为差错设计

当一切都正常运转，人们以预期的方式操作设备，没有意外事件发生，在这种情况下做设计，相对比较容易。如果出了问题，设计就比较棘手。

想想两个人之间的对话。出错了吗？当然，但好像错误处理得很不同……如果一个人说什么东西不可理解，我们要求澄清问题。如果一个人说什么事情一定有错，我们可以提问和争论。我们不会发出警示信号，不会发出哔哔声，不提供错误信息。我们要求更多的信息和相互对话以达成谅解。这是两个朋友之间的正常对话，口误很正常，有时也近似真正的本意。语法错误、自我修正、语无伦次通常会被忽略。事实上，它们通常甚至没有被注意到，因为我们专注于对方的意图，而不是表象的特征。

机器没有足够的智能来确定人类行为的意义，即使如此，它们远没有想象的那么聪明。如果使用人类设计的设备做一些不合理的操作，操作配合一定的格式性的命令，即使非常危险，设备也会照样执行，但这可能导致灾难性的事故。特别在医疗保健领域，设计不合理的输液泵和X射线设备，会让病人接受远远超过剂量的药物或射线辐射，导致病人死亡。在金融机构里，简单的键盘错误会导致金额巨大的金融交易，远远超出正常范围。即使为合理性而设定的简单检查未必会阻止所有这些错误。（这个会在本章的结尾讨论，标题为“合理性检查”。）

很多系统集合了大堆的问题，很容易出事故，但发现错误或修复问题异常艰难，甚至不可能。一个简单的差错不可能酿成大祸，带来严重损伤。以下是应该参考的原则：

·了解差错的根本原因，通过设计以尽量减少这些诱因。

·进行合理性检验。检查操作行为是否能够通过“一般性常识”的测试？

·设计出可以“撤销”操作的功能——“返回”以前操作，或者如果操作不能“返回”，则增加该操作的难度。

·让人们易于发现一定会出的差错，以便容易纠正。

·不要把操作看成是一种差错；相反，帮助操作者正确地完成动作。应该将操作认为近似于预期目的。

通过本章的讨论，我们对差错了解更加深入。例如，比起失误，新手会犯更多的错误，而专家更容易失误。错误常常源于对系统的当前状态模糊不明确或含糊不清的信息，缺乏良好的概念模型，还有不恰当的程序。回忆一下，大多数错误来自选择了错误的目标或计划，或者进行了错误的评价与解释。之所以发生所有这些，因为系统对于选择目标和完成方式(执行计划)不能够提供充分的信息，还有对实际发生的结果缺乏良好的反馈。

差错的主要来源，尤其是记忆失效性差错，是记忆的中断。当一个活动被其他一些事件打断，打断的成本远远大于需要处理中断所失去的时间：也就是恢复被中断了的行动的成本。要恢复以前状态，必须记得准确的活动被打断之前的状态：目标是什么，被打断的活动处于行为周期的哪个阶段，以及当时系统的状态。多数系统在中断后难于恢复。多数用户需要的关键信息丢失，里面包含了无数已经做出的细微抉择，这是人类短期记忆的东西，对当前的系统状态不能提供任何帮助。还需要做些什么？也许我已经完成了？难怪许多失误和错误都是中断的结果。

通过多任务处理，我们可以从容不迫地同时执行几个任务，错觉上认为这是完成许多工作的有效方式，尤其被青少年和忙碌的工人所钟爱，但事实上，所有的证据都指出多任务下绩效严重倒退，差错增加，普遍缺乏质量和效率。同时做两项任务需要的时间，比每次做一件事累积起来的时间更多。即使是简单而普通的任务，比如边开车边使用免提电话，会严重影响驾驶技能。一项研究甚至表明，在行走过程中使用手机会导致严重的问题：“相比其他状况下的个体，使用手机的人走得更慢，频繁地改变方向，并且不大注意其他行人。在第二项研究中，我们发现，使用手机的人很少会注意到他们行走路线上不同寻常的活动（譬如一个骑独轮车的小丑）。”（海曼、鲍斯、维斯、麦肯齐和卡贾诺，2010）。

中断引起很大一部分医疗差错。在航空业，在飞行的关键阶段——起飞和着陆过程中，中断也被确定为主要的问题。美国联邦适航局要求一个所谓的“无菌舱配置”，即在这些关键时期，机组不允许讨论任何不会直接关系到飞机操控的话题。除此而外，在这段时间，不允许乘务人员同机组交谈（不过这有时会导致相反的问题——无法通知机组发生了紧急情况）。

在很多专业领域，包括医疗和其他事关安全的操作，设置类似的屏蔽期很有益处。在开车时，妻子同我就有约定：当司机正驾车驶入或离开高速路口，必须停止一切谈话，直到驶过这段过渡期。打断和分神会让司机出错，失误与错误都会发生。

提供警示信号通常不是避免差错的完美答案。想象一下核电站的中心控制室、商用飞机的驾驶舱或者医院的手术室。每个房间都堆满了大量不同的设备、仪表和控制键盘，所有这些都发出类似的声音信号，因为它们都使用简单的发声器来做提醒。设备之间没有协同机制，这意味着如果出现紧急状况，它们会同时响起来。其中有很多声音可以被忽略掉，因为操作者已经知道它们的提醒。而且这些设备互相竞赛，想让自己被人听见，严重干扰了