第17章エラーと復旧：コントロール感を奪わない方法

初心者の間違いはユーザーの欠陥ではなく、画面がまだ教えられていないことの証拠だ。

よい最初の体験とは、ユーザーが一度も失敗しない体験だと、私たちはひそかに信じている。

だから、最初の画面を作るとき、最初にすることがミスの防止になる場合が多い。元に戻せないボタンを隠し、間違えられる選択肢をなくして一本道だけを歩かせ、ユーザーが転ばないよう道を平らにする。だが、この親切には罠がある。転ぶことがまったくない道は、歩く面白さもない。一度も詰まらず、一度もきわどくならず、何を押しても同じようにうまくいく体験は、安全な代わりに退屈だ。

本章は、この矛盾から始まる。失敗の可能性は取り除くべき欠陥ではなく、うまく扱うべき素材である。不安と緊張がなければ、成功の喜びもない。詰まりそうになって解ける瞬間、負けそうになって勝つ瞬間が、最初の体験を生きたものにする。だから本章の仕事は、失敗をゼロにすることではない。失敗を経験しても、その失敗が人を追い出さないように、言い換えればコントロール感を奪わないように扱うことだ。ミスの痕跡を後から数字として読む作業は第5部の測定へ送り、ここではミスが起きたまさにその瞬間、画面が人をどう扱うかを見る。

同じ間違いでも、人を引き留める画面と追い出す画面

架空のキャラクターゲームへ戻ろう。キャラクターを集め、会話し、短い映像を見る、あのモバイルゲームだ。ユーザーは時間をかけてキャラクターの色と模様を選び、気に入るように飾り終えた。ところが手が滑り、「リセット」ボタンを押してしまった。画面がどう答えるかで、その後が分かれる。

悪い方はこうだ。押した瞬間、警告も確認もなく、キャラクターが初期状態に戻る。派手な失敗画面さえなく、画面は何事もなかったように平然としている。ただ、今かけた5分だけが消え、元に戻る道はどこにもない。この処理は作り話の誇張ではなく、今もよく出会う現実だ。ユーザーはあきれてしばらく止まり、また初めから色を選ぶ気になれず、アプリを閉じ、二度と開かない。その人が失ったのは5分ではなく、コントロール感だ。自分の手が触れる場所で、自分の意図と関係なく何かが起こり、それを元に戻せなかったからである。よりよい方はこうだ。「リセット」を押すと、まず「本当にすべて消しますか？今飾ったものが消えます」と表示され、ユーザーは「いいえ」を押して胸をなで下ろす。さらによい方は、リセットが実行されても、画面の一方に「元に戻す」がしばらく明確に表示され、押し間違えても一度で元の状態に戻れる。何をしても元に戻せると分かっているため、ユーザーは怖がらず、あれこれ触ってみる。同じ間違いなのに、最初の画面が人を追い出すことも、より大胆にすることもある。

同じ原則は、私たちが毎日使う道具にも入っている。メールを送った直後、画面下部に短く表示される「送信を取り消す」がよく例に挙げられる。送信を押した後で、宛先を間違えたことや添付の忘れに気づいても、数秒以内なら、そのボタン一つで送ったメールが手元へ戻る。興味深いのは、この機能を一度も押したことがない人も恩恵を受ける点だ。元に戻せるという事実だけで、人は緊張を減らして送信を押せる。戻る道は、ミスの後だけに使われるものではなく、ミスをする前の人を大胆にする。最初の画面の「元に戻す」も同じ働きをする。

MEJE IDONG WORLDでは、この差がさらに大きく開く。IDONGと出会い、飾り、世話をするのはファンであり、ファンが時間をかけて飾る途中で手を滑らせ、押し間違えるのは正常なことだ。苦労して飾ったものを一度に失ったとき、「あなたが消したのだから最初からやり直せ」と答える画面はファンを落胆させ、その落胆がそのまま離脱になる。反対に、何を押しても大事にはならず、間違えてもすぐ戻る画面は、ファンに安心してあれこれ押させる。そこでIDONG WORLDでは、飾り付け画面で触れたすべての変更を、動作一回の単位で自動保存することにした。リセットを押しても、途中でアプリが閉じても、最後に触れた姿がそのまま残り、戻ったファンの前に再び開く。直前の姿へ戻る道も、しばらく画面に表示される。ファンの最初の体験は、間違えても大丈夫な飾り付けであるべきで、一度間違えれば罰を受ける試験であってはならない。

