良好的設(shè)計還不夠當(dāng)人們確實錯了
有時候我被問道，宣稱用戶從來沒有過錯，過錯常常都是糟糕的設(shè)計造成的，這樣說是否真的正確無誤？這個問題合乎情理。是的，有時候當(dāng)然是人在犯錯。
操作者嚴重缺乏睡眠而疲乏至極，或者受到藥物影響，即使稱職的人也會喪失工作能力。這就是為什么我們立法明確飲過酒的飛行員在一段時間不能飛行，還要限制飛行員在沒有休息的情況下不間斷飛行小時數(shù)。很多牽涉死亡或傷殘風(fēng)險的專業(yè)人員，都被一些關(guān)于飲酒、睡眠和藥物的規(guī)定所約束。但普通崗位沒有這些限制。醫(yī)院經(jīng)常要求員工在沒有睡眠的情況下長時間持續(xù)加班，遠超過飛行航班的安全規(guī)定。為什么？你樂意讓一個昏昏欲睡的大夫給你做手術(shù)嗎？為什么在某些情況下剝奪睡眠被認為很危險，而另外的情況下卻被忽略？
有些操作有身高、年齡或力量的要求。其他一些要求具備一定的技能或技術(shù)知識：沒有受過培訓(xùn)，或者沒有能力的人不能從事這些工作。這也是為什么很多職業(yè)要求持有政府批準的培訓(xùn)和執(zhí)照的原因，比如駕駛機動車、開飛機和醫(yī)療行業(yè)等等。所有這些都要求參加培訓(xùn)，通過測驗。在民航界，僅僅通過培訓(xùn)還不夠：飛行員必須在每個月保證最低量的飛行小時數(shù)，以保持足夠的練習(xí)時間。
酒后駕車仍然是交通事故的主要原因：這純粹是司機的過錯。在機魂車事故中，缺乏足夠的睡眠是另一個主要肇因。但人們偶爾犯錯，并不能證明人們有總想犯錯的故意。糟糕的設(shè)計仍然占據(jù)事故原因的絕大部分，不論是設(shè)備的設(shè)計，還是像頻繁發(fā)生的工業(yè)事故里需要遵循的程序的設(shè)計。
必須注意本章節(jié)前面討論過的蓄意違反規(guī)則的情況，人們有時候故意違反程序和規(guī)定，可能由于他們不想完成這個工作，或是由于他們認為自己處于情有可原的境地，有時候還因為他們心存僥幸，想賭一把，認為出錯的概率相對較低。不幸的是，如果某人做了可以導(dǎo)致死亡或重傷害的危險活動，盡管造成死亡或重傷害的概率低到只有百萬分之一，按全球70億人口計算，每年將有數(shù)百人因此喪生。我最愛舉的航空界的例子是一個飛行員，在三個飛機引擎都發(fā)出低油壓讀數(shù)警告后，他仍然認為一定是儀表故障，因為讀數(shù)正確的概率是百萬分之一。他的判斷是正確的，但很不幸，他是唯一的一個。2012年僅美國就有大約900萬航班，所以，百萬分之一的機會可以翻譯為9次事故。有時候，人們真的會犯錯。修補回復(fù)工程
在工業(yè)應(yīng)用中，巨大而復(fù)雜的系統(tǒng)，比如油井、煉油廠、化工廠、發(fā)電廠、交通運輸和醫(yī)療服務(wù)中發(fā)生的事故對工廠和周邊環(huán)境都有巨大影響。有時問題沒有發(fā)在組織內(nèi)部，而是來源于外部，諸如強烈的暴風(fēng)雨、地震和潮汐會損毀大部分現(xiàn)有基礎(chǔ)設(shè)施。不管什么情況，問題是如何設(shè)計并管理這些系統(tǒng)，讓它們能夠以最小的破壞和損失恢復(fù)運轉(zhuǎn)。一個重要的方式就是修補[司復(fù)工程( resilience engineering)，將其用作設(shè)計系統(tǒng)和流程、管理和人員培訓(xùn)的目標，因而設(shè)計的結(jié)果就能夠應(yīng)對發(fā)生的問題。力求保證所有這些方面的設(shè)計——設(shè)備、流程，以及工人之間的溝通、管理層同外界之間的溝通——被反復(fù)評估，測試和改進。
