作者：Don Norman  |  翻译：易帆   审校：吴潇华

 

杰出的设计研究者唐纳德·诺曼（Don Norman ）阐述了设计不当的软件是如何在夏威夷引发恐慌的。此外，他给出了一些可以预防这类意外发生的建议。

唐纳德·诺曼是圣地亚哥加利福尼亚大学设计实验室的主任以及人为失误（human error）方面的权威。此外，他也是《设计心理学》的作者。这本书在1988年首次出版，他在书中解释了如何避免设计导致的错误。该书之后的版本强化了其早期的观点。

 

“弹道导弹威胁入境夏威夷。请立即寻求掩护。这不是演习。”

2018年1月13日，这则错误的警报被发送给夏威夷所有的人。

到底发生了什么呢？一位夏威夷的政府人员，大卫·艾格告诉CNN新闻，

“一位工作人员按下了错误的按钮。”

错误的警报是如何发生的呢？刚读到关于导弹入侵夏威夷的错误警报的报道时，我就知道会受到谴责的是那些可怜而无辜的人。人为错误将成为对问题的解释。然而，这是不公平的。

 

真正的罪魁祸首其实是糟糕的设计：糟糕、不中用、不合格的设计。

当错误发生的时候，去寻找原因是司空见惯的事情。严重的情况下，会成立一个委员会来彻底地调查并找出原因。最终，人们会发现是某个人做错了什么。调查委员会的人会说“啊，这是人为错误。要加强训练并且惩罚犯错的人。”每个人感觉都很好。公众也感到安心。一个无辜的人被惩罚了，然而，真正的问题却并没有被解决。

委员会正确的反应应该是问问：“是什么导致了人为错误？这一错误本该如何防止？”。找到根本问题并且解决它。

对我来说，这些错误最令人沮丧的地方是它们源于糟糕的设计，不合格的设计。更糟糕的是，几十年来，我们已经知道了以人为中心的、恰当的设计本可阻止这些错误的发生。

我从三十多年起前，也就是1980年代起就开始研究并记录这些错误。

那么夏威夷到底发生了什么呢？报道显示，每天都会由一位工作人员从信息列表里面选择被测试的信息，对系统进行两次测试。因此，人们认为是这个人不小心选择了错误的信息，导致了夏威夷的恐慌。

这就是在周六引发了导弹警报的屏幕。操作员点击了PACOM（CDW）State Only 链接。而真正需要点击的是这个演习链接（DRILL-PACOM（CDW）-STATE ONLY）。

（译注：图片如下，链接需翻墙）

#Hawaii pic.twitter.com/lDVnqUmyHa

— Honolulu Civil Beat (@CivilBeat) January 16, 2018

其实不难做到。

你曾经体验过要用下拉菜单选择某个州的名字，结果却选错了吗？它们往往是相邻的，譬如，选择了密西西比州（Mississippi）而不是明尼苏达州（Minnesota）？

我曾经正好在病房中看到这种错误。一名医师发现病人拿到了错误的药——这种药与实际上需要的那个只有滑动一次鼠标的距离。下拉菜单常被认为容易导致这种错误。它们不应该被用在关乎安全的重要情境中。

当选择威胁着生命时，几个简单的选择可以避免这个问题。最主要的，基本的原则是：永远不要在没有要求确认的情况下完成一个危险的或者无法复原的操作。理想情况是让另一个，与完成这项操作不同的人来确认。

1. 测试信息只能在“测试模式”下发送。这个测试模式除了只能发送测试信息外，其他部分应该都和真实模式一样。每一条信息都应该以“这只是测试。”开始。如果危险信息不在可选项中，严重的错误就不会发生了。
2. 警报系统平时应该处于测试模式。只有在想要发出真实警报信号的时候才进入实时模式。先转换模式，然后由第二个人来确认选择的信息。
3. 在发送前要求由不同的人来确认发送真实的或者测试的信息。第二个人必须完全与第一个人分开。这就像用在很多关乎安全的情境（譬如开矿时引发爆炸）下的双钥系统一样。双钥系统要求使用两个锁，需要两把分开的钥匙同时激活。两个锁要分开得足够远，这样就不能同时被一个人激活。同样的，对于这个测试，两个人必须分开登录系统，最好是物理位置也不同。

 

