Zusammenfassung: Die Tragödie von Iran-Air-Flug 655 und die Bedeutung von UI
- Am 3. Juli 1988 schoss der US-Marine-Raketenkreuzer USS Vincennes den Iran-Air-Flug 655 ab, wobei alle Menschen an Bord ums Leben kamen.
- Da die Vincennes mit Aegis ausgestattet war, damals dem modernsten Luftabwehrsystem der Welt, stellte sich die Frage, wie es zur Fehlidentifikation eines einzelnen zivilen Flugzeugs und zu dessen Abschuss kommen konnte.
- Der offizielle Bericht der US Navy kam zwar zu dem Schluss, dass nicht das Aegis-System, sondern Fehler der Besatzung verantwortlich gewesen seien; später bekannt gewordene Mängel in der Benutzeroberfläche von Aegis deuten jedoch darauf hin, dass sie mit zum Unfall beitrugen.
Meinung von GN⁺
Der wichtigste Punkt dieses Textes ist die Betonung, wie entscheidend das Design von Benutzeroberflächen (UI) ist. Systeme müssen so gestaltet sein, dass Nutzer selbst in extrem stressigen Situationen wie im Kampf klare und präzise Informationen erhalten können. Der Text bietet nicht nur für Software Engineering, sondern auch für Fachleute aus vielen anderen Bereichen einen interessanten Fall und zeigt, wie fehlerhaftes UI-Design schwerwiegende Folgen haben kann.
1 Kommentare
Hacker-News-Meinungen
Interessant, das auf HN zu sehen. Ich arbeite derzeit bei dem Unternehmen, das nach diesem Unfall HMI/UI neu gestaltet hat – genauer gesagt war dieser Vorfall der Anlass für die Gründung des Unternehmens.
Nach dem Unfall wandte sich das US Navy Command in San Diego an Professoren für Kognitionswissenschaft und Psychologie an der UCSD, die Entscheidungsfindung mit hohem Risiko unter Stress und kognitiver Belastung untersuchten. Die Navy war von ihrer detaillierten Analyse und ihren Empfehlungen sehr beeindruckt und arbeitete auch bei anderen Projekten weiter mit ihnen zusammen.
Schließlich wurde die Arbeit für die Navy so umfangreich, dass sie ein Unternehmen gründeten, das sich auf Ergonomie und Interface-Design für komplexe Systeme konzentriert. Die beiden ursprünglichen Mitgründer sind kürzlich in den Ruhestand gegangen, und der neue CEO ist der ehemalige Kommandant der USS Zumwalt.
Die stakes sind etwas weniger tödlich, aber trotzdem wichtig.
Einen weiteren guten Artikel zu diesem Unfall gibt es im hervorragenden Admiral-Cloudberg-Blog:
https://admiralcloudberg.medium.com/the-long-shadow-of-war-t...
Ein anderer Beitrag aus derselben Reihe hat ebenfalls mit UX-Fehlern zu tun, nämlich Air France 447.
Dieser Unfall geschah teilweise wegen der Art und Weise, wie bei unterschiedlichen Eingaben der beiden Steuerknüppel der Mittelwert gebildet wurde. Das unterschied sich von der damaligen Boeing-Konstruktion, bei der die Steuerungen physisch verbunden waren, sodass widersprüchliche Eingaben an sich schwierig waren und der jeweils andere Pilot spüren konnte, wenn der Kollege den Steuerknüppel drückte oder zog.
Als das Flugzeug in den Strömungsabriss geriet, senkte ein Pilot korrekt die Nase, um aus dem Stall herauszukommen, während der andere instinktiv etwas tat, das richtig wirkte, tatsächlich aber falsch war: die Nase hochziehen. Die Eingaben hoben sich gegenseitig auf und hatten kaum Wirkung; am Ende zogen zwar beide, aber in der frühen Phase, als sich das Problem noch hätte lösen lassen, war das nicht so.
https://admiralcloudberg.medium.com/the-long-way-down-the-cr...
