关键控制需要物理或操作上的防护
别名: 关键控制防护 · control guarding
概念解释
关键控制防护（control guarding）要求高后果控件在界面上获得区别于日常控件的对待，让随手一碰和真正的操作意图走出不同的轨迹。哪种设备该配哪种物理防护装置属于工程选型问题；这里要说的是控制界面自己会制造出的那部分误触风险——同一块屏幕、同一个操作路径上，界面的排布方式本身就可能把一次日常操作变成一次危险操作，这部分风险不能靠加装一个盖子解决，只能靠界面设计本身来消除。
机制
控制室和操作画面里的误触，很大一部分并不来自手滑或看错标签，而是来自三种界面自己造成的处境：高后果控件和常用控件挤在同一块区域、外观差异不够大，操作者凭位置记忆快速操作时容易顺手带到；相邻控件的功能差异很大但视觉呈现雷同，只有仔细看标签才能分辨；以及最容易被忽视的一种——状态残留：操作者在上一屏选中或预置了某个对象，切换画面之后这个"待执行"状态没有被清除，回到当前画面时一次原本无害的点击，因为叠加了残留状态，变成了直接执行。这三种处境的共同点是，它们只有在"界面允许操作者在多个屏幕、多个控件之间快速切换"这个前提下才会出现——纯粹靠物理防护装置去堵，堵的是碰撞和误压，堵不住因为切屏而遗留下来的这个状态。
边界
这里说的状态残留问题，只存在于依赖屏幕和软件状态维护"当前选中/待执行对象"的界面上；纯硬接线的物理面板每个按钮只对应一个固定动作，没有可以携带到下一屏的软件状态，这个机制在物理面板上不成立。视觉相似和布局拥挤这两条也只是诱因，不是充分条件——同样拥挤的布局，如果操作者对这套画面足够生疏，反而会因为不敢下手而放慢速度，风险在高度熟练的操作者身上反而更集中，因为他们更依赖位置记忆、更少逐项核对。
怎么落地
把"待执行"或"已选中"这类临时状态与具体的画面绑定，操作者切换到其他画面时自动清除，不能让它跨屏幕存活；对高后果控件采用无法被相邻常用控件模拟出来的组合视觉特征（形状、颜色、位置三者同时不同，而不是只换一种），单独依赖颜色或单独依赖位置都容易在拥挤布局里被复制。
- 验证办法：设计一个"选中对象后切换画面、再切回来"的场景，检验残留状态是否已被清除；再设计一组相邻控件外观刻意接近的画面，测量熟练操作者在快速连续操作时的误选率，二者都要用真实操作节奏而不是让被试逐项仔细核对后再动手。