Incidente do abatimento do voo 655 em 1988 é classificado como um desastre de interface do usuário

Resumo: a tragédia do Iran Air 655 e a importância da UI

• Em 3 de julho de 1988, ocorreu um incidente em que o cruzador lança-mísseis da Marinha dos EUA, USS Vincennes, abateu o voo Iran Air 655, matando todos a bordo.
• O Vincennes, equipado com o Aegis, então o sistema de defesa antiaérea mais avançado do mundo, levantou dúvidas sobre a causa de ter identificado erroneamente e abatido uma única aeronave civil.
• O relatório oficial da Marinha dos EUA concluiu que a culpa não era do sistema Aegis, mas da tripulação; no entanto, defeitos posteriormente revelados na interface do usuário do Aegis sugerem que eles também foram parte da causa do acidente.

Opinião do GN⁺

O ponto mais importante deste texto é enfatizar o quanto o design da interface do usuário (UI) é importante. Mesmo em situações de estresse extremo, como em combate, os sistemas devem ser projetados para que os usuários obtenham informações claras e precisas. Este texto oferece um caso interessante não apenas para engenharia de software, mas também para profissionais de várias áreas, mostrando como um design de UI inadequado pode levar a consequências graves.

[GN⁺]

Opiniões do Hacker News

• É interessante ver essa história no HN. Hoje trabalho na empresa que redesenhou a HMI/UI depois desse acidente; mais precisamente, esse caso foi o motivo da fundação da empresa.
  Depois do acidente, o Comando da Marinha dos EUA em San Diego entrou em contato com professores de ciência cognitiva e psicologia da UCSD que estudavam tomada de decisão de alto risco sob estresse e carga cognitiva, e a Marinha ficou tão impressionada com a análise detalhada e as recomendações deles que continuou colaborando em outros projetos.
  No fim, o volume de trabalho para a Marinha cresceu tanto que eles fundaram uma empresa focada em ergonomia e design de interfaces para sistemas complexos; os dois cofundadores originais se aposentaram recentemente, e o novo CEO é o ex-comandante do USS Zumwalt.

  • Seria bom se houvesse algum material para ler sobre isso. Parece que há bastante a aprender também para o monitoramento de cibersegurança, que hoje é uma bagunça.
    As apostas são um pouco menos letais, mas ainda assim importantes.
  • Um fato curioso é que o comandante do Vincennes se formou em psicologia, e o pai dele também foi psicólogo da Marinha dos EUA durante a Segunda Guerra Mundial.
  • Engenheiros de software às vezes refletem sobre a importância do próprio trabalho comparando-o a outras áreas da engenharia em que erros podem ferir ou matar pessoas. Mas também existem profissões que ferem ou matam pessoas independentemente da qualidade do trabalho.
  • Essa empresa é a PSE?

• Outro bom texto sobre esse acidente está no excelente blog Admiral Cloudberg:
  https://admiralcloudberg.medium.com/the-long-shadow-of-war-t...
  Outro texto da mesma série também tem relação com erros de UX: o do voo Air France 447.
  Esse acidente aconteceu em parte por causa do modo como, quando as entradas dos dois manches eram diferentes, o sistema tirava uma média entre elas. Era diferente da estrutura de um Boeing da época, em que os controles eram fisicamente conectados, tornando entradas contraditórias em si difíceis, e em que era possível sentir o outro piloto empurrando ou puxando o manche.
  Quando o avião entrou em estol, um piloto corretamente baixou o nariz para sair do estol, enquanto o outro, de forma instintiva que parecia certa, mas na realidade era errada, puxou o nariz para cima. As entradas se anularam e tiveram quase nenhum efeito; no fim, ambos estavam puxando, mas no momento inicial, quando ainda dava para resolver o problema, não era assim.
  https://admiralcloudberg.medium.com/the-long-way-down-the-cr...
  O comandante estava em descanso e voltou à cabine nos momentos finais; acabou percebendo o problema, mas já era tarde demais.
  “Continue puxando”, disse Dubois, e talvez isso tenha sido uma resignação cínica diante do destino.