Der Kapitän war in der Ruhepause und kehrte erst im letzten Moment ins Cockpit zurück; letztlich erkannte er das Problem, aber da war es bereits zu spät.
„Weiter ziehen“, sagte Dubois – vielleicht war das auch zynische Resignation gegenüber dem Schicksal.
Die berühmte Ausnahme ist MCAS der 737 MAX, das schlecht dokumentiert und trainiert war; neuere Boeing-Modelle wie 777 oder 787 sind meines Wissens Fly-by-Wire und trimmen automatisch.
Wenn auf dem Stabilizer zu hohe aerodynamische Lasten liegen, kann es die Kraft beider Piloten erfordern, eine falsche Trimmung zu korrigieren; in Extremsituationen muss man die Last aerodynamisch reduzieren, damit manuell getrimmt werden kann.
Gut zu hören, dass Airbus künftig Side-Sticks mit Force Feedback einbauen will.
[0] https://news.ycombinator.com/item?id=37089363
Wenn man bedenkt, wie sehr Touchscreens in Autos auf HN kritisiert werden, ist auch sehenswert, wie der Ersatz alter analoger Bedienelemente durch eine Software-Touchscreen-UI teilweise zur Kollision der USS John S. McCain führte: https://features.propublica.org/navy-uss-mccain-crash/navy-i...
Erstaunlich, dass man bei einem Schiff im Wert von Hunderten Milliarden Dollar nicht einmal auf die Idee kam, neben einen großen roten Button ein schlichtes rotes Schild in einfachem Englisch zu kleben, etwa: „Notfall-Button zur Übernahme der Steuerung. Durch Drücken kehrt die Steuerung an diese Position zurück.“
Auch die Softwaredesigner hätten klare, direkte Sprache verwenden können und es einfach machen können, das Richtige zu tun, während ungewöhnliche Dinge nur absichtlich möglich sind. Wenn es extrem unüblich ist, die Backbord-/Steuerbord-Antriebssteuerung unabhängig auf zwei Personen aufzuteilen, dann sollte nach „Antriebssteuerung übertragen“ ein Modal erscheinen, mit einem riesigen Button „beide“ und kleinen Buttons „nur Backbord“ und „nur Steuerbord“.
Ich frage mich auch, warum man beim Übertragen von etwas so Wichtigem wie der Kontrolle über ein Schiff keine einfache Sprachausgabe einbaut. Lautsprecher kosten doch ungefähr 20 Dollar pro Stück, oder? „Antriebssteuerung wurde an Lee Helm übertragen“ oder „Der rote Button zur Übernahme der Steuerung an dieser Position wurde gedrückt; alle Kontrollen wurden auf die Bridge übertragen“ würde genügen.
Manchmal wirkt es, als würden nur gedankenlose Leute und Jony-Ive-Verehrer UI-Design machen.
Selbst wenn der Kontakt-Track als F-14-Jäger angezeigt wurde, wirkt die Annahme seltsam, dass der Iran plötzlich eine einzelne F-14 losschickt, um ein Schiff anzugreifen. Gab es da keinen Moment, in dem jemand dachte: „Vielleicht ist das ein Fehler?“
Das erinnert an Stanislav Petrov, der die Meldung des sowjetischen Frühwarnsystems über einen ICBM-Start als Fehlfunktion der Ausrüstung interpretierte.
Natürlich waren die stakes etwas anders. Ein Passagierflugzeug abzuschießen ist weniger gravierend als das Risiko, einen weltweiten Atomkrieg auszulösen.
Außerdem wurde die iranische Fregatte Sabalan schwer beschädigt, zwei iranische Plattformen wurden zerstört, ein iranisches Kampfflugzeug wurde beschädigt, und mindestens 56 iranische Besatzungsmitglieder starben.
