Śmiertelny błąd interfejsu - KATASTROFA USS McCain | Cyfrowe zbrodnie #2

Wyobraź sobie noc na spokojnych wodach cieśniny singapurskiej. Wśród setek statków płynie on, USS John S. McCain, okręt wojenny marynarki USA. Tysiące ton stali, niemal 300 ludzi na pokładzie. Nagle coś idzie nie tak. Niszczyciel zaczyna niekontrolowany skręt w lewo. Schodząc prosto na kurs wielkiego tankowca. Chwilę później, uderzenie. 10 marynarzy ginie, wielu zostaje rannych. To nie był atak, to nie był sztorm, to był system. Jak to możliwe? Zostań ze mną do końca, bo przejrzałam wszystkie dostępne raporty i zdradzę Ci, co naprawdę ustalono w śledztwie. Cześć, ja nazywam się Marzena Pawłowska i tropię cyfrowe zbrodnie.

W powietrzu unosi się wilgoć, czuć zapach paliwa, słychać syreny i niskie pomruki silników. Ruch jest gęsty. Każdy statek musi trzymać kurs co do sekundy. Tu nie ma marginesu błędu. Jedna pomyłka i może dojść do tragedii. Tu pojawia się USS John S. McCain, amerykański niszczyciel rakietowy. Oczko w głowie marynarki i symbol nowoczesnego uzbrojenia. Rok wcześniej przeszedł modernizację. Dostał nowy system sterowania, który miał być krokiem w przyszłość. Tradycyjne koła sterowe i dźwignie zastąpiono ekranami dotykowymi, a część funkcji podzielono między kilku operatorów. W teorii technologia XXI wieku, która miała zapewniać większą precyzję i bezpieczeństwo.

I właśnie ten okręt zaprojektowany do najtrudniejszych misji, do śledzenia rakiet, do działań bojowych na wodach całego świata, tej nocy miał wykonać coś dla niego z pozoru banalnego. Zwykłe, rutynowe przejście przez zatłoczoną ciśnilę i dopłynąć do portu w Singapurze. McCain płynął swoim kursem. Na mostku, w centrum dowodzenia okrętu, każdy znał swoje miejsce. Sternik przy ekranie sterowania, oficer wachtowy kontrolował kurs, pozostali marynarze uważnie obserwowali radary i ruch wokoło. Wszystko toczyło się spokojnie i zgodnie z rutyną. Kapitan Sanchez wstał chwilę po północy. Wiedział, że zbliżają się do cieśniny singapurskiej i chciał osobiście czuwać nad pracą załogi. Około 4.35 rano, gdy w zasięgu wzroku pojawiły się światła wybrzeża Malezji, system nawigacyjny zaczął wskazywać błędy.

I wtedy zaczął się chaos. Statek nie reagował tak, jak się spodziewano. Zamiast przesunąć się w prawo, McCain zaczął zbaczać w lewo, prosto na kurs wielkiego tankowca Alnick MC. Na mostku panowało coraz większe zamieszanie. W ciągu niecałych czterech minut sterowanie aż kilka razy przechodziło z rąk do rąk. Każdy próbował odzyskać kontrolę, ale nikt nie był pewien, które stanowisko faktycznie odpowiada za ruchy okrętu. Na ekranach Nie pojawiały się żadne alarmy, które wyraźnie wskazywałyby, co jest nie tak. McCain zwalniał, a jego dziób powoli skręcał w lewo. Tankowiec zbliżał się coraz bardziej, a niszczyciel schodził z kursu. Kapitan i oficerowie wydawali kolejne rozkazy. Marynarze przełączali tryby przełączania, jednak okręt nie reagował zgodnie z oczekiwaniami.

Z każdą sekundą sytuacja wymykała się spod kontroli, a na twarzach załogi widać było coraz większe przerażenie. Załoga dostrzegła zbliżający się tankowiec, który szedł prosto na nich, ale McCain nie odpowiadał na próby korekty. To było jak koszmar na jawie, obserwować nadciągającą katastrofę nie mogąc zupełnie nic zrobić. I wtedy, o 5.24 nad ranem, kup metalu, wstrząs, potężna masa tankowca wbija się w burtę McCaina. Alarmy wyją, załoga mostku próbuje ustabilizować statek, Sanchez rozkazuje, człowiek za bótem i ewakuacja zalanych pomieszczeń. Woda wdziera się do kilku przedziałów, alnik MC ma wyraźne uszkodzenia dzioby. Na McCainie panuje chaos i przerażenie.

Pierwszym poważnym problemem był brak zaufania do nowego systemu. W ciągu zaledwie miesiąca przed katastrofą, IBNS aż 60 razy zgłaszał awarię. Za każdym razem okazywało się, że to tylko fałszywy alarm. Kapitan Alfredo Sanchez coraz mniej wierzył w tę technologię. W krytycznych sytuacjach wolał przełączać sterowanie na tryb ręczny. Można to porównać do samochodu z nowoczesnym autopilotem, który co kilka dni nagle pokazuje komunikat. Awaria systemu hamulcowego, awaria silnika, a po chwili okazuje się, że wszystko działa jak należy. Ile razy zaufałbyś jeszcze takiemu samochodowi? Kapitan McCaina uznał, że bezpieczniej będzie odłączyć elektronikę i zdać się na klasyczne sterowanie.

