Khi tai nạn xảy ra, ta quen đổ cho "lỗi con người" rồi dừng lại. Nhưng con người vốn hay sai — nhiệm vụ của thiết kế là chấp nhận điều đó và dựng nên hệ thống chống chịu được lỗi.
Vì sao lại có lỗi
Con người không phải là cỗ máy chính xác. Ta xuất sắc ở tư duy sáng tạo, linh hoạt, ứng biến — nhưng kém ở việc lặp lại chính xác, tập trung không ngơi nghỉ, ghi nhớ chi tiết tùy tiện. Khi thiết kế đòi hỏi con người hành xử như máy móc (tuyệt đối chính xác, không xao lãng), lỗi là điều tất yếu. Nhiều "lỗi" còn do các yếu tố như mệt mỏi, thiếu ngủ, căng thẳng, và áp lực từ xã hội & thể chế.
Vi phạm cố ý
Cần phân biệt lỗi với vi phạm có chủ đích — khi người ta cố tình bỏ qua quy tắc an toàn (thường vì quy tắc phi thực tế hoặc vì áp lực năng suất). Đây không hẳn là "lỗi" theo nghĩa tâm lý, mà là hệ quả của bối cảnh tổ chức đặt con người vào thế phải chọn giữa an toàn và hoàn thành công việc.
Phân tích nguyên nhân gốc & "Năm câu hỏi Tại sao"
Root Cause Analysis: đừng dừng ở triệu chứng bề mặt. Kỹ thuật "Năm lần hỏi Tại sao" (Five Whys) của Toyota: cứ hỏi "tại sao?" nhiều lần liên tiếp để truy về nguyên nhân sâu xa thật sự. Thường thì nguyên nhân cuối cùng không phải "người vận hành bất cẩn" mà là một khiếm khuyết trong thiết kế hoặc quy trình.
Hai loại lỗi: Sai sót (Slips) và Nhầm lẫn (Mistakes)
Đây là phân loại nền tảng của cả chương:
Sai sót (Slips)
Mục tiêu đúng nhưng hành động thực hiện sai. Bạn biết mình muốn gì nhưng cơ thể/thao tác đi lệch. Thường xảy ra với việc quen thuộc làm trong vô thức.
Nhầm lẫn (Mistakes)
Chính mục tiêu hoặc kế hoạch đã sai. Bạn thực hiện đúng ý định, nhưng ý định đó dựa trên hiểu biết sai về tình huống. Nghiêm trọng và khó phát hiện hơn.
Phân loại sai sót (Slips)
- Sai sót do bị "bắt cóc" (capture): một chuỗi hành động quen thuộc hơn "chiếm quyền" chuỗi bạn định làm.
- Sai sót do tương tự mô tả (description-similarity): hành động đúng nhưng lên nhầm đối tượng giống nhau (bỏ đồ vào thùng rác thay vì bồn rửa).
- Sai sót do quên trong bộ nhớ (memory-lapse): quên một bước, bỏ dở giữa chừng (để quên bản gốc trong máy photocopy).
- Sai sót do nhầm chế độ (mode-error): hành động đúng nhưng thiết bị đang ở chế độ khác với bạn tưởng.
Phân loại nhầm lẫn (Mistakes)
- Nhầm lẫn theo quy tắc (rule-based): chẩn đoán sai tình huống nên áp dụng nhầm quy tắc.
- Nhầm lẫn theo tri thức (knowledge-based): gặp tình huống lạ, không có quy tắc, mô hình khái niệm sai dẫn tới quyết định sai.
- Nhầm lẫn do quên (memory-lapse): quên mất mục tiêu hoặc bước trong quá trình đánh giá.
Áp lực xã hội và thể chế
Norman phân tích các thảm họa (hàng không, y tế) để cho thấy lỗi hiếm khi do một cá nhân. Áp lực hoàn thành đúng lịch, thứ bậc quyền lực khiến cấp dưới ngại lên tiếng, văn hóa đổ lỗi khiến người ta giấu sai sót — tất cả cùng góp phần. Ví dụ về ngành hàng không cho thấy cách phân vai và văn hóa buồng lái ảnh hưởng tới an toàn.
