第17章錯誤與復原：不奪走掌控感的方法

新手的錯誤不是使用者的缺陷，而是畫面尚未教會他的證據。

我們暗自相信，優秀的初次體驗，就是使用者一次也不失敗的體驗。

因此，製作起始畫面時，我們最先做的往往是防止犯錯：藏起無法撤銷的按鈕，去掉可能選錯的選擇，只讓人沿一條路前進，把路鋪平，不讓使用者跌倒。可這份體貼中藏著陷阱。完全不會跌倒的路，也沒有行走的樂趣。一次也不卡住、一次也不驚險、無論按什麼都同樣順利的體驗，雖然安全，卻很無聊。

本章從這個矛盾開始。失敗的可能性不是應該刪除的缺陷，而是需要妥善處理的材料。沒有不安與緊張，就沒有成功的喜悅。差一點受阻卻終於解開的瞬間，差一點落敗卻最終獲勝的瞬間，會讓初次體驗活起來。因此，本章的工作不是把失敗降為零，而是讓人經歷失敗，卻不讓失敗把人趕走；換句話說，不讓失敗奪走掌控感。事後把錯誤留下的痕跡讀成數字，是第5部測量部分的工作；這裡要觀察的是，錯誤發生的那個瞬間，畫面如何對待一個人。

同一個錯誤：留住人的畫面與趕走人的畫面

回到那款虛構的角色遊戲。它就是那款收集角色、與角色交談、觀看短影音的手機遊戲。使用者花了很長時間精心挑選角色的顏色與花紋，終於裝扮成自己喜歡的樣子，手卻一滑，按下了「重置」。接下來如何發展，取決於畫面如何回答。

糟糕的版本是這樣。按下的瞬間，沒有警告也沒有確認，角色直接回到初始狀態。甚至沒有誇張的失敗畫面，螢幕若無其事地保持整潔，只是剛才投入的五分鐘消失了，而且任何地方都沒有復原路徑。這不是虛構的誇張，而是今天仍然經常遇見的現實。使用者錯愕地愣了一會兒，沒有心情從頭重新選色，於是關閉應用程式，再也不開啟。他失去的不是五分鐘，而是掌控感。因為在自己雙手所及之處，事情無視自己的意圖發生了，而自己無法撤銷。更好的版本是這樣：按下「重置」後，先出現「真的要全部刪除嗎？剛才的裝扮會消失」，使用者按下「否」，鬆一口氣。最好的版本，是即使重置已經發生，畫面一側仍會清楚顯示一段時間的「撤銷」；哪怕按錯，也能一步復原原樣。使用者知道自己無論做什麼都能復原，因此不會害怕，願意嘗試各種操作。同一個錯誤，起始畫面既可能把人趕走，也可能使人更加大膽。

同樣的原則也存在於我們每天使用的工具裡。郵件發出後，畫面下方短暫出現的「撤銷傳送」，經常被當作例子。按下傳送後，即使想到收件人選錯了，或漏掉了附件，只要還在幾秒之內，按一下這個按鈕，已經發出的郵件就會重新回到手中。有趣的是，就連一次也沒按過這個按鈕的人也會受益。只要知道可以撤銷，人按下傳送時就不會那麼緊張。復原路徑並不只在犯錯後使用，它也會使犯錯前的人更加大膽。起始畫面的「撤銷」做著同一件事。

在MEJE IDONG WORLD裡，這種差距更大。遇見IDONG、裝扮IDONG、照顧IDONG的是粉絲；粉絲精心裝扮時手一滑、按錯東西，是正常的。辛苦裝扮的成果一下全部消失，畫面卻回答「是你刪掉的，從頭再來」，會使粉絲失望，而這種失望直接成為流失。相反，無論按什麼都不會出大事，做錯了也能立即復原的畫面，會讓粉絲放心嘗試各種東西。因此，IDONG WORLD決定把裝扮畫面中手觸及的每一次修改，都以單個動作為單位自動儲存。無論按下重置，還是應用程式中途關閉，最後觸碰的模樣都會原樣保留，重新展現在回來的粉絲面前；回到上一個模樣的路徑也會在畫面上保留一段時間。粉絲的初次體驗應該是「做錯也沒關係」的裝扮，而不是答錯一次便受罰的考試。

