Дизайн, способствующий ошибкам

Существует мнение, что ошибки совершают неквалифицированные или немотивированные работники. Но ошибаются все. Дизайнеры делают это, не принимая в расчет ошибки пользователей. Они неумышленно могут увеличить вероятность совершения ошибки или сделать невозможным ее поиск и устранение. Возьмем историю с Лондонской фондовой биржей, с которой начинается эта глава. Причиной хаоса стал плохой дизайн. Его автор не должен был допустить, чтобы одна простая ошибка могла причинить такой огромный вред. Поэтому при разработке дизайна нужно сделать следующее.

1. Понять причины ошибок и постараться свести их к минимуму.

2. Сделать возможной отмену предыдущего действия или уменьшить вероятность необратимого действия.

3. Облегчить обнаружение и исправление ошибок.

4. Изменить отношение к ошибкам. Представьте, что человек пытается выполнить задачу, руководствуясь неточными значениями. Сделайте так, чтобы он винил в возможных ошибках не себя, а эти самые значения.

Если кто-то ошибается, этому обычно есть причина. Виновником заблуждения часто становится неполнота или недостоверность информации. К оплошности приводят плохой дизайн или отвлечение внимания. Как только обнаруживаются причины ошибок, сами они становятся понятными и логичными. Не наказывайте за ошибки. Не обижайтесь. И самое главное, не игнорируйте их. Постарайтесь создать такую систему, которая позволяла бы совершать ошибки. Поймите, что мы не всегда точны в своих действиях. Сделайте так, чтобы ошибки можно было обнаружить и исправить.

Что делать и чего не делать с ошибкой

Возьмем такой пример: вы захлопнули дверцу автомобиля, а ключи остались внутри. Открыть дверцу можно только ключом (остальные способы не совсем просты). Поэтому вы вынуждены держать ключи при себе. Я называю такое явление вынуждающей функцией. (Подробнее о ней рассказывается в следующем разделе.)

В современных американских автомобилях, если водитель открывает дверцу, не вынув ключ из замка зажигания, раздается предупреждающий звуковой сигнал.

Теоретически этот звук должен уберечь вас от ошибки. Однако его приходится игнорировать так же часто, как и воспринимать. Пропускать мимо ушей его приходится тогда, когда нужно ненадолго выйти из машины, оставив при этом включенным двигатель. В таких случаях этот звук раздражает, ведь вы и так знаете, что дверца открыта. А иногда вам просто нужно оставить ключи в машине. Недостаток системы предупреждения в том, что она не отличает обдуманных поступков от ошибочных.

Предупреждающий сигнал – это не выход. В качестве примера возьмем диспетчерскую на атомной электростанции или кабину самолета. Тысячи приборов, и каждый сделан человеком, который считал необходимым оснастить его системой предупреждения. Многие сигналы звучат одинаково. На большинство из них диспетчер не обращает внимания, потому что и так знает то, о чем они говорят. А когда случается настоящее ЧП, все звонки и сирены включаются одновременно. Каждый борется за то, чтобы быть услышанным, и этим отвлекает человека от проблемы.

Встроенных систем предупреждения стараются избегать по нескольким причинам. Во-первых, они сами могут привести к ошибке тем, что подвергнут сомнению правильность и разумность действий. Во-вторых, они часто включаются одновременно и возникающая какофония может отвлечь человека от работы. В-третьих, они иногда просто мешают. Вот пример: в теплый день вы не можете сидеть в душном салоне автомобиля, поэтому, включив радио, открываете дверь. Чтобы приемник работал, ключ должен оставаться в замке зажигания, но из-за этого же ключа дверь постоянно пищит. В результате мы отключаем системы предупреждения, вырываем язычки в колокольчиках и выкручиваем лампочки. Системы безопасности нужно устанавливать с умом, принимая во внимание соотношение преимуществ и потерь для их пользователей.

Вынуждающая функция

Вынуждающая функция – это форма физического ограничителя: ошибка на одном этапе действия делает невозможным следующий этап. С вынуждающей функцией связан и запуск двигателя автомобиля: вы должны вставить ключ в замок зажигания. Раньше кнопка, запускающая стартер, располагалась отдельно от зажигания, поэтому водители часто пробовали завести машину без ключей. В современных автомобилях стартер запускается поворотом ключа – это вынуждает использовать ключ.

Аналогичной функции для извлечения ключа перед захлопыванием дверцы нет (см. комикс «Прирожденный неудачник»). Как вы уже, наверное, поняли, в тех автомобилях, где дверцу можно закрыть только ключом (снаружи), вынуждающая функция имеется: если вы хотите выйти из машины, вы не можете оставить ключ внутри. Если дизайнер действительно хочет использовать вынуждающую функцию, он обычно находит способ, правда, иногда за счет изменения образа поведения. Естественно, последствия этих изменений должны быть тщательно продуманы, чтобы была уверенность в том, что пользователи сознательно не захотят вывести вынуждающую функцию из строя.