  • No lado da Boeing, também não é tão explicitamente simples assim. Como a Boeing normalmente não usa trim automático, você pode estar em oposição ao copiloto e ainda assim achar que o trim está errado, ou até que há carga aerodinâmica excessiva.
    A famosa exceção é o MCAS do 737 MAX, que teve documentação e treinamento insuficientes; e, pelo que sei, Boeings mais recentes como o 777 e o 787 são fly-by-wire e usam trim automático.
    Se houver carga aerodinâmica excessiva no estabilizador, pode ser necessária a força dos dois pilotos para corrigir um trim incorreto e, em situações extremas, talvez seja preciso reduzir aerodinamicamente a carga para permitir o trim manual.
  • Não sei se é verdade, mas lembro de ter lido que essa conexão física era um elo que podia ser rompido. A ideia era que, se um dos controles travasse, seria possível romper a conexão com bastante força e então voar usando o outro controle.
  • A Air France também parece ter criado uma situação em que os pilotos brigavam entre si pelo controle: https://www.avweb.com/aviation-news/air-france-crew-fought-e...
    É bom saber que a Airbus pretende incluir sidesticks com force feedback no futuro.
  • O trágico voo AF447 também aparece com bastante frequência no HN. Houve uma conversa recente [0]
    [0] https://news.ycombinator.com/item?id=37089363
  • No cockpit da Airbus, essa é uma parte difícil de mudar. Pela natureza dos sidesticks, é impossível conectá-los mecanicamente; para isso ser possível, seria necessário um sistema de motores muito complexo em cada stick, capaz de fornecer force feedback equivalente à força com que um piloto puxa com força.

• Pensando no quanto o HN critica telas sensíveis ao toque em carros, também vale ver como a substituição de controles analógicos antigos por uma UI de tela sensível ao toque via software contribuiu em parte para a colisão do USS John S. McCain: https://features.propublica.org/navy-uss-mccain-crash/navy-i...

  • Artigo muito interessante. Na vida, sinto que estou sempre lutando contra esse tipo de UI mal-ajambrada e contra a UI à la Apple, que tenta otimizar apenas a beleza, empurrando quase tudo para uma “gaveta de tralhas •••” ou para trás de um pequeno ícone (i), independentemente da utilidade
    É surpreendente que, em um navio de centenas de bilhões de dólares, ninguém tenha pensado em colocar uma placa vermelha em inglês simples ao lado de um grande botão vermelho dizendo algo como “Botão de assumir controle de emergência. Ao pressioná-lo, o controle de direção volta para esta posição”
    Designers de software também poderiam ter usado linguagem simples e direta, tornado fácil fazer a coisa certa e feito com que coisas estranhas só fossem possíveis de modo deliberado. Se é extremamente incomum dividir independentemente o controle de propulsão de bombordo/boreste entre duas pessoas, então, após “transferir controle de propulsão”, deveria aparecer um modal com um enorme botão “ambos” e botões menores “só bombordo” e “só boreste”
    Também me pergunto por que não incluir uma simples orientação por voz ao transferir algo tão importante quanto o controle do navio. Um alto-falante não custa uns 20 dólares cada? Algo como “O controle de propulsão foi transferido para o Lee Helm” ou “O botão vermelho de assumir controle nessa posição foi pressionado, e todo o controle foi transferido para a Bridge” bastaria
    Às vezes parece que só pessoas sem noção e devotos de Jony Ive fazem design de UI

• Mesmo que o rastro do contato tivesse sido exibido como um caça F-14, parece estranho presumir que o Irã de repente enviaria um único F-14 para atacar um navio. Fico pensando se não houve um momento de “será que isso não é um engano?”
  Lembro do caso de Stanislav Petrov, que interpretou como mau funcionamento dos equipamentos quando o sistema soviético de alerta antecipado indicou o lançamento de ICBMs
  Claro que os stakes eram um pouco diferentes. Abater um avião de passageiros é menos grave do que o risco de iniciar uma guerra nuclear mundial

