Insiden Penembakan Jatuh Penerbangan 655 pada 1988 Ditetapkan sebagai Bencana Antarmuka Pengguna

Ringkasan: Tragedi Iran Air Penerbangan 655 dan pentingnya UI

• Pada 3 Juli 1988, kapal penjelajah misil Angkatan Laut AS USS Vincennes menembak jatuh Iran Air Penerbangan 655, menewaskan seluruh penumpang di dalamnya.
• Vincennes, yang saat itu dilengkapi Aegis, sistem pertahanan udara paling canggih di dunia, memunculkan pertanyaan tentang bagaimana bisa salah mengidentifikasi satu pesawat sipil lalu menembaknya jatuh.
• Laporan resmi Angkatan Laut AS menyimpulkan bahwa penyebabnya adalah kesalahan awak, bukan sistem Aegis, tetapi kemudian terungkap bahwa cacat pada antarmuka pengguna Aegis juga mengindikasikan diri sebagai salah satu penyebab insiden.

Pendapat GN⁺

Hal terpenting dalam tulisan ini adalah penekanan pada betapa pentingnya desain antarmuka pengguna (UI). Sistem harus dirancang agar pengguna bisa memperoleh informasi yang jelas dan akurat bahkan dalam situasi yang sangat penuh tekanan seperti pertempuran. Tulisan ini menghadirkan studi kasus yang menarik bukan hanya bagi rekayasa perangkat lunak, tetapi juga bagi para profesional di berbagai bidang, sekaligus menunjukkan bagaimana desain UI yang buruk dapat menimbulkan konsekuensi serius.

[GN⁺]

Komentar Hacker News

• Menarik melihat topik ini di HN. Saat ini saya bekerja di perusahaan yang mendesain ulang HMI/UI setelah insiden ini, atau lebih tepatnya, peristiwa inilah yang menjadi pemicu berdirinya perusahaan tersebut
  Setelah insiden itu, US Navy Command di San Diego menghubungi para profesor ilmu kognitif dan psikologi UCSD yang meneliti pengambilan keputusan berisiko tinggi di bawah stres dan beban kognitif. Angkatan Laut sangat terkesan dengan analisis rinci dan rekomendasi mereka, lalu terus berkolaborasi dengan mereka di proyek-proyek lain
  Pada akhirnya pekerjaan dari Angkatan Laut menjadi terlalu banyak, sehingga mereka mendirikan perusahaan yang berfokus pada rekayasa faktor manusia dan desain antarmuka untuk sistem kompleks. Dua co-founder aslinya baru-baru ini pensiun, dan CEO barunya adalah mantan kapten USS Zumwalt

  • Akan bagus kalau ada materi bacaan terkait hal ini. Sepertinya ada cukup banyak pelajaran yang bisa diambil juga untuk pemantauan keamanan siber yang sekarang masih berantakan
    Taruhannya memang sedikit kurang mematikan, tetapi tetap penting
  • Ada fakta menarik bahwa kapten Vincennes mengambil jurusan psikologi, dan ayahnya juga merupakan psikolog Angkatan Laut AS pada masa Perang Dunia II
  • Software engineer sering memikirkan pentingnya pekerjaan mereka dengan membandingkannya dengan bidang rekayasa lain, tempat kesalahan bisa melukai atau membunuh orang. Namun ada juga pekerjaan yang melukai atau membunuh orang terlepas dari kualitas pekerjaannya
  • Apakah perusahaan itu PSE?