История ремней безопасности дает нам хороший пример. Несмотря на то что они могут спасти жизнь, некоторые водители не любят их настолько, что отказываются их пристегивать (возможно, и потому, что воспринимаемый риск намного меньше статистического). Какое-то время в США в отношении ремней безопасности применялась вынуждающая функция: на каждой новой машине устанавливалась специальная взаимоблокировка. Если ремни водителя и пассажиров не были пристегнуты, завести автомобиль было невозможно (попытка сопровождалась пиканьем). Эта вынуждающая функция была настолько непопулярной, что водители начали платить автослесарям, чтобы те отключили ее. Вскоре закон был изменен.

Всего было три проблемы. Во-первых, многие водители не хотели пристегивать ремень и поэтому начали возмущаться из-за необходимости делать это. Во-вторых, вынуждающая функция не могла распознать ситуации, в которых ремень не нужно было пристегивать. Ведь если бы вы хотели провезти какой-то груз в салоне авто, вам пришлось бы пристегивать и его, потому что машина не сдвинулась бы с места. В-третьих, сам механизм был ненадежным и часто давал сбои, без причины пикал, глушил двигатель и поэтому, естественно, сильно мешал. Те, кому не удавалось отключить его, просто пристегивали ремень на пустом сиденье и прятали его. Поэтому, если пассажир хотел воспользоваться ремнем, он не мог этого сделать. Мораль: непросто заставить человека делать то, что ему не нравится. Если вы собираетесь применить вынуждающую функцию, сделайте так, чтобы она надежно работала и различала допустимые нарушения от недопустимых.

Вынуждающая функция – это особый случай строгих ограничителей, которые позволяют обнаружить ошибочное действие. Такие ограничители подходят не везде, но их принцип можно применить к большинству жизненных ситуаций. В технике безопасности вынуждающие функции часто называют специализированными методами предотвращения несчастных случаев. К трем таким методам относятся взаимоблокировка, фиксация и блокировка.

Взаимоблокировка вынуждает выполнять действия в строгом порядке (рис. 5.4). В микроволновых печах и телевизорах она не дает открыть дверцу печи или снять заднюю панель телевизора без предварительного выключения этих устройств: благодаря взаимоблокировке питание отключается в тот момент, когда открывается дверца или снимается крышка. Кольцо на гранате или огнетушителе выполняет ту же роль: оно предотвращает неумышленное применение.

Рис. 5.4. Применение взаимоблокировки. Фургон автомобиля Nissan Stanza устроен так, что крышка топливного бака расположена на пути отодвигающейся дверцы (вверху). По этой причине открывать ее, когда кто-то заливает бак, опасно. Компания Nissan справилась с этой проблемой, добавив в конструкцию рычажок, который блокирует дверцу, когда в бак заливается топливо. Рычажок выполняет роль взаимоблокировки: заправить машину можно только в том случае, если он стоит в безопасном положении (внизу). Более того, крышку нельзя закрыть, не переключив рычажок в нормальное положение. И, наконец, если кто-то пытается открыть дверцу автомобиля во время заправки, звучит предупреждающий сигнал. Производителям пришлось внедрить столько вынуждающих функций только потому, что крышка топливного бака изначально была расположена неудачно

Благодаря фиксации невозможно преждевременно остановить выполняемое действие. Если бы этот метод применялся во всех компьютерах, печальные истории операторов об уничтожении несохраненных данных после выключения машины исчезли бы. Представьте, если бы сетевой выключатель на системном блоке был «программным», то есть не отключал подачу тока, а посылал сигнал прекратить работу, чтобы система сначала сохранила все файлы и только после этого выключала компьютер. (Конечно, для особых ситуаций должен быть и обычный выключатель.)

Блокирующее устройство не позволяет зайти в опасную зону и предотвращает некоторые события. Хороший пример: лестницы в зданиях компаний, по крайней мере американских (рис. 5.5). При пожаре паникующие служащие склонны бежать по лестнице вниз, вниз, вниз, мимо первого этажа в подвал, где и оказываются в ловушке. Выход: не дать им сделать это.