處理錯誤的六種心態

妥善處理失敗並不是含糊的體貼，而能拆分成幾項明確原則。不過，在把六項排到同一列之前，先劃分層次。第一項是關於「要製作什麼」的設計哲學，其餘五項是關於「如何處理這項哲學所留下的失敗」的處理原則。

先建立一種哲學。對以挑戰和克服為核心的體驗，保留失敗。只有可能落敗、可能答錯，獲勝時才會高興，答對時才會自豪。另一方面，照料型、觀察型、創作型體驗即使不設敗北，也能透過節奏與依戀創造深度。如果要保留失敗，只保留核心樂趣所必需的部分，並且不要讓它致命。

決定以這種方式保留失敗後，處理失敗的五項原則隨之而來。

讓它能夠復原。人犯錯時，必須有一條從那個位置回去的路：撤銷、重試、返回上一步。不要把人關進死胡同。

不要讓使用者背負無法修復的擔子。意思是，不要把使用者無法處理的問題歸咎於使用者。伺服器緩慢造成停頓，卻推給使用者一句「你的網路連線不穩定」，就是因為一件使用者無法解決的事責備使用者。系統造成的問題，應由系統承擔。

把控制權留在使用者手中。現在發生了什麼、能否停止或撤銷，都必須掌握在使用者手裡。如果一件並非使用者發起的事情未經許可便繼續進行，他會覺得自己坐的不是駕駛席，而是副駕駛席。

不要讓資訊丟失。使用者投入的東西不能消失。精心裝扮的角色、寫下的名字、選好的設定，如果因為一次小失誤或錯誤便全部飛走，失去它們的記憶就會阻止人再次嘗試。

不要打斷工作流程。不要在做事途中突然彈出大視窗擋住流程，也不要把正在做的事打回開頭。即使要告知錯誤，也要讓使用者能從原來的位置繼續。

這裡可能出現一個問題：設計哲學與處理原則是否會彼此削弱？無論按什麼都能撤銷、什麼都不會失去，那麼「可能失去」這種感覺本身也會消失，緊張的來源豈不是被掏空？答案在於區分失去的對象。復原必須保障的是使用者的所有物與進度，緊張應該押在這一次嘗試上。時間迴圈太空探索遊戲《星際拓荒》經常被視為清楚展示這種區分的案例。據說，每22分鐘太陽都會爆炸，主人公回到迴圈開頭，但期間獲得的知識與飛船探索記錄全部保留。失去的是這一次迴圈，保留下來的是全部進度，因此死亡的緊張依舊鮮活銳利，真正因為死亡失去的東西卻幾乎沒有。無限復原與鮮活緊張，可以這樣共存。讓這一次嘗試可能失敗，但不讓失敗摧毀至今積累的一切即可。

有一種方法，可以把這六項逐步穿到一個畫面上：把同一個錯誤點分成糟糕處理、較好處理、最佳處理三個階段比較。糟糕處理把使用者留在死胡同，較好處理開啟一扇逃離的門，最佳處理讓他從一開始就不必害怕。把三個階段並排放置，就能看見當前畫面位於哪裡，也能看見向上提升一格的路。以輸錯密碼為例，糟糕版本只顯示「錯誤」，然後刪除全部輸入；較好版本告訴使用者哪裡錯了，並保留輸入；最佳版本在出錯之前先展示條件，出錯後也只指出需要修改的位置。將三個階段套用到每一個錯誤點並重新繪製的精密工作，交給附錄C的錯誤處理階梯（→ 附錄C）。正文只需記住階梯存在，以及我們的畫面始終可以朝上一格前進。

遊戲就是死亡後重來的古老約定

既然本章討論錯誤，現在該把遊戲慣例叫到檢查站。其實它不是一種，而是一整組：遊戲結束、儲存與讀取、繼續遊戲，以及故意設計得殘酷的硬派難度，全部屬於「遊戲就是死亡後重來」的古老約定。

先看這項約定把什麼視為理所當然。在遊戲裡，失敗不是終點，而是節拍。死亡後出現遊戲結束畫面，從最後儲存的位置重新開始，像投入硬幣一樣按下繼續；有些人還故意選擇最高難度，選擇更頻繁地死亡。這套框架從街機時代成長至今，是遊戲深層的語法。對玩家而言，死亡不是懲罰，而是學習。只有死過一次，才能記住敵人模式，再次挑戰，最終取勝；整個過程都是遊戲樂趣。儲存與讀取，是讓他不怕損失、敢於實驗的安全裝置。在這套約定裡，遊戲結束不是挫折，而是下一次嘗試的起跑線。