エラーを扱う六つの心構え

失敗をうまく扱うことは、曖昧な親切ではなく、いくつかの明確な原則に分けられる。ただし、六つを同じ列に並べる前に、層を分けておく。第一は、何を作るかについての設計哲学であり、残り五つは、その哲学が残した失敗をどう扱うかについての処理原則だ。

まず、一つの哲学を立てる。挑戦と克服が核心となる体験では、失敗を残す。負けることも、間違えることもあってこそ、勝ったときにうれしく、正解したときに誇らしい。一方、世話、観察、創作型の体験は、敗北を設けなくても、リズムと愛着によって深さを作れる。失敗を残すなら、その体験の中心的な面白さに必要な分だけ残し、致命的にはしない。

このように失敗を残すと決めたら、その失敗を扱う五つの原則が続く。

復旧できるようにする。人が間違えたとき、その場所から戻る道がなければならない。元に戻す、やり直す、前へ戻る。人を行き止まりに閉じ込めない。

ユーザーが直せない荷物を背負わせない。ユーザーが手を出せない問題をユーザーのせいにしないという意味だ。サーバーが遅いために起きた停止を「接続が不安定です」と押し付ければ、ユーザーは自分では直せないことで責められる。システムが起こした問題は、システムが引き受ける。

コントロールをユーザーの手に置く。今何が起きているのか、それを止めたり取り消したりできるかが、ユーザーの手にあるべきだ。ユーザーが始めていないことが、許可なく進めば、自分は運転席ではなく助手席に座っていると感じるからだ。

情報を失わせない。ユーザーが注ぎ込んだものを消してはならない。丹念に飾ったキャラクター、書き込んだ名前、選んだ設定が、小さなミスや一度のエラーですべて飛べば、その損失の記憶が再挑戦する気持ちを阻む。

作業の流れを切らない。何かをしている途中で突然大きなウィンドウを出して流れを塞いだり、していたことを最初へ戻したりしない。エラーを知らせる場合も、ユーザーがしていた場所から続けられるようにする。

ここで、哲学と処理原則が互いを削るのではないかという疑問が出るかもしれない。何を押しても取り消せ、何も失わないなら、失うかもしれないという感覚そのものが消え、緊張の源が空になるのではないか。答えは、失う対象を分けることにある。復旧が守るべきものはユーザーの所有物と進行であり、緊張を懸けるべきものは今回一度の試みだ。タイムループ宇宙探査ゲームの『Outer Wilds』は、この区分を明確に示す例としてよく挙げられる。22分ごとに太陽が爆発し、主人公はループの初めへ戻るが、それまでに得た知識と宇宙船の探査記録はすべて残るとされる。失うのは今回のループ一度で、残るのは進行のすべてだ。死の緊張は鋭く生きているのに、死んで実際に失うものはほとんどない。無限の復旧と生きた緊張は、このように共存する。今回の試みは失敗できるようにしつつ、その失敗がこれまで積み上げたものを崩せないようにすればよい。

この六つを一つの画面へ一段ずつ適用する方法がある。同じエラー地点を、悪い処理、よりよい処理、最もよい処理という三段階で比較する。悪い処理はユーザーを行き止まりに置き、よりよい処理は脱出する扉を開き、最もよい処理は、そもそも怖がらせない。三段階を並べれば、今の画面がどこにいるかが見え、一段上げる道も見える。パスワードを間違える地点を例にすれば、悪い方は「エラー」とだけ表示し、入力したものをすべて消す。よりよい方は、何が間違っているかを伝え、入力は残す。最もよい方は、間違える前に条件を示し、間違えても直す場所だけを指す。この三段階をエラー地点ごとに適用して描き直す精密な作業は、付録Cのエラー処理のはしごへ送る（→ 付録C）。本文では、そのはしごが存在すること、そして自分たちの画面はいつでも一段上を目指せることだけを覚えておく。