  • Por que isso seria repentino? Dois meses antes do incidente, na Operation Praying Mantis, os EUA afundaram a fragata iraniana Sahand, a lancha de ataque rápido Joshan e três lanchas rápidas iranianas
    Além disso, a fragata iraniana Sabalan ficou gravemente danificada, duas plataformas iranianas foram destruídas, um caça iraniano foi danificado e pelo menos 56 tripulantes iranianos morreram
    Naquele mesmo dia, um helicóptero dos EUA havia recebido disparos de armas leves de uma lancha de patrulha iraniana, e a derrubada ocorreu durante a perseguição a essa lancha
    Nesse contexto, não é tão estranho pensar que o Irã poderia lançar um caça para atacar
  • À parte a falha de UI, olhando principalmente para a Proceedings[2] do US Naval Institute e para a investigação oficial, o relatório Fogarty[3], há alguns pontos
    Era prática padrão apontar o radar de controle de tiro de mísseis para aeronaves militares iranianas para enviar um aviso de que deveriam voltar. O comandante Carlson relembrou: “Quando travávamos aquele radar nelas, elas iam para casa. Não tinham interesse nos mísseis”
    O comandante do Vincennes era conhecido por atirar de forma precipitada, e o Vincennes tinha o apelido de Robo-Cruiser
    No momento do abate, o Vincennes estava dentro das águas territoriais iranianas
    As fitas do USS Vincennes, as informações do USS Sides e materiais de informação confiáveis sustentam o fato de que o TN 4131, após decolar de Bandar Abbas até o momento em que foi abatido, continuava ganhando altitude, seguindo o perfil de plano de voo normal de uma aeronave comercial e transmitindo Mode III 6760
    “O comandante Rogers era um aluno difícil. Não tinha interesse na especialização dos instrutores e tinha o hábito constrangedor de violar as regras de engajamento em jogos de guerra”[2]
    O coordenador de guerra aérea, tenente-comandante Lustig, chegou a receber a Navy Commendation Medal por “realização heroica” e pela “capacidade de manter calma e confiança mesmo sob fogo”, sendo avaliado como alguém que, graças a isso, “concluiu os procedimentos de disparo rápida e corretamente”
    Todos os tripulantes do Vincennes e do Elmer Montgomery receberam a combat action ribbon
    [1] https://www.newsweek.com/sea-lies-200118
    [2] https://www.usni.org/magazines/proceedings/1993/august/vince...
    [3] https://archive.org/details/FormalInvestigationintotheCircum...
  • No ano anterior, a fragata americana USS Stark havia sido seriamente danificada por uma aeronave iraquiana. O comandante não esperava um ataque do Iraque e tentou várias vezes fazê-la se afastar com alertas, até que a aeronave disparou dois mísseis que atingiram o navio
    Se o sistema de resposta do Stark tivesse funcionado corretamente, os mísseis provavelmente teriam sido abatidos, mas isso não aconteceu, e 37 americanos morreram
    Visto nesse contexto, não é estranho tratar uma aeronave iraniana como uma ameaça séria
  • Pelo que entendo, um único F-14 poderia disparar um míssil Exocet e abrir um buraco muito grande em um porta-aviões, e, nas condições certas, talvez até afundá-lo. O mesmo vale para um navio de guerra
    Lembro que, na época, talvez especialmente naquela época, isso era uma grande preocupação
  • Na época, o Irã fazia com frequência ataques de bater e correr limitados
    Alguns anos antes desse incidente, os EUA haviam testado se o F-14 podia lançar o míssil antinavio Harpoon, porque o Irã possuía tanto F-14s quanto Harpoons. O teste foi bem-sucedido
    É muito improvável que o Irã tenha de fato equipado F-14s com Harpoons, mas, por ser uma capacidade que possuía, o medo de que pudesse fazê-lo era muito real na época

• Recentemente, o PayPal também teve um desastre de UX bem grande
  O app do PayPal para iOS tinha uma forma estranha de inserir números. Era preciso digitar o valor a enviar em centavos, então, para mandar 50 dólares, você tinha que digitar 5000, e o PayPal colocava o separador decimal depois da segunda casa a partir da direita. O mais estranho era que os números ficavam alinhados à direita, dando a sensação de que você estava digitando de trás para frente. Nunca consegui me acostumar
  Algumas semanas atrás, sem nenhum aviso, a interface inteira mudou, e agora o usuário precisa inserir o separador decimal manualmente. Se você digitar 5000 como antes, acaba enviando 5000 dólares, não 50. Conheço uma pessoa que de fato enviou dinheiro demais, e suspeito que tenha sido por causa dessa mudança de UX
  Design cuidadoso importa