• Tulisan bagus lain tentang insiden ini ada di blog Admiral Cloudberg yang luar biasa:
  https://admiralcloudberg.medium.com/the-long-shadow-of-war-t...
  Artikel lain dalam seri yang sama juga berkaitan dengan kesalahan UX, yaitu Air France Penerbangan 447
  Insiden ini sebagian terjadi karena sistem mengambil rata-rata ketika input dua sidestick berbeda. Berbeda dengan Boeing pada masa itu, yang terhubung secara fisik sehingga input yang saling bertentangan sulit terjadi, dan pilot lain bisa merasakan rekannya mendorong atau menarik kendali
  Saat mengalami stall, satu pilot dengan benar menurunkan hidung pesawat untuk keluar dari stall, sementara pilot lainnya melakukan tindakan menaikkan hidung pesawat yang secara naluriah tampak benar tetapi sebenarnya keliru. Input mereka saling meniadakan sehingga hampir tidak berdampak, dan pada akhirnya keduanya memang sama-sama menarik, tetapi pada fase awal ketika masalah masih bisa diselesaikan, kondisinya tidak demikian
  https://admiralcloudberg.medium.com/the-long-way-down-the-cr...
  Kapten sedang beristirahat lalu kembali ke kokpit pada saat-saat terakhir, dan akhirnya menyadari masalahnya, tetapi sudah terlambat
  “Terus tarik,” kata Dubois, dan mungkin saja ucapan itu merupakan kepasrahan sinis terhadap takdir

  • Pihak Boeing juga tidak sesederhana dan seterang-terangan itu. Boeing biasanya tidak melakukan auto-trim, jadi meskipun sedang saling melawan dengan kopilot, seseorang bisa saja mengira trim-nya tidak tepat, atau bahkan menganggap beban aerodinamisnya berlebihan
    Pengecualian terkenal adalah MCAS pada 737 MAX, yang dokumentasi dan pelatihannya kurang, dan setahu saya Boeing yang lebih baru seperti 777 atau 787 menggunakan fly-by-wire sehingga melakukan auto-trim
    Jika stabilizer mendapat beban aerodinamis berlebih, tenaga kedua pilot mungkin diperlukan untuk memperbaiki trim yang salah, dan dalam situasi ekstrem beban aerodinamis mungkin harus dikurangi agar trim manual bisa dilakukan
  • Saya tidak tahu apakah ini benar, tetapi saya ingat pernah membaca bahwa sambungan fisik itu adalah link yang bisa diputus. Katanya, jika salah satu perangkat kendali macet, link itu dapat diputus dengan gaya yang kuat agar pesawat bisa diterbangkan menggunakan perangkat kendali yang lain
  • Air France tampaknya juga menciptakan situasi di mana para pilot saling berebut kendali: https://www.avweb.com/aviation-news/air-france-crew-fought-e...
    Senang mendengar Airbus berencana memasang sidestick dengan force feedback ke depannya
  • Tragedi AF447 juga cukup sering dibahas di HN. Ada percakapan terbaru juga [0]
    [0] https://news.ycombinator.com/item?id=37089363
  • Ini bagian yang sulit diubah pada kokpit Airbus. Karena karakteristik sidestick, mustahil menghubungkannya secara mekanis, dan agar bisa dilakukan, diperlukan sistem motor yang sangat kompleks di dalam setiap stik untuk memberikan force feedback yang sebanding dengan gaya tarikan kuat dari pilot

• Mengingat betapa seringnya HN mengkritik layar sentuh di mobil, menarik juga melihat bagaimana penggantian kontrol analog lama dengan UI layar sentuh berbasis perangkat lunak turut berperan dalam tabrakan USS John S. McCain: https://features.propublica.org/navy-uss-mccain-crash/navy-i...

  • Artikel yang sangat menarik. Rasanya seumur hidup saya terus berhadapan dengan UI ceroboh seperti itu, dan dengan UI ala Apple yang mengoptimalkan hanya keindahan, sambil mendorong nyaris segala sesuatu—terlepas dari kegunaannya—ke balik “laci serba-serbi •••” atau ikon kecil (i)
    Mengejutkan bahwa pada kapal bernilai ratusan miliar dolar, bahkan tidak terpikir untuk memasang label merah berbahasa Inggris biasa di samping tombol merah besar, semacam “Tombol ambil alih kendali darurat. Tekan untuk mengembalikan kendali kemudi ke posisi ini”
    Para perancang perangkat lunak juga bisa saja memakai bahasa yang lugas dan langsung, membuat tindakan yang benar mudah dilakukan, dan membuat tindakan aneh hanya mungkin dilakukan jika memang disengaja. Jika membagi kontrol propulsi kiri/kanan secara independen di antara dua orang adalah sesuatu yang sangat tidak lazim, maka setelah “transfer kontrol propulsi” seharusnya muncul modal besar dengan tombol raksasa “keduanya” dan tombol kecil “kiri saja”, “kanan saja”
    Saya juga heran mengapa tidak ada panduan suara sederhana saat memindahkan sesuatu sepenting kendali kapal. Bukankah speaker sekitar 20 dolar per unit? Cukup seperti “Kontrol propulsi telah dipindahkan ke Lee Helm” atau “Tombol ambil alih kendali merah di posisi tersebut telah ditekan, semua kontrol dipindahkan ke Bridge”
    Kadang rasanya hanya orang-orang yang tidak berpikir dan para pemuja Jony Ive yang merancang UI