死んでやり直すのがゲームだという、古い約束

エラーを扱う章なので、今度はゲームの慣習を検問所へ呼ぶ番だ。実際には一つではなく一組で、ゲームオーバー、セーブとロード、コンティニュー、そして意図的に苛酷にしたハードコア難易度まで、「ゲームは死んでやり直すものだ」という古い約束である。

この約束が何を当然と前提にするかから見る。ゲームで失敗は終わりではなく、拍子だ。死ねばゲームオーバー画面が出て、最後に保存した地点から始め直し、コインを入れるようにコンティニューで続ける。ある人はわざと最も難しい難易度を選び、より多く死ぬことを選ぶ。この枠組みは、ゲームセンターの時代から育ってきたゲームの深い文法だ。ゲーマーにとって死は罰ではなく学びである。一度死んで初めて敵のパターンを覚え、再挑戦してついに勝つ。その過程全体がゲームの面白さだ。セーブとロードは、損失を恐れず実験させる安全装置であり、この約束の中でゲームオーバーは挫折ではなく、次の試みの出発線である。

一般の人は、この約束を共有しない。生涯ドラマを見てきた人にとって、赤い「GAME OVER」は次の挑戦ではなく、「あなたは失敗しました」という判定として読まれる。その人は次の話を待つために来たのであって、同じ場面をもう一度見るために来たのではない。無限スクロールのショート動画に慣れた人にとって「最後のセーブ地点からやり直す」は、今見た映像を最初から強制的に見せられることと同じだ。オンラインショッピングでカートへ品物を入れることに慣れた人にとって、一瞬の間違いで進行がすべて消える体験は、決済直前にカートを空にされるような理不尽さだ。ゲーマーはゲームオーバーを「もう一度」と読むが、初めて来た人は「ここまで」と読む。同じ赤い文字が、一方には招待で、もう一方には追放となる。

この約束が一般の人に課す料金は、コントロール感の喪失と挫折だ。死んでやり直せという画面は、今かけた時間を取り消し、同じ道をもう一度歩けと求める。初めて来た人にとって、それは学びの拍子ではなく、時間を奪われた出来事だ。より難しい難易度を勧める画面は、ゲーマーには挑戦状だが、一般の人には「これはあなたに合わない」という通告だ。一度死んだだけで最初へ戻されれば、ユーザーは自分が何を間違えたかより、何を失ったかを先に数える。

失敗を処罰ではなく拍子に変えた例は、ゲームの中にもある。難しさで知られるあるインディーのプラットフォームゲームは、死んでも罰を与えず、その区間の最初からすぐ再開させるだけで、積み上がった死亡回数はチャプターの最後で初めて見せる。だが、その数字を恥ではなく、「これだけ耐えて最後まで来た」という証しとして読ませるという。簡単に助けるモード、すなわちアシストモードをオン・オフする説明文も、何かを奪うのではなく、より多くの人をこの体験へ届けるためだという言葉に変えたとされる。同じ死でも、画面が差し出す言葉が違えば、人がそれを挫折として受け取るか、拍子として受け取るかが分かれる。

残す本質と、減らす殻を分ける。失敗が与える緊張と、やり直して成功する喜びは残し、死を処罰にする部分を捨てる。最初の体験では「ゲームオーバー」という言葉を消し、失敗を「もう一度やってみますか？」へ変える。詰まった場所から最初へ戻す代わりに、詰まったその地点ですぐ再開させる。保存をユーザーが管理する宿題にせず、ユーザーがしたすべてをシステムが自動的につかんでおく。難易度は初めから選べと突き付けず、ユーザーの詰まり方を見て、静かに合わせる。失敗の価値は生きたまま、失敗がユーザーから時間とコントロール感を奪わない。そこまでが最初の体験の責任である。死んでやり直す深い面白さは、ユーザーがこの世界を十分好きになった後、ゆっくり取り出せばよい。

