之处。局部敏感性分析就像在汽车停着时通过按压挡泥板来测试其悬挂系统；它告诉你系统对围绕单一工作点的微小变化的响应。而全局敏感性分析（GSA）更像是把车开到各种可以想象的地形上进行试驾，从平坦的高速公路到颠簸的乡间小路；它探索系统在整个不确定性范围内的响应。
GSA至关重要，因为许多系统是高度非线性的。例如，在电池中，化学反应和热量产生之间的相互作用是指数级的。一个在室温下影响不大的参数，在接近热安全极限时可能会突然变得至关重要。局部分析会错过这一点。
GSA中的一个强大工具是使用Sobol指数。想象一下，你系统输出的总方差——总“摆动”——是一个饼图。一个参数的一阶Sobol指数告诉你，这个饼图中有百分之多少是由该参数自身的不确定性引起的。总Sobol指数还包括由该参数与其他所有参数以复杂的、非累加的方式相互作用所引起的饼图部分。通过识别具有最大总Sobol指数的参数，工程师可以有策略地集中精力。他们可以投资于对这些参数进行更精确的测量，或者选择一个本身对它们不那么敏感的设计，从而以一种有针对性的、高效的方式实现鲁棒性。这将设计从一场对抗所有不确定性的蛮力斗争，转变为一场针对最重大威胁的智能战役。
一个鲁棒的设计总是“更好”的吗？这取决于你重视什么。构建鲁棒性通常会以牺牲标称性能为代价。一个为任何情况都做好准备的设计，对于任何单一特定情况而言，很少是最高效的。
考虑一个为满足不确定需求 而设计基础设施容量的简单问题，比如服务器农场或电网。需求有一个已知的范围，但在这个范围内也有一个已知的概率分布（例如，低需求更常见）。
我们可以构建一个“随机”设计 ，它为预期（平均）需求进行优化。这个设计在大多数日子里会非常高效，从长远来看可以最小化运营成本。或者，我们可以使用极小化极大哲学构建一个“鲁棒”设计 ，它为该范围内的绝对最坏情况需求做准备。
分析表明，这两个设计 和 是不相同的。鲁棒设计 提供了更多的容量。在平常的日子里，这部分额外的容量处于闲置状态，产生着成本。随机设计看起来更明智。但在需求飙升至其可能最大值的那一天，“黑天鹅”事件发生时，随机设计就会不堪重负，其成本会急剧上升。而鲁棒设计，因为它为韧性支付了额外费用，所以能从容地处理这一事件。
我们甚至可以量化这种权衡。可以定义一个“韧性指数”，即随机设计的最坏情况损失与鲁棒设计的最坏情况损失之比。一个大于1的值会确切地告诉你，你那为平均情况优化的设计在风暴面前是多么脆弱。这就是“考虑可变性的设计”的根本权衡：你通常是在购买保险。你在标称性能上支付一笔小而稳定的保费，以保护自己免受灾难性失效的影响。选择购买多少保险——即设计要多鲁棒——是每个工程师都必须面对的核心问题。这是一个在“世界通常的样子”与“世界可能的样子”之间取得平衡的决定。这种有原则的方法甚至可以延伸得更远，使我们能够创建不仅对不确定参数鲁棒，而且对我们科学模型的缺陷 乃至对我们自己先验信念的不确定性 也具有鲁棒性的设计。这是一段设计系统的旅程，这些系统不仅是被建造出来，更是为持久而建的。
纸上的设计是一种柏拉图式的理想，是想象世界中的完美形式。一座规定承重10吨的桥梁，一个设计输出1伏信号的放大器，一个设定在90°C下运行的药物合成过程。但现实世界是混乱的。桥上的负载随交通和风力而波动，放大器的元件存在制造瑕疵，反应器的温度也绝非完全均匀。几个世纪以来，工程师们用一个简单而有效的工具来处理这种混乱：安全系数。把桥建成能承受40吨，而不是10吨。过度设计，过度建造，然后祈求好运。
这种方法有效，但可能粗糙且效率低下。现代“考虑可变性的设计”科学将这门艺术转变为一门严谨的学科。它认识到，不确定性不是一个可以置之不理的麻烦，而是自然界和技术的一个基本属性，可以被量化、建模和明确管理。为可变性而设计，就是创造不仅强大，而且有韧性的系统；不仅性能优越，而且可靠的系统。这种思维方式的应用像不确定性本身一样广泛多样，从经典工程的基石延伸到医学、生态学的前沿，以及我们未来的宏大挑战。
