设计心理学：日常的设计 The Design of Everyday Things: Revised and Expanded Edition

① 最佳案例 / 故事

Norman 一上来就拿自己开涮：让他坐进现代喷气客机的驾驶舱，搞不定他不会意外；可他偏偏被门、电灯开关、水龙头和炉灶难住。"门？你连开门都有困难？"——是的，他推该拉的门、拉该推的门，撞上既不推也不拉、而是要侧滑的门。他的这类毛病出了名，以至于"打不开的怪门"被业内直接叫作"诺曼门"（Norman doors）。

最戏剧化的一幕是他朋友被困在欧洲某邮局门厅的故事：入口是一排六扇相同的玻璃旋转门，紧接着又是一排相同的门（这种双排门设计是为了挡风、保持室温）。朋友推开外排一扇门进去，被分心扭头了一下，没察觉自己向右挪了一点；再推下一扇门——纹丝不动，"大概锁了吧"；推旁边那扇——还是不动；想退出去——刚进来的那扇门也"失灵"了。轻微恐慌：他被困住了。直到一群人从他右侧轻松穿过两道门，他才赶紧跟过去。原因很简单：摆门一侧是合页与支柱、另一侧才是该推的自由边；这栋楼的设计师追求美观，不留可见的支柱、合页、线条，于是用户根本无从判断该推哪边——朋友分心时恰好挪到了合页那侧，当然推不动。"漂亮的门，时髦，多半还得过设计奖。"

为给"坏设计"立一个鲜明的反面坐标，Norman 还引了法国艺术家 Jacques Carelman 的一件藏品——"受虐者咖啡壶"：壶嘴与把手做在同一侧，注定无法使用。这件被他珍视的"艺术品"，正是"故意做得不可用"的典型。

门的故事引出全章纲领：好设计的两大特征是可发现性（discoverability：能不能看出有哪些操作可做、在哪做、怎么做）与可理解性（understanding：这一切是什么意思、该怎么用）。当一扇简单的门还得贴上"推/拉"的标牌才会用，本身就宣告了设计失败。

② 核心主张

机器是人设计、人制造的，却反过来要求人去迁就它那套僵硬、隐秘、只有机器和设计者才知道的规则；一旦人没照做，机器照做错事，然后人被指责"不懂机器"。Norman 要把这个关系倒过来：错在机器与设计，是机器有义务理解人，而不是人有义务理解机器那套武断无意义的指令。解法是以人为本的设计（human-centered design, HCD）——先理解人的需求、能力与行为，再据此设计；尤其要把注意力放在"出错时"而非"一切顺利时"。

可发现性来自五个基本心理概念的恰当运用——可供性（affordance）、意符（signifier）、约束（constraint）、映射（mapping）、反馈（feedback）；外加可能是最重要的第六条：概念模型（conceptual model），它才提供真正的理解。

③ 论据 / 推演 / 前提

• 可供性（affordance）：源自心理学家 J. J. Gibson。它不是物体的"属性"，而是物体属性与使用者能力之间的关系——决定该物"可能被怎样使用"。椅子对一般人"可供"支撑与搬动，但若虚弱者搬不动，对他而言椅子就不具备"可搬"这一可供性。玻璃"可供"透视与支撑，却挡住通行——这种"阻止交互"是反可供性（anti-affordance）；可供性/反可供性必须可被感知才有效，玻璃的麻烦正在于它太隐形，所以鸟会撞窗、人会撞上玻璃门。Norman 还讲了与 Gibson 多年争论的趣事：每当反驳到关键处，Gibson 会得意地关掉助听器，让他的反驳真的"对牛弹琴"。

• 意符（signifier）：第一版只讲可供性，结果设计圈把这个词用歪了（在屏幕上画个圆点指示"点这里"，也叫"放了个 affordance"）。Norman 由此引入更适合设计的术语：可供性决定"什么动作可能"，意符则传达"动作该在哪里、怎么做"——任何可感知的、向人传达恰当行为的标记或声音都是意符。意符可以是刻意的（门上"PUSH"标牌），也可以是无意的（雪地里前人踩出的小径、站台上等车的人群、书签同时透露"还剩多少没读"）。在设计中，意符比可供性更重要，因为它负责沟通"怎么用"；凡看到门上、开关上贴着手写说明，你看到的就是坏设计。

为把三者讲透，Norman 用一段仿苏格拉底的师徒对话收束：徒弟做了个推荐餐厅的应用，用户只会左右滑看别家，却不会上滑看菜单、下滑看好友推荐，于是想"加几个 affordance"（在边缘画箭头加标签）。导师点破：那些动作本来就能做，可供性早就在那儿了，你只是让它变可见、告诉人在哪做——所以它们的正确名字是"意符"。"深刻的道理一旦想通，总是显而易见。"

• 映射（mapping）：借自数学，指两组事物元素间的对应关系（哪个开关管哪盏灯）。利用空间对应的自然映射（natural mapping）最易上手——要让物体上移就把控件上移；想让一排灯易控，就把开关按灯的排布来摆。方向盘顺时针转、车头随之右转，是因为存在一个有说服力的概念模型；模型哪怕不精确也没关系，关键是它让人能记住、能理解映射。注意：有些"自然"其实是特定文化的产物，此处文化对映射的影响留到第 3 章展开。

• 反馈（feedback）：把动作的结果传达回来。电梯按钮被反复猛按、路口等灯怀疑探测器没认出自己，缺的都是反馈。反馈必须即时（哪怕迟 0.1 秒都令人不安）、信息充分（廉价的"哔"声或闪灯只告诉你"发生了点事"，却说不清是什么、该怎么办，劣质反馈比没有更糟）、且要分优先级——洗碗机半夜三点鸣笛报"洗完了"恰恰破坏了它半夜工作的初衷；急诊室、核电控制室、飞机座舱里此起彼伏的警报甚至会危及生命。反馈必不可少，但要做得"恰如其分"。

• 概念模型（conceptual model）：对"东西如何运作"的高度简化的解释，不必完整或精确，只要有用即可。电脑屏幕上的文件夹其实并不存在于机器里，却是帮人建立心智模型的有效拟态。剪刀是正面范例：两个孔既是可供性（能伸进手指）又是意符（指示手指放哪），孔的大小构成约束（大孔几指、小孔一指），操作部件全可见，概念模型一目了然。反面是 Norman 那块有五个按钮、却毫无提示的数字手表，以及那台"调不准的冰箱"。

冰箱案例最见功力：两个隔间（冷藏 + 冷冻）、两个旋钮（分别标"冷冻""冷藏"），看起来"一钮管一间"。但实情是只有一个恒温器、一套制冷，一个旋钮调总温、另一个调冷气在两隔间的分配比例——所以两钮相互牵连，且改一次要等 24 小时才看得到结果。错误的概念模型（图 1-10A）让调温几乎不可能；正确模型（图 1-10B）则简单得多。厂商（通用电气）为何提供错的模型？无人知晓，但二十五年来 Norman 收到大量读者来信道谢，却从未等到厂商回应，而同款机型仍在售。

由此引出贯穿全书的系统映像（system image）：设计师、产品本身、用户构成一个三角形的三个互不相连的顶点。设计师有自己的概念模型，但产品已离开设计师、独自待在用户的厨房台面上；用户只能从"系统映像"——产品的外观、文档、说明、广告、网站等一切可感知信息——去构建自己的心智模型。设计师指望用户的模型与自己的一致，可既然无法直接对话，沟通的全部重担就落在系统映像上。系统映像若不连贯、不完整或自相矛盾，用户就会受困。

本章最后点出技术的悖论：每项新技术在增加功能、带来便利的同时，也增加了复杂度与挫败感——以手表为例，从只需上弦对时，演变到集秒表、闹钟、计算器、GPS、相机于一身，"功能越多、越难学、越难用"。这正是设计师要面对的根本挑战。

① 最佳案例 / 故事

在英国租住别人家时，房东太太回来取文件，去开那个旧金属文件柜的顶层抽屉——拉不开。她前后左右上下地折腾，无果，于是道歉："抱歉，我对机械的东西真不在行。"Norman 说她把因果搞反了：该道歉的是那台机械，它该说的是"抱歉，我太不擅长跟人打交道了"。Norman 怎么帮上忙的？第一，他拒绝接受"是房东太太无能"这一错误归咎——明摆着是旧柜机械错位的毛病；第二，他有一个概念模型：柜内有个正常时锁住抽屉的机构，眼下大概卡歪了。模型给了他计划：先晃抽屉（失败）→ 修正计划：力道不够，用蛮力把柜体扭回原位（抽屉动了一下，仍没开）→ 动用"全世界专家通用的终极工具"——一巴掌拍上去。开了。这个小故事点出全章主题：人怎样做事？事情出错时，我们如何察觉、又如何知道该怎么办？

② 核心主张

人与物打交道时面对两道"鸿沟"：执行之沟（Gulf of Execution）——搞清楚"该怎么操作它"；评估之沟（Gulf of Evaluation）——搞清楚"它现在什么状态、我的动作有没有达成目标"。设计师的职责就是帮人跨过这两道沟：用意符、约束、映射、概念模型搭桥跨执行之沟，用反馈、概念模型搭桥跨评估之沟。许多人遇到困难却归咎于自己（"我真笨"），或干脆对复杂外观的设备放弃（"我理解不了"）——两种解释都错，难点出在设计，不在使用者。

