为差错设计-设计心理学1：日常的设计在线阅读

语速1.0: 2.0

进度0:

为差错设计

当一切都正常运转，人们以预期的方式操作设备，没有意外事件发生，在这种情况下做设计，相对比较容易。如果出了问题，设计就比较棘手。

想想两个人之间的对话。出错了吗？当然，但好像错误处理得很不同……如果一个人说什么东西不可理解，我们要求澄清问题。如果一个人说什么事情一定有错，我们可以提问和争论。我们不会发出警示信号，不会发出哔哔声，不提供错误信息。我们要求更多的信息和相互对话以达成谅解。这是两个朋友之间的正常对话，口误很正常，有时也近似真正的本意。语法错误、自我修正、语无伦次通常会被忽略。事实上，它们通常甚至没有被注意到，因为我们专注于对方的意图，而不是表象的特征。

机器没有足够的智能来确定人类行为的意义，即使如此，它们远没有想象的那么聪明。如果使用人类设计的设备做一些不合理的操作，操作配合一定的格式性的命令，即使非常危险，设备也会照样执行，但这可能导致灾难性的事故。特别在医疗保健领域，设计不合理的输液泵和X射线设备，会让病人接受远远超过剂量的药物或射线辐射，导致病人死亡。在金融机构里，简单的键盘错误会导致金额巨大的金融交易，远远超出正常范围。即使为合理性而设定的简单检查未必会阻止所有这些错误。（这个会在本章的结尾讨论，标题为“合理性检查”。）

很多系统集合了大堆的问题，很容易出事故，但发现错误或修复问题异常艰难，甚至不可能。一个简单的差错不可能酿成大祸，带来严重损伤。以下是应该参考的原则：

·了解差错的根本原因，通过设计以尽量减少这些诱因。
·进行合理性检验。检查操作行为是否能够通过“一般性常识”的测试？
·设计出可以“撤销”操作的功能——“返回”以前操作，或者如果操作不能“返回”，则增加该操作的难度。
·让人们易于发现一定会出的差错，以便容易纠正。
·不要把操作看成是一种差错；相反，帮助操作者正确地完成动作。应该将操作认为近似于预期目的。

通过本章的讨论，我们对差错了解更加深入。例如，比起失误，新手会犯更多的错误，而专家更容易失误。错误常常源于对系统的当前状态模糊不明确或含糊不清的信息，缺乏良好的概念模型，还有不恰当的程序。回忆一下，大多数错误来自选择了错误的目标或计划，或者进行了错误的评价与解释。之所以发生所有这些，因为系统对于选择目标和完成方式(执行计划)不能够提供充分的信息，还有对实际发生的结果缺乏良好的反馈。

差错的主要来源，尤其是记忆失效性差错，是记忆的中断。当一个活动被其他一些事件打断，打断的成本远远大于需要处理中断所失去的时间：也就是恢复被中断了的行动的成本。要恢复以前状态，必须记得准确的活动被打断之前的状态：目标是什么，被打断的活动处于行为周期的哪个阶段，以及当时系统的状态。多数系统在中断后难于恢复。多数用户需要的关键信息丢失，里面包含了无数已经做出的细微抉择，这是人类短期记忆的东西，对当前的系统状态不能提供任何帮助。还需要做些什么？也许我已经完成了？难怪许多失误和错误都是中断的结果。

通过多任务处理，我们可以从容不迫地同时执行几个任务，错觉上认为这是完成许多工作的有效方式，尤其被青少年和忙碌的工人所钟爱，但事实上，所有的证据都指出多任务下绩效严重倒退，差错增加，普遍缺乏质量和效率。同时做两项任务需要的时间，比每次做一件事累积起来的时间更多。即使是简单而普通的任务，比如边开车边使用免提电话，会严重影响驾驶技能。一项研究甚至表明，在行走过程中使用手机会导致严重的问题：“相比其他状况下的个体，使用手机的人走得更慢，频繁地改变方向，并且不大注意其他行人。在第二项研究中，我们发现，使用手机的人很少会注意到他们行走路线上不同寻常的活动（譬如一个骑独轮车的小丑）。”（海曼、鲍斯、维斯、麦肯齐和卡贾诺，2010）。