• Sekalipun jejak kontak ditampilkan sebagai pesawat tempur F-14, terasa aneh mengasumsikan Iran tiba-tiba mengirim satu F-14 untuk menyerang kapal. Apakah tidak ada momen berpikir, “jangan-jangan ini kesalahan?”
  Saya teringat kasus Stanislav Petrov, yang menafsirkan peringatan peluncuran ICBM dari sistem peringatan dini Soviet sebagai kerusakan peralatan
  Tentu saja taruhannya agak berbeda. Menembak jatuh satu pesawat penumpang tidak separah risiko memulai perang nuklir global

  • Mengapa itu tiba-tiba? Dua bulan sebelum insiden, dalam Operation Praying Mantis, AS menenggelamkan fregat Iran Sahand, kapal serang cepat Joshan, dan 3 speedboat Iran
    Selain itu fregat Iran Sabalan rusak berat, 2 platform Iran dihancurkan, 1 pesawat tempur Iran rusak, dan setidaknya 56 awak Iran tewas
    Pada hari yang sama pun, helikopter militer AS ditembaki senjata ringan oleh kapal patroli Iran, dan penembakan jatuh itu terjadi saat mereka mengejar kapal patroli tersebut
    Dalam situasi seperti ini, tidak terlalu aneh untuk berpikir bahwa Iran bisa menerbangkan pesawat tempur untuk menyerang
  • Terlepas dari kegagalan UI, jika terutama melihat Proceedings[2] dari US Naval Institute dan laporan resmi penyelidikan, Fogarty report[3], ada beberapa hal
    Menyorotkan radar kendali tembakan rudal ke pesawat militer Iran untuk memperingatkan mereka agar berbalik adalah praktik standar. Kapten Carlson mengenang, “Kalau radar itu dikunci ke mereka, mereka pulang. Mereka tidak tertarik pada rudal”
    Kapten Vincennes dikenal sebagai orang yang tergesa-gesa membuka tembakan, dan Vincennes dijuluki Robo-Cruiser
    Pada saat penembakan jatuh, Vincennes berada di dalam perairan teritorial Iran
    Rekaman USS Vincennes, informasi dari USS Sides, dan sumber informasi tepercaya mendukung fakta bahwa TN 4131 terus menanjak sejak lepas landas dari Bandar Abbas hingga saat ditembak jatuh, mengikuti profil rencana penerbangan komersial normal, dan memancarkan Mode III 6760
    “Kapten Rogers adalah murid yang sulit. Ia tidak tertarik pada keahlian para instruktur, dan punya kebiasaan memalukan melanggar aturan keterlibatan dalam wargame”[2]
    Koordinator peperangan udara Letkol Lustig bahkan menerima Navy Commendation Medal atas “pencapaian heroik” dan “kemampuan mempertahankan ketenangan dan keyakinan diri di bawah tembakan”, sehingga dinilai mampu “menyelesaikan prosedur penembakan dengan cepat dan akurat”
    Semua awak Vincennes dan Elmer Montgomery menerima combat action ribbon
    [1] https://www.newsweek.com/sea-lies-200118
    [2] https://www.usni.org/magazines/proceedings/1993/august/vince...
    [3] https://archive.org/details/FormalInvestigationintotheCircum...
  • Tahun sebelumnya, fregat AS USS Stark mengalami kerusakan serius akibat satu pesawat Irak. Kaptennya tidak memperkirakan serangan dari Irak dan beberapa kali mencoba membuatnya menjauh dengan peringatan, tetapi akhirnya pesawat itu menembakkan dua rudal yang mengenai kapal
    Jika sistem respons Stark bekerja dengan benar, kemungkinan besar rudal-rudal itu akan ditembak jatuh, tetapi itu tidak terjadi dan 37 orang Amerika tewas
    Dengan konteks seperti itu, tidak aneh jika pesawat Iran dianggap sebagai ancaman serius
  • Sepemahaman saya, satu F-14 dapat menembakkan satu rudal Exocet dan membuat lubang sangat besar pada kapal induk, bahkan mungkin menenggelamkannya jika kondisinya tepat. Kapal perang pun demikian
    Saat itu, dan mungkin justru terutama saat itu, saya ingat hal ini menjadi kekhawatiran besar
  • Pada masa itu Iran sering melakukan serangan tabrak lari terbatas
    Beberapa tahun sebelum insiden ini, AS menguji apakah F-14 dapat menembakkan rudal antikapal Harpoon, karena Iran memiliki F-14 maupun Harpoon. Uji coba itu berhasil
    Kemungkinan Iran benar-benar memasang Harpoon pada F-14 sangat kecil, tetapi karena itu adalah kemampuan yang mereka miliki, ketakutan bahwa mereka bisa melakukannya sangat nyata pada saat itu