Genau an diesem Tag wurde auch ein US-Hubschrauber von einem iranischen Patrouillenboot mit Handfeuerwaffen beschossen, und der Abschuss geschah während der Verfolgung dieses Patrouillenboots.
In dieser Lage ist es nicht so abwegig zu denken, der Iran könnte ein Kampfflugzeug starten und angreifen.
Es war gängige Praxis, iranische Militärflugzeuge mit dem Feuerleitradar für Raketen anzustrahlen, um sie zum Umkehren zu warnen. Captain Carlson erinnerte sich: „Wenn man dieses Radar auf sie legte, gingen sie nach Hause. An Raketen waren sie nicht interessiert.“
Der Kommandant der Vincennes galt als jemand, der vorschnell feuerte, und die Vincennes hatte den Spitznamen Robo-Cruiser.
Zum Zeitpunkt des Abschusses befand sich die Vincennes in iranischen Hoheitsgewässern.
Die Bänder der USS Vincennes, Informationen der USS Sides und verlässliche Informationsquellen stützen die Tatsache, dass TN 4131 nach dem Start in Bandar Abbas bis zum Zeitpunkt des Abschusses kontinuierlich an Höhe gewann, einem normalen Flugplanprofil eines kommerziellen Flugs folgte und Mode III 6760 sendete.
„Captain Rogers war ein schwieriger Schüler. Er hatte kein Interesse an der Fachkompetenz der Ausbilder und hatte die peinliche Angewohnheit, in Kriegsspielen gegen die Einsatzregeln zu verstoßen“[2]
Der Luftkriegskoordinator, Lieutenant Commander Lustig, erhielt sogar die Navy Commendation Medal für „heroische Leistung“ und seine „Fähigkeit, auch unter Beschuss Ruhe und Zuversicht zu bewahren“; dadurch habe er „die Schussverfahren schnell und präzise abgeschlossen“.
Alle Besatzungsmitglieder der Vincennes und der Elmer Montgomery erhielten das Combat Action Ribbon.
[1] https://www.newsweek.com/sea-lies-200118
[2] https://www.usni.org/magazines/proceedings/1993/august/vince...
[3] https://archive.org/details/FormalInvestigationintotheCircum...
Hätte das Abwehrsystem der Stark korrekt funktioniert, wären die Raketen höchstwahrscheinlich abgeschossen worden; das tat es aber nicht, und 37 Amerikaner starben.
In diesem Kontext ist es nicht ungewöhnlich, ein iranisches Flugzeug als ernsthafte Bedrohung wahrzunehmen.
Ich erinnere mich, dass das damals, vielleicht gerade damals, eine große Sorge war.
Einige Jahre vor diesem Vorfall hatten die USA getestet, ob eine F-14 eine Harpoon-Anti-Schiffsrakete abfeuern konnte, weil der Iran sowohl F-14 als auch Harpoon besaß. Der Test war erfolgreich.
Es ist sehr unwahrscheinlich, dass der Iran tatsächlich Harpoon an F-14 montiert hatte, aber weil diese Fähigkeit vorhanden war, war die Angst, dass er es tun könnte, damals sehr real.