鲁棒设计的核心思想在它们诞生的传统工程学科中最容易看到。考虑设计一个散热器来冷却计算机处理器这个看似简单的任务。目标是防止芯片过热。我们可以对传热物理过程进行建模，并找到散热鳍片的“最优”几何形状——特定的厚度 和间距 。但在工厂里，鳍片不会是完全均匀的；它们的实际尺寸将是围绕标称设计值的随机变量。此外，流过鳍片的冷却气流，用对流系数 表示，在运行期间也会波动。
一个幼稚的设计可能会针对平均的、标称的情况进行优化。而一个鲁棒的设计则会做一些更精妙、更强大的事情。它从一开始就承认几何形状和热条件的不确定性。目标不仅仅是最小化平均温度，而是找到一个对这些波动不敏感的设计。这通常被构建为一个优化问题，我们在约束其方差的情况下最小化预期温度。一个低均值和低方差的设计，是一个平均温度低，并且至关重要的是，可预测地保持低温的设计。这就是一个为每位顾客都能可靠工作的产品和一个像买彩票一样的产品之间的区别。
这一原则直接延伸到安全性和寿命。在为飞机机翼或汽车悬挂系统设计钢制部件时，一个关键问题是金属疲劳。微观裂纹会随着每次应力循环而增长，最终导致失效。这个部件能用多久？基于钢的标称应力和教科书上的极限抗拉强度 () 进行简单计算是危险且具有误导性的。实际载荷是变化的，而材料本身的强度由于其复杂的冶金生产过程也具有统计分布。鲁棒设计方法承认 的不确定性，并计算一个设计寿命裕度。这个裕度确保了即使所使用的特定批次钢材处于其规格的较弱一端，该部件仍能安全地满足其所需的运行寿命。
也许最令人惊讶的是，这些鲁棒性的思想在控制系统的抽象世界中同样至关重要。想象一下为汽车设计巡航控制系统。该系统由一个数学“补偿器”控制，它根据速度测量值调整油门。在方程的理想化世界里，我们可以设计出一个响应完美且稳定的补偿器。但这个数学理想必须由真实的电子元件——电阻、电容——来构建，而这些元件的属性是变化的。一个在纸面上看起来完美的设计，在现实中可能危险地“脆弱”。正如形式化的敏感性分析所能显示的，某些看似最优的设计实际上岌岌可危，一个元件值的微小、1%的漂移就可能导致系统稳定性裕度的灾难性下降。理解这种敏感性使工程师能够选择一个不同的设计——也许一个在理想意义上不那么“最优”，但在面对现实世界的不完美时却远为可靠和鲁棒的设计。
指导散热器或电路设计的相同原则，如今正被应用于极其复杂的系统，这要归功于现代计算的力量。我们现在可以在计算机内部构建和测试数百万种设计，而不是仅仅一种，远在切割第一块金属之前。
以飞机机翼的设计为例。目标是一场精妙的舞蹈：最大化升力，最小化阻力。但这些空气动力并非固定数值；它们取决于飞机的速度、高度和迎角，以及大气的密度和湍流等属性。所有这些因素都是不确定的。利用高保真度的计算流体力学（CFD），工程师可以模拟在大量不同飞行条件下，气流流过一个提议的翼型的情况。然后，一个鲁棒优化算法会寻找一种形状，它不仅仅在某个理想巡航条件下具有最低阻力，而是在所有可能性范围内最小化预期阻力。同时，它必须满足一个关键的安全约束：升力低于所需水平的概率必须极小，比如说，小于 。这种被称为*机会约束优化*的公式，将可接受的风险度量直接纳入设计过程。在计算上，这通常使用一种称为样本平均近似法的方法来处理，该方法将概率问题转化为一个巨大但可解的确定性优化问题。
这种计算范式正在彻底改变其他领域，比如能量存储。锂离子电池的性能和寿命受电化学、传热和机械应力的复杂相互作用所支配。为了设计更好的电池，我们可以构建一个“虚拟原型”——一个存在于计算机内部的详细多物理场模型。然后，我们可以让这个虚拟电池经受数千次模拟生命周期，代表不同的驾驶员行为、充电模式和环境温度。目标是找到最优的内部结构——例如电极厚度和孔隙率——以最小化电池寿命内的预期容量衰减，同时确保在极高概率下，电芯电压永远不会违反其安全操作极限。
在某些情况下，概率方法还不够；我们需要绝对的保证。当电池充放电时，锂离子穿梭进出活性材料颗粒，导致它们膨胀和收缩。这会对周围结构产生机械应力。如果应力过高，电极可能会开裂，导致不可逆的失效。材料属性和局部锂浓度可能是不确定的。在这里，人们可能会采取一种更保守的哲学：极小化极大或最坏情况优化。目标是找到能最小化在不确定参数已知范围内任何组合下可能出现的最大应力的设计（例如，颗粒大小、粘合剂量）。这确保了结构的完整性，不仅是高概率的，而是确定的。