Báo cáo và phát hiện lỗi
Muốn học từ lỗi, tổ chức phải khiến việc báo cáo lỗi trở nên an toàn và được khuyến khích, thay vì trừng phạt. Norman ca ngợi Hệ thống Báo cáo An toàn Hàng không của NASA (ASRS): người báo cáo lỗi của chính mình được miễn trừ hình phạt, nhờ đó dữ liệu sai sót được thu thập để cải tiến hệ thống cho tất cả.
Jidoka — bất kỳ công nhân nào phát hiện vấn đề đều có quyền (và trách nhiệm) dừng cả dây chuyền để khắc phục ngay tại chỗ. Poka-yoke — "chống nhầm": thêm những ràng buộc vật lý đơn giản khiến thao tác sai trở nên bất khả thi (một chi tiết chỉ lắp được đúng chiều).
Vì sao ta "giải thích cho qua" nhầm lẫn
Con người có xu hướng bào chữa cho các dấu hiệu bất thường ("chắc không sao đâu"), nên nhầm lẫn thường không được phát hiện cho đến khi quá muộn. Norman kể ví dụ rẽ nhầm trên cao tốc và cách ta liên tục hợp lý hóa thay vì thừa nhận sai. Thêm vào đó là thiên kiến nhận thức muộn (hindsight bias): sau khi biết kết quả, chuỗi sự kiện tưởng như hiển nhiên và đáng lẽ phải thấy trước — nhưng tại thời điểm xảy ra, nó không hề rõ ràng. Điều này khiến ta đánh giá bất công những người trong cuộc.
Bài học thiết kế từ nghiên cứu về lỗi
- Thêm ràng buộc để chặn lỗi: làm cho hành động sai khó hoặc không thể thực hiện.
- Cung cấp lệnh Hoàn tác (Undo): khiến lỗi có thể đảo ngược, giảm hậu quả.
- Xác nhận & thông báo lỗi: nhưng phải khéo — hỏi xác nhận quá nhiều khiến người dùng bấm "OK" theo phản xạ.
- Kiểm tra hợp lý (sensibility checks): hệ thống cảnh báo khi giá trị nhập vào phi lý (ví dụ liều thuốc gấp 10 lần bình thường).
- Giảm thiểu sai sót: thiết kế thao tác khác biệt rõ ràng, tránh các bước giống nhau dễ lẫn.
Mô hình "lát phô mai Thụy Sĩ"
Norman giới thiệu Swiss Cheese Model của James Reason: mỗi lớp phòng vệ như một lát phô mai có lỗ; tai nạn chỉ xảy ra khi các lỗ ở nhiều lớp tình cờ thẳng hàng. Hàm ý thiết kế: đừng dựa vào một lớp phòng vệ duy nhất; hãy thêm nhiều lớp và giữ cho các "lỗ" không trùng nhau. Loại bỏ một nguyên nhân đơn lẻ hiếm khi ngăn được tai nạn — cần cách tiếp cận hệ thống.
Khi con người thực sự có lỗi & Kỹ thuật khả năng phục hồi
Norman thừa nhận có những trường hợp con người thực sự đáng trách, nhưng đó là ngoại lệ hiếm. Ông cũng bàn về resilience engineering (kỹ thuật giúp hệ thống phục hồi và thích ứng trước sự cố) và nghịch lý của tự động hóa: tự động hóa xử lý tốt phần dễ, nhưng khi nó gặp tình huống ngoài khả năng và đột ngột "trả tay lái" cho con người, người vận hành lại không đủ ngữ cảnh để ứng phó kịp.
Hiểu nguyên nhân lỗi và thiết kế để giảm thiểu chúng · Cho phép hoàn tác, hoặc khiến hành động khó-đảo-ngược khó thực hiện · Giúp phát hiện lỗi dễ dàng và sửa chữa đơn giản · Đừng coi hành động sai là lỗi — hãy giúp người dùng hoàn thành đúng mục tiêu. Hãy đối xử với con người như con người.