一般人並不共享這項約定。對一輩子看電視劇的人來說，紅色的「GAME OVER」不是下一次挑戰，而會被讀成「你失敗了」的判決；因為他是來等待下一集，不是來重看同一場景。對習慣無盡滾動短影音的人來說，「從最後儲存點重來」就像強迫他從頭再看剛看過的影片；對已經習慣在電商平臺把商品裝進購物車的人來說，因為一瞬間的失誤而丟失全部進度，就像付款前購物車突然被清空一樣荒唐。玩家把遊戲結束讀成「再來一次」，初來者卻把它讀成「到此為止」。同一行紅字，對一方是邀請，對另一方是驅逐。

這項約定向一般人收取的費用，是掌控感的喪失與挫敗。要求死亡後重來的畫面，會要求人撤銷剛才投入的時間，再走一遍同樣的路。對初來者而言，這不是學習的節拍，而是時間被奪走的事件。推薦更高難度的畫面，對玩家是挑戰書，對一般人卻是「這不適合你」的通知。只死了一次便被送回開頭，使用者會先數自己失去了什麼，而不是先想自己做錯了什麼。

遊戲中也有把失敗從懲罰變成節拍的案例。一款以困難聞名的獨立平臺遊戲，死亡後不會施加懲罰，只會立即從當前段落開頭重新開始；累積的死亡次數直到章節末尾才顯示。據說，這個數字不是羞恥，而會被讀成「我堅持了這麼多次，終於走到終點」的證明。就連開啟或關閉簡單輔助模式的說明文字，據稱也不再描述為奪走什麼，而是為了讓更多人接觸這段體驗。即使面對同一種死亡，只要畫面遞出的語言不同，人便會將它接收成挫折或節拍。

區分要保留的本質與要減去的外殼。保留失敗帶來的緊張與再次成功的喜悅，去掉把死亡變成懲罰的部分。初次體驗中，刪除「遊戲結束」這句話，把失敗改成「要再試一次嗎？」；不要從受阻地點把人送回開頭，而要讓他就在受阻地點立即重新開始。不要把儲存當成使用者必須照看的作業，而由系統自動抓住使用者做過的一切。不要一開始就逼人選擇難度，而要觀察使用者如何受阻，悄悄調整。失敗的價值仍然活著，但它不會奪走使用者的時間與掌控感。這就是初次體驗應當負責的範圍。死亡後重來的深層樂趣，可以等使用者充分喜歡這個世界之後，再慢慢拿出來。

▶ 套用到我的畫面的三個問題

這個畫面是否把失敗歸咎於使用者？

回去的路是否一眼可見？

錯誤是懲罰，還是節拍？只要三項中有一項責備使用者，或把使用者困在死胡同，這種失敗就會把人趕走。

所以，在防止犯錯之前先設計復原之路

把失敗視為材料後，初次體驗中設計錯誤的順序會改變。不要先問如何防止犯錯，而要先設計犯錯之後如何復原。人無論如何都會犯錯，分心時會犯得更頻繁。與其把所有力氣用在阻止犯錯，不如先鋪一條做錯也不會出大事、能夠立即返回的路。

於是，一個聽起來具有挑釁性的命題隨之出現：如果復原路徑足夠可靠，就沒有必要特意隱藏危險按鈕。因為在無論按什麼都能撤銷的畫面裡，必須阻止的東西本身會減少。再進一步，大多數一連串的「真的要這樣做嗎？」也可以清除。確認對話框本質上是沒有復原手段時的補丁，只有放在無法撤銷的動作之前才合理。每個可撤銷動作都要詢問確認的畫面不會更安全，只會更遲鈍。人很快會養成不讀內容直接按「是」的習慣，最後連不可撤銷動作前的確認也會失去作用。因此，每當想顯示確認視窗時，都應該先問：不能給這個動作加一個「撤銷」嗎？

數字會告訴我們這個順序是否正確。失敗處理得好不好，會顯現在失敗後再次嘗試的比例中。觀察人們在哪裡受阻，以及受阻後是再次嘗試，還是直接離開。許多人會在受阻處重新挑戰，說明這是令人想再試一次的失敗；人一受阻便直接消失，說明這個失敗奪走了掌控感。第一次失敗後，人是停留還是離開，會照出我們把失敗變成了節拍，還是懲罰。

