C9.12.2Predictability cost of higher initiative设计研究
主动性越高，系统行为对用户越难预测，出错代价也越大
别名: 主动性与可预测性 · 出错代价 · 自动化意外
概念解释
系统越主动替人行动，用户越难在行动发生前说出「下一步会怎样」。不可预测本身会放大错误：来不及拦，拦的姿势也不在手里。高主动性把分类错误从「一条建议点错」升级成「世界已经改了」。
机制
预测靠的是稳定映射：同样的感知线索，系统做同样的事。主动性升高后，映射的输出从符号变成对世界的写入，旁观线索变少（没有对话框），人只能用事后结果做模型。自动化意外（automation surprise）就是这个模型崩了。出错代价随写入深度涨：提示错了，忽略即可；执行错了，要走撤销、社交补救或物理恢复。生理隐式还让触发线索不可见，可预测性再降一档——人甚至不知道该看哪条线索来预报。
怎么研究
在主动级升高的序列里测「下一动作预测」：暂停系统，问用户接下来会做什么。自变量：级、线索可见性。因变量：预测准确率、意外发生后的恢复时间、错误的不可逆程度。现场日记抓「我没想到它会」比实验室评分更准。只测效率会把不可预测写成聪明。
边界
对专家、高重复的工业流程，高主动仍然可预测，因为映射被训练成技能。对访客、偶尔使用、共享设备，同一高主动就是意外。有的错误代价被环境吞掉（预亮一盏无人在意的灯），可预测性低也不致灾。安全关键域里，不可预测本身就是不可接受，不论准确率多高。
怎么落地
- 提高主动级之前，先提高行为的可预报性：固定规则、可见线索、短的动作目录。
- 高主动动作必须可拦、可撤，把代价从「已经发生」拉回「还能改」。
- 若线索是生理的、用户看不见，主动级应低于基于位置或按钮的同等功能。
- 验证：在动作即将发生时打断，问未讲解用户系统要做什么；预测失败率高就不要把该级设为默认执行。