一句话定义
恢复设计承认差错一定会发生，并让用户能发现、理解、撤回或减轻后果。可靠系统不是假装用户永远正确，而是在错误出现后仍保留回到安全状态的路。
机制 / 原理
设计恢复路径时，先让正在操作的对象和状态显眼，再让危险操作尽量可逆，并把不可逆动作做得更难。反馈要说明发生了什么、影响到谁、还能怎样补救；确认框只在它能突出对象和后果时有价值，不能代替撤销、回收站、版本恢复或自动保存。
经典实验 / 例子
诺曼描述自己可能在多个窗口中关错文件：如果只是弹出“是否保存”的确认框，用户常因熟悉流程而直接点过，甚至把大量已写文字丢掉。更好的做法是让当前对象更显眼，并把操作设计成可恢复，比如秘密保存最近版本，下次打开时询问是否恢复，而不是只依赖确认框。
书中案例出处
关错窗口与撤销
核心原文线索
关错窗口与撤销
案例现场复述
多窗口工作时，确认框可以拦住一部分失误，却拦不住带着错误目标继续确认；可逆和自动恢复能减少真实损失。
为什么重要
它显示检测、确认和恢复不是同一件事，可靠系统需要可撤回的安全路径。
生活中的例子
内容团队的编辑器曾经一发布就覆盖线上文章，误改标题后只能找工程师查备份。后来系统加入草稿版本、发布前差异预览、10分钟一键回滚和修改人记录。编辑仍可快速发布，但发现标题错了能立刻撤回，值班工程师也能看清是哪次改动造成问题。
常见误区
误区：把恢复设计等同于弹确认框。 对错误目标而言，用户会带着错误理解继续确认。恢复设计要保留可见状态、可逆操作和补救路径。