▶ 自分の画面に当てはめる三つの問い

この画面は、失敗をユーザーのせいにしていないか。

戻る道がひと目で見えるか。

間違いは処罰か、拍子か。三つのうち一つでもユーザーを責めるか、行き止まりに閉じ込めるなら、その失敗は人を追い出す。

だから、防ぐ前に戻る道から設計する

失敗を素材として見ると、最初の体験でエラーを設計する順序が変わる。ミスをどう防ぐかを先に尋ねる代わりに、ミスが起きた後、どう戻るかを先に設計する。人はいずれにせよ間違え、散漫であればさらに頻繁に間違える。防止に力を使い切るのではなく、間違えても大事にならず、すぐ戻れる道を先に敷く。

すると、挑発的に聞こえる命題が一つ続く。戻る道が頼もしいなら、危険なボタンをあえて隠す必要はない。何を押しても取り消せる画面では、防がなければならないもの自体が減るからだ。もう一歩進めば、「本当によろしいですか？」の行列もほとんど取り除ける。確認ポップアップは、本質的に復旧がないときの応急処置であり、元に戻せない動作の前でだけ正当化される。取り消せる動作のたびに確認を求める画面は、安全になるのではなく鈍くなるだけだ。人はすぐに内容を読まず「はい」を押す習慣が付き、本当に取り消せない動作の前の確認まで無力にする。だから確認ウィンドウを一つ出したくなるたび、先に尋ねるべきだ。この動作に「元に戻す」を付けられないか。

この順序が正しかったかは、数字が語る。失敗をうまく扱えたかは、失敗した後に再び試す比率として表れる。人がどこで詰まり、詰まった後に再挑戦するか、そのまま去るかを見る。詰まった場所で再び挑戦する人が多ければ、それはもう一度やりたい失敗だった。詰まった場所で人がすぐ消えれば、それはコントロール感を奪った失敗だった。最初の失敗直後に人がとどまるか去るかが、失敗を拍子にしたか、処罰にしたかを映す。

参考コンテンツ

本章の概念が表れる、ほかのメディアの事例。

ビデオゲーム

『Celeste』のアシストモード：死を処罰ではなく拍子として扱い、チャプター終了時の死亡回数を、最後まで耐えた証しとして読ませる。モードのオン・オフを説明する文章も、何かを奪うのではなく、難しさのために届かなかった人まで迎え入れる言葉で書かれている。後に「難易度を下げる」という最初の文を、「自分の必要に合わせてルールを調整する」へ整え、より柔らかくしたとされる。死の扱い方だけでなく、案内文の語り口そのものも参考になる。
『DARK SOULS』の篝火、ソウル回収、「YOU DIED」：死んでも直前の拠点から再開し、失ったものを一度は取り戻せるようにする。一方、赤い文字はゲーマーには招待、一般の人には追放に分かれる。
『Outer Wilds』：死ぬと22分のタイムループの最初へ戻るが、その間に得た知識と宇宙船の記録はそのまま残り、実際には何も失わない。進行を点数や装備ではなく、ユーザーが知ったことに置けば、死が損失でなくなる点を参照できる。 一般アプリ
Gmailの送信取り消し：送信直後の数秒間、戻る道を表示し、一度も押したことがない人まで、緊張を減らして送れるようにする。
パスワード条件の事前表示：間違える前に条件を示し、間違えても入力を消さず、直す場所だけを指す。

残りの参考コンテンツは本文末の「第17章付録」にまとめた（単行本では付録Dに収録する）。

設計ノート ▶ 自分で試す

ゲームの最初の体験で、ユーザーが間違えたり、詰まったりし得る場所を三つ探す。押し間違えるボタン、間違えられる入力、行き止まりになる選択などだ。

三か所それぞれについて、今の画面がどう答えるかを一行で書き、その隣で問う。これはユーザーが直せない荷物を背負わせているか。ユーザーが注ぎ込んだものを失わせるか。していた流れを切るか。一つでも当てはまれば、その場所を一段上げ、行き止まりに扉を一つ作る、消えていたものをつかんでおく、切れていた流れをつなぐ方向へ書き直す。