參考內容

其他媒介中能夠顯現本章概念的案例。

電子遊戲

《蔚藍》的輔助模式：它把死亡當作節拍而不是懲罰，讓章節末尾的死亡次數被讀成堅持到終點的證明。開啟和關閉模式的說明文字，也不是說它奪走了什麼，而是寫成讓因困難無法接觸體驗的人也能進來。據說，後來還把最初「降低難度」的句子改成「按照自己的需要調整規則」，變得更加柔和。死亡的處理方式與說明文字的語氣都值得參考。
《黑暗靈魂》的篝火、靈魂回收與「YOU DIED」：死亡後從上一個據點重新開始，並讓人有一次機會找回失去的東西；但同一行紅字，對玩家是邀請，對一般人卻是驅逐。
《星際拓荒》：死亡後回到22分鐘時間迴圈的開頭，但期間收集的知識與飛船記錄全部保留，實際上什麼也沒有失去。它說明，如果把進度放在使用者知道了什麼，而不是分數或裝備上，死亡就不再是損失。 一般應用程式
Gmail的撤銷傳送：傳送後幾秒內顯示復原路徑，使一次也沒有按過它的人也能不那麼緊張地傳送。
提前顯示密碼規則：在犯錯之前展示條件，犯錯後也不刪除輸入，只指出需要修改的位置。

其餘參考內容彙集在本文末尾的「第17章附錄」中（單行本中編為附錄D）。

設計筆記 ▶ 親自實踐

在我們遊戲的初次體驗中，找出三個使用者可能犯錯或受阻的位置，例如容易按錯的按鈕、可能填錯的輸入、會成為死胡同的選擇。

為每個位置寫一行目前畫面的回答，並在旁邊提問：它是否讓使用者背負無法修復的擔子？是否讓使用者失去自己的投入？是否打斷正在進行的流程？只要一個位置回答「是」，就把它向上提高一格：在死胡同開一扇門，抓住原本會消失的東西，或重新接上被打斷的流程。

如果三個位置中有任何地方帶著「遊戲結束」或「從頭重來」的氣味，就把它標出來。那裡，畫面正在把死亡變成懲罰。嘗試保留失敗的緊張，同時減去懲罰。精密的重新設計，將在附錄C的錯誤處理階梯中繼續展開（→ 附錄C）。

把錯誤歸咎於使用者的畫面會趕走人，先鋪好復原路徑的畫面會使人大膽。首先判斷我們的畫面屬於哪一邊。

一句話總結：失敗的可能性不是應該刪除的缺陷，而是帶來緊張與喜悅的材料。但失敗不能奪走掌控感。讓它能夠復原，不讓使用者背負無法修復的擔子，不讓投入的資訊丟失，也不打斷正在做的流程。對玩家理所當然的遊戲結束、儲存/讀取、繼續遊戲、硬派難度，對初來者卻是挫折與掌控感的喪失；減掉把死亡變成懲罰的部分，只保留再次成功的喜悅。 下一章：到這裡，我們討論完了如何在初次體驗中對待人：按下、得到反應、分心、犯錯的人。現在把視線從畫面之內移到畫面之外。人在開啟起始畫面很久以前，就已經帶著對我們的期待而來。這種期待應該在哪裡、如何種下？第4部從預告與第一印象的故事開始。

第17章附錄：參考內容彙編

這裡彙集的參考案例，展示了本章「與其刪除失敗，不如先鋪設復原」這一論點如何出現在遊戲內外。案例按媒介分組，每項末尾都附有「觀察要點」，說明設計者適合觀察什麼。把正文建立的框架放在心中：保留失敗卻不奪走掌控感的哲學；把緊張押在這一次嘗試上、同時保護累積進度與所有物的賭注區分；以及不把系統錯誤推給使用者的語言。這樣就能看見，每個案例中的失敗讓人失去什麼、保護什麼，以及這項失敗被讀成懲罰還是節拍。