Kürzlich gab es auch bei PayPal eine ziemlich große UX-Katastrophe
Die PayPal-iOS-App hatte eine seltsame Art der Zahleneingabe. Man musste den zu sendenden Betrag in Cent eingeben; um 50 Dollar zu senden, musste man also 5000 tippen, und PayPal setzte das Dezimaltrennzeichen hinter die zweitletzte Stelle von rechts. Noch seltsamer war, dass die Zahl rechtsbündig ausgerichtet war, sodass es sich anfühlte, als würde man rückwärts tippen. Daran habe ich mich nie gewöhnt
Vor ein paar Wochen wurde ohne jeden Hinweis die gesamte Oberfläche geändert, und jetzt muss der Nutzer das Dezimaltrennzeichen selbst eingeben. Wenn man wie früher 5000 eingibt, sendet man nicht 50 Dollar, sondern 5000 Dollar. Ich kenne tatsächlich jemanden, der viel zu viel Geld überwiesen hat, und ich vermute, dass diese UX-Änderung der Grund war
Sorgfältiges Design ist wichtig
Unicode definiert ein dem Apostroph ähnlich sehendes Tastensymbol für das Dezimaltrennzeichen (⎖, hexadezimal U+2396, dezimal 9110). Dieses Symbol stammt aus ISO/IEC 9995 und soll auf Tastaturen die Taste kennzeichnen, die die Dezimaltrennung ausführt
Ich frage mich, ob Tesla wegen so einer Situation irgendwann vor Gericht landen wird
Es geht nicht um Autopilot, sondern darum, dass im Fahrzeug immer weiter, inzwischen in einem absurden Ausmaß, physische Bedienelemente entfernt werden
Zum Beispiel hatten die frühen Model S/X für viele Funktionen eigene Bedienelemente: Blinker, Gangwahl, Scheibenwischer, Autopilot, Lenkradneigung und so weiter. Auf beiden Seiten des Lenkrads gab es jeweils zwei Tasten und ein Scrollrad, und die Hupe betätigte man durch Drücken auf die Lenkradmitte. In den Türen gab es Bedienelemente für Spiegelverstellung, Fenster und Verriegelung
Leider lagen einige wichtige Funktionen wie Front- und Heckscheibenheizung auf dem Touchscreen, und Klimatisierung sowie diverse andere Funktionen erforderten mehrere Taps oder hatten kleine Touchflächen, oder beides
Nicht alles daran ist schlecht. Detaillierte, aber unwichtige Einstellungen wie Meilen/Kilometer passen sehr gut auf den Touchscreen. Aber es hätte mehr dedizierte Bedienelemente gebraucht
Mit dem Model 3 begann die Entfernung der Bedienelemente. Es gibt nur zwei Hebel; der Blinkerhebel übernimmt bis zu einem gewissen Grad auch Scheinwerfer und Scheibenwischer, und der Gangwahlhebel überschneidet sich mit Autopilot. Die zwei Scrollräder ohne Tasten muss man nach links und rechts drücken
Alle übrigen Bedienungen liegen auf dem Touchscreen. Für wichtige Dinge braucht man wirklich dedizierte Bedienelemente
Die später aktualisierten Model S/X sind noch schlimmer. Es gibt überhaupt keine Hebel mehr. Blinker, Fernlicht, Hupe und Scheibenwischer sind alles Touchflächen am Lenkrad, und die Scrollräder haben je nach Kontext unterschiedliche Funktionen
Es gibt auch keine Gangwahl mehr; das Auto errät, in welche Richtung der Fahrer fahren möchte. Noch mehr Funktionen, etwa in Parken zu schalten, laufen über den Touchscreen. In der Mittelkonsole gibt es zwar ebenfalls einen Touch-Fahrtrichtungswähler, aber man muss nach unten schauen, ihn durch Berühren aufwecken und dann auswählen
Es ist ein völliges Durcheinander und macht das Fahren schlechter
Manchmal weigert sich das Auto ohne erkennbaren Grund, in Drive/Reverse zu schalten
Kurz nachdem ich meinen ersten Tesla gekauft hatte, machte ich eine Drei-Punkt-Wende, um in eine Einfahrt zu fahren. Ich fuhr ein Stück vor, hielt an, drehte das Lenkrad, drückte den Hebel, um in den Rückwärtsgang zu schalten, und trat aufs Gaspedal, aber das Auto fuhr vorwärts und verbeulte die Tür meines alten Autos. Abgesehen vom Symbol auf dem Bildschirm gab es keinen Hinweis darauf, dass das Auto den Rückwärtsbefehl abgelehnt hatte