中断引起很大一部分医疗差错。在航空业，在飞行的关键阶段——起飞和着陆过程中，中断也被确定为主要的问题。美国联邦适航局要求一个所谓的“无菌舱配置”，即在这些关键时期，机组不允许讨论任何不会直接关系到飞机操控的话题。除此而外，在这段时间，不允许乘务人员同机组交谈（不过这有时会导致相反的问题——无法通知机组发生了紧急情况）。

在很多专业领域，包括医疗和其他事关安全的操作，设置类似的屏蔽期很有益处。在开车时，妻子同我就有约定：当司机正驾车驶入或离开高速路口，必须停止一切谈话，直到驶过这段过渡期。打断和分神会让司机出错，失误与错误都会发生。

提供警示信号通常不是避免差错的完美答案。想象一下核电站的中心控制室、商用飞机的驾驶舱或者医院的手术室。每个房间都堆满了大量不同的设备、仪表和控制键盘，所有这些都发出类似的声音信号，因为它们都使用简单的发声器来做提醒。设备之间没有协同机制，这意味着如果出现紧急状况，它们会同时响起来。其中有很多声音可以被忽略掉，因为操作者已经知道它们的提醒。而且这些设备互相竞赛，想让自己被人听见，严重干扰了正在解决问题的努力。

在许多场合充斥着不必要的、恼人的警报声。用户怎么应付它们？断掉警报信号，将报警灯光用胶带裹起来（或者摘掉灯泡），把声音提醒调成静音，或者干脆解除整个安全警示系统。无论是人们忘记恢复警示系统（这是又一次记忆失效性失误），还是断开提醒后，发生了新的事故，当那些提醒功能被禁用后，问题就出现了。从这点来讲，没有人注意。设计警示和安全方式时认真思考，巧妙设计，必须考虑到受其影响的用户的体验。

设计警示信号异常复杂。声音要足够响亮，灯光要足够明亮，才能被注意到，但是过大的声音和刺眼的灯光会让用户分神，让人烦躁。警示信号应当能够吸引人的注意（作为关键信息的指示），同时也应当自然地体现出正在警示的事件信息。不同设备之间在反应时应当协调一致，这就要求建立国际标准，召集不同厂家的设计团队一起协商工作，而他们大多是竞争对手。尽管相当多的研究已经指出这个问题，包括为警示管理系统开发国家标准，很多场合下这个问题依然存在。

我们所使用的越来越多的机器可以用语音传递信息。但就像其他所有方法一样，语音也有优缺点。语音可以传递清楚的信息，尤其当用户的视觉注意力被占用时。但如果好几个语音同时播报，或者环境很嘈杂，语音发出的警告就很难被听清楚。如果用户或操作者之间需要语言交谈，语音警报就会干扰对话。如果巧妙使用，语音警告信号会很有效。

通过研究差错得到的设计经验

可以通过研究差错得到一些有用的设计经验，一是在差错发生前设计预防措施，另一个是差错发生时如何检测并纠正。通常，以下的解决方案直接得自于上述关于差错的分析。

增加约束以阻止差错的发生

防范差错的方法常常是对操作行为施加特殊的约束。在物理世界，可以通过巧妙地使用形状和尺寸约束。例如，汽车需要不同的液体来进行安全操作和维护：发动机润滑油、变速箱润滑油、刹车液、挡风玻璃清洗液、散热器冷却液、蓄电池液和汽油等等。如果将错误的液体添加到容器里，会严重损坏汽车，甚至发生事故。汽车生产厂商试图通过隔离不同的添加口来减少失误，就是减少描述相似性差错。偶尔使用的添加口，或者仅仅由资质合格的机械师来使用的液体添加口，与那些频繁使用的添加口分布在不同位置，如此一来普通的驾驶者就不会搞错。将容器的开口设计成不同的尺寸和形状，即使用物理约束防止错误的添加，会降低液体添加到错误容器里的差错率。不同的液体常常有不同的颜色，易于区分。所有这些出色的方式减少了差错。同样的技术也广泛应用在医院和工业领域。这些都是聪明地使用了约束条件、强迫性功能和防呆措施。