③ 论据 / 推演 / 前提

行动七阶段（The Seven Stages of Action）。一次完整行动 = 执行 + 评估。以"天黑了想加点光来读书"为例拆解，得到围绕"目标"展开的七个阶段：

1. 目标（Goal）——形成目标（想要更多光）
2. 计划（Plan）——在诸多方案里选一个（开窗帘 / 挪位置 / 开灯）
3. 明确（Specify）——把方案落实为具体动作序列（用左手还是右手开灯）
4. 执行（Perform）——真正做出动作
5. 感知（Perceive）——感知世界发生了什么
6. 解释（Interpret）——理解所感知到的
7. 比较（Compare）——拿结果与目标对照

其中 2–4 是执行侧三阶段，5–7 是评估侧三阶段。这只是简化框架，但对理解人类行动、指导交互设计很有用。多数动作并不需逐阶段走完、也未必有意识；只有遇到新情况或卡壳时，意识才介入。行动可以"目标驱动"（自上而下，从目标出发），也可以"数据/事件驱动"（自下而上，由环境事件触发，如光线变暗）；日常很多行动是机会主义的（opportunistic），顺势而为而非精心规划。

七阶段也是产品创新的指南：两道沟都是改进机会；而要做"根本性创新"，得不断追问"真正的目标是什么"——即根因分析（root cause analysis）。Norman 借营销教授 Levitt 的名言"人们要的不是四分之一英寸的钻头，而是四分之一英寸的洞"并加以推进：其实他们连洞也不真想要，他们想把书架装上墙——那为什么不发明无需打洞的方法、甚至无需书架的书（电子书）？

人的思维大多是潜意识的。试着先动中指、再动无名指，说说两次有何不同——你只知道"想动哪根就动了哪根"，而念头如何变成肌肉指令，完全隐于意识之外。大脑绝大多数运作是潜意识的，只有最高层的反思（reflective）才是有意识的。技能经过长期"过度学习"后会自动化、近乎不费力。认知与情绪不可分割：认知负责"理解世界"，情绪负责"赋予价值判断"（安全/危险、好/坏）；没有情绪系统的人难以做选择。潜意识思维快、自动、擅长模式匹配与归纳，但可能匹配到错的；有意识思维慢、费力，是逻辑、数学、决策的工具——两者都强大、也都会出错。

三层加工（Three Levels of Processing）（取自 Norman《情感化设计》），认知与情绪都可分三层协同运作：

• 本能层（visceral）：最底层，俗称"蜥蜴脑"。快速、全自动、潜意识，只对当下做"好/坏、安/危"的即时判断，几乎不学习、不归因。与身体肌肉紧耦合（紧张=负面、放松=正面）。对设计师而言，本能层关乎第一眼的吸引或排斥——外观、声音、触感、气味，与好不好用无关。工程师常轻视它，却也会"就因为某工具好看/手感好"而偏爱它。
• 行为层（behavioral）：习得技能之所在，由匹配的情境触发，多为潜意识。其对设计最关键的一点：每个动作都伴随一个预期——预期好结果产生正面情绪，预期坏结果产生负面情绪；评估侧的反馈会证实或证伪预期，于是有了满足/宽慰或失望/挫败。反馈是管理预期的关键，哪怕反馈的是坏消息也比没有强（缺反馈=失控感）。
• 反思层（reflective）：有意识认知之所在，深度、缓慢，常发生在事后——回看、评判、归因（因而产生内疚/自豪、责备/赞许等最高级情绪）。反思层的记忆往往比现实更重要：一次强烈的正面本能反应可能盖过行为层的可用性硬伤（"好看的东西更好用"），反之末段的强烈挫败也会抹掉之前的正面体验。它驱动我们去推荐或劝退一个产品。

三层与七阶段相互对应：本能层对应底层的简单肌肉控制与对世界的感知（接近任务时的平静或焦虑）；行为层对应执行侧的预期（希望/恐惧）与评估侧对反馈的初步解释（宽慰/绝望）；反思层参与目标与计划的设定，并受"预期 vs 实际"对照的影响（满足、自豪，或责备、愤怒）。Norman 顺势引入 Csikszentmihalyi 的"心流（flow）"：当挑战略高于技能、需持续投入注意力时，人会沉浸忘我；太易则厌倦、太难则焦虑。

人是天生的讲故事者，本能地为事件寻找原因、编织解释。概念模型本身就是一种"故事"，常由零碎证据拼出，甚至在本无因果处也强加因果。恒温器就是例子：很多人持有错误的"民间理论"——以为恒温器像阀门，开到最大就升温/降温最快；但家用供暖制冷多是"全开或全关"的开关式，开到极端不会更快，反而会冲过目标温度、浪费能源。问题不在于个别人有错误信念，而在于人人都会编故事，缺乏外部信息时想象就会自由驰骋。

归咎错对象 & 习得性无助。人倾向于：事情接连发生就认定有因果；做了动作却没反馈，就以为"我没做对"，于是加大力气重复——推门不开就更使劲推。这种"失败就重复且加力"的倾向可能致命：火灾中人们朝内开的逃生门拼命外推，酿成死伤，因此许多国家立法要求公共场所的门外开、并装"恐慌杆（panic bar）"——身体一抵就开。这是恰当可供性 + 优雅意符（那根黑色横杆指示推压位置）的范例。

更微妙的是自责的倾向：用不好日常物件时，人们多半怪自己——尤其当（往往是误以为）别人都没这问题时，于是形成"沉默的共谋"，各自把内疚藏起来。这与日常归因恰恰相反（自己出糗怪环境、别人出糗怪人品；"办公室暴君 Tom"一例：同事归因于他的暴脾气，Tom 自己则归因于倒霉的一早上）。反复失败还会导致"习得性无助（learned helplessness）"乃至"被教出来的无助"——数学课层层递进，一步落后便步步跟不上，最终自责泛化成"数学恐惧"；技术恐惧同理，陷入自我实现的预言。对此 Norman 主张转向积极心理学：把"失败"一词换成"学习体验"，并引 IDEO 信条"快速失败、频繁失败（Fail often, fail fast）"。

最有力的现身说法是 Return/Enter 键的故事：某大公司请 Norman 评测新品，键盘上 Return 与 Enter 功能相近、位置相邻，按错就丢掉刚才几分钟的工作。他指出这是高频错误，设计师却反问"你怎么会按错？没读手册吗"，并坚称"公司员工用了好几个月，从没人抱怨"。两人当场去问员工——"哦，我们经常按错、经常因此丢东西。"那为何无人上报？因为系统出怪状时他们如实上报，可一旦是 Return/Enter 按错，他们怪自己——"明明被告知该怎么做，是我自己错了"。Norman 由此立论：所谓"人为错误（human error）"通常是糟糕设计的结果，应叫"系统错误 / 设计错误"；人天生会犯错，系统设计本就该把这一点纳入考量，为何要让"单个人的单个动作"就能酿成灾难？

由此 Norman 给设计师的信条（节选）：别在用户用错时责怪他们；把用户的困难当作"哪里该改进"的意符；删掉一切报错信息，改为提供帮助与引导，并允许就地纠错、绝不让人从头再来；假定用户做对了一部分。他还展示了一个提供良好概念模型的正面案例——Nest 恒温器：平时熄屏、人靠近才亮，显示当前温度、目标温度、正在制冷还是制热（蓝底制冷、橙底制热），并预报"现在 75°，20 分钟后到 72°"，配合手机端能量分析，帮住户建立对恒温器和家庭能耗的概念模型。

收束：七阶段 → 七个设计原则。七阶段对应使用者在每一步会问的七个问题（我想达成什么？有哪些可选动作？现在能做什么？怎么做？发生了什么？这是什么意思？达成目标了吗？）。Norman 由此区分两类信息：帮你回答"做什么/怎么做"的叫前馈（feedforward）（借自控制论，靠意符、约束、映射 + 概念模型实现）；帮你理解"发生了什么"的叫反馈（feedback）。

最终凝练为七条基本设计原则：① 可发现性（discoverability）② 反馈（feedback）③ 概念模型（conceptual model）④ 可供性（affordances）⑤ 意符（signifiers）⑥ 映射（mappings）⑦ 约束（constraints）。下次你在酒店搞不定淋浴开关、或用不来陌生的电视/厨电，记住问题出在设计：它败在七阶段的哪一步？哪条原则失守了？但 Norman 也给自己立了规矩——"除非你能做得更好，否则别批评"：一个糟糕的淋浴可能经手了设计者、承包商、管道工等多方而彼此从未沟通，表面是坏设计，实则可能是坏沟通；好设计要求把整个系统纳入考量。

① 最佳案例／故事：哪个才是一分硬币？

诺曼借了朋友一辆老 Saab，临走前看到一张纸条：「忘了说，要把钥匙从点火开关里拔出来，得先把挡位挂到倒挡。」——这条「知识」车上没有任何可见线索，只能存在脑子里；没看到纸条，谁也想不到。由此引出全章核心实验：心理学家 Nickerson 和 Adams 给美国大学生看一组「一分硬币」的画法，让他们挑出正确的那个，能选对的不到一半（图 3.1）。可这些人天天用硬币毫无障碍。为什么行为如此精确、记忆却如此粗糙？因为精确行为所需的知识不必全在脑中——它可以分布在脑里、世界里、以及世界的约束里。

