Проверки на разумность, конечно, также служат для предотвращения серьезных ошибок, например, когда в медицинское оборудование и рентгеновские аппараты вводятся недопустимые значения или при проведении финансовых операций.
Минимизируем количество промахов
Чаще всего промахи случаются, когда сознание на что-то отвлекается. Например, может произойти какое-то событие, или человек так хорошо умеет выполнять некое действие, что совершает его механически, не прилагая мыслительных усилий. В результате человек недостаточно внимательно относится к действию и его последствиям. Поэтому кажется, что уменьшить количество погрешностей можно, если убедиться, что люди очень внимательно и осознанно относятся к тому, что делают.
Это плохая идея. Высококвалифицированное поведение неосознанно, и поэтому мы делаем все быстро, без усилий и — как правило — точно. Такое поведение настолько автоматизировано, что мы можем печатать с любой скоростью, даже если наше сознание в это время занято подбором слов. Поэтому мы можем одновременно идти и говорить, замечая при этом транспорт и препятствия, которые появляются у нас на пути. Если бы нам пришлось обращать внимание на все мелочи, которые мы делаем, мы бы добились в жизни гораздо меньшего.
Структуры обработки информации в мозге автоматически определяют, сколько сознательного внимания нужно уделить выполнению задания: мы автоматически прерываем разговоры, переходя улицу с оживленным движением. Однако не стоит слишком на это рассчитывать: если вы очень увлечены чем-то, то можете не заметить опасность, которая поджидает вас на переходе.
Многих погрешностей можно избежать, если убедиться, что действия и регуляторы, которые ими управляют, настолько разные, насколько это вообще возможно, или хотя бы физически расположены очень далеко друг от друга. Ошибок режима можно избежать, если свести к минимуму количество режимов и, по возможности, сделать отличающиеся друг от друга и очень четко различимые значки для всех режимов.
Лучший способ уменьшить количество погрешностей — обеспечить наглядный фидбэк на те действия, которые человек производит, фидбэк относительно нового состояния устройства, а также механизм, который позволяет отменить действие, приведшее к ошибке. Например, использование машиночитаемых кодов позволило значительно снизить количество случаев, когда пациенты получали не те медицинские препараты. На рецептах, отправляемых в аптеку, стоят электронные коды, так что фармацевт может просто просканировать рецепт и информацию на лекарстве и убедиться, что они совпадают. Потом медсестра в больнице сканирует этикетки на лекарстве и ярлычок на браслете пациента, чтобы убедиться, что дает лекарство нужному человеку. Более того, компьютерная система может указать на необходимость повторного применения того же лекарства. Сканирование увеличивает количество работы, но незначительно. И пусть другие виды ошибок все еще можно допустить, но эти простые меры уже доказали свою эффективность.
Все это выглядит так, как будто практика инженерного дела и дизайна намеренно заставляет людей совершать промахи. Длинные ряды одинаковых регуляторов — верный рецепт ошибки по сходству описания. Наличие у устройства внутренних режимов, которые не подписаны, непременно приведет к ошибкам режима. Бывает так, что во время работы человека часто прерывают, а дизайн при этом предполагает, что он должен сосредоточить все внимание на управлении устройством. В таких ситуациях неизбежны сбои памяти — и, несмотря на огромное количество ситуаций, когда нас отвлекают, на сегодняшний день нет никаких устройств, которые бы помогали человеку быстрее возвращаться к работе после того, как его прервали. У нас также нет никаких видимых напоминаний и каких-то подсказок относительно того, как выполнять редкие процедуры, которые чем-то напоминают те, которые мы выполняем часто. Это приводит к ошибкам фиксации, когда мы выполняем те действия, которые делаем чаще, вместо тех, которые нужно выполнить по ситуации. Алгоритмы надо составлять так, чтобы начальные шаги отличались друг от друга как можно больше.
Важная мысль состоит вот в чем: хороший дизайн должен предотвращать промахи и ошибки. Дизайн может спасать жизни.
Модель швейцарского сыра: как ошибки приводят к авариям
К счастью, большинство ошибок не фатальны. Несчастные случаи часто происходят по целому ряду причин, ни одна из которых не является основной.
Джеймс Ризон объясняет это, используя метафору нескольких кусочков швейцарского сыра, который известен тем, что в нем много дырок (рис. 5.3)
[48]. Каждый из кусочков показывает состояние, в котором выполнялось задание, но авария происходит только в том случае, если дырки во всех четырех кусочках выстроятся в линию. В хорошо спроектированных системах может быть много сбоев аппаратуры, много ошибок, но они не приведут к несчастному случаю, если все эти случайности не выстроятся должным образом. Любая утечка — проход через дыру, — скорее всего, будет заблокирована на следующем уровне. Хорошо спроектированные системы устойчивы к ошибкам.
Рис. 5.3. Модель Ризона «Швейцарский сыр», объясняющая происхождение аварий
Обычно у аварии есть множество причин, и, если хотя бы одной из них не было, аварии бы не произошло. Британский исследователь несчастных случаев Джеймс Ризон описывает это через метафору кусков швейцарского сыра: если дырки не выстраиваются в линию, аварии не происходит. Из этой схемы можно сделать два вывода. Первый — не пытайтесь найти единственную причину аварии; второй — мы можем уменьшить количество несчастных случаев и сделать системы более устойчивыми, если спроектируем дополнительные меры предосторожности против ошибок (добавим кусочки сыра), заложим меньше возможностей для промаха, ошибки или сбоя оборудования (меньше дырок в кусочке) и сделаем очень разные механизмы в совершенно разных частях (постараемся сделать так, чтобы дырки не выстроились в один ряд). (Рисунок сделан на основе схемы, нарисованной Ризоном, 1990.).
Поэтому попытки найти одну-единственную причину несчастного случая обычно обречены. Эксперты, которые расследуют происшествия, пресса, правительственные чиновники и обычные граждане любят простые объяснения несчастных случаев. «Смотрите, если бы дырка в кусочке сыра А была расположена чуть выше, несчастного случая бы не произошло. Так что давайте выбросим кусок А и заменим его». Конечно, то же самое можно сказать и о кусках Б, В и Г (а в настоящих авариях количество кусков иногда измеряется десятками и сотнями). Довольно просто найти такое действие или решение, что, будь оно немного иным, несчастного случая бы не произошло. Но это не значит, что именно оно послужило причиной аварии. Это лишь одна из многих причин: все кусочки пазла должны сложиться.
Эту мысль можно проиллюстрировать большинством несчастных случаев, если использовать утверждения типа «если бы только». «Если бы только я не решил сократить дорогу, я бы не попал в эту аварию». «Если бы только не шел дождь, тормоза бы сработали». «Если бы только я посмотрел налево, я бы раньше заметил другую машину». Да, все эти утверждения верны, но ни один из этих моментов не является единственной причиной аварии. Да, журналисты и адвокаты, как и простые люди, обычно желают знать причину, они хотят, чтобы виновного нашли и наказали. Но в авторитетных агентствах по расследованию несчастных случаев знают, что нет никакой единственной причины, и именно поэтому подобные расследования длятся так долго. Их проводят, чтобы понять систему и внести в нее изменения, стремясь уменьшить вероятность такой же последовательности событий, которые могут привести к подобной аварии в дальнейшем.