电子设备也使用了很多种方式来减少差错。一种是隔离操控，即将那些易于混淆的操控彼此远离安放。另一种是使用分离模块，即那些与当下操作没有直接关系的操控根本就不会显示出来，但这需要额外的努力才能实现。

撤销

在现代电子设备上，撤销功能或许是最强大的工具，可以减少差错带来的进一步影响，即如果可能，取消前一个命令的操作。优秀的系统拥有多重撤销功能，因而完全可以返回到最初的状态。

显然，撤销并非经常有效。有时，只有在误操作后立即执行撤销命令才能奏效。不过，撤销功能仍然是减少差错影响的强大工具。我一直迷惑不解的是，许多电子设备和计算机系统完全可能，也值得提供撤销功能，但它们没有。

差错信息确认

在实施一个命令之前，尤其当实施结果可能会破坏某些重要的东西，很多系统要求先确认，这也能防止差错。但这些要求往往设置的时间不恰当，因为人们在执行一个操作后，通常确定他们就是要进行这个操作。关于确认的警示信息，这儿有个典型的段子：

操作者：删除“我最重要的文件”。
系统：你想删除“我最重要的文件”吗？
操作者：是。
系统：你确认吗？
操作者：是！
系统：“我最钟爱的文件”已经被删除了。
操作者：噢，该死。

对确认的要求更像是一种刺激，而不是至关重要的安全检查，因为人倾向于关注行动，而不是正在执行的对象。好的检查应当突出显示所有即将采取的行动和对象，或许会提供“取消”或“执行”的选择。重点是突出行动的后果。当然，正是由于这种类型的差错，撤销功能才越发重要。在传统的计算机图形界面，撤销不仅是标准命令，而且当文件被删除之后，它们实际上被移出视线，存储在名为“回收站”的文件夹里，所以在上面的例子里，人们其实可以打开“回收站”，将错误删除的文件恢复回来。

确认，对于失误和错误，有着不同的含义。我写作时，使用两个非常大的显示器，再加上一台功能强大的电脑。我可能会同时打开七到十个程序，有时候多达四十个窗口。假设我点击关闭其中一个窗口，就会触发一连串确认信息：我希望关闭窗口吗？如何处理这些信息取决于为什么我要关闭那个窗口。如果操作属于失误，则确认信息就会有效——我会取消操作。如果关闭窗口属于操作错误，一般我会忽略掉确认信息。仔细考虑一下这两个例子：

失误让我关闭了错误的窗口。

假设我想敲个单词“We”，但是没有为第一个大写字母键入Shift + W，而是Command + W(或者Control +W)，此键盘命令就是关闭窗口。我期待屏幕上会出现大写的W，但一个对话框弹出来，询问我是否真的想关闭文档，我很惊讶，这立刻提醒我可能有失误。我会取消操作（对话框会善解人意地提供这个备选方案），然后重新键入Shift + W，这次我很小心。

错误让我关闭了错误的窗口。

现在假设我确实想关闭窗口。我经常使用窗口打开的临时文件做备注，标记正在撰写的章节。当我完工了，要关闭窗口，不保存临时内容——别忘了，我确实完工了。但由于通常有很多个窗口在打开状态，很容易就关错窗口。电脑会认为所有的命令适用于已激活的窗口——最后一次操作的那个窗口（带着文本光标的那个）。但如果我恰好在关闭文档之前看了一眼临时窗口，我的视线还停留在那个临时窗口，然后就确定关闭它，其实我已经忘了此窗口非电脑所默认的活动窗口。我发出命令，关闭窗口，电脑弹出对话框，要求确认，然后我就接受，确认无须保存！由于我对对话框的信息已经了然于心，嫌麻烦，我不会再仔细读它。结果就是，我关错了窗口，更糟的是，没有保存，曾经输入的所有文字，或许是相当多已经完成的工作都丢失了。在对付错误方面，警告信息惊人地无效（即使是很细心的要求，像第四章，图4.6所示）。