诺曼进一步用「换新硬币翻车」坐实这一点：美国（Susan B. Anthony 一美元）、英国（一英镑）、法国（十法郎）都吃过亏。1986 年法国新十法郎币（值约 1.5 美元）和半法郎币（值 8 美分）太像，公众迅速混淆、群嘲四起，5 周后停止流通、9 周后彻底作废。原因是：人脑里只存了够用就行的"描述"——只精确到能区分自己惯用的那几种硬币。一旦环境变了、旧描述不够用，混乱就来了。一个对照细节很说明问题：美国人常混同尺寸的硬币，却几乎不混同尺寸的纸币——因为纸币靠印的数字和图案区分，硬币靠尺寸区分；而习惯用尺寸+颜色区分纸币的英国人/欧元区的人，一拿到美元纸币就懵。"描述只需区分眼前的选项"，换一套区分规则，人就出错，但久了又会重新适应。

② 核心主张

• 知识同时在脑中和世界中，二者结合才让人正常运转。粗糙的知识 + 世界里的线索（signifier、物理约束、自然映射）+ 文化约束，足以把行为收敛到唯一正确选择。设计师的活儿，就是把足够的线索放进物品本身（知识在世界中），让人即便没有先验知识也能用好。
• 记忆有结构，设计必须迁就它。短时/工作记忆（STM）只能装约 5–7 项、实用上按 3–5 项 算更稳，且极脆弱——一分心就清空。长时记忆（LTM）容量近乎无限，但存取慢、且是"重建"而非"回放"，因此会被扭曲（这也是目击证词不可靠、假记忆易被植入的原因）。
• "够用就好"的近似模型，胜过科学上正确但用不动的真模型。实践要的是快、是"足够好"的结果，不是真理。
• 自然映射把知识留在世界里：控件与被控对象的空间/功能关系一目了然，就不必靠记忆，错误自然减少。

③ 论据 / 推演 / 前提

• 打字的例子说明知识如何从世界搬进脑中：键盘有字母标签（知识在世界中），"两指神功"靠看键盘也能打，但慢；只有把指法练进肌肉记忆（知识在脑中），才能盲打提速。学习的本质就是把世界中的知识内化。
• 区分两类知识：知道"什么"=陈述性知识（事实与规则，易写易教，但"知道规则≠遵守规则"，且规则可以是错的——书中故意举了"纽约在罗马以北"其实在以南）；知道"怎么做"=程序性知识（如发某个绕口音、回发球，潜意识、难言传、靠示范和练习）。
• 约束如何为记忆减负：史诗吟游诗人能"逐字复述"几千行，并非死记，而是 Lord 研究发现的——韵脚、格律、主题、故事线等多重约束联合把可选词收敛到极少（Rubin & Wallace 实验：单给"押 post 的韵"或单给"神话生物"都答不准，但合起来问"既是神话生物又押 post 的韵"，人人秒答 ghost）。拆装机械同理：10 个零件理论上有 10!≈350 万种装法，但物理约束（螺栓配孔、垫圈在螺母前）+ 文化约束（顺时针拧紧、螺钉头朝可见面）把它砍到屈指可数。
• 密码是反面教材：人记不住一堆任意串，于是用"password""123456"，或写在便利贴贴显示器上——密码要求越复杂，系统反而越不安全（逼最敬业的员工去违规）。诺曼自陈也复用少数密码，连安全专家也偷偷违反自己定的规矩；Google 安全会议上，世界级安全专家为了上厕所用砖头顶开安全门——"做得太安全，就变得不安全"。结论：单凭脑中记忆不可靠，把知识放到世界中（写下来、用技术存）才是正道，"是工具让我们变聪明"。
• 提醒 = 信号 + 内容：好提醒必须两者俱全。"在手指上系根绳"只有信号（提醒你"有事"却不告诉你是啥事）；"写张纸条"只有内容（不提醒你去看它）。且信号必须在对的时间/地点出现，早了晚了都等于没有。诺曼的土办法：把要带的书顶在门口、再把车钥匙压在书底下——不搬开书就拿不到钥匙、开不了车。
• 脑中 vs 世界中是一组权衡（书中列了 Table 3.1）：世界中的知识——随取随用、自带提醒、上手快，但依赖物理在场、可能杂乱难看；脑中的知识——高效（尤其自动化后）、外观可以做得干净优雅，但需要大量学习、首次上手难、且"眼不见心不烦"地易逝。设计就是在两端之间取舍。
• 多个脑/多个设备：一群朋友你一句我一句拼出谁也单独想不起的餐厅名——心理学家 Wegner 称之为交互记忆（transactive memory）；延伸到向技术/互联网求助即"赛博记忆（cybermind）"。诺曼的立场（承自其旧作《Things That Make Us Smart》）：不是技术让人聪明，也不是人让技术聪明，而是"人 + 工具"的组合才强大；代价是一旦失去工具（计算器、导航、通讯录），人会显著"变笨"——但这种对技术的依赖自古有之（住房、衣物、供暖），只是每十年覆盖的活动越来越多。
• 炉灶旋钮是自然映射的招牌案例（图 3.2）：四个灶眼排成矩形、四个旋钮排成一行，"一维映二维"必然出错——光左右分组就有 4 种可能映射，商用灶四种全在用，只能靠读标签。把旋钮也排成矩形（C），或把灶眼错位排开（D），就不需要任何标签。映射三档优劣：控件直接装在被控物上 > 紧挨被控物 > 与被控物同构排列。手势水龙头/皂液器映射对了（伸手即出水），但缺 signifier、缺可发现性，所以你常对着机械龙头空等。

• 自然映射会随文化而变（重要边界）：诺曼在亚洲用翻页器，按"上"键却倒退。他到处问观众"按上还是按下翻到下一张"，全球听众都对半分裂、且都惊讶别人想法不同。根因是视角/隐喻不同：有人觉得"我在图片间往前走"（上=下一张），有人觉得"图片向我移过来"（下=下一张）——正如不同文化对"时间线"的方向（前/后、左/右、相对人还是相对环境）各有表征：南美 Aymara 人把未来说成"背后的日子"；澳洲某原住民按太阳东西走向排时间照片。同理，滚动条的"移动窗口"vs"移动文本"之争、飞机姿态仪的 outside-in vs inside-out——"什么算自然"取决于视角、隐喻和文化；每种视角都对，麻烦只在隐喻切换时（换驾驶侧、换仪表都需重新适应期）。

① 最佳案例／故事：乐高摩托车

诺曼真做过实验：把一套15 块乐高摩托车零件交给从没见过成品的人（连"这是摩托车"都不告诉他们），让他们拼——没人遇到困难。秘诀在于设计巧妙地利用了多重约束（图 4.1）：很多零件物理上可互换，但每块的正确位置仍被唯一确定。乐高的圆柱+孔提示了基本拼法（可见可供性）；物理约束限制了哪些块能插哪；文化约束定了三盏灯的位置（红=刹车灯在后、蓝=警灯在顶、黄=车头灯——黄色曾是欧洲标准车灯色，乐高来自丹麦，如今欧美都用白灯，所以这条文化线索今天反而不好认了，说明文化约束会随时间变）；语义约束阻止你把骑手脸朝后、把写着"police"的块倒置；最后只剩一块、只剩一个位置时，逻辑约束自动收尾。

② 核心主张

• 四类约束普适：物理、文化、语义、逻辑。巧妙运用约束，能让人在全新情境下也能推断出正确做法——它们是"强有力的线索，缩小可能动作的集合"。
• 可见的物理约束最省心：好的物理约束在动手前就把错误选项排除掉；差的物理约束只能在你试错之后才阻止你。
• 约定（convention）是一种文化约束；可供性怎么被解读，往往取决于约定。约定一旦形成就难改——哪怕新方案更优，"是改变本身让人不适"。
• 强制功能（forcing functions）= 极端的物理约束：一步不做对，下一步就进行不下去；安全工程里它有三种特化形态——互锁 interlock、锁入 lock-in、锁出 lockout。
• 走投无路时的终极原则：标准化。能把知识放进物品就放（知识在世界中）；放不进，就立一个文化约束、把要记的东西标准化——且标准要反映心理上的概念模型，而非物理机械结构。

③ 论据 / 推演 / 前提

• 四类约束逐一坐实：① 物理——大销插不进小孔；圆柱电池（图 4.2A）物理约束不足，能正反两装、装反还可能损坏设备，而电池仓里的极性标识是"黑底黑字的微凸字"根本看不清；解法是把电池设计成正反皆可（图 4.3 两端同心环，但诺曼说只见过这一例）、或像微软 InstaLoad 触点那样兼容老电池——可两年过去他连微软自家产品都找不到一个在用，这就是"遗留问题（legacy problem）"。② 文化——每种文化都有一套社交可行动作；他怂恿你下次在电梯里背对门、或盯着乘客看，体验违反文化约束的不适（认知科学家 Schank & Abelson 称之为"脚本"，社会学家 Goffman 称之为"框架"）。③ 语义——摩托车骑手只有一个朝前坐的合理位置、挡风玻璃必须在骑手前方；但语义也会变：当汽车全自动、车间无线通信后，车尾红灯还有什么意义？④ 逻辑——乐高最后那块蓝灯靠"只剩一处"被逻辑定位；修水龙头装回去多出一个零件，逻辑告诉你装错了；自然映射本质上就是逻辑约束（两个开关控两盏灯，左开关就该管左灯）。

