Wątek usability w katastrofie smoleńskiej?
Wiem, pewnie macie dość tej debaty, w której częściej niż o odkrycie prawdy chodzi o to, aby ta „prawda” odpowiadała odkrywającemu.
Ale czytając niedawno jeden z artykułów na temat raportu komisji Millera, znalazłem fragment, który zabrzmiał dla mnie jak alarm:
Według komisji załoga próbowała przerwać lądowanie, ale skończyło się to niepowodzeniem. Dlaczego? Udało nam się poznać prawdopodobną przyczynę.
Na wolancie samolotu Tu-154M znajduje się przycisk ?uchod?, który powoduje automatyczne odejście samolotu na drugi krąg, czyli przerwanie lądowania. Teoretycznie ?uchod? działa tylko na nowocześniejszych lotniskach posiadających system ILS, wspomagający lądowanie w trudnych warunkach.
Według ustaleń komisji Jerzego Millera ? która przeprowadziła eksperymenty na drugim polskim tupolewie ? przycisk zadziałałby również na lotnisku bez ILS, czyli takim jak w Smoleńsku. Jest tylko jeden problem. Najpierw trzeba go aktywować (w żargonie lotniczym ?uzbroić?) dokładnie tak, jak to się robi przed lądowaniem na lotnisku z systemem ILS.
Przycisk ?uchod? można aktywować przez naciśnięcie przycisków ?zachod? i ?glis?, dzięki czemu samolot sam wyznacza sobie ścieżkę odejścia. Problem w tym, że piloci mogli o tym nie wiedzieć. Informacja, że ?uchod? trzeba uzbroić nawet wtedy, gdy na lotnisku brak systemu ILS, nie znalazła się bowiem w oficjalnej instrukcji Tu-154M. ? Piloci mogliby się o tym dowiedzieć podczas szkoleń na symulatorach, ale niestety takich szkoleń nie mieli ? opowiada nasz rozmówca z komisji.
W samym raporcie jako jeden z przypisów na stronie 229 czytamy:
Zdaniem Komisji, pilot próbował zrealizować zaplanowany manewr odejścia na drugi krąg za pomocą systemu ABSU przy użyciu przycisku ?odejście? i był zaskoczony brakiem reakcji samolotu na swoje działania. Odłączenie autopilota (kanał podłużny) nastąpiło po upływie 3,5 s poprzez przesilenie jego pracy (przez ściągnięcie sterownicy ?na siebie?), po czym dowódca zwiększył moc i rozpoczął procedurę odejścia.
4 sekundy później samolot uderzył w pierwsze drzewo.
Teoria ta bywa podważana, bo komisja nie miała żadnych dowodów na to, że pilot próbował „Odejście” wciskać. Ale popatrzmy na ustalenia komisji:
- Jest przycisk „Odejście”, który zadziała automatycznie, trzeba go jednak wcześniej aktywować.
- Piloci nie mieli tego fragmentu w instrukcji, więc mogli o tym nie wiedzieć.
- Nie było żadnej sygnalizacji, że przycisk (czyli związana z nim funkcja) nie jest aktywowany, dlatego pilot próbował go wcisnąć.
Mamy tu ewidentny błąd użyteczności! Błąd ten pojawia się zawsze, gdy interfejs może mieć kilka stanów, a jego działanie zależy od stanu, w którym jesteśmy. Znanym na co dzień przypadkiem mogą być przyciski w radiach samochodowych, z których każdy może pełnić kilka funkcji. Jeśli mam włączone radio, to pokrętłem zmieniam stację. Jeśli mam włączone CD, zmieniam utwory i tak dalej. Z samego faktu, że słuchamy radia czy CD wynika to, że wiemy jak przycisk zadziała. A więc skuteczność zależy od mojej wiedzy na temat stanu przycisku.
No i to samo powinni wiedzieć piloci Tu-154M. Gdy było włączone ILS, przycisk „zawsze działał”, gdy było wyłączone – no właśnie, jak przycisk się zachowa, tego nie widzieli. Gdyby funkcja „odejście” była oznaczona jako aktywna lub nieaktywna, być może ten lot mógł przebiegać inaczej.
Co jest jeszcze charakterystyczne. Komentując to wydarzenie prasa podaje dwie przyczyny:
- Błąd pilotów, którzy się nie upewnili jak działa przycisk „Odejście” (czyli winni są piloci)
- Niedostateczne wyszkolenie pilotów, którzy nie przelatali tej sytuacji na symulatorze (czyli winien jest system szkolenia).
Nikt, ale to nikt nie pisze o błędzie konstruktorów samolotu, którzy nie powinni dopuścić, aby pilot uruchamiał funkcję, którą trzeba wcześniej aktywować.
Żeby było jasne – nie chcę tutaj pouczać ani dziennikarzy, ani ekspertów lotniczych. Na kokpicie samolotu takich funkcji są pewnie setki. Ale może właśnie dlatego trzeba się przyjrzeć, czy pod względem ergonomii sterowanie takich samolotów jest optymalne.
