防错措施的效率代价需要预算，不能无限叠加
别名: 效率-周全权衡 · ETTO · 防错叠加成本
概念解释
每一项防错措施——物理约束、默认值、输入端校验、可达性摩擦——都不是免费的：它们在阻止错误的同时，也在给正常、正确的操作增加时间、步骤或认知负担。这条讲的是一个容易被忽视的事实：防错措施不能按"越多越安全"的直觉无限叠加，因为叠加的代价是线性甚至超线性累积的，而每一层新增措施能防住的边际错误却越来越少。防错设计因此不是一道"要不要做"的题，而是一道预算题——总的摩擦成本必须和它换来的风险下降相称。
机制
这背后是效率与周全之间的权衡（efficiency-thoroughness trade-off）：越彻底地核查、约束、确认，越能排除某类错误，但每一次核查、约束、确认都要占用时间和注意力，这些资源在任何一次操作中都是有限的。当防错层数增加到一定程度，用户会开始用两种方式补偿：要么加快通过每一层的速度（导致每一层的检查质量下降，防错效果被系统性稀释），要么干脆寻找绕开整套流程的捷径。也就是说，防错叠加到一定密度后，边际效果不再是"多一层多一分安全"，而可能是"多一层反而让每一层都更容易被敷衍过去"。
怎么研究
评估防错叠加是否过度，通常做法是在同一操作上比较不同摩擦层数下的完成时间、放弃率与实际错误率三者的联合变化：如果错误率随层数增加而持续下降，说明还在有效区间；如果错误率趋于平坦而完成时间和放弃率却持续上升，说明已经进入代价大于收益的区间。这类研究的价值在于把"防错够不够"和"防错是不是太多"放进同一张图里看，而不是孤立地只看某一项措施是否降低了错误率——单项措施几乎总能降低针对它的那类错误，问题从来不是单项措施有没有效，而是叠加后的总代价是否还划算。
边界
这条原则不适用于后果极端不对称的场景——如果一次错误的代价是不可逆的重大损失，即使某一层防错措施带来的效率损耗很大，也应该保留，预算权衡在这种场景下让位于安全底线。判断某个操作是否属于这一类，要看的是后果的可逆性和严重度，而不是操作发生的频率本身。
怎么落地
对任何已经叠加了多层防错措施的关键流程，逐层列出每一层拦截的具体错误类型、拦截率估计，以及它给正常操作增加的时间或步骤；如果两层措施拦截的是高度重叠的错误类型，只保留代价更低的那一层。为整个流程设一个可接受的总完成时间或总步骤数上限，新增任何一层防错措施前先核对是否会突破这个上限。验证办法：追踪同一批用户在防错层数调整前后的任务放弃率与"绕过正常流程寻找替代路径"的行为频率——如果放弃率或绕行行为在新增某层措施后明显上升，而错误率并未相应下降，说明这一层已经超出预算，应当撤销或简化。