• 约定常被编成标准甚至法律：开车靠哪侧、路口谁先行，曾各国各异，如今多有全球标准；但约定也会互相打架——墨西哥司机闪大灯="我先过桥"，英国司机闪大灯="你先请"，两人在第三国相遇就危险（所以驾驶专家干脆建议别拿闪灯当信号）。违反约定 = 被标记为"粗鲁的外人"。

• 门与开关是日常翻车重灾区。门：简单如一扇门竟要贴"推/拉"牌，本身就是设计失败；好的门用平板/横杆等 signifier 把"在哪推、怎么推"写在硬件上（呼应第 2 章消防门的"恐慌横杆 panic bar"）。诺曼在巴黎地铁亲见一人站在车门前静等门自动开——巴黎地铁的门得乘客自己按钮/扳杆/推开，车没开门就走了：同样外观的东西，此处的正确做法在彼处却是错的。

• 开关问题只在"数量多"时才严重：一两个开关无所谓，超过两个、排成一长排就成灾。诺曼在 Del Mar 海崖那栋"获奖建筑师设计"的房子里，前厅一排 4 个、客厅一列 6 个一模一样的开关，建筑师说"你会习惯的"，他们从没习惯过（图 4.4 是另一户的 8 连排）。某型小飞机把襟翼和起落架开关做成一模一样还挨着放，害得不少飞行员在地面上想收襟翼却收了轮子，贵且频繁到 NTSB 专门写报告——"正确设计原则五十年前就有了，为什么还在犯？"

• 诺曼的解法 = 自然映射的二维实现：把六个开关从墙上一维排列，改成装在一块客厅平面图上，每个开关摆在它所控灯具的对应位置；面板略微倾斜，既便于看清映射、又顺带形成反可供性（anti-affordance）防止有人在上面放咖啡杯（图 4.5）。但他强调：市面上根本没有现成元件支持这种做法，只能雇技师定制；他还曾劝某智能家居公司 CEO 量产这种组件，"我失败了"。

• 并非处处都该空间映射——有时该用"活动中心控制"（activity-centered control）：会议厅那种"视频/电脑/全亮/演讲"按钮，若基于对活动的细致分析来设计就很好用。但诺曼亲历其软肋：他设成"放幻灯片"活动后被提问，想调亮灯看观众，一调亮就被踢出"演讲"活动，结果幕布升回天花板、投影仪关掉了。教训：活动中心控制方向对，但难在处理"设计时没想到的例外"——所以必须保留手动控制，且动手动设置时不该取消当前活动。

• 强制功能三形态（本章硬核概念）：

  • 互锁 interlock——强制按正确顺序：微波炉/高压设备一开门就断电；自动挡不踩刹车挂不出 P 挡；火车/电锯的"死人开关（dead man's switch）"——松手即停（有人用重物压住作弊，于是又演化出需中等力度/反复按压/答询问来确认人还清醒）。
  • 锁入 lock-in——强制操作持续、防止过早中止：程序未保存就退出时弹"真的要退出吗"（图 4.6）；诺曼干脆把它当快捷方式——直接退、靠弹窗顺手保存，"本是报错信息，成了高效捷径"。锁入也可以很字面：牢房、婴儿围栏。商业上还被用作把客户锁死的策略：一家公司的音乐/视频/电子书只能在自家设备上用，与对手不兼容——学会就懒得换、换则混乱，最终除了垄断的那家，所有人都输。
  • 锁出 lockout——阻止进入危险区/阻止某事发生：公共楼梯底层装一道门（图 4.7），防止逃火灾的人一路冲下楼、冲过一层冲进地下室被困；童锁、插座盖、药瓶防儿童盖、灭火器保险销都是锁出。强制功能在日常会惹人烦、被人禁用，所以聪明的设计是把妨碍降到最低、又保住安全——图 4.7 那道门就是妙折中：够让人意识到"在离开一层"，又不至于让人嫌烦把它顶开。

• 当约定改变：目的地控制电梯（destination-control elevator）。两位设计师因电梯控件被改而愤而写文吐槽（"按按钮、进箱子、上下、出来，这还能有什么花样？"）。新系统把楼层键盘搬到电梯厅外、电梯内只剩开关门和警铃（图 4.8）：系统把去同一层的人分到同一部、把人流分配到最高效——人人更快到达，或用更少电梯达到同等服务。它 1985 年发明、1990 年才首装（Schindler）。可它最大的"缺点"就是和大家习惯的不一样：进了电梯改主意怎么办？（连诺曼的编辑都在页边抱怨）——答案很简单：下一站出去、到厅里的控制盒重输楼层。诺曼借此点明：人们对一切新方式都会本能抗拒，被惹恼的往往不是方案的优劣、而是"改变"本身。公制单位就是铁证——比英制几乎全面更优，两个多世纪后仍有美国等极少数国家死扛，纯因"学新太烦、换工具的初始成本看着吓人"。准则：一致性是美德、只略好就别改；但当新方式远胜旧方式，改的收益就压过改的痛苦——"不一样"不等于"不好"，只守旧就永远无法进步。

• 水龙头：一部设计史（本章压轴案例，也最能串起全章）。诺曼在英国某会议宿舍领到的手册里竟教"洗手盆龙头请轻轻下压"——一个看着该转、实则该压的龙头，逼得一位女士满楼找人请教。根因是一对结构性矛盾：人只关心"水温"和"流量"，水却从冷、热两根管进来。书中列了多种解法（双控冷热 / 只控温 / 只控量 / 开关式 / 温量分控 / 一个集成控件管两维）。双控龙头有四个映射难题（哪个热、怎样改温不改量、怎样改量不改温、哪边水大），主要靠文化约定解决：左热右冷、顺时针拧紧（关水）逆时针开——但这些约定并不可靠（英国人多半不知"左热右冷"是约定，因为破例太多）。更糟的是某些"自作聪明"的设计师按"人体镜像对称"让左右龙头转向相反，结果你一手抹着肥皂、单手轮流去拧时必然搞错冷热。诺曼的修法很妙：不必换整只龙头，把圆钮换成"叶片"手柄即可——因为人对叶片的概念模型是"推/拉"而非"旋转"，统一成"都拉=增大水量"就一致了（哪怕阀芯里左右旋向相反）——"重要的是心理感知（概念模型），不是物理一致性"。至于时髦的单孔单控龙头：好看、得奖、却不可用——它确实直控了人关心的两个心理变量，但又冒出四个新映射难题（哪个维度调温/调量、各自哪边是更热/更多），加上缺乏标准化、动件还为美观藏进龙头体里，于是招人厌多过招人爱。

• 本章收束于两条贯穿全书的原则：① 标准化是"绝望原则（principle of desperation）"——当别的办法都不可行时，干脆全都做成一个样，让人只学一次（书中半开玩笑地提议：上下调量、上=增大；左右调温、左=热）。标准化造福所有人，但也会拖慢未来的发展、且达成共识常有艰难的政治博弈——可"实在没辙时，标准化就是出路"。② 用声音做 signifier：有些信息无法可视化，声音能补位——门栓到位的"咔哒"、关不严的薄响、吸尘器堵了升高的音调，都在传递看不见的状态；但"哔哔"这种人造音不携带信息、还烦人，好的声音应像自然声那样反映材料与动作。当沉默致命：电动车太安静，盲人靠车声判断能否过街，美国 NHTSA 数据证实行人被电/混动车撞的概率明显更高（尤其低速近乎无声时）——于是各方花数年、上千万美元给"本应安静的车"加声音；设计准则要兼顾警示、定位、不烦人、以及"标准化 vs 个性化"的张力（顺带引出 skeuomorphic 拟物：让电动车学燃油车的声音，正如早期汽车学马车、塑料学木纹——拟物虽被纯粹主义者诟病，却能降低对新事物的恐惧、平滑过渡）。

这是全书最长、也最"工程化"的一章。诺曼把视角从单个物件拉到复杂系统与事故：飞机、核电、医院、化工厂。他要拆掉一个根深蒂固的偏见——把事故归咎于"操作者犯傻"。

① 最佳案例/故事：F-22 坠机与"五个为什么"

2010 年，美国空军最先进的战斗机之一 F-22 坠毁，飞行员丧生。空军调查委员会两年后的结论是飞行员失误："注意力被某件事占满（channelized attention）、视觉扫描中断、未识别的空间错觉，导致未能及时拉起改出俯冲。"

2013 年，美国国防部督察长办公室复核，提出异议：为什么"突发失能或失去意识"没被当作一个促成因素来考虑？——因为多架 F-22 的飞行员都报告过缺氧（hypoxia）。诺曼几乎是带着戏谑地复述这两份报告的对话：空军说"是飞行员没采取纠正动作"；督察长说"那是因为他当时多半已经昏迷了"；空军又说"所以你也同意，飞行员没纠正问题"。

诺曼借此引出日本丰田的"五个为什么"（Five Whys，丰田生产体系，源自丰田佐吉）：找到一个原因后别停，继续追问"为什么会这样"，直到挖到真正的底层成因。套用到 F-22：Q1 飞机为何坠毁？因为陷入失控俯冲。Q2 飞行员为何没改出？因为没及时拉起。Q3 为什么？因为他可能昏迷了（缺氧）。Q4 为什么缺氧？——不知道，这正是要去查的。诺曼提醒，"五个为什么"不保证成功："为什么"本身有歧义，不同调查者会追到不同答案，而且仍倾向于过早停下、过分追求"单一原因"。但它是个强有力的工具：它逼你别在"发现一个人犯错"时收手。