電子遊戲

《超級食肉男孩》（2010）：死亡後立即從該段開頭重啟，把失敗與重試之間的間隔幾乎降到零。完成一段後，遊戲會播放此前所有死亡嘗試重疊在同一畫面、同時奔跑的回放，使累積的死亡留下的不是羞恥，而是記錄。觀察要點：一併觀察「重啟越快，失敗越能從懲罰變成節拍」的原則，以及把死亡痕跡轉換成觀賞內容的收尾。失敗處理有兩個層次：緊接著發生的速度，以及事後賦予的意義。
《波斯王子：時之砂》（2003）/《時空幻境》（2008）：犯錯後立即用匕首倒轉時間，連自己的死亡也能沿同一條軌跡撤銷。墜落死亡時，作為敘述者的王子會說「不，不是這樣發生的」，改口重述故事，回到前一刻。僅僅一句把死亡從「失敗」重新稱為「講錯的故事」，就會把同一種失敗從懲罰變成節拍。觀察要點：除了倒轉時間的機制，也要觀察稱呼失敗的語氣如何改變體驗質感。同一功能也會因為畫面遞出的句子不同，使人收到不同東西。
主機與 PC 的自動儲存，以及《動物森友會》的電源鼴鼠：早期《動物森友會》中，不儲存就關閉電源，鼴鼠會出現並長篇訓話；在自動儲存成為預設的《集合啦！動物森友會》（2020）裡，系統自動抓住進度，連責罵人的角色也消失了。觀察要點：觀察當儲存不再是使用者的作業，責罵人的角色也隨之失去必要的順序。系統承擔責任，需要責備使用者的事情本身就會減少。
《黑帝斯》（2020）：把死亡當作故事的節拍，而不是進度終點。每次死亡回到家，修普諾斯等角色都會指出這一次被什麼擊敗，並為每次死亡提供不同對白。觀察要點：觀察每次失敗都帶來新故事、使死亡本身成為獎勵的結構。如果失敗後正是人最容易離開的時刻，這個案例預先決定了在那個瞬間要交給人什麼。
《茶杯頭》（2017）的首領戰重試畫面：死亡後，首領的階段會顯示在進度線上，讓人一眼看到「走到了這裡」，隨後立即從同一個首領開頭重啟。觀察要點：觀察失敗畫面首先展示的不是失去什麼，而是走到了哪裡。進度可見，同一個失敗也會變成令人想再試一次的失敗。
《超級瑪利歐》的超級嚮導與無敵葉：從《New 超級瑪利歐兄弟 Wii》（2009）開始，在同一段多次死亡，會出現示範通關的方塊；據稱，之後的作品還會悄悄遞出使人無敵的白色狸貓葉等物品。它們不會從一開始逼人選擇難度。觀察要點：觀察幫助不是預先選擇，而是在看見人如何受阻後才以建議形式到來的順序。先觀察，再詢問，觀察之後才遞出援手。

文學

《Zork》等互動小說中的儲存與撤銷：允許撤銷選擇、嘗試另一條路，不讓錯誤成為死胡同。觀察要點：觀察「可以撤銷」的保障如何引導讀者作出更大膽的選擇。復原會增加探索量。

桌遊

合作遊戲允許悔棋（《瘟疫危機》入門局）：初學者犯下明顯錯誤時，允許撤回一步，不讓第一局變成懲罰。觀察要點：觀察比嚴格遵守規則更優先保護第一局體驗的運作方式。允許悔棋不會毀掉遊戲，反而會召來下一局；而在熟練者的對局中，同樣的悔棋會削弱緊張，因此復原裝置也有適用對象與時期。

電影

《明日邊界》（2014）/《今天暫時停止》（1993）：主人公每次死亡都會回到同一天的開頭，但記憶與熟練不斷積累，死亡不再是結束，而是下一次嘗試的練習。觀察要點：觀察只失去這一天、學到的一切全部保留這一賭注區分，如何轉換成電影語法。它是向遊戲以外的觀眾說明玩家如何學習一局遊戲的良好橋樑。

動畫 / 漫畫

《Re：從零開始的異世界生活》的「死亡迴歸」：死亡後回到固定地點重新開始，但死亡的痛苦與記憶全部帶回。觀察要點：把它視為給復原標價的變體。所有東西都能撤銷，卻並非免費，適合用來衡量強度；即使回來，使用者經歷過的事情仍然保留，也提醒我們復原設計中的情感面。

真人電視 / 電視劇

直播的預錄與延遲播出：即使發生事故，也在播出前留出短暫復原空間，不讓無法修復的錯誤原樣播放。觀察要點：觀察在不可逆動作前故意插入延遲，製造復原間隙的方法。除了顯示確認視窗，也可以透過爭取時間建立安全。