Рис. 5.5. Блокировка. Вынуждающая функция не дает служащим пройти мимо первого этажа в подвал. Хотя в повседневной жизни этот барьер может показаться помехой, при пожаре он спасает жизни. Он заставляет бегущих прекратить спуск и направиться к выходу

В здании, где я работаю, лестница заканчивается на первом этаже и ведет прямо к выходу. Чтобы пройти в подвал, нужно найти другую дверь, открыть ее и спуститься по лестнице. Эта мера безопасности неудобна: в здании еще никогда не было пожара, а мне приходится часто спускаться с верхних этажей в подвал. Но это все мелочи, потому что во время пожара такая планировка может спасти жизнь.

В нормальной жизни вынуждающие функции часто мешают нам. Дизайнер, внедряя вынуждающую функцию, должен не только преследовать цели безопасности, но и по возможности снизить уровень неудобства своего продукта.

Вынуждающие функции используются во многих полезных устройствах. В некоторых общественных туалетах есть полки для вещей, неудобно расположенные на боковой стене сразу за дверью кабинки и удерживаемые в вертикальном положении пружиной. Почему не установить жестко закрепленную горизонтально полку так, чтобы она не мешала открывать дверь? Место для этого есть. Недолгие размышления приводят нас к ответу: расположение полки обусловлено ее вынуждающей функцией. Принимая под тяжестью положенных на нее вещей горизонтальное положение, она блокирует дверь. Чтобы выйти из кабинки, вы должны забрать свои вещи и этим поднять полку. Вы просто не можете что-то забыть. Удачный дизайн.

Мы часто забываем свои вещи. Вот несколько примеров, которые сразу приходят на ум.

• Сделав копии документа, мы можем оставить оригинал в копировальном аппарате и уйти.

• Взяв деньги из банкомата, мы можем уйти, забыв карточку. Раньше это явление было настолько распространено, что теперь во многих банкоматах есть вынуждающая функция: перед тем как получить деньги, клиент должен забрать карточку. Конечно, вы можете забыть деньги, но это менее вероятно, потому что они являются вашей целью. И все же такая возможность существует, поэтому можно говорить о том, что вынуждающая функция несовершенна.

• Путешествуя на машине, мы можем оставить ребенка на привале и уехать. Я слышал о молодой маме, которая забыла ребенка в магазине в кабинке для переодевания.

• Сделав заметку или выписав чек в общественном месте, мы можем положить ручку и, переключив внимание на что-то другое, забыть о ней. Этим «чем-то» может быть осмотр заказа, разговор с друзьями или продавцом и т. д. Или наоборот: позаимствовав ручку, мы можем положить ее себе в карман или сумочку, даже если она не наша. Эта оплошность – пример заместительной ошибки.

Вынуждающие функции не всегда присутствуют там, где должны быть. Иногда их отсутствие приводит к никому не нужной неразберихе. Прочитайте предупреждение из инструкции, приведенной на рис. 5.6.

Рис. 5.6. Игровая приставка Nintendo. Эта домашняя видеоприставка предназначена для детей. Несмотря на это, она сопровождается сложной инструкцией, на которую практически никто не обращает внимания. Чтобы поиграть, нужно вставить игровой картридж в специальное отделение. В это время приставка должна быть выключена. Из-за отсутствия вынуждающей функции в инструкцию, как правило, не заглядывают (если вообще знают о ее существовании). Если порядок выполнения действий важен, нужно подключить вынуждающую функцию. Если нет, нужно избавиться от инструкции. (Из инструкции к приставке Nintendo. Nintendo ® и Nintendo Entertainment System® – торговые марки компании Nintendo Of America Inc. © 1986 Nintendo)

А эти восклицательные знаки! Предостережение повторяется в инструкции несколько раз, но толку от него никакого. Игровая приставка Nintendo предназначена для детей, а они вряд ли будут заглядывать в какую-то там инструкцию. Им не терпится попробовать новую игру.

Мой собственный ребенок неукоснительно следовал предписаниям несколько дней, но когда однажды я сказал, чтобы он выключил игру и шел обедать, он допустил ошибку.

Все мои старания пошли насмарку. Единственный возможный плюс этого предупреждения – защита производителя: если ребенок постоянно сжигает электронные компоненты, компания может отказать в гарантийном обслуживании, аргументируя это тем, что он не следовал инструкции.

Дизайн приставки нуждается в вынуждающей функции. Существует несколько решений этой проблемы. На крышку отделения для картриджа можно было бы установить контроллер взаимоблокировки, который автоматически выключал бы приставку каждый раз, когда ребенок поднимал бы эту крышку. Или к выключателю можно было бы подсоединить рычажок, который блокировал бы крышку так, чтобы ребенок не смог ни достать, ни вставить картридж до тех пор, пока не выключит приставку. Есть и другие варианты. Я думаю, один из них нужно обязательно учесть при разработке дизайна, потому что отсутствие вынуждающей функции гарантированно приведет к ошибке.