为可变性而设计的逻辑并不仅限于无生命的物体。在工程设计与混乱、不可预测的生物世界相互作用的系统时，这一点甚至更为关键。
考虑医疗植入物的设计，比如人工髋关节。没有“平均”的病人。人们有不同的骨密度、体重、活动水平和步态。一个成功的植入物是能对这一系列人类变异性具有鲁棒性的植入物。鲁棒设计过程寻求一种植入物几何形状，它不仅能最小化预期的峰值应力（可能导致机械故障），还能最小化该应力在患者群体中的方差 [@problem-id:4200148]。一个低方差的设计是可预测的；它对体重较轻的老年人和活跃的运动员都表现可靠。它体现了为个体进行工程设计的更深层次理解。
将这个概念进一步延伸，考虑可变性的思维可以用来“设计”一个科学实验。研究野生动物种群的生态学家面临着巨大的不确定性挑战。他们无法数清每一只动物。由于出生、死亡和迁徙，种群本身也在不断变化。他们如何能从捕捉和标记一小部分个体所收集到的嘈杂、不完整的数据中，获得对种群规模和人口统计率的可靠估计？答案在于一种被恰当地命名为*鲁棒设计*的策略。通过精心构建实地抽样，将其分为紧密间隔的时期（在此期间假定种群对人口变化是“封闭的”）并嵌套在较长的主时期内（在这些主时期之间种群是“开放的”），生态学家可以在统计上将采样过程本身造成的不确定性与真实的、潜在的种群动态分离开来。这使他们能够生成对存活率和补充率的鲁棒估计，有效地设计出一种对自然固有的随机性具有韧性的观测策略。
随着我们的技术系统变得越来越复杂和互联，我们管理不确定性的方法也在不断发展。我们正从静态的设计哲学转向能够适应新信息的动态、数据驱动的框架。
实现这一转变的一个关键因素是数字孪生：一个特定物理资产的高保真虚拟模型，通过连续的传感器数据流与其现实世界的对应物保持同步。想象一个航空航天部件，它是用我们对载荷可变性和材料强度的最佳先验估计来设计的。一旦该部件投入使用，其数字孪生会观察它所经历的实际应力和温度。这些数据被用来更新概率模型，从而产生对不确定性的新的、更准确的后验理解。这种数据驱动的设计过程可以带来显著的改进；一个利用数字孪生提供的更精确的后验不确定性范围设计的部件，通常可以比使用模糊的先验知识设计的部件更轻、更高效，而无需牺牲可靠性。
这些先进的概念不仅仅是学术性的；它们正在被编入高风险行业的监管实践中。在制药业，生产像单克隆抗体这样的复杂生物药物需要几十个步骤，每个步骤都有其自身的可变性来源。为了确保患者安全，监管机构要求公司采用“质量源于设计”（QbD）的方法。这包括定义一个“设计空间”——一个由关键工艺参数（如pH、温度和保持时间）构成的多维操作区域，在此区域内，最终产品保证能满足其关键质量属性（如纯度和聚集体水平）。建立这个设计空间是一项艰巨的鲁棒设计任务。它需要一种混合方法，将基础化学的机理模型与广泛的统计性“实验设计”（DoE）相结合，以规划出一个安全的操作区域，并以高置信度证明，在此空间内运行的任何工艺都将产生安全有效的药物。
最后，当我们面临深度不确定性——即未来是如此未知，以至于我们甚至无法为不同情景分配有意义的概率时，我们该怎么办？这是在评估像聚变发电厂这样的首创技术的长期安全性时面临的挑战。我们可以想象各种事故情景，但我们可能没有客观依据来说明哪一种更可能发生。在这些情况下，一种不同类型的鲁棒思维应运而生：后悔最小化。我们不是为最佳预期结果进行优化，而是寻求一种能最小化我们最大可能后悔的设计。一个设计选择在某个特定未来中的“后悔值”，是我们的设计表现与为那个特定未来设计的最佳可能方案的表现之间的差异。一个能最小化最大后悔值的设计，是无论未来如何，都永远不会错得离谱的设计。这是在面对真正的未知时做出决策的一种审慎而强大的策略。
从桥梁上不起眼的安全系数，到我们能源未来中深刻的后悔最小化逻辑，贯穿始终的线索是相同的。世界是，并且永远将是不确定的。一个智能而优雅的设计，并非是在想象中的标称世界里完美运行的设计。它是在这个真实世界里从容、可靠、出色运行的设计。