良好的设计还不够当人们确实错了
有时候我被问道，宣称用户从来没有过错，过错常常都是糟糕的设计造成的，这样说是否真的正确无误？这个问题合乎情理。是的，有时候当然是人在犯错。
操作者严重缺乏睡眠而疲乏至极，或者受到药物影响，即使称职的人也会丧失工作能力。这就是为什么我们立法明确饮过酒的飞行员在一段时间不能飞行，还要限制飞行员在没有休息的情况下不间断飞行小时数。很多牵涉死亡或伤残风险的专业人员，都被一些关于饮酒、睡眠和药物的规定所约束。但普通岗位没有这些限制。医院经常要求员工在没有睡眠的情况下长时间持续加班，远超过飞行航班的安全规定。为什么？你乐意让一个昏昏欲睡的大夫给你做手术吗？为什么在某些情况下剥夺睡眠被认为很危险，而另外的情况下却被忽略？
有些操作有身高、年龄或力量的要求。其他一些要求具备一定的技能或技术知识：没有受过培训，或者没有能力的人不能从事这些工作。这也是为什么很多职业要求持有政府批准的培训和执照的原因，比如驾驶机动车、开飞机和医疗行业等等。所有这些都要求参加培训，通过测验。在民航界，仅仅通过培训还不够：飞行员必须在每个月保证最低量的飞行小时数，以保持足够的练习时间。
酒后驾车仍然是交通事故的主要原因：这纯粹是司机的过错。在机魂车事故中，缺乏足够的睡眠是另一个主要肇因。但人们偶尔犯错，并不能证明人们有总想犯错的故意。糟糕的设计仍然占据事故原因的绝大部分，不论是设备的设计，还是像频繁发生的工业事故里需要遵循的程序的设计。
必须注意本章节前面讨论过的蓄意违反规则的情况，人们有时候故意违反程序和规定，可能由于他们不想完成这个工作，或是由于他们认为自己处于情有可原的境地，有时候还因为他们心存侥幸，想赌一把，认为出错的概率相对较低。不幸的是，如果某人做了可以导致死亡或重伤害的危险活动，尽管造成死亡或重伤害的概率低到只有百万分之一，按全球70亿人口计算，每年将有数百人因此丧生。我最爱举的航空界的例子是一个飞行员，在三个飞机引擎都发出低油压读数警告后，他仍然认为一定是仪表故障，因为读数正确的概率是百万分之一。他的判断是正确的，但很不幸，他是唯一的一个。2012年仅美国就有大约900万航班，所以，百万分之一的机会可以翻译为9次事故。有时候，人们真的会犯错。修补回复工程
在工业应用中，巨大而复杂的系统，比如油井、炼油厂、化工厂、发电厂、交通运输和医疗服务中发生的事故对工厂和周边环境都有巨大影响。有时问题没有发在组织内部，而是来源于外部，诸如强烈的暴风雨、地震和潮汐会损毁大部分现有基础设施。不管什么情况，问题是如何设计并管理这些系统，让它们能够以最小的破坏和损失恢复运转。一个重要的方式就是修补[司复工程( resilience engineering)，将其用作设计系统和流程、管理和人员培训的目标，因而设计的结果就能够应对发生的问题。力求保证所有这些方面的设计——设备、流程，以及工人之间的沟通、管理层同外界之间的沟通——被反复评估，测试和改进。