Drugim problemem był zwyczajny brak wiedzy i aktualnych instrukcji. Ani załoga, ani kapitan Sanchez, ani nawet marynarka wojenna nie zdawali sobie sprawy, że przełączenie w tryb zapasowy ręczny wyłącza wszystkie zabezpieczenia. Instrukcja obsługi w ogóle nie tłumaczyła, jak wykonywać niektóre manewry w tym trybie. A ta, która leżała na pokładzie McCaina, była nieaktualizowana od 3 lat. A przypominam, że system cały został zmodernizowany rok wcześniej. To tak jakbyś kupił nowy samochód, a w schowku znalazł instrukcję do innego modelu. Siadasz za kierownicą i nagle okazuje się, że kluczowe funkcje działają zupełnie inaczej niż opisano. A w ogóle to instrukcja do diesla, a ty siedzisz w elektryku. Trzeci problem był czysto interfejsowy. System nie pokazywał jasno, które stanowisko w danej chwili ma kontrolę nad sterem czy prędkością.

Na McCainie tradycyjne dźwignie i koła sterowe zastąpiono ekranami dotykowymi. Brzmiało to nowocześnie, ale w praktyce było pułapką. W stresie i pod presją takie ekrany działały gorzej niż klasyczne rozwiązania. Chyba każdemu z nas zdarzyło się klikać więcej razy w ekran, gdy ten zdawał się nie reagować. Na fizycznym kole sterowym czujesz opór, widzisz jego pozycję i masz pewność, że faktycznie skręcasz. Na ekranie dotykowym tego nie było. Wystarczyło kliknąć nie ten przycisk albo nie zauważyć, że opcja się przełączyła i statek reagował zupełnie inaczej niż oczekiwał operator. To trochę tak jak w samochodzie, gdy zamiast zwykłej kierownicy i pedałów dostajesz tablet z ikonami.

Chcesz skręcić? Wciskasz wirtualny przycisk, ale nie czujesz żadnej reakcji. Dopiero po chwili orientujesz się, że auto nie jedzie tam, gdzie chciałeś. Na McCainie ten brak sprężenia zwrotnego i przeładowanie funkcjami stał się śmiertelną pułapką. W chwili kryzysu interfejs nie pomagał. On sam był źródłem chaosu. W raporcie oraz późniejszych badaniach wyraźnie wskazano, że ten rodzaj interfejsu był zbyt skomplikowany i przeciążony funkcjami, co sprzyjało błędom operatorów w sytuacjach awaryjnych. Przyczyn tragedii było wiele. System wdrożony w pośpiechu, brak szkoleń, instrukcje nieaktualne od lat i interfejs, który zamiast pomagać mylił użytkowników. Zmęczenie załogi, wczesne godziny poranne, a w późniejszym etapie zdenerwowanie i stres też nie były bez znaczenia.

Jednak kluczowy moment nastąpił wtedy, gdy rozdzielono śruby lewą i prawą. Załoga nie była tego świadoma. Od tej chwili każda decyzja na mostku tylko pogłębiała problem. Zamiast płynąć prosto, McCain zaczynał coraz mocniej skręcać w lewo. To tak, jakby w samochodzie nagle odłączyć jedną stronę napędu i zostawić włączone tylko koła po lewej. Kierowcy mogą kręcić kierownicą, naciskać gaz i hamulec, ale auto i tak ciągnie w bok. Prosto pod jadącego tira. I właśnie w ten sposób nowoczesny system sterowania zamienił rutynowy rejs w katastrofę. To nie była jedna pomyłka człowieka. To była seria błędów projektowych, złych decyzji i niejasnych interfejsów, które razem tworzyły śmiertelną pułapkę.

To była prawdziwa cyfrowa zbrodnia. Tragedia wynikająca z tego, że technologia została źle zaprojektowana i źle wdrożona. 10 marynarzy straciło przez to życie. Wyobraź sobie, że podczas prac nad tym odcinkiem trafiłam nawet na stronę anestezjologów. Przykład USS McCain spowodował refleksję u tej grupy zawodowej. Czy aby na pewno ich systemy projektowane i wdrażane są odpowiednio? Czy mają odpowiednią liczbę szkoleń? Ja myślę, że dzisiejsza historia powinna zatrzymać chwilę nas wszystkich. Czy systemy, których używamy są naprawdę dobrze zaprojektowane? Czy ich interfejsy są zrozumiałe dla użytkowników? I jakie mogą być konsekwencje, gdy projektant pomyli się choćby w jednym szczególe?