配套的反面案例是一家电力公司：高压线作业工人触电伤亡，所有调查委员会都判定是工人之过，连幸存工人自己都不否认。但诺曼追问：复杂事故为何一找到"人为错误"就停止分析？他给执行层提了几条简单的流程改进就能防住大多数事故，报告被礼貌地收下、甚至被致谢。几年后他问公司的朋友改了什么——回答是："没改，我们还在伤人。"症结在文化：现场工人自认"我们是超人，不会犯错"。只要把错误当成个人失败而非设计缺陷，错误就无法被消除。

② 核心主张

• "人为错误"是个伪命题，根子在系统与设计。 工业事故被归咎于人为错误的比例高达 75%–95%。如果只有 1%–5%，或许真是人的问题；可一旦高到这个量级，"显然另有更深层的因素"。诺曼的逻辑很硬：桥塌了我们改设计规范，电路被噪声干扰我们改电路使其更耐受——唯独"事故被认为是人造成的"时，我们只会责怪、然后照旧。
• 对待所有失败应一视同仁：找根因、重新设计系统，让这类问题再也无法导致事故；做不到彻底消除，就把后果降到最小。 物理极限工程师很懂，心理极限却被严重误解。我们造出要求人连续数小时全神贯注、或要记住一辈子只用一次的晦涩流程的设备，然后纳闷为什么会出错。
• "责怪—惩罚 / 责怪—培训"是无效循环。 找到"罪魁"让人感觉良好（"我们抓到祸首了"），但同样的错误会一遍遍重演。当很多人都犯同一个错，就该去找另一个原因。诺曼的自指例证最有说服力：他自己拧错灶台旋钮，不是因为缺知识，而是控件与灶眼之间映射糟糕——教他对应关系不能止错，重新设计灶台才能。

③ 论据 / 推演 / 前提

人为何出错？ 任务天然反人性：要求长时间保持警觉、给出精确无误的控制指令、同时多任务、还不断被打断。打断（interruption）是错误的常见诱因，而设计与流程往往假设人能全程专注、又不为"中断后如何恢复"提供任何帮助。再叠加时间压力——医院、制造、化工厂里"慢下来"意味着巨大损失，于是大家熬过该睡的点、同时干太多事、开得比安全速度快；多数时候侥幸过关，甚至因"英雄式拼搏"被奖励，可一旦出事，同样的行为就被责罚。前提是：人擅长新颖、创造、探索，却被迫去做机器要求的枯燥、重复、高精度的事——这是把人的优点逼成缺点。

蓄意违规（deliberate violations）另算一类。 诺曼把它和"错误"区分开：违规是明知故犯地违反已知的正确流程（超速、雨雪天开快车、带病上班）。它分两种：例行性违规（routine violation，不合规太频繁以至于被无视）和情境性违规（situational violation，特殊情形下，如"路上没车又赶时间就闯了红灯"）。违规的一大成因是不当的规章本身——若照章办事活就干不完，规则就在邀请甚至鼓励违规；更糟的是违规成功还会被表扬，等于无意间奖励了不合规。但违规属于组织与社会层面的错误，不在"日常物品设计"的讨论范围内；本章聚焦的"人为错误"是非故意的。

错误的两大类：失误（Slip）与错误（Mistake）

这是本章的理论骨架，也是诺曼与英国心理学家 James Reason 共同提出的分类，被工业、航空、医疗事故研究广泛采用。诺曼特意叮嘱："这部分有点技术性，但对设计极其重要，请坚持读下去。"

人为错误定义为对"恰当行为"的任何偏离（"恰当"打引号，因为很多时候正确行为是事后才知道的）。它分两大类：

• 失误 / 滑误（Slip）：目标对，但执行出错。 你本想做 A，结果做成了别的。又分两支：
  • 动作型失误（action-based slip）：动作本身做错了。
  • 记忆失效型失误（memory-lapse slip）：记忆掉链子，导致该做的没做、或结果没去评估。
  • 诺曼的亲历例子：把牛奶倒进咖啡，然后把咖啡杯放进了冰箱（正确动作用在了错误对象上）——这是动作型；做完饭忘了关煤气灶——这是记忆失效型。
• 错误 / 谬误（Mistake）：目标或计划本身就错了。 从立错目标那一刻起，哪怕动作执行得完美，也都是错误的一部分。"做出来的动作和计划是吻合的——错的是计划。"分三支：
  • 规则型错误（rule-based mistake）：情境诊断对了，却选了错误的行动方案——用错了规则。
  • 知识型错误（knowledge-based mistake）：因知识错误或不完整而误诊了情境。
  • 记忆失效型错误（memory-lapse mistake）：在目标、计划或评估环节上发生了遗忘。
  • 诺曼用 1983 年加拿大航空 "吉姆利滑翔机"（Gimli Glider，波音 767 燃油耗尽迫降）举例：燃油重量用磅算成了公斤（知识型错误）；机械师因分心没完成排故（记忆失效型错误）。

与七阶段行动周期的对应。 错误可以挂回第 2 章的行动周期：错误（Mistake）发生在高层认知——立目标、定计划、拿结果与预期作比较；失误（Slip）发生在低层——计划的执行、或对结果的感知/解读。记忆失效可发生在阶段之间的八个过渡处（图中以 X 标记），它会卡住行动周期使期望动作无法完成；高层的记忆失效导致错误，低层的导致失误。一个微妙结论：失误反而更常发生在熟练者身上——专家把动作自动化、交给潜意识控制，注意力一旦溜号就出滑；新手处处需要有意识地专注，反而很少出滑。

失误（Slip）的细分：三种与设计最相关

诺曼用一连串生动的真实小故事撑起这三类。开篇那个最妙：一位同事开车上班，发现忘带公文包，掉头回家，停车、熄火，然后解开了手表——而不是安全带。这一个故事里同时藏着记忆失效型失误（忘公文包）和动作型失误（解手表，是"描述相似 + 捕获"的混合）。

• 捕获型失误（capture slip）：一个更频繁、更近期做过的动作序列"劫持"了你本想做的动作。诺曼边数复印件边数出"…8、9、10、J、Q、K"——他最近在打牌。条件是两个动作序列有相同的开头段，其中一个远比另一个熟练；走完相同段后，更熟的那个接管，本想做的反而没做。对设计的启示：避免开头相同、后段分叉的流程；越熟练的人越容易被捕获，序列应从一开始就不同。
• 描述相似型失误（description-similarity slip）：对目标的"内部描述"太含糊，于是动作落在了一个相似的对象上。一位学生跑完步脱下汗衫团成球想扔进洗衣篮，结果扔进了马桶（不是没瞄准——洗衣篮和马桶在不同房间）：两者都是"足够大的容器"。对设计的启示：不同用途的控件与显示要做得显著不同；一排长得一样的开关/仪表极易诱发此类错误。飞机座舱的做法是给控件做形状编码——油门、襟翼、起落架手柄摸上去就不一样（襟翼手柄像机翼、起落架像轮子）。
• 记忆失效型失误（memory-lapse slip）：复印完拿走副本、原件留在机器里；把孩子落在休息站或试衣间；借了别人的笔用完顺手揣进自己兜里。直接成因多是打断——决定动作到完成动作之间插进了别的事，而机器本身的繁琐步骤会压垮短时/工作记忆。对治办法：减少步骤数；给"还没完成的步骤"提供鲜明提醒；最佳是用第 4 章的强制功能（forcing function）——ATM 必须先取卡才吐钱，正是利用"人很少忘记此行的目标（拿钱）"来防住忘卡；公用笔则干脆拴在柜台上不让你带走。
• 模式错误型失误（mode-error slip）：同一控件在设备的不同模式（mode）下含义不同。只要设备的可执行动作多于它的控件/显示，模式就不可避免——而我们不断给设备加功能。家里关错了影音设备只是恼人，工业上"以为系统在 A 模式、其实在 B 模式"则酿成过重大伤亡。诺曼举空客的一起事故：自动驾驶有两个模式，一个控下降速率、一个控下降角度，控件与功能高度相似；机组想控角度，却误选了控速率，输入的 –3.3 当成角度是 –3.3°（约 –800 英尺/分），当成垂直速率却是 –3,300 英尺/分——太陡，最终致命。事后空客把显示改成：垂直速率永远显示四位数、角度显示两位数，以降低混淆。诺曼的结论很硬：模式错误本质上就是设计错误。设计者要尽量消除模式；非用不可时，必须让当前模式醒目可见。

错误（Mistake）的细分：规则型 / 知识型 / 记忆失效型

诺曼借丹麦工程师 Jens Rasmussen 的三层行为模型来组织：技能型（skill-based）——极熟练、近乎无意识，最常见的错是失误；规则型（rule-based）——常规失效但情境已知、有现成的 if-then 规则可循；知识型（knowledge-based）——全新情境，既无技能也无规则可用，必须靠推理与问题求解，此时概念模型至关重要。规则型与知识型里，最严重的错误都来自误诊情境：一旦诊断错了，后续所有信息都会被从错误视角解读，极难发现和纠正。

