为差错设计

正在解决问题的努力。

在许多场合充斥着不必要的、恼人的警报声。用户怎么应付它们？断掉警报信号，将报警灯光用胶带裹起来（或者摘掉灯泡），把声音提醒调成静音，或者干脆解除整个安全警示系统。无论是人们忘记恢复警示系统（这是又一次记忆失效性失误），还是断开提醒后，发生了新的事故，当那些提醒功能被禁用后，问题就出现了。从这点来讲，没有人注意。设计警示和安全方式时认真思考，巧妙设计，必须考虑到受其影响的用户的体验。

设计警示信号异常复杂。声音要足够响亮，灯光要足够明亮，才能被注意到，但是过大的声音和刺眼的灯光会让用户分神，让人烦躁。警示信号应当能够吸引人的注意（作为关键信息的指示），同时也应当自然地体现出正在警示的事件信息。不同设备之间在反应时应当协调一致，这就要求建立国际标准，召集不同厂家的设计团队一起协商工作，而他们大多是竞争对手。尽管相当多的研究已经指出这个问题，包括为警示管理系统开发国家标准，很多场合下这个问题依然存在。

我们所使用的越来越多的机器可以用语音传递信息。但就像其他所有方法一样，语音也有优缺点。语音可以传递清楚的信息，尤其当用户的视觉注意力被占用时。但如果好几个语音同时播报，或者环境很嘈杂，语音发出的警告就很难被听清楚。如果用户或操作者之间需要语言交谈，语音警报就会干扰对话。如果巧妙使用，语音警告信号会很有效。

通过研究差错得到的设计经验

可以通过研究差错得到一些有用的设计经验，一是在差错发生前设计预防措施，另一个是差错发生时如何检测并纠正。通常，以下的解决方案直接得自于上述关于差错的分析。

增加约束以阻止差错的发生

防范差错的方法常常是对操作行为施加特殊的约束。在物理世界，可以通过巧妙地使用形状和尺寸约束。例如，汽车需要不同的液体来进行安全操作和维护：发动机润滑油、变速箱润滑油、刹车液、挡风玻璃清洗液、散热器冷却液、蓄电池液和汽油等等。如果将错误的液体添加到容器里，会严重损坏汽车，甚至发生事故。汽车生产厂商试图通过隔离不同的添加口来减少失误，就是减少描述相似性差错。偶尔使用的添加口，或者仅仅由资质合格的机械师来使用的液体添加口，与那些频繁使用的添加口分布在不同位置，如此一来普通的驾驶者就不会搞错。将容器的开口设计成不同的尺寸和形状，即使用物理约束防止错误的添加，会降低液体添加到错误容器里的差错率。不同的液体常常有不同的颜色，易于区分。所有这些出色的方式减少了差错。同样的技术也广泛应用在医院和工业领域。这些都是聪明地使用了约束条件、强迫性功能和防呆措施。

电子设备也使用了很多种方式来减少差错。一种是隔离操控，即将那些易于混淆的操控彼此远离安放。另一种是使用分离模块，即那些与当下操作没有直接关系的操控根本就不会显示出来，但这需要额外的努力才能实现。

撤销

在现代电子设备上，撤销功能或许是最强大的工具，可以减少差错带来的进一步影响，即如果可能，取消前一个命令的操作。优秀的系统拥有多重撤销功能，因而完全可以返回到最初的状态。

显然，撤销并非经常有效。有时，只有在误操作后立即执行撤销命令才能奏效。不过，撤销功能仍然是减少差错影响的强大工具。我一直迷惑不解的是，许多电子设备和计算机系统完全可能，也值得提供撤销功能，但它们没有。

差错信息确认

在实施一个命令之前，尤其当实施结果可能会破坏某些重要的东西，很多系统要求先确认，这也能防止差错。但这些要求往往设置的时间不恰当，因为人们在执行一个操作后，通常确定他们就是要进行这个操作。关于确认的警示信息，这儿有个典型的段子：

操作者：删除“我最重要的文件”。

系统：你想删除“我最重要的文件”吗？

操作者：是。

系统：你确认吗？

操作者：是！

系统：“我最钟爱的文件”已经被删除了。

操作者：噢，该死。

对确认的要求更像是一种刺激，而不是至关重要的安全检查，因为人倾向于关注行动，而不是正在执行的对象。好的检查应当突出显示所有即将采取的行动和对象，或许会提供“取消”或“执行”的选择。重点是突出行动的后果。当然，正是由于这种类型的差错，撤销功能才越发重要。在传统的计算机图形界面，撤销不仅是标准命令，而且当文件被删除之后，它们实际上被移出视线，存储在名为“回收站”的文件夹里，所以在上面的例子里，人们其实可以打开“回收站”，将错误删除的文件恢复回来。

确认，对于失误和错误，有着不同的含义。我写作时，使用两个非常大的显示器，再加上一台功能强大的电脑。我可能会同时打开七到十个程序，有时候多达四十个窗口。假设我点击关闭其中一个窗口，就会触发一连串确认信息：我希望关闭窗口吗？如何处理这些信息取决于为什么我要关闭那个窗口。如果操作属于失误，则确认信息就会有效——我会取消操作。如果关闭窗口属于操作错误，一般我会忽略掉确认信息。仔细考虑一下这两个例子：

失误让我关闭了错误的窗口。

假设我想敲个单词“We”，但是没有