后果等级由可逆性与代价共同决定
别名: 后果二维 · irreversibility · 确认强度
概念解释
一次语音动作的后果不是「重不重要」一个旋钮，而是两根轴：还能不能把世界恢复原状，以及若不恢复会损失什么。关客厅灯：可逆、代价低。发邮件：发出去就难收回，代价看收件人。转五万元：难逆且代价高。删一张本地可进回收站的照片：可逆，但重拍成本可能很高。把这四类都标成高/中/低，确认强度就会钉错。
机制
可逆性问的是：用户还在听的那几秒里，系统能不能把世界滚回去。代价问的是：若没滚回去，钱、隐私、时间、社交各伤多少。两根轴正交。可逆且低代价（切歌）不值得用掉一轮确认；不可逆且高代价（汇出）必须在执行前把动作对象说清楚。混在中间的两格才需要不同手段：可逆但代价高，靠事后撤销窗口也能工作；不可逆但代价低，可能只要一句动作预览，不必再要是/否。
设计师常用「敏感」「重要」一次标定，其实是把两根轴压扁。压扁之后，回收站里的删除和已经同步到云端的删除会拿到同一档确认，用户无法从确认强度反推真正的风险。语音尤其吃这个亏：没有图标、没有撤销按钮在视线里，可逆性必须被说出来或被做出来，否则用户按最坏情况理解每一次确认，或按最好情况理解每一次不确认。
怎么研究
让人对一批动作分别打可逆性和代价，不要只打「风险」。看这两维对「是否希望执行前确认」的预测，是否优于单一风险量表。再对照产品日志：事后撤销率高而事前确认也多的动作，两维可能被标在同一格里互相打架。
实验室可用情景故事：同一删除，一版明确能找回，一版明确不能，看确认需求是否只随可逆性变、代价被控制住。不要用专家的「高中低」标签当金标准，那正是被拆的对象。
边界
用户以为可逆、系统并不可逆（看起来像本机删除、实际清了云端），打分会系统性地偏乐观，要以系统事实为准。紧急呼叫代价极高但确认会拖死时间，两维会被第三根轴——延迟——压过。熟练用户会重新标定自己的代价（每天都转小额）。影响他人的动作不能只按说话人的可逆与代价来打，那是另一根需要单独提级的轴。
怎么落地
- 每个会改世界的动作用两列标，不要一列：可逆窗口（几秒内能否恢复、恢复是否完整）和代价（钱/隐私/重做时间/社交）。空着的格子不许进开发。
- 可逆×低代价：执行并口述结果，不必事前是/否。不可逆×高代价：执行前预览对象。其余两格单独选手段，不要都升级成同一句确认。
- 可逆性要对用户可感知：回收站、十秒撤销、必须找客服，三种不要共用一个「已删除」。
- 验证：抽若干动作问没参与设计的人「做错了能不能改回来」和「改不回来会怎样」。两问的答案若与表上的两列不一致，等级就是设计师的自我感觉，还没标定。