PS1. Po włączeniu „glis” i „zachod” palą się odpowiednie lampki, więc informacja o statnie systemu jest, choć pytanie czy od razu piloci ją wiążą z działaniem przycisku.
Podobne artykuły:
Być może zainteresują Cię następujące artykuły:
- Kwestionuj tradycje: narzędzia na stronach artykułowych
- Użyteczność, a dostępność
- Przypadki użycia, a scenariusze użytkownika
- 13 UX Book Club – „Prostota i użyteczność” już 25 kwietnia
- „Więcej” to nie lepiej – o efektach ubocznych zmian w interfejsie
Zapisz się na kanał RSS bloga i dołącz do ponad 1500 czytelników RSS.
1 sierpnia 2011 21:15
Tak, to jest błąd usability – ale to nie wina konstruktorów samolotu. Samolot jest trochę jak… hm, brakuje mi dobrej analogii – choinka? Domowy zestaw AV? Chodzi o to, że kolejne modernizacje wymieniają część awioniki, zostawiając resztę. Gość, który zamontował przycisk „Uchod”, nie mógł wiedzieć, że za dwadzieścia lat ktoś domontuje do autopilota możliwość współpracy z nowozamontowanym ILS-em. Gość, który domontowywał, miał zmieścić się w budżecie, więc wymiana wszystkich potencjalnie mylących elementów wystroju kabiny na poprawne z punktu widzenia usability nie wchodziła w grę.
Poza tym – to jest kwestia poboczna, jak ta nieszczęsna brzoza. Podstawową przyczyną było olanie przez pilotów minimów. Jak to ktoś ładnie na lotnictwo.net podsumował – oni nie byli za nisko o sto metrów. Oni byli za nisko o kilka tysięcy stóp, bo nie powinni byli nawet próbować podchodzić do lądowania.
1 sierpnia 2011 21:19
To ja się pytam..dlaczego Cię nie było w komisji Millera?
1 sierpnia 2011 21:23
@Balawejder: no właśnie czekam, może mnie przynajmniej zaproszą do śniadania w Trójce. Albo pod namiot, czy coś.
@trasz: z tego powodu który opisałeś, nie dałem tytułu „Złe usability zabiło Kaczyńskiego”, choć taki może nawet i na Wykopie miałby szansę…
2 sierpnia 2011 14:25
O ile dobrze pamiętam, jest jeszcze jedno wytłumaczenie tego „problemu usability”, którego udzielił pilot (chyba nawet będący członkiem komisji).
Otóż zachowanie to nie jest opisane w instrukcji. Oznacza to zatem, że nie jest to planowana funkcjonalność, a konstrukcyjny zbieg okoliczności (mniej więcej tego określenia użył ów pilot).
W moim informatycznym rozumku kształtuje się zatem taka analogia: korzystając z 32-bitowego typu całkowitego ze znakiem i dodając do siebie dwie liczby 2,5 mld otrzymam w wyniku liczbę ujemną. Każdy może się o tym przekonać pisząc prosty program np. w c++. Czy programiści powinni o tym wiedzieć? Raczej tak. Czy powinni z tego korzystać? Raczej nie.
Prawda jest taka, że w większości zaawansowanych systemów można znaleźć funkcje, które nie były planowane, ale tak się złożyło, że jak dobrze pokombinować, to da się ich użyć. Wolałbym chyba jednak, żeby piloci samolotów nie byli uczeni „jak hackować samolot w locie”. Śmiem twierdzić (choć żaden ze mnie ekspert od lotnictwa), że przyczyną katastrofy nie był raczej przycisk, tylko kilka wydarzeń, które miały miejsce przed tym, jak zaistniała konieczność jego wciśnięcia…
2 sierpnia 2011 14:33
PS. Na Discovery (bodajże) była kiedyś seria programów o katastrofach lotniczych. Jeśli szukasz przykładów złego usability, to tam było tego całkiem sporo.
Najbardziej zapadł mi chyba w pamięci przypadek samolotu, w którym na jednym wskaźniku podawane były 2 różne informacje (obie dotyczące prędkości opadania/wznoszenia), a to, która jest aktualnie wyświetlana zmieniało się przełącznikiem. Błąd ten został naprawiony po katastrofie samolotu, który rozbił się, bo przełącznik był źle ustawiony i piloci myśleli, że opadają znacznie wolniej niż w rzeczywistości (liczba wskazywana była poprawna, tylko była odczytem nie tego parametru lotu). W trakcie śledztwa w sprawie tej katastrofy okazało się, że ten problem pojawiał się w trakcie sporej części wszystkich lądowań tego modelu samolotu, a ich załogi po prostu miały na tyle szczęścia, że była lepsza pogoda i ktoś zauważał, że coś jest nie tak…
3 sierpnia 2011 13:12
No też mi chodziły takie myśli po głowie jak słuchałem o różnych przyczynach katastrofy. Już Cooper podaje we wstępie do „wariatów” właśnie przykład katastrofy lotniczej, gdzie złe projektowanie można uznać za conajmniej współwinne.