• Baru-baru ini PayPal juga mengalami bencana UX yang cukup besar
  Aplikasi iOS PayPal punya cara input angka yang aneh. Jumlah yang ingin dikirim harus dimasukkan dalam satuan sen, jadi untuk mengirim 50 dolar harus mengetik 5000, lalu PayPal menambahkan pemisah desimal setelah digit kedua dari kanan. Yang lebih aneh, angkanya rata kanan sehingga terasa seperti mengetik dari belakang. Pada akhirnya tetap tidak pernah terbiasa
  Beberapa minggu lalu, tanpa pemberitahuan apa pun, seluruh antarmuka berubah, dan sekarang pengguna harus memasukkan sendiri pemisah desimal. Jika memasukkan 5000 seperti dulu, yang terkirim bukan 50 dolar, melainkan 5000 dolar. Saya tahu seseorang yang benar-benar mengirim uang terlalu banyak, dan saya menduga penyebabnya perubahan UX ini
  Desain yang hati-hati itu penting

  • Saat membicarakan USD dalam bahasa Inggris, apalagi dalam konteks perangkat lunak, menyebut pemisah desimal sebagai “comma” membuat kepala saya cukup pusing. Akhirnya saya sampai membaca artikel Wikipedia tentang pemisah desimal, dan bagian yang paling saya suka adalah ini
    Unicode mendefinisikan simbol tombol pemisah desimal yang bentuknya mirip apostrof (⎖, heksadesimal U+2396, desimal 9110). Simbol ini berasal dari ISO/IEC 9995, dan dimaksudkan untuk menandai tombol pada keyboard yang menjalankan fungsi pemisahan desimal
  • Input harga dalam satuan sen adalah praktik yang selalu dilakukan di ritel sejak masa terminal POS belum terhubung langsung ke mesin kasir sehingga pegawai harus memasukkan nominal secara manual. Meski begitu, jika desain gaya Amerika tiba-tiba diubah, wajar saja akan terjadi banyak kesalahan di berbagai tempat
  • Di luar dugaan, Bank of America menangani ini dengan benar. Transfer kawat bernilai besar wajib memasukkan ulang kredensial
  • Ketika PayPal mengubah default agar memakai mata uang lokal pengguna, bukan mata uang saldo, saya juga pernah melakukan kesalahan serupa dengan mengirim jumlah yang terlalu kecil