• 规则型错误（rule-based mistake）最精彩的案例是 2013 年巴西圣玛丽亚 Kiss 夜店大火，乐队的烟火点燃天花板吸音板，逾 230 人罹难。诺曼拆出层层错误：乐队以为室外照明弹是安全的（知识型错误）；许多人冲进洗手间误当成出口而丧生；早期报道称保安一度拦住人群不让离开——因为顾客有时会不付酒钱就溜走。根因在于那条"防逃单"的规则没把紧急情况考虑进去。一个解法：装上触发警报的门——平时威慑逃单，紧急时仍可推开逃生。诺曼还给了另两个规则型错误：把烤箱旋钮拧到最高想让它更快到目标温度（基于错误的概念模型），人一走神忘了回来看，高温就可能酿成火灾；不熟悉防抱死刹车（ABS）的司机在雨天急刹感到振动，误以为故障而松开刹车——其实振动正是 ABS 在正常工作。
• 知识型错误（knowledge-based mistake）：情境太新、无技能无规则可套，须现编流程。这属于反思层的慢思考。最好的解药是对情境的良好理解（往往就是一个恰当的概念模型）；复杂时需要协作式问题求解、好的程序手册（纸质或电子），更强的是带智能检索与推理的计算机系统。但难点在人机协作：现实里人们常把"机器能做的"丢给机器、剩下的留给人，结果机器只接管了对人来说容易的部分，一旦问题变复杂——恰恰是人最需要帮助时——机器就掉链子。
• 记忆失效型错误（memory-lapse mistake）：遗忘目标或计划（而非某个动作步骤），常因打断而忘掉对当前状态的评估，于是不得不重新决策、有时再次决策错误。对治办法与记忆失效型失误相同：让所有相关信息持续可见——尤其是目标、计划、当前评估，别在它们一被做出就从界面上抹掉；设计者应默认人会被打断，并帮他恢复操作。

失误是潜意识动作在半路被截胡的结果；错误源于有意识的深思。同一套让我们富有创造力与洞察力（在看似无关的事物间看出关联、凭片面甚至错误的证据跃迁到正确结论）的机制，也正是错误的来源——我们有时泛化得太快，把新情境当成旧情境，而其间其实存在重大差异。

社会与制度压力：很多事故的隐形推手

诺曼专门辟出一节谈社会压力——看似与设计无关，却强烈影响日常行为，且因为人和机构都不愿承认而极难取证。航空史上最惨的 1977 年特内里费（Tenerife）空难：一架 KLM 波音 747 在起飞时撞上正在同一跑道滑行的泛美 747，583 人遇难。KLM 尚未获得起飞许可，但天气在变坏、机组已被延误太久（连飞到加纳利群岛本身都是因天气备降）；浓雾里两机互相看不见；KLM 的副驾驶级别远低于机长（机长是 KLM 最受尊敬的飞行员之一），只能小声提醒"我们还没被许可起飞"。时间、经济、文化与天气压力叠加，再加上对反常观测的'合理化解释'，酿成大祸。1982 年华盛顿佛罗里达航空撞上波托马克河十四街大桥的空难同理：机翼结冰本不该起飞，但已延误一个半小时，NTSB 报告称这"可能使机组倾向于赶时间"，副驾驶起飞中四次表达"哪里不对劲"，机长仍未中止起飞。

诺曼自己的潜水教练给了一个对治社会压力的范例：潜水员遇险需快速上浮时，本该抛掉昂贵的配重铅块，但怕浪费、又怕事后无法证明确有必要而尴尬（自我施加的社会压力），有人因此溺亡。教练于是公开承诺：谁为安全抛了铅块，就当众表扬并免费补发——用制度去抵消社会压力。

把错误"解释掉"，与事后诸葛

• 解释掉错误（explaining away）：多数重大事故前都有预警——设备异常或反常事件，但每个单看都有合理解释，于是被一一打折扣、放过。诺曼的"高速公路开错路"亲历最传神：全家从圣迭戈开往北边的 Mammoth Lakes 滑雪，一路看到越来越多拉斯维加斯的酒店赌场广告，心想"拉斯维加斯一向老远就打广告"，便没在意；直到找地方吃晚饭才发现两小时前就开错了岔路、正驶向拉斯维加斯，只得原路折返，白白浪费四小时。"一旦为反常找到了解释，人就倾向于认为可以打发它了——可解释是基于过去经验的类比，未必适用当下。"
• 事后看一切都顺理成章（hindsight）：心理学家 Baruch Fischhoff 的研究显示，事前几乎无人能预测的结果，一旦告知结果，人们就觉得它'显然且必然'、别的结果都不可能。事故发生时从没有清晰线索：负荷高、压力大、很多同时发生的事最后被证明无关、看似无关的却是关键。调查者带着"后见之明"自然能挑出相关信息、忽略无关信息，可当事人当时根本无从区分。所以最好的事故分析往往耗时很久——调查者得设身处地。诺曼给读者一条实用建议：重大事故后，别信记者、政客、高管的初步说法，等可信机构（如美国 NTSB）的正式报告。

为错误而设计：从丰田到 NASA 的成体系做法

诺曼把"防错"上升为一套可复制的方法与文化。

• 报告错误的文化：减少错误的唯一办法是承认它存在、收集它、据此改进。与其羞辱认错者，不如感谢并鼓励上报——目标不是惩罚，而是查清成因、改掉它。
• 丰田 Jidoka（自働化，"带人性的自动化"）：工人发现异常应立即上报，必要时拉下 andon 拉绳停掉整条流水线，专家小组到场连问数个"为什么"直到根因，并改到此类错误永不再现；反之，若被发现隐瞒错误才会被惩罚——逼人诚实。
• Poka-yoke（防呆 / 防错，工程师 Shigeo Shingo 发明）：用简单的夹具、治具或装置去约束操作使其只能正确。诺曼自己的"土法"：在公寓每扇门的钥匙孔旁贴一个绿色小圆点，标明钥匙该往哪个方向转（给门加了意符 signifier）；工厂里则用非对称螺孔的钢板让它只能装对一个方向，给紧急/关键开关加盖防误触。诺曼点明：防呆其实是本书所有原理的组合——示能、意符、映射、约束，而最重要的是强制功能。
• NASA 航空安全报告系统（ASRS）：飞行员有强烈的自我社会压力不愿认错，且不敢向雇主或 FAA（执法者）报告。解法是让中立的 NASA 设立半匿名自愿报告系统——飞行员留下联系方式，NASA 问完情况后撕掉联系信息寄回，从此连 NASA 都不知是谁报的，航空公司和 FAA 更无从追查；若 FAA 另行发现该错误，收到自报即自动豁免轻微违规的处罚。诺曼感叹：医疗界亟需类似系统，但因怕吊照、怕诉讼而难以建立。

检测错误：哪种最难发现？

不同错误的可发现性差别很大。一般而言动作型失误最易发现（意图动作与实际动作之间的差异通常一眼可见——但前提是有反馈，结果不可见就无从发现）。记忆失效型失误难发现，恰因为"什么都看不到"——该做的没做，没有动作就无可检测，只能等"没做"引发了某个不该发生的事件才有望察觉。错误（Mistake）更难发现：很少有东西能提示"目标本身就错了"，而且既然目标错了、后续动作又都与错误目标一致，仔细监控动作不仅发现不了错，反而因动作做得"正确"而给错误决策增添信心。误诊尤其隐蔽——它通常基于相当的知识与逻辑、且看上去能消除当前症状，于是初期动作显得恰当有效，真正的错误可能数小时乃至数天后才暴露。

检查清单（Checklist）：被傲慢耽误的救命工具

清单能显著提高准确率、减少失误与记忆失效，尤其在多步骤、多人、多打断的场景。诺曼强调两人协作版最稳：一人读、一人执行、读者再复核——单人执行后他人事后检查则脆弱得多。还有一个反直觉的"群体悖论"：人越多、检查越可能出错——若你知道前面两人查过、后面还有人查，你就会松懈，人人如此则总体更易漏。航空业早已把协作清单列为强制（美国所有商业航班必备），但医生等职业强烈抵触，视之为对专业能力的侮辱（"别人也许需要清单，我不需要"）。诺曼的回应很重："犯错是人之常情；身为人不丢专业。"而且很多人反对的其实是设计糟糕的清单——设计有效清单本身很难，需迭代打磨、由专业设计师与领域专家合作。纸质清单的一大硬伤是强制顺序：复杂任务里很多步骤本无先后，且有些项当时无法做（如清单要求查油量、但飞机还没加完油），飞行员只能跳过、打算回头补——这正是记忆失效的温床；电子清单能跟踪被跳过的项、在全部完成前不让标记为"已完成"。

瑞士奶酪模型：事故几乎从不只有一个原因

诺曼用英国事故研究权威 James Reason 的"瑞士奶酪模型"收束全章：把每片布满孔洞的奶酪看作任务中的一道防线（一个条件），只有当所有片的孔洞恰好对齐，事故才会发生。设计良好的系统里可以有许多设备故障、许多错误，但只要它们不同时对齐就不会酿成事故——任何"泄漏"都会在下一层被堵住，好系统对失败具有韧性（resilient）。这给出两条教训：第一，别试图去找事故的"那个"原因——真实事故里"奶酪片"有时多达数十上百片，总能找到"若当时不那样就不会出事"的某个决定，但那只是众多成因之一；第二，降低事故、提升韧性可以靠设计——加更多奶酪片（更多防线/冗余，如协作清单）、减少并缩小孔洞（用好的设计减少失误与错误的机会）、让各子系统采用很不一样的机制（确保孔洞不易对齐）。NTSB 主席 Deborah Hersman 把美国民航的安全哲学概括为"设计冗余与多层防御（design redundancy and layers of defense）"——这正是瑞士奶酪。