  • Falando de USD em inglês, e ainda por cima no contexto de software, chamar o separador decimal de “comma” me deu uma boa embaralhada na cabeça. No fim, acabei lendo até o artigo da Wikipédia sobre separador decimal, e a parte de que mais gostei foi esta
    O Unicode define um símbolo de tecla de separador decimal (⎖, hexadecimal U+2396, decimal 9110), parecido com um apóstrofo. Esse símbolo vem da ISO/IEC 9995 e serve para indicar, em um teclado, a tecla que realiza a separação decimal
  • A entrada de preços em centavos era prática comum no varejo desde a época em que terminais de POS não eram ligados diretamente às caixas registradoras e o funcionário precisava inserir o valor manualmente. Ainda assim, se você muda de repente um design ao estilo americano, é inevitável que ocorram muitos erros por todos os lados
  • Surpreendentemente, o Bank of America lida com isso direito. Grandes transferências eletrônicas exigem obrigatoriamente reinserir as credenciais
  • Quando o PayPal mudou para usar como padrão a moeda local do usuário, em vez da moeda do saldo, eu também já cometi um erro parecido, enviando um valor baixo demais

• Fico me perguntando se a Tesla algum dia vai acabar no tribunal por causa de uma situação dessas
  Não estou falando do Autopilot, mas da remoção contínua, e agora absurda, de controles físicos nos carros
  Por exemplo, os primeiros Model S/X tinham controles dedicados para várias funções, como setas, câmbio, limpadores, Autopilot e inclinação do volante. Em cada lado do volante havia dois botões e uma roda de rolagem, e a buzina era acionada apertando o centro do volante. Nas portas ficavam os ajustes dos retrovisores, vidros e travas
  Infelizmente, alguns controles importantes, como desembaçador dianteiro e traseiro, ficavam na tela sensível ao toque, e a climatização e outras funções variadas também exigiam vários toques, tinham áreas de toque pequenas, ou ambos
  Nem tudo era ruim. Configurações detalhadas, mas pouco importantes, como milhas/quilômetros, são perfeitas para ficar na tela sensível ao toque. Mas eram necessários mais controles dedicados
  Com a chegada do Model 3, começou a remoção dos controles. Há apenas duas alavancas; a alavanca das setas também cuida, em certa medida, dos faróis e limpadores, e a alavanca do câmbio se sobrepõe ao Autopilot. As duas rodas de rolagem sem botões precisam ser empurradas para a esquerda e para a direita
  Todo o resto dos controles fica na tela sensível ao toque. Coisas importantes realmente precisam de controles dedicados
  Os Model S/X atualizados depois disso são ainda piores. Não há alavancas. Setas, farol alto, buzina e limpadores ficam todos em áreas sensíveis ao toque no volante, e as rodas de rolagem têm funções diferentes dependendo do contexto
  Também não há câmbio, e o carro tenta adivinhar para que direção o motorista quer ir. Mais funções, como colocar em estacionamento, passam pela tela sensível ao toque. Também há um seletor de marcha sensível ao toque no console central, mas é preciso olhar para baixo, tocar para acordá-lo e então escolher
  É uma bagunça completa, e torna a condução pior