三か所のうち、「ゲームオーバー」や「最初からやり直す」の匂いがする場所があれば印を付ける。そこで画面は死を処罰にしている。失敗の緊張は残しながら、処罰を減らす方向へ直してみる。精密な再設計は、付録Cのエラー処理のはしごへ続く（→ 付録C）。

間違いをユーザーのせいにする画面は人を追い出し、戻る道を先に敷いた画面は人を大胆にする。自分たちの画面がどちらなのかから見分ける。

一行要約：失敗の可能性は取り除くべき欠陥ではなく、緊張と喜びを与える素材だ。ただし、その失敗がコントロール感を奪ってはならない。復旧できるようにし、ユーザーが直せない荷物を背負わせず、注ぎ込んだ情報を失わせず、していた流れを切らない。ゲーマーには当然のゲームオーバー、セーブ／ロード、コンティニュー、ハードコア難易度も、初めて来た人には挫折とコントロール感の喪失になる。死を処罰にする部分を減らし、もう一度成功する喜びだけを残す。次章：ここまでが、最初の体験の中で人を扱う方法だった。押し、反応を受け、散漫になり、間違える人。今度は視線を画面の中から外へ移す。人は最初の画面を開くずっと前に、すでに私たちへの期待を抱いて来る。その期待をどこで、どう植えるか。予告と第一印象の話から第4部を始める。

第17章付録：参考コンテンツ集

ここに集めたのは、失敗をなくす代わりに復旧を先に敷くという本章の論点が、ゲームの内外でどう現れるかを示す参考事例である。メディア別の小見出しでまとめ、各項目の末尾に、設計者が何を観察するとよいかを「見るべき点」として付けた。本文が立てた枠組み、すなわち、失敗は残してもコントロール感を奪わないという哲学、緊張は今回一度の試みに懸け、積み上げた進行と所有は守るという掛け金の区分、そしてシステムの間違いをユーザーへ押し付けない語り口を念頭に置けば、事例ごとに失敗が何を失わせ、何を守るか、その失敗が処罰として読まれるか、拍子として読まれるかが見えるだろう。

ビデオゲーム

『Super Meat Boy』（2010）：死ぬと即座にその区間の最初から再開し、失敗と再挑戦の間隔をほぼゼロにする。区間をクリアした後は、それまで死んだ試みが一画面に重なり、同時に走るリプレイを見せる。積み上がった死が恥ではなく記録になる。見るべき点：再開が速いほど、失敗が処罰から拍子へ変わる原則とともに、死の痕跡を見世物として返す結びまで見よう。失敗の処理には、直後の速度と、事後の意味付けという二つの層がある。
『プリンス・オブ・ペルシャ時間の砂』（2003）／『Braid』（2008）：間違えた直後、短剣で時間を巻き戻し、自分の死まで同じ軌跡から取り消す。落ちて死ぬと、語り手である王子が「いや、そうなったのではない」と物語を言い直し、直前へ戻す。死を「失敗」ではなく「語り間違えた物語」と呼び直す、その一言が同じ失敗を処罰ではなく拍子へ変える。見るべき点：巻き戻しという仕組みとともに、失敗を呼ぶ語り口が体験の質感を変える点を見よう。同じ機能でも、画面が差し出す文によって、人が受け取るものは変わる。
コンソールとPCの自動保存、『どうぶつの森』のリセットさん：初期の『どうぶつの森』では、保存せず電源を切ると、モグラのリセットさんが現れ、長く説教した。自動保存が標準になった『あつまれどうぶつの森』（2020）では、システムが進行を自動的につかんでおき、叱る役割まで消えた。見るべき点：保存がユーザーの宿題だった時代が終わると、責めるキャラクターも同時に必要なくなったという順序を見よう。システムが責任を引き受ければ、ユーザーを叱る理由自体が減る。
『Hades』（2020）：死を進行の終わりではなく、物語の拍子にする。死んで家へ戻るたび、ヒュプノスのような人物が、今回は何にやられたかを指摘し、死ぬたびに別の台詞を聞かせる。見るべき点：失敗のたびに新しい物語を添え、死そのものが報酬になる構造を見よう。失敗直後が人の最も去りやすい瞬間なら、まさにその瞬間に何を握らせるかを決めておいた事例だ。
『Cuphead』（2017）のボス戦再挑戦画面：死ぬと、ボスのどの段階まで通過したかが進行線上に表示され、「ここまで来た」をひと目で見せ、すぐそのボスの最初から再開させる。見るべき点：失敗画面が、失ったものではなく、どこまで進んだかを先に見せることを見よう。進捗が見えれば、同じ失敗ももう一度試したい失敗になる。
『スーパーマリオ』の「おてほんプレイ」と無敵の葉：『New スーパーマリオブラザーズ Wii』（2009）以降、同じ区間で何度も死ぬと、手本のプレイを見せるブロックが現れる。後の作品では、無敵になる白いたぬきの葉のようなアイテムを静かに差し出すとされる。初めから難易度を選べと迫らない。見るべき点：助けが事前の選択ではなく、詰まり方を見た後の提案として来る順序を見よう。尋ねる前に観察し、観察した後で初めて手を差し出す。