确认人员越了解情况，出错的可能性越大。

如果确认人员不知道这条信息为什么被发送，就会自发产生疑问——也就是能发现问题的过程。这会降低真正紧急情况下的反应速度吗？

会，但是如果执行顺利，只会延迟几秒。

另外还有两点值得注意。

1. 任何系统在使用前进行测试是很重要的。测试要由真正的操作人员执行，最好是在制造出紧急情况并且时间紧迫的时候测试。需要测试不同场景，包括产生很多警报的场景；人们紧急地需要从其他人那里获取信息的场景；以及当发送和确认的信息的人不断地被打断、被催促，和在其他地方被需要的场景。
2. 第二个值得注意的点是纠正措施。当一则错误的消息被发送出去，这个系统要允许立即纠错（这也要求两步确认）。获许发送至关重要但是危险的信息和纠错信息的难易程度必须相匹配。

是时候换一种方法设计我们的系统了。我们知道怎样防止类似夏威夷导弹警报的错误发生。设计认为人们在严重情绪压力和匆忙状态下容易出错。确保一个人的行动不能导致伤害。在尽可能真实和复杂的情况下测试最终设计方案。系统很少会按照设计师计划的去工作。这就是为什么我们要在设计的各个阶段进行测试。

最后，由该领域专业的人机专家来设计制造：人因工程，人类工程学，人机工程以及安全专家。我们不应该遭受由简单、单一的差错引发的严重错误。

最新的报道（当地时间2018/01/16，下午12：00）表明当时操作系统曾询问他是否确认选择的消息。

 

然而，这种“确认”通常被认为是一个很糟糕的安全确认机制。

我曾在我的书中《The design of everyday things》 （中文名《设计心理学》，第五章：是人为的错误吗？不，是设计的错误）这样写到：

为了避免失误，计算机系统通常在执行某一指令之前，要求用户对该指令进行确认，尤其针对那些能够破坏重要文件的指令。但是这一要求出现的时机不对，因为用户在刚刚发出一项指令之后，往往确信自己的操作是对的。因此，就有了下面一段标准的人机对话：

• 用户：删除“我最重要的工作”这个文件。
  系统：你要删除“我最重要的工作”吗？
• 用户：是的。
  系统：你确定吗？
• 用户：确定！
  系统：文件“我最重要的工作”已被删除。
• 用户：哎呀，糟糕！

这种确认请求似乎在一定程度上激发了失误操作，而不是起到基本的安全检查作用，因为人们往往集中注意力在这项操作上，而不是要操作的文件本身。更好的做法是不仅显示操作，也要强调被操作的文件，或许还可以加入“放弃”和“确认”两项选择。重要的一点是，突出这一操作可能造成的后果。

早前的报道表明，在错误信息发送之前，确认信息甚至没有呈现这条将被发送的信息。这个人当然想发送这条消息——然而，确认信息必须清楚表明后果。这就是为什么我把测试信息和真实的信息分开，放在不同的列表里。

我文章中的截图表明，不仅信息被混杂在一起，而且句法规则也很不友好。第一个单词应该表明它是测试还是一条真实的消息——而这里，每个人写了一条带有他们自己风格的消息。糟糕的设计——实在太糟糕了。甚至对消息进行检查的企图也很糟糕。

哎。请不要再让程序员做交互设计了：让受过人机交互和人因工程训练的专业人士来做吧。

12+

---

更多译文：

如何避免用户偏见

Facebook设计总监教你释放“声音魔力”【

全新的聊天对话交互方式

实战打脸：有毒的NPS净推荐值

全部200+篇译文>>

 

申请加入UXRen翻译组>>

 

---

译者：易帆 审校：吴潇华

作者：Don Norman

原文标题：《What Went Wrong In Hawaii, Human Error? Nope, Bad Design》

原文链接：https://www.fastcodesign.com/90157153/don-norman-what-went-wrong-in-hawaii-human-error-nope-bad-design

发布日期：Jan 16， 2018

版权声明：

• 本文版权归：UXRen翻译组 所有；
• 转载带有“UXRen译”抬头的翻译文章，文章标题必须保留“UXRen译”字样；
• 转载文中必须保留：“UXRen翻译组”、“作者”、“译者”及“审校者”信息；
• 转载文末必须保留本译文网页链接地址；
• 如未遵照上述规则转载，视为侵权，UXRen社区保留随时追责的权利。