当好设计还不够：人有时真的有错；自动化的悖论

诺曼诚实地补上边界：人是否"永远无辜、永远是设计之过"？不。疲劳、睡眠剥夺、酒精、药物会让有能力的人失去能力——所以法律禁止飞行员饮酒后飞行、限制连续飞行时长（他反问：为什么航空业严控睡眠剥夺，医院却让医生超时工作？你愿意被一个睡眠不足的医生开刀吗）。酒驾、缺觉仍是车祸主因，这确是当事人之过；蓄意违规也会发生——但"人偶尔有错"绝不等于"人永远有错"，绝大多数事故仍源于糟糕的设备或流程设计。他还讲了一个航空轶事：某飞行员三台发动机都显示低油压，断定是仪表故障，因为三个都真低的概率"百万分之一"——他判断对了，但他不幸就是那个百万分之一；美国 2012 年约 900 万架次，百万分之一就意味着约 9 起。

由此引出韧性工程（resilience engineering）：把安全当作核心价值而非可计数的商品——"安全恰恰体现在那些没有发生的事件里"。大型计算机厂商甚至会故意在线上系统制造故障（关停关键设施）来检验冗余与备份是否真的管用，因为小规模仿真无法复现真实故障的复杂度与压力。最后是自动化的悖论（the paradox of automation）：自动化能接管枯燥重复的任务、且常做得比人好，但任务一变复杂它就放弃——恰恰是最需要它的时候；失败往往毫无预警，而此时人已"脱离回路（out of the loop）"，要花时间才察觉、评估、反应。诺曼预言自动驾驶会减少事故总量，但一旦出事会是大事故。教科书级的案例是 1997 年游轮 Royal Majesty 搁浅：GPS 天线电缆不知何故脱落，导航系统悄悄切换到航位推算（dead reckoning）模式却没让人察觉，多年完美运行养出的信任使人不再手动核位，船一路偏南撞上科德角，损失数百万美元——一次巨大的模式错误。

处理错误的设计原则（全章方法论收口）

诺曼把"为错误而设计"的全部主张压成一组可操作清单：

• 理解错误的成因，针对成因去设计，从源头减少它。
• 做合理性检查（sensibility check）：这个操作通过"常识"测试吗？医疗设备能乖乖执行比正常剂量高一千倍的辐射、银行能照单执行远超常规的转账——"只要做哪怕最简单的合理性检查就能拦下这些"。诺曼用韩元举例：1 美元约 1000 韩元，想转 1000 美元（约 ₩1,000,000），若把韩元数字填进美元栏，就成了转 100 万美元；智能系统应记住你的正常交易规模、对异常值发问。
• 让动作可逆——提供"撤销（Undo）"，最好支持多级撤销；不可逆的动作则要更难触发。诺曼说至今仍惊讶于很多本可、也该提供撤销的系统竟然没有。GUI 把"删除"做成移进废纸篓而非真删，正是为此。
• 确认与错误提示要点在'对象'上，而非'动作'上。 经典玩笑：系统连问两遍"确定要删最重要的文件吗""真的确定？"，用户连点"是""是！"，文件没了——因为人此刻只盯着动作、没看被作用的对象。更好的做法是把动作和对象都醒目地摆出来，给"取消 / 执行"的选择。诺曼用自己关窗的亲历区分两种情形：本想打 Shift+W 却误按 Command+W（关窗），这是失误——意外弹出的对话框会让他惊觉并取消；但若他确实想关一个临时笔记窗、视线却停在另一个窗上而它才是活动窗，于是预期之中地点掉对话框、还选了不保存——这是错误——警告对错误"出奇地无效"（连第 4 章那种礼貌的提示也拦不住）。对策：把被作用对象变醒目（放大或变色）、让操作可逆（哪怕用户选了"不保存"，系统也可悄悄存一份，下次打开时再问是否恢复）。
• 最小化失误：别指望"让人时刻高度专注"——熟练行为本就是潜意识的、快而省力又通常准确，逼人事事有意识反而效率大降。正解是让易混的控件尽量不同、或至少物理上拉远，尽量消除模式、非有不可就让模式醒目可辨，并提供可感知的反馈（先反馈正在做的动作、再反馈由此产生的新状态）配上撤销机制。诺曼举医院条码核对：处方与药、药与患者腕带都用机器可读码两两扫码比对，显著减少了给错药——只略增工作量。
• 别把人的动作当"错误"，而当成对意图的'近似'去帮他补全。 诺曼以两人对话类比：朋友说错了话我们不"哔"一声报错、不弹错误框，而是追问、澄清、对话，专注意图而非表面瑕疵——好的系统也该如此。

诺曼给全章下的总结近乎宣言："人为错误"常常只是一个对技术需求而言不合适的人类动作，它标记的是技术的缺陷，本不该被叫作"错误"——我们应当取消"错误"这个概念，转而承认人需要帮助，把目标与计划翻译成技术所要求的形式。既然人机能力错配、错误不可避免，最好的设计就把这当成既定事实，既减少出错机会、也减轻出错后果："假设每一种可能的意外都会发生，并为之防护。让动作可逆，让错误代价更低。"——把知识尽量放到外部世界而非全压在脑中、善用各类约束与强制功能和自然映射、架起跨越执行鸿沟与评估鸿沟的桥梁（执行侧给前馈 feedforward、评估侧给反馈 feedback）。好设计能防住失误与错误，好设计能救命。

① 最佳案例：OXO 削皮刀——为「特殊人群」设计，全世界受益

Sam Farber 想给患关节炎的妻子做一套好用的厨房工具，于是从最不起眼的削皮刀下手。传统金属削皮刀又便宜又难握，削起来还不利索，但所有人都默认「它本来就该长这样」。Farber 没把它当成「残障辅具」来做，而是做出一把对所有人都更好用的削皮刀，成立 OXO 公司，并且——这是关键——广告里只说「这是把更好的削皮刀」，绝口不提关节炎。结果它一炮而红，贵几倍依然热卖，整个行业跟着改观（图中三把削皮刀里，最右是 OXO，中间那把彩色舒适的来自瑞士 Kuhn Rikon，是这场革命的产物）。Norman 借此点出污名问题（stigma）：拐杖、助行器、轮椅、助听器明明有用却被拒用，因为它们写着「我有缺陷」；而专为特殊人群设计的功能，往往对所有人都好用——这就是包容性设计 / 通用设计（inclusive / universal design）的精髓。

② 核心主张

Norman 的咨询铁律是「绝不解决别人塞给我的那个问题」——因为递过来的问题几乎总是症状，不是病根。工程师与商人被训练去解决问题，设计师被训练去发现真正的问题；「把错问题解得再漂亮，也可能比不解还糟」。好设计师不急着收敛到方案，而是先发散：研究人、研究他们真正想完成什么，生成一个又一个点子，让管理者看着「像在倒退」。这套先发散再收敛、找对问题再找对方案的过程，就是设计思维（design thinking），其两大工具是以人为本设计（HCD）与双钻模型。

③ 论据 / 推演 / 前提

• 双钻模型（Double-Diamond）：源自英国设计委员会（2005）。第一颗钻石「找对问题」，第二颗「找对方案」，每颗都先发散后收敛，对应四阶段 discover → define → develop → deliver。会把只盯进度的产品经理逼疯，但 Norman 给的解法很实在：鼓励自由探索，同时用进度与预算死死框住——「没有什么比一个铁定的截止日期更能让创意脑收敛」。

• HCD 四活动迭代：观察 → 创意生成（ideation）→ 原型 → 测试，循环往复，因每轮都在进步，更准确叫螺旋法（spiral）而非画成圈。
  • 观察用「应用人类学（applied ethnography）」：到用户真实生活场景里观察，重点不是年龄收入，而是要做的活动；必要时「跟他进浴室」。
  • 设计研究 vs 市场研究：设计想知道人真正需要、会怎么用，用质性深访、样本仅几十人；市场想知道人会买什么，用大样本问卷、焦点小组、A/B 测试、大数据。Norman 警告大数据「性感图表」的陷阱：数值相关说不出人的真实需求；两者互补，缺一不可。
  • 原型讲究快糙省：纸笔、泡沫纸板、PPT、便利贴都行。经典手法是「绿野仙踪法（Wizard of Oz）」——用户以为在跟自动系统对话，其实隔壁房间有研究生在人肉应答。Norman 用它测机票预订系统，发现「目标本是理解语言，结果证明目标太窄了，得理解人的活动」。
  • 测试：找贴近目标人群的少数人；associate Jakob Nielsen 长年主张「5 个人」——测 5 人、改、再测另 5 人，多轮迭代远胜一次测一大批。
  • 迭代信条是 IDEO 联创 David Kelley 的「快速试错，频繁试错（Fail frequently, fail fast）」；失败该叫「学习经历」，一切顺利反而学不到东西。需求「凭空想必错、问人要也必错，只能靠现场观察得出」——因为「大多数情况都是『特例』，任何不容许特例的系统都会失败」。