文学

『Zork』のようなインタラクティブフィクションのセーブと取り消し：選択を取り消し、別の道を試せるようにし、間違いを行き止まりにしない。見るべき点：取り消せるという保証が、読者をより大胆な選択へ導くことを見よう。復旧が探索の量を増やす。

ボードゲーム

『パンデミック』の入門プレイのような、協力ゲームでの手戻し許可：初めて学ぶ人が明らかなミスをしたら、一手を戻し、最初のプレイを処罰にしない。見るべき点：規則の厳密さよりも、最初のプレイ体験を守る運用を見よう。手戻しを認めてもゲームは壊れず、次のプレイを呼ぶ。熟練者同士では同じ手戻しが緊張を削るため、復旧装置にも対象と時期があると分かる。

映画

『オール・ユー・ニード・イズ・キル』（2014）／『恋はデジャ・ブ』（1993）：主人公が死ぬたびに同じ日の初めへ戻るが、記憶と熟練は積み上がり、死は終わりではなく、次の試みのための練習になる。見るべき点：失うのはその一日だけで、学んだものはすべて残るという掛け金の区分が、映画文法へ移された姿を見よう。ゲーマーが一回のプレイを学ぶ過程を、ゲーム外の観客へ説明するよい橋になる。

アニメーション／漫画

『Re:ゼロから始める異世界生活』の「死に戻り」：死ぬと決められた地点へ戻ってやり直すが、死の苦痛と記憶はそのまま抱えて帰る。見るべき点：復旧に代価を付けた変形として見よう。何でも元に戻せるが、無料ではないという強度を測るのに適している。戻ってもユーザーが経験したことは残るという点が、復旧設計の感情面を気づかせる。

実写テレビ／ドラマ

生放送の事前収録と遅延送出：事故が起きても放送前に元へ戻せる短い隙間を置き、直せないミスがそのまま出ないようにする。見るべき点：取り返せない動作の前に、意図的に遅延を挟み、復旧の隙間を作る方法を見よう。確認ウィンドウを出す代わりに、時間を稼ぐ道もある。

音楽

録音のパンチイン（間違えた小節だけを録り直す）：曲全体を最初から歌い直さず、詰まったその小節だけから再開する。見るべき点：「詰まった場所ですぐ再開」が、最初へ戻すこととどれほど違う体験かを見よう。うまくいった部分を守ることが、再挑戦の意欲を守る。