  • Há um relato de acidente relacionado a isso
    Às vezes, sem motivo aparente, o carro se recusa a entrar em Drive/Ré
    Pouco depois de comprar meu primeiro Tesla, eu estava fazendo uma manobra em três pontos para entrar em uma entrada de garagem. Avancei um pouco, parei, virei o volante, empurrei a alavanca para colocar em ré e pisei no acelerador, mas o carro foi para a frente e amassou a porta do meu carro antigo. Tirando o ícone na tela, não havia indicação de que o carro tinha recusado o comando de ré
    Agora a Tesla lançou uma atualização que emite um som quando muda para Drive/Ré, e outro som separado quando o carro recusa o comando. É muito melhor, mas ainda é irritante, especialmente logo depois de entrar no carro, porque ele ainda recusa com bastante frequência o comando para entrar em Drive/Ré. Hoje, por hábito, aperto a alavanca do câmbio 4 ou 5 vezes assim que entro
  • Lembro que, na Alemanha, eles já tiveram problemas por causa disso. Certos controles precisavam seguir um formato definido por lei, e a Tesla ignorou isso
    Comprei um carro novo recentemente, e para mim a disposição dos controles foi um critério decisivo de compra. Fabricantes demais embarcaram na onda das telas sensíveis ao toque
    Para alguns usos, como Android Auto, tudo bem, mas fazer tudo sempre por tela sensível ao toque era idiota em Star Trek e é idiota na vida real. Funções como luzes, limpadores e climatização precisam obrigatoriamente de controles físicos
  • Até o inverno passado, eu não sabia o quanto os limpadores de para-brisa eram importantes. Eu estava em uma estrada de duas faixas, em velocidade de rodovia, entrando em uma curva; no dia anterior tinha caído uma neve fraca, então a estrada estava derretida, molhada e cheia de lama
    Um caminhão na pista contrária deve ter passado por uma poça, porque água com lama espirrou de repente em grande quantidade no para-brisa, e havia uma curva logo à frente, então eu precisava ver para onde estava indo
    Eu tinha cerca de 1 segundo para encontrar onde ficavam os limpadores, e o carro era de outra pessoa. Se eu não tivesse encontrado, teria saído da estrada ou invadido a pista contrária. Não é hora de ficar procurando às pressas o botão dos limpadores em uma tela sensível ao toque
  • Exatamente
    Não comprei um Tesla de propósito porque quero dirigir um carro, não um brinquedo
    Interfaces de toque não são todas ruins, mas, em situações que exigem alta concentração e em que a entrada muda dinamicamente, elas viram um desastre

• Pelo segundo dia seguido, uma thread do Mastodon chegou à primeira página do HN. Não sei quando foi a última vez que uma thread do Twitter fez isso, e também me pergunto se ainda há alguém que não suspeite que o Twitter já não é mais o centro das conversas de tecnologia

  • Muitos dos eventos recentes relacionados à OpenAI que apareceram aqui eram links do Twitter, e vi bastante gente usando isso como argumento de que o Twitter ainda é o centro
  • Uma diferença é que o Twitter agora não mostra threads para usuários não logados, enquanto o Mastodon mostra. Se a mesma thread estiver nos dois sites, parece melhor linkar para o Mastodon
  • Considerando os últimos 10 dias em https://news.ycombinator.com/front, houve 1 hoje, 1 há 5 dias, 3 há 7 dias e 2 há 9 dias
  • É bom poder ver a conversa inteira sem passar por barreiras de login ou algo como nitter
  • O que estamos vendo agora é um bom exemplo de viés de confirmação

• Fico curioso para saber como isso se comparava à tecnologia geral de controle de tráfego aéreo da época. O pessoal do controle fazia melhor? Claro que, mesmo naquele período, houve muitos desastres causados pelo controle de tráfego aéreo.

• No começo achei que fosse um texto sobre flat design, mas depois li o toot inteiro. Quem imaginaria que a UI poderia ser tão ruim em uma operação de vida ou morte?
  Seria bom se alguém publicasse mais detalhes sobre a UI confusa que de fato levou a esse incidente. Acho que seria uma boa lição para a maioria de nós.
  Também parece que a Lockheed ganhou um contrato relacionado a esse sistema em 2023 [1]. Se alguém souber se os problemas de UI foram realmente corrigidos recentemente, seria bom compartilhar.
  1 - https://news.clearancejobs.com/2023/03/13/lockheed-martin-wi...

  • Há mais detalhes na thread publicada.
    Basicamente, por algum motivo desconhecido, a direção e a posição vinham de um avião, as informações de identificação de outro, e a altitude de outro ainda.
  • Só pelo título, achei que fosse sobre a nova barra lateral do Chrome.

• O Admiral Cloudberg tem um texto que aborda esse acidente em detalhes, incluindo o comportamento da interface de usuário:
  https://admiralcloudberg.medium.com/the-long-shadow-of-war-t...
  Ao ler várias interpretações sobre esse incidente, fica a impressão de que não foi apenas um problema de interface de usuário.