Inzwischen hat Tesla ein Update veröffentlicht, sodass beim Wechsel in Drive/Reverse ein Ton ertönt und ein anderer Ton abgespielt wird, wenn das Auto den Befehl ablehnt. Das ist viel besser, aber es ist immer noch nervig, weil es den Befehl zum Einlegen von Drive/Reverse ziemlich oft ablehnt, besonders direkt nach dem Einsteigen. Mittlerweile drücke ich aus Gewohnheit direkt nach dem Einsteigen vier- bis fünfmal den Gangwahlhebel
Ich habe mir kürzlich ein neues Auto gekauft, und für mich war die Anordnung der Bedienelemente ein kaufentscheidendes Kriterium. Zu viele Hersteller sind auf den Touchscreen-Trend aufgesprungen
Für manche Zwecke wie Android Auto ist das in Ordnung, aber alles immer über den Touchscreen zu machen, war schon in Star Trek dumm und ist es auch in der Realität. Für Funktionen wie Licht, Scheibenwischer und Klimatisierung sind physische Bedienelemente unverzichtbar
Ein Lkw auf der Gegenfahrbahn muss wohl durch eine Pfütze gefahren sein, denn plötzlich spritzte eine große Menge Schlammwasser auf die Windschutzscheibe, und wegen der nahenden Kurve musste ich sehen, wohin ich fuhr
Ich hatte ungefähr eine Sekunde Zeit, die Scheibenwischer zu finden, und es war nicht mein Auto. Hätte ich sie nicht gefunden, wäre ich von der Straße abgekommen oder auf die Gegenfahrbahn geraten. Das ist nicht der Moment, in dem man hektisch auf einem Touchscreen nach der Wischertaste sucht
Ich habe bewusst keinen Tesla gekauft, weil ich ein Auto fahren wollte, kein Spielzeug
Touch-Interfaces sind nicht grundsätzlich schlecht, aber in Situationen, die hohe Konzentration erfordern und in denen sich Eingaben dynamisch ändern, werden sie zur Katastrophe
Zwei Tage in Folge sind Mastodon-Threads auf der HN-Startseite gelandet. Ich weiß nicht, wann das zuletzt mit Twitter-Threads passiert ist, und frage mich, ob es noch jemanden gibt, der nicht daran zweifelt, dass Twitter nicht mehr das Zentrum technischer Diskussionen ist
Ich frage mich, wie das im Vergleich zur damals üblichen Flugsicherungstechnik aussah. War die Flugsicherung besser aufgestellt? Natürlich gab es auch in dieser Zeit viele Katastrophen, deren Ursache bei der Flugsicherung lag.
Zuerst dachte ich, das sei ein Beitrag über Flat Design, dann habe ich den ganzen Toot gelesen. Wer hätte erwartet, dass eine UI in einem Einsatz, bei dem es um Leben und Tod geht, so schlecht sein kann?
Es wäre gut, wenn jemand mehr Details zu der verwirrenden UI posten würde, die diesen Vorfall tatsächlich mitverursacht hat. Das wäre für die meisten von uns wohl eine gute Lektion.
Es sieht auch so aus, als hätte Lockheed 2023 einen Vertrag zu diesem System gewonnen [1]. Falls jemand weiß, ob die UI-Probleme in letzter Zeit tatsächlich behoben wurden, wäre es gut, wenn er das teilen könnte.
1 - https://news.clearancejobs.com/2023/03/13/lockheed-martin-wi...
Im Grunde kamen, aus welchem Grund auch immer, Richtung und Position von einem Flugzeug, die Identifikationsinformationen von einem anderen und die Höhe wiederum von einem weiteren Flugzeug.
Admiral Cloudberg hat einen ausführlichen Artikel zu diesem Unfall geschrieben, einschließlich des Verhaltens der Benutzeroberfläche:
https://admiralcloudberg.medium.com/the-long-shadow-of-war-t...
Wenn man verschiedene Deutungen dieses Vorfalls liest, bleibt der Eindruck, dass es nicht einfach nur ein Problem der Benutzeroberfläche war.