一般アプリ

取り消し（Ctrl+Z）、ごみ箱、復元期間：何をしても取り消せ、削除したものも、しばらく戻せる時間を置く。見るべき点：戻る道が頼もしければ、危険な動作をあえて隠したり、確認ウィンドウで止めたりする必要が減るという本文の命題を見よう。削除ボタンが怖くない理由は、ごみ箱にある。
サーバーエラーの案内画面（GitHubの「ユニコーン」500ページなど）：システムが起こした障害をユーザーのせいにせず、あなたが何かを間違えたわけではないという調子で軽やかに知らせる。見るべき点：した、しなかったという叱責ではなく、解決へ視線を向ける、非難のない語り口を見よう。間違いの所在を明確にシステム側へ置く一文が、信頼を守る。
GoogleドキュメントとFigmaの常時自動保存、バージョン履歴：保存ボタンが別になく、すべての変更がすぐ保たれ、必要なら数日前のバージョンへ戻れる。見るべき点：「情報を失わせない」を機能ではなく初期値にした事例として見よう。保存が宿題でなくなれば、人は失う心配なく実験できる。
寛容な入力処理：電話番号のハイフンや空白、カード番号の区切りを、入力欄が自動的に受け入れる。形式が少し違っても意味が通れば通過させ、機械が合わせられるものをユーザーに合わせろと言わない。見るべき点：エラーをうまく処理するより前の段階、すなわち、そもそもエラーにしない設計として見よう。ユーザーが直せない荷物を背負わせないという原則が、入力欄の単位まで降りた姿だ。
Steamの返金ポリシー：プレイ2時間以内、購入14日以内なら、大きな理由を問わず返金する。購入という戻しにくかった動作に復旧の道が生まれると、知らないゲームもまず試してみる人が増えたとされる。見るべき点：元に戻せるという事実が、ミスの後ではなく、試す前の人を大胆にするという本文の原則が、商取引の規模でも通じるかを見よう。
銀行の振込遅延サービス：申し込んでおけば、振り込んだお金が一定時間後に入金され、それまでは取り消せる。振り込め詐欺や誤送金を元に戻す隙間が生まれる。韓国では2015年から導入されている。見るべき点：元に戻せない動作へ意図的に一層の遅延を入れ、復旧の窓を用意した設計として見よう。一度の確認ポップアップより、一層の遅延が強い安全装置になる場合がある。

機械装置／家電UX

電子レンジと洗濯機のエラーコード表示：停止の原因をユーザーのせいではなく、機器の状態として明確に知らせる。見るべき点：原因の所在を機械側に置く表示が、ユーザーの自責を防ぐことを見よう。ただし、コード自体は作る人の言葉なので、コードとともにユーザーの言葉を一行添えられるかも検討するとよい。
エレベーターのボタンを二度押して取り消す：押し間違えた階を、その機械の前ですぐ取り消せるようにする。対応の有無は機種によって異なるとされる。見るべき点：復旧手段があっても、その存在が知られていなければ、ないのと同じだ。戻る道は作るだけでなく、見えるようにしなければならない。
自動車の始動とギアの確認手順：元に戻せない動作の前に物理的な段階を一つ置き、一瞬のミスで大事にならないようにする。見るべき点：元に戻せない動作の前だけに段階を足すという選別を見よう。すべての動作に段階を足せば鈍くなるだけで、戻せない動作にだけ足してこそ安全になる。
無人キオスクの「最初から」ボタン：注文画面のどこでも、最初へ戻るボタンが同じ位置に表示され、道に迷った人を行き止まりへ閉じ込めない。見るべき点：復旧経路がいつも同じ場所に見えるという事実自体が、コントロール感を守ることを見よう。実際に押す人より、ボタンがあると知って安心する人の方が多く恩恵を受ける。

現実の業務手順

航空と医療のチェックリスト：ミスを個人の責任にせず、手順によって復旧し、予防する。見るべき点：ミスを個人の欠陥ではなく手順の問題として扱う文化が、非難のないエラー文の制度版であることを見よう。人を直そうとせず、構造を直す。
フライトシミュレーター訓練：失敗しても致命的ではない環境で、繰り返し失敗しながら学ばせる。失敗を行き止まりではなく、再出発の出発線に置く。見るべき点：失敗の代価を意図的に下げた空間を別に設けるという発想を見よう。最初の体験区間を一種のシミュレーター、すなわち失敗しても失うもののない区間として設計できる。

第17章 エラーと復旧：コントロール感を奪わない方法