• 活动中心设计（activity-centered design）vs 以人为本设计：一款产品要卖给全世界差异极大的人怎么办？答案是聚焦活动而非个人——因为全世界的活动高度相似，且只要复杂度「看起来是活动本身需要的」，人就愿意学。Norman 强调活动（activity）≠ 任务（task）：活动是高层结构（「去购物」），任务是其下的低层组件（「开车去市场」「找购物篮」）。借 Carver & Scheier 的三层目标说：be-goal（存在层）→ do-goal（行动层，对应七阶段里的目标）→ motor-goal（动作层）。iPod 的成功正是范例：苹果不只做了一个播放器（任务），而是支撑了「享受音乐」的整个活动——发现、购买、导入、做歌单、分享、播放，还开放第三方配件。「为个人设计，结果可能只对那群人完美；为活动设计，结果人人可用。」

• 迭代 vs 线性（瀑布/gated）：瀑布法逻辑上顺，但需求一旦定死难回头，大项目动辄烧掉几十亿；迭代法擅长前期厘清问题，却难扩到上千人、数年的大工程。最佳解是两者结合：在 gate 与 gate 之间做迭代，门处保留管理评审。Norman 还点出大项目最难的其实是管理：人会离职，隐性知识（implicit knowledge）随人脑流走。

• 「我刚说的那一套，其实根本不是那么运作的」：现实里产品往往只有两个驱动——「加功能去对标竞品」和「为某项新技术加功能」，几乎没人真去找人的需求。由此引出 Norman 的产品开发定律（Don Norman's Law of Product Development）：「产品开发流程启动的那一天，它就已经落后于进度、超出了预算。」 解法是把昂贵的前期设计研究与产品团队解耦——让设计研究员常驻一线，项目一启动就能拿出现成建议；并用跨学科团队从第一天就坐在一起，化解各部门各说各话。

• 复杂（complexity）是好的，混乱（confusion / complicated）才是坏的：别人的厨房看着乱，自己的不乱——「混乱不在厨房里，在脑子里」。生活本就复杂，工具必须匹配任务；驯服复杂的头号原则是给一个好的概念模型。

• 标准化与技术：标准化是一种文化约束，学会开一辆车就敢开全世界的车。但定标准极其漫长政治化，「几乎注定要花五年甚至更久」，结果常是劣质妥协，甚至只能并存多套标准（公制/英制、左舵/右舵）。Norman 亲历美国 HDTV 标准之战（代表苹果争 720p 对 1080i），整个过程从日本最早广播算起约 35 年，且标准定完技术已经把当初争得你死我活的细节碾过去了——「标准慢到落地时可能已经无关紧要，但标准仍是必要的」。反例是数字时间：法国大革命 1792 年就提过十进制时间、Swatch 1998 年又推「International .beat」，都没成——「积习难改」，正如我们至今困在 QWERTY、英寸、华氏度里。下图这只非标准时钟就是明证：逻辑和普通钟完全一样，只是指针逆走、12 挪了位，你就读不出来了（答案是 7:11）。

• 故意把东西做难用：好设计未必等于易用。该难用的东西其实很多——门禁、安全系统、危险设备、儿童安全药瓶、需双人同时操作的控制、删文件的二次确认、以及游戏（故意违反易懂易用，「搞懂怎么玩」本身就是乐趣）。Norman 举英国 Stapleford 一所残障儿童学校的门，需同时操作一高一低两个门闩，只有成年人够得着——「违反易用规则，正是这里需要的」。但即便要做难用，也得懂易用规则，因为只要把规则反过来用即可（藏关键部件、用反常映射、不给反馈……）。

① 最佳案例：功能蔓延袭击乐高（Featuritis Strikes Lego）

Norman 用同一个乐高摩托车横跨两版书做对照：1988 年第一版书里那辆只有 15 个零件，不看说明书就能拼好——约束足够强，每块只有唯一的位置和朝向。到 2013 年的新版，同一辆摩托车「臃肿」成了 29 个零件，盒子上还骄傲地印着「29 pieces」，结果 Norman 自己拼到一半就卡住、不得不去翻说明书（图 B 就停在他放弃的那一刻）。为什么要改？大概是「功能蔓延也袭击了真实的警用摩托车」，乐高觉得玩具得跟上现实。这就是功能蔓延（creeping featurism）最生动的标本：每个新版本功能必然比上一版多，加功能有市场压力、有预算，砍旧功能却既没人喊也没预算。

② 核心主张

技术变化快、人与文化变化慢，所以这本书 1988 年的原理至今不过时——「技术会变，人不变」。在真实商业世界里，HCD 理想会被竞争、成本、进度三座大山压垮：厂商主要靠价格、功能、质量竞争（很不幸常按这个重要性排序），加上速度焦虑，逼出无尽的功能、复杂与混乱。设计的成败最终只由市场判定：「人们不买的设计就是失败的设计，无论设计团队自我感觉多好。」

③ 论据 / 推演 / 前提

• 竞争压力：Norman 拿自己投资的烹饪设备初创公司举例——还没出第一款产品，竞品已在展会上亮出类似概念，这不是抄袭，是「时代精神（Zeitgeist）」，点子「就在空气里」。还点破一个反直觉事实：对初创公司而言，真正的客户是分销商，不是最终用户。引 Harvard 教授 Youngme Moon《Different》：一味对标竞品会让所有产品趋同（feature-by-feature 一样，顾客就没理由偏好谁）；正解是聚焦自己最强的点、把它做得更强、营销只打强项，弱项里无关紧要的就忽略——「别盲目跟随；在其他方面『足够好』就行」。正面榜样是 Bezos 的「客户至上（customer obsessed）」：无视竞品与传统营销教条，只问客户要什么；但这通常只有创始人当 CEO 时做得到。

• 新技术倒逼改变：图中横跨一百年的电话与键盘是绝佳注脚——1910 年代的摇柄电话与 2010 年代的智能手机「看似毫无共同点」，但 1910 年代键盘与今天的键盘布局几乎一样，只是从机械按压变成手指滑动（图中 D 是 Nuance 的 Swype 手势键盘，正在划出单词 many）。Norman 由此谈设备合体：电脑、电话、相机融成他称之为「智能屏（smart screens）」的东西，并预言 22 世纪我们仍会远程交谈，但不会再有叫「电话」的设备。一个深刻细节：手势键盘本可重排字母以提速，IBM 的 Shumin Zhai 试过，却撞上遗产问题（legacy problem）——人们只认 QWERTY，宁可不改。

• 一款新产品要多久才能问世并成功：发明者爱以为「点子→成功」是几个月的单一过程，实则是多个过程、总时长以几十年甚至几个世纪计。常被当「快」的例子也一样：多点触控在多伦多大学早于 1980 年代初就有，却花了近 30 年才便宜可靠到能进消费市场（苹果收购濒临破产的 Fingerworks 才补上最后一块）。Norman 给出经验法则：实验室首秀到商用约 20 年，商用首发到普及再 10–20 年，而且大多数创新彻底失败、根本到不了大众面前；连最终成功的也常在首次推出时失败（杜里埃汽车、最早的打字机、最早的数码相机、1975 年 Altair 8800 电脑）。

• 1879 年就构想的可视电话，至今仍未真正到来：Punch 杂志插画家 du Maurier 在电话发明仅两年后（1878 年）就画出了「电传可视镜」——一家人晚上在卧室壁炉上方架起电动暗箱，看着地球另一端的孩子并隔着电线愉快交谈。Norman 借此讲Stigler 定律：名人常被安上他没干过的发明（这画署名爱迪生，与他无关）。产品世界里「想出点子是容易的那部分，真正做成产品才难」——这幅可视电话从构想到勉强实现已过去一个半世纪：1920 年代才造出能用的、1930 年代德国出首个产品并失败、美国 1960 年代才试也失败，直到 21 世纪初才起势。

• 打字机键盘的漫长演化与 QWERTY：Christopher Latham Sholes 在 1870 年代设计出今日标准键盘，后来成了 Remington——第一台成功的打字机（Remington 也造缝纫机，所以早期打字机带脚踏板，演化成「回车」键）。字母为何不按字母表排？因为早期长杆字锤相邻就易卡住，Sholes 便把常连写的字母分开排，几经迭代成了 QWERTY。Norman 纠正一个流行谬误：QWERTY 不是为了「拖慢」打字，而是让字锤以大角度相遇减少碰撞，客观上还加快了速度（常见字母对被分到两只手）。另有个未证实的故事：销售员为了能在第二排打出 typewriter 一词而挪了键位（图 B 显示早期 Sholes 键盘第二排是句号「.」而非 R）。教育心理学家 August Dvorak 在 1930 年代造出确实更优的 Dvorak 键盘，但 Norman 自己实验室的数据显示它只比 QWERTY 快一点点，「不值得为此颠覆遗产」——「『足够好』再次胜出」。

• 两种创新：渐进式与激进式：人们爱想着激进式，但最常见、最强大的其实是渐进式（incremental）。汽车自 1888 年 Benz 的激进发明后，靠一个多世纪的渐进改良才变得更安静、更快、更安全、更便宜。渐进的技术本质是「爬山法（hill climbing）」——蒙眼试探，只往上走，但只能爬到出发那座山的山顶，找不到更高的山；想换山就得激进式（radical）创新，可它「找到更差的山的概率和更好的一样大」。激进创新由新技术（真空管、晶体管、GPS）或对技术含义的重新定义（互联网把出版/电话/电视/音乐业「坍缩」成统一的信息提供者）驱动，改变范式但极少成功。Norman 点名教育、交通、医疗、住房最该被激进变革。

• 《设计心理学》1988–2038 与全书收束：见下方「Norman 的收束观点」。