这到底是失误还是错误？都是。对错误的活动窗口发出关闭指令，是记忆失误。但没有仔细阅读对话框提示，接受并且不保存内容就是错误（实际上是两个错误）。

设计师该怎么做呢？有这样几个方案：

·使正在操作的对象更加显眼。 也就是说，改变正在操作的对象的外观使其更加显眼:放大，或者改变颜色。
·让操作可逆。 如果用户要保存内容，除了不厌其烦地再次打开要保存的文件，不能发生任何损失。如果用户选择不保存，系统能够秘密地保存内容，等到下次用户再打开文件时，询问是否恢复为最近的版本。

合理性检查

电子设备比机械设备有另外一个优势:它们能够检查以确保要求的操作是否合理。在当今世界，医务人员能够意外地要求比常规剂量多数千倍的射线，而设备竟然顺从地满足其要求，这令人震惊。在一些事件中，操作者根本不可能注意到这些差错。

同样，发生在货币兑换过程中的差错可能导致灾难性的结果，尽管只要迅速扫一下金额，就能发现事情不对劲。例如，韩元兑美元的比率大约为1000∶1，假设我想将1000美元兑换成韩元存入韩国银行的账户（1000美元大约等于1百万韩元）。但如果我将韩元数目输入到美元栏目中，哎呀——我正在转账1百万美金。电脑的智能系统会注意到我转账的正常范围，就会质疑这次转账的数额如此巨大。对我来说，应当质询百万美元的操作。但如果缺乏智能系统，也许就会盲目遵循指令，尽管我的账户里并没有百万美元（实际上，我还会因为账户透支而被罚款）。

当然，由于医院将不合适的数值输入到X射线设备，或弄错了药物剂量，或者就像前面讨论的财务交易，合理性检查也是杜绝这些事件发生严重差错的灵丹妙药。

减小失误

无论是外在原因使思路被打断，还是仅仅因为对正在执行的动作已经了然于心，可以无意识地自动进行，当有意识的思维被分散时，就会频繁发生失误。思路被打断的结果，就是人们不会再花足够的精力关注行动及其结果。因此，似乎减少失误的方法之一，就是让人们对正在从事的行动保持紧密的、有意识的关注。

这是个糟糕的想法。熟练行为是下意识的，迅捷，信手拈来，而且通常准确无误。由于完全不假思索，我们才可以快速地打字，而这时有意识的思维正忙着组织词句。这就是为什么我们能够穿行于车流与障碍之间还能边走边聊。如果需要在生活中的每一件小事上都有意识地去关注，我们就不会有今天的成就。大脑的信息处理结构能够自动调节在一个任务上应该分配多少有意识的注意力：当穿过繁忙拥挤的马路时，正在进行的交谈会自动暂停。虽然如此，不要过分依赖它：如果在某件事情上花费太多注意力，实际上你可能注意不到正在恶化的交通堵塞。

如果能够保证操作及其控制尽可能不同，或者至少在物理距离上越远越好，就能减少很多失误。通过去掉多余功能这种简单的办法就能消除功能状态失误，如果不行，让功能彼此容易区分和明确可见也是好的办法。

防范失误最好的办法是对正在实施的动作的特性，提供可以感受到的反馈，越是灵敏的反馈越能体现新的结果和状态，再伴之以能够撤销差错的机制。例如，使用机器可以识别的条形码大大减少了给病人的错误用药。送到药房的处方被贴上电子条码，药剂师就能扫描处方和用药的结果，确保它们一致。然后，医院的护理人员扫描药品的标签和病人腕带上的标签，确认药品发放给正确的病人。再者，计算机系统能够标示出同一种药品的重复使用。这些扫描可能会增加工作量，但也是轻微的。其他类型的差错仍有可能发生，但这些简单的步骤已经被证明行之有效。