音樂

錄音中的補錄（只重錄唱錯的小節）：不用從頭重新演唱整首曲子，只從受阻的那個小節重來。觀察要點：觀察「從受阻處立即重來」與「送回開頭」之間的體驗差異。保護已經做好的部分，也會保護重試的意願。

一般應用程式

撤銷（Ctrl+Z）、資源回收筒與復原期限：無論做什麼都能撤銷，刪除的東西也會保留一段可以復原的時間。觀察要點：觀察正文的命題——復原路徑足夠可靠，便不必特意隱藏危險動作，也不必用確認視窗阻止。刪除按鈕不可怕，是因為存在資源回收筒。
伺服器錯誤提示畫面（例如GitHub的「獨角獸」500頁面）：不把系統造成的故障歸咎於使用者，而以「你沒有做錯什麼」的口吻輕鬆說明。觀察要點：觀察不糾纏做過或沒做過、而把視線轉向解決辦法的不責備語氣。一句話清楚地把錯誤來源放在系統一邊，就能保護信任。
Google 文件與 Figma 的持續自動儲存和版本紀錄：沒有單獨的儲存按鈕，所有修改立即儲存，需要時還能回到幾天前的版本。觀察要點：把它視為把「不讓資訊丟失」做成預設值，而不是一項功能的案例。儲存不再是作業，人就能不怕失去地進行實驗。
寬容的輸入處理：輸入框會自動接受電話號碼中的連字元與空格、卡號中的分隔空格。格式稍有不同，只要意思相通就直接接受；機器能自行調整的部分，不要要求使用者配合機器。觀察要點：把它視為比「妥善處理錯誤」更早的階段，也就是從一開始就不把它變成錯誤的設計。不要讓使用者背負無法修復的擔子，這一原則落實到了輸入框層面。
Steam退款政策：遊玩不超過2小時、購買不超過14天，便無需給出重大理由即可退款。據說，當購買這種原本難以撤銷的動作擁有復原路徑後，願意先嘗試陌生遊戲的人增多了。觀察要點：觀察「可撤銷」是否也能在商業規模上，使人在嘗試之前而不是犯錯之後變得大膽。
銀行延遲轉帳服務：開通後，轉出的錢會在一定時間後入帳，在此之前可以取消，為電信詐騙或誤轉帳留下復原空間。這項服務自2015年起已在韓國實施。觀察要點：把它視為在不可逆動作中故意插入一層延遲、準備復原時間窗的設計。有時，一層延遲會成為比一次確認對話框更強的安全裝置。

機械裝置 / 家電UX

微波爐與洗衣機的錯誤程式碼顯示：清楚地把停機原因顯示為裝置狀態，而不是使用者的錯誤。觀察要點：觀察把原因放在機器一邊的顯示如何防止使用者自責。不過，程式碼本身仍是製作方的語言，也可以考慮是否能在程式碼旁附上一行使用者的語言。
連按兩次電梯按鈕取消：讓人就在機器前立即撤銷選錯的樓層。據說是否支援因機型而異。觀察要點：復原手段即使存在，如果沒人知道，也和不存在一樣。復原路徑不能只製作出來，還必須讓人看見。
汽車啟動與換擋確認程式：在不可逆動作前增加一層物理步驟，避免一瞬間的錯誤造成大事。觀察要點：觀察只在不可逆動作前增加步驟的篩選。所有動作都增加步驟，只會變得遲鈍；只在無法撤銷的動作前增加，才能成為安全。
自助服務機的「返回開始」按鈕：在點餐畫面的任何位置，「返回開始」按鈕始終顯示在同一個地方，使迷路的人不被困在死胡同。觀察要點：復原路徑始終在同一位置可見，這個事實本身就能保護掌控感。比起實際按下按鈕的人，知道按鈕存在並因此安心的人獲益更多。

現實工作流程

航空與醫療檢查表：不把錯誤歸為個人責任，而透過流程復原並預防。觀察要點：把錯誤視為流程問題、而不是個人缺陷的文化，是「不責備錯誤提示」的制度版本。它不試圖修理人，而是修理結構。
飛行模擬器訓練：在失敗也不會致命的環境中反覆失敗並學習。失敗不是死胡同，而是重新開始的起跑線。觀察要點：觀察另行建立一個人為降低失敗代價的空間這一思路。可以把初次體驗區設計成一種模擬器，也就是失敗後什麼也不會失去的區間。

第17章 錯誤與復原：不奪走掌控感的方法