• Saya penasaran apakah suatu hari Tesla akan berakhir di pengadilan karena situasi seperti ini
  Bukan soal Autopilot, melainkan soal penghapusan kontrol fisik di kendaraan yang terus berlanjut, dan sekarang sudah sampai tingkat yang konyol
  Misalnya, Model S/X awal punya kontrol khusus untuk berbagai fungsi seperti lampu sein, perpindahan gigi, wiper, Autopilot, kemiringan setir, dan sebagainya. Di kedua sisi setir ada masing-masing dua tombol dan satu roda gulir, dan klakson cukup ditekan di tengah setir. Di pintu ada pengaturan spion, jendela, dan kunci
  Sayangnya, beberapa kontrol penting seperti defogger depan dan belakang ada di layar sentuh, dan kontrol iklim serta berbagai fungsi lain juga harus diketuk beberapa kali, atau area sentuhnya kecil, atau keduanya
  Tidak semuanya buruk. Pengaturan yang detail tetapi tidak penting, seperti mil/kilometer, memang cocok diletakkan di layar sentuh. Namun seharusnya ada lebih banyak kontrol khusus
  Ketika Model 3 keluar, penghapusan kontrol mulai terjadi. Tuasnya hanya dua, tuas lampu sein juga sampai batas tertentu menangani lampu depan dan wiper, sementara tuas transmisi merangkap Autopilot. Dua roda gulir tanpa tombol harus digeser ke kiri-kanan
  Semua kontrol lainnya ada di layar sentuh. Hal-hal penting benar-benar membutuhkan kontrol khusus
  Model S/X yang diperbarui setelah itu lebih parah. Tidak ada tuas sama sekali. Lampu sein, lampu jauh, klakson, dan wiper semuanya berupa area sentuh di setir, dan roda gulir menjalankan fungsi berbeda tergantung konteks
  Perpindahan gigi juga tidak ada, mobil menebak ke arah mana pengemudi ingin bergerak. Lebih banyak fungsi, seperti memasukkan ke posisi parkir, harus lewat layar sentuh. Di konsol tengah juga ada pemilih mode jalan berbasis sentuh, tetapi harus melihat ke bawah, menyentuhnya untuk membangunkan, lalu memilih
  Benar-benar berantakan, dan membuat orang mengemudi lebih buruk

  • Ada kisah kecelakaan terkait hal ini
    Kadang, tanpa alasan yang jelas, mobil tidak mau masuk ke drive/reverse
    Tidak lama setelah pertama kali membeli Tesla, saya sedang melakukan putar balik tiga titik untuk masuk ke jalan masuk rumah. Setelah maju sedikit, berhenti, memutar setir, menekan tuas untuk masuk reverse, lalu menginjak pedal akselerator, mobil malah maju dan membuat pintu mobil lama penyok. Selain ikon di layar, tidak ada indikasi bahwa mobil menolak perintah reverse
    Sekarang Tesla sudah merilis pembaruan sehingga ada bunyi saat berpindah ke drive/reverse, dan ada bunyi terpisah saat mobil menolak perintah. Jauh lebih baik, tetapi tetap menyebalkan karena terutama saat baru masuk mobil, perintah untuk masuk drive/reverse masih cukup sering ditolak. Sekarang saya sudah terbiasa menekan tuas gigi 4–5 kali begitu masuk mobil
  • Saya ingat di Jerman mereka sudah pernah mendapat masalah karena hal ini. Beberapa kontrol tertentu harus mengikuti cara yang ditentukan undang-undang, tetapi Tesla mengabaikannya
    Baru-baru ini saya membeli mobil baru, dan bagi saya tata letak kontrol adalah kriteria yang menentukan jadi-tidaknya membeli. Terlalu banyak produsen ikut-ikutan tren layar sentuh
    Untuk beberapa penggunaan seperti Android Auto itu tidak masalah, tetapi membuat semuanya selalu lewat layar sentuh itu bodoh bahkan di Star Trek, dan bodoh juga di dunia nyata. Fungsi seperti lampu, wiper, dan kontrol iklim wajib punya kontrol fisik
  • Sampai sebelum musim dingin lalu, saya tidak menyadari betapa pentingnya wiper. Saya sedang melaju di jalan dua lajur dengan kecepatan jalan raya dan memasuki tikungan; sehari sebelumnya turun salju ringan, sehingga jalan sudah mencair, basah, dan penuh lumpur
    Entah truk dari jalur berlawanan melindas genangan atau apa, air lumpur tiba-tiba terciprat besar ke kaca depan, dan karena tikungan segera tiba saya harus melihat ke mana arah mobil
    Saya hanya punya sekitar 1 detik untuk menemukan posisi wiper, dan itu mobil orang lain. Kalau tidak menemukannya, saya mungkin keluar dari jalan atau masuk ke jalur berlawanan. Itu bukan saatnya panik mencari tombol wiper di layar sentuh
  • Tepat sekali
    Saya sengaja tidak membeli Tesla karena ingin mengemudikan mobil, bukan mainan
    Antarmuka sentuh tidak semuanya buruk, tetapi dalam situasi yang membutuhkan konsentrasi tinggi dan inputnya berubah secara dinamis, itu menjadi bencana