普遍的工程和设计实践看起来似乎有意造成了失误。成排的完全一样的控制器或仪表无疑是描述相似性失误的元凶。没有显着标示的内部模式毫无障碍地引发了功能状态差错。伴有无数中断的情境，毫无疑问促使记忆失效性失误——现今几乎没有哪个设备被设计得能够支持不计其数的中断。无论对很少使用的程序，还是非常频繁使用的程序，如果在实施过程中不能够提供帮助和可视的提醒，就会产生撷取性失误，即频繁重复的动作会取代一定情境下正确的行动。设计流程应该注意，尽可能让前面几步不要相似。

重点就是，优秀的设计能够防止失误和错误。设计能够挽救生命。

从差错到事故——瑞士奶酪模型

幸运的是，很多差错不会导致事故的发生。发生事故常常有很多诱因，没有哪一个单独的因素能成为根本原因。

詹姆斯·里森喜欢援引多层瑞士奶酪的比喻来解释事故的缘起，这种奶酪由于布满筛眼似的孔洞而出名（图5.3）。如果每片奶酪代表正在完成任务的一种状态，只有所有四片奶酪上的孔洞刚好排成一线，事故才会发生。在设计良好的系统里，可能存在许多设备故障，很多的差错，但除非它们恰好精确地组合起来，否则不会酿成事故。任何疏漏——就像洞穿奶酪上的一个个孔——经常会被下一个事件堵住。设计良好的系统对故障有很好的免疫力。这就是为什么努力去寻找事故的“某个”原因，常常注定会失败。事故调查者、媒体、政府机构，还有普通的市民，都喜欢给事故的原因找个简单的解释。“看，如果第一个奶酪片上的洞再稍微高点儿，就不会发生事故了。所以扔掉第一片，换一个。”当然，同样的解释可以用在第二、三、四片上（实际上在真正的事故里，会有成千上万的奶酪片）。找到或确定一些方案，相对比较容易，做些不同的改动，或许会起到预防事故的效果。但这不是事故的根本原因，这只是诸多原因之一：所有的因素都需要综合考虑。

在许多事故中你都会看到类似“要是……”的陈述。“要是我没有决定走捷径，就不会发生事故。”“要是不下雨，我的刹车不会失灵。”“要是我当时看一眼左侧，就能看见疾驰而来的车子。”确实所有的陈述都是正确的，但没有任何一个是事故的“真正”原因。通常，不存在单一诱因。是的，记者和律师，还有公众，喜欢搜寻原因，这样有人就会被谴责和惩罚。但声誉卓着的调查机构明白不存在单一的原因，这也就是为什么他们的调查往往旷日持久。他们的职责是了解系统，做出改变，降低可能导致未来事故的系列事件的发生概率。

为差错设计

图5.3 里森的瑞士奶酪事故模型。

发生事故通常有多种因素。任何其中一个原因不出现，事故就不会发生。英国事故调查员詹姆斯·里森用多层瑞士奶酪比喻这种状况：除非奶酪上所有的孔都完美地连成一线，否则没有事故。其次，要减少事故的发生，让系统更加有弹性，我们可以通过设计额外的差错预防机制(即切出更多层的奶酪)，减少失误、错误或设备失效的机会（奶酪上更少的孔），以及为系统中不同的零部件设计完全不同的运行机制（努力使奶酪上的孔不要排列起来）。（图片来自里森，1990年。）

瑞士奶酪的比喻启发我们应用以下几种方式减少事故：

·增加更多层的奶酪。
·减少孔洞的数量（或者让现有的孔更小一些）。
·如果一些孔洞将要排成一线，提醒操作者。

上述每一种方法都有操作上的含义。多层奶酪意味着多重保护，像在航空和其他行业要求使用检查清单，一个人诵读清单条目，另外一个人执行，然后前一个人再检查操作以确保符合规程。

在可能发生差错的地方，减少危及安全的操作的数量，就像减少瑞士奶酪上孔洞的数量和尺寸。精心设计的设备会降低失误和错误的发生概率，这就是减少孔洞数量的同时让孔洞变得更小。正是这些措施极大地提升了商用飞机的安全水平。德博拉·赫斯曼（Deborah Hersman），国家交通安全局的主席，这样描述设计原则：