Дизайн привычных вещей

Норман Дональд А.

Здесь основную роль сыграли временные и экономические факторы Пилоты самолета Pan American двигались к своей полосе, хотя еще не были допущены к ней авиадиспетчерами. Второй пилот самолета KLM высказал первому пилоту свои возражения против взлета, аргументируя их тем, что разрешения на вылет не получено, но тот никак не отреагировал. В конечном счете, причиной трагедии стало сочетание общественного давления и логического объяснения противоречивых наблюдений.

Самолет авиакомпании Air Florida, следовавший из Национального аэропорта Вашингтона, США, при взлете врезался в мост над рекой Потомак. В результате аварии погибло 78 человек, из которых четверо в момент столкновения были на мосту. Самолет не должен

был взлетать, потому что на его крыльях был лед, но рейс и так уже задерживался на полтора часа. Этот и другие факторы». могли способствовать спешке экипажа». Трагедия произошла, несмотря на беспокойство второго пилота: «Хотя во время взлета второй пилот четыре раза сказал капитану, что что-то не так, тот не сделал ничего, чтобы отложить взлет». И опять общественное давление было усилено временными и экономическими факторами. 55

Дизайн, способствующий ошибкам

Существует мнение, что ошибки совершают неквалифицированные или немотивированные работники. Но ошибаются все. Дизайнеры делают это, не принимая в расчет ошибки пользователей. Они неумышленно могут увеличить вероятность совершения ошибки или сделать невозможным ее поиск и устранение. Возьмем историю с Лондонской фондовой биржей, с которой начинается эта глава. Причиной хаоса стал плохой дизайн. Его автор не должен был допустить, чтобы одна простая ошибка могла причинить такой огромный вред. Поэтому при разработке дизайна нужно сделать следующее.

1. Понять причины ошибок и постараться свести их к минимуму.

2. Сделать возможной отмену предыдущего действия или уменьшить вероятность необратимого действия.

3. Облегчить обнаружение и исправление ошибок.

4. Изменить отношение к ошибкам. Представьте, что человек пытается выполнить задачу, руководствуясь неточными значениями. Сделайте так, чтобы он винил в возможных ошибках не себя, а эти самые значения.

Если кто — то ошибается, этому обычно есть причина. Виновником заблуждения часто становится неполнота или недостоверность информации. К оплошности приводит плохой дизайн или отвлечение внимания. Как только обнаруживаются причины ошибок, сами они становятся понятными и логичными. Не наказывайте за ошибки. Не обижайтесь. И самое главное, не игнорируйте их. Постарайтесь создать 'такую систему, которая позволяла бы совершать ошибки. Поймите, что мы не всегда точны в своих действиях. Сделайте так, чтобы ошибки можно было обнаружить и исправить.

Что делать и чего не делать с ошибкой

Возьмем такой пример: вы захлопнули дверцу автомобиля, а ключи остались внутри. Открыть дверцу можно только ключом (остальные способы не совсем просты). Поэтому вы вынуждены держать ключи при себе. Я называю такое явление вынуждающей функцией. (Подробнее о ней рассказывается в следующем разделе.)

В современных американских автомобилях, если водитель открывает дверцу, не вынув ключ из замка зажигания, раздается предупреждающий звуковой сигнал.

Теоретически, этот звук должен уберечь вас от ошибки. Однако его приходится игнорировать так же часто, как и воспринимать. Пропускать мимо ушей его приходится тогда, когда нужно ненадолго выйти из машины, оставив при этом включенным двигатель. В таких случаях этот звук раздражает, ведь вы и так знаете, что дверца открыта. А иногда вам просто нужно оставить ключи в машине. Недостаток системы предупреждения в том, что она не отличает обдуманных поступков от ошибочных.

Предупреждающий сигнал — это не выход. В качестве примера возьмем диспетчерскую на атомной электростанции или кабину самолета. Тысячи приборов, и каждый сделан человеком, который считал необходимым оснастить его системой предупреждения. Многие сигналы звучат одинаково. На большинство из них диспетчер не обращает внимания, потому что

и так знает то, о чем они говорят. А когда случается настоящее ЧП, все звонки и сирены включаются одновременно. Каждый борется за то, чтобы быть услышанным, и этим отвлекает человека от проблемы. 16

Встроенных систем предупреждения стараются избегать по нескольким причинам Во — первых, они сами могут привести к ошибке тем, что подвергнут сомнению правильность и разумность действий. Во — вторых, они часто включаются одновременно, и возникающая какофония может отвлечь человека от работы. В — третьих, они иногда просто мешают. Вот пример: в теплый день вы не можете сидеть в душном салоне автомобиля, поэтому, включив радио, открываете дверь. Чтобы приемник работал, ключ должен оставаться в замке зажигания, но из— за этого же ключа дверь постоянно пищит. В результате мы отключаем системы предупреждения, вырываем язычки в колокольчиках и выкручиваем лампочки. Системы безопасности нужно устанавливать с умом, принимая во внимание соотношение преимуществ и потерь для их пользователей.

Вынуждающая функция

Вынуждающая функция — это форма физического ограничителя: ошибка на одном этапе действия делает невозможным следующий этап. С вынуждающей функцией связан и запуск двигателя автомобиля: вы должны вставить ключ в замок зажигания. Раньше кнопка, запускающая стартер, располагалась отдельно от зажигания, поэтому водители часто пробовали завести машину без ключей. В современных автомобилях стартер запускается поворотом ключа — это вынуждает использовать ключ.

Аналогичной функции для извлечения ключа перед захлопыванием дверцы нет (см. комикс «Прирожденный неудачник»). Как вы уже, наверное, поняли, в тех автомобилях, где дверцу можно закрыть только ключом (снаружи), вынуждающая функция имеется: если вы хотите выйти из машины, вы не можете оставить ключ внутри. Если дизайнер действительно хочет использовать вынуждающую функцию, он обычно находит способ, правда, иногда за счет изменения образа поведения. Естественно, последствия этих изменений должны быть тщательно продуманы, чтобы была уверенность в том, что пользователи сознательно не захотят вывести вынуждающую функцию из строя.

История ремней безопасности дает нам хороший пример. Несмотря на то что они могут спасти жизнь, некоторые водители не любят их настолько, что отказываются их пристегивать (возможно, и потому, что воспринимаемый риск намного меньше статистического). Какое — то время в США в отношении ремней безопасности применялась вынуждающая функция: на каждой новой машине устанавливалась специальная взаимоблокировка. Гели ремни водителя и пассажиров не были пристегнуты, завести автомобиль было невозможно (попытка сопровождалась пиканьем). Эта вынуждающая функция

была настолько непопулярной, что водители начали платите автослесарям, чтобы те отключили ее. Вскоре закон был изменен.

Всего было три проблемы. Во — первых, многие водители не хотели пристегивать ремень и поэтому начали возмущаться из-за необходимости делать это. Во — вторых, вынуждающая функция не могла распознать ситуации, в которых ремень не нужно было пристегивать. Ведь если бы вы хотели провезти какой — то груз в салоне авто, вам пришлось бы пристегивать и его, потому что машина не сдвинулась бы с места. В — третьих, сам механизм был ненадежным и часто давал сбои, без причины пикал, глушил двигатель и поэтому, естественно, сильно мешал. Те, кому не удавалось отключить его, просто пристегивали ремень на густом сиденье и прятали его. Поэтому если пассажир хотел воспользоваться ремнем, он не мог этого сделать. Мораль: непросто заставить человека делать то, что ему не нравится. Если вы собираетесь применить вынуждающую функцию, сделайте так, чтобы она надежно работала и различала допустимые нарушения от недопустимых