• Dua hari berturut-turut utas Mastodon masuk halaman depan HN. Saya tidak tahu kapan terakhir kali utas Twitter mengalami hal yang sama, dan saya juga penasaran apakah masih ada orang yang tidak curiga bahwa Twitter bukan lagi pusat percakapan teknologi

  • Banyak dari peristiwa terkait OpenAI baru-baru ini yang naik di sini berupa tautan Twitter, dan saya juga melihat banyak orang menganggap itu sebagai bukti bahwa Twitter masih menjadi pusatnya
  • Salah satu perbedaannya adalah Twitter sekarang tidak menampilkan utas kepada pengguna yang belum login, sedangkan Mastodon menampilkannya. Jika utas yang sama ada di kedua situs, mungkin lebih baik menautkan yang Mastodon
  • Jika dilihat berdasarkan https://news.ycombinator.com/front selama 10 hari terakhir, ada 1 hari ini, 1 lima hari lalu, 3 tujuh hari lalu, dan 2 sembilan hari lalu
  • Senang karena bisa melihat seluruh percakapan tanpa melewati penghalang login atau sesuatu seperti nitter
  • Yang sedang dialami sekarang adalah contoh bagus dari bias konfirmasi

• Saya penasaran bagaimana ini dibandingkan dengan teknologi pengendalian lalu lintas udara yang umum pada masa itu. Apakah pihak pengendali lebih baik? Tentu saja, bahkan pada era itu pun ada banyak bencana yang disebabkan oleh pengendalian lalu lintas udara.

• Awalnya saya mengira ini tulisan tentang flat design, lalu membaca seluruh toot-nya. Siapa yang menyangka UI bisa seburuk ini dalam operasi yang menyangkut hidup dan mati.
  Akan bagus kalau ada yang mengunggah detail lebih lanjut tentang UI membingungkan yang benar-benar melahirkan insiden ini. Sepertinya ini akan menjadi pelajaran yang baik bagi kebanyakan dari kita.
  Tampaknya Lockheed juga memenangkan kontrak terkait sistem ini pada 2023 [1]. Kalau ada yang tahu apakah belakangan masalah UI-nya benar-benar diperbaiki, mohon bagikan.
  1 - https://news.clearancejobs.com/2023/03/13/lockheed-martin-wi...

  • Detailnya ada di utas yang diposting.
    Pada dasarnya, entah mengapa, arah dan posisi seolah berasal dari satu pesawat, informasi identifikasi dari pesawat lain, dan ketinggian dari pesawat lain lagi.
  • Dari judulnya saja saya kira ini tentang sidebar baru Chrome.

• Admiral Cloudberg punya tulisan yang membahas kecelakaan ini secara rinci, termasuk perilaku antarmuka pengguna:
  https://admiralcloudberg.medium.com/the-long-shadow-of-war-t...
  Setelah membaca berbagai interpretasi tentang insiden ini, kesan yang tersisa adalah bahwa masalahnya bukan sekadar persoalan antarmuka pengguna saja.