Poka-Yoke: Torne o Erro Impossível de Dizer

As pessoas sempre cometerão erros. Esse não é o problema que vale a pena resolver. O problema é permitir que um erro se torne um defeito.

Shigeo Shingo, um engenheiro industrial japonês, descobriu isso em uma linha de montagem de interruptores em 1961. Os trabalhadores esqueciam uma mola. A solução não foi um lembrete: o trabalho foi dividido para que o trabalhador primeiro colocasse ambas as molas em um prato, depois as encaixasse do prato. Uma mola sobrando era o erro anunciando a si mesmo, antes que a unidade pudesse seguir em frente.

O prato é um dispositivo. "Por favor, lembre-se da mola" não é.

A linha que faz a maior parte do trabalho

Um comentário, uma docstring, uma página wiki, uma lista de verificação de revisão ou uma linha em um arquivo de instruções dizendo "não faça X" não é um poka-yoke. É treinamento, e o treinamento se degrada. Um dispositivo não. Se sua solução depende de alguém se lembrar de algo, continue.

Isso também se aplica às suas próprias instruções. Uma regra escrita em um arquivo de configuração compete pela atenção com todas as outras regras lá e perde um pouco mais à medida que o arquivo cresce. Uma verificação que falha a compilação não.

O que isso muda na saída

Dado um design, os modelos listarão prontamente o que corrigir. Raramente afirmam o que a correção torna impossível, e essa é a diferença entre um conselho com o qual você concorda e uma restrição na qual você pode confiar. Esse hábito é a maior parte do propósito desta habilidade.

A outra metade é recusar-se a aceitar um não-dispositivo como solução. "Adicionar validação", "ter cuidado com esta função", "documentar o invariante" são todos do nível zero. Cada um tem um dispositivo real por trás deles, e nomear esse dispositivo é o trabalho.

Eixo 1: o que acontece quando o erro ocorre

Classifique cada descoberta nesta escada e diga em qual degrau o código atual se encontra e em qual degrau sua solução chega.

Detecção não é falha; às vezes é tudo o que está disponível. Mas um plano que para na Detecção deve dizer isso, em vez de apresentá-lo como prevenção.

Eixo 2: como o dispositivo percebe

As três lentes de inspeção de Shingo. Elas são uma lista de verificação para encontrar perigos, não decoração:

• Contato — a coisa errada pode se encaixar fisicamente? Dois parâmetros adjacentes do mesmo tipo podem ser trocados silenciosamente. Um string que deveria ser um de quatro valores. Dinheiro como um float.
• Valor fixo — o conjunto está completo? Um switch sem verificação de exaustividade. Uma configuração onde uma chave ausente significa silenciosamente "desligado". Um enum tratado em três de cinco lugares.
• Passo de movimento — a ordem está correta e cada passo aconteceu? Uma escrita em duas fases sem transação. Uma nova tentativa sem chave de idempotência. Um recurso adquirido em um caminho e liberado em outro.

Inspecione na origem

O lugar mais barato para capturar um erro é onde ele é cometido, não onde ele aparece. Uma validação que roda três camadas abaixo da entrada já permitiu que o valor ruim viajasse, e o rastreamento da pilha apontará para o módulo errado. Empurre a verificação para a fronteira que o valor cruza.

Projetando algo novo

A prova de erros é mais barata antes que o código tenha chamadores. Uma vez que os tenha, cada dispositivo é uma migração; antes de tê-los, um dispositivo é gratuito.

Trabalhe a partir do local da chamada. Uma assinatura que parece boa isoladamente muitas vezes parece terrível onde é usada:

# the mistake is expressible: nothing stops refunding an order that was never paid
def refund(order: dict) -> Refund:
    return payments.refund(order["payment_id"])

# the mistake is no longer expressible
def refund(order: PaidOrder) -> Refund: ...

As etapas, aproximadamente em ordem de frequência de aplicação:

Torne estados inválidos irrepresentáveis. Uma bolsa de campos opcionais onde apenas certas combinações são legais se torna uma união discriminada onde as ilegais não podem ser construídas.

Analise, não valide. Converta a entrada não estruturada em um tipo que carrega prova na fronteira, uma vez, em vez de revalidar a mesma string em nove lugares.

Diferencie conceitos que compartilham um primitivo. transfer(from: str, to: str) aceita seu